Году так в 97-м занимались безопасностью крупной конторы. По тем временам штат у нас был уникальный: от мордоворотов Бори и Феди, служивших преимущественно для антуража, до Костика с ноутбуком, являвшим собой верх секьюрити в сфере IT.

В те времена хакеры ползали по мусоркам в поисках паролей, и пределом их мечтаний было залезть хоть куда-нибудь. У нас деньги своровать было нереально: по интернету наличность из бухгалтерии в день получки не уволочёшь, а безнал у нас был в банке. Сайта своего не было, глобальных баз данных тоже. Но был компьютер финансового директора, который имел выход в интернет и что-то жутко секретное в своих недрах. На хрен бы он кому сдался, если бы не ореол таинственности, который напустил его хозяин, и сотрудник-раздолбай, которого уволили «по собственному», но вроде как за дело.

Обиженный на весь мир и нашу компанию в частности, оставшийся без работы Вася решил жестоко отомстить. Под видом визита в бухгалтерию за расчётом он дважды пытался пробиться в кабинет финансового директора с неведомой целью. Системник бы он незаметно не уволок, а кулхацкер из него был, как из дерьма пуля, да и взломать то, что поставил Костик, он бы не смог и за неделю.

Это дело просекли, и в здание Васю больше не пускали. Но Вася был упорный малый (так бы работал — не уволили): по телефонному справочнику конторы высчитал номер, на котором сидел интересующий его компьютер, и пробовал установить соединение с ним по дайлапу. Это выяснилось сразу, так как телефонная линия была одна, и финансовый распознал в писках-тресках телефонной трубки звук модемного соединения.

Финдиректор поднял шум: его хотят хакнуть, у него очень важная информация на компьютере и всё такое прочее. Проблему решили просто: с санкции генерального с компа жертвы хакерских атак сняли модем. Но появились два вопроса, которые весьма заинтересовали генерального: кто и за чем охотится?

Мы недаром ели свой пончик и через день привезли Васю, который из дома своего школьного друга пытался дозвониться до таинственной ЭВМ. После профилактической беседы вывезли мы Васю… не в лес, нет. Мы высадили его около городского УВД и уехали. Больше о бывшем сотруднике мы не слышали.

С компьютером же всё оказалось интереснее. Финансовый под разными предлогами два дня отказывался передать железяку на досмотр в СБ. На третий он «забыл» пароль. Утюгами и паяльниками никто не пользовался. Зачем?

Вечером в пятницу (как сейчас помню) пришли к забывчивому управленцу в кабинет пятеро: Боря и Федя, Костик, я и генеральный собственной персоной. Антуражные ребята вместе с креслом буквально вынесли финансового из кабинета. Костик, включив компьютер, за десять минут «вспомнил» пароль.

Все секретные материалы оказались в формате MPEG, содержание детям до 18 было противопоказано. Ни одного финансового документа на компьютере не нашли.

Понедельник — день тяжёлый. Явившись на работу, решил сделать первое дело: завести учётку новому сотруднику.

Зашёл на виртуалку. В рут. К пользователям. Добавил юзера — оказалось, мой однофамилец. Поставил стандартный пароль — сегодняшнюю дату. Закрыл виртуалку, пошёл пить кофе.

Подходит какой-то мужик:

— Чего не при деле?

— Так это, работы ж нет.

— А, тебе сисадмин учётку ещё не сделал.

И тут до меня доходит: сегодня мой первый день на новом рабочем месте, в новой компании, на новой должности.

Удивительно, что архитектура и рутовый пароль оказались идентичны. Надо бы местного админа предупредить.

Утечка персональных данных. Полный фарш: имейлы клиентов, адреса и телефоны сотрудников. Хорошо, данные о кредитных картах зашифрованы были, а ключ ребята утащить не смогли.

А сломали смешно, прямо по The Art of Deception. Подобрали простой пароль одной из мелких сотрудниц и от её имени написали в поддержку:

Привет, это Света (начальник отдела), я с ящика Татьяны. Я опять пароль свой забыла — сложные они, а записывать вы мне их запрещаете. Поставьте мне пока 1234, я сразу, как в систему зайду, поменяю.

Сотрудник техподдержки сменил, ругаясь на тупых менеджеров. Придурок, не так ли? Вы бы никогда не сменили, верно? Честное админско-пионерское?

Подрядился я как-то вторым инженером на один проект (отказоустойчивый безопасный телеком) для верховного финансового контролирующего органа РФ. Думал, если понравится — уйду к генподрядчику с насиженного, но бесперспективного места. Что-то понравилось (интересная работа, высокий статус, почти полное содержание), что-то — нет (недостаточно высокая зарплата и командировки длиной больше месяца), но эти дни я запомню на всю жизнь. За кружечкой пива можно весь вечер рассказывать о передвижении на вездеходах и вертолётах, военном сопровождении, ночёвках в гостиницах и палатках, спецаппаратуре современного и доисторического образца. Сегодня же расскажу я пару коротких историй о безопасности.

* * *

Сидел как-то местный ведущий специалист по телекому и информационной безопасности в аппаратной и курил конфиги военной спутниковой станции. Получалось плохо; едва ли не всю ночь сидел он, уставившись в экран, пока уже под утро не нашёл искомое… и был уложен на пол подоспевшими омоновцами, удивлёнными неожиданным сигналом с датчиков движения, молчавших с момента постановки комнаты на охрану более семи часов назад.

* * *

Подключаем оперзал в удалённой военной части. По проекту, кроме наземного и спутникового канала связи, есть ещё коммутируемая линия (дайлап), поднимающаяся как крайний резерв при падении двух основных, но свободных линий на объекте нет. После недолгих уговоров и разъяснений, что схема вряд ли когда-то будет использована, но должна быть протестирована на момент внедрения, линия нашлась. Общаемся с монтажником по поводу установления соединения, ловим мелкие баги. Вдруг со стороны монтажника:

— Что за?.. Чёрт! Нет!.. Лежать, руки за голову! Оу-у-у… Не надо…

Обрыв связи. По мобиле не отвечает. Через какое-то время перезванивает по IP:

— Тут было маски-шоу. Оказывается, на этой линии сидела сигнализация и тревожная кнопка ОМОН. Дежурный предлагает, когда они вернутся на базу, попробовать ещё раз.

Пришлось разочаровать дежурного: даже если последний резерв заработает, вряд ли удастся отправлять платёжки и общаться по IP, лёжа на полу с руками за головой.

В принципе, нет ничего плохого в том, чтобы выбирать себе в качестве пароля линуксовские консольные команды. С точки зрения безопасности, смысла в ln -s /root ./leaf ровно столько же, сколько в любом другом случайном наборе символов, а запомнить команду несравнимо проще, чем вышеупомянутый случайный набор.

В принципе, нет ничего плохого в том, чтобы в окне telnet случайно набрать пароль дважды. Как максимум — терминал его запомнит и после окончания процедуры логина воспримет как команду. Злоумышленники, притаившиеся у вас за спиной, лишь поразятся тому, с какой скоростью вы начали работать.

Но упаси вас Верховный Сисадмин впечатать пароль дважды, заходя на Самый Главный Сервер, на который у вас права рута, особенно если на этой неделе ваш пароль — rm -rf /*…

Думаю, многие юзают терминалы для оплаты мобильных, инета, пополнения электронных кошельков. Так какого хрена разработчики совсем не задумываются о безопасности ПО?

Не далее как в эту субботу, культурно отдыхая с пивком под неспешную беседу, захотелось приобщиться к прекрасному — посмотреть кино, желательно новинку. Идти домой за ноутом? Не комильфо… В магазине по соседству я нашёл платёжный терминал. За минуту снял оболочку (читай: открыл рабочий стол винды), запустил экранную клавиатуру, нашёл в Гугле сайт с онлайн-фильмами и под пиво вместе с продавщицей посмотрел одну из новинок. Конечно, звук отсутствовал, но мы нашли вариант с субтитрами.

Админы не отреагировали на резкий скачок потребляемого трафика, не ограничили скорость заранее, не отключили вызов контекстного меню, не поставили по умолчанию учётку с ограниченными правами.

Техник приехал только на следующий день. Стоял с задумчивым видом, глядя на разобранный терминал. Я засёк время: полтора литра пива и почти два часа он не мог разобраться в проблеме. Хотел подойти и попросить вывести аудиовыход на панель, чтоб в следующий раз подключить нормальные колонки, но решил не выкобениваться.

Если потребуется работа, вывешу свое резюме на всех терминалах, которые смогу найти. Если не посадят, буду работать над их информационной безопасностью.

Понадобилось мне как-то просмотреть закрытую страничку одного человека в очень популярной у нас социальной сети. В наличии — только адрес электронной почты потенциальной жертвы.

Задача поставлена, приступаем к исполнению. Подбор пароля — не наш метод: слишком просто. Захожу на страничку. Закрыто. Пробую восстановить пароль от почты. Знакомый до боли секретный вопрос о девичьей фамилии настойчиво мешает получить желаемый доступ.

Так, стоп. Возвращаюсь на страницу. Случайно оказался открыт список друзей. Как же не добавить в друзья маму, которая в скобках после своей фамилии указала ту самую, искомую?

Юзеры, относитесь серьёзнее к своей персональной информации.

Пришёл как-то к нам устраиваться на работу человек по фамилии Троян. Можно было бы хихикнуть пару раз и забыть, но самый смак был в том, что претендовал он на должность специалиста службы информационной безопасности.

К сожалению, не подошёл нам человек. А жаль — упустили шанс заслать заказчикам своего Трояна для аудита ИБ.

В те далекие времена, когда с Пиджином я ещё так крепко не подружился, а о том, что для асечного профиля в мультипротокольном клиенте можно указать кодировку, только начинал догадываться, именно на эльфийском языке приходили сообщения от некоторых людей. Рано или поздно методом внимательного изучения одно-, двух- и трёхбуквенных слов, а также сопоставления символов в тех словах, значение которых я уже понял, и в тех, подлиннее, которые ещё не разобрал, я научился понимать, о чём идет речь. Даже, кажется, почти на память составил таблицу соответствия, чтобы моей (тогда ещё будущей) жене было понятно, о чём я прямо при ней общаюсь с девушками. Правда, ей всё равно быстро стало лень разбираться.

А вот технологию распознавания я освоил ещё в школе. Как-то решил почитать «Ночной дозор», а на компьютере моём тогда стоял DOS. Винда тоже была, но в ней монитор выдавал 60 герц, а в DOS — 85, и глаза портить не хотелось. Драйвер русской раскладки тогда по какому-то стечению обстоятельств не был загружен, и вместо кириллицы были видны кракозябры. И взял меня тогда азарт: не попробовать ли? Попробовал. Прочитал несколько страниц. Под конец уже довольно быстро пошло — правда, помогал я себе вслух, что со стороны выглядело довольно смешно.

Боитесь научиться читать эльфийские письмена на ходу? Не надо бояться: это очень полезный навык и офигительная гимнастика для мозгов. Помнится, шифр, который придумали мои сестры для секретной переписки, при наличии достаточно длинного документа читался почти с ходу, особенно с учётом того, что пробелы и пунктуацию они шифровать или опускать не стали. Старшая сестра быстро поняла, что даже шифрованные записки мне в руки давать нельзя.

Ведь никто же не боится случайно выучить новый инстранный язык или язык программирования?

По профессии я далёк от информационных технологий, но до способа, которым я в школьные годы (а они у меня прошли задолго до всеобщей компьютеризации) я писал шпаргалки, додумается не всякий компьютерщик.

В первом классе я купил в книжном магазине словарь армянского языка. Слова учить, разумеется, не стал, а выучил только алфавит. Шпаргалки писал в открытую, прямо на пенале, на русском языке, но армянскими буквами. За весь период обучения ни родители, ни учителя не догадались, что это у меня на пенале вовсе не «просто узор такой».