تخم فاخته

خلاصه کتاب

کلیفورد استول ستاره‌شناسی بود که بودجهٔ پژوهشی‌اش تمام شده و به مدیریت کامپیوترهای آزمایشگاه لارنس برکلی منتقل شده بود. روز دومِ کارش در سال ۱۹۸۶ وظیفه‌ای پیش‌پاافتاده به او دادند: رفع مغایرت ۷۵ سنتی در سیستم حسابداریِ کامپیوتری آزمایشگاه. کسی نُه ثانیه زمان کامپیوتر مصرف کرده بود بدون حساب صورت‌حساب متناظر. استول به‌جای نادیده گرفتنش، دنبال علت رفت — و کاربری غیرمجاز با دسترسی سطح سیستم پیدا کرد که هیچ کاری آنجا نداشت.

آنچه در پی می‌آید یک تعقیب ده‌ماهه است. استول به هر خط ورودی چاپگری وصل کرد تا هر کلیدی که مهاجم می‌زند روی کاغذ ثبت شود، روی کف اتاق ماشین خوابید تا ورودها را همان لحظه بگیرد، و آرام‌آرام تصویری ساخت از کسی که به‌طور روشمند از سیستم‌های برکلی به‌عنوان نقطهٔ پرش برای رسیدن به شبکه‌های نظامی و پیمانکاران دفاعی سراسر آمریکا استفاده می‌کرد. مهاجم دنبال اسناد مربوط به طرح دفاع موشکی، سلاح‌های هسته‌ای و استقرار نیروها می‌گشت، و عمدتاً با سوءاستفاده از رمزهای پیش‌فرض و یک حفرهٔ شناخته‌شده در ابزار movemail در گنو ایمکس وارد سیستم‌ها می‌شد.

نیمهٔ دیگر کتاب تلاش استول برای وادار کردن کسی در مقام مسئولیت به اهمیت‌دادن است. اف‌بی‌آی گفت زیان ۷۵ سنتی ارزش وقتشان را ندارد؛ سیا، آژانس امنیت ملی، دفتر تحقیقات نیروی هوایی و سرانجام مقامات آلمانی، هرکدام اطلاعات را می‌خواستند اما مسئولیت را نه. رد ماجرا در هانوفر آلمان غربی تمام شد، با گروهی که مواد سرقتی را به کا‌گ‌ب می‌فروخت. در طول راه، کتاب غیابِ تقریباً کاملِ هر چارچوب حقوقی، نهادی یا فنی برای رسیدگی به یک نفوذ کامپیوتری در دههٔ ۱۹۸۰ را مستند می‌کند.

ایده‌های کلیدی

۱. مغایرت حسابداری به‌عنوان نشانهٔ نفوذ

تحقیقات شروع می‌شود چون استول حاضر نشد یک خطای گِردکردن را نویز بداند. آزمایشگاه دو سیستم حسابداریِ مستقل داشت، و شکاف ۷۵ سنتی میانشان یعنی کسی بدون حساب مجاز منابع مصرف کرده بود — واقعیتی که فقط به این دلیل رو آمد که دو سیستم می‌توانستند در برابر هم بررسی متقابل شوند.

تازه‌کار بودم و درسی گرفتم: یک مغایرت ۷۵ سنتی چیزی واقعی است، و چیزهای واقعی علت دارند.

درس قابل‌تعمیم از فناوریِ منسوخ عمر بیشتری دارد: نفوذها به‌ندرت خودشان را اعلام می‌کنند، و سیگنال مفید معمولاً ناسازگاریِ کوچکی میان دو رکورد است که باید بر هم منطبق باشند. آن استدلال هنوز زیربنای کار تشخیص امروزی است، هرچند مصنوعات مشخص کاملاً عوض شده‌اند.

۲. صبر و مشاهده به‌جای رفع فوری

انتخاب تعیین‌کنندهٔ استول این بود که مهاجم را بیرون نیندازد. بستن حساب ماجرا را تمام می‌کرد و چیزی یادش نمی‌داد؛ به‌جایش دسترسی را باز گذاشت، کاملاً ابزارگذاری‌اش کرد، و تماشا کرد. لاگ‌های چاپگر به رونوشت کاملی از روش‌ها، هدف‌ها و سطح مهارت مهاجم تبدیل شدند، که همان چیزی است که سرانجام انتساب را ممکن کرد.

این معامله واقعی است و کتاب پنهانش نمی‌کند — باقی‌گذاشتنِ یک مهاجم فعال در شبکه‌ای متصل به سیستم‌های نظامی ریسکی واقعی بود که استول باید بارها مافوق‌هایش را به پذیرشش متقاعد می‌کرد. پاسخ به رخداد در دنیای امروز دقیقاً با همین تنشِ مهار در برابر اطلاعات دست‌وپنجه نرم می‌کند.

۳. تلهٔ عسل

وقتی مهاجم مدام دنبال مواد مربوط به طرح دفاع موشکی می‌گشت و چیز زیادی پیدا نمی‌کرد، استول و همکارانش پروژه‌ای خیالی به نام «شبکهٔ SDI» جعل کردند — مجموعه‌ای از اسناد بوروکراتیکِ ساختگی دربارهٔ یک شبکهٔ محرمانه، به‌قدر کافی کسل‌کننده که باورپذیر باشد و به‌قدر کافی حجیم که خواندنش طول بکشد. مهاجم طعمه را گرفت و به‌قدر کافی متصل ماند تا ردیابیِ تلفنی کامل شود.

این یکی از قدیمی‌ترین کاربردهای مستندشدهٔ چیزی است که حالا شیوهٔ استاندارد است، و منطقش عوض نشده: طعمه باید کسل‌کننده، باورپذیر و کند-مصرف باشد.

۴. خلأ نهادی

کهنه‌ترین و در عین حال چشمگیرترین عنصر این است که چقدر کم برای رسیدگی به هیچ‌کدام از این‌ها وجود داشت. نه CERTای بود، نه مسیر گزارش‌دهیِ جاافتاده‌ای، نه سازمانی که به‌روشنی مالک مسئله باشد، و نه قانونی که زیرش یک زیان مالیِ کوچک توجه فدرال را توجیه کند. استول ماه‌ها میان سازمان‌هایی دست‌به‌دست شد که هرکدام یافته‌هایش را می‌خواستند و هیچ‌کدام مسئولیت را نمی‌پذیرفتند.

این رخداد مستقیماً در تغییر آن وضع سهم داشت — کرم موریس در سال بعد، به‌علاوهٔ پرونده‌هایی مثل این، نهادها و هنجارهایی را تولید کردند که یک تیم امنیتیِ امروزی بدیهی می‌داند.

برای چه کسی مفید است

• هرکسی که در امنیت کار می‌کند یا کنجکاوش است — این روایت بنیان‌گذار این حوزه است، و خواندنش واقعاً لذت‌بخش است نه از سر وظیفه.
• خواننده‌ای که داستان واقعی‌ای می‌خواهد که مثل تریلر خوانده شود — ریتمش با توجه به اینکه موضوع لاگ‌های یونیکس و ردیابیِ تلفنی است، قابل‌توجه است.
• کسانی که به نحوهٔ واکنش (یا ناتوانیِ واکنش) نهادها به یک دستهٔ جدید از مسئله علاقه دارند — نیمی از کتاب بوروکراتیک است، و همان نیمه آموزنده‌تر است.
• هرکسی که فرض می‌کند حملات همیشه از نظر فنی پیچیده‌اند — مهاجم عمدتاً از در رمزهای پیش‌فرضِ تغییرنیافته وارد شد.

سؤالات پرتکرار

این داستان واقعی است؟

بله، کاملاً. استول واقعاً مدیر سیستمی در آزمایشگاه لارنس برکلی بود، نفوذ در سال‌های ۱۹۸۶–۸۷ رخ داد، و تحقیقات به دستگیریِ مارکوس هس در هانوفر انجامید که مواد را به کا‌گ‌ب می‌فروخت. استول روایتی آکادمیک هم در Communications of the ACM منتشر کرد.

برای خواندنش به دانش فنی نیاز دارم؟

نه. استول مفاهیم یونیکس را همان‌طور که پیش می‌آیند توضیح می‌دهد و کتاب را برای مخاطب عام تنظیم کرده — این یک پرفروش عمومی بود، نه یک عنوان فنی.

مهاجم واقعاً چطور وارد شد؟

عمدتاً از راه‌های بی‌زرق‌وبرق: رمزهای پیش‌فرض و تغییرنیافته روی سیستم‌های سراسر شبکه، به‌علاوهٔ آسیب‌پذیریِ شناخته‌شده‌ای در ابزار movemail گنو ایمکس که ارتقای سطح دسترسی می‌داد. بسیار کمی از آن به تکنیک نو نیاز داشت.

چرا اف‌بی‌آی کمک نکرد؟

چون در سال ۱۹۸۶ زیان ۷۵ سنتی به هیچ آستانه‌ای که آن‌ها بشناسند نمی‌رسید، و هیچ سازمانی صلاحیت روشنی بر نفوذ کامپیوتری نداشت. روایت کتاب از دست‌به‌دست شدن میان اف‌بی‌آی، سیا، آژانس امنیت ملی و دفتر تحقیقات نیروی هوایی یکی از باارزش‌ترین اسناد تاریخی‌اش است.

ضعف اصلیِ کتاب چیست؟

حاشیه‌روی‌های شخصیِ طولانی. این‌ها بخشی عامدانه از صدای استول‌اند، اما تحقیقات را قابل‌توجه رقیق می‌کنند، و خواننده‌ای که عمدتاً به پرونده علاقه دارد ریتم را به‌خاطرشان ناهموار می‌یابد.