pagalba nulaužiant dienyną

Atsimenu, kai buvau vienuoliktokas, mums pristatė edienyną. Kad visiems būtų paprasčiau naudotis, pranešė, jog prisijungti galime naudodamiesi savo asmens kodu: prisijungimo vardas ir slaptažodis yra jis.

Tuomet pagalvojau, kad jei prisijungimo vardas ir slaptažodis sutampa - reiškia, užtenka sužinoti vieną ir jau gali prisijungti. Jei žinai, kad tai gali būti sudaryta tik iš skaitmenų - reiškia, gali sugeneruoti visus įmanomus variantus ir juos išbandyti (brute-force), atrinkdamas tuos skaičius, su kuriais prisijungimas pavyko.

Viską dar labiau palengvino tai, jog žinojau, kad tas skaičius yra asmens kodas: reiškia, pirmas skaitmuo 3 arba 4 (vyras / moteris), antras - gimimo dešimtmetis (8 / 9), trečias gimimo metai (0-9), toliau po du skaitmenis - mėnesis (01-12) ir diena (01-31). Lieka keturi paskutiniai skaitmenys - o kompiuteriui tai juokas - užtruko tik visus variantus išbandyti jungiantis prie edienyno internete.

Rezultatas? Per pusdienį nuo minties iki įgyvendinimo turėjau 80% visų savo ir pararelinių klasių moksleivių asmens kodus, gimimo datas, vardus ir pavardes (nes prisijungus prie edienyno rodydavo "Sveiki, Vardas Pavardė. Paskutinį kartą lankėtės..."). Tie 20%, kurių duomenų neturėjau, buvo jau pasikeitę slaptažodžius, - kiti kažkodėl nematė prasmės.

Tai buvo didžiulė spraga tiek iš edienyno kūrėjų pusės (visiškai neriboti bandymų prisijungti skaičiaus - sistema galėjo bandyti tūkstančius kartų nesusidurdama nei su IP bloku, nei su CAPTCHA), tiek iš funkcionierių, kurie sugalvojo nustatyti vienodus prisijungimo vardą ir slaptažodį.

Kai savo "sistemą" parodžiau informatikos mokytojai (pamokoje, kur visi aplinkui ruošėsi valstybiniam egzaminui), ji išsigandus pasakė, kad to geriau niekam daugiau nerodyčiau, nes kitaip galim turėti problemų :)

O apie "laužimą" apskritai - kartais tai tiesiog smagus laisvalaikio užsiėmimas, nebūtinai siekiant kažko blogo. Vieną naktį norėjau pabandyti sukurti sistemą, kuri atkoduotų CAPTCHA (paveiksliukus, rodomus prie prisijungimo formų - ale "ar tu ne robotas?"). Pasirinkau vieną didelį indų socialinį tinklą su keliasdešimt milijonų narių. Padaryti taip, jog gavus paveikslėlį programa nustatytų, kas ant jo parašyta, anksčiau to niekad nedarius užtruko kelias valandas. Vienas iš testavimo etapų tuomet atrodė taip:

Kokia buvo nauda? Bandydamas įveikti CAPTCHA supratau, kaip jų nereikia kurti, - t.y., kaip turi atrodyti CAPTCHA, kurią nulaužti būtų tikrai sunku (bent jau aš nežinočiau kaip). Pats nepabandęs jų įveikti nebūčiau sužinojęs didžiausių spragų ir kada nors kurdamas galbūt būčiau padaręs tas pačias klaidas, kaip to multimilioninio socialinio tinklo kūrėjai - akivaizdu, jog jiems prieš kuriant savo CAPTCHA tikrai reikėjo išmokti nulaužti kitų.

Negana to, daugiau panagrinėjęs tą socialinį tinklą radau būdą leidžiantį prieiti prie kiekvieno nario anketos su visa informacija ir net išsiųsti kiekvienam privačią žinutę (riboja CAPTCHA, bet ją jau buvau įveikęs), joje naudojant to žmogaus vardą ir pavardę ir net žinant jo lytį ir amžių (spamerių rojus: "viagros reklama privačia žinute vyrams nuo 35 m."). Tai taip pat privertė susimąstyti, kokių klaidų nedaryti pačiam kuriant sistemą su narių duomenų baze.

Taigi tas noras įveikti sistemą kartais tiesiog padeda daug ko išmokti. Geras programuotojas turi būti ir geras hakeris.