Все новости от 28 января 2000 г.

Хакеры выходят на новое поприще

В начале января начинающая консультационная фирма @Stake (Бостон, шт. Массачусетс), специализирующаяся на вопросах обеспечения безопасности и делающая ставку на предоставление полного спектра услуг от проверки состояния безопасности до системной интеграции, объявила о покупке L0pht ради услуг ее нередко самовольничающих хакеров.

Как пояснил основатель @Stake Тед Джулиан, ранее работавший аналитиком в фирме Forrester Research, в результате сделки полдюжины хакеров, составляющих группу L0pht, стали ядром отдела исследований и разработок его компании.

Семь лет практики, направленной на развенчание первоклассных систем обеспечения безопасности, - лучшее свидетельство высокой квалификации. Таким образом, в своих способностях хакерам L0pht убеждать никого не придется, но вот что касается искренности намерения верой и правдой служить добропорядочными консультантами… Если они действительно решились оставить в прошлом злонамеренный взлом компьютерных кодов, для чего же им продолжать скрываться под колоритными псевдонимами вроде "Профессор Мадж"? (Хакеры намерены сохранять анонимность.)

"Готовы ли вы допустить до такой деликатной вещи, как безопасность, людей, которых не знаете даже по имени? - задается резонным вопросом сетевой администратор с некой фабрики на юго-западе США, сам пожелавший остаться неизвестным. - О себе скажу твердо: нет".

Не одному руководителю корпоративной службы ИТ придется поломать голову над этим вопросом в несколько предстоящих лет. Аналитики исследовательской корпорации International Data предсказывают к 2003 г. четырехкратный - до 2,3 млрд. долл. - рост рынка услуг по обеспечению безопасности корпоративных сетей.

Поскольку в мире не хватает специалистов, чтобы удовлетворить столь мощный рост спроса, использование услуг хакеров - даже тех новичков, что слетаются в Лас-Вегас на конференцию DefCon, - приобретает очертания соблазнительной альтернативы. Тем не менее многие компании, занимающиеся обеспечением безопасности, не хотят даже и слышать о таком варианте.

"Рекрутировать работников из участников DefCon? Я бы не стал, - говорит директор направления профессиональных услуг из корпорации Secure Computing Марк Харди. - Мы не можем рисковать, принимая в штат неблагонадежные или сомнительные личности".

Лучшие из худших?

Однако в отношении хакеров из L0pht Харди не столь непреклонен: по его словам, они хотя и доставляли немалые неприятности, но всегда соблюдали определенные правила чести. "Мое уважение к ним основывается на их способности обнаруживать и четко определять дефекты обеспечения безопасности, а также на их готовности уведомлять производителя, прежде чем делать свои открытия достоянием общественности", - пояснил он.

Кому, как не Харди, об этом судить. Secure Computing уже долгое время поддерживает не совсем обычные отношения с хакерским сообществом. Около двух лет назад эта компания наняла основателя DefCon молодого хакера Джеффа Мосса в качестве управляющего своим бизнесом по оценке систем безопасности.

Мосс пополнил банк знаний Secure Computing опытом, принесенным с другой стороны баррикад, и основал для администраторов, интересующихся приемами хакеров, еще одну конференцию, которая называется Black Hat Conference.

Почему бы членам L0pht не повторить путь Мосса. Если пользоваться хакерским жаргоном, где "white hat" ("белая шляпа") означает эксперта по безопасности самого консервативного толка, а "black hat" ("черная шляпа") - самого криминального, то цвет шляп участников L0pht определенно относится к нейтральной серой гамме.

L0pht была основана в 1993 г. в Кеймбридже (шт. Массачусетс), и с тех пор никто ни разу не обвинил ее во взломе какой-либо сети. Инструментарий ее разработки под названием L0phtCrack считается одним из лучших продуктов на рынке средств тестирования сетевой безопасности. Кроме того, участники этой группы негласно консультировали по вопросам сетевой безопасности многие организации.

По словам Маджа, то, чем они всегда занимались, - это исследования и разработки. Ту же работу они собираются выполнять и для @Stake: оценивать уровень защищенности сети клиента, находить недостатки и давать рекомендации.

Главной мишенью хакеров L0pht всегда оставалась корпорация Microsoft. Дефекты безопасности в ее продуктах они выискивают с особым старанием. Впрочем, группа не обходит вниманием и других производителей ПО, не исключая даже таких любимчиков отрасли, как фирма Red Hat с ее популярной версией Linux. Особенно они любят поглумиться над разработчиками, игнорирующими дефекты в своих продуктах даже после полученного от хакеров уведомления.

L0pht издает информационный листок для хакеров и поддерживает Web-узел L0pht.com. Через эти средства информации группа распространяет подробные описания обнаруженных "дыр" безопасности и рекомендации по их использованию, а во многих случаях даже публикует готовые инструменты для хакеров. У многих этот подход вызывает праведный гнев, в особенности у корпорации Microsoft; однако мало кто станет спорить, что благодаря деятельности L0pht многие производители значительно усовершенствовали систему безопасности своих продуктов.

"Фактически мы делаем ту же работу, что различные группы защиты интересов потребителей, - прокомментировал Мадж. - Разносим в пух и прах недостаточно качественные продукты".

Став подразделением @Stake, группа L0pht и далее продолжит заниматься тем же самым.