P9 ------------------------------------ SEGURIDAD INFORMATICA HACKERS "LOS REVIENTAORDENADORES" ------------------------------------ P8 (C) 1993 P:IncubusP8/P?Impulse P9 INTRODUCCION P; ------------ P8 Este artículo no contiene ningún dato técnico sobre como trabajan los hackers. Simplemente, es un reflejo para que os hagáis la idea de lo que es un verdadero hacker. La documentación de este artículo está recogida de varias revistas y de algunos docs que he encontrado por ahí, y como no,aportando mis pe- queños conocimientos sobre este cam- po. P9 HACKING P; ------- P8 Son las 2:00 AM. Fuera llueve.Juan A. lleva encerrado en su cuarto des- de que salió del jodido instituto, hace más de 8 horas. Los ojos le pi- can de tanto mirar el monitor, pero no puede dejarlo. Está a punto de conseguir el mayor éxito de su ca- rrera de hacker: dentro de unos mi- nutos va a entrar, con su modem, y de forma clandestina (ed: hi phrea- kers!), en el ordenador central del Banco de España. Y no sólo eso.Pien- sa saltarse el password del director del sistema y tomar personalmente el control del procesador. Por fin lo ha conseguido.Le ha cos- tado muchas semanas de barajar miles de nombres de identificación y pala- bras clave. Trabajo concienzudo que ahora se ve recompensado. Antes de cortar la comunicación,Juan A. reco- ge varios ficheros de interés y es- cribe un mensaje que a la mañana si- guiente aparecerá en la pantalla del director del sistema: "Te cacé, ami- go. La próxima vez ten más cuidado". Y ahí acabó la aventura. Juan A. es un hacker típico.Cuando cumplió 12 años, sus padres le com- praron un pequeño ordenador domésti- co. A los pocos meses de manejar el aparato, el BASIC y más tarde el EN- SAMBLADOR, ya se le quedaba pequeño el ordenador y le aburrían los jue- gos.Encuentra más divertido crackear los programas. Después de un par de años, vende el viejo Spectrum y se compra, como no, un Amiga. Poco a poco, el juego se convierte en fie- bre. Adquiere un HST 14400 baudios.Juan A. establece contactos con otros fo- rofos del teclado, la mayoría perte- neciente a famosos grupos de la sce- ne. Un coleguilla de Dinamarca, le proporciona la clave de acesso del ordenador de una importante empresa de su ciudad...A partir de ahí quie- re descifrar él mismo las claves pa- ra entrar en ordenadores ajenos. Es el gusanillo del hacking. Pero existe otra manera de descri- bir a un hacker: diciendo lo que no es. Un hacker no es un saboteador, no es un espía, no es un ladrón de pro- gramas,no es un informático malicio- so, aunque sí sigiloso. Lo que le mueve, la droga que le mantiene des- pierto por las noches, es el puro placer intelectual de saberse capaz de sortear las más difíciles barre- ras de seguridad que protegen los grandes sistemas informáticos, ya pertenezcan a multinacionales, uni- versidades, centros de investigación o instituciones del Estado.El hacker cuenta sus éxitos por el número de veces que logra un acceso no autori- zado: Una crucecita para apuntar al lado del monitor. Es ese sentido deportivo del hac- king lo que atrae las simpatías del gran público por estos intrépidos espadachines del chip, especie de modernos Robin Hood que,armados úni- camente de un teléfono y un modesto ordenador personal, se atreven a en- frentarse a los millonarios centros de cálculo del Estado y las multina- cionales. Con sus acciones vienen a demostrarnos que la supuesta omnipo- tencia de estas supermáquinas no es para tanto, que a pesar de todos sus dispositivos de seguridad son,al fi- nal, vulnerables. En cierto modo se trata de la íntima y secreta satis- facción del débil al descubrir que el poderoso también tiene su talón de Aquiles. Sin embargo, la imagen inofensiva del hacker está comenzando a resque- brajarse. De hecho, en varios países se empieza a considerar esta activi- dad como un delito de espionaje de datos. La razón hay que buscarlas en cier- tos hechos ocurridos en los últimos años que nada tienen que ver con el romanticismo del David en lucha con- tra Goliat, y que no deberían des- pertar sonrisas de complicidad. Así, al presidente del gobierno belga Wilfried Martens no le hizo ninguna gracia descubrir que un hacker leía su correspondencia privada en el or- denador oficial.Y tampoco se echaron a reír los más de 6.000 usuarios de EEUU cuyos aparatos quedaron inuti- lizados durante semanas enteras por- que a alguien, después de triturar diferentes claves de acceso, se le ocurrió introducir un virus en la red de comunicaciones informáticas INTERNET, caso éste por el cual ha sido procesado su autor, el nortea- mericano Robert Morris. Peor suerte corrieron los adminis- tradores de 135 grandes ordenadores que fueron víctimas del ya legenda- rio caso NASA.Los hackers consiguie- ron un control absoluto sobre los ordenadores: podían almacenar datos a su antojo, modificar las existen- tes, e incluso se dijo que podrían haber modificado las órbitas de al- gunos satélites. La siguiente mala noticia consiguió enfangar aún más la aureola rómantica de los hackers auténticos. Hace varios años fueron detenidos en Alemania 3 jóvenes sos- pechosos de haber facilitado a los servicios secretos soviéticos, la KGB, información reservada sobre la OTAN,que habían obtenido ilegalmente desde sus casas por medio de un or- denador y un módem. Al parecer, la banda que operaba desde 1985, cobra- ba 3.000 dólares (360.000 pts) por cada diskette con datos confidencia- les, entre los que se encontraban las claves de acceso a la base de datos Optimis del Pentágono, a una red de la NASA, al Laboratorio Ató- mico Nacional de los Alamos, en Nue- vo México, y al gigantesco centro de investigación Lawrence Livermore de California, donde se desarrollan al- gunos programas de la guerra de las galaxias. Aquello significó un auténtico ha- chazo (en inglés, hack) para el buen nombre de la comunidad hacker. Desde siempre, sus portavoces han tratado de legitimar las ilícitas incursio- nes, con el argumento de que estás desempeñan la importante función de poner la descubierto aquellos siste- mas informáticos organizados como una tienda de autoservicio pero sin cajeros a la salida. Y todavía más, muchas veces los mismos hackers que descubren un fallo de seguridad co- laboran en subsanarlo.En 1983, miem- bros del Chaos Computer Club de Ham- burgo,Alemania,tal vez la asociación de hackers más organizada y activa del mundo, encontraron un fallo en el sitema de videotex alemán. Como demostración, cargaron en la cuenta de un banco 135.000 marcos (9 millo- nes de pts) en concepto de tasas de utilización,pero a la vez informaron a la prensa de su golpe. En un primer momento la acción cau- só gran revuelo,pero hoy se reconoce que sirvió para que, reforzadas las protecciones, este tipo de desfalcos ya no sean posibles. Y también como estímulo a la reflexión de los ex- pertos en seguridad informática. ¿Pero cómo actuan los hackers? Pa- rece brujería que alguien pueda hus- mear con un sencillo ordenador per- sonal en los grandes sistemas infor- máticos de multinacionales y orga- nismos públicos, aunque estén en la otra punta del mundo. Sin embargo, conociendo mínimamente la organiza- ción de los modernos sistemas de proceso de datos,el misterio desapa- rece en el acto. Un axioma irrevocable:si un hacker invade un ordenador desde el exte- rior, en el fondo es porque se le ha invitado a ello. El teleproceso fun- ciona exactamente igual que una con- ferencia telefónica, por lo que del mismo modo que no se puede llamar a alguien que no tenga teléfono, si un ordenador no está conectado a ningu- na red, ni el más genial de los hac- kers es capaz de invadirlo. Así de simple. Una conexión entre 2 ordena- dores, independientemente de la dis- tancia que les separe, puede reali- zarse a través de la red telefónica o por medio de redes de comunicacio- nes especiales para datos electróni- cos,que entre otras ventajas admiten mayores velocidades de transmisión. Tampoco estos sistemas guardan nin- gún misterio: las redes de datos, al igual que las telefónicas, tambien son públicas.Cualquiera puede firmar un contrato de utilización, pagar los recibos mensuales y emprender el viaje con su ordenador por los veri- cuetos de las redes informáticas. A través de IBERNET (una de las redes de datos españolas) se puede acceder fácilmente a otras del extranjero. Sólo hace falta consultar el listín para ver qué ordenadores son accesi- bles desde cada red. Este sistema de interconexión múl- tiple está propiciando la populari- zación creciente del correo electró- nico.En lugar de escribir las cartas en papel y enviarlas en un sobre franqueado, el remitente instruye al ordenador para que transmita los textos a uno o más destinatarios a través de la línea telefónica o por una red de datos. Las grandes empre- sas e instituciones incluso disponen de redes propias para la distribu- ción del correo: las máquinas impli- cadas utilizan los canales públicos de datos, pero trabajan con su pro- pia estructura administrativa, que es la que decide quién recibe qué datos y por qué camino. Tal método es especialmente apre- ciado por los científicos, pues en su trabajo necesitan intercambiar a diario grandes volúmenes de informa- ción. En todo el mundo,las universidades y centros de investigación han cons- truido redes de ordenadores ramifi- cadas miles de veces. En Europa, la principal red científica se llama EARN (European Academic Research Network,red europea de investigación académica). En EEUU, la red INTERNET conecta entre sí más de 10.000 cen- tros de cálculo de universidades y empresas privadas. La red de cober- tura mundial SPAN (Space Physics Analysis Network, red de análisis de física espacial), construida por la NASA, está especializada en labora- torios de investigación espacial y conecta entre sí más de 1.500 mini- ordenadores científicos VAX. Estas redes tienen además algunos puntos de contacto comunes. Así por ejem- plo, un usuario de INTERNET puede acceder a EARN sin mayor problema. No es de extrañar, pues, que estos sistemas de redes, con sus inumera- bles ordenadores, constituyan un ex- celente campo de batalla para los hackers. El consejo de administración de IN- TERNET llegó en una ocasión a consi- derar la posibilidad de implantar controles de acceso a la misma red, hasta que una mente práctica les abrió los ojos: sería como si los dueños de las casas, por miedo al robo, pusieran vigilantes en la ca- rretera de entrada a la ciudad. Los grandes sistemas, al contrario que un ordenador personal, están a dis- posición de muchos usuarios:diversos terminales, con pantalla y teclado, aprovechan un único procesador cen- tral.Para que los usuarios no inter- fieran entre sí, acaso borrando o examinando (sin querer o a sabien- das) datos confidenciales de otra persona, es necesaria una adminis- tración de los recursos que imponga un orden. El principio es sencillo:cada usu- ario tiene que presentarse al orde- nador con un código de identifica- ción antes de cada sesión de trabajo Así, el ordenador empieza preguntan- do, generalmente en inglés, User id? o Login? El interesado teclea entonces su identificación,e inmediatamente apa- rece la segunda pregunta: Password? El password, la clave de acceso, es una identificación secreta pri- vada. En cuanto ha sido tecleada, el ordenador comprueba si al nombre del usuario le corresponde exactamente esa palabra clave. En caso afirmati- vo,el ordenador le abre sus puertas. Este proceso es el mismo para todos, tanto si se encuentran ante un ter- minal en el centro de cálculo, como si se comunican, a través de una red de datos, desde otro punto del pla- neta. Sólo quien está registrado con nom- bre y password puede utilizar el or- denador. Está claro que, si una de estas claves de acceso, junto con su correspondiente código de identifi- cación, cae en manos de un hacker, éste podrá solicitar los servicios del ordenador en nombre del usuario suplantado. Sin embargo, una simple clave de acceso no permite a un hac- ker hacer cosas terriblemente prohi- bidas. Una vez establecida la comu- nicación con el ordenador, sólo pue- de realizar las mismas operaciones que se le autorizan al propietario legal de esa clave. Y éste también suele tener unos derechos bastante limitados.A cada usuario se le asig- nan unos privilegios que determinan qué puede hacer y qué no. Un usuario normal, por ejemplo, puede consultar el archivo central de clientes y es- cribir sus cartas con el programa de tratamiento de texto. Generalmente también dispone de espacio en los discos para almacenar sus datos. En cambio no le está permitido modifi- car direcciones del banco de datos, leer las cartas de otras personas, ni por supuesto andar triscando en la organización interna del ordena- dor. Generalmente, de esto se encar- gan sólo unos pocos que están en la cima de la jerarquía de privilegios de utilización: los System Managers, también llamados superusuarios. ElP: System ManagerP8 es respon- sable del correcto y ordenado fun- cionamiento del sistema, y por eso está autorizado a hacer cualquier cosa en él: absolutamente todo.Puede borrar, modificar o añadir datos y programas. El es quien determina qué privile- gios tendrán los usuarios subordina- dos.Si un superusuario quisiera abu- sar de su poder,podría cerrar el ac- ceso al ordenador a todos los demás, o mandar a la mierda todos los datos almacenados. Visto esto, es fácil adivinar en qué consiste el máximo placer de un hacker. En primer lugar hay que sor- tear la barrera del código de iden- tificación y del password para en- gancharse a un ordenador. A partir de ahí, el reto reside en conseguir los derechos del System Manager. Si se logra, el ordenador quebrantado se presenta totalmente desnudo y vulnerable, todas las barreras de seguridad se han retirado del cami- no. Ahora el hacker ya puede ponerse los laureles y negarle al superusua- rio el acceso a su propio ordenador, eliminando sus derechos. Especialmente apreciada es la posi- bilidad de utilizar la conexión del sistema a la red como trampolín para comunicarse con otros ordenadores, cargando los costes en la cuenta de la víctima.