Hacking

Hacking

‘Deploy zero- day crashoverride interupt package’.


Man kan let komme til at forveksle virkelighedens hackere med dem, man ser på film og i bøger.

 

Flere af de moderne fremstillinger af hackeren tager udgangspunkt i antihelte, der - som Lisbeth Salander i Stieg Larssons Milennium-bøger - der bruger sine hacker-færdigheder i et personligt vendatta mod uretfærdighed og overgreb.  

 

I andre fremstillinger er hackeren en frihedskæmper - en mellemting mellem hacker og aktivist - der vil bryde de store firmaers og magthaveres dominans. Det ses fx. i Mr. Robot, hvor en hackergruppe ‘fsociety’ forårsager verdensomspændende forandringer ved at gå op imod den korrupte E Corp.

 

Virkelighedens hackere kan imidlertid lige så godt være en mand, der arbejder for NNIT eller en teenager, der hardware hacker nogle lysdioder og en computerblæser til sin egen manga-hekse-spellcaster-gun

For selvom hacking oftest bruges om noget kriminelt og -  så er det lige så meget et mindset og en tankegang, hvor du bruger din viden og dine kreativitet til at løse problemer og udfordre konventioner.

 


Legender og myter

I sin tidlige start fik hacker-kulturen næring via såkaldte bulletinboards (BBS’er), som var små lukkede tekst-universer - en slags primitive forgængere for chat.

 

På tværs af by og land blev der på BBS’erne udvekslet informationer, drøftet hacks og udklækket idéer; og det var bl.a. her den tidligste online-kultur fik sin form og udviklede indforståede koder og udtryksmåder (smileys, lol, etc). Fra ofte at være ensomme, misforståede og afsondrede pga. deres (i omverdenens øjne) sære interesser og verdenssyn, begyndte hackerne at finde sammen i online fællesskaber.

 

Som hacker var man primært bundet til sin identitet i kraft af sit ‘handle’, sit dæknavn, og via navne som Terminus, Dark Dante, Agent Steal, Condor fik hackerkulturen sine egne legender og helte. Hackede man sig ind i  NASA efterlod man ofte sit digitale visitkort, så man kunne sikre sig, at man fik æren.

 

En meget udbredt måde var ‘at deface’ et hacket offers ved at overtage offerets hjemmeside og efterlade en besked á la: ‘Haha, I er for latterlige - og det er jeres sikkerhed også, mvh. Condor.


Ofte blev en hackers virkelige identitet først kendt, hvis han/hun blev grebet på fersk gerning af myndighederne. Det skete bl.a. i 1995, hvor en af verdens kendteste hackere, Kevin Mitnick, blev anholdt for blandt andet at have hacket sig ind i Pentagon.

 

Hacker-fællesskaber
Hacking-begrebet opstod i 60’erne og blev brugt i det vilde og sprudlende pionermiljø, der opstod blandt computerstuderende på Massachusets Institute of Technology (MIT).

 

Her betegnede ‘hacker’ en person, der brugte utraditionelle tilgange til at opsøge og udfordre grænserne - og som utrætteligt  gravede sig ind i dybden (‘hacked away’) af det mulige.

 

Film som ‘War Games’ og ‘Hackers’ gjorde i starten hacker-stereotypen populær. Hackerne var rebeller, den lille mod den store, og byggede blandt andet videre på nogle af de modkulturer og anarkistiske bevægelser, der gik imod og forsøgte at gøre grin med systemet.

 

Var man hacker, var man måske nok en nørd, men man havde pludselig fået en slagkraft og et ståsted i verden.

 


Kevin a.k.a. Condor

Kevin Mitnick begyndte at hacke, allerede da han var 16 og har efter sin anholdelse skrevet flere kendte hacker-bøger, hvor han forklarer og fortæller om hackerens tankegang.

 

Læs fx. The art of deception og The art of invisibility

 

Da Kevin blev sat i fængsel, var regeringen så bange for, hvad han kunne bruge teknologi til, at han i mange år ikke måtte komme i nærheden af noget, der bare mindede om en computer. Det var lidt paradoksalt, da Kevin i mange tilfælde ikke brugte specielt meget teknologi, men i høj grad benyttede sig af  'social engineering'.
 

'Social engineerin'g er basalt set kunsten at kunne bruge et mix af skuespiltalent og menneskekundskaber til at få adgang eller lokke hemmeligheder ud af folk. Det kan fx. være, du kan overbevise en administrator-Lars  om, at du er ansat i virksomheden og 'bare lige har glemt dit password'. Ofte skal der kun lidt uskyldig viden (at du kender til Lars' navn, eller den information, at han kører i en rød Fiat 100 til arbnejde) til for at man overbevisende kan fremstå som en ansat. Til dato er den menneskelige faktor stadig en af de største sikkerhedsrisici og kilder til vellykkede hackingangreb.


Mange mente desuden, at Kevins mangeårige fængselsstraf var uretfærdig, da han hverken gjorde direkte skade eller var finansielt motiveret i det, han gjorde.


I dag - efter at have aftjent sin fængselsstraf - er han på mange måder gået over til den modsatte side. Som mange andre hackere er han endt med at leve af at rådgive virksomheder om deres computersikkerhed og hvordan de skal beskytte sig mod hackerangreb.   

 


Vildere, større og automatisk

Siden Kevin var på banen i midt 90’erne er hackerne, deres forbrydelser ... og bedrifter, vokset i takt med, at computere og it har bredt sig til alle hjørner af tilværelsen. I dag går   hackerne efter alt - lige fra køleskabe, overvågningskameraer, garagedøre, mobiltelefoner, termostater, biler, industrielle komplekser, pacemakere etc.

 

Det er blevet til et kapløb om at finde huller i sikkerheden på software og hardware, og finde lappeløsninger som svar på dem - med producenter og sikkerhedseksperter på den ene side; og kriminelle og hackergrupper på den anden.

 

Samtidig er angrebene gået op i skala. De største hackerangreb benytter i dag såkaldte botnets, hvor mange små enheder hackes til at sende trafik og forespørgsler mod et fælles mål.

I et af de største af den type angreb hældte hackere trafik fra op til 100.000 små devices (webkameraer, printere, babyalarmer osv.) ned over en service, der stod for driften af alt lige fra Amazon, CNN, Playstation Network, Twitter osv.

Så længe angrebet stod på, var det umuligt at besøge hjemmesiderne, og firmaerne mistede store summer i kundetransaktioner etv.

 

Læs fx. Dine husholdnings-apparater kan hackes

Endelig er angrebene i mange tilfælde blevet mere automatiserede. Til forskel fra 80ernes hackere, der brugte deres viden til at bygge hacks op fra bunden, kan du i dag udmærket komme ud for at hacker-angreb foretages af såkaldte ‘script kiddies’, der ikke har den fjerneste tekniske forståelse.  

Script kiddies benytter sig typisk af forprogrammeret hackersoftware, der automatisk gennemløber en række angrebsmanøvrer igennem, uden at brugeren behøver gøre meget mere end at trykke på en knap.

Softwaren kan være gratis eller købes på nettet, men kan ofte gøre stor skade på ældre systemer, der ikke er blevet sikret imod de mest almindelige angreb.


Hacking-industrien

Økonomisk er der da også utroligt mange omkostninger forbundet til at sikre sig imod og udbedre skader der er opstået ifm hacking. Der bruges i omegnen af 2.1 billioner dollars om året,  til udbedring af hackede systemer og tabt data og derudover omsættes der også for rigtig mange penge i lyssky handel, industrispiuonage  og afpresning i hackerrelaterede hændelser.

 

På den mørke underside af nettet - the DARK WEB - kan du fx. købe de nyeste sikkerhedshacks og -sårbarheder. Man taler om de såkaldte zero day exploits - som er de nyeste, friskeste sikkerhedshuller, som kan udnyttes, indtil der er fundet en lappeløsning. De kraftigste og mest saftige sælges ikke sjældent på auktioner til højstbydende, der så kan være nogen af de første til at anvende dem på sårbare systemer..

 

Via DARK WEB kan man også bestille hackerangreb, der skræddersys til lige netop dine behov, købe tusinder af passwords for ca. 100$ eller handle sig til industrihemmeligheder.

 

Faktisk er det sidste et område med store mørketal, fordi en virksomhed typisk ikke vil afsløre, at den har været udsat for industrispionage, da det kan påvirke aktiekursen og tiltroen til dens aktiviteter.

Læs fx. Dark Market - Cybertyve, Cyberpoliti og dig for at få et indblik i cyberforbrydelsernes verden.

 

Omvendt tjener sikkerhedsfirmaer utrolige summer på at prøve at komme hackerne i forkøbet og sikre virksomheder og offentlige systemers data. Og de skal have de bedste konsulenter ansat - ofte er de netop hackerne selv.

 

Det er lidt af et paradoks at jo mere der hackes, jo højere konsulentgebyrer kan hackere selv indtjene. Mange af de dygtigste hackere - ligesom Kevin Mitnick - er derfor ofte endt med at blive ansat hos store virksomheder og hos regeringer, som de selv havde i sigtekornet som hackermål.


Hvilken farve er din hat?

Motivationen for, hvorfor man hacker, er selvfølgelig ikke kun økonomisk. Hacking handler i nogles øjne lige så meget om den intellektuelle udfordring i at bryde ind i et system eller være ideologisk, religiøst eller politisk motiveret.

 

I sikkerhedsbranchen taler man ofte om ‘white hat’, ‘black hat’ og ‘grey hat’-hackere.

 

‘Black hat’ refererer typisk til hackere, der har fjendtlige intentioner og ønsker at skade sit offer -  undertiden for at tjene penge, andre gang for blot at få nogen ned med nakken, som de ikke kan li’.

‘White hats’ - eller etiske hackere - er mere ideologisk orienterede og hacker systemer og teknologi for at forøge systemernes sikkerhed. Når de har hacket sig ind i et stykke software eller en server, orienterer de typisk ejeren om fejlene i sikkerheden, så vedkommende får mulighed for at rette op på dem.

 

I 1984 udgav en af medlemmerne i hackinggruppen ‘Legion of Doom’, Mckenzie Wark, det A Hacker Manifesto, som i dag anses for ledestjernen for, hvordan man opføre sig som etisk eller ‘white hat’-hacker .

 

Der findes imidlertid alle mulige afskygninger imellem de to yderpunkter - sort og hvid - og ofte får de betegnelsen ‘grey hats’.

Anonymous

Hacker-bevægelsen gruppen ‘Anonymous’ er fx svær at placere. Det er for det første ikke en enkeltperson, der står bag handlet ‘Anonymous’, men en gruppe af løst tilknyttede individuelle hackere, der bruger ‘Anonymous’ som afsendernavn for deres hackerangreb.

 

Officielt er gruppens formål at kæmpe for ytringsfrihed og mod censur og misbrug af nettet; men opfattelsen af midlerne man bruger i kampen  - og hvad censur, misbrug og ytringsfrihed er - varierer fra hacker til hacker. Det har gjort det svært at placere ‘Anonymous’ under den ene eller den anden hat..

 

Læs mere om Anonymous i Hacker, Hoaxer, Whistleblower, Spy - The many faces of Anonymous


Militær og politisk kapacitet

På det seneste er hacking og hackere også flyttet ind på det militære domæne. Computere og kode styrer stort set alt i vores moderne samfund, og derfor er it et oplagt mål, hvis man vil gøre skade på nationer, man opfatter som fjendtlige. Dertil kommer, at man nemmere kan slippe afsted med det. I modsætning til et missil er det svært nøjagtigt at sige, hvor en hacker opererer fra.

 

I 2010 brugte en gruppe fremmede hackere således programmet ‘Stuxnet’ til at inficere og nedsmelte de iranske atomcentrifuger. Stuxnet fik kontrolmekanismen til at spinne slyngerne i centrifugen op på en omdrejningsfrekvens, så de smeltede sammen. Det formodes, at det var militære hackere fra Israel og USA, der stod bag denne manøvre.

 

Blandt andet pga. denne udvikling har NATO for nyligt anerkendt cyberspace som ‘operationelt domæne’ på lige fod med krigsførsel på land, vand og i luften. Og efterretningstjenesterne har længe anvendt hackere til at bemægtige sig hemmelig information og påvirke personer, lande og organisationer.


Adskillige nationer menes i dag aktivt at gøre brug af hacker-grupper. Kina, Rusland og USA er blandt de nationer, man er sikrest på har deres egen aktører med ‘License to hack’ (tilladelse til at foretage hacking på vegne af nationen, red.); men man skal ikke være naiv for at tro, at resten af verdens land har rene hænder.

 


Fornem bjørn

Hackergrupperne bruges til at bemægtige sig hemmeligheder, infiltrere organisationer og installere software, der kan kortslutte, kontrollere eller give adgang til vigtig infrastruktur. Blandt efterretningsmiljøerne er grupperne efterhånden så kendte, at de har fået deres egne navne og signaturer (fx. Fancy Bear), fordi man kan genkende deres måde at hacke på.   

 

For nyligt har disse hackere også fået en rolle i forbindelse med at få indflydelse på fremmede nationers valg. Det er formodentlig russiske hacker-grupper, der står bag forsøgene på at påvirke det amerikanske valg i  2016 ved fx at lække hackede oplysninger til WikiLeaks. Kinesiske hacker-grupper formodes også at være aktive på den front.

 

I Danmark er det Forsvarets Efterretningstjeneste og Center for Cybersikkerhed, der står for at sikre nationen mod cyberangreb og -påvirkning. På det seneste har der været fokus på at også Danmark bør gå ind i kampen om at have en offensiv cyberkapacitet, der er i stand til svare igen eller selv foretage angreb i cyberspace.


Den evige krig

Der findes en række websites, der fra dag til dag tracker udviklingen og rapporterer fra frontlinjen af nutidens hackeroperationer. Det er skræmmende og spændende læsning, fordi det er en evigt pågående krig, der foregår HVER dag - alle steder i verden - og på tværs og imellem nationer, virksomheder og kulturer.

Det er næsten blevet et vilkår i det moderne samfund, at det  - der var sikkert i går  -ikke nødvendigvis er sikkert i dag. Samtidig er der noget fascinerende over den utrolige kreativitet og opfindsomhed, der slippes løs på begge sider af kampen - både for at trænge ind i systemerne og for at imødegå angreb.

Det er langtfra en krig uden ofre og det digitale kan meget let få fysiske konsekvenser, som da hackere fx angreb centralvarmen i Finland, i en kold vinter i 2016,  

Er du interesseret i at følge kampen, er her nogle af de websites, der er længst fremme i at rapportere fra frontlinjerne (de fleste på engelsk):

https://thehackernews.com/

https://motherboard.vice.com

https://securityaffairs.co/wordpress/

https://www.theregister.co.uk/security/

https://www.version2.dk/

https://www.zdnet.com/topic/security/

https://krebsonsecurity.com/

https://blog.malwarebytes.com/

https://www.grahamcluley.com/

https://www.bleepingcomputer.com/

Biblioteksvagten Spørg Biblioteksvagten