И.Э.Моисеенков СУЕТА ВОКРУГ РОБЕРТА ИЛИ МОРРИС-СЫН И В...

И.Э.Моисеенков

СУЕТА ВОКРУГ РОБЕРТА

ИЛИ

МОРРИС-СЫН И ВСЕ, ВСЕ, ВСЕ...

Если кому-либо, даже не связанному с удивительным миром вычислительной техники, задать вопрос о том, какая из стран мира достигла наибольших успехов в этой области, то в 99% вам назовут Соединенные Штаты Америки. И это, конечно же, правда. США на сегодняшний день остаются цитаделью компьютерного мира, его мощной основой. Несмотря на значительные усилия других стран, большинство приоритетов в компьютерной области принадлежит американским корпорациям, американским университетам и вообще - чтобы не перечислять всех других американских организаций и лиц - всему американскому обществу - обществу, наиболее близко стоящему к тому качественному порогу развития, за которым это общество сможет с полной уверенностью назвать себя обществом информационным.

Однако за все в этом мире приходится платить и особенно много платить приходится тому, кто идет первым. Поэтому США вместе с лаврами лидера приобрели массу серьезных и сложных проблем, причем не только научных или технических, но и социальных. За примерами ходить далеко не надо: феномены компьютерной преступности, компьютерных вирусов, компьютерной субкультуры хакеров, усиливающаяся зависимость жизненно-важных государственных и общественных структур от надежности аппаратных средств и правильной работы программ - все это реалии сегодняшнего дня развитых в компьютерном отношении государств и прежде всего - США. Так что лидерство какого-либо общества (или, если хотите, государства) в какой-либо области подразумевает в немалой степени способность этого общества быстро реагировать на неизбежно возникающие трудности и проблемы, аналогов решения которых в мире просто не существует.

Те, кто идет следом за лидером, учатся на его опыте, стараются избежать его ошибок, используют успешно использованные им методы. Это вобщем-то и понятно - рано или поздно все идущие в одном направлении сталкиваются примерно с одними и теми же проблемами, если, конечно, кто-либо из идущих не начинает претендовать на собственный "уникальный" - путь, чреватый, естественно, собственными "уникальными" синяками и шишками. Право, имеет смысл хорошенько подумать, стоит ли изобретать велосипед, если затем придется ездить на велосипеде соседа.

стр. 3

A Что было до этого.

"I remember the good old days, when

computers were mainframes, analysts were

magicians, and programmers punced

cards..." [A1]

Philip Fites, Peter Johnston, Martin Kratz

"Computer viruses crysis"

"Поражает равнодушие, с каким люди до

сих пор воспринимают факты атак систем

безопасности (будь то несанкционированный

доступ, использование неразрешенных

привилегий, "троянские кони", или

общеизвестные вирусы) пока относительно

безвредные, чем и оправдывают отсутствие

интереса. Я думаю, что должно случиться

нечто по последствием сравнимое с Чернобылем

или Тримайл Айлендом, чтобы проснулось

большинство нашего общества."

Петер Ньюман, дайджест RISKS_FORUM.

В принципе, к тому, что произошло в ноябре 1988 года, вела вся история развития вычислительной техники, однако излагать ее целиком смысла не имеет, поскольку дело это весьма долгое, хотя и очень занимательное. Поэтому мы остановимся лишь на отдельных фактах, имеющих непосредственное отношение к описываемым далее событиям.

Итак...

...1969 год. По инициативе Управления перспективных исследований Министерства Обороны США - Defense Advanced Research Projects Agency; DARPA - в США создается локальная вычислительная сеть, получившая название Advanced Research Projects Agency NETwork - Arpanet. [A2] Эта сеть создавалась в интересах исследователей в области вычислительной техники и технологии для обмена сообщениями, а также программами и массивами данных между крупнейшими исследовательскими центрами, лабораториями, университетами, государственными организациями и частными фирмами, выполняющими работы в интересах Министерства Обороны США ( Department of Defence of USA; DoD).

Arpanet быстро завоевала симпатии ученых и инженеров, поскольку трудно переоценить возможность быстрого обмена данными при ведении совместных работ подрядчиками Пентагона, удаленными друг от друга на весьма приличные расстояния вплоть до ситуации, когда абоненты сети располагались в противоположных концах страны: например,

______________________________

[A1] "Я помню добрые старые времена, когда компьютеры были большими, аналитики считались волшебниками, а программисты перфорировали карты..."

Филипп Файтс, Петер Джонстон, Мартин Кратц

"Кризис компьютерных вирусов"

[A2] Сеть управления перспективных исследований.

стр. 4

Массачусетский технологический институт (Massachusets Institute of Technology, или просто MIT), находящийся в Калифорнии и Корнеллский университет, расположенный в штате Нью-Йорк (запомните эти названия!). Быстрая и качественная связь, базирующаяся, конечно, на прекрасно развитой сети телефонных линий связи США, весьма существенно влияла на ход разработок, повышая их эффективность и сокращая затрачиваемое время. Если учесть легкость доступа пользователей к сети через относительно простую систему паролей, а также то, что работа с сетью велась на основе понятных даже непосвященным в таинства компьютерных систем операционных команд, станет понятной та популярность, какую Arpanet приобрела среди ученых.

Финансирование этой сети осуществляет Пентагон, но вряд ли следует считать Arpanet милитаристской системой типа СОИ; в конце концов, эту сеть использовали - и используют - обычные ученые и исследователи для обмена научной и технической информацией, конечно, в определенной степени важной, но даже не секретной.

Однако наивно было бы предполагать, что Пентагон из-за каких-либо соображений станет заниматься благотворительностью и за просто так станет выкладывать отвоеванные у Конгресса денежки на финансирование переговоров между университетами, фирмами и т.д. Военные не остались внакладе, поскольку сеть Arpanet с помощью специальных команд могла быть логически "разделена" на подсети. Именно таким образом в 1983 году в интересах военной связи (но для обмена несекретными сообщениями) из состава сети Arpanet была выделена подсеть, получившая название Military Network - "военная сеть" - Milnet.

Процесс объединения отдельных вычислительных систем в сети стал одним из магистральных направлений развития вычислительной техники. Помимо Arpanet в США в настоящее время работает масса других сетей: фирмы - разработчики вычислительной техники и программных средств имеют собственные внутренние локальные вычислительные сети; вычислительные системы банков активно объединяются в сети использовать в работе вычислительную сеть стало для американцев признаком хорошего тона. Сети стали использоваться для связи вычислительных систем, находящихся в различных странах мира (!): например, американская сеть Национального Научного Фонда NSFnet, объединяет около 2000 систем по всему свету.

Набирающий силу процесс интеграции вычислительных мощностей вполне последовательно привел к идее объединения различных сетей друг с другом в своего рода суперсеть - такой "сетью сетей" в Америке стала сеть Science Internet или просто Internet, ныне объединяющая 1200 сетей (!) по всей Америке и имеющая выход на европейские вычислительные сети через систему Лондонского университета! В совокупности под эгидой Internet работают около 500 000 вычислительных систем. Такое трудно даже представить! Еще более сложно представить, что все ЭТО успешно работает на благо цивилизованного человечества.

Осмысление интеграционных процессов в компьютерном мире вылилось в создание модели "взаимодействия открытых систем" - OSI; Open Systems Interconnection, - реализация которой позволила бы обмениваться информацией вычислительным системам различных производителей, и, соответственно, различной архитектуры. Модель OSI была предложена Международной организацией стандартизации [A3] в 1970 году и представляет собой семиуровневый набор протоколов, полностью определяющих и стандартизующих процесс передачи данных. Концепция OSI

стр. 5

гарантирует, что локальная сеть, использующая один из стандартных протоколов для каждого из семи уровней модели, будет работать совместно с другими сетями данного стандарта.

Естественно, в реализации такой модели весьма заинтересованы все, кто использует вычислительную технику - а на "диком" Западе ее используют практически везде. Всеобщая реализация модели "открытых систем" стало бы основой формирования информационного общества. Модель OSI поддерживается большинством основных фирм-производителей компьютеров и сетей, а также многими крупными потребителями сетей, в том числе и правительством США.

В стороне от этих проблем не мог остаться и Пентагон, чутко улавливающий тенденции в мире науки и техники благодаря своим весьма компетентным консультантам. Прозорливость, с которой американское военное ведомство подминает под себя перспективные разработки, вкладывая в них немалые силы и средства, вызывает уважение. Так именно по заказу DoD был разработан один из трех наиболее распространенных протоколов транспортного уровня модели OSI, получивший название TCP/IP [A4], реализованный на практике в сетях Arpanet и Internet.

Однако блестящие перспективы информационного общества несколько поблекли в последние годы в связи с появлением компьютерных вирусов, названных "чумой информационной эры". Поскольку интеграция вычислительных систем повышает их уязвимость для вирусов, некоторые эксперты считают, что "век информатики" может закончиться крахом концепции "открытых систем".

Компьютерные вирусы - тема для отдельного очень интересного и очень длинного разговора. Касаясь этой темы, постоянно ловишь себя на непреодолимом желании пофилософствовать насчет влияния вирусов на развитие вычислительных систем.

В последнее время компьютерные вирусы приобрели чрезвычайную известность в самых различных слоях общества: специалисты серьезно изучают эту проблему; разработчики ломают голову над созданием все более изощренных средств защиты; программисты и администраторы систем, жутко ругаясь, отлавливают вирусы в своих системах; большинство пользователей находятся в состоянии благоговейного ужаса перед одним упоминанием вирусов вслух, а вся остальная масса простых смертных, непосвященных в таинства компьютерного мира, с полным непониманием, но тем не менее с большим интересом типа "Ну надо же!", периодически читают в газетах маленькие заметки о "кровожадных" компьютерных вирусах, неизвестно откуда нападающих на ЭВМ.

Вообще феномен компьютерных вирусов стоит перед компьютерным обществом давно, во всяком случае первое официальное сообщение об этом явлении относится к 1978 году, хотя и эту дату нельзя считать днем рождения проблемы.

______________________________

[A3] ISO - International Standards Organization - официально размещается в Женеве. Представителем ISO в США является Национальный институт стандартизации - American National Standards Institute ANSI.

[A4] Transmission Control Protocol/Internet Protocol - протокол управления передачей и взаимодействия между сетями.

стр. 6

Сам термин "вирус" в отношении определенного вида компьютерных программ впервые употребил Фред Кохен в 1984 году на конференции по вопросам безопасности компьютерных систем в докладе о своих исследованиях. Своим названием компьютерные вирусы обязаны определенному сходству с вирусами естественными: способности к саморазмножению; высокой скорости распространения; избирательности поражаемых систем (каждый вирус поражает только определенные системы или однородные группы систем); способности "заражать" еще незараженные системы; трудности в борьбе с вирусами и т.д. В последнее время к этим особенностям, характерным для вирусов компьютерных и естественных, можно добавить еще и постоянно увеличивающуюся быстроту появления модификаций и новых поколений вирусов. Только если в случае вирусов естественных эту скорость можно объяснить могуществом и изобретательностью природы, то вирусы компьютерные обязаны скоростью возникновения новых штаммов исключительно недосмотру или бредовым идеям людей определенного склада.

Однако серьезного отношения компьютерные вирусы потребовали к себе относительно недавно; настолько недавно, что американский институт стандартов до сих пор не дал четкого определения компьютерного вируса, благодаря чему в трудах и работах специалистов-компьютерщиков царит полнейший плюрализм в трактовке этого термина. Лично я придерживаюсь определения, данного в книге "Кризис компьютерных вирусов":

Компьютерный вирус - программа, производящая в вашей

компьютерной системе действия, в которых вы не нуждаетесь и о

которых не подозреваете.

Попадая тем или иным способом в компьютерную систему, вирус в общем случае самокопируется в различные места системы, а затем - либо одновременно с этим - производит в системе изменения, в лучшем случае не приводящие к катастрофическим последствиям - вроде высвечивания на экране терминала некоторого сообщения, - а в худшем делающие вашу систему неработоспособной.

В широком потоке литературы по проблеме вирусов, хлынувшей в последнее время на нас, приводится масса классификаций и описаний вирусов, так что интересующихся этой проблемой всерьез я с чувством глубокого облегчения отсылаю к специальным публикациям, большей частью, правда, далеких от совершенства и законченности. Однако с этого момента считаю, что имею дело с людьми, достаточно хорошо представляющими, что такое компьютерный вирус, чтобы не примешивать к этой проблеме какие-либо потусторонние силы. Компьютерные вирусы - в отличие от вирусов естественных - полностью дело ума и рук человеческих, поэтому их можно - и нужно! - изучать, анализировать и успешно бороться с ними.

Специалисты классифицируют вирусы по самым различным признакам, что вносит определенную неразбериху: по степени опасности производимых вирусом действий; по способу проникновения вируса в системы; по длине; по местам размещения вируса в системе и т.д.

стр. 7

Имея в виду последующее изложение, я остановлюсь только на одной характеристике вирусов, позволяющей разбить все их множество на две пока неравноценные по мощности группы - на автономности вирусов.

Большинство вирусов паразитирует на конкретных программах или файлах - "своих" для каждого вируса, - присоединяя свое тело к телу программы или к определенным файлам, гарантированно присутствующим в инфицируемой системе. Аналогично, большинство вирусов имеет собственные "излюбленные" места в инфицируемой системе, в которых вирус размещается сразу после проникновения в систему. Знание этих особенностей, уникальных для каждого семейства вирусов, значительно облегчает обнаружение вирусов в системе и борьбу с ними. Собственно это "большинство" вирусов и называется вирусами в общепринятом понимании этого термина. Вполне понятно, что отсутствие в системе пользователя какого-либо программного продукта на 100% гарантирует, что система не будет поражена вирусом, паразитирующим именно на этой программе. Хуже обстоит дело с вирусами, нацеленными на системные программы и файлы, однако именно эта нацеленность облегчает борьбу с заразой.

Но есть относительно небольшая - пока, и далее я объясню почему группа программ, которые с полной уверенностью можно отнести к вирусам в соответствии с приведенным выше определением, отличающихся повышенной степенью автономности в своей работе - так называемые "черви".

Если обычный вирус активизируется при запуске пользователем программы, на которой паразитирует вирус или при отработке системой конкретных событий - например, прерываний, - то червь самостоятельно управляет запуском своих копий.

Если обычный вирус размещается в более-менее определенных местах системы, то место размещения в системе червя предсказать крайне сложно, поскольку ему все равно, где размещаться - было бы достаточно места.

Черви нацелены не на конкретные программы или файлы, а на системы конкретной архитектуры. Черви гораздо опаснее вирусов именно в силу своей автономности, т.е. независимости от наличия в поражаемых системах некоторых уникальных условий, например, наличия определенных файлов.

Платой за повышенную автономность является повышенная сложность червя как программы и, как следствие, значительно больший, нежели у обычных вирусов, размер. Обычно черви состоят из нескольких модулей сегментов - кода, слишком больших, чтобы быть спрятанными в файлах операционной системы. Однако этот "маленький" недостаток с лихвой окупается размером ущерба, который может причинить червяк, поскольку догадаться о наличии в системе именно червя, локализовать его и бороться с ним, по сравнению с обычными вирусами, сложнее.

Появление, развитие и быстрое распространение вычислительных сетей вызвало к жизни подвид червей - так называемых "сетевых червей". Сетевые черви - еще более сложное образование. Они характерны тем, что распространяются по сети, используя для распространения сетевые средства коммуникации - "электронные почты" всевозможных видов, специальные сетевые утилиты и т.д - и используют атакуемые узлы в собственных интересах (для саморазмножения и дальнейшего распространения по сети). При этом очень быстро наступает полная

стр. 8

блокировка сети.

Первые исследования и эксперименты с сетевыми червями были проведены на сети Ethernet в исследовательском центре фирмы Xerox в Пало Алто. Червь в этих экспериментах существовал в виде сегментов, выполнявшихся на разных узлах сети под управлением головного сегмента. При этом четко проявилась опасность этого вида червей, поскольку в процессе работы червь мог затирать своей информацией страницы памяти инфицируемых систем, что неминуемо вело к остановке последних.

Специалисты, должно быть, уже поняли, что сетевые черви являются побочным - и вряд ли ожидавшимся - детищем исследований в области распределенной обработки информации.

Но отчего же все-таки проблема вирусов - в основном в плане борьбы с ними - приобрела в последнее время такое значение? Насколько и чем оправданы усилия нашей компьютерной братии от пользователей до профессионалов, затрачиваемые на изучение и борьбу с компьютерной заразой?

Причин такого положения дел достаточно много, но главных, пожалуй, две:

- во-первых, деятельность большинства вирусов изначально

небезобидна: большинство вирусов либо сознательно рассчитано

на повреждение или искажение используемых в вычислительной

системе данных и программ (в том числе и системных), либо

допускает подобные эффекты вследствие своей работы;

- во-вторых, масштабы распространения вирусов самым

непосредственным и теснейшим образом связаны с масштабами

распространения технического чуда последнего десятилетия

персональных компьютеров.

Немного поясню.

Первое утверждение очевидно: вряд ли кто-нибудь из нормальных людей добровольно согласится на то, чтобы продукт его труда - иногда весьма длительного, - был уничтожен или безнадежно испорчен буквально в мгновение ока. Учитывая все возрастающую зависимость деловых, финансовых, правительственных и военных кругов от предоставляемых компьютерами услуг, становится понятным ужас и ненависть, испытываемые этими кругами по отношению к компьютерным вирусам.

Ситуация подогревается также тем, что внедрение вирусов в системы происходит зачастую через "дыры" в подсистемах безопасности, а это не может не волновать разнообразные органы, которые у нас называют компетентными. Поскольку эти органы весьма заботятся о сохранности своей информации, они справедливо считают, что если вирус пролез в "дыру", то почему бы в эту же "дыру" не пролезть кому-либо из племени любопытных длинноносых варвар. Взять тот же вирус: отчего бы ему не быть запрограммированным на то, чтобы, пробравшись незамеченным в систему компетентного органа, разместиться в самом дальнем и укромном уголке и, продолжая оставаться незамеченным для хозяев, не разрушать хозяйские данные, а периодически посылать их своему разработчику.

стр. 9

Чувствуете прелесть! Само собой разумеется, насколько такая перспектива желательна компетентным органам одной стороны, настолько она ненавистна компетентным органам стороны другой.

Вторая причина популярности компьютерных вирусов менее очевидна, но от этого ничуть не становится менее истинным тот факт, что наблюдаемое в последнее годы глобальное распространение вирусов - и сопутствующих им проблем - во многом определяется массовым выпуском и распространением микрокомпьютеров, которые наиболее беззащитны для вирусов в силу стандарности своей архитектуры и архитектуры математического обеспечения.

Большие системы практически не имеют проблем с вирусами в силу своей уникальности, обеспечиваемой тем, что, во-первых, каждая большая система проходит стадию генерации, во время которой многочисленные системные параметры образуют уникальное сочетание; во-вторых, большие системы имеют хорошо развитые подсистемы разделения доступа и защиты, что является серьезным препятствием для вирусов и позволяет легко обнаруживать источник заражения.

Легко заметить, что микросистемы в большинстве своем лишены уникальности. Именно стандартность является и преимуществом микросистем, обусловившим их широкое распространение, и их проклятием, поскольку вирус, возникший в одной системе, без труда поражает соседнюю, так как по архитектуре обе системы похожи как две капли воды.

Теперь понимаете какое значение для усугубления проблемы компьютерных вирусов имело начатое в августе 1981 года фирмой IBM серийное производство персональных компьютеров - знаменитых IBM PC! Ведь легкость серйиного производства и относительная дешевизна персоналок - прямое следствие их стандартности! Хотя с другой стороны, доступность и понятность персоналок для пользователей-непрофессионалов - тоже следствие стандартности.

Но этого мало. Непонятно почему, но люди всегда стремились облегчить вирусам - и естественным, и компьютерным - их черное дело. Например, обычная чума: не тем ли объясняется ее массовость и скорость распространения, что люди издавна стремились жить как можно ближе друг к другу, вследствие чего появлялись стоянки, поселения, деревни, города и т.д.О СПИДе я уже не говорю: попробуйте, уговорите людей воздержаться от общеизвестного способа его распространения!

Аналогично и с "электронной чумой", как называют вирусы.

Итак извечное стремление человеческое пообщаться с себе подобными привело к появлению многомашинных систем - компьютерных сетей. Кроме того, люди во многом схожи, поэтому ничего нет удивительного в том, что в разных концах света пользователи работают с одними и теми же удачно созданными программами и системами. Примером этому может служить победоносное шествие по миру операционной системы UNIX (и ее аналогов) и компиляторов языка C.

Операционная система UNIX, появившаяся на свет в 1969 году, является детищем двух талантливых - судя по самой UNIX - программистов К.Томпсона и Д.Ричи [A6], работавших в Bell Laboratories - филиале всемогущей American Telephon & Telegraph (AT&T), кстати долгое время державшей монополию на сети связи в США. UNIX замышлялась как операционная система для внутренних нужд, которая должна была быть достаточно проста в использовании, дружественна по отношению к

стр. 10

пользователям и как можно меньше зависящей от типа машин, на которых она будет работать. Кроме того, UNIX разрабатывалась как многопользовательская система и потому имела неплохую систему разделения доступа, базирующуюся на парольной защите.

Успех системы превзошел все ожидания. UNIX мгновенно завоевала симпатии пользователей, что позволило AT&T значительно усилить свои позиции на рынке. UNIX для ATamp;T стал настоящим Клондайком, компьютерным Эльдорадо. Быстро стали появляться усовершенствованные версии системы: 1975 год - UNIX V6, 1976 год - UNIX V7 (первая "базовая" версия), 1982 год - UNIX System III, 1984-85 год - UNIX System V. Появляются аналоги UNIXа - GENIX, XENIX, Ultrics, VENIX, PC-IX. Лавры разработчика пожинал также и калифорнийский университет в Беркли, разработавший UNIX 4.0, 4.1, 4.2 и т.д. Ах, если бы они знали, какую шутку уготовил им 1988 год!

Таким образом, тенденция к объединению разнотипных систем в сочетании с появлением на рынке и широким распространением системы UNIX и компиляторов языка C (в силу их комфортабельности для пользователя) еще более усложнили "эпидемиологическую" обстановку в компьютерном мире, создав буквально питательную среду для вирусов всех мастей. Как обычно, всю опасность положения сознавала лишь незначительная часть специалистов, во всеуслышание предупреждавших, что пренебрежение пользователей вопросами обеспечения хотя бы собственной безопасности даром не пройдет. Но, как известно, пока гром не грянет...

...Да! Чуть не забыл: летом 1988 года в AT&T Bell Laboratories работал студент последнего курса одного из американских университетов. И занимался он не чем иным как "перепиской программ системы безопасности для большинства компьютеров, работающих под управлением операционной системы UNIX". В принципе ничего особенного - для Америки и вообще цивилизованных стран - в этом не было: мало ли студентов работают в солидных корпорациях, лабораториях и учреждениях, приобретая практический опыт и обеспечивая себе рабочие места в этих организациях, - если бы этот факт не был через несколько месяцев упомянут в "Нью-Йорк Таймс" в связи с событиями, потрясшими всю Америку (по крайней мере, ту ее часть, которая имеет отношение к компьютерам). [A8]

______________________________

[A6] Кен Томпсон возглавлял группу разработчиков, создавших в 1969 году ассемблерный вариант UNIX. При этом преследовалась цель создания удобной операционной обстановки для проведения исследовательских работ в области программирования; а сама система предназначалась для машины PDP-7 фирмы DEC - представителя семейства машин, широко распространенных в научных и исследовательских центрах страны, что подготовило почву для победного шествия UNIXа по Штатам.

Деннис Ричи подключился к проекту позже, однако во многом ему обязана рождением в 1972 году коммерческая версия системы, написанная на высокоуровневом языке C.

Кстати, язык C тоже появился в AT&T и тоже как разработка для внутренних нужд. Ядро системы UNIX состоит примерно из 10000 строк на C и еще 1000 строк на языке ассемблера.

стр. 11

B Как это было.

"Сейчас 3:45 AM, среда (sic) 3 ноября

1988 года. Мне все надоело, я не могу

поверить в то, что произошло..."

Из сообщения Клиффа Столла,

переданного по электронной почте

Dockmaster.ARPA.

...Гром - вирусная атака, названная компьютерными экспертами величайшим нападением на национальные компьютеры из когда-либо случавшихся - грянул 2 ноября 1988 года.

Абсолютно точную последовательность событий в настоящее время восстановить практически невозможно, поскольку, во-первых, во время самой атаки все были заинтересованы прежде всего в быстрой локализации и удалении вируса, а никак не в подробной регистрации фактов [B1]; и, во-вторых, потому, что вирус быстро заблокировал атакуемые вычислительные сети, в результате чего прервалась связь между пользователями.

Но можно попытаться представить примерную картину распространения вируса на основании сообщений, проходивших в компьютерных сетях, не подвергшихся нападению, и многочисленных публикаций в прессе. В частности, представляют интерес сообщения, проходившие во время атаки по электронным почтам VIRUS_L (далее VIR) и RISKS_FORUM (далее RISKS) [B2].

Специалисты старшего поколения утверждают, что сообщения, проходившие в сетях во время вирусной атаки, очень напоминают сообщения о вражеских боевых действиях, поступавших по связи во время Второй мировой войны. Во всяком случае, эти сообщения позволяют ощутить полную беспомощность, царившую во время вирусной атаки в различных узлах сети, примерно оценить возможность пользователей понять, что же происходит и сделать выводы относительно требований к системе оказания помощи в подобных ситуациях.

Итак, 2 ноября 1988 года, среда.

17:00 Вирус обнаружен в Корнеллском университете (Нью-Йорк).

21:00 Вирус обнаружен в системах Стэнфордского университета и фирмы

______________________________

[A8] 5.11.1988, статья Джона Маркоффа "Author of Computer 'Virus' is son of USA Electronic Security Expert".

______________________________

[B1] Что, кстати, сильно затруднило потом работу следствия.

[B2] Полное название - "Forum on Risks to the Public in Computers and Related States: ACM Committee and Public Policy". Организован Петером Ньюманом.

Обзоры этих сообщений, используемых, в частности, и в настоящей статье, были опубликованы в нескольких номерах журнала "Computer &Security" в начале 1989 года.

стр. 12

Rand Corporation (Калифорния).

22:00 Вирусом поражена система университета в Беркли (Калифорния).

23:00 Вирус обнаружен специалистами отделения математики

Принстонского университета (Нью-Джерси).

Сначала все обнаружившие вирус подумали, что это очередной инцидент, касающийся только их системы. Никто естественно представить себе не мог, какие масштабы примет эпидемия через несколько часов. Тем не менее администраторы атакованных систем послали сообщения о происшедшем.

23:28 В электронной почте VIRUS_L прошло первое сообщение о

вирусе. Сообщается, что атакованы университеты в Дэвис и

Сан-Диего, Ливерморская лаборатория имени Лоуренса и

исследовательский центр НАСА [B3] (все в Калифорнии). Вход

вируса идентифицируется как SMTP. Атакуются все системы 4.3 BSD

и Sun 3.x. Отмечается, что вирус распространяется по каналам

TELNETD, FTPD, FINGER, RSHD и SMTP [B4].

23:45 Вирус обнаружен в исследовательской лаборатории

баллистики. [B5]

Постепенно стало проясняться, что одни и те же признаки поражения вирусом наблюдают пользователи, находящиеся в разных концах страны. Учитывая совпадение событий по времени, был сделан вывод, что национальные компьютерные системы атакованы одним и тем же вирусом, распространяющимся через сети, поскольку иным способом распространения нельзя было объяснить скорость, с которой вирус появлялся в различных концах США, если, конечно, не предположить, что все происходящее результат заранее спланированной и хорошо подготовленной акции некой преступной группы, имеющей доступ ко всем национальным системам. Жизнь администраторов американских систем после установления этого факта, как говорится, переставала быть безинтересной!

Для пользователей и системных администраторов атакованных узлов сетей поведение вируса было непостижимым. В некоторых системах в директории /usr/tmp появлялись необычные файлы; в журнальных файлах ряда утилит появлялись странные сообщения. Наиболее примечательным, однако, было то, что все более и более повышалась загрузка систем, приводившая в конце концов либо к исчерпанию свободного места, выделенного под свопинг, либо к переполнению системной таблицы процессов - в любом случае это означало блокировку системы.

Исходя из названия сетей, в которых вирус был обнаружен, его тут же окрестили вирусом Milnet/Arpanet. Вскоре, однако, выяснилось, что вирус из Arpanet благополучно перекочевал в сеть Science Internet - и он тут же получает название "вирус Internet". Но после того, как Корнеллский университет высказал косвенно доказанное предположение, что вирус, вероятно, разработан в его стенах, вирус получает наконец одно из наиболее распространившихся, благодаря стараниям прессы, название - вирус Cornell/Arpanet. Это название вируса появилось в двух передовых статьях и последующей серии заметок Джона Маркофа, Лоренца М. Фишера, Мишеля Вайнеса, Джеффа Герса и Калвина Симса [B6], опубликованных в "Нью-Йорк Таймс" с 4 по 17 ноября 1988 года.

стр. 13

Вообще для специалистов оказалось приятным сюрпризом то, насколько подробно и грамотно пресса комментировала события. Филипп Гарднер - полковник в отставке, специалист по безопасности компьютеров - написал по этому поводу: "Казалось, репортеры точно знали, у кого можно получить достоверную информацию, и, кроме того, они делали хорошие выводы из того, что эти лица говорили. Это тем более приятно в условиях, когда мы становимся, к несчастью, свидетелями ненормальной тенденции к росту числа 'экспертов' в среде самих журналистов."

Наступило 3 ноября, четверг.

01:00 Сообщения о заражении 15-ти узлов сети Arpanet.

02:00 Поражена вирусом система Гарвардского университета

(Массачусетс).

03:30 Вирус обнаружен в Центре Массачусетского технологического

института (Massachusets Institute of Technologies; MIT).

03:46 В сообщении, прошедшем в электронной почте RISKS, уточняется,

что атакуются системы UNIX - 4.3 BSD - и аналогичные ей Sun,

работающие на компьютерах VAX фирмы DEC и компьютерах Sun фирмы

Sun Microsystems Inc. Сообщается также, что вирус

распространяется через дыры в системе безопасности утилиты

электронной почты Sendmail, имеющейся в составе указанных систем.

04:00 Поскольку сеть перегружена, распространение вируса

замедляется; к этому моменту заражены уже более 1000 узлов сети.

05:15 В университете Карнеги-Меллона в Питтсбурге (Пенсильвания) из

100 компьютеров, подключенных к Arpanet, вышло из строя 80.

08:00 Сообщение о вирусе из астрофизического центра Smithonian.

Впоследствии возникло несколько версий относительно того, как именно и кем был обнаружен вирус.

Согласно первой, вирус был обнаружен в ночь со 2 на 3 ноября 1988 года одним из научных сотрудников Ливерморской лаборатории им.Лоуренса. Обращаясь со своего домашнего терминала к вычислительной

______________________________

[B3] Соответственно, Lawrence Livermore Laboratory и NASA's Aimes Research Center.

[B4] SMTP расшифровывается как простой протокол передачи почты Simple Mail Transfer Protocol; FTP - как протокол передачи файлов File Transfer Protocol; а TELNET является названием протокола эмуляции терминала. Эти протоколы являются подпротоколами TCP/IP, созданными для реализации соответствующих функций.

[B5] Army Ballistic Research Laboratory.

[B6] John Markoff, Lawrence M. Fisher, Michael Wines, Jeff Gerth, Calvin Sims.

стр. 14

системе лаборатории, он заметил необычное повышение интенсивности ее загрузки. Заподозрив неладное, сотрудник сообщил об этом дежурному оператору и тот (очевидно руководствуясь инструкцией) сразу же отключил систему от сети Science Internet, по которой распространялся вирус.

Специалисты Ливерморской лаборатории действительно могли одними из первых обнаружить вирус. Дело в том, что эта лаборатория, проводившая исследования по программе СОИ и разработку новых видов ядерного оружия, в мае 1988 года уже сталкивалась с вирусом, после чего, по всей видимости, были приняты дополнительные меры предосторожности и повышена бдительность.

Немедленно об инциденте было сообщено Управлению связи МО США (Defence Communication Agency; DCA), в ведении которого находится сеть Arpanet. В три часа ночи о вирусной атаке узнало руководство DoD. Однако, несмотря на оперативность извещения, локализовать вирус в сети было уже невозможно.

По второй версии извещение о появлении вируса было отправлено неизвестным лицом по компьютерной сети вместе с инструкцией по его уничтожению. Но сеть была перегружена и очень многие вычислительные центры не сразу приняли сигнал. Когда же, наконец, на сообщение обратили внимание, было уже поздно.

Согласно третьей версии первыми обнаружили неполадки в вычислительной системе специалисты MIT. Внимание ответственного за безопасность вычислительноо центра привлекло необычное поведение компьютера. Машина интенсивно функционировала, хотя в данное время на ней никто не работал, на дисплей никакие данные не выводились. Через несколько минут вся память системы была забита, и система вышла из строя.

Неполадки в работе систем зарегистрировали не только люди, но и процессоры вычислительных систем. Они начали передавать в сеть сообщения о том, что не в состоянии принимать новые данные вследствие переполнения памяти. Благодаря этому центры некоторых научно-исследовательских институтов вовремя отключились и сумели избежать заражения.

Так, одно из учебных заведений шт.Нью-Джерси - Stevens Institute of Technology, получившее предупреждение, успело изолировать свою ЭВМ и блокировать доступ вирусу.

Вскоре выяснилось насколько серьезный удар был нанесен.

Во-первых, вирус распространялся через компьютерную сеть с чудовищной быстротой - следствие быстродействия узловых систем и хорошего состояния линий связи в США.

Во-вторых, в результате работы вируса блокировалась как сеть, так и атакованные системы, останавливавшиеся вследствие переполнения памяти и/или превышения допустимого предела загрузки. Весь ужас заключался в том, что пока до администраторов систем доходило, что их системы подверглись нападению, они начисто лишались возможности что-либо предпринять, поскольку теряли доступ к перегруженной системе.

стр. 15

В-третьих, инфицировалась операционная система UNIX Berkeley 4.3 - одна из самых популярных версий UNIX, в силу наличия в ней электронной почты и удобных отладочных средств. Это было тем более непонятно, если учесть, что UNIX - система многопользовательская и к тому же имеет систему защиты, основанную на идентификации каждого пользователя с помощью паролей. С этим сталкивались впервые.

Атака шла по наиболее популярным среди пользователей страны сетям, включая сеть Пентагона, и расчитывалась на поражение одной из самых популярных операционных систем - каково!.

Неудивительно, что среди администраторов систем началась настоящая паника. Многие из них не сумели или не приложили - иногда в течение нескольких дней - должных усилий к тому, чтобы связаться с другими пострадавшими, а попросту лишили пользователей возможности работать с их машинами. В результате за несколько минут они лишились не только своих машин, к которым запретили доступ, но и других машин Internet, с которыми они не могли работать до конца восстановления.

Стало понятно, что если вирус не остановить, то последствия могут быть самые нежелательные. По всей стране пользователи затаили дыхание, боясь подумать, что произойдет, если вирус запрограммирован на уничтожение или повреждение данных (а это было весьма вероятно).

Через 5 часов вирус инфицировал от 435 до 800 систем, а всего в течение полутора-двух суток (2-3 ноября) поразил около 6000 компьютеров. Среди пострадавших - помимо уже упомянутых - оказались системы Агентства национальной безопасности и Стратегического авиационного командования США; лабораторий NASA (в частности Jet Propulsion Laboratory; а в вычислительном центре NASA в Хьюстоне компьютерный вирус чуть было не затронул систему управления запусками кораблей многоразового использования Shuttle, но ее удалось вовремя отключить) и Лос-Аламосской национальной лаборатории; исследовательских центров ВМС США (Naval Research Laboratory, Naval Ocean Systems Command) и Калифорнийского технологического института; крупнейших университетов страны (в Висконсинском университете из 300 систем было "выбито" 200) и бесприбыльного "мозгового центра" SRI International; а также ряда военных баз, клиник и частных компаний.

Анализ, проведенный специалистами, показал, что схема распространения компьютерного вируса была примерно следующей: сеть Arpanet - Milnet - Science Internet - NSF net. В результате вирус практически вывел эти сети из строя. Минимум на два дня прекратились все научно-исследовательские работы.

При этом, учтите, не было известно, "ушел" ли вирус через Лондон в Западную Европу [B8]

C Как с этим боролись.

Насколько невозможно сейчас восстановить хронологию вирусной атаки, настолько же невозможно точно установить, сколько времени

______________________________

[B8] Как сообщила впоследствии газета "Уолл-стрит джорнэл", вирус все-таки сумел по Internet достичь Европы и Австралии, где также были зарегистрированы случаи блокировки компьютеров.

стр. 16

потребовалось на локализацию вируса и сколько людей в этом участвовали. Но представляется правомочным предположение, что обе эти цифры весьма и весьма значительны. Судите сами...

...Продолжается 3 ноября.

15:00 Первые сообщения о том, что инфицированным узлам и другим

пользователям направлен антидот.

21:00 Первое интервью в MIT, посвященное вирусу.

21:20 RISKS Разослан "worm condom" - "презерватив от червя".

22:04 RISKS Разослано сообщение о способе борьбы с вирусом,

состоящем в размещении в библиотеке C внешней переменной с именем

"pleasequit", установленной в ненулевое значение.

Как только DCA узнало о вирусе, оно сразу же поставило в известность об этом ФБР [C1], которое расценило инцидент как "дело самого высокого приоритета" и начало расследование. Одновременно с ФБР самостоятельные расследования начали само DCA и NCSC [C2]. Специалисты последнего центра, дезассемблировав вирус, заявили, что он создан с большим искусством и умело использует ряд уязвимых мест сети Arpanet.

Многие специалисты в области безопасности компьютеров отмечают оперативность, с которой отреагировали на появление в своих системах вируса пользователи. Уже 3 ноября практически во всех ведомствах и учреждениях, вычислительные системы которых были поражены вирусом, начали формироваться специальные группы для ликвидации последствий инцидента.

После первого шока, вызванного молниеносной вирусной атакой, специалисты стали анализировать ситуацию, в результате чего выяснились некоторые интересные факты.

Во-первых, вирус поразил не все системы - ряд систем остались нетронутыми в силу того, что работающие на них системные программисты переписали программы, входящие в систему безопасности с учетом обнаруженных недостатков в промышленных версиях этих программ [C3].

Во-вторых, вирус использовал в процессе своего распространения подсистему отладки - родился даже термин "отладочный хук".

В-третьих, вирус, по всей видимости, был сетевым червем, поскольку ни одна из существовавших до атаки программ не была в ходе

______________________________

[C1] Federal Bureau of Investigation; FBI.

[C2] National Computer Security Center - Национальный центр компьютерной безопасности.

Чуть позже мы поговорим об этом центре несколько подробнее.

[C3] Иными словами, недостатки системы безопасности, позволившие вирусу блокировать тысячи компьютеров, были известны ранее (!), но лень или халатность разработчиков и системщиков спровоцировали свалившуюся напасть.

Эх, знать бы, где упадешь - соломки подостлал бы!

стр. 17

атаки искажена.

Это, так сказать, косвенные догадки.

Но с самого начала мощные компьютерные центры начали дезассемблирование вируса. Именно дезассемблирование могло дать ответ на три главных вопроса: что это такое, чем это грозит и как с этим бороться.

Впрочем, следственные органы интересовали и другие вопросы: откуда именно стал распространяться вирус, какой "шутник" его запустил и кто является автором столь "удавшейся" программы. По ряду причин получить ответ на этот вопрос оказалось крайне непросто.

В частности, в калифорнийском университете в Беркли ранним утром 3 ноября специалистам удалось "выловить" копию вирусной программы и приступить к ее анализу. Уже в 5 часов утра того же дня специалистами этого университета был разработан "временный набор шагов", которые рекомендовалось предпринять для приостановления распространения вируса: например, рекомендовалось "залатать" предложенным образом обнаруженные промахи в работе утилиты Sendmail.

Около 9 часов утра специалисты университета в Беркли разработали и разослали программные "заплаты" для ВСЕХ промахов в системном программном обеспечении, позволявших вирусу распространяться; а специалистами другого университета - в Пурду - примерно в это же время было разослано описание метода борьбы с программой-захватчиком, не требующего модификации системных утилит.

Пятница, 4 ноября 1988 года.

00:27 RISKS Сообщение из университета в Пурду, содержащее довольно

полное описание вируса, хотя по-прежнему неизвестно, что именно

"вирус предполагает делать окончательно".

14:22 RISKS Краткое сообщение о дезассемблировании вируса.

Указано, что вирус содержит несколько ошибок, которые "могут

привести к неприятностям и, несомненно, непредсказуемому

поведению программы". Отмечается, что если бы "автор тестировал

программу более тщательно", он все равно не смог бы обнаружить

эти ошибки вообще или, во всяком случае, достаточно долго.

Ряд пользователей сети Arpanet, в частности MIT, где была сформирована своя группа, приступили к срочной модификации сервисных подпрограмм, чистке файлов данных и программного обеспечения.

В Ливерморской лаборатории, несмотря на четкие действия специалистов, вирус удалось блокировать только через пять часов после обнаружения [C4].

Как сообщил Джей Блумбекер, директор Национального центра информации о компьютерной преступности (г.Лос-Анджелес), ликвидация последствий распространения вируса стоила Лос-Аламосской Национальной лаборатории $250000.

Исследовательскому центру NASA в г.Маунтин Вью (Калифорния) пришлось на два дня закрыть свою сеть для восстановления нормального обслуживания 52000 пользователей.

21:52 RISKS Сообщение группы MIT о вирусе Internet. Заявлено, что

в вирусе не обнаружено кода, предполагающего порчу файлов.

Рассказывается о работе вируса; подтверждено, что "вирус содержит

стр. 18

несколько ошибок". Отмечается, что программа предполагала

"скрытое распространение, что представляет определенный интерес".

Тот же день, газета "Нью-Йорк Таймс". В заметке Джона Маркоффа

"'Virus' in Military Computers Disrupts Systems Nationwide" дан

весьма аккуратный обзор происшедшего и сообщено, что не назвавший

себя студент позвонил в редакцию и заявил, что инцидент является

всего лишь "экспериментом, который испортился в результате

небольшой программной ошибки."

В университете штата Делавэр червь был обнаружен в большом компьютере VAX, ласково именуемом в пределах университета Дэви (Dewey), 3 ноября примерно в 8:15 утра. Вот как описывает борьбу с вирусом участник событий [C5]:

"Червь поразил систему университета во вторник утром, почти

сразу же после того, как пришел на работу административный и

технический персонал. Первым делом, каким занялось большинство

администраторов, было ежедневно выполняемое ознакомление с

поступившими сообщениями электронной почты. Администраторы

обнаружили предупреждения о вирусе, информацию о странных

файлах, обнаружение которых свидетельствует о наличии одного или

нескольких червей и идеи относительно обнаружения и уничтожения

программы-червя. Администраторы быстро обнаружили работающую

оболочку UNIX, не связанную с каким-либо терминалом и, используя

команду KILL, уничтожили первый червь в Дэви.

Спустя несколько часов на терминалы администраторов стали

поступать новые сообщения и предупреждения о втором черве. В

это время Arpanet была в панике, и системные администраторы

______________________________

[C4] Вы думаете, этой многострадальной лаборатории удалось передохнуть от вирусов? Глубоко заблуждаетесь! Открываем газету "Правда" от 20 декабря 1988 года (N 355) и читаем:

"Предпринята еще одна попытка - вторая за последний месяц вывести из строя компьютерную систему Ливерморской лаборатории радиации в Калифорнии. Восемь раз в течение недели в компьютерную систему крупнейшей в США ядерной лаборатории проникал сильнодействующий 'вирус' и 'забивал' все каналы информации. Благодаря усилиям заведующего центром компьютерной безопасности Т.Абрахамсона, который попросту не уходил домой и сутками корпел над электронными головоломками, каждый раз удавалось 'нейтрализовать вирус' и предотвратить опасное 'заражение памяти' ЭВМ.

Член руководства лаборатории Р.Борчерс считает, что проникнуть в компьютерную систему мог только высококвалифицированный специалист, обладающий секретной информацией о деталях программы, о кодах, паролях и слабых местах 'защитного кордона' ЭВМ."

Остается только пособолезновать специалистам лаборатории и позавидовать их квалификации и самоотверженности, проявляемой в борьбе за живучесть своей вычислительной системы.

______________________________

[C5] Эти сведения почерпнуты из статьи Clinton E. White "Viruses and worms: attac on campus", опубликованной в журнале Computer & Security N 8(1989 г.).

стр. 19

советовали остановить работу утилиты Sendmail и/или

отсоединиться от сети. К счастью, администраторы продолжали

контролировать свои системы и не отсоединялись. Через некоторое

время они получили программу блокировки червя, написанную

системным программистом из университета в Пурду (Purdue). Эта

программа инициировала вызов червя и запись всех сегментов в

пустой файл, что позволило обнаружить код червя и прекратить его

распространение по системам.

По счастливому случаю оба червя UNIX были обнаружены, по

всей видимости, спустя всего лишь несколько минут после их

поступления в систему из Arpanet. Благодаря утренним сообщениям

электронной почты администраторы были в курсе событий, в

результате чего черви были зафиксированы до того, как события

приобрели драматический характер. Ущерб состоял в потере

времени системными администраторами на обнаружение червей, их

уничтожение и чистку системы от сопутствующих червям файлов

(около одного дня работы системных администраторов, что

оценивается в сумму свыше 120$)."

Думаю, всем понятно, что под именем червя UNIX здесь упоминается описываемый вирус.

Вопрос вызовет, пожалуй, упоминание о двух червях, ведь мы-то все время говорим об одном. На это есть две причины.

Первая - это то, что на компьютер было совершено два "нападения", не совпадавшие по времени.

Второе - то, что, как впоследствии выяснилось, вирус использовал для распространения два различных механизма, в результате чего казалось, что работают два - правда очень похожих - червя. Но об этом - несколько ниже.

Тем временем ФБР упорно делало свое дело. Ход расследования держался в тайне, однако известно, что уже 4 ноября ФБР обратилось к Корнеллскому университету с просьбой разрешить сотрудникам Бюро тщательно проверить рабочие файлы всех научных работников. Все магнитные носители в университете были арестованы, после чего сотрудниками ФБР были тщательно просмотрены файлы подозреваемых лиц, в результате чего был обнаружен файл, содержавший набор слов, опробованных вирусом в качестве паролей. [C6]

Владельцем этого файла был 23-летний студент выпускного курса Корнеллского университета Роберт Таппан Моррис.

Впрочем, в этот же день "виновник торжества" - исчезнувший ранее из родного университета - сам явился с повинной в штаб-квартиру ФБР в Вашингтоне.

Вот когда в ФБР и Пентагоне вздохнули с облегчением! Еще бы: вирус оказался не творением рук неизвестных злоумышленников или свят-свят! - спецслужб, а всего лишь "невинной проделкой доморощенного гения", как выразился адвокат, благоразумно приглашенный с собой "экспериментатором".

______________________________

[C6] То, что именно эти слова были опробованы вирусом, было установлено в результате дезассемблирования вируса.

стр. 20

Естественно, Морриса тут же привлекли к работам по ликвидации его милой проделки: кто же лучше автора знает, как остановить вирус. Хотя именно к этому моменту в результате дезассемблирования выловленного в сети тела вируса многие специалисты из крупных научных и инженерных центров страны могли рассказать о вирусе очень много, если не все.

Пора и нам познакомиться с этим произведением программистского искусства поближе.

D Что это было.

"Я не имею желания подогревать

распространяющиеся слухи, но этот вирус

отличная штука. Если он не уничтожит нас, он

сделает нас сильнее.

Брайан Булковски, университет Браун.

Наиболее полный и детальный разбор вирусной атаки, включая алгоритм работы червя, был сделан в двух работах: "The Internet Worm Programm: An Analysis" CSD-TR-823 - техническом отчете Юджина Спаффорда (Eugene H.Spafford) - и в "With Microscope and Tweezers: An Analysis of the Internet Virus of November 1988" Марка Эйчина (Mark W.Eichin) и Джона Рохлиса (Jon A.Rochlis). Права на обе эти работы приобрел MIT, так что все желающие - и имеющие возможность! - могут запросить требующуюся информацию у ее нынешнего владельца.

Могу сразу сказать, что сделать это будет не так-то просто, а почему - вы узнаете несколько ниже.

Итак, что же представлял собой вирус Морриса [D1].

Вирус Морриса - высокосложная 60000-байтная программа,

разработанная с расчетом на поражение операционных систем

UNIX Berkeley 4.3 (или 4.3 BSD) и аналогичных ей Sun, работающих

на компьютерах фирм Sun Microsystems Inc. (Sun) и Digital

Equipment Corp. (DEC) [D2].

Вирус изначально разрабатывался как безвредный и имел целью

лишь скрытно проникнуть в вычислительные системы, связанные

сетью Arpanet, и остаться там необнаруженным.

Поскольку вирус распространялся в среде сети с

использованием соответствующих сетевых средств и полностью

обеспечивал свою работу сам, то бесспорным является утверждение,

что вирус Морриса является полноправным представителем крайне

редко встречающегося вирусного семейства сетевых червей.

______________________________

[D1] Мне кажется более правильным называть этот вирус по имени его автора, хотя, как я уже говорил, вирус имеет массу других названий. Однако в нашей стране, имеющей весьма отдаленное представление об Arpanet, Milnet, Internet, Корнеллском университете и т.д. прижилось и получило определенное распространение именно это название - "вирус Морриса". В дальнейшем будем так называть его и мы.

стр. 21

Компьютерные эксперты, дезассемблировавшие вирус, единодушно отметили, что программа была написана с выдающимся мастерством и расчетом на три недостатка в системе безопасности поражаемых операционных систем.

Вирусная программа включала компоненты, позволявшие раскрывать пароли, существующие в инфицируемой системе, что в свою очередь позволяло программе маскироваться под задачу легальных пользователей системы, на самом деле занимаясь размножением и рассылкой собственных копий. Вирус не остался скрытым и полностью безопасным, как задумывал автор, в силу незначительных ошибок, допущенных при разработке, которые привели к стремительному неуправляемому саморазмножению вируса.

Теперь давайте рассмотрим вирус несколько подробнее, насколько, конечно, позволяет имеющаяся у нас информация о нем.

Прежде всего интересен вопрос, каким образом распространялся вирус?

Суббота, 5 ноября 1988 года.

18:31 RISKS Предупреждение против ссылок на "ошибки в операционной

системе UNIX". Указывается, что "вирус не использует каких-либо

ошибок в UNIX", ошибки содержит "программа пересылки Sendmail".

Первой лазейкой была утилита электронной почты Sendmail, входившая в состав инфицируемых систем. Недостаток утилиты Sendmail, позволивший Моррису обходить подсистему безопасности вычислительной системы атакуемого узла сети, имеет, если можно так выразиться, классический характер и относится к такому довольно часто встречающемуся явлению в программировании как "люки".

По большому счету люк - это не описанная в документации на программный продукт возможность работы с этим программным продуктом. Люки чаще всего являются результатом забывчивости разработчиков: в процессе разработки программы разработчики часто создают временные механизмы, облегчающие ведение отладки за счет прямого доступа к отлаживаемым частям продукта. Например, для начала работы с продуктом требуется выполнить некоторую последовательность действий, предусмотренных алгоритмом - ввести пароль, установить значения некоторых переменных и т.п. При нормальной работе продукта эти действия имеют определенный смысл, но во время отладки, когда разработчику необходимо тестировать некоторые внутренние части программы и волей-неволей приходится выполнять ту же операцию входа добрый десяток - а то и более - раз на дню, безобидные в общем-то правила, затрудняющие тем не менее доступ к отлаживаемым частям, начинают не на шутку раздражать. Что делает программист? Правильно: в течение получаса он программирует некоторый дополнительный механизм, не предусмотренный изначальным алгоритмом программы, но позволяющий не выполнять надоевших действий или выполнять их автоматически например, при нажатии определенной клавиши (группы клавиш) или при вводе определенной последовательности символов. Все - люк готов!

[D2] Такая избирательность вируса послужила причиной того, что ряд экспертов высказали мысль, что инцидент, связанный с вирусом Морриса, вполне мог быть тщательно подготовленной акцией корпорации IBM по подрыву позиций своих конкурентов.

стр. 22

Если сравнивать с промышленным производством, то люк - это технологическое отверстие, не имеющее никакого отношения к основному предназначению изготовляемого изделия, но значительно облегчающее процесс производства.

По окончании отладки большинство люков убирается из программы; но люди есть люди - зачастую они забывают о существовании каких-то мелких "лючков".

Автор программы Sendmail, Эрик Олмен (Eric Allman) тоже создал в своей программе "черный ход". [D5] Вообще программа Sendmail была весьма сложной и могла работать в нескольких режимах, что позволяло решать весьма сложные задачи распределенной обработки данных. Один из режимов предполагал работу утилиты в виде демона - фонового процесса: при этом программа постоянно опрашивала порт TCP на предмет обнаружения попыток передачи сообщений с использованием подпротокола SMTP. При обнаружении такой попытки демон устанавливал связь с удаленным абонентом и принимал адрес отправителя, адрес получателя, инструкции по обработке сообщения и собственно сообщение. Так вот, червь в качестве инструкций обработки посылал команду DEBUG, а вместо адреса получателя передавал набор команд. При нормальной работе такого делать нельзя, однако такая возможность в режиме отладки существовала, поскольку при этом можно было удостовериться в срабатывании почты, не указывая дальнейшую программу обработки, что, как вы понимаете, значительно облегчило Олмену отладку Sendmail. Однако эта возможность продолжала весьма активно использоваться и другими пользователями, поскольку этот метод позволял избежать сложной процедуры конфигурации утилиты Sendmail для выполнения частных задач.

Теперь будет понятен первый механизм распространения вируса Морриса: обосновавшись на инфицированном узле, вирус рассылал с помощью Sendmail по обнаруженным в пораженной системе адресам соседних узлов "невинное" сообщение, состоящее из 99 строк текста на языке C. Переданное сообщение - текст программы - компилировалось на узле-получателе и полученный модуль начинал работать, избежав выполнения требуемой процедуры входа в систему. Работа этого модуля заключалась в установлении контакта с сервером червя (т.е. атакующей программой-червем, работающей на уже инфицированном узле) и копировании с атакующего узла трех файлов: двух файлов объектного кода (отдельно для VAX и для Sun) и файла с упоминавшимся 99-строчным исходным текстом.

Уже упоминавшийся пользователь из университета Делавэр описал это следующим образом:

"Червь проник через Sendmail. Предполагая получение

обычного сообщения, Дэви открыл порт электронной почты и

позволил разместиться в нем сообщению, являвшемуся на самом деле

первым сегментом червя. Этот сегмент затребовал у Дэви запуска

программы (так называемой оболочки) в отладочном режиме, как

если бы законный пользователь отлаживал обычную программу."

При этом, во-первых, копирование выполнялось только в случае передачи серверу случайного числа, которое было ранее послано этим же

______________________________

[D5] Впоследствии он сказал, что создал этот "черный ход" с целью облегчения работы в системе, доступ к которой закрывал ему чрезмерно усердный администратор.

стр. 23

сервером в ходе попытки заражения. Если сервер не получал такого числа, он отсоединялся от модуля захвата, а сам модуль захвата самоуничтожался. Это должно было предотвратить "поимку" кем-либо файлов червя.

Во-вторых, если копирование в результате чего-либо было неудачным, то сервер также отсоединялся, а модуль захвата уничтожал все уже переданные файлы и самого себя.

И, наконец, в-третьих, модуль захвата в случае удачного копирования поочередно пытался запустить полученные файлы. Если ни один из файлов запустить не удавалось, сервер отсоединялся, а все файлы и сам модуль захвата уничтожались; если же какой-либо файл начинал работать (т.е. попытка заражения увенчалась успехом!), уже эта копия червя разрывала связь с сервером и уничтожала все следы атаки (т.е. все созданные файлы) на диске.

Немалые подозрения вызвал тот факт, что в теле программы были обнаружены структуры данных, обеспечивающие передачу 20 файлов, тогда как на самом деле передавались лишь три. Это послужило источником утверждений, что Моррис задумывал распространять таким образом некоторые опасные для систем подпрограммы. Однако доказать эти намерения не удалось, впрочем, как не удалось выяснить и истинное предназначение обнаруженных структур.

Другим - вторым! - недостатком, использованным вирусом Морриса для собственного распространения, была непродуманность работы другой утилиты, также входящей в состав атакуемых систем - Finger.

Программа Finger также работала в режиме фонового процесса демона - и предоставляла пользователям возможность опрашивать удаленный узел о текущем состоянии системы или активности конкретного пользователя. В случае обнаружения попытки установить связь со стороны удаленного демона, демон Finger данного узла устанавливал связь, считывал одну строку запроса и посылал в ответ информацию, определяемую полученным запросом. Вся беда заключалась в том, что для считывания строки ввода в свой внутренний буфер программа Finger использовала программу gets языка C, а эта программа - как, впрочем, и целый ряд других программ ввода/вывода в C - в процессе размещения информации не проверяла границы буфера ввода, что делало возможным переполнение буфера и, соответственно, затирание данных, размещенных следом за буфером.

Червь передавал демону Finger точно расчитанную строку ввода длиной 536 байтов, которая переполняла буфер ввода и затирала верхний кадр системного стэка таким образом, что в этом кадре оказывались команды, осуществлявшие установление связи с атакующим сервером червя через порт TCP. После установления связи происходила передача на атакуемый узел и запуск программы захвата и происходил процесс, описанный несколько выше.

В данном случае интересно то, что этот метод срабатывал только для систем, работающих на машинах VAX, хотя, как утверждают специалисты, разработать необходимую строку ввода для машин Sun было делом одного часа.

Работающий вирус открывал связь TCP и в директории /tmp создавал файл с именем $$,11.c, где $$ заменялось идентификатором текущего процесса, куда копировался код для расширения программы listener либо helper. По завершению работы Finger вирусная программа, содержащаяся в переданных данных (все тот же первый сегмент червя), поступала на выполнение.

стр. 24

Более понятно об этой лазейке расскажет очевидец событий:

"Второй червь UNIX, принадлежащий тому же автору, также

поступил через электронную почту, но использовал другую схему

атаки. В большинстве систем электронной почты UNIX есть утилита

Finger, которая позволяет получить информацию о пользователях

другого узла.

Червь с помощью утилиты Finger запрашивал информацию о

пользователях, работавших в UNIX. При выполнении запроса Finger

размещала в памяти опрашиваемого узла свои данные. Но червь

изменял эту память таким образом, что вызов адресовался на его

точку входа, в результате чего он начинал работу."

Теперь вам понятно, почему пользователям показалось, что работают два червя? Все дело в том, что вирус Морриса использовал для распространения своих копий два независимых друг от друга пути - через Sendmail и через Finger.

Итак, червь благополучно попал в систему и приступил к работе. Что же он делает?

Слово - нашему знакомому делавэрцу.

"По логике первого сегмента, выполнявшегося как обычная

программа, через тот же самый порт электронной почты в систему

Дэви поступила вторая часть червя. Эта часть состояла из серии

сообщений, содержащих объектный код, добавлявшийся к работающей

оболочке червя.

Первой группой команд производилось обращение к списку

адресов других машин, с которыми был связан Дэви, с последующей

посылкой по этим адресам через сеть копий первого сегмента

червя...

...При нормальной работе каждый узел сети имеет список

адресов других компьютеров (обычно около десятка), с которыми

данный узел непосредственно связан линиями связи. С помощью

таких списков адресов червь стал распространяться по сети от

одного узла к другому; заражение при этом росло по экспоненте."

Логично? Вполне: заразился сам - помоги товарищу. И еще вирус стремился размножиться и разослать свои копии по обнаруженным адресам сопредельных узлов раньше, чем его успеют обнаружить и остановить. Это логика доброй половины всех известных вирусов [D2]. Обнаружение адресов доступных узлов производилось вирусом за счет выполнения программ Ioctl и Netstat с различными аргументами, а также за счет считывания и анализа ряда специальных системных и пользовательских файлов, используемых для обеспечения работы в сети. Выделяемая таким образом информация заносилась в создаваемый червем внутренний список доступных узлов. По окончании формирования списка

______________________________

[D2] Вторая половина придерживается другой тактики - затаиться, выждать некоторое время, а уже затем начать размножаться и пакостить. Но для всех вирусов характерна крайняя озабоченность судьбой своих копий: существуют вирусы, которые не начинают пакостить всерьез до тех пор, пока не создадут заранее определенное количество копий, что гарантирует пользователям гораздо более интересную жизнь.

стр. 25

червь начинал процесс рассылки копий по выявленным адресам. При этом описанные выше способы начинали отрабатываться только в том случае, когда червь устанавливал достижимость конкретного узла в данный момент за счет попыток установления связи с данным узлом через порт telnet.

После рассылки копий по обнаруженным адресам червь считывал системные файлы /etc/hosts.equiv и /.rhosts с целью обнаружения так называемых "эквивалентных" или "доверенных" узлов, а также пользовательские файлы .forward, используемые для автоматической рассылки сообщений "электронной почты".

Термин "доверенных" узлов связан с механизмом "доверенного доступа". Смысл его в том, что для облегчения выполнения операций на удаленном узле пользователь имеет возможность создать файл с определенным именем, куда он может занести пары <имяузла/имявхода>. При работе с удаленным узлом система проверяет наличие у пользователя такого файла и, если работа ведется с узлом, указанным в одной из пар, с использованием указанного в той же паре имени входа, система автоматически разрешает доступ без запроса пароля. Именно в отсутствии запроса пароля и заключается "доверие".

Считав указанные файлы, червь предпринимал попытку атаки "в лоб", т.е пытался, используя механизм доверенного доступа, создать путем вызова программы Rsh на удаленном узле работающую оболочку, маскируясь под пользователя.

Если попытка лобовой атаки не удавалась, червь считывал в память системный учетный файл /etc/passwd и предпринимал ряд не лишенных остроумия попыток раскрыть пользовательские пароли.

Надо сказать, что в системе UNIX пользовательские пароли хранятся в шифрованном виде, но в общедоступном для чтения файле, где хранится и другая нешифрованная информация. Крупным недостатком - помимо общедоступности учетного файла - было также то, что используемый для шифрования паролей DES-алгоритм [D4] был значительно ослаблен за счет использования при шифровании в качестве ключа последовательности нулевых битов. Кроме этого, Моррис умело сыграл на человеческой слабости многих пользователей, которые, не придавая серьезного значения вопросам безопасности своих данных, использовали в качестве паролей общеупотребляемые смысловые слова, что при серьезном подходе к делу просто недопустимо.

Для начала червь пытался опробовать в качестве паролей учетные имена пользователей. Делалось это путем шифрования учетных имен

______________________________

[D4] DES - Data Encryption Standart - стандарт шифрования данных, определяющий алгоритм, который реализуется в виде электронных устройств и используется для криптографической защиты данных в ЭВМ.

Описанный в стандарте алгоритм определяет операции преобразования данных в непонятную непосредственно форму - шифрование, и наоборот расшифрование. Обе операции опираются на некоторое двоичное число, называемое ключом. Ключ состоит из 64 двоичных цифр, из которых 56 битов используются самим алгоритмом, а оставшиеся 8 битов служат для обнаружения ошибок.

Сам алгоритм известен всем его пользователям. Уникальность алгоритму придает использование в каждом приложении уникального ключа. Тот, кто не знает ключа, зная сам алгоритм, не сможет получить скрытые таким образом данные.

стр. 26

пользователей, найденных в учетном файле, и сравнения полученного шаблона с шифрованным паролем данного пользователя - в случае совпадения червь производил попытку запуска оболочки на всех удаленных узлах, где данный пользователь мог работать (что устанавливалось за счет просмотра внутреннего списка доступных узлов и анализа упомянутых выше файлов).

Если пользователь был чуть более искушен, и пароль не совпадал с учетным именем в чистом виде, то производилась аналогичная попытка с использованием учетного имени, преобразованного самым тривиальным образом: например, опробовалось учетное имя, написанное в обратном порядке.

Если и это не давало результата, в качестве шаблонов опробовались зашифрованные 432 общеизвестных слова (типа "cretin", "batman" и т.д.), составлявшие внутренний словарь червя. Этот вариант дал, кстати, наибольший процент раскрытия паролей.

После всех этих шагов в качестве паролей опробовались слова из имевшегося в системе словаря.

Как видите, ничего особенного в примененном методе вскрытия паролей нет, как нет и оправдания халатности пользователей, послужившей причиной того, что червю в отдельных системах удавалось вскрыть пароли более половины пользователей. А ведь каждый новый пароль червь использовал для атаки новых жертв!

"Следующая группа команд содержала список общеиспользуемых

в качестве паролей слов, зашифрованных по DES-алгоритму [D4],

которые сравнивались в таком виде с системным файлом паролей

Дэви, также зашифрованным по DES-алгоритму. Каждый

зашифрованный пароль-шаблон сравнивался с паролями всех законных

пользователей Деви, и каждое полное совпадение запоминалось

вирусом. В Деви червь таким образом смог получить около 20 из

300 паролей, причем один из раскрытых паролей обеспечивал

получение привилегий системного пользователя.

Системный пользователь в UNIX имеет возможность работать с

системными файлами и таблицами безопасности, обращаться к другим

системам, а также читать, писать и чистить файлы по всей

системе.

В этот момент червь стал распространять свои копии по

другим системам университета, но не производил серьезных

разрушений файлов или программ, хотя и мог это делать, - червь,

несомненно, не был запрограммирован на разрушение; единственным

ущербом, нанесенным червем Деви, было существенное замедление

работы других программ."

К счастью для американских пользователей, Моррис был в определенном смысле добропорядочным специалистом, не ставившим себе целью напакостить всем окружающим, вследствие чего созданный им вирус не искажал и не уничтожал данных. Именно поэтому вирус Морриса был отнесен специалистами к категории так называемых "мирных" вирусов, не приносящих пользователям непоправимых бед.

стр. 27

Если бы Моррис добавил к своей программе еще несколько строк, то, по мнению специалистов, ущерб был бы непоправимым.

Как показал анализ червя, имевшее в действительности место неуправляемое размножение вируса в планы Морриса не входило. В процессе работы червь пытался связаться с другой копией, работающей в этой же системе, через заведомо определенное гнездо TCP. Если попытка была успешной, т.е. в системе работала еще одна копия червя, атакующий червь устанавливал в 1 переменную pleasequit, что вызывало саморазрушение червя, но после выполнения им этапа вскрытия паролей. Такая задержка саморазрушения привела к тому, что в одной системе могли одновременно работать несколько копий червя. Более того, сочетание условий в теле червя делала возможной ситуацию, когда сильно загруженная система отказывала новой копии червя в установлении связи, что расценивалось червем как отсутствие в системе других копий и, следовательно, приводила к началу работы новой копии.

Моррис опасался, что системные программисты рано или поздно предпримут попытки запустить имитатор червя, отвечавшего бы на попытки установления связи через порт TCP с целью уничтожения истинных копий червя. Чтобы блокировать такие попытки, червь на основе анализа случайно генеруемого числа (примерно в одном случае из семи) устанавливал внутренние флажки таким образом, что оказывался независимым от результатов проверки наличия других копий червя в системе. Эти "бессмертные" копии вносили значительную лепту в перегрузку инфицируемых систем.

Таким образом, недостаточно корректное программирование механизма размножения независимо от ответа машины было ошибкой, приведшей к выходу вируса из-под контроля. С другой стороны, эта ошибка в программе обусловила и раннее обнаружение вируса. [D3]

И это еще не все! Очевидно предполагая, что появление нового вируса не вызовет у большинства пользователей восторга, Моррис предпринял определенные меры с тем, чтобы скрыть истинный источник заражения и это ему удалось намного лучше. По словам Питера Йи специалиста по компьютерной технике из университета в Беркли: "Мы обнаружили, что программа-вирус достаточно сложна и ее автор прекрасно справился с задачей затруднить ее обнаружение."

Во-первых, достаточно сложной была схема запуска вируса: программа-вирус была запущена в компьютере MIT (Новая Англия), в то время как автор, используя возможности теледоступа, работал за компьютером в Корнеллском университете в Ithica (Нью-Йорк).

Во-вторых, как поведал Питер Йи: "Попав в память первого компьютера, программа стерла информацию, касающуюся времени ее ввода, места, откуда она была направлена, а также того, в какие ЭВМ она должна попасть."

В-третьих, на основе анализа случайно генерируемого числа, червь пытался послать сообщение на узел университета в Беркли. Это

______________________________

[D3] Интересно отметить, что автор вируса, известного под названием "Иерусалим" - первого, как принято считать на Западе, вируса, использованного в террористических целях, допустил аналогичную ошибку. Из-за этого вирус, который должен был в мае 1987 года накануне 40-летия образования государства Израиль - вывести из строя его компьютерные сети, был обнаружен в конце 1986 года и ликвидирован.

стр. 28

происходило примерно один раз на 15 попыток инфицирования. Однако этот механизм был запрограммирован недостаточно корректно, вследствие чего никакой реальной пересылки данных не происходило. Было ли это изначально продуманной хитростью или действительно задумывалась пересылка информации - так и осталось неизвестным. Известно только, что пересылаться должен был один байт с неустановленным значением. Это позволяет предположить, что автор задумывал создать программу-монитор, которая получала и обрабатывала бы пересылаемые байты, содержащие идентификацию пораженных червем узлов. Однако каких-либо доказательств наличия такой программы не было обнаружено, и поэтому равновероятной является версия, что при создании этого механизма автор предполагал ложно указать на источник заражения.

В-четвертых, червь периодически "ветвился" (создавал подпроцесс) с помощью команды Fork с последующим уничтожением командой Kill процесса-родителя. Прежде всего это позволяло сменить идентификационный номер процесса с тем, чтобы в файле системной статистики не было подозрительных данных о слишком большом потреблении ресурса процессора каким-либо одним процессом. Далее, слишком долго работающему процессу система начинает уменьшать диспетчерский приоритет, а при "резветвлении" новому процессу присваивался начальный приоритет. Правда и этот механизм работал не всегда четко, поскольку в ряде случаев червь в совокупности потреблял до 600 секунд времени процессора.

И, наконец, на случай, когда червь работал бы в системе в течение 12 часов, был предусмотрен механизм повторного инфицирования сопредельных узлов: червь стирал в своем внутреннем списке узлов пометки о зараженности, либо "иммунности" узлов и таким образом повторял процесс заражения с самого начала.

И по сей день остается невыясненным вопрос об истинных мотивах, которыми руководствовался Моррис, создавая свой вирус?

Сам автор по этому поводу благоразумно хранил молчание, что послужило причиной появления множества самых разнообразных версий. Есть даже романтический вариант этой истории, согласно которому червь был создан и запущен с единственной целью - завоевать сердце некоей Джуди Фостер (Jodie Foster).

Однако наиболее распространено мнение, что Моррис создал свою программу в экспериментальных целях, а к столь серьезным последствиям привел выход вируса из-под контроля в силу небольших программных ошибок. Вероятнее всего смысл эксперимента заключался в скрытном распространении вирусной программы по сети, минуя средства обеспечения безопасности, с последующим преданием этого факта огласке. Что и говорить, шум был бы большой, хотя, возможно, несколько меньший состоявшегося в действительности. С этой точки зрения вирус полностью достиг своей цели - многомиллионная армия пользователей была поставлена перед фактом "удручающего состояния программного обеспечения и системы безопасности в мире UNIX" (Матт Бишоп, университет Дортмуса).

стр. 29

Сам Моррис дал следующую версию происшедшего.

2 ноября, набрав свой код доступа в сеть, он осуществил ввод вируса с компьютера Корнеллского университета. Моррис рассчитывал, что вирус будет пассивным - "спящим" - и приступит к активным действиям только через несколько дней. Однако произошел неприятный для автора сбой, и вирус принялся за дело мгновенно.

Когда Моррис попытался узнать ход атаки, он неожиданно обнаружил, что сеть перегружена настолько, что он сам не в состоянии получить доступ к терминалу. Моррис пытался остановить процесс, но все попытки окончились неудачей. Более того, поскольку каналом распространения вируса была электронная почта Sendmail, то именно она первая и вышла из строя, в результате чего Моррис лишился связи с другими компьютерами. Это, по его словам, "отрезало" его от сети и не позволило известить коллег об угрозе.

Моррис тут же (около 2 часов ночи 3 ноября) по телефону связался со своим другом в Гарвардском университете и попросил его послать в Arpanet сигнал тревоги с подробными инструкциями о методе уничтожения вируса. Этот знакомый в свою очередь послал краткое сообщение на излишне техническом языке и к тому же разместил это сообщение на малоизвестную EBB (Electronic Bulletin Board - "электронная доска объявлений"). Все равно к этому моменту сеть была перегружена и большинство абонентов просто не имели возможности прочитать это сообщение.

Испугавшись ответственности, Моррис сбежал из университета к родителям, где связался с адвокатом (с помощью которого, очевидно, и была разработана соответствующая версия происшествия).

4 ноября, как известно, он явился с повинной в штаб-квартиру ФБР в Вашингтоне.

E Что за этим последовало.

Воскресенье, 6 ноября 1988 года.

15:50 RISKS Высказаны предупреждения против раздувания шумихи

вокруг вируса большей, чем это сделано в прессе. Событие,

"происшедшее в действительности, не является сюрпризом ни

для читателей RISKS, ни для пользователей Internet или

UNIX."

19:01 RISKS Краткое обращение к пользователям с призывом

изучать вирус; отмечается, что "неэтичность и другие

злоупотребления не являются необычными." Компьютерные

системы должны перестать быть "относительно широко

открытыми."

Понедельник, 7 ноября 1988 года.

15:44 RISKS Обсуждение возможности провокации вирусом ядерной

войны. Вызвано воскресным сообщением (15:50), но впадает в

противоположную крайность, преувеличивая возможнось

"ядерного Армагеддона".

19:06 VIR Частная реакция на вирус Internet компьютерной

службы, которая "непосредственно даже не связана с Internet"

стр. 30

и лишь к этому моменту была оповещена из местных газет и

местных филиалов ABC и NBC.

8 ноября 1988 года в Вашингтоне была организована встреча группы программистов и экспертов по компьютерной безопасности из различных университетов с одной стороны и представителей федеральных властей с другой - "Proceedings of the Virus Post-Mortem Meeting".

Целью встречи было обсуждение результатов вирусной атаки и сложившейся в связи с этим ситуации и выработка предложений по поводу того, как избежать повторения подобных атак в будущем. На встрече был принят документ, состоящий из 11 рекомендаций участников совещания (см. приложение B).

Одним из результатов встречи стал запрос NCSC к исследователям университета в Пурду на удаление из компьютерной системы университета всей информации, касающейся алгоритма работы вируса. Университет удалил всю информацию, которая с точки зрения специалистов представляла какую-либо опасность.

Согласно рекомендациям была создана так называемая "группа ответа": в настоящее время Группа ответа на компьютерную опасность (Computer Emergency Response Team) официально располагается в университете Карнеги-Меллона, находясь на финансовом обеспечении серьезно обеспокоенного инцидентом Пентагона.

ФБР наложило запрет на все материалы, имеющие отношение к вирусу Морриса, а 11 ноября 1988 года в "Нью-Йорк Таймс" в статье Джона Маркоффа было заявлено, что NCSC ищет способы, чтобы вообще остановить распространение точной информации о "внутренней работе программ, которые осложняют работу американских компьютеров."

Теперь, я думаю, вам стало понятно, почему получить подробные материалы по вирусу Морриса (в частности) в настоящее время не так-то просто.

Вирусная атака послужила причиной резко возросшего интереса к средствам обеспечения безопасности как вычислительных систем, так и объединяющих эти системы сетей.

Правительственные лаборатории и исследовательские центры, занимающиеся проблемами защиты информации, интенсифицировали работы над созданием сложных и, по возможности, универсальных антивирусных программ, которые должны выявлять и блокировать вирус на самых ранних стадиях его развития. Однако, по мнению экспертов, если такие программы и удастся создать, они вряд ли станут достоянием гласности. Предполагается, что в случае создания универсальных антивирусных программ они будут рассматриваться как своего рода "стратегическое оружие".

К работам по борьбе с вирусами и созданию "имунных" программ подключились Национальный научный фонд США, биржа Уолл-стрита и др. Беспокойство финансовых кругов США объясняется их сильной зависимостью от вычислительной техники, на базе которой функционирует вся система электронных безналичных расчетов [E1].

стр. 31

Поскольку вирус Морриса ощутимо ударил по репутации одного из популярнейших семейства операционных систем - UNIX - неудивительно, что разработчики стали прилагать лихорадочные усилия к тому, чтобы вернуть UNIXу былой авторитет и, соответственно, не потерять рынок сбыта.

Так, специалистов калифорнийского университета в Беркли - места рождения UNIX Berkeley - вирусная атака побудила заново полностью проанализировать свою систему, исправить обнаруженные червем дыры и отключить в системе UNIX режим отладки. Они также переписали программу Finger таким образом, чтобы она проверяла границы размещаемой ею памяти с тем, чтобы любой проникший в систему вирус не смог бы записать в эту память свои коды.

Как сообщил в феврале 1989 года вице-президент компании AT&T Вильям О'Ши (William O'Shea) для системы UNIX 4.1 были разработаны улучшенные средства обеспечения безопасности. Новые средства состоят в усовершенствовании методологии доступа, обеспечении целостности данных, отказе от утилит и ненавязчивой политике сдерживания. Существовавший ранее статус суперпользователя заменен статусом суперпользователя, который работает только на период установки системы. Безопасность паролей улучшена за счет использования "теневых" файлов паролей. Использованы механизмы ограничения доступа к файлам в соответствии с текущей формой активности в системе. Реализована более гибкая система авторизации, включающая групповые и пользовательские идентификаторы, а также контроль команд и процедур входа.

Не остались в стороне и владельцы национальных компьютерных сетей, в частности - Internet. Internet Activities Board - комитет Internet - в феврале 1989 года заявил о намерении ввести с целью увеличения сохранности сообщений электронной почты Internet нового стандарта безопасности. Пользователи получат возможность шифровать свои сообщения, а также проверять идентичность отправленного и полученного сообщений. Стандарт безопасности включает DES, систему аутентификации из RSA Data Security и формат аутентификации CCITT X.509.

Защищать сети гораздо сложнее, чем системы. Так, например, защите в Internet подлежат три основных точки: индивидуальные

______________________________

[E1] Промышленная ассоциация по компьютерным вирусам только за 1988 год зафиксировала почти 90 тысяч вирусных атак на персональные компьютеры, а по данным Национального центра информации по компьютерной преступности (National Center for Computer Crime Data) за этот же год компьютерная преступность нанесла американским фирмам убытки в размере 500 млн. долларов В наибольшей степени от этого страдают банки. По словам Ховарда Глассмана, который отвечает за безопасность в Bank of America, компьютерная преступность может стать причиной крушения экономической системы страны.

На самом деле, количество инцидентов, связанных с вирусами, вероятно, превосходит опубликованные цифры, поскольку большинство фирм умалчивает о вирусных атаках, опасаясь, что подобная антиреклама повредит их репутации. Другие фирмы молчат, чтобы не привлекать внимание хакеров. Как заметил администратор фирмы Amway, "лучший способ избежать проблем с вирусами - не болтать о том, что вы предпринимаете во избежание этих проблем."

стр. 32

терминалы, локальные сети и собственно Internet, которая может быть поражена из любой из объединяемых ею сетей. Большое значение в связи с этим, помимо аппаратно-программных средств, приобретают организационные меры, предпринимаемые в целях обеспечения безопасности сети вплоть до контроля за дисциплинированностью каждого пользователя.

Для защиты Internet специалистами, в частности, было предложено следующее:

- должна быть сформирована политика безопасности сети, включая

вопросы уголовного преследования нарушителей;

- операторы Internet должны начинать уголовное преследование

всех лиц, замешанных в атаке сети;

- операторы Internet должны начать регулярные тренировки с

упором на обеспечение безопасности сети;

- Internet должна оплачивать информацию, помогающую обнаружить

и доказать виновность лиц, атаковавших сеть.

После атаки пользователи стали обвинять во всем случившемся не только Морриса, но и транспортный протокол TCP/IP, утверждая, что сам протокол не соответствует требованиям обеспечения безопасности. Однако в ответ специалистами было заявлено, что вирус вызвал серьезные последствия в силу недостатков безопасности систем, но не сети.

Вирус распространялся через программы, входящие в систему UNIX, которые, как оказалось, были написаны недостаточно хорошо и имели дыры в схеме безопасности. Пикантность ситуации состояла в том, что существуют другие программы, работающие по тем же алгоритмам не хуже, а то и лучше упомянутых злосчастных программ, но при этом не имеющие дыр в безопасности. Системы в Internet, которые использовали эти альтернативные программы, избежали поражения вирусом. Это доказывает, что TCP/IP в состоянии поддерживать безопасный траффик.

F Как это судили.

"НЬЮ-ЙОРК, 9. (ТАСС) Пока Роберт Моррис

лишь смущенно улыбается перед объективами

репортеров - он уже стал героем дня в США, но

еще не ясно, смогут ли американские власти

показать, что он еще и преступник. "У нас

нет никакого опыта наказаний за такие дела",

- заявил представитель ФБР..."

Советская Россия, 10.11.88 N259(9810)

"Вся эта история выглядит и как

захватывающая драма отца, сына и колоссальной

электронной игры, и как наихудший результат

веселой проделки, в которой

непреднамеренность не может служить

оправданием. Разбор этого дела в суде

позволит выяснить соответствие нынешнего

законодательства, направленного против

"электронного саботажа", уровню развития

вычислительных систем и средств. Очень важно

доказать преступность подобных действий, хотя

стр. 33

в данном конкретном случае безусловно имеет

смысл смягчить наказание."

Х.Д.Хайланд.

Четверг, 10 ноября 1988 года.

19:03 VIR Утверждение, что "действия, предпринятые в отношении"

Морриса и подобных ему лиц будут "действиями общества в области

компьютерной безопасности."

20:40 RISKS Официальное сообщение о ситуации в Корнеллском

университете, где, по-видимому, был запущен вирус. Выводы

сопровождаются комментарием, какой Моррис хороший; высказывается

уверенность, что его наказание не будет "слишком суровым".

Представляет интерес юридическая сторона дела.

Долгое время ФБР не могло выдвинуть официального обвинения в отношении автора вируса, несмотря на то, что по заказу этого уважаемого ведомства Гарвардским и Корнеллским университетами были подготовлены обзоры существующего законодательства, касающегося "компьютерных" преступлений. Несмотря на наличие относительно новых законодательных актов, таких как Акт о злоупотреблениях и мошенничестве с помощью компьютеров от 1986 года (Computer Fraud and Abuse Act of 1986), выдвинуть обвинение в отношении лица, злоупотребившего многомашинной компьютерной системой, каковой является любая компьютерная сеть, было нелегко.

В конце концов, поскольку пораженные вирусом системы входили в состав компьютерной сети, контролируемой правительством США, распространение вируса было признано действием, нарушившим закон. Но и после этого оставался неясным вопрос о том, как квалифицировать автора вируса - как преступника или как обычного хулигана. В соответствии с уже упоминавшимся законом от 1986 года в случае квалификации действий Морриса как "несанкционированного доступа к правительственным компьютерам", ему грозил крупный штраф и тюремное заключение сроком до 10 лет.

22 января 1989 года Моррис был признан виновным судом присяжных. Если бы осуждающий вердикт был утвержден без изменений, то Морриса ожидало бы заключение в тюрьму на 5 лет и $250000 штрафа. Однако адвокат Морриса Томас Гидобони (Thomas Guidoboni) сразу же заявил о протесте и направил все бумаги в окружной суд с прошением отклонить решение суда.

Защита Морриса основывалась на двух посылках:

- на том, что формулировка закона неопределенна и оставляет

открытой интерпретацию доказательства преднамеренности

совершенных действий;

стр. 34

- и на том, что закон не отражает специфику функционирования

компьютеров в 1990х годах: в законе речь идет о

несанкционированных действиях в отношении отдельного

компьютера, а в рассматриваемом случае была поражена

многомашинная система - компьютерная сеть.

Прежде чем признать Морриса виновным, суд достаточно быстро установил несколько признаков преступления.

Самым мошенническим элементом всей этой истории является то, что Моррис вошел в сеть для запуска вируса без авторизации.

Суд определил, что вирус Морриса причинил ущерб не менее, чем на $1.000, хотя власти представили более 40 свидетельств, которые в совокупности утверждают, что за счет потери производительности вирус Морриса обошелся не менее чем в $150.000.

Защита особенно настаивала на том, что вирус не поразил системы, связанные с обработкой денег; власти вынуждены были признать, что все трудности заключались в выключении машины, отсоединении ее от сети, повторном включении и проверке.

Далее, защита подчеркивала факт, что ресурсы в основном были затрачены на приведение нарушенной системы безопасности в состояние, предшествовавшее атаке, и дезассемблирование обнаруженного вируса с целью выяснения его опасности. При этом, поскольку электронная почта сети во время вирусной атаки не работала, многие абоненты часами пытались дезассемблировать вирус, не подозревая, что это уже сделано другими абонентами.

Другим доводом защиты был тезис о том, что доказанные разрушения не обязательно являются прямым следствием работы вируса, т.е. затраты ресурсов могли быть вызваны чем-либо помимо вируса. Например, имелись показания о том, что значительное время пользователями было затрачено на проверку отсутствия в вирусе "троянских коней", "часовых бомб" или каких-либо иных разрушительных программных средств. В действительности вирус не содержал подобных элементов, поэтому защита объявила неправомочными попытки возложить на Морриса ответственность за длительные усилия, направленные на то, чтобы разрушить собственные необоснованные подозрения.

Защита подчеркнула также тот факт, что электронную почту мог использовать кто-угодно для связи с кем-угодно, причем без согласия на это адресата, тогда как обе эти программы в процессе работы используют мощности и память получателя. На основании этого Гидобони высказал утверждение, что все, кто авторизован в Internet, имеют привилегии, достаточные для использования Sendmail и Finger для связи с другими пользователями и, более того, невозможно установить, кто именно обратился к данному абоненту, поскольку для обращения к любому абоненту никакой авторизации не требуется вообще. При этом Гидобони справедливо заметил, что подразумеваемая эффективность авторизации состоит в обязательной уникальной идентификации каждого пользователя при каждом вхождении в систему, в частности в Internet.

______________________________

Промышленная ассоциация по компьютерным вирусам оценила стоимость потерянного времени и людских ресурсов, а также сверхурочных затрат на удаление вируса из тысяч компьютеров примерно в $100.000.000.

стр. 35

Небольшое препирательство на суде между защитой и обвинением произошло по поводу того, имело ли бы место нарушение закона, если бы Моррис не допустил программной ошибки. Эксперт Департамента Юстиции Марк Раш заявил, что если бы вирус работал точно так, как было задумано автором, администраторы узлов сети потеряли бы время на локализацию и удаление вируса; следовательно, существенный ущерб был бы нанесен даже в том случае, если бы ошибка не была допущена.

Хотя защитник не стал оспаривать этот вывод сразу, вне зала заседаний он заявил, что если бы программа работала так как задумывал его клиент, никакого ущерба не было бы вообще; и если бы некоторые адмистраторы проявили бы немного любознательности в отношении появившегося вируса, они вполне смогли бы проанализировать его на основании вполне достаточного количества сообщений о вирусе, поступавших от других пользователей.

G Что сказал Пентагон.

"...По свидетельству "Нью-Йорк таймс",

'представители Пентагона, стремясь умерить

опасения, что ключевые военные компьютеры

уязвимы для подобных диверсий, заявили, что

такой вирус не может проникнуть в секретные

компьютерные сети, управляющие системами

ядерного оружия и хранящими в памяти военные

планы'. Однако эксперты указывают, что

происшедший случай свидетельствует о том,

сколь уязвима компьютерная сеть."

Московская правда 6.11.88 N256(20874).

Вирус Морриса стал причиной очень серьезного беспокойства такого уважаемого и солидного учреждения как Пентагон.

Не является секретом, что всеобщая компьютеризация - как принято у нас говорить - американского общества не обошла стороной эту организацию.

Компьютеры позволили создавать надежные системы связи с умопомрачительной скоростью передачи данных, что само по себе является для подобных государственных структур весьма привлекательным; компьютеры поддерживают обширные банки данных, позволяющие эффективно управлять столь масштабной организацией; компьютеры встраиваются практически во все новейшие системы вооружения, включая и ядерные, поскольку это резко повышает и эффективность применения этих систем, и оперативность их "срабатывания"; компьютеры составляют сердцевину всех навигационных систем и так называемых систем предупреждения. Вспомните хотя бы пресловутую СОИ: ведь даже наши средства массовой информации все уши прожужжали о том, что эта милитаристская задумка практически во всех аспектах основывается на использовании вычислительной техники. Однако тут же наши газеты вещали, что американские военные, а с ними и "все человечество", все больше становятся заложниками компьютеров.

стр. 36

Как ни странно, последний вывод был не так далек от истины. Нарушение работы компьютерных сетей командования и управления, по мнению самих американцев, означало бы катастрофу.

Осознав всю опасность вирусов, правительство США за последние годы предприняло целый ряд срочных мер с тем, чтобы обеспечить надлежащую безопасность своих наиболее важных информационных систем, которые каналами связи соединены с другими, незащищенными системами. Специалисты, ответственные за защиту военных компьютерных систем, подчеркивали, что "в закрытые системы Пентагона встраиваются специальные механизмы защиты, которые работают настолько тонко, что лишь немногие люди знают, что система фиксирует каждый шаг пользователя." В частности, секретные сети передачи данных были защищены шифрующими устройствами для закрытия всех данных, поступающих на терминал и уходящих с него. Считалось, что помимо защиты от проникновения иностранных спецслужб, применение новых криптографических методов лишит компьютерных взломщиков (по крайней мере на ближайшее время) возможности совершать различные манипуляции с секретными военными компьютерными системами.

Гораздо более сложной считалась и считается проблема защиты публичных компьютерных сетей от неавторизованного доступа пользователей или, еще хуже, "компьютерных взломщиков" - хакеров. Особо труден в этом отношении вопрос зашиты военных сетей, соединенных с общеиспользуемыми сетями.

Ввиду этого в 1982 году Белый Дом даже был вынужден отказаться от участия в компьютерном консорциуме 17 стран, так как выяснилось, что это позволит советским экспертам получать доступ к несекретным, но достаточно важным американским базам данных.

В соответствии с четырехлетней программой по борьбе с компьютерными вирусами DoD еще в 1987 году ужесточило режим обеспечения безопасности своих сетей. В некоторых наиболее важных компьютерных сетях были приняты следующие меры:

- максимально ограничен доступ;

- детально фиксировались все операции пользователей;

- циркулирующая в сетях информация шифровалась;

- в распоряжении пользователей сетей предоставлялись

программы-вакцины, выявляющие несанкционированные изменения в

программном обеспечении и данных;

- наиболее важные, содержащие секретные сведения вычислительные

системы стали полностью автономными, т.е. были отключены от

сетей.

В январе 1981 года с целью определения пригодности предлагаемых различными разработчиками компьютерных систем для нужд DoD был создан Центр компьютерной безопасности министерства обороны США. Позднее, в сентябре 1985 года, этот центр был переименован в Национальный центр компьютерной безопасности (National Computer Security Center; NCSC) и перешел под ласковое крылышко Агентства национальной безопасности (National Security Agency; NSA).

стр. 37

NCSC и ныне оценивает пригодность компьютерных систем с точки зрения их безопасности для использования этих систем не только в вооруженных силах, но также в различных государственных учреждениях, фирмах, выполняющих государственные и военные заказы; при этом оценивание продуктов ведется по строго определенной программе, предусматривающей проверку строго определенных механизмов и средств. Это обстоятельство обеспечивает возможность сравнения рейтингов безопасности разнородных продуктов.

Оценивание осуществляется на основании стандарта, известного под названием "оранжевая книга". Согласно стандарту все компьютерные системы условно разделяются на четыре основных группы безопасности, которые в свою очередь делятся на классы безопасности. В настоящее время сушествуют следующие классы безопасности - в порядке увеличения гарантированности защиты: D, C1, C2, B1, B2, B3, A1.

Присвоенный компьютерной системе класс безопасности часто называют рейтингом безопасности.

Продукты, не прошедшие официальной проверки NCSC, не могут быть использованы для обработки закрытой информации в военной сфере или государственных учреждениях. Фирмы-разработчики программного обеспечения весьма заинтересованы в получении и повышении полученных официальных рейтингов безопасности для своей продукции, поскольку наличие рейтинга безопасности является необходимым условием для получения фирмой значительных государственных и военных заказов, а также является хорошей рекламой для продукции фирмы.

Многие исследования в области компьютерной безопасности также финансировались военными.

Так что, как видите, безопасность собственных компьютерных систем весьма волновала Пентагон задолго до 1988 года.

Представьте теперь, что должны были чувствовать уважаемые американские военные, когда обнаружилось, что Milnet практически мгновенно выведена из строя вирусом!

Вирус Морриса показал уязвимость сетевых структур, поставил под сомнение надежность средств связи Пентагона и обороны США в целом. Фактически Моррис для DCA был тем же, чем был Руст для советских войск противовоздушной обороны.

Оказавшись перед фактом, что все многолетние труды по убеждению налогоплательщиков в надежности военных компьютерных систем пошли насмарку, Пентагон изо всех сил постарался достойно встретить неизбежный шквал негодования. Уже 3 ноября представитель DCA, стремясь успокоить общественное мнение, публично признал факт заражения сетей министерства вирусом, однако пытался принизить значение происшедшего. Он заявил: "Вирус был выявлен в нескольких главных компьютерах, подключенных к сети Arpanet и к той части Milnet, которая содержит сведения несекретного характера... Хотя некоторые важные данные министерства обороны в той или иной мере пострадали, файлы, содержащие секретную информацию, связанную с вопросами национальной безопасности, воздействию вируса не подверглись."

стр. 38

Нетрудно догадаться, что число оптимистов, которые верят заявлениям официальных представителей Пентагона относительно неуязвимости секретных вычислительных систем этого ведомства, значительно уменьшилось. Да и ряд военных экспертов были менее оптимистичны в оценке неуязвимости военных вычислительных систем.

Снова всплыла история о том, как несколько лет назад группа специалистов решила негласно проверить степень этой "неуязвимости". По образному выражению одного члена этой группы, правительственные системы "оказались похожи на швейцарский сыр, через дырки которого проникнуть внутрь можно без особого труда".

Масла в разгоравшийся огонь уничтожающей критики подлило сообщение о том, что заражения компьютерных систем Пентагона вирусом Морриса можно было избежать, если бы в свое время соответствующие органы прислушались к предупреждениям специалистов об уязвимости UNIX и рекомендациям использовать вместо нее более защищенную операционную систему VMS.

Основным и достаточно сильным доводом в руках Пентагона был факт, что вычислительные системы и сети, в которых проходит или содержится секретная информация, являются полностью автономными, т.е. физически не соединены с внешними компьютерными системами. Тут же следовал вывод о том, что вирус Морриса не может поразить основные военные системы, поскольку он (вирус) просто не сможет в них попасть!

Как говориться, три "ха-ха": а что было бы, если бы Моррис или кто-нибудь еще запустил аналогичный вирус не во "внешней" системе каковой может считаться Arpanet - а в любой из закрытых "автономных" систем? Чем бы тогда закончилась вся эта история?

Неважно, что вирус Морриса не уничтожал данные, а "просто" блокировал сеть. Чтобы представить себе возможные результаты блокировки ВОЕННОЙ компьютерной сети совсем не нужно обладать чрезвычайно развитой фантазией. Бывший начальник всех информационных систем Пентагона С.Уолкер (Stephen Walker) по этому поводу заявил: "Если бы кто-нибудь смог сделать с системой NORAD [G2] то же самое, что сделал Моррис с Arpanet, ушерб был бы огромен." Подумайте сами, что значит, например, вывод из строя военной системы предупреждения о нападении даже на несколько минут с учетом, что так называемое "время подлета" к американскому континенту межконтинентальных ядерных ракет составляет около получаса. А ведь вирус Морриса заблокировал Arpanet минимум на сутки!

Несмотря на очевидный промах с вирусом Морриса, военные специалисты оценивают проблему вирусов весьма дальновидно. Например, один из них заявил: "Возможные негативные последствия наступательного использования вирусов настолько велики, что по разрушительной силе и площади поражения я сравнил бы их с ядерным или химическим оружием".

Что же предпринял Пентагон после столь дорого стоившего ему инцидента?

После упоминавшейся ранее встречи, состоявшейся 8 ноября, представитель Пентагона заявил, что "процесс совершенствования программ идет полным ходом". Было объявлено также о некоторых дополнительных мерах, которые будут приняты для обеспечения безопасности военных компьютерных сетей:

стр. 39

- еще более ужесточается процедура доступа пользователей к

аппаратным и программным средствам;

- внедряется новое сложное сетевое программное обеспечение,

которое "выявляет и блокирует" все попытки вируса проникнуть

в систему;

- вводится более жесткий стандарт безопасности для военных

компьютеров.

В начале 1989 года стало известно, что DARPA планирует начать разработку новой национальной компьютерной сети Defence Research Internet [G3], которая придет на смену сети Arpanet. Сеть DRI создаст информационно-справочную базу для проводимых Управлением исследований и разработок в области систем связи, контроля и управления, обеспечит доступ специалистов управления и корпораций-подрядчиков к новому поколению систем параллельной обработки данных. Кроме того, сеть будет своего рода полигоном для отработки новых подходов и концепций развития сетевых вычислительных структур DoD. В процессе разработки новой сети будет уделено большое внимание созданию эффективных средств обеспечения безопасности сети и циркулирующих в ней данных, способных гарантировать надежную защиту от вирусных атак и других нарушений безопасности.

В настоящее время разрабатываются так называемые "доверительные системы" (trusted systems), которые надежно гарантируют, что пользователь получает доступ только к такой информации, какую ему положено читать, и может совершать с системой такие операции, на какие он имеет официальное разрешение. Специалисты утверждают, что "доверительные системы" позволяют более грамотно объединять компьютеры в информационные сети без снижения уровня безопасности. Отсутствие таких систем - главное препятствие к более эффективному использованию компьютеров в закрытых информационных сетях. До окончания их разработки информационные сети нельзя считать полностью безопасными с точки зрения возможности несанкционированного проникновения.

Таким образом, риск утраты секретной информации пока по-прежнему реален.

А теперь немного поясню сделанный мною несколько раньше намек на крайне щекотливое положение, в котором оказался NCSC.

Как я уже объяснил, NCSC обязан рождением Пентагону, так что "слава" одного из них косвенно "осеняет" и другого. Но дело обстоит гораздо интереснее: Роберт Таппан Моррис является сыном одного из наиболее известных правительственных экспертов по компьютерной безопасности - научного руководителя NCSC! Каково!

Эффект будет более поразительным, если учесть, что во время доклада Конгрессу в 1983 году именно Моррисом-старшим было высказано утверждение, что возможность обмана технически образованными новичками специалистов по безопасности является "совершенным нонсенсом".

Но и это еще не все! Оказывается, баловство с компьютерными вирусами является для Моррисов чуть ли не семейной традицией:

______________________________

[G2] NORAD - North American Aerospace Defence Command Командование аэрокосмической обороны Северной Америки.

[G3] Сеть исследований Министерства обороны - DRI.

стр. 40

Моррис-старший, работая в 60-ых годах Bell Laboratories, принимал участие в создании игры, основанной на компьютерном вирусе. Ядром этой игры, которая называлась Core Wars, была программа, которая могла размножаться и пыталась разрушить программы других игроков. [G4]

Тем не менее инцидент существенно не отразился на каръере Морриса-старшего. По крайней мере в начале 1989 года он был избран в специальный консультативный совет при Национальном институте стандартов и технологии (NIST; бывшее Национальное бюро стандартов) и курирующем его министерстве торговли. Этот совет образуется ежегодно в соответствии с положениями Закона о безопасности компьютеров (Computer Security Act of 1987). Задачами этого совета являются выработка заключений и рекомендаций по вопросам безопасности вычислительных систем правительственных ведомств США, а также решение проблем, возникающих в процессе разработки и внедрения новых стандартов защиты несекретной, но важной информации, хранящейся или циркулирующей в этих системах и т.п.

H Что об этом думали.

"Значение происшедшего не в конкретных

сиюминутных последствиях. Инцидент этот

напоминание о "Челленджере" и Чернобыле. Мы

создали такие сложные системы, что порой не

можем полностью удержать их под своим

контролем."

Дж.Уайзенбаум, сотрудник MIT.

"Молодому Моррису, на удивление,

симпатизируют очень многие - это явно

прослеживается по потоку сообщений.

Думается, настала пора исключить из

компьютерной профессии позицию 'ребенок есть

ребенок'. Или, как лучше сказано в Библии,

'Когда я был ребенком, я говорил как ребенок,

я думал как ребенок, я рассуждал как ребенок;

когда я стал взрослым, я отказался от детских

путей."

Филипп Гарднер, полковник в отставке.

"Мы не в состоянии учиться на

______________________________

[G4] Моррис-отец прокомментировал события следующим образом: "Некоторые считают, что суть проблемы состоит в том, что в США выросло новое поколение хорошо разбирающихся в технике людей, которые при желании извлечь из компьютерной системы секретные данные в состоянии преодолеть все барьеры, создаваемые специалистами по защите АИС крупнейших американских корпораций и министерства обороны... Однако все не так просто."

По мнению Морриса-старшего, именно новый вирус позволил выявить эти уязвимые места, поэтому его сын якобы сыграл "конструктивную роль" и содействовал совершенствованию методов организации компьютерных сетей и управления ими.

стр. 41

собственных успехах, но зато отлично учимся

на собственных промахах."

Генри Петровски.

Пятница, 11 ноября 1988 года.

09:27 RISKS Обсуждение непригодности UNIX для использования в

системах с более-менее серьезными требованиями к безопасности

(медицинские, коммерческие и государственные).

19:55 VIR Призыв компьютерных профессионалов наказать

злоумышленника за неэтичное поведение. Импульсивный сомнительный

комментарий Тэда Коппеля из NightLine, что Роберт Моррис имеет

будущее в области компьютерной безопасности.

Научная и компьютерная общественность разделилась в оценке вины Морриса.

Администраторы систем, проведшие дни в борьбе с вирусом, готовы были линчевать Морриса, если бы он попал в их руки. Немудрено: во-первых, обнаружение неизвестного вируса вызвало у многих нешуточный испуг за свои системы, а во-вторых, атака стала причиной внеплановой работы многих ученых и исследователей, а также лишила еще более широкий круг пользователей возможности работать с сетями, объединяющими научные центры страны. Естественно это замедлило ход научных и инженерных исследований и разработок.

Результатом вирусной атаки можно считать также отмеченное многими очевидное сокращение обмена информацией между университетами, лабораториями и т.д. посредством компьютерных сетей.

Тем не менее многие эксперты по компьютерной безопасности заявили, что вирус стал важной демонстрацией потенциальной уязвимости компьютерных систем и последствия этой атаки являются безусловно положительными в том смысле, что атака вызвала всеобщую тревогу пользователей и их заинтересованность в разработке и внедрении средств защиты от возможных атак такого рода в будущем.

На это оппоненты ответили доводом, что усиление средств компьютерной безопасности повредит экономике страны.

Существует мнение, что данный вирус в действительности является представителем полезного вида сетевого программного обеспечения. Этот класс программ может быть с успехом использован для обеспечения связи между системами и синхронизации их совместной работы. Эти же программы могут быть использованы и для выявления некорректной работы сети, выполнения задач с большим объемом вычислений, распараллеленных по нескольким системам так как если бы все эти системы представляли собой единое целое,, а также в качестве скоростной электронной почты.

Инцидент подтвердил высказанную ранее мысль, что, если ЭВМ связана с "внешним миром", т.е. подключена к сети, то не может быть и речи о гарантированной защите информации.

стр. 42

Большинство причисляет Морриса к многочисленному племени хакеров. Этот термин первоначально использовался в отношении компьютерной субкультуры, однако в настоящее время рассматривается в основном как синоним компьютерных взломщиков. В более широком - и, думается, более правильном - понимании, хакером называется человек, овладевший значительными вершинами в области компьютерных наук и фанатично преданый своему компьютерному призванию. Хакеры получают настоящее наслаждение от удачно написанной программы (не важно, своей или чужой); коллекционируют всевозможного рода ухищрения и неожиданные решения в программировании. Именно хакеры обычно первыми осваивают до тонкостей новые программные пакеты и системы, равно как именно хакеры стремятся выжать из новой техники все, на что она способна.

Если понимать термин "хакер" в предложенном смысле, то я согласен считать Морриса хакером, поскольку он не стремился напакостить, а хотел разобраться с обнаруженными им возможностями. Кстати, профессор Корнеллского университета - специалист в области компьютерной техники - признал, что Моррис вполне усвоил учебную программу и поэтому "может считаться хакером с Гарвардским образованием".

Что же касается электронных взломщиков, то они в последнее время серьезно заинтересовались компьютерными вирусами как одним из наиболее эффективных и безуликих способов внедрения в системы. В ряде публикаций даже появились рекомендации и инструкции, подробно объясняющие как составить программу-вирус.

Как вы уже знаете, АНБ и ФБР пытаются ограничить распространение небезопасной информации. Однако несмотря на все усилия АНБ и ФБР, копии вируса Морриса стали для хакеров эталонами искусства программирования. Они учатся на ней, пытаются ее усовершенствовать. Предполагается, что остатки вируса Морриса по-прежнему существуют в отдельных узлах сети Internet. Кроме того, считается, что около 1000 человек в США владеют исходным кодом вируса Морриса. Так что, если кто-нибудь из обладателей исходного кода держит его не только для коллекции, мы скоро сможем снова наблюдать нашествие этого вируса, но на этот раз он будет работать лучше, в том смысле, что принесет гораздо больше вреда.

В развитие мысли о благотворном влиянии хакерства можно привести существующее среди специалистов мнение, что США удерживают мировое лидерство в вычислительной технике и программном обеспечении благодаря таким людям, как Моррис. Пытаются даже обосновать такую зависимость: все успехи США в развитии вычислительной техники связаны с одиночками-индивидуалистами.

В качестве доказательства приводится факт, что удачные программы, получившие широкое распространение, - Wordstar, Lotus 1-2-3, Visicalc - разработали одиночки или небольшие группы. Полезно вспомнить также, что два друга - бывшие "взломщики" - Возняк и Джобс изобрели персональный компьютер, изменивший лицо Америки и всего мира.

Зато программы, созданные большими коллективами программистов (Visi-On, Jazz), оказались неудачными и привели к банкротству фирм-разработчиков.

стр. 43

До недавнего времени социологи рассматривали хакеров - в основном, конечно, из ультралевого крыла хакерства - как своего рода неудачников, пытались им помочь, трудоустроить в области информатики, являющейся предметом их интереса. Однако из это затеи ничего не вышло. Нелегальное проникновение стало для многих представителей субкультуры своего рода наркотиком. У некоторых из них удивительные судьбы.

Так, талантливый программист Дж.Дрепер в 70-е годы провел шесть месяцев в тюрьме за "нелегальное использование телефонной сети". После выхода из заключения он написал программу Easy Writer - весьма популярную в США программу обработки текстов, одну из первых, которая была использована в персональных компьютерах корпорации IBM. Несмотря на финансовый успех программы, он не так давно был снова осужден за совершение очередного "компьютерного преступления".

Что же касается вопроса о вреде, наносимом хакерством, то думается, что гораздо большую опасность для компьютерного мира представляют собой миллионы пользователей-непрофессионалов, получивших в свои руки мощную микро-технику. Именно некомпетентностью пользователей во многом объясняется столь широкое распространение компьютерных вирусов. Ведь вирусы создавались и раньше, но раньше не возникало "компьютерных эпидемий".

Например, Чейсик из лаборатории JPL, который теперь тоже борется с компьютерными вирусами, еще в 70-ых писал вирусные программы в колледже. По его словам, это был своеобразный тест на зрелость, который должен был пройти каждый программист. В этом не было никакого злого умысла. Такие программы могли мешать компьютерным пользователям в реализации их замыслов, но ничего на разрушали.

Когда Моррис-старший и Чейсик создавали свои вирусные программы, компьютерный мир был сплоченным и высокодисциплинированным сообществом. В современном мире PC большинство пользователей не являются компьютерными профессионалами. Это гораздо более хаотичное образование, являющееся привлекательной мишенью для создателей вирусов.

Еще одной интересной теорией является мысль, что современная (и самая совершенная) технология развития аппаратных и программных средств такова: хакеры отыскивают уязвимые места систем и сетей затем специалисты заделывают эти дыры. Примером такой "технологии" опять же является дело Морриса.

В силу всего сказанного не покажется крамольной мысль, высказанная Джозефом Хайландом, что компьютерные хакеры являются достоянием нации и национальной головной болью.

Как ожидается, одним из наиболее важных последствий инцидента с вирусом Морриса будет резкое изменение отношения к проблеме компьютерной безопасности. Ряд экспертов, например, из консультативной фирмы Ernst & Whinney, настаивали на пересмотре всего используемого в стране программного обеспечения. Другие отвергают эту идею, полагая, что она обойдется слишком дорого, займет много времени и ограничит право законных пользователей на совершенствование, исправление и адаптацию программного обеспечения, негативно повлияет на формирование "информационного общества".

стр. 44

Наиболее осторожные эксперты считают, что решение этой проблемы должно осуществляться на основе анализа соотношения "стоимость/эффективность", поскольку существует определенный предел, за которым дальнейшее повышение уровня безопасности оказывается не только неэкономичным, но и неэффективным. По образному выражению одного из них, "мы можем уподобиться жильцу, который, постоянно совершенствуя и усложняя систему защиты своего жилища, в итоге не сможет в него попасть."

стр. 45

Итак, почему же я предлагаю запомнить 2 ноября 1988 года.

Прежде всего потому, что начавшийся в этот день инцидент связан с компьютерным вирусом, считающимся в настоящее время наиболее опасным.

Следующим, весьма спорным, моим утверждением будет то, что вирус Морриса стал концом целого периода в существовании такого явления как компьютерные вирусы. Компьютерные вирусы становятся все изощреннее и защищаться от них - как и бороться с ними - становится все сложнее. С другой стороны, появляется все более мощные средства защиты от компьютерных вирусов. Все это позволяет предполагать, что в будущем вирусы будут создаваться хорошо подготовленными специалистами, и преследоваться при этом будут вполне определенные цели. Как сказал Стивен Росс, старший администратор фирмы бухгалтерских услуг и консультаций Delloitte, Haskins & Sells: "Эпоха вирусов-шутих, не имеющих каких-либо определенных задач или целей, кончается, перед нами - эпоха ориентированных вирусов."

Инцидент с вирусом Морриса затронул также столь многие проблемы, связанные с компьютерами, что на примере этого дела стоит внимательно и долго учиться, чтобы избежать повторения выявленных инцидентом недостатков в родных пределах.

Что касается самого Морриса-младшего, то окончательно он был приговорен к трем месяцам тюрьмы и денежному штрафу в 270 тысяч долларов, а вдобавок был исключен из Корнеллского университета.

Думается однако, что не стоит слишком сильно печалиться о его дальнейшей судьбе: уже в январе 1989 года президент Alliant Computer Systems Corp. Рон Грюнер (Ron Gruner) в ответ на вопрос журнала Computerworld по поводу намерений компании нанять на работу Р.Т.Морриса, ответил: "Некоторые очень известные в (компьютерной) промышленности люди начинали с хакерских проделок в самых изощренных формах." Приложение A стр. 46

______________________________________________________________________

Пароли, опробованные вирусом Морриса.

aaa academia aerobics airplane albany albert alex alexander algebra aliases alphabet ama amorphous analog anchor andromache animals answer anthropogenic anvils anything aria ariadne arrow arthur athena atmosphere azure bacchus bailey banana bananas bandit banks barber baritone bass bassoon batman beater beauty beethoven beloved benz beowolf berkeley berliner beryl beverly bicameral bob brenda brian bridget broadway bumbling burgess cager campanile cantor cardinal carmen caroline castle cascades cat cayuga celtics cerulean change charming charles charon chester cigar classis coffee computer condo cookie cornelius couscous creation creosote cretin daemon dancer daniel danny dave december defoe deluge desperate develop dieter digital discovery disney dog drought duncan eager easier edges edinburgh edges edwin edwina egghead eiderdown eileen einstein elephant elizabeth ellen emerald engine engineer enterprise enzyme ersatz establish estate euclid evelyn extension fairway felicia fender fermat fidelity finite fishers flakes float flower flowers foolproof football foresight format forsythe fourier fred friend frighten fun fungible gabriel gardner garfield gauss george gertrude ginger glacier gnu golfer gouge graham guest guitar guntis hacker hamlet handily happening harmony harold harvey hebrides heinlein hello help herbert hiawatha hibernia honey horse horus hutchins imbroglio imperial include ingres inna innocuous irishman isis japan jessica jester jixian johnny joseph joshua judith juggle julia kathleen kermit kernel kirkland knight ladle lambda lamination larkin larry lazarus lebesque lee leland leroy lewis light lisa louis lynne macintosh mack maggot magic malcolm mark markus marty marvin marty master maurice mellon merlin mets michael michelle mike minimum minsky moguls moose morley mozart napoleon ness network newton next noxious nutrition nyquist oceanography ocelot Приложение A стр. 47

olivetti olivia oracle orca orwell osiris outlaw oxford pacific painless pakistan pam papers password patricia peoria penguin percolate persimmon persona pete peter philip phoenix pierre pizza plover plymouth polynomial pondering pork poster praise precious prelude prince princeton protect protozoa pumpkin puneet puppet rabbit rachmaninoff rainbow raindrop raleigh random rascal really rebecca remote rick ripple robotics rochester rolex romano ronald rosebud rosemary roses ruben rules ruth sal saxon scamper scheme scott scotty secret sharks shuttle signature simon simple singer single smile smiles smooch smother snatch snoopy soap socrates sossina sparrows spit spring springer squires strangle statford stuttgart subway success summer super superstage support supported surfer suzanne swearer symmetry tangerine tape target tarragon taylor telephone temptation thailand tiger toggle tomato topography tortoise toyota trails trombone trivial tubas tuttle umesh unhappy unicorn unknown urchin utility vasant vertigo vicky village virginia warren water weenie whatnot whiting whitney will william williamsburg willie winston wisconsin wizard wombat yellowstone yosemite zap

______________________________________________________________________

ТОВАРИЩ!

При выборе своего пароля избегай использования имен жены или любовницы и вообще человеческих имен, не используй названия городов, стран и вообще всех названий! Для тех, кто не в состоянии придумать сам какую-нибудь абракадабру, советую при выборе пароля хотя бы сверяться с приведенным списком, чтобы не соответствовать восемнадцатому слову первого столбца таблицы. Приложение B стр. 48

______________________________________________________________________

Рекомендации совещания, состоявшегося 8 ноября 1988 года

I. Образовать единый координационный центр на случай подобных атак.

Центр должен работать совместно с NIST и NSA, выполняя функции обобщения данных и определения ущерба.

II. Образовать сеть аварийного оповещения.

Такой аварийной сетью связи может служить совокупность специальных телефонных линий, которая сможет заменить компьютерную сеть в случае выхода последней из строя по каким-либо причинам.

III. Создать группу ответа.

Члены группы должны иметь целью быстрое дезассемблирование вируса, создание антивируса и выработку плана восстановления сети.

IV. Образовать физическую связь с "сетью стариков" <old boy (sic) network> - признанных авторитетов в области информатики и вычислительной техники.

Это является косвенным признанием того, что вирус Морриса был дезассемблирован и уничтожен не правительственными чиновниками, а специалистами-компьютерщиками.

V. Централизованно управлять предоставлением информации прессе.

Связь с прессой - единственная обязанность правительственных органов национального уровня.

VI. Определить стандартную процедуру реакции на "промышленные промахи."

Данная атака выявила целый ряд ошибок в системном программном обеспечении, однако на данный момент не существует общепризнанного метода доказательства "промышленного" характера этих ошибок.

VII. Определить центральное место размещения сообщений о вирусных атаках.

Эти функции может выполнять EBB Dockmaster правительственной компьютерной сети.

VIII. Подключать следственные органы уже на этапе планирования и проведения мероприятий борьбы с вирусной атакой.

Это позволит следственным органам своевременно фиксировать информацию, которые впоследствии будут служить основой для расследования и формулировки обвинений.

IX. Постоянно тренировать операторов систем.

Вирусная атака показала, что многие операторы не имеют достаточных технических знаний и практических навыков даже для понимания, что их система атакована; они также с трудом обращаются с антивирусными средствами.

Приложение B стр. 49

X. Установить стандартную методологию backup-копирования.

Существующая система "зеркального" копирования потерпела крах при испытании вирусной атакой, поэтому должны быть разработаны новые стандарты и критерии копирования, информация о которых должна распространяться NIST и NCSC.

XI. Развивать набор общих антивирусных средств, включая средства дезассемблирования и анализа.

Этот набор общих средств необходимо постоянно пополнять и поддерживать в работоспособном состоянии, а также необходимо обеспечить надежный и быстрый доступ к этому набору членов группы ответа.

______________________________________________________________________ Приложение C стр. 50

______________________________________________________________________

Сколько стоил вирус Морриса.

Internet: 1200 сетей, охватывающих около 85200 узловых компьютеров

Инфицировано: 6200 машин (7,3% компьютеров сети).

======================================================================

КОСВЕННЫЕ ПОТЕРИ

Потери машинного Потеря доступа

времени -----------------------------------------------------------------Машины часами не имели доступа к сети 2.076.880 -----------------Пользователи часами не имели доступа к сети 8.307.520 -----------------Накладные расходы за час $20 $3 -----------------------------------------------------------------СТОИМОСТЬ $41.537.600 $24.922.560 -----------------------------------------------------------------

ПРЯМЫЕ ПОТЕРИ

Время работы Время работы

программистов администраторов -----------------------------------------------------------------Остановка, тестирование и перезагрузка 42.700 машин 64.050 часов 1.000 часов ---------------------------Начальный анализ проблемы на 12.400 машинах 49.600 часов 11.000 часов ---------------------------Идентификация, изоляция, удаление, чистка, восстановление работоспособности (6200 машин) 74.400 часов 2.000 часов ---------------------------Реинфекция, удаление из сети, остановка, анализ, тестирование 62.000 часов 12.000 часов ---------------------------Создание заплат, отладка, установка, тестирование, контроль и сопровождение 62.000 часов 18.000 часов ---------------------------Анализ вируса, Приложение C стр. 51

дезассемблирование, документирование (в каждой из 1200 сетей) 192.000 часов 22.000 часов ---------------------------Исправление всех систем UNIX, тестирование, контроль 105.000 часов 6.000 часов ---------------------------Другие проверки, технические совещания, другие связанные с инцидентом события 187.000 часов 264.000 часов -----------------------------------------------------------------ОБЩЕЕ ЧИСЛО ЧАСОВ 796.050 часов 336.000 часов Средняя стоимость часа $22 $42,50 -----------------------------------------------------------------ПРЯМЫЕ ЗАТРАТЫ $17.513.100 $14.280.000 ==================================================================

**********************************************************************

ОБЩИЕ ЗАТРАТЫ: $98.253.260 **********************************************************************

По самым скромным оценкам инцидент с вирусом Морриса стоил свыше 8 миллионов часов потери доступа и свыше миллиона часов прямых потерь на восстановление работоспособности систем. Общая стоимость этих затрат оценивается в $98 миллионов. Ущерб был бы гораздо больше, если бы вирус изначально создавался с разрушительными целями.

Столь необычно большая сумма ущерба объясняется гигантскими масштабами пораженных сетей (в основном - Internet) и значительным количеством пораженных систем. Internet объединяет 1200 отдельных сетей, состоящих в целом из 85000 узловых компьютеров. Вирус поразил свыше 6200 компьютеров. В результате вирусной атаки большинство сетей вышло из строя на срок до пяти суток. Пользователи, чья деятельность зависит от доступа к сети, оказались полностью изолированы, т.е. продуктивность их работы резко снизилась. Компьютеры, выполнявшие коммутационные функции, работавшие в качестве файл-серверов или выполнявшие другие функции обеспечения работы сети, также вышли из строя. Потеря доступа и вынужденный простой машин являются косвенными потерями, связанными с инцидентом, и оцениваются в сумму примерно $65 миллионов.

Прямой ущерб состоит прежде всего в затратах времени специалистов на определение пораженных систем, дезинфицирование этих систем и восстановление их нормальной работоспособности. В первые часы атаки мало кто знал алгоритм работы вируса, поэтому большинству систем была возвращена работоспособность только после дезинфекции. Процесс дезинфекции потребовал десятки тысяч человеко-часов.

После дезассемблирования вируса сотни программистов по всей стране занялись разработкой ловушек для вируса и созданием "заплат" на месте обнаруженных вирусом "дыр" в подсистеме безопасности своих систем. Эти затраты также оцениваются в десятки тысяч человеко-часов рабочего времени. Указанные и другие виды деятельности, так или иначе связанной с вирусом и продолжавшейся иногда на протяжении недель, оцениваются в 796.000 человеко-часов, что, при принятой в США средней Приложение C стр. 52

стоимости часа работы программиста в $22, составляет свыше $17 миллионов.

Время, затраченное администраторами и операторами, несколько менее времени, затраченному программистами и составляет свыше 300.000 часов. При средней стоимости часа работы персонала этого уровня в $42, общая стоимость потерь составляет свыше $15 миллионов.