5. Другие роли

Основной частью социальной инженерии является получение групповых или личных паролей путем разыгрывания роли по придуманному вами сценарию в надежде на то, что ваш собеседник подыграет вам. Но целью социальной инженерии необязательно являются пароли, и переговоры могут вестись не по телефону, а лично, либо по электронной почте. Личные переговоры требуют сильных нервов и незаурядного актерского мастерства, электронная почта больше подходит для тех, кто испытывает трудности с социальной инженерией по телефону.

Непосредственная инженерия

Любое исполнение какой-либо роли является формой социальной инженерии. Это может быть перевоплощение во вполне конкретную личность (например, президента компании, который желает знать, почему не работает его пароль), или же абстрактную (техник, который звонит, чтобы узнать, не возникло ли каких-нибудь проблем с компьютерами). При этом, как правило, используется телефон – во-первых, потому, что он дает возможность хакеру вести переговоры с удаленными пунктами, не выходя из дома, а во-вторых, телефон создает защитный барьер между хакером и его собеседником. Если беседа идет не так, как планировалось, можно повесить трубку; но если вы теряете контроль над разговором, который ведете лицом к лицу, вам нелегко будет выпутаться из этой ситуации.

Для практических занятий непосредственной социальной инженерией (т. е. лицом к лицу) существует одно неплохое правило: всегда надевать приличный костюм, который хорошо на вас смотрится. Вы должны выглядеть так, словно только что вышли из модного ателье. На худой конец, наденьте рубашку и галстук. Для женщин подойдет любая одежда в деловом стиле.

Многие методы социальной инженерии, которые срабатывают по телефону, не годятся для личной беседы. Вы не сможете притвориться, что звоните из офиса, сидя рядом с компьютером. Поэтому информация, полученная таким образом, будет минимальной, либо малоценной. Возможно, у вас появится больше вспомогательных сведений, чем необходимой на данный момент информации. Делая вид, что ищете работу в фирме, совершая экскурсию, или даже просто проникая в здание и бродя по нему в одиночестве, можно получить много полезной информации о взаимоотношениях сотрудников. Чтобы проникнуть в компанию, хакеры также часто притворяются ремонтниками, малярами и другими рабочими. Сыграть роль охранника – тоже неплохая выдумка. Прототипом непосредственного “социального инженера” можно взять социолога, который делает опрос. Вы стоите у входа в здание с ручкой и анкетой, и просите проходящих мимо людей заполнить для вас одну ячейку. “Социолога” интересуют имена сотрудников, их жен и мужей, их хобби, домашние животные и их клички, и тому подобная информация. Придя домой, попробуйте ввести всю эту информацию в качестве паролей. Вы можете возразить, что за заполнение анкеты полагается какой-нибудь приз. Что ж, анкеты могут, к примеру, разыгрываться в лотерее, а выигравшие получат билеты на какое-нибудь местное шоу или бесплатный визит в близлежащий ресторан. (Примечание: не приставайте к людям с анкетами по утрам, когда они спешат на работу).

 

Заниматься социальной инженерией можно по электронной почте или с помощью других видов контакта с пользователями. Например, если вам не хочется целый день торчать с авторучкой у входа в здание, вы можете просто оставить бланки анкет рядом с письменным ящиком или указать на них адрес электронной почты, по которому их следует переслать. Но много ответов не ждите.

Другие уловки эпистолярной инженерии принимают вид рекламы. Наклейте в компьютерном зале объявление о найме добровольцев для работы над специальным проектом. “Требуются системные менеджеры с опытом работы!” Попросите желающих заполнить почтовые карточки с именем, адресом, желательным паролем, и, возможно, типом компьютера, с которым клиент предпочитает иметь дело. Создавая такую рекламу, вам захочется сказать себе “Т-с-с-с! Это слишком явная ложь!”. Но вы не поверите, сколько людей попадается на эту удочку. Напишите, чтобы они посылали свои почтовые карточки по адресу вроде: “Университет…, отдел компьютерной техники, кабинет …”, далее укажите свой адрес. Но если вы живете в тридцати милях от настоящего университета – забудьте об этом.

Вот пример из жизни: однажды двое манхэттенских хакеров заметили, что в одном из журналов после рекламы популярной информационной системы с данными об играх осталось свободное место. Они набрали в библиотеках как можно больше журналов с этой рекламой и вставили в пустой промежуток, напечатав на принтере, следующее сообщение: “Региональные резиденты Манхэттена! Звоните (телефонный номер). Свободное членство в течение шести месяцев!” Затем журналы были возвращены в библиотеку. Когда люди звонили по указанному номеру, им включали следующую запись: “Добро пожаловать в программу свободного шестимесячного участия в сети X! Послушайте, какие потрясающие веши можно проделывать в нашей сети!..” После этого один из хакеров задавал звонившему несколько вопросов: “Где вы услышали о нашей программе?”, “Не присоединялись ли вы ранее к сети X?”, “Какими еще платными BBS или компьютерными сетями вы пользуетесь?”, “Под каким именем вы хотели бы входить в сеть X?”, “А каков будет ваш секретный пароль?”, “А вы уверены, что сможете запомнить такой пароль? Может быть, выберете другой?”. Действуя по этой схеме, они получили десяток имен для входа в компьютеры, и парочку паролей. Если вы живете в небольшом городке, такого улова у вас не наберется, но попробовать все равно стоит.

Можно также вклеить напечатанную карточку с рекламой прямо в журнал или поместить рекламу на BBS. Подобная же уловка заключается в распространении вашего номера в качестве локального переключателя звонков. Это может весьма пригодиться, если в ваших краях пока отсутствует связь Telenet или Tymnet. При загрузке пользователи увидят обычный открывающийся экран, хотя на самом деле это будет ваша модель программы. Занимаясь хакерством, вы, видимо, узнали адреса различных сетей, и сможете программно смоделировать любой подходящий входной экран. В противном случае отвечайте сообщениями вроде: “Линия занята” либо “Не удается установить связь”. В этой ситуации важным бывает правильно установить таймерные задержки, соответствующие обычным задержкам в сети.

После “соединения” с компьютером или сетью моделирующая программа продолжает работать: она запрашивает у пользователя имя и пароль, а затем “вылетает” из-за помех на линии или какой-либо другой неприятности. Если пользователь пытается тут же вызвать ее снова, можно сделать для него сообщение, что, дескать, пути передачи данных подвергаются перепроверке, или любую подобную чепуху.

Требование информации

А теперь давайте вернемся к чистой социальной инженерии, проводимой по электронной почте... Не ленитесь просматривать все компьютерные газеты и журналы, даже самые никудышные, в поисках информации о недостатках программных продуктов и лазеек в их безопасности. Журналистский кодекс чести вообще-то запрещает публикацию опасных секретов, так что точного описания ошибок в обеспечении безопасности систем вы не найдете. Вам будут попадаться заметки типа: “Вчера были пойманы четыре хакера, нашедшие лазейку в программе Х на машине Y военной базы Z”. Или: “Компания Y опубликовала предупреждение о недостатках выпушенного ею элемента Z, который создавался для защиты системы от проникновения в нее нелегальных пользователей...” Вы можете сделать следующее: отпечатайте некое псевдоофициальное заявление и отправьте его по электронной почте той самой компании, а ответ не заставит себя ждать. Содержание может быть приблизительно таким:

«Уважаемый …! До меня дошли сведения о серьезных недостатках вашей продукции, а именно элемента Z. Я веду свои дела, полагаясь на то, что наши данные находятся в полной безопасности благодаря элементу Z. Увидев, как мы обманывались в течение шести лет, я хотел бы получить от вас следующее: подробное описание изъянов, делающих ненадежным использование элемента Z, либо компенсацию за шестилетнюю эксплуатацию двенадцати непригодных элементов Z, что составит 14000 $. Жду вашего скорейшего ответа».

Заявление может также быть выполнено в духе “давайте поработаем вместе, чтобы улучшить этот мир:

«Уважаемый …! Я был весьма огорчен, увидев в номере “…” за пятницу информацию о дефектах, обнаруженных в вашем элементе Z. На моем предприятии используется двенадцать таких устройств, и мне бы очень не хотелось потерять наши данные из-за их непригодности. Пожалуйста, вышлите в заклеенном конверте объяснение данной проблемы, чтобы мои техники могли устранить неполадки как можно скорее. Спасибо за помощь.

Искренне ваш...»

Р.S. от Воронцовой Т.Г. А возможно ли это в нашей стране? (ваши размышления)

Одно из этих посланий написано угрожающим тоном, другое – нет. С одной стороны, вам не хочется, чтобы ваше письмо посчитали липовым. С другой – данная компания наверняка получит множество писем подобного содержания, большинство которых будут отнюдь не подделками. Чтобы у вас не возникло проблем, напечатайте письмо на качественной бумаге, с настоящим или выдуманным бланком наверху.

Для пущего эффекта напечатайте адрес на конверте, а вместо того, чтобы наклеивать марку, пропустите конверт через почтовый счетчик. Можно дополнительно вложить визитку собственного сочинения – их можно недорого заказать. Если компания отказывается помогать вам без подтверждения сделанной у них покупки, – что ж, вы ничего не теряете. Вы всегда можете попытаться подвергнуть социальной инженерии техников данной компании, дабы выведать у них секреты безопасности. Вдобавок существует много ассоциаций и организаций по компьютерной безопасности, которым известны подробности допущенных ошибок. Можно попытаться узнать детали, написав в тот журнал, который напечатал статью об “элементе Z”. Постарайтесь встретиться с автором этой статьи. Журналистов и газетчиков обычно на удивление просто поймать по телефону, но заполучить их для разговора – это другое дело!