Кевин Митник и социальная инженерия

Имя Кевина Митника всплывает почти в любом разговоре о социальной инженерии. Иногда кажется, что до него никто не обманывал людей по телефону, а после него уже нечего добавить. Его известность понятна. Истории о доступе через обычный разговор запоминаются лучше описания сетевого протокола.

Посмотрим, что известно о самом Митнике, какую роль в его работе занимал обман и что из этой истории полезно для защиты. С биографией придётся быть аккуратнее. Судебные документы, воспоминания и популярные легенды рассказывают о ней по-разному.

Кто такой Кевин Митник

Кевин Дэвид Митник родился 6 августа 1963 года и умер 16 июля 2023 года. Даты указаны в мемориальной записи King David Memorial Chapel & Cemetery. Он стал известен как хакер, а позднее занимался консультированием, выступлениями и книгами о безопасности.

В его истории соседствуют телефонные сети, корпоративные системы и разговоры под чужими ролями. Фрикинг, которым часто объясняют начало этой истории, связан с исследованием и использованием телефонной инфраструктуры. Всю социальную инженерию он не охватывает.

Интерес к Митнику хорошо показывает привлекательность человеческого способа доступа. Можно долго искать программную ошибку, а можно убедить человека помочь с нужной операцией. Дальше всё равно имеют значение технические права, устройство сети и контроль действий.

Основные даты

Арест и приговоры

Сообщение Минюста США от 15 февраля 1995 года подтверждает арест. В нём также упоминаются осуждение 1988 года и нарушение условий надзора. Новые действия в тот момент описывались как обвинения и предмет расследования.

В кратких биографиях описание подозрений при аресте иногда пересказывают как уже подтверждённый судом факт, а затем дополняют поздними воспоминаниями. В результате разные свидетельства объединяются в одну историю, и читателю становится трудно понять, откуда взялась каждая подробность.

В реестре United States v. Mitnick, 2:96-cr-00506, есть запись о принятии признания вины 26 марта 1999 года и о назначении наказания 9 августа. Последняя содержит срок 46 месяцев и отсылки к другим срокам по связанным делам.

Поэтому фраза «пять лет за один взлом» слишком сильно упрощает события. В разных описаниях цифра может относиться к отдельному приговору, связанным срокам или фактическому времени в заключении. Для сравнения надо выяснять, что именно посчитано.

О чём Митник говорил в Сенате

2 марта 2000 года он выступил перед комитетом Сената США. В показаниях безопасность рассматривалась вместе с физическим доступом, сетью, компьютерными системами и работой персонала. Митник объяснял, как обман помогает получить сведения через доверие к собеседнику.

Этот документ интересен самим разбором. При этом выступление участника остаётся его свидетельством. Все личные рассказы оно независимо не проверяет.

Получить те же данные другим путём

В одном из примеров обсуждается выдача резервной копии человеку, который представляет себя уполномоченным получателем. Защищённая основная система остаётся на месте, а носитель с данными уезжает через другой процесс.

При выдаче резервной копии требуется подтвердить право конкретного человека получить этот носитель. Уверенный разговор и знание назначения архива такого подтверждения не дают, поэтому проверка должна быть предусмотрена в процедуре выдачи.

Сам пример из выступления также не означает, что каждое описанное действие совершил лично Митник. Это иллюстрация риска, и использовать её стоит в таком качестве.

Помочь открыть вложение

Другая схема соединяет сообщение с файлом и последующий звонок. Разговор создаёт контекст, в котором вложение кажется ожидаемым. Технический объект и человеческое убеждение работают вместе.

С точки зрения получателя неизвестный документ не становится разрешённым от того, что кто-то объяснил его назначение по телефону. Нужно подтвердить отправителя и задачу через известный рабочий процесс.

Проверять только почтовый фильтр здесь недостаточно. В разговоре появляется дополнительный участник, способный ответить на вопросы и снять сомнения.

Собрать небольшие сведения

Имя сотрудника, внутренний номер и название сервиса по отдельности могут казаться мелочами. Вместе они помогают следующему собеседнику выглядеть своим. Особенно если от имени знакомого подразделения он просит выполнить привычную операцию.

Сведения о внутренней терминологии помогают начать убедительный разговор, но право получать документы или менять доступ всё равно проверяется отдельно. Чем больше система полагается на знание таких мелочей, тем полезнее они для следующего обращения.

Почему с легендами стоит осторожнее

Митнику часто приписывают почти неограниченные возможности. В такой биографии рассказ о проникновении в любую организацию уже никого не удивляет. Но известность человека не подтверждает конкретного эпизода.

Для утверждения о доступе к определённой системе нужен проверяемый источник. Судебное решение, показания участника и рекламная история консалтинговой компании отвечают на разные вопросы. Условие заключения из воспоминаний тоже не следует автоматически превращать в установленный судом факт.

По успешному обману в одной ситуации нельзя заключить, что любой сотрудник выполнит ту же просьбу или что технические средства бесполезны. Результат зависит от условий, прав пользователя и действий после первого контакта.

Работа в безопасности

После уголовных дел Митник стал публично известен как консультант и автор. В сообщении KnowBe4 и семьи от 20 июля 2023 года указано, что в ноябре 2011 года он стал Chief Hacking Officer и совладельцем компании. Там же подтверждена смерть 16 июля 2023 года.

В защитной работе человеческие техники используют для проверки организации. До начала определяют разрешение, цель и допустимые действия. Результат должен помогать изменить процедуру или ограничить последствия ошибки.

Известность исполнителя этих договорённостей не заменяет. Важно, что именно он проверяет, какие данные получает и где останавливается.

Что читать у Митника

The Art of Deception, которую Митник написал с Уильямом Л. Саймоном, вышла в Wiley в октябре 2002 года с предисловием Стива Возняка. В книге разобраны человеческая сторона атак и меры корпоративной защиты.

Ghost in the Wires, известная как «Призрак в Сети», тоже написана с Саймоном. Оба автора указаны в каталоге Hachette UK. Здесь уже мемуарный жанр. Он даёт взгляд участника, который по спорным событиям полезно сопоставлять с документами.

Этими двумя книгами литература по социальной инженерии не заканчивается. Есть руководства по проверкам, анализу писем и обучению сотрудников. Они собраны в подборке книг разных авторов.

Что осталось применимым

Чужое имя, знание внутренних подробностей и подходящая роль по-прежнему помогают начать разговор. Слабое место появляется там, где эту убедительность принимают за разрешение на операцию.

Проверять нужно само поручение. Кто разрешил выдачу данных, восстановление доступа или перевод? Где это подтверждено независимо от текущего собеседника? После первой ошибки последствия ограничивают права, согласования и контроль дальнейших действий.

Практические проверки собраны в памятке по защите, а способы отработать их с сотрудниками в программе обучения.