Hacker, nebo hrdina?

Nejde ale o termín nový, poprvé jej použil již v roce 1998 člen hackerské skupiny Cult of The Dead Cow, přezdívaný Omega. Wikipedie definuje hacktivismus jako „nenásilné použití zákonných i nezákonných prostředků k dosažení politických cílů“. O hacktivismu se v poslední době hovořilo hlavně v souvislosti s projednáváním a schvalováním návrhu zákonů SOPA a PIPA ve Spojených státech a ACTA, mezinárodní Obchodní dohody o padělání, kterou nedávno v Japonsku podepsala spolu s dalšími 22 zeměmi EU také Česká republika.

Návrhům zákonů i textu mezinárodní smlouvy se dostalo ostré a podle názoru redakce CIO zasloužené kritiky – jak kvůli tomu, co obsahují, tak s ohledem na to, co neobsahují (zejména ACTA kombinuje přenos odpovědnosti z uživatelů na poskytovatele internetových služeb, možnost zásadního omezení soukromí a dalších základních práv občanů a zároveň je značně vágní a doporučující, čímž otevírá nebezpečně rozsáhlý prostor pro nebezpečnou kreativitu legislativců v jednotlivých zemích, Česko nevyjímaje).

O tom, jak dalekosáhlý dopad na fungování internetových služeb, zejména cloudových, by legislativa, jako jsou SOPA, PIPA a promítnutí smlouvy ACTA do práva evropských zemí, mohla mít, svědčí fakt, že svůj nesouhlas vyjadřují jak „hacktivisté“ – zejména hnutí Anonymous, tak řada velkých poskytovatelů on-line služeb. Je navíc otázkou, nakolik by například ACTA z hlediska potírání nelegálního kopírování autorsky chráněných děl byla v globálním měřítku účinná, pokud by k ní nepřistoupily země takzvané skupiny BRIC (Brazil, India, China). Při bližším pohledu je zkrátka jasné, že cílem ACTA není potírání padělání značkového zboží a on-line pirátství jako takové, ale pouze efektivní odříznutí zákazníků v nejvyspělejších zemích s nejvyšší kupní silou od jejich zdrojů, což v podstatě znamená podporu udržení zastaralých obchodních modelů filmového a hudebního průmyslu. Problém je, že nezbytnou obětí tohoto „vznešeného cíle“ může být řada on-line a cloudových služeb i omezení svobody výměny informací na internetu.

Hacktivistou v několika kliknutích

Nejjednodušším způsobem, jak na nesouhlas s takovým vývojem mohou uživatelé internetu upozornit, je útok typu DDoS (Distributed Denial of Service) – přetížení internetového serveru opakovanými dotazy velkého počtu uživatelů. Do povědomí veřejnosti a médií se v této souvislosti znovu dostala v současnosti zřejmě nejslavnější skupina hacktivistů na světě, která si říká Anonymous. Ta dokázala svými výzvami zmobilizovat řady uživatelů, kteří se mohou pomocí velmi jednoduchého nástroje Low Orbit Ion Cannon (LOIC) připojit v ohlášenou dobu k danému cíli DDoS útoku. Například 19. ledna letošního roku skupina provedla sérii úspěšných útoků proti serverům FBI, Bílého domu, Universal Studios či MPAA v reakci na ukončení činnosti serveru Megaupload. Když o několik dnů později podepsalo 22 velvyslanců zemí EU v tichosti (podpis předem ohlásila pouze polská vláda, a to 19. ledna) na jednání výboru pro rybolov v Japonsku Tokiu dohodu ACTA, následovaly další útoky například na stránky OSA a českého úřadu vlády.

Útok DDoS je kouzelný svou jednoduchostí (jde v podstatě jen o zahlcení serveru webových stránek dotazy), účinností (prakticky všechny zvolené cíle byly vždy na několik hodin prakticky nebo zcela mimo provoz) a velmi obtížnou obranou. Velkým plusem je také skutečnost, že jsou-li jako cíle voleny stránky, jako jsou úřad vlády, OSA či RIAA, je splněna demonstrativní úloha útoku prakticky bez jakýchkoliv dočasných či trvalých škod. Teoreticky je možné, že při podobném útoku dojde k omezení dostupnosti stránek, které sdílejí stejnou infrastrukturu.

Jiná situace by pochopitelně nastala, kdyby si hacktivisté jako svůj cíl vybrali například stránky zpravodajského serveru nebo dokonce portálu poskytujícího placené či klíčové služby (například on--line bankovnictví) – v takovém případě by na jednu stranu bylo zajímavé sledovat, jak snadné je přehltit nesrovnatelně silnější servery než ty doposud cílené, na druhé straně není pochyb o tom, že by mohlo dojít k reálným škodám.

Některé útoky hacktivistů se však zaměřují také na prolomení ochrany serverů s cílem získání citlivých dat, které pak skupina většinou umístí veřejně na internet, aby tím daný subjekt co nejvíce poškodila. Mezi známé útoky tohoto typu patří akce Anonymous, jimž se podařilo v rámci tzv. operace Darknet odhalit skupinu pedofilů, kteří na serveru Freedom Hosting sdíleli tisíce odkazů k dětské pornografii. Skupina požádala správce o odstranění těchto odkazů – když byl tento požadavek odmítnut, nabourali se hacktivisté do serverů FH, znemožnili přístup ke všem jejich stránkám a vystavili na internet informace o více než 1 600 uživatelích těchto stránek.

Jak se bránit před hacktivistou

Možná že lepší otázka než jak je proč a zda vůbec. Bezpečnostní analytik Chad Perrin ve svém článku „How do you protect yourself from hactivism“ dochází k názoru, že vyšší riziko napadení hacktivistickou skupinou lze vypozorovat u firem či organizací, které mají tendenci chovat se v jakémkoliv smyslu „špatně“ ke svým klientům. S ohledem na sílu mediální (či nově sociálně-síťové) manipulace však lze jen velmi těžko odhadovat, zda se na stranu „těch zlých a špatných“ (a v důsledku i terčem těchto útoků) brzy nedostane také vaše organizace. Pozor by si také měly podle Perrina dát například společnosti, které se rády okázalými veřejnými prohlášeními chlubí zabezpečením svých serverů a chvástají se neproniknutelností podnikového IT.

Zdá se, že se hacktivistické útoky podobné těm, jež se odehrály po podpisu dohody ACTA a projednávaných zákonů SOPA a PIPA, budou vyskytovat i nadále, a to v míře stále hojnější. Jejich nástup není pravděpodobný, ale může být mimořádně ničivý – v zásadě jde tak o pomyslnou „černou labuť“, tak jak ji ve své stejnojmenné knize popisuje Nicholas Nassim Taleb.

„Zbraň hromadného ničení“ pochází ze síťové utility

LOIC – Low Orbit Ion Cannon (český překlad Nízkoorbitální iontový kanón). Název pochází z počítačové hry Command and Conquer a označuje název pro fiktivní zbraň. Jedná se o open source aplikaci vyvinutou společností Praetox Technologies. Sloužila k zátěžovému testování sítí, ale v současnosti dochází čím dál častěji k jejímu zneužití pro DoS útoky z internetových prohlížečů. Skupina Anonymous dokonce připravila návod a požádala své příznivce, aby se zapojili do akce Global Blackout, která byla namířena proti Ministerstvu spravedlnosti Spojených států nebo RIAA (sdružení nahrávacích společností). Do této akce Anonymous se podle odhadů zapojilo až 5 600 osob z různých zemí světa. Několik desítek útočníků se již podařilo zadržet ve Španělsku, Turecku a Velké Británii. Mimochodem, v souvislosti se zadržováním účastníků na DDoS útocích se nabízí otázka, zda by nebylo na místě uvažovat o legalizování či tolerování nějaké formy on-line protestů – ovšem za jasně stanovených podmínek, podobně jako je tomu u klasických protestních shromáždění.