Администратору IP-сети поневоле приходится изучать возможные бреши в безопасности локальной сети в контексте подключения её к Интернету. Однако для многих пользователей эта тема остаётся загадкой, а таинственные хакеры, способные, например, находясь в другом конце земного шара, "подвесить" чужой компьютер, вызывают у некоторых благоговение. Любопытным пользователям Интернет и адресована эта статья.

Украсть или поломать...

Угроза локальной сети или даже одному компьютеру, подключённому к Интернет, может быть двух типов: злоумышленник может совершить деструктивные действия против компьютера-жертвы (например, просто "уронить" машину) или может украсть информацию. Однако потенциальные опасности для различных операционных систем различны.

Несмотря на колоссальное давление со стороны Windows NT, операционная система Unix до сих пор является стандартом в Интернет. Вероятно, это связано с тем, что Unix изначально рассчитан на работу с сетью и в сети. Невозможно представить Linux без сетевых демонов (программ, предоставляющих некий сервис в сеть) ftpd, httpd, named, telnetd и т.д. Наличие демонов стандартных сервисов глобальной сети является нормой для приличного TCP/IP стека. Поэтому не приходится удивляться, читая в новостях о том, что злобные хакеры украли данные с юникс-сервера. Однако причиной взломов является не уязвимость системы как таковой, а, как правило, халатность администраторов. Отличительной особенностью Linux является доступность множества бесплатных утилит, проверяющих наличие возможных дыр в безопасности и дающих абсолютно конкретные советы типа "Обнаружена старая версия sendmail. Во избежание проблем необходимо заменить её более свежей". В качестве примера такой программы можно привести, например, знаменитую SATAN (System Administrator Tool's for Analyzing Networks). Кроме того, информация об обнаруженных дырах в защите появляется практически одновременно с исправлениями, поэтому только лень или собственная дремучесть могут помешать администратору Linux-сервера обезопасить себя от вторжения. За обновлением коммерческих версий UNIX, как правило, внимательно следят их изготовители.

Гораздо меньше повезло армии пользователей продуктов MS. С одной стороны, украсть информацию из Windows затруднительно, за исключением возможности использования великолепного продукта BackOrifice. С другой, пользователям грозят постоянные "зависания" компьютера, а это тоже не слишком приятно, к тому же чревато потерей данных или даже нарушением работоспособности операционной системы. Впрочем, какой здравомыслящий человек доверит ответственные данные операционной системе, которая в принципе не способна на большее, чем быть платформой для игрушек, печатной машинкой и калькулятором :)? Сложность похищения информации вызвана, конечно, не безупречностью TCP/IP стека Windows, а его убогостью и, как следствие, принципиальной неспособностью операционных систем этого клана нормально предоставлять информационные ресурсы в сеть. Под убогостью стека подразумевается отсутствие в стандартной поставке сетевых демонов и крайне ограниченный набор клиентских утилит (host, nslookup, talk и т.д.) Зато существует огромное множество программок под самые разные платформы, использующих ошибки в стеке протоколов изготовления MicroSoft и способных "уронить" Windows... Ситуация усугубляется безумной популярностью всяческих Windows и не слишком порядочным поведением изготовителя этих операционных систем (см. ниже о реакции MS на появление BackOrifice). Поэтому любителям "форточек", желающим обезопасить себя от агрессоров из Интернет или от шутников из локальной сети, рекомендуется следить за патчами, появляющимися периодически на www.microsoft.com, а в случае локальной сети, подключенной к Интернет, лучше раскошелиться на какой-нибудь серьёзный продукт третьего производителя, например, Firewall-1 компании CheckPoint. В противном случае работа будет возможна только до тех пор, пока ваш IP не попадёт в руки какому-нибудь рассерженному любителю поиздеваться над майкрософтовскими багами. Таким образом, если проблема безопасности в Unix - это проблема конфиденциальности информации, то проблема безопасности в Windows - это проблема работоспособности этой операционной системы.

Не могу не сказать несколько слов о защищённости любимой мною OS/2. Мне не приходилось встречать в печати информацию о взломе OS/2, несмотря на наличие в её TCP/IP-стеке достаточно полного набора сетевых демонов. Не удалось мне также подвесить её различными утилитками. Скорее всего, причину следует искать в том, что OS/2, в отличие от Linux, - коммерческая система, но в то же время IBM значительно более ответственно, чем, например, MicroSoft, относится к качеству продаваемых ею продуктов. С появлением платного обновления стека TCP/IP 4.1 ситуация с безопасностью только улучшилась - появился встроенный в стек firewall, telnetd стал многопользовательским и т.д. Своеобразной гарантией безопасности работы OS/2 в Интернет является её небольшая распространенность и малоизученность её стека злоумышленниками.

(Окончание следует)

Степан ТРУБАЧЕВ