Kevin Mitnick v Sloveniji

V sklopu letošnje konference INFOSEK 2008 - FORUM, v organizaciji podjetja Palsit d.o.o., bo na predkoferenčni dan Slovenijo obiskal svetovno znani računalniški heker Kevin Mitnick.

Vse se je začelo, ko je bil Kevin še v najstniških letih. Že pri 12 letih je spoznal načine verbalnega manipuliranja z ljudmi, kar danes poznamo kot tehniko imenovano socialno inženirstvo (social engineering). V srednji šoli se je seznanil še z načini manipuliranja s telekomunikacijsko opremo (phone phreaking) in z uporabo radioamaterskih zvez (v Združenih državah imenovano HAM Radio).

V tem omrežju je vzpostavljal stike s somišljeniki širom države. Z izrednim smislom za razumevanje tehnologije je bil hitro sposoben le-to obvladovati bolje kot njegovi sovrstniki. Kmalu se je razvedelo o Kevinih podvigih in losangeleški policijski postaji ni bilo težko obdolžiti ravno njega, ko so ugotovili, da se nekdo vmešava v za njih rezervirano frekvenčno območje.

Kevin je z nekaterimi prijatelji, ki jih je spoznal preko radioamaterske povezav, navezal tudi stik v živo. Kot skupina so se skupaj lotevali raznih podvigov: brskanja po smetnjakih (ang. dumpster diving) računalniških in telekomunikacijskih podjetij, izvajanja socialnega inženirstva z namenom pridobitve gesel in podatkov o zaščitenih računalniških ter telekomunikacijsikih omrežjih ter nenazadnje tudi nepooblaščenih dostopov do različnih baz podatkov.

Najbolje je Kevin obvladal socialno inženirstvo (ang. social engineering), po čemer je znan še danes. Pri svojih 17 letih je bil videti za svoja leta veliko starejši, njegov glas pa ga pri tem tudi ni izdal. Leta 1981 se je s prijateljem Roscoem v poznih nočnih urah napotil do podjetja Pacific Bell, ki je nudilo telekomunikacijske storitve, in tamkajšnjega varnostika prepričal, da je njihov uslužbenec iz druge izpostave. Nekaj minut zatem je iz podjetja odšel z večjim številom zapiskov in tehničnimi navodili za upravljanje sistemaa COSMOS (Computer System for Mainframe Operations). Računalniški program COSMOS se je v tistem času v ZDA uporabljal za upravljanje s telekomunikacijskimi sistemi. S tako pridobljenim znanjem je bil sposoben nadzorovati in uporabljati veliko večino telekomunikacijsikih naprav.

Kevinu so njegova dejanja in znanje prinesli nezaželen ugled. Po vsakem incidentu, ki je bil povezan z računalniškim ali telekomunikacijsikm omrežjem, so okrivili ravno njega, saj je bil edini, za katerega so vedeli, da je sposoben takšno dejanje izpeljati. To mu je prineslo tudi težave v službi, ko so bile ugotovljene nepravilnosti v računalniškem programu.

Leto in pol v zaporu

Leta 1988 je bil Kevin obsojen na leto in pol zaporne kazni, ker je vdrl v računalniško omrežje podjetja DEC in si ogledoval izvorno kodo operacijskega sistema VMS. V času prestajanja zaporne kazni je preživel 8 mesecev v samici z le enournim dnevnim izhodom, saj so se bali, da lahko le z dostopom do telefona sproži napad neznanskih razsežnosti. Po izpustitvi je bil še 3 leta pod stalnim nadzorom policije, prepovedan pa mu je bil dostop do kakršnekoli številčnice ali tipkovnice.

John Markoff, novinar New York Timesa in soavtor knjige o Kevinu z naslovom “Cyerbpunk”, ki je prvič izšla leta 1991, je s svojimi članki na naslovnici prej omenjena dnevnika, javnost zavajal z nedokazanimi trditvami in tako ustvarjal zmotno prepričanje o Kevinu. Leta 1994 je sestavil seznam najbolj nevarnih kiberkriminalcev, na katerem se je Kevin znašel na prvem mestu. Prevladovala je euforija in ljudje so mislili, da za vsakim napadom na računalniški ali telekomunikacijsiki sistem stoji Kevin.

Kevina so leta 1995 prijeli v Severni Karolini. Ker FBI in zvezna policija nista bili dovolj strokovno usposobljeni, sta na pomoč poklicali računalniškega strokovnjaka Tsutoma Shimomuro. Shimomuro je skupaj s podjetjem Netcom, od koder naj bi Kevin odtujil 20.000 številk kreditnih kartic, več dni analiziral dnevniške zapise o vdoru. Kevina so izsledili v njegovem takratnem stanovanju s pomočjo prisluškovanja njegovemu mobilnemu telefonu. Po prijetju je izšel nov članek za NYT, ki je Kevina obtoževal še dodatnih kaznjivih dejanj. Na zaslišanju je bil obtožen za skupaj 25 kaznjivih dejanj.

Junija leta 1998 je bil najavljen film Takedown (1999), ki prikazuje najbolj dramatično obdobje življenja Kevina Mitnicka do njegovega prijetja. Ker je scenarij za film vseboval veliko neresnic, se je ustanovitelj organizacije 2600 Enterprises Inc. Eric Corley (bolj znan kot Emmanuel Goldstein) odločil organizirati gibanje “FREE KEVIN”, pod katerim je nastopil s številnimi shodi.

Na potovanju po Združenih državah je ljudi seznanjal o krivici, ki se godi Kevinu. Obiskal je številne inštitucije, ki naj bi jih Kevin tako ali drugače oškodoval, nobena izmed njih pa ni bila pripravljena oz. ni smela potrditi očitkov. Vse dogodke je Emmanuel dokumentiral z video posnetki in leta 2001 izdal dokumentarni film z naslovom “Freedom Downtime”. 1. decembra leta 1999 je bila vzpostavljena spletna stran www.freekevin.com, na kateri se je nahajal časovni števec, ki je prikazoval, koliko časa je Kevin že zaprt brez sojenja. V tem času je marsikatera spletna stran doživela razobličenje (defacement), na njej se je pojavil napis “FREE KEVIN”.

Med najbolj odmevne napade na računalniške in telekomunikacijske sisteme, ki so jih pripisali Kevinu, spadajo vdori v NORAD, kraja podatkov za 20.000 kreditnih kartic, kraja izvorne kode operacijskega sistema Solaris, vdor v računalniške mreže podjetij Novell, Nokia, Motorola in druga. Za mnoge obtožbe niso bili nikoli zbrani dokazi, pri nekaterih pa so z ocenjeno škodo grobo pretiravali. Podjetje Sun Microsystems naj bi Kevin samo z ogledom izvorne kode in kopiranjem le-te na svoj računalnik oškodoval za več milijonov dolarjev. Ne dolgo zatem pa je postala ista izvorna koda brezplačno javno dostopna.

Zanimivo je to, da se Kevin Mitnick v kibersvetu ni nikoli predstavljal pod kakšnim vzdevkom. Pri svojem delu ni nikoli uporabljal hekerskih napadalnih orodij. Za doseganje svojih ciljev je uporabljal zgolj socialno inženirstvo in ostale praktične metode analiziranja računalniških in telekomunikacijsikih sistemov le z uporabo programov, ki so del operacijskega sistema. O svojih podvigih se ni nikoli hvalil.

Danes je Kevin Mitnick lastnik podjetja Mitnick Security Consulting, ki se ukvarja s svetovanjem na področju računalniške varnosti.