211service.com
Dokumenty ve věci
Dopis od Carla Payna přišel na jaře roku 1998. Byl psaný rukou - bez hlavičkového papíru. Bylo mi to podezřelé. Být fejetonistou pro Boston Globe a autor sedmi knih, dostávám svůj podíl na komunikaci od bláznů, šílenců a trestanců. Ale Payne, jak jsem si brzy uvědomil, nebyl žádný z výše uvedených.
Payne napsal, že byl obžalovaným v trestním případu počítačového hackingu. V prosinci 1994, ve věku 28 let, pomohl založit poskytovatele internetových služeb v Utahu, který se nakonec jmenoval Fibernet. Ale na podzim roku 1996 správní rada odhlasovala sesazení Payna poté, co se s mužem, který se chystal stát se novým prezidentem Fibernetu, zatvářil.
Týden poté, co Payne opustil Fibernet, se někdo naboural do počítačů společnosti a vyplenil jejich systémy. Fibernet Paynea okamžitě osočil a přesvědčil kancelář státního zástupce okresu Utah, aby ho obvinila z porušení paragrafu 76-6-703 Utahského trestního zákoníku, počítačové zločiny, zločin druhého stupně. Obžaloba měla hromadu důkazů, případ šel před soud a on potřeboval moji pomoc.
Na první pohled Payne skutečně vypadal jako pravděpodobný viník. Studie ukázaly, že většinu počítačových zločinů páchají nespokojení zaměstnanci. Většina případů počítačového hackingu, které se dostanou do soudní síně, se soustředí na nějaký aspekt zákona, například zda byl hack nezákonný – a ne na tom, zda to podezřelý skutečně udělal. Nikdy jsem neslyšel o případu, kdy by obžalovaný hacker trval na své nevině, zejména v
ve světle tvrdých důkazů. Ale to je právě to, co Payne dělal. Zaujatý jsem mu zavolal.
Po telefonu byl Payne hovorný, přátelský - a velmi ustaraný. Dohodli jsme se, že mi pošle všechny důkazy, které kancelář okresního prokurátora poskytla jeho právníkovi. Posoudil bych jeho kvalitu a napsal zprávu. Kdyby se případ dostal k soudu a on by mě stále chtěl, přijel bych do Utahu a svědčil. Byla by to moje první práce placeného znalce.
Uplynul týden a do schránky mi dorazil tlustý balíček. Obsahoval Payneův popis incidentu, policejní zprávu, výpovědi všech zúčastněných a téměř 200 stran počítačových výtisků. Po čtyřech hodinách strávených hloubáním nad dokumenty jsem se vynořil do obývacího pokoje a řekl své ženě: Panu Payneovi to nevypadá dobře.
Payneův poslední den v práci byl 30. října 1996. 6. listopadu se někdo přihlásil do každého z hlavních počítačů Fibernetu a začal mazat soubory. Webové stránky zákazníků a e-maily byly vymazány. Účetní informace byly vymazány. Poté útočník získal přístup ke každému ze speciálních komunikačních počítačů společnosti, nazývaných routery, a vymazal jejich programování. Nakonec společnost ztratila více než polovinu svých zákazníků, propustila mnoho zaměstnanců, své manažery nechala bez platu a téměř spadla.
Payne, který byl hlavním technickým důstojníkem Fibernetu, měl jistě znalosti nezbytné k tomu, aby útok zvládl. A po svém zpackaném odchodu mohl mít motiv: pomstu. Zdá se, že Payneovým směrem ukazují i některé další detaily: Mezi několika účty použitými při hacku byl jeden zvaný carl, který pravděpodobně patřil jemu, účet zvaný dowling, který patřil jednomu z jeho
přátelé a jeden s názvem usenet. Někdy před útokem někdo upravil účet usenet a dal mu úplná systémová oprávnění, čímž vytvořil – pro použití žargonu počítačové bezpečnosti – zadní vrátka.
Ale možná nejtragičtějším dokumentem v balíčku byla zpráva policisty, který šel po útoku do Paynova domu. Když důstojník dorazil, zjistil, že Payne přeformátoval pevný disk jeho domácího počítače a přeinstaloval operační systém. V odpadkovém koši vedle počítače byl
hromada disket. Důstojník nezabavil Payneův počítač, ani nezabavil diskety – později u soudu vypověděl, že předpokládal, že jakýkoli potenciálně užitečný důkaz byl již zničen.
Všechno to vypadalo podezřele. Ale další telefonát Payneovi přinesl jiný pohled. Payne mi řekl, že minulý týden, co byl ve Fibernetu, předal všechna administrativní hesla společnosti novému prezidentovi. Následující den Payne zjistil, že jeho heslo bylo změněno. Payne řekl, že ráno v den útoku se několikrát pokusil vytočit Fibernet na svém modemu, se vzdálenou pravděpodobností, že jeho účet byl nějakým způsobem znovu aktivován, ale nikdy se úspěšně nepřihlásil. Ve skutečnosti přeformátoval
jeho domácí počítač, protože se zhroutil pokaždé, když Fibernet odmítl jeho heslo. Všechny ty disky v koši, řekl, byly staré soubory, kterých se zbavoval v rámci přípravy na stěhování do Kalifornie.
Nebyl jsem si jistý, komu mám věřit, ale Carl Payne se mi začal líbit. Před 10 lety to mohl být já – technicky důvtipný geek, který se dostal do problémů se spoustou obleků, kterým vyhovovaly tabulky lépe než kompilátory C. Možná to udělal, možná ne. Ale bližší prohlídka počítačových výtisků, které tvořily jádro případu obžaloby, mě přesvědčila, že:
bez ohledu na to, kdo byl viníkem, nebyl dostatek důkazů, aby někoho usvědčil.
Za prvé, žádný z výtisků mi neumožnil určit telefonní číslo nebo počítač, ze kterého byl útok zahájen, natož totožnost pachatele. A ještě něco, čemu se říká
důkaz ještě větší otázky: Zdálo se, že někdo manipuloval s některými soubory, než je vytiskl. Protokol měl malé typografické chyby – na jeden řádek bylo vloženo několik mezer navíc, a
dopis padl na jiný - jako by někdo vzal původní soubory protokolu do textového procesoru a vystřihl a vložil text před tiskem. To znamenalo, že informace na těchto stránkách byly podezřelé. A proč mi všechny tyto důkazy přišly v tištěné podobě? Kde byly původní elektronické záznamy? Vinen nebo ne, I
myslel si, že nikdo by neměl být odsouzen na základě zfalšovaných důkazů.
Poslal jsem Payneovi šestistránkovou zprávu a pokračoval ve sledování případu. V prosinci jsem nasedl do letadla směr Utah. Když jsem dorazil do Utah County Courthouse v Provu, úvodní argumenty právě skončily. Teorie obžaloby byla jednoduchá: Carl Payne byl technicky skvělý, ale těžko ovladatelný zaměstnanec.
Fibernet mu oznámil, že bude ukončen, Payne nainstaloval zadní vrátka, která mu umožnila vymazat firemní počítače poté, co odešel.
Ukázalo se, že při vytlačení Payna Fibernet vyhodil jediného zaměstnance schopného napravit škody způsobené útokem. Takže kromě toho, že po incidentu zavolali policii, zavolali počítačového konzultanta, aby přišel a pokusil se systém znovu zprovoznit. Konzultantka Stacey Son se stala hlavním odborným svědkem obžaloby.
Sonovo svědectví vysvětlilo, proč bylo v důkazech jen 200 stran výtisků – Fibernet ho najal, aby systém rychle zprovoznil, ne proto, aby dokumentoval škody pro vyšetřování, takže se nepokusil uchovávat potenciálně usvědčující nebo osvobozující soubory. Ukázalo se, že ani policie: Důstojník
který navštívil Fibernet a poté prohledal Payneův dům, vypověděl, že nemá žádné zkušenosti s operačním systémem UNIX, který Fibernet a Payne používali. Místo zabavování počítačů a disků důstojník jednoduše přijal papírové výtisky, které mu Fibernet předal.
Son na tribuně přiznal, že nemohl nijak prozradit totožnost pachatele. Ale největší díra v teorii obžaloby se ukázala, když se obhajoba zeptala Son na samotný útok. Bylo to špatně udělané, vysvětlil Son: Nebylo vymazáno dostatek informací. Zdálo se mi to jako dílo
amatéra s pouze základními znalostmi o systémech UNIX, ne někoho s Payneovou přiznanou zdatností.
Obžaloba ve čtvrtek, třetí den procesu, oddechla. Tu noc ve svém hotelovém pokoji jsem si znovu prohlédl ty kritické výtisky. Nejdůležitějšími exponáty obžaloby byly strany 151 a 152, které obsahovaly název každého účtu, identifikační číslo uživatele, číslo skupiny, šifrované heslo a třetí číslo.
pro účetní účely. Identifikační číslo uživatele bylo od té doby předmětem mnoha svědectví
manipulace byla kritickým krokem při vytváření zadních vrátek. O významu účetního čísla nikdo nemluvil.
V pátek ráno jsem se probudil v 5:00 ve svém hotelovém pokoji a měl jsem tušení o tom, jaké poslední číslo je nepolapitelné. Potřeboval jsem zkontrolovat dokumentaci k verzi UNIX, kterou Fibernet používal. Manuál jsem s sebou neměl, ale zapnul jsem notebook a našel jsem ho na internetu; vysvětlovalo, že toto číslo bylo použito k varování lidí, když je čas změnit jejich hesla – udávalo počet dní mezi 1. lednem 1970 a poslední změnou hesla.
Cítil jsem se hloupě. Tady byl možná nejdůležitější důkaz v celém procesu a já jsem si to ani neuvědomil až do rána, kdy jsem měl svědčit! V záznamu hesla každého účtu bylo zakódováno datum, kdy bylo heslo naposledy změněno - dekódováním čísla jsem mohl přesně zjistit, kdy byla vytvořena zadní vrátka. V hodinách před soudem jsem napsal malý program na překlad čísel.
To, co mi ukázal můj domácí program, zajistilo případ. Zadní dveře byly instalovány 31. října, den po Payneově posledním dni v práci – a poté, co byl jeho přístup k systému Fibernet již přerušen. Payne to nemohl vytvořit. A co víc, změna hesla k jinému účtu se datuje více než dva týdny po útoku, což je detail, který by byl nemožný, pokud by byl výtisk skutečně stejný, jaký udělal Syn toho dne. To nezvratně ukázalo, že řetězec důkazů byl přerušen.
V 10 hodin jsem se postavil. Popsal jsem své pověření, správné řešení bezpečnostních incidentů, nedostatek důkazů a výmluvné náznaky, že výtisky byly pozměněny. Nakonec jsem podal svědectví o tom, co jsem se toho rána dozvěděl. Od té chvíle šlo všechno rychle. Payne a jeho manželka vypovídali, právníci přednesli závěrečné řeči a porota začala jednání kolem večeře. V pozdních večerních hodinách se vrátili s jediným verdiktem, o kterém jsem si myslel, že mohou rozumně dosáhnout: nevinen ve všech bodech.
Dnes Carl Payne dohlíží na velkou počítačovou síť v Kalifornii. Fibernetu se mezitím daří. V průběhu procesu jsem uvěřil v Paynovu nevinu, ale nikdy jsem neměl pocit, že jsem se dozvěděl skutečný příběh. V závěrečných řečech obhajoba navrhla několik možností: Útok mohl provést někdo z Fibernetu. Mohl to udělat zaměstnanec, kterého Payne propustil v červenci 1996. Nebo možná
zločin spáchal neznámý hacker na internetu, nešťastná shoda okolností s Paynovým propuštěním.
Fibernet ze své strany odmítl komentovat tento článek.
Opravdu neexistuje způsob, jak zjistit, co se stalo, protože policie v Utahu neprovedla smysluplné vyšetřování. Jednoduše se zeptali oběti: Kdo to udělal? a Fibernet odpověděl: Carl Payne. Společnost pak poskytla všechny důkazy použité při stíhání. Policie nikdy
po fyzickém vloupání by následovali takové nahodilé postupy – udělali by svou vlastní detektivní práci, pečlivě shromažďovali a uchovávali důkazy. Vzhledem k tomu, že v sousedství, kterému říkáme kyberprostor, dochází ke stále většímu počtu zločinů, potřebuje policie lepší nástroje a školení. Bez toho riskujeme zpackané vyšetřování a velmi reálnou možnost, že nevinní lidé budou shledáni vinnými za podvody ostatních.