Отдел новостей 29 апреля 2013, 06:40

История Weev’а: программист-карлик против федералов

Чтение комментариев к недавнему «боевику» «Будимировский айтишнег: детали к портрету» заставило меня задуматься над неявным вопросом к статье: что такое «общественно-активный программист»?

С одной стороны, мы обсудили «усеагульную млявасць i абыякавасць да жыцця» как главную причину будущего коллапса постсоветских экономик, на пепелище которых сегодня (по версии Будимира) орудуют циничные высокотехнологичные паразиты эгоцентричные ИТ-специалисты всех мастей.

С другой — некоторые из комментирующих напирают на необходимость каждого ответственного и любящего-свою-родину айтишника при первой же возможности закрыть своей грудью амбразуру дота прямо выражать общественно-социальную позицию, даже если она идет вразрез с линией партии.

Я из тех, кто не любит голую теорию и всегда предпочитает ей proof-of-concept из реальной жизни. Кроме того, мне с детства нравились истории с плохим концом (из-за своей жизненности и отсутствия в них дешевого голливудского налета), именно поэтому я расскажу вам одну из них. Итак, сегодня история американского программиста Эндрю Ауэрнхаймера (больше известного как Weev), посмотрим, «как оно работает в реальной жизни».

Любящий Америку программист начинает… и проигрывает?

История того самого «взлома»

В 2010 году на некоторых специализированных хакерских форумах появилась информация, что на центральном сайте компании AT& T (в его публичной версии, не требующей авторизации) можно ввести идентификатор пользователя ICC-ID (AT& T SIM card for iPad), а в ответ получить адрес электронной почты, соответствующий именно этому идентификатору. С одной стороны, суть этой программной ошибки заключалась в неправильной реализации связывания номера ICCID пользователя и его логина (в качестве которого и выступает e-mail пользователя). С другой — ICCID — это обычное числовое значение, которое увеличивалось по принципу инкремента для каждого нового клиента AT& T и формат которого в принципе хорошо известен.

Воспользовавшись этой информацией, американский программист-фрилансер Эндрю Ауэрнхаймер (Andrew Auernheimer) написал весьма нехитрый PHP-скрипт, который с помощью GET-запросов последовательно опрашивал все существующие ICC-ID. В результате такого «допроса» сайт AT& T возвращал либо валидный e-mail, либо сообщение об ошибке, если клиент с указанным ICCID был ранее деактивирован (или не существовал вовсе). Таким образом, уязвимая функция движка сайта позволяла получать номера ICCID всех клиентов AT& T, купивших через нее первый выпуск планшетника iPad 3G от Apple.

Общий алгоритм этого скрипта выглядел вот так:

// Create text file for email address log.
  
  integer icc = <lowest possible value for ICCID>
  integer max = <highest possible value for ICCID>
  
  do {

       URL = "http://attack-site.com/some-page&showID?sim=" + icc
       open URL
       copy email address from page
       paste email address into log file
       icc = icc + 1

} while icc is less than or equal to max

В результате подобного brute-force Эндрю нагенерил и бережно сохранил в свой локальный файл адреса электронной почты более 100 тысяч пользователей нового iPad, после чего «слил» данный файл в ведущие мировые новостные агентства (в частности, подробную серию публикаций по этому делу сделало Gawker Media).

Подоплека этого в сущности рядового взлома (из-за чего им и заинтересовались крупнейшие мировые информационные агентства) заключалась в том, что в списке опубликованных оказались персональные e-mail’ы «сильных мира сего», например: высокопоставленные сотрудники пентагоновского агентства DARPA, руководящие работники NASA и других государственных ведомств США (например, помощника президента США); высокопоставленные сотрудники Google, Amazon, Microsoft, AOL, а также верхушка Goldman Sachs, JP Morgan, Citigroup, Morgan Stanley, руководители таких компаний, как New York Times Company, Dow Jones, Viacom, Time Warner и News Corporation и так далее. Это вызвало нехилый переполох таким массовым рассекречиванием актуальных VIP-контактов.

Попутно отметив, насколько реально элитными были как минимум первые выпуски iPad, давайте плавно перейдем собственно к мотивации и личности главного героя, который стоял за этим «жудасным выпадкам».

Цели, мотивации, личность

Цель этой и многих других предшествующих акций Эндрю — привлечение внимания социума к общественно важным темам. В данном случае GreyHat-хакер хотел показать, что личные данные граждан, которые они беспечно доверяют встречным сайтам и организациям, потенциально уязвимы, и «с этим нужно срочно что-то делать, чтобы изменить ситуацию к лучшему». Целью предыдущей акции Эндрю Ауэрнхаймера (это апрель 2009-го) стал известный интернет-магазин Amazon. Взломав его, Эндрю продемонстрировал хорошую литературную осведомленность: он отобрал все известные литературные произведения с участием геев, представленных в данном интернет-магазине, и самовольно переместил их в категорию «порнография». До этого у него был менее известный взлом LiveJournal, на котором, кстати, сам Weev ведет один из своих блогов.

Эндрю Ауэрнхаймер — современный celebrity hacktivist с помесью талантливого интернет-тролля. Это программист, который посредством своих профессиональных хакерских умений декларирует намерение оказать некое «образовательно-созидательное воздействие на общество». Но для достижения этого нужны специальные «инструменты», которые он и организовал.

Во-первых, это небольшая собственная команда хакеров-единомышленников Эндрю под названием Goatse Security, которая ищет (и находит) новые уязвимости, а затем через взлом пытается превратить это в некую броскую публичную акцию с общественно-политическим подтекстом. В конце ноября 2012 года Эндрю написал свою статью в центральном айтишном журнале Америки Wired Magazine, в которой призвал всех хакеров мира придерживаться определенной этики взлома сайтов, построенной по принципу «не навреди», а также использовать все найденные 0day-эксплойты в «социальных интересах общества и справедливости», приглашая сторонних хакеров-исследователей к сотрудничеству на ниве «построения диалога с обществом».

Во-вторых, он создал собственную сетевую организацию Gay Nigger Association of America (GNAA), которая представляет собой сообщество известных интернет-троллей (по типу 4chan), которые могли объединяться для проведения крупных общественных акций, суть которых сводилась к разжиганию масштабных холиваров на пустом месте, в идеале перекидывающихся за пределы интернета в оффлайновые СМИ. Для этого использовались разные методики троллинга, но чаще всего применялся механистический подход — crapflooding. GNAA также генерировала ложные новости и факты, которые были неоднократно опубликованы различными официальными СМИ, для чего создавались многоходовые комбинации. Например, именно эти тролли взломали сайт BarackObama.com, тогда еще кандидата в президенты США Обамы, где, протестуя против его лояльности к ЛГБТ-теме, агитировали сразу вступать его выборщиков в Gay Nigger Association of America.

Что касается личной жизни, то у Эндрю она отсутствует как класс — вся его жизнь и увлечения есть лишь продолжение его работы, а еще точнее — бурной интернет-деятельности. Например, будучи горячо верующим христианином, он создал свою собственную сетевую церковь и провозгласил себя iProphet (термин не имеет никакого отношения к своеобразному способу общения, популярного в некоторых слоях Facebook). Своей пастве, состоящей главным образом из >9000 его фолловеров, на своем канале YouTube он периодически проповедует Библию. Впрочем, в прошлом году его экстравагантная трактовка Библии была забанена модераторами этого видеосервиса, и он перебрался на свой отдельный сайт.

Несмотря на свою непритязательную внешность, Эндрю Ауэрнхаймер имеет репутацию geek Casanova, и хотя он до сих пор холост, постоянно путается в многочисленных подругах, с которыми также знакомится исключительно через интернет. Так же как и Джулиан Ассанж, которого пресса называла не иначе как a nerdy sex god, все скандально известные деятели из интернета, вероятно, обладают каким-то специфическим «сетевым флюидом», привлекающим современных американских женщин (желающие попытаться разобраться в этой «магии VIP-технарей» могут ознакомиться с официальным dating-профайлом Weev’а вот здесь).

И, наконец, мы подходим к поздней и самой актуальной фазе деятельности Weev’а, где фокус его интересов резко сместился в область политики. Он стал одним из ярых приверженцев конспиративной версии событий 911, обвиняя американское правительство в инсценировке атаки исламистов на знаменитые небоскребы WTO. Кроме того, он стал одним из активистов-организаторов акций Occupy Wall Street в Нью-Йорке, используя возможности интернета для мобилизации и агитации своих сторонников для участия в антиправительственных манифестациях.

Economic deprived ghetto

Собственно, странности начались в 2011 году, сразу после старта его политической компании «по изменению родного государства в лучшую сторону». Эндрю рассказывает, что сначала его партнеры-работодатели вдруг начали избегать его и отказываться от работы с ним по самым разным, подчас самым нелепым предлогам.

Я заметил, что любая попытка ассоциации людей со мной может буквально «сжигать мосты» между нами. Никто из живущих в Америке даже не задумывается, что все деньги, которые выплачиваются ему, фигурально выражаясь, могут быть получены лишь при молчаливом согласии на то U.S. Government. Неважно, исправно платите ли вы налоги и соблюдаете ли вы все законы своей страны — они могут просто сказать свое твердое «нет», после чего все начнут избегать вас как прокаженного».

Я намеренно вначале так подробно описал суть конфликта этого программиста с AT& T, потому что дальше последовало возбуждение уголовного расследования со стороны FBI по давно остывшим следам этого былого «взлома», который целый год никак не расследовался и никого не интересовал.

Далее последовал обыск в доме Weev’а, на компьютере которого ничего компрометирующего не нашли, но зато в доме были найдены наркотики и психоделики. После этого Weev съехал и стал вести «мобильно-бездомный образ жизни», постоянно курсируя между Сан-Франциско и Нью-Йорком. Он пишет, что его родителей регулярно прессуют представители американских спецслужб, в частности, уже после его отъезда их дом попеременно посещали USA Secret Service и FBI. В связи с этим Эндрю высказывает горькое сожаление, что его родители, будучи очень напуганы, предпочли сотрудничать с «федами», дав показания фактически против своего сына. Он называет свою маму после ее двухчасовой обработки «федами», как brainwashed drone of a state gone mad:

Кроме того, эти спецслужбы устраивают интервью для СМИ с моими родителями и не менее напуганными друзьями, фактически под дулом пистолета диктуя им, что говорить, и умело разворачивая общественное мнение против меня, публично девальвируя мои отношения и мои взгляды в глазах общества. Как минимум моя семья уже разрушена, теперь я враг американского государства даже в глазах самых близких мне людей.

У меня никогда не было врагов. И вот случилось удивительное: в моей жизни появился мой первый личный и могущественный враг — это федеральное правительство США. Я отчетливо понимаю, что я слишком мелкая сошка, чтобы атаковать меня из-за какой-то личной неприязни или чей-то обиды, единственная серьезная причина этого — успешность моей сетевой социально-политической деятельности».

Был бы человек, а статья найдется

Если взять для описания итогового результата нашей истории чекистские обороты лидера одной большой соседней страны, которые он использовал для описания похожего по своей противоречивости случая, то его знаменитая фраза с минимальной адаптацией к нашему случаю будет звучать примерно так: «Это дело докатили до суда, а суд залепил ему трешечку». Как он добавил после небольшой паузы: «Я здесь ни при чем. Он этого сам хотел, вот он и получил это».

Суд: Эндрю Ауэрнхаймер vs. AT& T (рисунок от Gawker Media)

В конце-концов, пару недель назад 27-летний хакер Эндрю Ауэрнхаймер был признан виновным в несанкционированном доступе к серверу AT& T и «присвоении чужих данных». В общей сложности он приговорен к трем с половиной годам тюремного заключения, дополнительно — после освобождения — к трем годам обязательного надзора и запрета работы в течение этого срока с любыми компьютерами, а также к выплате штрафа в $73 тыс. И все это за простенький PHP-скрипт, который собирал e-mail’ы фактически из открытых источников.

Дополнительно важно подчеркнуть, что установленная судом последовательность событий, предшествовавшая этому взлому, такова: сначала Эндрю уведомил AT& T о существующей проблеме, затем он дождался устранения этой уязвимости на сайте и только потом опубликовал детали этого инцидента в специализированных технических интернет-изданиях, соблюдя все этические моменты, установленные в подобных случаях.

Абсурдная суровость этого судебного решения привела к тому, что известный в Америке профессор и адвокат из George Washington University Орин Кэр (Orin Kerr) решил на безвозмездной основе присоединиться к юридической команде Weev’а по опротестовыванию решения суда в вышестоящей инстанции. Орин не понимает, в чем вообще может быть проблема? Фонд электронных рубежей также официально объявил, что оплатит работу юристов для помощи группе поддержки Эндрю Ауэрнхаймера, которая собирается подавать апелляцию.

Сам Эндрю обратился к своим фоловерам в Твиттере с призывом не переживать за него, по его мнению, было изначально ясно, что в этом юридическом процессе они проиграют, впереди апелляционный суд в Филадельфии, где на стороне программиста Weev’а будет играть уже целая когорта высокопрофессиональных и именитых юристов. Впрочем, Эндрю считает, что его все равно посадят, и морально уже готов к такому повороту событий, правда, подчеркивает он, это сделают «вовсе не за этот злосчастный взлом сайта AT& T»…

Бонус к статье: 10 дополнительных фактов о Weev’e и его жизни

1. Эндрю говорит, что такие активисты, как он, жертвуя собой, противостоят законам типа CFAA (Computer Fraud And Abuse Act), сфера правоприменения которых постоянно расширяется бесконечными поправками — постоянно увеличивающаяся степень регулирования интернета уже угрожает всем обычным пользователям сети.

2. Некоторые читатели, вероятно, могли заметить, что Эндрю в своем твиттере-аккаунте @rabite твитил даже после своего ареста. Сам по себе этот факт уже вызвал внутреннее расследование правительственной US Security Service против тюрьмы Brooklyn MDC на предмет того, как их заключенный мог получить доступ в интернет? Разгадка очень проста — Weev использует специальную государственную программу «интернет для бедных и временно заключенных» по оффлайновому доступу к сети (кому интересно, вот подробности о ней — Trust Fund Limited Inmate Computer System, TRULINCS).

Вид из текущей камеры Эндрю, тюрьма Brooklyn MDC, NY. Февраль 2013 года

3. Во время процесса Эндрю категорически запрещалось общаться «со своими подельниками», для чего он был изолирован от любых внешних контактов. Ниже фотопример того, как Weev троллит US Security Service, посылая некое тайное криптосообщение «своим сообщникам» в выпуске новостей, для большей аутентичности подкрепляемое припиской «yes, that’s me»:

4. Сейчас Эндрю 27 лет, его рост 150 см, он болен глютеновой болезнью, что требует постоянного соблюдения весьма жесткой диеты.

5. Эндрю программирует на языках PHP и LISP.

6. Будучи небогатым человеком без постоянного места жительства, «подрабатывающим в качестве программиста-фрилансера», Weev является владельцем автомашины Rolls-Royce Phantom (если кто не в теме, можно погуглить по фразе «Rolls-Royce Phantom стоимость»);

7. По законам США запрещена любая фото- и видеосъемка в процессе судебных разбирательств, поэтому Weev нанял профессиональную художницу, которая должна присутствовать на суде, а после издать образовательно-юмористический комикс для техногиков с подробным содержанием всего судебного разбирательства с хакером.

8. Визитка Weev’а с одной из компьютерных конференций (в подписи — цитата из его описания в рамках уголовного дела против программиста).

9. В 2009 году Weev был осужден за незаконный переход границы Республики Кыргызстан (Kyrgyzstan), но был отпущен после вмешательства посольства США. В том же году он со своей подругой потерпели крушение над Индией на частном самолете, который принадлежал отцу его девушки, но, к счастью, никто не пострадал. На момент своего ареста Weev успел побывать в 43 странах мира.

10. Многие наблюдатели отмечают странный синхронизм между днем ареста Эндрю и недавним самоубийством основателя популярного ресурса Reddit и известного сетевого активиста Аарона Шварца (Aaron H. Swartz), с которым Weev очень плотно совместно работал над общественными интернет-проектами.

Несмотря на свое тюремное заключение, Weev просит его многочисленных почитателей (кучкующихся под хештегом #freeweev) не расходиться, обещая им впереди еще больше «лулзов» в своем исполнении.