Hlavní navigace

Trampoty s heslem

Vojtěch Bednář 29. 7. 2009

Kdysi dávno jsem se spolupodílel na projektu jednoho programu. Program to byl jednoduchý – čtení a zápis do databáze, analýza obsahu. Co jednoduché nebylo, bylo bazírování zadavatelů programu na bezpečnosti. Vše muselo být „echt“. Nedávno se mi dostalo trochu pochybné cti pokusit se jej opět uvést do provozu.

Vojtěch Bednář

Ilustrace: Nenad Vitas

Aby mohl uživatel program používat, musel zadat postupně dvě hesla a jedno jméno. První z hesel jej opravňovalo k tomu, aby program vůbec naskočil. Druhé v kombinaci s uživatelským jménem zpřístupňovalo zašifrovanou databázi. Jakýkoliv administrační zásah, respektive změna kteréhokoli z asi padesáti nastavitelných parametrů, vyžadovaly heslo další; tentokrát správcovské.

Databáze byla nejenom šifrovaná (proprietární algoritmus vycházející z blowfish), ale obsahovala také velmi šikovný mechanismus ověřování integrity. V době, kdy o virtualizaci v podmínkách desktopu nebylo ani potuchy, dokázal program v rámci ochrany před prolomením rozpoznat hrátky hackera se systémovými hodinami, s vnitřními registry a dokonce i pokusy o odposlechnutí jeho vnitřních stavů. Zkrátka a dobře, na to, jak byla samotná funkční část primitivní (několik matematických funkcí, uživatelské rozhraní na bázi tří formulářů a tiskový modul) byl bunkr okolo ní takřka neprůstřelnou haldou betonu.

Ačkoli s daným programem již nemám nic společného a program navržený původně pro Windows 98 patří vlastně dávno do křemíkového smetiště, dostalo se mi trochu pochybné cti pokusit se jej opět uvést do provozu. Háček? Majitelé, přesněji řečeno jejich nástupci, znali pouze přihlašovací údaje k jednomu z uživatelských účtů (byly uloženy ve speciální databázi, která se editovala jednoúčelovou utilitou, dnes již ztracenou v propadlišti dějin). Heslo pro vstup do programu (nastavené napevno, uložené v nečitelné podobě ve spustitelném souboru) i heslo pro administraci (totéž a obě netriviální) se jaksi „vykouřilo z paměti".

Strávil jsem u vizualizovaných Windows 98 pár hodin čistého času. Během této doby jsem se částečně holedbal nad tím, jak byla bezpečnost programu i databáze ve své době na výši, částečně proklínal vlastnosti znemožňující mne pustit dovnitř (program mimo jiné po každých pěti špatných pokusech o zadání vstupního hesla maže sám sebe i s databází a nechává si o tom v registrech systému poznámku pro případ reinstalace). Reinstaloval a promazával jsem asi tak desetkrát. Když už jsem to takřka vzdával, napadalo mne zkusit kontaktovat jednoho z původních programátorů a požádat jej o radu – dotyčného jsem nedávno potkal, a tak jsme na sebe měli aktuální kontakty.

Kolega byl k mému štěstí právě doma, a tak měl čas se prohrabat letitými papíry s naději povzbuzujícím mumláním „tam někde byl takový fíglík“. Chvilku to trvalo, ale nakonec našel.

„Stačí v adresáři s programem vytvořit prázdný soubor admin.txt. Pak budou všechna jednorázová hesla nastavená na heslo. Rozumíš? Heslo je heslo,“ ozvalo se ze sluchátka. Dal jsem na jeho radu a ono to opravdu fungovalo. Letité uživatelské rozhraní naskočilo a po vstupu do účtu ožila i databáze. Chlouba fortifikace počítačového softwaru druhé poloviny 90. let padla během třiceti sekund. Bylo mi jasné, že jak jsem to udělal, se majitelé nesmí nikdy dozvědět.

WT100

Dozvěděli, a díky tomu to teď víte i vy. A jaké z toho plyne ponaučení?

I ty nejpevnější pevnosti mívají nejhloupěji schovaná zadní vrátka. Trampoty s komplikovaným heslem (originál administračního měl deset znaků a byl neslovníkový, což muselo ve své době administrátorům trhat žíly) mohou mít jednoduchý konec, nicméně stejně tak mohla mít snadný konec i celá snaha o superodolný program. Přitom kdyby byla opatření méně přísná a uživatelsky více přívětivá, třeba by se program obešel bez zadních vrátek.

Našli jste v článku chybu?
Podnikatel.cz: Udělali jsme velkou chybu, napsal Čupr

Udělali jsme velkou chybu, napsal Čupr

Vitalia.cz: Dostal malý pivovar ze Slovenska do Tesca

Dostal malý pivovar ze Slovenska do Tesca

DigiZone.cz: Nova opět stahuje „milionáře“

Nova opět stahuje „milionáře“

Vitalia.cz: Muž, který miluje příliš. Ženám neimponuje

Muž, který miluje příliš. Ženám neimponuje

120na80.cz: Co je padesátkrát sladší než cukr?

Co je padesátkrát sladší než cukr?

Vitalia.cz: dTest odhalil ten nejlepší kečup

dTest odhalil ten nejlepší kečup

Vitalia.cz: Test dětských svačinek: Tyhle ne!

Test dětských svačinek: Tyhle ne!

DigiZone.cz: RRTV: licence pro Šlágr TV

RRTV: licence pro Šlágr TV

Lupa.cz: Kde leží hardwarový pupek světa?

Kde leží hardwarový pupek světa?

DigiZone.cz: Mordparta: trochu podchlazený 87. revír

Mordparta: trochu podchlazený 87. revír

DigiZone.cz: Test: brýle pro virtuální realitu Exos Urban

Test: brýle pro virtuální realitu Exos Urban

Podnikatel.cz: Babišovy firmy a registr smluv. Co odhalil?

Babišovy firmy a registr smluv. Co odhalil?

Podnikatel.cz: Poslanci chtějí sebrat majetek Bakalovi

Poslanci chtějí sebrat majetek Bakalovi

Vitalia.cz: Inspekce našla nelegální sklad v SAPĚ. Zase

Inspekce našla nelegální sklad v SAPĚ. Zase

DigiZone.cz: Pure má tři nové přijímače DAB

Pure má tři nové přijímače DAB

Lupa.cz: Další Češi si nechali vložit do těla čip

Další Češi si nechali vložit do těla čip

Lupa.cz: Jak se prodává firma za miliardu?

Jak se prodává firma za miliardu?

DigiZone.cz: ČT začne vysílat z Hradce Králové

ČT začne vysílat z Hradce Králové

DigiZone.cz: O2 TV doplnilo kanály HBO v HD

O2 TV doplnilo kanály HBO v HD

120na80.cz: Hrbatá prsa aneb mýty o implantátech

Hrbatá prsa aneb mýty o implantátech