欺骗的艺术 作者: 美 凯文·米特尼克-第25章
按键盘上方向键 ← 或 → 可快速上下翻页，按键盘上的 Enter 键可回到本书目录页，按键盘上方向键 ↑ 可回到本页顶部！
————未阅读完？加入书签已便下次继续阅读！
她一早上都在忙其它事情，然后在下午查看了她的语音信箱，她想要的信息都在。在挂电话之前，雪莉清除了问候语：如果不小心的话会留下她的声音记录。
身份盗窃是美国增长率最高的犯罪形式，“在”新世纪的犯罪中，总会有下一个受害者。雪莉用她刚刚得到的信用卡与身份信息开始了刷卡消费。
过程分析
在这个骗局中，攻击者首先让语音信箱管理员相信她是公司的一名员工，这样他就帮她设置了一个临时的语音信箱。如果他进一步进行了核实，他会发现她给出的名字和电话号码可以和公司的员工数据库列表匹配。
接下来的事情很简单了，以电脑故障为由，请求需要的信息，并要求在语音信箱中留言。有什么能阻止员工和同事分享信息？只要看到雪莉提供的内部分机号，就没有任何怀疑的理由。
米特尼克语录
试着偶尔打到你自己的语音信箱，如果你听到问候语不是你的声音，你可能已经遇到你的第一个社会工程师。
提供帮助的秘书
骇客（Cracker）罗伯特·乔迪（Robert Jorday）经常入侵一家环球公司的网络，鲁道夫海运公司。最终这家公司发现有人入侵了他们的终端服务器，通过这台服务器用户可以连接到公司的任意一台计算机。为了维护公司网络，这家公司决定在每一台终端服务器上添加一道拨号密码。
罗伯特伪装成法务部的律师打电话到网络操作中心说他无法连接网络，接电话的网络管理员解释说出台了新的安全措施，所有的拨号访问用户都必须从他们的经理那里获得一个每月密码。罗伯特想知道经理是怎样得到这个每月密码，得到的回答是，下个月的密码会写入备忘录，然后通过办公室邮寄给每一位公司经理。
这让事情变得很简单，罗伯特稍微调查了一下，然后在月初打电话到这家公司，连线了一位经理的秘书，她说自己叫珍妮特。他说，“嗨，珍妮特，我是研发部的兰迪·古德斯丁（Randy Goldstein），我知道备忘录里有从公司外部登录终端服务器的每月密码，但是我怎么也找不到，你能从你的备忘录找到它吗？”
是的，她说，她找到了。
他问她是否可以把它传真过来，然后她同意了，他给了她一个前台接待员（在这家公司的另一栋大楼里）的传真号码，他已经安排好了一切，包括把密码传真转发出去。在这里，罗伯特转发传真的方法有点与众不同，他给了接待员一个在线传真服务的号码，如果他们收到了传真，系统会自动转发到客户的电子邮箱地址。
新密码将被发送到一个Email秘密传送点，罗伯特选择了中国的免费电子邮箱。他知道如果这个传真被跟踪了，调查者可以与中国官方合作把他给揪出来，但是，他们也许并不想被这种小事打扰。最棒的是，他甚至没见过那台传真机。
米特尼克语录
人们总是乐于帮助一名熟练的社会工程师，接收一份传真并把它转发到另一个地方似乎是无害的，让一个接待员（或其他人）答应帮忙实在是太简单了。当有人向你请求一些信息时，如果你不认识他或无法核实他的身份，只要拒绝就可以了。
交通法庭
或许每一个接到过超速罚单的人都做过关于逃避处罚的白人梦，不去交通法规学习班，只支付罚款，或碰碰运气设法让法官相信警车计速器（或雷达测速仪）出了一些技术问题。利用系统的漏洞，这个美好的愿望即将实现。
骗局
虽然我不建议你使用这种方法逃避罚单（有句话说的好，请勿轻易尝试），但这仍然是一个很好的社会工程学案例。
我们就叫这个交通违规者保罗·杜里（Paul Durea）好了。
第一步
“霍伦贝克区，洛杉矶警察局（LAPD）。”
“你好，我想和传票管理员谈话。”
“我就是。”
“好的，我是米查姆和塔尔波特的代理律师，我需要在法庭上传唤一名警官。”
“没问题，你要传唤谁？”
“肯德尔警官是你们区的吗？”
“他的编号是？”
“21349。”
“是的，你什么时候需要他？”
“下个月的某个时候，我还需要传唤其他几个证人才能确定开庭时间，肯德尔警官下个月有哪些安排？”
“让我来看看……20号到30号是他的假期，他将在8号和16号参加培训。”
“谢谢，我需要的就是这些，开庭日期定下来我会再打给你的。”
地方法院，办事员前台
保罗：“我想要确定一下这张交通告票的开庭日期。”
办事员：“好的，我可以帮你安排在下个月的26号。”
“好，我想要安排一次传唤。”
“你想为交通告票传唤某个人？”
“是的。”
“好吧，我们可以把传唤设在明天上午或者下午，你想设在什么时候？”
“下午。”
“传唤设在明天下午1：30，在第六法庭。”
“谢谢，我会来的。”
地方法院，第六法庭
日期：星期四，下午1：45
办事员：“杜里先生，请靠近长椅。”
法官：“杜里先生，你了解你的权利了吗？”
保罗：“是的，法官大人。”
法官：“你愿意参加交通法规学习班的培训吗？你的案子将在你成功完成8小时的课程后取消，我查看了你的档案，你目前符合标准。”
保罗：“不，法官大人。我恳请审判此案。还有一件事，法官大人，我要出国一段时间，只在8号和9号有空，能不能把我的案子的审判放在其中一天？我明天就要到欧洲进行商务旅行，我将在四周后回来。”
法官：“非常好，审判设在六月八号，上午8：30，第四法庭。”
保罗：“谢谢你，法官大人。”
地方法院，第四法庭
八号那一天，保罗很早就到了法院。当法官进来的时候，办事员给了他一张未出庭的警官列表，法官召集了所有被告，包括保罗，然后告诉他们他们的案子被取消了。
过程分析
当警官开罚单的时候，他会把他的名字和他的证件号码写在上面（或者其它可以联系他的私人号码），找到他工作的地方简直是小菜一碟。只要打个电话到号码服务台，查询一下写在传票上的执法机构名（公路巡逻局、县警察局、或者其它），事情就成功了一半，接着和那个机构取得联系，他们能提供给呼叫者传票管理员的电话号码。
执法部门的官员经常被法院传唤出庭作证：这是他们的职责之一。当检察官或辩护律师需要一名警官出庭作证时，如果他知道系统是怎样运转的，他就会首先确认这名警官是否有时间出庭。这很容易办到：只要打个电话给那里的传票管理员就可以了。
在谈话中，律师通常会询问那名警官在某月某日是否时间，为了实现这个骗局，保罗稍微变通了一下：他用一个似是而非的理由获知了那名警官无法出庭的时间。
当保罗第一次到法院去的时候，他为什么不直接告诉法院办事员他想安排在哪一天？答案很简单——我个人认为，大多数地方的交通法院办事员不允许让公众成员选择开庭日期，如果办事员提出的日期当事人无法接受，她会提供一个折中的选择，但是她会做出很大的让步。另一方面，想要获得额外的传讯时间的人可能会更走运一些，保罗知道他可以申请传讯，并且法官通常会为传讯安排指定的日期。他请求在那名警官参加培训的那一天开庭，要知道在这种情况下，警员培训比出庭作证要重要得多。
米特尼克语录
人类的思想是一种神奇的产物，比如人们在脑海里设计骗局得到他们要想的东西或者脱离险境。你可以在公共与私营部门中利用同样的创造力与想像力保护信息与计算机系统的安全。所以，各位，当你们制定你们公司的安全策略的时候——要打破常规去思考问题。
在交通法院，如果传唤的警官没有出现——案子就会被取消，没有罚款，不用去交通学校，没有分数，最棒的是，不会留下任何交通肇事的记录！
我猜会有一些警务人员、法院办事员、检察官和类似的人读到这个故事会摇摇头，因为他们知道这种骗局是可行的，但他们只是摇摇头而已，我敢打赌不会有任何改变。就像电影《通天神偷》（1992年）中科斯莫说的那样，“一切只和零与一有关”——意思是，最终，所有的东西都将归结为信息。
只要执法机构愿意把一名警官的日程表提供给任何一个打电话来的人，人们躲避交通罚单的能力就会一直存在下去。聪明的社会工程师可以利用它来获取你不想让他们知道的信息，在你的公司或机构的程序中有类似的缺口吗？
萨曼塔的报复
萨曼塔·格雷森生气了。
她一直在为她的大学商学位而努力，为此她还申请了一大笔助学贷款，因为她总是听到别人说，大学学位能让你成就一番事业，大学学位能让你赚到很多很多的钱。然后她毕业了，却发现自己连一份合适的工作都找不到。
收到蓝贝克制造公司的聘用协议着实让她高兴了好一阵子，虽然这份秘书工作对她而言实在是大材小用，但卡特莱特先生说他们很欣赏她，并承诺在下一个非行政职位空缺时将她纳入候选人中。
两个月后，她听说卡特莱特先生的一个产品采购经理离职了，那天晚上她很久都没有睡，想象着自己在五楼办公室出席会议并参与公司决策的样子。
第二天一大早她就遇上了卡特莱特先生，他说他们觉得在她胜任这一职位之前，她还需要学习更多的行业知识，然后他们从公司外面雇用了一个外行人，一个比她差多了的外行人。
她很快就明白了：这家公司有很多女职员，但她们清一色的都是秘书，他们不会给她一份经理工作，永远也不会。
报复
她花了差不多一个星期才想好怎样报复他们。大概一个月前的产品发布会上，有一家商业杂志的记者想要采访她，几周后那个人打来电话说，希望她能提供一些Cobra 273的未公开信息，作为回报，他会送花给她，并且如果这些信息很有吸引力，他会专门从芝加哥跑来约她吃饭。
她每天会有一段时间待在乔汉森先生的办公室里，所以当年轻的乔汉森先生登录公司网络的时候，她站在后面看得一清二楚（有时候这也称为肩窥），他输入的密码是“marty63”。
她的计划已经开始实施了。她记得有一份备忘录是在她来公司后不久分发的，她在其中找到了一份复印件并仿照原始版本打印了一份新的，内容如下：
TO：C。 比尔顿，IT部
FROM：L。 卡特莱特，开发部
马丁·乔汉森将转到我部门的专业研究小组工作，因此我授权他访问开发组使用的服务器，乔汉森先生的安全配置将更新为产品开发者权限。
路易斯·卡特莱特
术语
肩窥：通过监视用户输入，窃取密码或其它用户信息的行为。
当大部分人都出去吃午餐的时候，她把卡特莱特先生的签名从最初的备忘录上剪切下来，粘贴到她的版本上面，并在四周涂上修正液。她把成果复印了一份，然后再复印了一份复印件，你几乎看不到签名四周的痕迹。最后她在卡特莱特先生办公室附近的传真机上把它发送了出去。
三天后，等到所有人都离开了公司，她走进乔汉森的办公室，尝试用的他的用户名和密码（marry63）登录网络，结果成功了。
只用了几分钟她就找到了Cobra 273的产品规格文件并将其下载到了Zip磁盘上。
当她在凉爽的夜间像风一般走入停车场的时候，那张磁盘正平平安安地待在她的钱包里，等待着和那名记者的见面。
过程分析
一个不满的员工，一次文件搜寻与快速剪切粘贴…修正液操作，少量有创意的复印与一份传真，然后，瞧！——她得到了机密的商业产品技术规格书。
几天以后，一家商业杂志的新闻记者独家报导了一个热门新产品的技术规格书和产品销售计划，这些都在产品发布之前几个月出现在了该杂志的所有订阅者手中，竞争对手将有几个月的时间抢先开发同类产品并在他们的广告活动中做好准备影响Cobra 273的发售。
当然，这家杂志绝不会透漏他们的消息来源。
防范措施
当被请求任何有益于竞争对手的贵重、敏感或关键信息时，员工们必须了解通过来电显示验证外部人员的身份是不被允许的，必须要有一些其它的验证方法，比如与此人的主管联系，确认这些请求是合法的，用户已被授权接收这些信息。
各公司必须自行控制验证程序中安全与效率的平衡。哪些安全措施应当被优先考虑？员工们会不会抵制这些安全措施？甚至绕过它们以完成他们的工作任务？员工们了解为什么安全对公司和他们自己都如此重要吗？这些问题的回答将帮助建立基于企业文化和商业需求的安全策略。
大部分人难免会认为这些安全措施妨碍到了他们的工作，连绕过它们都是在浪费时间。可以通过宣传和教育，鼓励员工们把安全工作当成他们的日常职责。
尽管不能用来电显示验证外部呼叫者的身份，但是另一种叫做自动号码识别（ANI）的服务却可以。当一家公司开通了免付费电话（由公司支付呼入费用）时，这种服务可以准确地识别呼叫者。与来电显示不同的是，电话公司交换机不会接受客户发送过来的呼叫号码，ANI传输的号码是分配给呼叫用户的付费号码。
另外，一些调制解调器厂商把来电显示功能添加到了他们的产品里，为保护企业网络而设定了只接受指定电话号码的远程访问。调制解调器的来电显示功能可以在安全级别较低的环境下作为身份验证的手段，但是，众所周知，伪造来电显示对于计算机入侵者而言并不是一件难事，因此在安全级别较高的情况下不能据此判断呼叫者的身份或位置。
在身份盗窃的案例中，管理员在企业电话系统上为入侵者创建了一个语音信箱，为了防止此类事件的发生，企业应当规定所有的电话系统、语音信箱和所有的企业目录（不管是印刷的还是在线的）在被使用时必须提出书面请求，形式固定，员工经理应当在这份请求上签字，然后交语音信箱管理员核实。
企业安全策略应当规定，在创建新的计算机账户或增加账户权限时，必须向系统管理员或他（或她）的指定负责人核实该请求，可以在纸质或在线公司目录上找到相应的电话号码。如果你们公司使用经过数字签名的安全电子邮件，这种折中的验证方法也可以接受。
记住，每一个员工（不管他是否能访问公司的计算机系统）都有被社会工程师利用的可能性。每个人都必须接受安全知识培训。所有的行政助理、接待员、电话接线员和安全警卫都必须要熟知各类社会工程学攻击（大多数都是针对他们的），这样他们才能更好地防范这些攻击。
第十四章 商业间谍
针对政府、企业和大学机构的信息安全威胁已经很好地得到了介绍，几乎每一天都会有媒体报导新的计算机病毒、拒绝服务式攻击、电子商务网站的信用卡信息盗窃案。
我们经常读到关于商业间谍的新闻，比如，Borland指责Symantec盗窃商业机密，Cadence设计规划公司控诉竞争对�
