Pokud hodlají softwarové společnosti snižovat výskyt virů a červů zatýkáním jejich tvůrců, nečeká nás příliš světlá budoucnost.
Autor červa Sasser, který je zřejmě letošním nejnepříjemnějším útočníkem na naše počítače a který využívá – nic nového pod sluncem - další bezpečnostní chybu ve Windows ve službě LSASS (odtud název), byl zatčen (a následně propuštěn). Je již možné použít slovo „autor“, neboť mladík, kterému bylo v době spáchání útoků sedmnáct let, se přiznal; jeho jméno je Sven Jaschan a je z německé vesnice jménem Waffensen.
Podle některých vyjádření byl takto zatčen a usvědčen mimořádně nebezpečný zločinec. Bezpečnostní agentura Sophos například tvrdí, že jeho výslech může „pomoci odhalit a rozbít podzemní síť tvůrců červů“, a nadšení neskrývá i právní ředitel Microsoftu, který si pochvaluje, jak to všechno pěkně funguje, jak rychle zapracovala síť vyšetřovacích institucí na obou kontinentech a jak pěkně pomohla k dopadení odměna (až 250 000 USD) vypsaná Microsoftem. Německá policie pak podobně vzletně hovoří o „milníku ve válce proti kyberzločinu“.
Mezitím zatčený mladík, vysokoškolský student, který podle všeho žil osamělým životem a pro kterého bylo programování koníčkem, říká, že napsáním červa chtěl pomoci své mamince, které se nedařilo v podnikání. Dle německých zákonů mu hrozí až pět let vězení za „sabotáž“, nicméně případ je komplikovanější o to, že pravděpodobně v době napsání červa byl nezletilý, nyní však, když červ škodí, překročil práh dospělosti. Dále vyšlo najevo, že pachatele jednoduše napráskala pětice jeho kamarádů, kterým se zřejmě chlubil, jaký je frajer – Microsoft jim za to dal 25 000 dolarů (jednu nulu si mezitím smázl). Tolik k onomu fantastickému policejnímu úspěchu a rozbití rozsáhlé podzemní sítě.
Prezentování hackerů a autorů virů jako členů jakýchsi rozsáhlých „podzemních“ organizací je další dalším uměle vytvořeným mýtem, který má zřejmě ospravedlnit nasazení intenzivní a nákladné mašinérie – aby se náhodou média nezačala ptát: „A to jste utratili zde těch sto milionů dolarů a nasadili do akce dvacet tisíc lidí, abyste chytili jednoho školáčka z německého maloměsta, který to všechno způsobil zpoza jednoho počítače u sebe v obýváku?“ Bohužel to tak je a nedá se s tím mnoho dělat, ale říkejte to masovým médiím.
Zde si ale ujasněme, že se ve skutečnosti o žádné „internetové Al-Kájdy“ nejedná: jsou to vesměs osamocení, často asociální mladí lidé, kteří nevytvářejí žádné pevné a militantní organizace, ale maximálně sociální sítě (social networks), nemají žádné vůdce ani ideologii a v podstatě se jen baví tím, že mohou škodit. Členství v těchto kroužcích pro ně končí v okamžiku, kdy se zamilují, popřípadě ožení a tyto neplechy jim jejich lepší polovička vymlátí z hlavy.
Samozřejmě: stíhání a trestání autorů škodlivého software dle platných zákonů je naprosto v pořádku. Svou činností působí škody – maličké až obrovské – a měli by za ně být zodpovědní. Avšak chlubit se dopadením autorů coby milníky ve válce proti cyberzločinu je tak dětinské, že je až s podivem, že tyto názory mohou dnes zastávat dospělí lidé, dokonce i tehdy, když se jedná o policajta.
Není vůbec náhodou, že se mezi autory virů a červů tak často objevují velmi mladí lidé; mezi dopadenými téměř nikdy nenajdeme žádného protřelého gangstera, který si zločin vybral jako své povolání. Typický autor viru či hacker je mladý kluk, který si své místo na zemi dosud nenašel, který se chce hrozně proslavit, ukázat okolí, jaký je chlapík, který touží po mediální pozornosti. Je příznačné, že naprostá většina virů a červů přímo neškodí (přičemž by pro ně bylo naprosto snadné promazat kousek pevného disku), pouze se množí. Mnohé jsou považovány spíše za varování před bezpečnostními dírami – ostatně i Sasser v sobě obsahoval několik textů varujících uživatele před tím, že nemá záplatované Windows.
Autora viru či hackera lze svým způsobem připodobnit k osobám, které hrozí falešnými bombovými útoky (falešné telefonáty): z důvodu spíše mírně vyšinuté osobnosti způsobí poplach, paniku i škody a pak se někde ve skrytu tetelí radostí, když sledují večerní zprávy.
Jistě, jedná se o velice nepříjemný a odsouditelný jev, ale stačí nám troška rozumu a citu k uvědomění si propastného rozdílu mezi těmito „zločinci“ a skutečnými kriminálníky. Dokonce i pod pojmem „kyberzločin“ vnímáme cosi jiného: luxování kreditek, přesměrovávače hovorů, nigerijský scam, falešné nabídky zboží a služeb – obvykle přímé okrádání osob, tj. v podstatě „obyčejná“ zločinnost, která pouze využívá internetu jako jednoho z komunikačních kanálů. (Nigerijské dopisy mně chodily běžnou poštou v letech 1993-1997 v počtu přinejmenším jednoho měsíčně; mail je levnější, takže dnes chodí jeden denně. Neříkejme tomu ale „internetová zločinnost“, protože to je stejně nevýstižné jako „dopisová zločinnost“!) Psaní virů a červů k obohacování ve většině případů nevede, a přinejmenším toto je důvod k zamyšlení, zda není ve zmíněné „válce“ vhodné použít jiné prostředky než autory někam zavírat.
Dokud budou počítačové systémy vykazovat takovou míru bezpečnostních děr, navíc většinou velice snadno využitelnou, budou se vyskytovat viry a červi v neztenčené míře. Čím víc se bude policie věnovat vyšetřování těchto činů, tím více a lépe se budou autoři chránit. Je velmi snadné vytvořit virus bez jakékoli identifikace autora či jeho počítače a je relativně snadné jej pustit do světa např. z internetové kavárny ve velkoměstě, následně pečlivě vymazat vše, co doprovázelo tvorbu viru, a o všem pak mlčet.
Stíhání autorů virů místo prevence, tj. tvorby bezpečnějších systémů, tvorby a šíření automaticky fungujících záplatovacích a automaticky se updatujících antivirových programů může dospět k tomu, že se viry a červi stanou skutečnou zbraní podsvětí, případně nástrojem nefalšovaného terorismu a součástí některého z příštích útoků teroristických a extrémistických skupin proti západním zemím.
Lze nabídnout ještě jednu úvahu (ne že bych se s ní ztotožňoval, ale je zajímavá). Současní autoři virů a červů jsou de facto užiteční, neboť pomáhají budovat imunitu. Škodí (rýma také škodí), ale nejsou smrtící, a nutí uživatele ke správným návykům, jako je záplatování OS, k zakoupení, užívání a updatování kvalitního antiviru – a potažmo i vývojářské firmy k tvorbě lepších, bezpečnějších operačních systémů.
Tím je svět jakž takž bráněn před skutečně smrtícím (záměrně destrukčním) útokem, který by mohl nejen nenávratně zničit data na milionech desktopů a serverů, ale také při načasování a kombinaci s jinými typy útoků, včetně fyzických, způsobit katastrofu i se ztrátami na životech.
Je to sice přitažené za vlasy – podobně by se dalo říci, že není špatné, když se vykrádačům bytů dá šance trénovat naostro, alespoň si lidé pořídí lepší zabezpečovací zařízení – ale zkusme si odpovědět na otázku: měli bychom tak chráněné počítače, záplatovali bychom tak často, vyráběly by antivirové firmy tak kvalitní software a věnovaly by softwarové firmy tak velké úsilí bezpečnosti, nebýt množství současných, ještě relativně neškodných útoků?