Hackerem snadno, rychle a bez námahy: Jaký smysl má zapojit se do útoků na ruské webové servery

Celá věc je v praxi extrémně jednoduchá. Sám server, na kterém je stránka umístěna, není důležitý a na útoku se fakticky nijak nepodílí. Je na něm hostována jenom statická stránka s trochou JavaScriptu, který běží na straně klienta a opakovaně dělá dotazy na weby zadané v seznamu. Obvykle v nějaké podobě zobrazuje statistiku počtu požadavků, která ukazuje celkový počet požadavků a počet chyb spojení. Počet chyb časem narůstá, což dává uživateli pocit, že útok funguje. Trochu to připomíná dávné projekty typu SETI@home, jenom s poněkud nižší úrovní grafického zpracování. Což je ovšem jenom otázkou času.

Dvě hlavní otázky, které si uživatelé kladou, jsou: Je to pro mě bezpečné? A je to vůbec k něčemu dobré? A jak už to bývá, odpověď není jednoduchá.

Je to bezpečné?

Pokud se bezpečnosti týče, použití oněch konkrétních výše uvedených stránek vás v tuto chvíli nemůže nijak ohrozit. Je to v podstatě poněkud elegantnější ekvivalent toho, jako kdybyste si weby na seznamu zobrazili a položili cihlu na klávesu pro obnovení stránky. Teoreticky by se dalo, vzhledem ke „zlému úmyslu“, uvažovat o nějaké formě právní odpovědnosti, ale to je extrémně nepravděpodobné, takže toho bych se nebál. Stejně tak není pravděpodobné, že by vám dveře vyrazila úderka GRU, a to ani v případě hypotetického obsazení České republiky ruskými vojsky.

Přesto je třeba se mít na pozoru. Na jakékoliv vlně popularity se naprosto nevyhnutelně svezou pokusy o zneužití. Ačkoliv to výše uvedené stránky v tento okamžik nedělají, téměř s jistotou se objeví mnoho dalších, které ale mohou útočit na jiné weby, než byste si přáli (klidně třeba na Ukrajině), anebo budou třeba na vašem počítači těžit bitcoiny.

Další generace pak mohou sloužit k mnohem horším věcem, protože lidé se v touze páchat dobro nezastaví před ničím, a to zejména pokud se po nich nevyžaduje žádná větší osobní angažovanost než pár kliknutí myší. Zaslepeni touhou páchat dobro a podpořeni vědomím, že dělají nějaký „hacking“, budou uživatelé ochotni odkliknout spoustu varování prohlížečů a antivirů, stáhnout a nainstalovat si cokoliv, jenom proto, aby pomohli nebo uškodili.

Je to k něčemu?

Pokud se smyslu takového počínání týče, je velice malý. Je pravda, že velké množství jinak zcela legitimních požadavků může webový server zahltit. Nicméně vzdorovat takovému typu útoku, jaký nabízejí tyto služby, je extrémně jednoduché. Veřejně dostupné stránky webů tohoto typu bývají mohutně cacheované nebo statické, takže jsou servery schopné ustát velkou zátěž.

Navíc je extrémně jednoduché napsat na web serveru nebo předřazeném WAF (Web Application Firewall) omezení, které vyfiltruje opakované požadavky. Například na Microsoft IIS je to otázkou jednoho řádku v konfiguraci: pokud z nějaké IP adresy přijde více než X požadavků za N sekund, adresu na M minut zablokuj. Hotovo. To může být důvodem, proč weby vracejí chyby.

Prostě si vás někdo všiml a automaticky vás na nějakou dobu zablokoval, takže bušíte na zavřené dveře. Pro mnoho ze zmíněných webů pak může být zcela bezbolestné přístup z konkrétních zemí zablokovat úplně. Jejich obsah není beztak určen pro zahraniční publikum, takže lze – opět za cenu několika řádků v konfiguraci – například zablokovat nebo zpomalit požadavky přicházející z České republiky. Zdánlivá pomalost nebo nedostupnost webů tedy nemusí znamenat, že útok byl úspěšný. Například RT.com už má aktivovanou ochranu před útoky tohoto typu, jiné stránky se zdají nedostupné a nejde o krátkodobý stav. 

Samozřejmě shora uvedené platí pro weby dobře navržené a spravované. Pokud je úroveň státního IT v Rusku srovnatelná s tou naší, může i takto primitivní útok způsobit jisté drobné potíže, jako nedostupnost webového serveru a podobně. Ale i pokud k tomu dojde, neznamená to reálný problém pro příslušnou instituci. Opakovaným voláním webu ruské prezidentské kanceláře nehacknete Vladimiru Vladimiroviči server, ale – ekvivalentně vzato – strhnete plakát z nástěnky. 

Chcete-li mít dobrý pocit, že pomáháte válečnému úsilí, a zároveň se nechcete příliš angažovat, klidně si stránku tohoto typu nechte v prohlížeči otevřenou. Nicméně z mého pohledu to nejvíce připomíná scénu z filmu Starship Troopers. Ve (fiktivním) vládním propagandistickém vysílání v průběhu války lidí proti mimozemšťanům připomínajícím brouky malé děti nadšeně a hrdě rozšlapávají pozemské brouky a s heslem „doing our part“ mají pocit, že pomáhají zachránit svět.

Elektronické útoky jako takové v aktuální válce na Ukrajině hrají důležitou roli. Ruské servery nečelí jen amatérským snahám o zahlcení, staly se terčem hackerů z celého světa včetně uskupení Anonymous, které se k útokům na ruské vládní weby přihlásilo. Nedostupné jsou stránky ruské vlády i ministerstva obrany.