"Nếu như không tìm thấy gì trên Google, người ta tưởng rằng không ai có thể tìm thấy nó. Điều này sai hoàn toàn". Đó là ý kiến của John Matherly, tác giả của Shodan, công cụ tìm kiếm đáng sợ nhất mạng Internet.
Không sử dụng cơ chế "càn lướt, sục sạo mạng web để tìm kiếm các website" như Google, Shodan chỉ tập trung thăm dò các kênh sau của mạng Internet. Nói cách khác, nó giống như một Google "ngầm", chuyên càn quét máy chủ, webcam, máy in, routers và tất cả những thứ khác, miễn là chúng có kết nối với mạng Internet.
Shodan hoạt động 24/7 và thu thập thông tin từ khoảng 500 triệu thiết bị, dịch vụ mỗi tháng.
Bạn sẽ thực sự ngỡ ngàng với những gì mình tìm thấy sau khi thực hiện một thao tác tìm kiếm đơn giản trên Shodan. Vô số đèn giao thông, camera an ninh, các thiết bị tự động trong nhà hay các hệ thống sưởi nhiệt thông minh đều kết nối với Internet và có thể dễ dàng định vị giống như bóc kẹo.
Sau một thời gian dùng quen, bạn có thể tìm thấy hệ thống điều khiển của cả một công viên nước, một trạm xăng, dàn tủ ướp lạnh rượu vang của khách sạn. Các nhà nghiên cứu bảo mật thậm chí còn có thể định vị hệ thống điều khiển và kiểm soát nhà mạng điện hạt nhân hay các lò gia tốc hạt thông qua Shodan.
Điều thực sự đáng nói về khả năng tìm kiếm thông tin của Shodan - cũng như tác nhân khiến cho nó trở nên thực sự đáng sợ - là rất hiếm những thiết bị mà Shodan có thể sục sạo được trang bị các hàng rào bảo mật.
"Bạn có thể đăng nhập vào khoảng một nửa mạng Internet với mật khẩu mặc định", ông HD Moore, Giám đốc Bảo mật của Rapid 7 bình luận. "Đó là một sự thất bại kinh hoàng nhưng chưa được thừa nhận của giới bảo mật".
Chỉ một từ khóa tìm kiếm "mật khẩu mặc định" sẽ tiết lộ vô số các thiết bị điều khiển hệ thống, máy in, máy chủ dùng "admin" làm username và "1234" làm mật khẩu chính. Nhiều hệ thống nối mạng thậm chí còn chả có mật khẩu - tất cả những gì bạn cần là một trình duyệt web để có thể kết nối chúng.
Trong bài thuyết trình tại hội thảo an ninh mạng Defcon hồi năm ngoái, chuyên gia bảo mật độc lập Dan Tentler đã trình diễn cách sử dụng Shodan để tìm kiếm hệ thống điều khiển cửa garage, máy nước nóng và dàn lạnh tổng trong các tòa nhà/căn hộ cao cấp.
Tentler đã tìm thấy một dàn máy rửa xe có thể bật/tắt chỉ với một nút bấm trên máy tính tại Đan Mạch, hoặc hệ thống điều khiển giao thông của cả một thành phố có thể được chuyển sang chế độ "test" chỉ với một câu lệnh duy nhất. Anh ta thậm chí còn tìm thấy hệ thống điều khiển một nhà máy điện thủy điện ở Pháp với 2 turbine, mỗi turbine có công suất 3 megawatt.
Sẽ đáng sợ thế nào nếu những thông tin này rơi vào tay kẻ xấu?
"Bạn có thể gây ra rất nhiều tổn thất", Tentler kết luận. Ai cũng hiểu là anh ta đã nói giảm, nói tránh nhiều lắm rồi đấy!
Câu hỏi đặt ra là vì sao tất cả các thiết bị nối mạng nói trên lại hớ hênh như vậy? Tất cả là vì sự chủ quan. Nhiều sản phẩm như khóa cửa thông minh được thiết kế để có thể nối mạng và điều khiển từ xa bằng iPhone. Người thiết kế ra chúng tưởng rằng những sản phẩm này rất khó rơi vào tầm ngắm của hacker nên bảo mật chỉ là thứ yếu.
Trên thực tế, các chuyên gia bảo mật cho rằng, lẽ ra rất nhiều thiết bị kể trên không được phép online một phút nào. Các công ty thường bỏ tiền ra sắm những hệ thống cho phép họ điều khiển hệ thống sưởi nhiệt bằng máy tính. Họ kết nối máy tính với hệ thống này như thế nào? Thay vì kết nối trực tiếp, nhiều nơi lại đấu nối cả hai với máy chủ web và thế là vô tình chia sẻ chúng với cả thế giới.
Tin an ủi duy nhất là hiện tại, Shodan chủ yếu đang được sử dụng vào các mục đích tốt.
Matherly đã hạn chế mỗi từ khóa tìm kiếm chỉ có thể hiển thị 10 kết quả nếu như người dùng không có tài khoản đăng ký. Con số này tăng thành 50 nếu bạn có tài khoản. Nếu như muốn xem được mọi thông tin mà Shodan có thể cung cấp, Matherly sẽ yêu cầu bạn phải cung cấp nhiều thông tin cá nhân hơn, đồng thời trả tiền cho anh ta.
Chính vì thế, tại thời điểm này thì các hacker mũ trắng, các chuyên gia bảo mật, các nhà nghiên cứu và cơ quan hành pháp đang là người dùng chính của Shodan. Nhưng như lời thừa nhận của Matherly thì kẻ xấu hoàn toàn có thể coi đây là một xuất phát điểm tốt. Hầu hết các vụ tấn công mạng hiện nay đều nhằm mục đích ăn trộm tiền hoặc thông tin mật của doanh nghiệp. Bọn tội phạm mạng chưa thử cho nổ tung một tòa nhà hoặc tắt hết hệ thống đèn giao thông trong thành phố, nhưng điều đó không có nghĩa là không thể xảy ra.