ΣΑΝ ΣΗΜΕΡΑ, 2 Νοεμβρίου 1988, ένα αυτοδιαδιδόμενο πρόγραμμα εξαπλώνεται στο τότε Internet και προκαλεί μία από τις μεγαλύτερες κρίσεις στην πρώιμη ιστορία των δικτύων. Πρόκειται για το Morris Worm, το οποίο πήρε το όνομά του από τον δημιουργό του, Robert Tappan Morris, έναν μεταπτυχιακό φοιτητή Πληροφορικής του Πανεπιστημίου Cornell. Μέσα σε λίγες ώρες, το πρόγραμμα καταφέρνει να μολύνει χιλιάδες υπολογιστές, επιβαρύνοντας τόσο πολύ τη λειτουργία τους ώστε πολλοί να καταστούν πρακτικά μη χρησιμοποιήσιμοι. Δεν ήταν το πρώτο worm που είχε εμφανιστεί στην ιστορία των υπολογιστών, ήταν όμως το πρώτο που ανέδειξε με τόσο εντυπωσιακό τρόπο τους κινδύνους της ανεξέλεγκτης αυτοδιάδοσης στο Internet.

Ο πηγαίος κώδικας του Morris Worm, όπως παρουσιάζεται στο Museum of Science της Βοστώνης.

Το βράδυ της 2ας Νοεμβρίου 1988, περίπου στις 20:30, το Morris Worm απελευθερώνεται από υπολογιστή του MIT (Massachusetts Institute of Technology). Εκείνη την εποχή, το Internet δεν έχει ακόμη τη μορφή που γνωρίζουμε σήμερα. Αποτελεί ένα σχετικά περιορισμένο δίκτυο πανεπιστημίων, ερευνητικών κέντρων και κυβερνητικών εγκαταστάσεων, με περίπου 60.000 συνδεδεμένους υπολογιστές. Το World Wide Web δεν έχει ακόμη δημιουργηθεί και η δικτυακή επικοινωνία βασίζεται σε υπηρεσίες και πρωτόκολλα που για τους περισσότερους χρήστες σήμερα μοιάζουν σχεδόν αρχαιολογικά.

Το πρόγραμμα έχει σχεδιαστεί ώστε να μεταφέρεται αυτόματα από υπολογιστή σε υπολογιστή, χωρίς να χρειάζεται ο χρήστης να εκτελέσει κάποιο αρχείο ή να ανοίξει ένα μολυσμένο συνημμένο. Για να πετύχει τον σκοπό του, αξιοποιεί αδυναμίες σε υπηρεσίες του UNIX, όπως το Sendmail και το Finger, καθώς και τη δυνατότητα απομακρυσμένης πρόσβασης μεταξύ υπολογιστών που εμπιστεύονται ο ένας τον άλλον. Παράλληλα, επιχειρεί να εντοπίσει κωδικούς πρόσβασης, δοκιμάζοντας συνηθισμένες λέξεις και συνδυασμούς.

Το Morris Worm δεν βασιζόταν σε μία μόνο ευπάθεια. Χρησιμοποιούσε διαφορετικές μεθόδους για να αποκτήσει πρόσβαση σε ένα σύστημα και να μεταφέρει εκεί ένα νέο αντίγραφό του. Ανάμεσα στις σημαντικότερες τεχνικές ήταν η εκμετάλλευση του Sendmail σε λειτουργία DEBUG, ένα buffer overflow στην υπηρεσία fingerd και η κατάχρηση των μηχανισμών εμπιστοσύνης του UNIX, όπως τα trusted hosts. Η διάδοση επηρέασε κυρίως συστήματα Sun-3 και DEC VAX που έτρεχαν εκδόσεις του BSD UNIX.

Το αρχικό σχέδιο προέβλεπε ότι το πρόγραμμα θα ελέγχει αν ένας υπολογιστής είχε ήδη μολυνθεί, ώστε να μην εγκαθιστά ξανά τον εαυτό του. Ωστόσο, ο μηχανισμός αυτός μπορούσε να παρακαμφθεί με συγκεκριμένη πιθανότητα, καθώς ο Morris φοβόταν ότι οι διαχειριστές θα μπορούσαν να εμποδίσουν τη διάδοσή του δηλώνοντας ψευδώς ότι ένα σύστημα είχε ήδη προσβληθεί. Αυτή η επιλογή αποδείχθηκε καταστροφική. Το worm άρχισε να εγκαθίσταται επανειλημμένα σε ήδη μολυσμένους υπολογιστές, δημιουργώντας πολλαπλές διεργασίες και καταναλώνοντας ολοένα περισσότερους πόρους.

Μέσα σε 24 ώρες, περίπου 6.000 υπολογιστές είχαν επηρεαστεί. Αυτό αντιστοιχούσε περίπου στο 10% των συστημάτων που ήταν τότε συνδεδεμένα στο Internet. Πανεπιστήμια, ερευνητικά κέντρα, στρατιωτικές εγκαταστάσεις και άλλοι οργανισμοί βρέθηκαν αντιμέτωποι με υπολογιστές που καθυστερούσαν δραματικά ή σταματούσαν να ανταποκρίνονται. Το πρόβλημα δεν ήταν απλώς ότι το πρόγραμμα είχε εισχωρήσει στα συστήματα, αλλά ότι η ανεξέλεγκτη αναπαραγωγή του είχε μετατρέψει την ίδια τη διαδικασία διάδοσης σε αιτία κατάρρευσης.

Το περιστατικό συχνά περιγράφεται ως ένα από τα πρώτα μεγάλα παραδείγματα άρνησης εξυπηρέτησης (Denial of Service – DoS) σε ευρεία κλίμακα. Δεν επρόκειτο, όμως, για μια σύγχρονη κατανεμημένη επίθεση DDoS με συντονισμένες πηγές κίνησης. Ήταν μια ανεξέλεγκτη αυτοαναπαραγωγή που εξάντλησε τους υπολογιστικούς πόρους των συστημάτων και δυσχέρανε σοβαρά τη λειτουργία του δικτύου.

Ο πηγαίος κώδικας του Morris worm στο Μουσείο Επιστημών της Βοστώνης

Ο δημιουργός του, Robert Tappan Morris, υποστήριξε ότι στόχος του ήταν να διαπιστώσει πόσο εκτεταμένο ήταν το Internet, γράφοντας ένα πρόγραμμα που θα μπορούσε να εξαπλωθεί σε όσο το δυνατόν περισσότερους υπολογιστές. Κατά τη διάρκεια της δίκης ισχυρίστηκε ότι δεν είχε προβλέψει την ταχύτητα και την έκταση της διάδοσης και ότι το καταστροφικό αποτέλεσμα προέκυψε από σφάλμα στον κώδικα.

Η επιλογή του να απελευθερώσει το πρόγραμμα από υπολογιστή του MIT, αντί από το Cornell όπου φοιτούσε, θεωρήθηκε από τις αρχές προσπάθεια απόκρυψης της προέλευσής του. Η εισαγγελική πλευρά υποστήριξε επίσης ότι είχε λάβει συνειδητά μέτρα για να διευκολύνει την είσοδο σε ξένα συστήματα και να δυσκολέψει τον εντοπισμό και την απομάκρυνση του worm. Η υπόθεση κατέληξε σε μία ιστορική δικαστική απόφαση.

Το 1990, ο Morris γίνεται ο πρώτος άνθρωπος που καταδικάζεται βάσει του Computer Fraud and Abuse Act (CFAA), του ομοσπονδιακού νόμου των ΗΠΑ για την ηλεκτρονική απάτη και την κατάχρηση υπολογιστικών συστημάτων, ο οποίος είχε θεσπιστεί το 1986. Η ποινή του περιλάμβανε τρία χρόνια επιτήρησης, πρόστιμο 10.000 δολαρίων και 400 ώρες κοινωνικής εργασίας. Η υπόθεση αποτέλεσε σημαντικό προηγούμενο για τη νομική αντιμετώπιση των ηλεκτρονικών επιθέσεων στις Ηνωμένες Πολιτείες.

Το κόστος της αντιμετώπισης του περιστατικού ήταν επίσης τεράστιο για τα δεδομένα της εποχής. Οι εκτιμήσεις που δημοσιεύθηκαν τότε κυμαίνονταν σημαντικά, ενώ συχνά αναφέρεται συνολικό κόστος που έφτανε έως και τα 10 εκατομμύρια δολάρια, αν συνυπολογιστούν οι εργασίες αποκατάστασης και η απώλεια παραγωγικού χρόνου.

Η πραγματική κληρονομιά του Morris Worm δεν βρίσκεται μόνο στους υπολογιστές που ακινητοποιήθηκαν. Το περιστατικό αποκάλυψε ότι ακόμη και ένα δίκτυο που δημιουργήθηκε για να εξυπηρετεί την επιστημονική συνεργασία μπορούσε να αποδειχθεί ευάλωτο όταν οι υπολογιστές του εμπιστεύονταν υπερβολικά ο ένας τον άλλον και οι υπηρεσίες τους δεν ήταν επαρκώς προστατευμένες. Έγινε αφορμή για μεγαλύτερη ευαισθητοποίηση γύρω από την ασφάλεια των δικτύων και συνέβαλε στη δημιουργία του CERT Coordination Center, ενός από τους σημαντικότερους οργανισμούς αντιμετώπισης περιστατικών κυβερνοασφάλειας.

Σήμερα, το Morris Worm θεωρείται ένα από τα καθοριστικά γεγονότα στην ιστορία της κυβερνοασφάλειας. Μας θυμίζει ότι ακόμη και πριν από τα Windows, τα σύγχρονα antivirus και τα κοινωνικά δίκτυα, ένα μικρό πρόγραμμα μπορούσε να προκαλέσει χάος σε χιλιάδες υπολογιστές. Και όλα αυτά, σε ένα Internet που τότε χωρούσε σε μερικές δεκάδες χιλιάδες συστήματα.