Najlepsze filmy o hakerach

Najlepsze filmy o hakerach to produkcje takie jak “Matrix”, “Gry wojenne”, “Hakerzy” z 1995 roku oraz “Snowden”, które najwierniej oddają realia cyberbezpieczeństwa, inżynierii społecznej i kultury hakerskiej. Wybór konkretnego tytułu zależy po prostu od tego, czy szukasz realistycznego obrazu ataków sieciowych z użyciem terminala, czy hollywoodzkiej akcji z motywem wizualnego łamania haseł.

Kino od dekad próbuje ugryźć temat włamań do systemów. Wychodzi to różnie. Czasem dostajemy genialny obraz phreakingu i manipulowania centralami telefonicznymi. Innym razem reżyser serwuje nam latające w trójwymiarze kostki lodu z napisami, które mają udawać zabezpieczenia sieciowe. Boli od tego głowa. Informatycy zazwyczaj śmieją się do łez na seansach, widząc dwóch aktorów piszących jednocześnie na jednej klawiaturze. A jednak gatunek ten ma swoje absolutne perełki. Produkcje, przy których konsultantami byli prawdziwi specjaliści od zabezpieczeń, byli oficerowie wywiadu sygnałowego lub sami skazani włamywacze.

Jakie są najbardziej realistyczne filmy o hakerach wszech czasów?

Realizm w kinie technologicznym to rzadkość. Twórcy boją się nudy. Prawdziwy cracking to godziny wpatrywania się w logi, analizowania zrzutów pamięci i czytania dokumentacji technicznej. Żaden widz nie wysiedziałby w kinie oglądając proces dekompilacji kodu w IDA Pro. Mimo to kilku reżyserom udało się połączyć autentyczne techniki z dobrą narracją.

Film “Włamywacze” (Sneakers) z 1992 roku to pozycja obowiązkowa. Zespół Roberta Redforda nie używa magicznych programów z paskiem postępu. Stosują inżynierię społeczną. Grzebią w śmietnikach w poszukiwaniu firmowych dokumentów (tzw. dumpster diving). Podszywają się pod strażników. Przechwytują sygnały z kamer przemysłowych. To jest dokładnie to, jak dzisiaj działają grupy red team podczas audytów fizycznych w korporacjach. Socjotechnika zawsze wygrywa z najdroższym firewallem. Człowiek to najsłabsze ogniwo.

Z kolei “Blackhat” (2015) w reżyserii Michaela Manna zaliczył potężną klapę finansową w box office. Krytycy narzekali na tempo. Ale branża IT biła brawo. Reżyser pokazał autentyczny atak na sterowniki PLC w elektrowni jądrowej. Użyto tam złośliwego oprogramowania łudząco przypominającego prawdziwego robaka Stuxnet. Widzimy na ekranie terminal, wpisywanie komend uniksowych i powolne, metodyczne przejmowanie uprawnień administratora. Bez wybuchów z klawiatury. Czysta robota.

Warto tu też wspomnieć o drugiej części Matrixa (“Matrix Reaktywacja”). Trinity potrzebuje wyłączyć zasilanie w budynku. Co robi? Otwiera terminal. Używa prawdziwego skanera portów Nmap. Znajduje otwarty port 22. Następnie odpala autentyczny exploit SSH1 CRC32 (znany w tamtym czasie błąd w protokole). Zmienia hasło roota. Tyle. Trzy ujęcia na monitor. Żadnego gadania o wchodzeniu do mainframe’u przez tylne drzwi. Scena przeszła do historii jako najbardziej zgodny z prawdą pokaz ataku w blockbusterze za miliony dolarów.

Dlaczego lata 90. wykreowały współczesny wizerunek cyberprzestępcy?

Kultura masowa zawdzięcza wszystko filmowi “Hakerzy” z 1995 roku. Produkcja Iaina Softleya to techniczny absurd. Wirus uosabiany przez śpiewające równanie matematyczne na ekranie. Złoczyńca jeżdżący na deskorolce. Hakowanie z budki telefonicznej na czas. Ale to właśnie ten film nadał kształt całej subkulturze. Zdefiniował estetykę cyberpunkową, wprowadził muzykę techno do mainstreamu i ubrał całe pokolenie w skórzane płaszcze i przeciwsłoneczne okulary noszone w piwnicach.

• Twórcy wzięli podziemne zjawiska, manifesty z zinów takich jak Phrack i zrobili z nich kolorowy teledysk dla MTV. Zamiast grubych kolesi w swetrach dostaliśmy Angelinę Jolie i Jonny’ego Lee Millera.
• Film spopularyzował pojęcia typu “Elite” (1337), śmietnikowe nurkowanie i wojny o dominację w lokalnych sieciach telewizyjnych.
• Wykreował mit genialnego nastolatka, który jednym laptopem może wywrócić globalny system finansowy z kanapy w swoim pokoju.
• Oderwał włamywaczy od wizerunku nudnych akademików z MIT i zrobił z nich cyfrowe gwiazdy rocka.

Ten romantyczny wizerunek utrzymał się przez lata. Ukształtował wyobrażenie dziennikarzy i polityków. Kiedy w tamtym czasie w telewizji mówiono o cyberbezpieczeństwie, w tle zawsze leciały przebitki z tego filmu. To zniekształciło dyskusję o prawie autorskim i prywatności w sieci na całą dekadę.

Czy “Gry wojenne” (1983) faktycznie zmieniły prawo w USA?

Film z Matthew Broderickiem uderzył w idealny moment zimnej wojny. Nastolatek szukający przedpremierowych gier komputerowych wdzwania się przypadkiem przez modem do superkomputera WOPR w dowództwie obrony powietrznej NORAD. Maszyna nie odróżnia symulacji od rzeczywistości. Zaczyna odliczać czas do globalnego ataku termonuklearnego. Młody chłopak niemal doprowadza do III wojny światowej z własnej sypialni.

Ronald Reagan obejrzał ten film w Camp David. Podobno kilka dni później na naradzie z generałami i doradcami zapytał wprost, czy taki scenariusz jest możliwy w prawdziwym życiu. Wojskowi zbadali sprawę. Wrócili z odpowiedzią, że sytuacja jest o wiele gorsza niż w kinie. Systemy były dziurawe. Sieci telefoniczne nie miały zabezpieczeń. Rok po premierze administracja rządowa przepchnęła pierwszą w historii ustawę antyhakerską (Computer Fraud and Abuse Act). Film dosłownie napisał prawo karne. To rzadki przypadek, gdy popkultura wymusza twarde zmiany w legislacji państwowej.

Filmy dokumentalne o hakerach, które musisz zobaczyć

Fikcja bywa męcząca. Kto chce poznać prawdziwą naturę ataków sieciowych, musi sięgnąć po dokumenty. To tam kryje się prawdziwa groza i skala inwigilacji. Skala zjawiska wykracza daleko poza kradzież numerów kart kredytowych.

Prawda jest zresztą absolutnie taka, że hollywoodzkie bajki o hakerach najszybciej weryfikuje życie na pierwszej linii wsparcia. Siedziałem kiedyś we wtorek o trzeciej nad ranem nad logami z serwera pocztowego klienta. Atak typu ransomware. Żadnych trójwymiarowych czaszek na ekranie. Żadnego odliczania z czerwoną czcionką oznaczającą kasowanie danych. Po prostu nagle zablokowało bazę SQL i cała firma stanęła. Piliśmy zimną, wstrętną kawę, przeklinaliśmy pod nosem na brak wdrożonych backupów offline i próbowaliśmy ręcznie wyciągnąć cokolwiek z cieni woluminów. Ktoś z zespołu zażartował, żebyśmy zadzwonili po Hugh Jackmana z filmu “Kod dostępu”, bo on podobno łamie szyfry rządu w 60 sekund z pistoletem przy głowie. Śmieszne. W rzeczywistości analiza takiego syfu to godziny gapienia się w ciągi heksadecymalne w zrzutach z Wiresharka. Nuda, która zabiłaby każdego widza w kinie po dziesięciu minutach. Zielony tekst na czarnym tle męczy wzrok szybciej niż myślisz.

Wracając do kina faktu. “Citizenfour” w reżyserii Laury Poitras to zapis spotkań z Edwardem Snowdenem w pokoju hotelowym w Hongkongu. Kamera rejestruje moment, w którym były analityk NSA przekazuje dziennikarzom dokumenty demaskujące globalny system inwigilacji PRISM. Widzimy paranoję, odłączanie telefonów stacjonarnych i ukrywanie się pod kocem podczas wpisywania haseł na laptopie. To nie jest kino akcji. To duszny, klaustrofobiczny obraz tego, jak państwo kontroluje przepływ informacji na masową skalę.

Film “Zero Days” Alexa Gibneya rozkłada na czynniki pierwsze operację Olympic Games. To historia wspomnianego wcześniej robaka Stuxnet. Izraelski i amerykański wywiad stworzyły złośliwy kod, który fizycznie niszczył wirówki do wzbogacania uranu w Iranie. Dokument pokazuje moment, w którym broń cyfrowa przekroczyła granicę świata fizycznego. Kod przestał tylko kraść dane. Zaczął niszczyć stal i beton. To był punkt bez powrotu dla globalnego bezpieczeństwa.

Gdzie kończy się white hat, a zaczyna black hat w kinie?

Granica jest cienka. Filmy rzadko pokazują nudnych pentesterów (white hats), którzy podpisują umowy NDA i grzecznie raportują luki w oprogramowaniu za wynagrodzenie z programów bug bounty. Widzowie chcą rebeliantów. Chcą mrocznych postaci z darknetu.

Zastanawiacie się zresztą, dlaczego to na produkcji tak wyje na testach po drodze? Sam się nad tym borykałem dzisiaj u siebie we wtorek. Narzędzia są dokładnie te same. Nmap skanuje porty tak samo w rękach pracownika banku, jak i rosyjskiego włamywacza. Różnica polega na intencji i pozwoleniu. Kino zaciera te granice. Główny bohater często łamie prawo w dobrej wierze. Wkrada się na serwery korporacji zbrojeniowej, by ujawnić spisek. W rzeczywistości takie działanie to prosta droga do więzienia bez zawieszenia. Prawo nie rozróżnia moralnych pobudek przy nieautoryzowanym dostępie do systemu informatycznego.

Jak inżynieria społeczna wypiera w kinie tradycyjny cracking?

Łamanie kryptografii metodą brute-force jest czasochłonne. Nawet przy użyciu farm serwerów GPU złamanie mocnego hasła może zająć stulecia. Dlatego reżyserzy coraz częściej stawiają na ataki socjotechniczne. Są po prostu bardziej widowiskowe. Aktor ma co grać.

W serialu “Mr. Robot” (który traktujemy tu jako przedłużenie kina hakerskiego przez format i reżyserię) główny bohater, Elliot Alderson, rzadko używa skomplikowanych exploitów zero-day. Zamiast tego podrzucił zainfekowane pendrive’y na parkingu więzienia, licząc, że jakiś znudzony strażnik podłączy go do służbowego komputera. I tak się stało. To stara jak świat technika typu “Baiting”. Innym razem udawał przez telefon dyrektora z innego działu, by wymusić na pracowniku reset hasła. Kevin Mitnick opisał te metody lata temu w swojej książce “Sztuka podstępu”. Ludzie ufają autorytetom, boją się zwierzchników i chcą pomagać. To luki w oprogramowaniu ludzkiego mózgu, których nie załata żadna aktualizacja od Microsoftu.

Zjawisko to widać też w filmie “Kim jesteś” (Who Am I). Niemiecka produkcja z 2014 roku pokazuje grupę CLAY. Włamują się do serwerów niemieckiego wywiadu BND. Jak? Zbierają śmieci. Analizują nawyki pracowników. Wykorzystują phishing. Film świetnie ukazuje, że najbardziej zaawansowane ataki zaczynają się od najprostszych błędów człowieka po drugiej stronie monitora.

Ranking filmów hakerskich według analityków bezpieczeństwa IT

Branża ma swoje ulubione tytuły. I te, których szczerze nienawidzi. Zrobiliśmy małe zestawienie tego, co specjaliści od infosecu naprawdę cenią. Czasami masz ochotę po prostu krzyknąć DOŚĆ, gdy widzisz kolejną scenę z fałszywym paskiem postępu.

Widać wyraźnie, że budżet nie koreluje z realizmem. “Kod dostępu” kosztował krocie, a serwuje nam sceny łamania szyfrów Departamentu Obrony polegające na szybkim uderzaniu w klawiaturę przy muzyce trance. Z drugiej strony niskobudżetowe produkcje europejskie potrafią pokazać autentyczną pracę w terminalu.

Polskie kino też ma swoje próby. Film “Haker” w reżyserii Janusza Zaorskiego z 2002 roku to komedia, która z prawdziwym bezpieczeństwem sieciowym nie ma absolutnie nic wspólnego. Kradzież pieniędzy za pomocą zlutowanego na kolanie dekodera i modemu to poziom absurdu wykraczający poza skalę. Film zestarzał się fatalnie. Branża IT traktuje go dzisiaj w kategoriach czystego pastiszu.

W analizie filmów warto odciąć ułudy. Kino ma bawić. Gdyby miało uczyć fachu, na salach siedzieliby sami adepci politechnik. Jednak twórcy mają obowiązek zachować chociaż resztki szacunku do logiki. Kiedy postać w filmie z 2020 roku mówi, że “zhakuje IP przy użyciu HTML-a”, na sali kinowej słychać zgrzytanie zębów. Podstawowy research techniczny zajmuje dzisiaj piętnaście minut w wyszukiwarce. Brak chęci do jego wykonania to zwykłe lenistwo scenarzystów. Uderzaj od razu do konkretów, pokaż prawdziwy wiersz poleceń z Kali Linux, wpisz `sudo apt-get update` i już masz u inżynierów plusa za starania.

Weź sprawy w swoje ręce. Obejrzyj “Włamywaczy”, potem odpal “Zero Days”, a na koniec zainstaluj wirtualną maszynę i spróbuj samemu zrozumieć, jak działa prosty skrypt w Pythonie. Koniec z narzekaniem na głupotę Hollywood. Sprawdź, czy sam potrafisz złamać własne hasło do routera.

FAQ – Najczęściej zadawane pytania o filmy hakerskie

• Czy w filmie Matrix faktycznie pokazano prawdziwy atak hakerski?
  Tak. W drugiej części filmu Trinity używa prawdziwego programu Nmap oraz autentycznego exploita SSH1 CRC32, który w tamtym czasie faktycznie istniał i działał.
• Dlaczego hakerzy w filmach zawsze szybko piszą na klawiaturze?
  To zabieg czysto filmowy. W rzeczywistości pisanie skryptów i szukanie luk to proces powolny, wymagający myślenia, czytania dokumentacji i testowania kodu. Szybkie stukanie w klawisze ma budować sztuczne napięcie na ekranie.
• Jaki film najlepiej pokazuje inżynierię społeczną?
  Zdecydowanie “Włamywacze” (Sneakers) z 1992 roku oraz niemiecki thriller “Who Am I. Możesz być kim chcesz” z 2014 roku. Obydwa filmy stawiają na manipulację ludźmi zamiast pisania skomplikowanego kodu.
• Czy “Gry wojenne” wpłynęły na amerykańskie prawo?
  Tak. Film obejrzał prezydent Ronald Reagan, co zapoczątkowało śledztwo w sprawie bezpieczeństwa systemów wojskowych i doprowadziło do uchwalenia ustawy Computer Fraud and Abuse Act.
• Gdzie mogę zobaczyć prawdziwe narzędzia hakerskie w akcji?
  Choć to serial, “Mr. Robot” jest uznawany za najwierniejsze odwzorowanie pracy analityków bezpieczeństwa. Twórcy używali na planie prawdziwych systemów, takich jak Kali Linux, Metasploit czy Wireshark.
• Czy film “Hakerzy” z 1995 roku ma sens techniczny?
  Nie. Technicznie to zbiór bzdur z latającymi trójwymiarowymi wirusami. Film jednak wykreował cyberpunkową modę i wizerunek hakera jako buntownika, przez co zyskał status kultowego w branży.

Bibliografia

1. Naukowa i Akademicka Sieć Komputerowa (NASK) – https://www.nask.pl
2. Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego (CERT Polska) – https://cert.pl
3. Ministerstwo Cyfryzacji – https://www.gov.pl/web/cyfryzacja
4. Polskie Towarzystwo Informatyczne – https://pti.org.pl
5. Wydawnictwo Naukowe PWN – https://pwn.pl