На книжном форуме Lobsters всплыла старая книга — «Кукушкино яйцо» (The Cuckoo's Egg) Клиффорда Столла, мемуар о том, как в 1986 году астроном поймал хакера, работавшего на КГБ. Название объясняет метафору сразу: кукушка подкидывает яйцо в чужое гнездо, а тут чужой человек поселился в чужой компьютерной системе и прожил в ней почти год.
Цепляет тут арифметика: Столлу поручили разобраться с недостачей — 75 центов, которые не сходились в счетах за машинное время. Не миллион, не пропавший архив, а три четверти доллара. Эта мелочь в итоге вытащила сеть взломов военных компьютеров США, суд в немецком Целле и несколько человеческих судеб, одна из которых закончилась сгоревшим телом в лесу.
И у истории есть второй слой. Человек, у которого обнаружился, похоже, лучший в ту эпоху нюх на аномалию, десять лет спустя публично объявил интернет модой и потом сам над этим смеялся. Об этом — в конце.
Лоуренс-Беркли (LBNL) сдавал машинное время удалённым пользователям, считая оплату поминутно, — и однажды в этих счетах завелась лишняя запись: новая учётная запись без платёжного адреса. Разбираться с ней отправили 36-летнего Клиффорда Столла, планетного астронома с диссертацией по поляриметрии Юпитера, которого лаборатория перевела в IT-отдел не вполне по его собственной воле. Так началась одна из самых известных детективных историй в истории вычислительной техники.
Для тех, кто любит сверять источники, деталь: в технической статье Столла, напечатанной в Communications of the ACM в мае 1988 года, никаких 75 центов нет. Там сказано куда суше: «счёт, созданный без соответствующего платёжного адреса, из-за которого наша бухгалтерская программа не могла свести баланс». Цифра в три четверти доллара появилась в книге 1989 года — и уже оттуда разошлась по заголовкам вроде немецкого «Как 75 центов стали роковыми».
Разобравшись с записью, Столл обнаружил кое-что похуже неоплаченного счёта. Неизвестный пользователь имел права суперпользователя (root) — то есть полный контроль над машиной. Проник он через ошибку в функции movemail текстового редактора GNU Emacs: утилита переноса почты запускалась с правами администратора и не мешала подсунуть системе подменённый скрипт. Патч, закрывающий эту дыру, занимал три строки. Готового решения, впрочем, не было — взломщик уже побывал на десятках машин, включая чувствительные.
Дальше Столл повёл себя как исследователь: вместо того чтобы отгородиться от нарушителя, он принялся его измерять. Он подключил к входящим телефонным линиям принтеры и регистраторы, а на длинные выходные «одолжил» у уехавших коллег полсотни терминалов и телетайпов, чтобы разложить по линиям весь трафик. Всё, что набирал нарушитель, печаталось в реальном времени. Столл запрограммировал свой пейджер будить его, когда взломщик выходил на связь, и не раз ночевал под рабочим столом.
Параллельно он вёл лабораторный журнал: что делал нарушитель, как шла трассировка, с кем говорил из полиции. Именно журнал через месяцы позволил заметить в старых записях то, что сначала пропустили: даты, времена и цели, по которым потом восстанавливали маршрут взломщика. Отдельный сюжет — куда именно он ходил. Он искал в файлах слова «nuclear», «sdi», «kh-11» и «norad», скачивал шифрованные файлы паролей и подбирал их по словарю. Полностью успешными оказались лишь 2 процента попыток, но в одном из своих заходов он попал в машину, управлявшую медицинским экспериментом в реальном времени. Хватило случайности, что это заметили: если бы не заметили, мог пострадать пациент.
Трассировка заняла почти год и требовала обоих полушарий. Первый след привёл в Tymnet — службу маршрутизации, через которую пользователь дозванивался до нужной машины; оттуда вышли на модемный пул оборонного подрядчика MITRE в Маклине, штат Вирджиния. Тот пул, как выяснилось, позволял любому сотруднику звонить наружу, а для тех, кто не знал кодов, имел функцию повторного набора последнего номера. В телефонных счетах подрядчика лежали сотни коротких звонков по всей стране: нарушитель собирал номера модемов и дозванивался до военных баз, пробуя на каждом стандартные «root», «guest», «system». Многие базы такие попытки регистрировали — и ни одна не стала трассировать.
Дальше след ушёл в Германию: университеты Бремена и Карлсруэ, публичный модем в третьем городе, сеть Datex-P. Тут на сцену вышла Deutsche Bundespost — немецкая почта, тогда распоряжавшаяся телефонной сетью. Но одной технической возможности поймать подключение было мало: нужно было заставить взломщика сидеть на линии достаточно долго.
И тут Столл придумал то, что сегодня назвали бы honeypot, «горшок с мёдом». Он сфабриковал в лаборатории несуществующий отдел, якобы работающий по оборонному контракту, — вместе с воображаемой секретаршей Барбарой Шервин, от имени которой шла переписка. Отдел получил имя SDInet, и содержимое в него положили соответствующее: пухлые файлы, набитые наукообразной бюрократической бессмыслицей. Немецкая версия истории подчёркивает главное: убеждать никто не собирался, значение имел размер. Файл был настолько велик, что его скачивание занимало достаточно времени для трассировки линии. Столл назвал приманку своим «кукушкиным яйцом».
Сработало. Немецкая почта довела линию до квартиры в Ганновере, где жил Маркус Хесс, программист, работавший в сети под ником Urmel. Приятный побочный результат: незадолго до этого в лабораторию SDInet пришло письмо, отправленное по обычной почте из Венгрии — от человека, который мог узнать об этом адресе лишь от Хесса. Похоже, КГБ таким способом проверял, не выдумывает ли поставщик то, что продаёт.
Ещё один итог года работы — организационный. Из четырёх с половиной сотен машин, к которым пытался подключиться нарушитель, лишь одна-две организации перезвонили Столлу, заметив взлом. ФБР поначалу не заинтересовалось вообще: больших денег нет, носитель с секретной информацией не вскрыт. Потребовалось несколько лет и новых законов, чтобы у спецслужб появилось формальное основание заниматься этим делом.
К этому моменту в Ганновере собралась группа, попавшая в учебники не по своей воле. Карл Кох по прозвищу Хагбард Селин — он взял имя героя анархистской трилогии «Иллюминатус!», которую в 14 лет прочитал как документальный отчёт, — и Маркус Хесс; с ними Дирк-Отто Брезински (DOB) и Ханс-Хайнрих Хюбнер (Pengo). Люди собирались на еженедельные встречи в ганноверских пивных, где позже вырос местный филиал Chaos Computer Club.
Идею продать добытые данные советской разведке подал Петер Карл, Педро — бывший крупье, вечно сидевший без денег. В начале сентября 1986 года он оделся как следует, приехал в Восточный Берлин и вошёл прямо в советское посольство. Его выслушали не сразу и, судя по пересказам участников, сначала посмеялись. Потом разговор всё-таки состоялся: сотрудник резидентуры, известный как Сергей, попросил тестовый материал и вручил список желаемого.
Список оказался не про ракеты. Там были операционные системы Unix, VM и VMS, разные компиляторы, средства автоматизированного проектирования. «Русские видели в нас прежде всего источник пиратского софта, — вспоминал Хюбнер. — Ты не мог тогда купить компилятор для VAX в магазине». Сергей платил наличными, стомарочными купюрами: за Unix дали самую крупную сумму — 25 000 марок, за программный пакет Securepack — 3 000, плюс 600 марок за каждый визит. Всего за годы сотрудничества набежало 90 000 марок, половину которых Педро как курьер оставлял себе.
Понятно, почему список выглядел именно так. В середине 1980-х Восточная Германия шла в «большой прыжок» в микроэлектронике, на который выделили 120 миллионов валютных марок; комбинат Robotron должен был выпустить K1840 — практически копию машины VAX 11/780 от DEC, которую из-за западного эмбарго CoCom нельзя было просто купить. Компиляторы и Unix с той самой VAX, которую копировали, экономили годы.
Есть в этой истории и место, где источники расходятся. По документам суда в Целле группа получила в общей сложности 90 000 марок, из которых 10 000 должен был вернуть Хесс. Английская Википедия называет другую цифру — 54 000 долларов, полученных лично Хессом, — со ссылкой на российскую книгу о радиоразведке. Речь, скорее всего, о разных подсчётах и разных курсах, но проверить, какая сумма верна, негде: документы КГБ для историков закрыты. В статье heise мелькает версия, что недоступны они в том числе потому, что курировавшим Robotron сотрудником КГБ в Германии был некий Владимир Путин. Доказательств у этой версии нет, и относиться к ней стоит как к догадке журналиста.
Второго марта 1989 года полиция и Федеральная разведывательная служба провели серию обысков на севере Германии. В тот же вечер ARD выпустила срочный выпуск, где историю назвали «крупнейшим шпионским делом со времён Гийома» — в 1974-м разоблачение агента Штази привело к отставке канцлера Вилли Брандта. Газеты вышли с заголовками «SDI предан — мы теперь беззащитны?». Шумиха была ровно настолько достоверной, как выглядела: та самая секретная файловая приманка SDInet существовала лишь потому, что её выдумал Столл, слепив из попавшихся под руку документов с придуманными военными названиями.
Процесс шёл в Высшем земельном суде Целле под председательством Леопольда Шпиллера, и не все документы в нём оказались сильными. Обвинители не смогли назвать ни одной софтверной компании, заявившей об ущербе, а мотив подсудимых — «равновесие сил» и «деятельность во имя мира» — суд прямо назвал способом успокоить совесть. После двенадцати дней разбирательства, в феврале 1990 года, Педро получил два года, Хесс — год и восемь месяцев, Брезински — год и два; все с отсрочкой, и из 90 000 марок 18 000 велели вернуть в казну. Хюбнер, сотрудничавший со следствием, остался без наказания. Шпильер сформулировал результат так: «Многого ценного в поставках агенту Сергею в Восточном Берлине быть не могло». Из того, что взломщики запросили миллион, а получили девяносто тысяч, суд вывел, что советская сторона просто не умела этим пользоваться.
Отдельная линия этого дела — Карл Кох. К моменту развязки он был уже плотно зависим от наркотиков: кокаин и амфетамины растягивали сессии на многие часы, а психоз — Хагбард верил в мировой заговор «иллюминатов» и в магию числа 23 — усиливался. Весной 1986-го он был уверен, что авария на Чернобыльской АЭС случилась из-за его собственного взлома атомной станции, и друзья отправили его на лечение. В середине 1988-го, без денег, он предлагал редакции NDR за 10 000 марок влезть на камеру в компьютер ядерного центра Юлиха, а заодно показывал попавшие к нему служебные документы о розыске террористов. Он явился с повинной 5 июля 1988 года и месяцами давал показания. Последние месяцы жизни он подрабатывал курьером в отделении ХДС, чем с удовольствием пользовалась в предвыборной кампании СДПГ: «Хакер КГБ в штабе ХДС».
Первые записи о нём как о крупном «мозге» этой группы принадлежат прессе: после рейда марта 1989 года Кох быстро оказался на свободе, а вся тяжесть допросов легла на его больную психику. Он умер 23 или 24 мая 1989 года. Тело нашли лишь 1 июня у его служебной машины в лесу под Целле — сильно обгоревшее, ботинки сняты, рядом круг выжженной земли. Официально это самоубийство через самосожжение, предсмертной записки не было, и уже тогда в СМИ разошлись две версии: сломленный зависимый человек или избавившийся от свидетеля спецслужбы. Число 23, день «смерти всех великих анархистов» из «Иллюминатуса!», в его биографии сработало с точностью до дня: 23-е число, 5-й месяц, 23-й год жизни.
Ещё один неочевидный итог этой истории — удар по Chaos Computer Club. Клуб, который за три года до того сам организовывал контакты с властью и объяснял обществу, что хакерство бывает этичным, оказался на грани распада: часть участников ушла, один из основателей публично доказывал, что настоящий хакер по своей природе не станет работать с разведкой. Организация выжила — но именно тогда клубу пришлось провести границу между «безобидным взломом» NASA и группой, сливавшей данные КГБ. Заодно нашлась ещё одна щель в следствии: при обыске у Хесса в июне 1987 года телефонная трассировка не была подтверждена судом, и расследование по этому эпизоду пришлось прекратить. Даже дата самого обыска в источниках плавает: 23 июня по одной версии, 27 июня по другой.
Столл опубликовал сухую техническую статью «Stalking the Wily Hacker» в Communications of the ACM за май 1988 года, а затем — книгу, разошедшуюся тиражом более миллиона экземпляров. Через неё в профессию пришла не одна смена специалистов по защите информации, а сам Столл позже стал считаться одним из основателей цифровой криминалистики и систем обнаружения вторжений. То, что он собрал руками из принтеров, пейджера и лабораторного журнала, через несколько лет превратилось в стандартный набор инструментов: сетевой мониторинг, офлайн-логирование, honeypot. Инженеры из Ливерморской лаборатории получили грант и написали первый в мире софт для автоматического наблюдения за вторжениями — фактически оцифровали то, что Столл делал руками.
А потом тот же человек совершил свою главную публичную ошибку. В 1995 году вышла его книга «Silicon Snake Oil» и статья в Newsweek, где он утверждал, что интернету не суждено стать ни магазином, ни источником новостей, потому что у сети нет главного — живого человеческого контакта и доверия. «Никакая онлайн-база данных не заменит вашу ежедневную газету», — писал он. Когда в 2010-м этот текст всплыл на BoingBoing, Столл пришёл в комментарии и признал: «Среди моих многочисленных ошибок и промахов немногие были так публичны, как провал 1995 года. Теперь, когда мне кажется, что я знаю, что происходит, я умеряю своё мнение: возможно, я ошибаюсь, Клифф».
Сегодня Столл варит из стекла бутылки Клейна и продаёт их через свою лавку в Окленде, храня товар в подполе дома и доставая коробки самодельным роботом-погрузчиком. Хесс, тот самый Urmel, жив: в июле 2026 года он вышел на сцену конференции Hackover в Ганновере с докладом «От хакера к шпиону» и рассказывал, по описанию программы, «из очень личной перспективы — порой всерьёз, порой анекдотично» о ранних годах кибершпионажа; его сайт открывается признанием, что он был хакером и шпионом и остаётся чистым больше 37 лет.
Что же в итоге купили эти 75 центов? Один астроном получил год работы почти без сна, Германия — громкий процесс, Карл Кох — гибель в 23 года, а индустрия кибербезопасности — книгу, по которой до сих пор учат. Секретов, ради которых затевался весь спектакль, в поставках не оказалось: суд в Целле счёл, что Советский Союз не сумел распорядиться даже пиратскими компиляторами. Ни одна компания на процессе не заявила об ущербе, так что канал, который искали десять месяцев, вёл к нескольким десяткам программ, чья рыночная цена уместилась в девяносто тысяч марок.