Demonstracja nowej technologii Marconiego została sabotowana przez magika i wynalazcę, co oznaczało narodziny ery cyberbezpieczeństwa.
Pierwszy hack w historii, czyli udokumentowane wstrzyknięcie obcych treści do działającego systemu łączności, wydarzył się 4 czerwca 1903 roku w sali wykładowej Royal Institution w Londynie. Nevil Maskelyne, brytyjski magik i wynalazca powiązany z branżą telegrafii kablowej, nadał własne wiadomości na częstotliwości odbieranej przez aparaturę przygotowaną do publicznego pokazu telegrafu bezprzewodowego Guglielma Marconiego. Pokaz miał udowodnić, że transmisja bezprzewodowa pozostaje prywatna i odporna na podsłuch. Maskelyne wykazał rozbieżność między deklaracją producenta, która opisywała projekt urządzenia, i konfiguracją faktycznie użytą na sali. Działał przy tym na zlecenie Eastern Telegraph Company, operatora kabli podmorskich, dla którego łączność bezprzewodowa oznaczała utratę rynku, więc pierwszy hack w historii miał od początku wymiar konkurencyjny. Koszt incydentu obciążył również Johna Ambrose’a Fleminga, fizyka, który firmował demonstrację własnym nazwiskiem i wkrótce po niej utracił stanowisko doradcy naukowego firmy Marconiego. Zdarzenie z 1903 roku pozostaje przedmiotem zainteresowania zespołów bezpieczeństwa, ponieważ mechanizm rozbieżności między deklaracją a wdrożeniem powtarza się w każdej kolejnej generacji technologii, zmienia się jedynie warstwa techniczna.
Co dokładnie stało się 4 czerwca 1903 roku w Royal Institution?
Późnym popołudniem 4 czerwca 1903 roku John Ambrose Fleming przygotowywał w sali wykładowej Royal Institution odbiór wiadomości nadawanej przez Guglielma Marconiego ze stacji na klifie w Poldhu w Kornwalii, oddalonej o około 300 mil. Zanim demonstracja zdążyła się rozpocząć, aparatura na sali zaczęła wystukiwać obcy komunikat. Relacja Paula Marksa w „New Scientist” opisuje, że pierwszym objawem był rytmiczny stukot dobiegający z lampy łukowej rzutnika slajdów, brzmiący dla niewprawnego ucha jak awaria sprzętu.
Wykład dotyczył rezonansu elektrycznego i telegrafii bezprzewodowej, a jego funkcją było publiczne potwierdzenie właściwości systemu przez naukowca o uznanej pozycji. Fleming występował wobec publiczności jako świadek eksperymentów prowadzonych przez Marconiego prywatnie, co Sungook Hong opisuje jako element ówczesnego modelu budowania wiarygodności technologii.
Arthur Blok, asystent Fleminga, rozpoznał w tym stukocie alfabet Morse’a nadawany ręcznie. Odbiornik drukował powtarzane wielokrotnie słowo „RATS”, a następnie limeryk kpiący z włoskiego wynalazcy: „There was a young fellow of Italy, who diddled the public quite prettily”. Dalej pojawiły się kolejne złośliwości, wśród nich dopasowane do sytuacji cytaty z Shakespeare’a. Nadawanie ustało przed właściwym pokazem, który przebiegł zgodnie z planem, a większość publiczności pozostała nieświadoma zakłócenia.
Fleming zareagował listem do redakcji „The Times”, w którym nazwał zdarzenie naukowym chuligaństwem i wystąpieniem przeciw tradycji Royal Institution, oraz poprosił czytelników o pomoc w ustaleniu sprawcy. Cztery dni później „The Times” opublikował list z przyznaniem się do czynu. Jego autor uzasadniał działanie interesem publicznym, wskazując, że ujawnił rzeczywistą lukę w systemie reklamowanym jako prywatny. Podpisał się Nevil Maskelyne, wówczas 39‐letni magik i wynalazca.
Kim był Nevil Maskelyne i dlaczego zaatakował demonstrację Marconiego?
Nevil Maskelyne (1863–1924) był brytyjskim iluzjonistą, synem znanego magika Johna Nevila Maskelyne’a, i jednocześnie praktykiem telegrafii bezprzewodowej. Zarządzał Anglo‐American Telegraph Company, spółką kontrolującą patenty Valdemara Poulsena, więc wobec Marconiego pozostawał konkurentem także w wymiarze biznesowym. Zasady radiotelegrafii poznał samodzielnie. Wykorzystywał alfabet Morse’a w numerach czytania w myślach, opracował sposób zdalnego zapłonu prochu za pomocą nadajnika iskrowego, a w 1900 roku przesłał wiadomości bezprzewodowe między stacją naziemną a balonem oddalonym o dziesięć mil.
Szerokie patenty Marconiego zablokowały jego własne prace nad radiem, co Sungook Hong wskazuje jako źródło osobistej niechęci. Do tego doszedł motyw komercyjny sponsora. Po transatlantyckiej transmisji Marconiego z 12 grudnia 1901 roku Eastern Telegraph Company, operator węzła łączności imperium brytyjskiego w Porthcurno w Kornwalii, zatrudnił Maskelyne’a do prowadzenia rozpoznania. Spółka miała ulokowany kapitał w kablach podmorskich, flotylli statków i załogach, a łączność bezprzewodowa podważała ten model biznesowy.
Maskelyne postawił na klifach na zachód od Porthcurno maszt o wysokości 50 metrów i sprawdził, czy potrafi odbierać depesze, które spółka Marconiego przesyłała na statki. W listopadzie 1902 roku opisał na łamach „The Electrician” wnioski z tych prób, pół roku przed londyńskim pokazem. Publikacja pozostała bez wpływu na przekaz marketingowy, więc kolejnym krokiem stała się demonstracja praktyczna. Nadajnik z kluczem telegraficznym Maskelyne uruchomił w sali koncertowej należącej do ojca, w niedalekim West Endzie. Zlecenie sponsora obejmowało rozpoznanie, natomiast decyzja o przejściu do publicznej demonstracji należała do samego Maskelyne’a, który dysponował dostępem do widowni, sprzętu i prasy. Profil sprawcy łączył zatem trzy elementy powtarzające się w analizach współczesnych incydentów, czyli kompetencję techniczną, motyw osobisty i finansowanie przez podmiot o interesie rynkowym. Każdy z tych elementów osobno pozostawał niegroźny, a ich zbieg dał efekt widoczny dla całego środowiska naukowego.
Jaka luka techniczna umożliwiła pierwszy hack w historii?
Marconi opatentował syntonię, czyli dostrajanie nadajnika i odbiornika do określonej długości fali, i na tej podstawie twierdził, że aparat niedostrojony w ten sam sposób nie przejmie jego depesz. Odbiornik użyty podczas pokazu w Royal Institution nie był jednak syntoniczny. Urządzenie o rzeczywistej selektywności okazało się zbyt duże, by zmieścić je w sali wykładowej, więc Fleming pracował na konfiguracji uproszczonej. Deklaracja opisywała projekt, demonstracja odbywała się na sprzęcie o innych właściwościach, i właśnie ta różnica dała Maskelyne’owi potrzebny dostęp.
Ograniczenie wynikało również z ówczesnego stanu techniki. Nadajniki iskrowe z początku wieku emitowały fale silnie tłumione o szerokim widmie, więc selektywność odbioru pozostawała w praktyce znacznie niższa od tej, którą sugerował patent. Marketing wyprzedzał zatem stan techniki, a pokaz w sali wykładowej dodatkowo pogłębiał tę odległość.
Kolejność jego działań ma znaczenie dla oceny ryzyka. Najpierw, pod Porthcurno, potwierdził możliwość odbioru cudzych depesz szerokopasmowym odbiornikiem bez dostrojenia, czyli naruszenie poufności. Dopiero potem zademonstrował wstrzyknięcie własnych treści do cudzego kanału, czyli naruszenie integralności komunikacji. Relację z pokazu zamknął łacińską formułą „Qui vult decipi, decipatur”, w wolnym tłumaczeniu — niech będzie oszukany ten, kto chce być oszukany.
Ten sam wzorzec występuje dziś w dokumentacji zgodności. Certyfikat, deklaracja producenta i architektura referencyjna opisują stan projektowy, natomiast ryzyko materializuje się w konfiguracji faktycznie uruchomionej, obsadzonej personelem i podłączonej do sieci. Certyfikat potwierdza zgodność zdefiniowanego zakresu w określonym momencie i tyle wnosi do oceny bezpieczeństwa. Audytor sprawdza, czy zakres deklaracji pokrywa środowisko produkcyjne oraz czy parametry przyjęte w dokumentacji odpowiadają wymaganiom interesariuszy i wynikom analizy wpływu na działalność. Rozbieżność między opisem a wdrożeniem należy do najczęściej powtarzających się ustaleń w tej kategorii.
Dlaczego spór o przypisanie odpowiedzialności trwał dłużej niż sam incydent?
Po przyznaniu się Maskelyne’a na łamach „The Times” wywiązała się wymiana listów, w której obie strony spierały się o przyczynę zakłócenia. Fleming rozważał wyjaśnienia alternatywne, wśród nich pętle uziemienia i instalację oświetleniową teatru. Sprawca twierdził, że sygnał pochodził z jego nadajnika. Żadna ze stron nie dysponowała zapisem pomiarowym, który rozstrzygnąłby spór, więc dyskusja przeniosła się na grunt autorytetu i reputacji.
Problem atrybucji, znany dziś z analiz powłamaniowych, wystąpił w pierwszym hacku w historii w postaci czystej. Operator systemu obserwował anomalię i pozostawał bez możliwości odróżnienia celowego działania osoby trzeciej od usterki własnej infrastruktury. Konsekwencje takiego stanu opisał Sungook Hong w analizie sprawy Maskelyne’a. Wiarygodność Fleminga i Marconiego została naruszona, a Fleming wkrótce po incydencie stracił funkcję doradcy naukowego w firmie Marconiego. Odpowiedzialność spadła zatem na osobę, która publicznie firmowała deklarację bezpieczeństwa, choć konstrukcję i przekaz marketingowy tworzył kto inny.
Sposób wykrycia zdarzenia zasługuje na osobną uwagę. Anomalię rozpoznał kompetentny asystent, który znał brzmienie ręcznie nadawanego alfabetu Morse’a, i stało się to poza jakąkolwiek procedurą czy mechanizmem kontrolnym. Publiczność, czyli w tym układzie interesariusz zewnętrzny, dowiedziała się o incydencie z prasy. Marconi pozostawił obelgi bez publicznej odpowiedzi, przyjmując stanowisko, że nie demonstruje systemu osobom podającym go w wątpliwość. Taka reakcja zamknęła kanał, przez który mógł uzyskać informację o rzeczywistych ograniczeniach własnej technologii.
Dalsza trajektoria obu stron rozeszła się. Marconi odbudował pozycję i w 1909 roku otrzymał Nagrodę Nobla w dziedzinie fizyki wspólnie z Karlem Ferdinandem Braunem za wkład w rozwój telegrafii bezprzewodowej. Zdarzenie z Royal Institution bywa dziś opisywane jako pierwszy udokumentowany przypadek zakłócania łączności radiowej, czyli jammingu. Relacja Hackaday wskazuje, że łatwość obserwowania cudzych transmisji zwróciła uwagę rządów i przyczyniła się do prac nad szyfrowaniem łączności radiowej, wykorzystywanym później podczas obu wojen światowych. Ta linia rozwoju wynika jednak z szerszego zbiegu okoliczności, więc przypisywanie jej jednemu incydentowi wymaga ostrożności.
Pozostaje pytanie o klasyfikację samego działania. Maskelyne uzasadniał je interesem publicznym i podał w wątpliwość deklarację, której odbiorcy nie mieli możliwości sprawdzić, co odpowiada logice późniejszego ujawniania luk. Jednocześnie działał na zlecenie konkurenta rynkowego, wybrał moment maksymalnie szkodliwy dla reputacji strony badanej i pominął jakąkolwiek próbę wcześniejszego powiadomienia, choć jego publikacja z listopada 1902 roku dawała taką możliwość. Współczesne procedury odpowiedzialnego ujawniania powstały właśnie po to, aby rozdzielić wartość informacyjną ustalenia od korzyści strony, która je ogłasza.
Jak weryfikować deklaracje bezpieczeństwa dostawcy w praktyce?
Wnioski z 1903 roku przekładają się na cztery pytania, które organizacja może zadać przed przyjęciem deklaracji dostawcy. Pierwsze dotyczy zakresu, czyli tego, jakiej konfiguracji dotyczy zapewnienie o bezpieczeństwie i czy trafi ona na produkcję w tej samej postaci. Drugie dotyczy dowodu, czyli wyniku testu, pomiaru albo audytu stojącego za deklaracją, wraz ze wskazaniem wykonawcy. Trzecie dotyczy widoczności, czyli istnienia telemetrii pozwalającej odróżnić awarię od działania celowego oraz kompetencji do interpretacji jej wskazań. Czwarte dotyczy odpowiedzialności, czyli osoby, która firmuje zapewnienie przed Zarządem i podczas audytu, ponieważ ta osoba poniesie skutki jego nietrafności.
Praktyka pokazuje, że najkosztowniejsze pozostaje pytanie pierwsze. Uproszczenie wprowadzone na etapie wdrożenia, podobne do niesyntonicznego odbiornika w sali wykładowej, zwykle wynika z ograniczeń fizycznych, budżetowych albo czasowych i rzadko trafia do dokumentacji. Przy braku porównania architektury referencyjnej ze stanem zastanym rozbieżność ujawnia się w momencie incydentu, kiedy koszt jej usunięcia jest najwyższy.
Odpowiedzi na te pytania mają wartość dowodową tylko wtedy, gdy zostaną utrwalone. Deklaracje dostawcy zapisane w załączniku do umowy, wraz z datą i zakresem, pozwalają później ustalić, czy zmiana konfiguracji nastąpiła po stronie dostawcy czy odbiorcy. Przegląd tych zapisów przy każdej istotnej zmianie środowiska oraz przed audytem zewnętrznym utrzymuje aktualność obrazu, na którym opiera się ocena ryzyka. Pierwszy hack w historii udał się w warunkach, w których nikt takiego zapisu nie prowadził, a spór o przyczynę zakłócenia rozstrzygała wyłącznie pozycja stron.
Lekcje z przeszłości
- Deklaracja bezpieczeństwa opisuje zamysł konstruktora, natomiast ryzyko powstaje w konfiguracji faktycznie uruchomionej.
- Uproszczenie wprowadzone na etapie wdrożenia rzadko trafia do dokumentacji i właśnie ono tworzy wektor ataku.
- Przy braku zapisu pomiarowego atak pozostaje nieodróżnialny od awarii, a spór o przyczynę rozstrzyga pozycja stron.
- Wykrycie oparło się na kompetencji jednego człowieka, poza jakimkolwiek mechanizmem kontrolnym.
- Skutki reputacyjne obciążają osobę, która firmuje zapewnienie publicznie, nawet gdy jego treść powstała gdzie indziej.
- Zamknięcie kanału informacji zwrotnej od krytyków odcina dostęp do wiedzy o ograniczeniach własnej technologii.
- Zbieg kompetencji technicznej, motywu osobistego i finansowania przez podmiot o interesie rynkowym wystarcza do skutecznego działania.
Podsumowanie
Incydent z 4 czerwca 1903 roku zapisał się jako pierwszy hack w historii, ponieważ połączył trzy elementy znane z każdej późniejszej sprawy, czyli sprawcę o kompetencji technicznej i motywie komercyjnym, deklarację bezpieczeństwa opartą na projekcie oraz wdrożenie odbiegające od tego projektu. Skutki reputacyjne obciążyły osobę firmującą zapewnienie, podczas gdy jego treść powstała gdzie indziej. Jedna myśl z tej sprawy nadaje się do bieżącego wykorzystania. Deklaracja opisuje zamysł konstruktora, natomiast ryzyko powstaje w konfiguracji, która rzeczywiście działa, i właśnie tę konfigurację trzeba zobaczyć przed przyjęciem zapewnienia.
Źródła
Paul Marks, „Dot‐dash‐diss. The Gentleman Hacker’s 1903 Lulz”, New Scientist, grudzień 2011
John Ambrose Fleming, list do redakcji „Wireless Telegraphy at the Royal Institution”, The Times, czerwiec 1903
Nevil Maskelyne, korespondencja i artykuł na temat bezpieczeństwa telegrafii bezprzewodowej, The Electrician, listopad 1902
Sungook Hong, „Syntony and Credibility. John Ambrose Fleming, Guglielmo Marconi, and the Maskelyne Affair”, 1996
Sungook Hong, „Wireless. From Marconi’s Black‐Box to the Audion”, MIT Press, wrzesień 2001
„Origin of Wireless Security. The Marconi Radio Hack of 1903”, Hackaday, marzec 2017
