Взломать всё. Как сильные мира сего используют уязвимости систем в своих интересах - Брюс Шнайер

Один из первых хаков назывался «мили за пробег». Мили, начисляемые пассажирам в зависимости от расстояния их рейсов, по сути являются частной валютой, которую можно обменять на билеты. Умный хакер будет искать способы арбитража двух валют, то есть такие ситуации, когда за небольшие деньги можно получить много миль. Так, например, за беспосадочный перелет из Нью-Йорка в Амстердам начисляется 3630 миль, а за перелет с пересадкой в Стамбуле – 6370 миль. При условии, что тот и другой билеты стоят одинаково, а вам больше нечем заняться, это отличная сделка.

Мили за пробег определенно нарушали цели, ради которых авиакомпании запускали программы лояльности. Дальнейшие хаки стали еще более странными. Программы, как правило, включают в себя несколько уровней вознаграждения: к примеру, налет за год 50 000 миль резко повышает ценность программы для пассажира. Поэтому последние порой занимались тем, что покупали билеты на долгие и сложные, но дешевые рейсы туда и обратно, с шестью и более пересадками, только для того, чтобы накопить мили. Некоторые даже не удосуживались покидать аэропорты, в которых оказывались.

Авиакомпании годами игнорировали подобные хаки, но в 2015 г. они начали вносить изменения в свои программы поощрения часто летающих пассажиров{42}, чтобы налет сам по себе не был способом заработать мили. Многие компании ввели минимальный порог расходов для получения элитного статуса и в конечном счете изменили само понятие «миля» в рамках программ, чтобы оно зависело от потраченных долларов, а не от расстояния, которое пролетел пассажир.

Существуют хаки, использующие другие способы накопления миль{43}, помимо самих полетов. Авиакомпании уже давно сотрудничают с банками, выпуская совместные кредитные карты. За каждую оплату такой картой начисляются мили, но помимо этого они часто начисляются уже при заказе карты. Хак очевиден: оформите много кредитных карт и закройте их до того, как начнутся комиссионные сборы. Один человек открыл такую кредитную карту и сразу купил на $3000 подарочные сертификаты Amazon, чтобы получить свой бонус за регистрацию. Другой заполнил гараж блендерами в рамках акции, предлагающей дополнительные мили за покупку бытовой техники. Некая дама хвасталась, что за пять лет она «оформила более 46 кредитных карт и заработала 2,6 млн миль только в виде бонусов за регистрацию».

Конечно, такой хакинг программ лояльности наносит немалый вред: банки в итоге тратят миллиарды долларов на перелеты клиентов, которые не платят ни комиссию, ни проценты по своим картам. В результате эти расходы перекладываются на потребителей в виде более высоких цен на билеты. Некоторые эмитенты кредитных карт пытаются пресекать подобные взломы. В 2016 г. банк Chase ввел правило{44}, согласно которому клиенту не будет одобрено большинство из кредитных карт, если он уже заказал пять и более кредитных карт в разных банках за последние 24 месяца. American Express теперь аннулирует мили{45} у тех, кто «участвовал в злоупотреблениях, неправомерном использовании или играх, связанных с получением или использованием баллов», что дает компании широкие возможности наказывать клиентов, которые, по ее мнению, злоупотребляют системой.

И тут мы возвращаемся к «парню с пудингом»{46}. Известный среди хакеров программ лояльности, Филлипс обнаружил уязвимость не в плане какой-то конкретной авиакомпании, а в программе Healthy Choice 1999 г. К тому времени большинство авиакомпаний уже предлагали партнерские программы, дающие различным фирмам возможность оптом покупать мили для часто летающих пассажиров и предлагать их своим клиентам в качестве вознаграждения. Конкретно в этой злополучной программе клиенты могли зарабатывать мили на рейсы выбранной ими авиакомпании, покупая продукты Healthy Choice. Филлипс занялся поиском самого дешевого продукта, соответствующего требованиям программы, и в итоге купил 12 150 стаканчиков с пудингом по 25 центов за штуку, получив таким образом 1,2 млн миль за $3150 и пожизненный статус Gold на рейсах American Airlines. (Затем он пожертвовал весь купленный пудинг на благотворительность, дополнительно получив возможность списать $815 при уплате налогов.) Определенно, это не тот результат, на который рассчитывала Healthy Choice, запуская программу, но, поскольку Филлипс не нарушил никаких правил, компания заплатила.

9

Хакинг в спорте

Спорт хакают постоянно. Очевидно, это результат конкурентного давления (а в профессиональном спорте еще и денег) и неизбежно «дырявых» правил.

Несколько историй для примера.

Американский бейсбол, 1951 г. Команда «Сент-Луис Браунс»{47} протащила в состав игрока по имени Эд Гейдел, чуть больше метра ростом. Он сделал всего один выход на поле, который, само собой, закончился «прогулкой»[7]: его страйк-зона была настолько мала, что попасть в нее было почти невозможно. В лиге не существовало официального требования к росту игрока, поэтому технически это был легальный хак. Однако на следующий день президент лиги все равно аннулировал контракт игрока.

Баскетбол, 1976 г. Финал NBA, второй овертайм. До конца остается меньше секунды, «Финикс Санс» отстают всего на одно очко от «Бостон Селтикс». Мяч у «Санс» на дальнем конце площадки, и у них просто нет времени, чтобы доставить его к корзине и бросить. Именно в этот момент игрок «Санс» Пол Уэстфал хакнул правила. Он взял тайм-аут, хотя у его команды этого права уже не осталось. Судьи засчитали фол, а «Бостон Селтикс» получили право на штрафной бросок. Но в данном случае заработанное противником дополнительное очко не имело значения. Важным было другое: после штрафного броска «Санс» получили мяч в центре площадки{48}, что дало им шанс забить двухочковый и выйти в третий овертайм. Что они и сделали. На следующий год NBA изменила правила, запретив командам продвигать мяч на середину площадки с помощью технического фола.

Плавание, 1988 г. Американец Дэвид Беркофф и японец Даичи Судзуки отличились в заплывах на спине{49}, проходя большую часть бассейна под водой и показав поразительный результат. Эту технику вскоре переняли и другие первоклассные пловцы, пока не вмешалась Международная федерация плавания и не ограничила дистанцию, на которой пловец на спине может оставаться под водой.

Американский футбол, 2015 г. «Нью Ингленд Пэтриотс» использовали новый хак{50} против «Балтимор Рэйвенс», перемещая игроков на линии розыгрыша, чтобы манипулировать сложными правилами, определяющими, какие игроки имеют право принимать мяч. Два месяца спустя лига внесла поправки в правила{51}, чтобы сделать этот хак незаконным.

Впрочем, так происходит далеко не всегда. Часто вместо того, чтобы объявлять хаки незаконными, их включают в игру, потому что они действительно ее улучшают. Многие аспекты спорта, которые сегодня являются нормой, когда-то были хаками. В американском футболе пас вперед был когда-то хаком, точно так же, как и приемы нападения «беги и стреляй» (run-and-shoot) и «быстрый рывок» (fast snap), вынуждающий другую команду менять игроков. В бейсболе хаками были приемы «жертвенная муха» (sacrifice fly) и «преднамеренная прогулка» (intentional walk). Ни один из этих приемов не противоречил правилам, просто до определенного момента никому и в голову не приходило, что можно действовать подобным образом. Как только приемы были опробованы, они стали частью игры.

Однако этот процесс не всегда проходит гладко. В баскетболе бросок под названием «верняк» (слэм-данк) когда-то был хаком{52}. Никто и представить себе не мог, что игрок способен прыгнуть настолько высоко, чтобы положить мяч в корзину сверху. В первые десятилетия развития баскетбола прием вызывал горячие споры. Разные лиги пытались запретить данкинг, но с середины 1970-х гг. он стал неотъемлемой частью этого вида спорта, поскольку зрелищные броски неизменно приводили в восторг болельщиков.

В крикете, в отличие от бейсбола, отбивающий игрок может заработать очки, отбив мяч не только в сектор, расположенный перед ним, а в любую сторону, поскольку его позиция находится в центре поля. Больше века традиционным способом отбивания мяча считалось таковое в сторону подающего боулера, как в бейсболе, или же краем биты в направление позади отбивающего. В начале 2000-х гг. некоторые игроки в крикет догадались{53}, что могут опасно