Robak Morrisa: jak student przypadkiem zatrzymał internet w 1988 roku

Był rok 1988. Internet — wtedy jeszcze mała, ufna sieć łącząca uniwersytety, ośrodki badawcze i instytucje rządowe — liczył około sześćdziesięciu tysięcy komputerów. Wszyscy się znali, nikt nie zamykał drzwi na klucz, bo po co. I wtedy, wieczorem 2 listopada, coś zaczęło się dziać. Maszyny w całym kraju zwalniały, aż wreszcie stawały. Administratorzy nie rozumieli, co się dzieje — a to, co się działo, było czymś zupełnie nowym. Po raz pierwszy w historii złośliwy program samodzielnie rozpełzał się po sieci. Nazwano go robakiem Morrisa, a jego historia jest zaskakująco ludzka: to opowieść o genialnym studencie, drobnym błędzie w kodzie i przypadku, który zmienił bieg całej branży.

Ciekawość, nie złośliwość

Autorem był Robert Tappan Morris, dwudziestoparoletni doktorant z Cornell (i, co nie bez znaczenia, syn wybitnego kryptografa z NSA). Jego zamiar nie był, wbrew późniejszej legendzie, złośliwy. Chciał zrobić coś, co dziś nazwalibyśmy eksperymentem badawczym: napisać program, który zmierzy rozmiar internetu, przemieszczając się z komputera na komputer i licząc, ile maszyn zdoła odwiedzić. Intelektualna ciekawość, nie chęć zniszczenia.

Żeby program mógł się przemieszczać, Morris wykorzystał kilka znanych wówczas słabości systemów uniksowych — luki w usłudze pocztowej sendmail, w programie fingerd oraz słabe hasła, które dawało się zgadnąć. Wszystko to było zjawiskiem powszechnym w epoce, w której bezpieczeństwo praktycznie nie istniało jako pojęcie.

Jedna linijka, która przewróciła internet

Problem — i cała katastrofa — tkwił w jednym projektowym detalu. Morris przewidział, że administratorzy mogą próbować oszukać jego robaka, uruchamiając fałszywą kopię, by go zatrzymać. Żeby temu zapobiec, zaprogramował mechanizm: zanim robak zainfekuje komputer, sprawdza, czy nie ma tam już jego kopii; jeśli jest — nie infekuje ponownie.

Ale bał się, że to samo sprawdzenie da administratorom łatwy sposób na blokadę. Więc dodał regułę: raz na jakiś czas robak infekuje maszynę ponownie, nawet jeśli kopia już tam jest. Ten drobny „margines bezpieczeństwa” okazał się śmiertelny. W praktyce oznaczał, że komputery były zarażane wielokrotnie — dziesiątki, setki kopii robaka działały jednocześnie na jednej maszynie, pożerając całą jej moc obliczeniową, aż system stawał kompletnie. To, co miało być cichym licznikiem, zamieniło się w atak odmowy usługi na cały ówczesny internet.

10 procent sieci na kolanach

Robak rozprzestrzeniał się błyskawicznie. W ciągu godzin zainfekował około sześciu tysięcy maszyn — czyli mniej więcej jedną dziesiątą całego ówczesnego internetu. Ucierpiały uniwersytety, ośrodki NASA, instytucje wojskowe. Administratorzy, odcięci od sieci (bo poczta i komunikacja też padły), musieli reagować w izolacji, wymieniając się rozwiązaniami przez telefon. Odkażanie zajęło dni, a szacunki strat sięgały milionów dolarów.

Sam Morris, przerażony tym, co uruchomił, próbował pomóc — przez znajomego rozesłał anonimową instrukcję, jak zatrzymać robaka. Ironicznie, sieć była tak zapchana, że wiadomość dotarła do adresatów za późno.

Konsekwencje: pierwszy wyrok i narodziny CERT

Historia Morrisa ma dwa doniosłe następstwa, które ukształtowały branżę.

Po pierwsze, Morris został pierwszą osobą skazaną na podstawie amerykańskiej ustawy o oszustwach komputerowych (Computer Fraud and Abuse Act). Dostał wyrok w zawieszeniu, grzywnę i prace społeczne. Sprawa wyznaczyła precedens: „nie chciałem wyrządzić szkody” przestało być obroną, gdy kod realnie ją wyrządził. (Dodajmy dla porządku: Morris później zbudował udaną karierę akademicką i biznesową, został profesorem MIT — to nie był koniec, lecz burzliwy początek.)

Po drugie, i ważniejsze: w odpowiedzi na chaos powołano CERT/CC (Computer Emergency Response Team) na uniwersytecie Carnegie Mellon — pierwszy zespół reagowania na incydenty komputerowe. To z tego pomysłu wyrosła cała dzisiejsza sieć zespołów CERT/CSIRT na świecie, w tym CERT Polska. Można powiedzieć, że robak Morrisa stworzył branżę reagowania na incydenty.

Dlaczego ta historia wciąż uczy

Choć minęły dekady, robak Morrisa jest zaskakująco aktualny:

• Kod robi to, co napiszesz — nie to, co masz na myśli. Jeden mylnie oszacowany parametr zamienił niewinny eksperyment w globalną awarię. To odwieczna prawda inżynierii: skutki uboczne bywają groźniejsze od zamierzonych funkcji.
• Samopowielanie jest niebezpieczne z natury. Każdy kod, który rozprzestrzenia się autonomicznie, może wymknąć się spod kontroli — od robaka Morrisa, przez WannaCry, po współczesne robaki w łańcuchu dostaw.
• Intencje nie mają znaczenia dla skutków. Ta lekcja jest dziś kluczowa także w kontekście „testów” i „badań” prowadzonych bez zgody właściciela systemu.

Lekcje dla firm

• Testuj skutki uboczne, nie tylko funkcje. Zanim uruchomisz cokolwiek autonomicznego (skrypt masowy, automatyzację, agenta), pomyśl, co się stanie, gdy pójdzie inaczej, niż zakładasz.
• Miej plan reagowania na incydent. Administratorzy w 1988 improwizowali w izolacji. Dziś przygotowany plan i procedury decydują o tym, czy incydent trwa godziny, czy dni.
• Higiena podstaw wciąż broni. Robak żył ze słabych haseł i znanych luk. Dokładnie te same błędy — słabe hasła i niezałatane usługi — napędzają większość dzisiejszych włamań.
• Zasada: nie testuj na cudzym. Jeśli chcesz sprawdzić bezpieczeństwo systemu, rób to w uzgodnionym zakresie i na podstawie zgody — na tym opiera się legalny test penetracyjny.

Podsumowanie

Robak Morrisa to opowieść o tym, jak ciekawość jednego studenta i drobny błąd w kodzie położyły dziesiątą część ówczesnego internetu — i jak z tego chaosu narodziła się cała dziedzina reagowania na incydenty. To pierwszy rozdział historii, którą branża powtarza do dziś: samopowielający się kod jest groźny niezależnie od intencji, a skutki uboczne potrafią przerosnąć zamiar. W 1988 roku internet był ufną wioską, w której nikt nie zamykał drzwi. Robak Morrisa był momentem, w którym ta wioska zrozumiała, że drzwi warto mieć — i że ktoś musi czuwać.

Budujesz automatyzacje, agenty albo systemy działające autonomicznie i chcesz zrozumieć ich ryzyka, zanim wymkną się spod kontroli? Porozmawiajmy — testy i doradztwo bezpieczeństwa obejmują także ten obszar.

Najczęstsze pytania (FAQ)

Czy robak Morrisa był pierwszym złośliwym oprogramowaniem? Nie pierwszym w ogóle — wcześniej istniały wirusy i eksperymenty z samopowielającym się kodem. Był jednak pierwszym robakiem internetowym, który samodzielnie rozprzestrzenił się na masową skalę i sparaliżował realną sieć. To on wprowadził pojęcie robaka do świadomości publicznej i uświadomił światu, że internet jest podatny.

Czym robak różni się od wirusa? Wirus potrzebuje nosiciela — dołącza się do pliku lub programu i rozprzestrzenia, gdy użytkownik go uruchomi. Robak jest samodzielny: rozprzestrzenia się sam, przez sieć, bez udziału człowieka, wykorzystując luki i słabe zabezpieczenia. Robak Morrisa był klasycznym przykładem tego drugiego.

Co się stało z Robertem Morrisem? Został skazany (wyrok w zawieszeniu, grzywna, prace społeczne) jako pierwsza osoba na podstawie amerykańskiej ustawy o oszustwach komputerowych. Później zbudował jednak udaną karierę: został profesorem informatyki w MIT i współzałożycielem znanego funduszu technologicznego. Jego historia to burzliwy początek, a nie koniec.

Jaka jest najważniejsza lekcja z robaka Morrisa dla dzisiejszych firm? Że kod robi dokładnie to, co napiszesz — łącznie ze skutkami ubocznymi, których nie przewidziałeś. Zanim uruchomisz cokolwiek działającego autonomicznie i na skalę, przemyśl scenariusze awaryjne, a bezpieczeństwo opieraj na higienie podstaw (silne hasła, łatanie) i gotowym planie reagowania na incydent.