Το βράδυ της 2ας Νοεμβρίου 1988, γύρω στις 8:30, ένα μικρό πρόγραμμα ξεκίνησε να ταξιδεύει από υπολογιστή σε υπολογιστή μέσα από το δίκτυο του MIT προς το υπόλοιπο διαδίκτυο. Μέσα σε λίγες ώρες, πανεπιστήμια και ερευνητικά κέντρα στις ΗΠΑ είχαν μηχανήματα που αργούσαν να απαντήσουν ή κατέρρεαν. Ήταν το σκουλήκι Morris, το πρώτο διαδικτυακό σκουλήκι που απέκτησε μεγάλη δημοσιότητα.
Ένας φοιτητής και ένα πείραμα
Δημιουργός του ήταν ο Ρόμπερτ Ταπάν Μόρις, μεταπτυχιακός φοιτητής πληροφορικής στο Πανεπιστήμιο Κορνέλ. Σύμφωνα με τις αναφορές, το έβαλε στο δίκτυο από τον χώρο του MIT ώστε να μη φαίνεται ότι προήλθε από το Κορνέλ. Ο σκοπός του είναι αμφισβητούμενος. Μια εκδοχή λέει ότι ήθελε να μετρήσει το μέγεθος του διαδικτύου, αντιγράφοντας το πρόγραμμα από μηχάνημα σε μηχάνημα. Ο ίδιος έχει υποστηρίξει ότι δεν σκόπευε να εξαπλωθεί τόσο.
Το σκουλήκι έβρισκε δρόμο μέσα από γνωστές αδυναμίες των συστημάτων UNIX της εποχής. Εκμεταλλευόταν μια λειτουργία αποσφαλμάτωσης που είχε μείνει ενεργή στο πρόγραμμα ηλεκτρονικού ταχυδρομείου sendmail, ένα σφάλμα υπερχείλισης μνήμης (buffer overflow) στην υπηρεσία finger και τις σχέσεις εμπιστοσύνης ανάμεσα σε μηχανήματα, ενώ δοκίμαζε και αδύναμους κωδικούς πρόσβασης από ένα ενσωματωμένο λεξικό.
Το λάθος που το έκανε επιβλαβές
Ο Μόρις είχε προγραμματίσει το σκουλήκι να αντιγράφεται στο 14% των περιπτώσεων ανεξάρτητα από το αν υπήρχε ήδη αντίγραφο στο μηχάνημα. Το αποτέλεσμα ήταν πολλαπλά αντίγραφα στο ίδιο σύστημα, που το στέρευαν από πόρους μέχρι να καταρρεύσει. Το σκουλήκι δεν διέγραφε αρχεία. Όπως το περιγράφει η μελέτη του FBI, παρ’ όλα αυτά «πρόσφερε ένα γερό χτύπημα»: λειτουργίες πανεπιστημίων και στρατού επιβραδύνθηκαν, και μηνύματα ηλεκτρονικού ταχυδρομείου άργησαν μέρες.
Η πιο γνωστή εκτίμηση ανεβάζει τους προσβεβλημένους υπολογιστές σε περίπου 6.000 από περίπου 60.000 που ήταν τότε συνδεδεμένοι. Όμως ο αριθμός είναι εκτίμηση, και ερευνητές όπως ο Κλίφορντ Στολ μίλησαν για πολύ λιγότερους, γύρω στους δύο χιλιάδες. Ανάμεσα στα ιδρύματα που επηρεάστηκαν ήταν το Χάρβαρντ, το Στάνφορντ, το Τζονς Χόπκινς και η NASA, και κάποια έμειναν εκτός λειτουργίας για έως μία εβδομάδα. Το κόστος του καθαρισμού υπολογίστηκε ως τα μερικά εκατομμύρια δολάρια, χωρίς βέβαιο αριθμό.
Δίκη και κληρονομιά
Τον Ιανουάριο του 1990, ένορκοι στη Συρακούζα καταδίκασαν τον Μόρις. Ήταν η πρώτη καταδίκη σε κακούργημα στις ΗΠΑ με βάση τον νόμο του 1986 για την απάτη και την κατάχρηση υπολογιστών (Computer Fraud and Abuse Act). Δεν φυλακίστηκε. Του επιβλήθηκαν τρία χρόνια επιτήρησης, 400 ώρες κοινωνικής εργασίας και πρόστιμο 10.050 δολαρίων.
Το περιστατικό είχε διάρκεια. Λίγες εβδομάδες αργότερα ιδρύθηκε στο Πανεπιστήμιο Κάρνεγκι Μέλον το CERT Coordination Center, με χρηματοδότηση της DARPA, ως πρώτη ομάδα που συντονίζει την αντιμετώπιση τέτοιων περιστατικών, μοντέλο που υιοθέτησαν αργότερα πολλές χώρες και οργανισμοί. Ο ίδιος ο Μόρις έγινε αργότερα καθηγητής στο MIT και συνιδρυτής του Y Combinator. Το σκουλήκι του 1988 έδειξε ότι ένα δίκτυο που βασίζεται στην εμπιστοσύνη μπορεί να πέσει από ένα πρόγραμμα λίγων εκατοντάδων γραμμών.
