Pod lampou býva najväčšia tma ...

6.9.2006 08:15 | Přečteno: 1397× | Linux |

V dnešnom svete je bezpečnosť asi tá najdôležitejšia vec. Týka sa to aj bežného, aj nebežného (teda IT :)) života. Chcete vedieť, akým jednoduchým spôsobom som zapríčinil menší security zmätok u môjho bývalého zamestnávateľa?

Kto vie, ten vie, kto nevie, nech radšej nevie, kto bol môj predchádzajúci zamestnávateľ. Nechcem im tu robiť reklamu, ani dobrú, ani zlú, uvediem len základné info o danej firme. Je to zahraničná firma, ktorá si zriadila pobočku na Slovensku a snaží sa predrať aj na tuzemský trh. V zahraničí má v správe cca 300 serverov, väčšinou bežiacich na Windows 2003, zopár kusov je Solaris a RedHat. Sprvoti som bol dosť prekvapený dokonalou sieťovou topológiou aj bezpečnosťou, dokonca aj keď som bol v zahraničí na služobnej ceste a videl som celú topológiu siete ako z učebnice rozdelenú na tri vrstvy (acces, frontend, backend), no proste krása.

Čo však čert nechcel (a ja som chcel), našiel som si lepšiu prácu. Nechceli ma pustiť, tak som sa rozhodol, že začiatkom júla zo dňa na deň neprídem do práce, mal som totiž oficiálne odísť až v júli. "Šéf" o mojom pláne dobre vedel, takže nasledujúce udalosti ma dosť prekvapili:

1. Týždeň po odchode som sa ešte mohol prihlásiť cez VPNku :)
2. Tri týždne po odchode som si ešte čítal firemné maily
3. Moja virtuálna existencia v danej firme skončila až po cca mesiaci aj niečo. Dajme tomu, že jeden zo Solarisov má hostname hostxy. Keďže ma prinútili používať MSN na komunikáciu, používam ho (okrem iných IM klientov) aj teraz. Kto pozná MSN, tak vie, že sa v ňom dá nastaviť "osobná správa", ktorá sa objaví pri nicku v contact-liste ostatných ľudí. No a keďže som osoba veľmi hnusná, nastavil som si osobnú správu na hostxy# rm -rf /. O hodinu mi zrazu píše kolega, že čo to stváram, v zahraničí majú poplach. Neskôr mi preposlal mail, ktorý koloval po firme a pojednáva o tom, či vôbec pre nich ešte pracujem a prečo mám takúto osobnú správu. Nakoniec ich to prinútilo urobiť procedúru na to, čo skontrolovať keď odchádza zamestnanec. Vtedy sa moja vysoká mienka o bezpečnosti rozplynula ako mraky po búrke. IT firma, ktorá spravuje servery a aplikácie fakt veľkých firiem si nielenže nemení admin heslá po nejakej končtantnej dobe, dokonca ani nevie, či pre ňu istý človek pracuje a či mu vôbec zrušili všetky kontá.

Už sa nedivím, že prečo skončil NBÚ tak, ako skončil. Pod lampou totiž býva najväčšia tma. Ešteže v mojom terajšom zamestnaní to tak nevyzerá. Hanbil by som sa za to.

BTW: Heslo admina na servery je **************

       

Komentáře

[Zdeněk Burda]

No a přesně kvůli takovým případům nasazujeme Sun Java System Identity Manager, který podobné problémy docela dobře řeší

Po tom co odejde zaměstnanec a někdo (například na personálním nebo jeho bývalý šéf) označí zaměstnance jako odejitého, tak se během chvíle plně automaticky provede zrušení/zakázání přístupů na všech systémech v celé síti.

[Heron]

Změnit všechna hesla jen kvůli odchodu zaměstnance mi přijde přinejmenším podivné. Existuje něco jako loajalita a taky se to často řeší v pracovní smlouvě (nepředávání interních údajů třetí osobě atd). Já jsem znal hesla a strukturu sítě dřív, než jsem do firmy vůbec nastoupil a nepřijde mi to jako bezpečnostní problém.

[backslash]

No ked som nastupoval do terajsieho zamestnania, tak som postupne preberal servery od kolegu a ten postupne na kazdom menil heslo. U malych firiem to nie je tazke, u velkych to je uz problem... Ale hesla by sa mali menit, aspon raz za rok.

[Tomáš]

Když nastupuješ, tak to není problém, ale když člověk odchází, tak je na místě ostražitost. Po internetu asi koluje dost textů, jak to udělat, když firma vyhazuje správce (zhruba řečeno, jednoho dne ráno ho čeká ochranka, nesmí se ani dotknout počítačů, sbalí si svoje věci a dostane výpověď a placené volno na zbytek výpovědní doby).

Když odchází sám, tak se s ním musí zaměstnavatel velmi dobře dohodnout, aby nevznikly zbytečné problémy. Rozhodně je potřeba ověřit, jestli nejsou někde zadní vrátka. Kolik firem to opravdu dělá, to nevím. Rozhodně vím o jedné, která to nedělá.

[Heron]

Když nastupuješ, tak to není problém, ale když člověk odchází, tak je na místě ostražitost. Po internetu asi koluje dost textů, jak to udělat, když firma vyhazuje správce (zhruba řečeno, jednoho dne ráno ho čeká ochranka, nesmí se ani dotknout počítačů, sbalí si svoje věci a dostane výpověď a placené volno na zbytek výpovědní doby).

Cože? Která firma vyhazuje svoje zaměstnance stylem vyvedení ochrankou?

Pokud správce nedělá to co má, tak je na místě ostražitost (jenže takový správce by měl být vyfiltrován už při nástupu), ale s normálním správce se přece lze rozumně domluvit.

Když odchází sám, tak se s ním musí zaměstnavatel velmi dobře dohodnout, aby nevznikly zbytečné problémy. Rozhodně je potřeba ověřit, jestli nejsou někde zadní vrátka. Kolik firem to opravdu dělá, to nevím. Rozhodně vím o jedné, která to nedělá.

No ano, slušný správce předá vše novému a v klidu odejde.

[Bluebear]

jak to udělat, když firma vyhazuje správce (zhruba řečeno, jednoho dne ráno ho čeká ochranka, nesmí se ani dotknout počítačů, sbalí si svoje věci a dostane výpověď a placené volno na zbytek výpovědní doby

Stejně jako Heron doufám, že to není běžný postup. Poctivého správce by takové zacházení smrtelně urazilo a v právně vyspělých zemích by možná došlo i na žalobu pro urážku na cti a újmy na společenské prestiži (být vyveden ochrankou rozhodně nedělá dobrý dojem na možné budoucí zaměstnavatele).

A myslím, že by se dost rychle rozkřiklo, jak se v té které společnosti zachází se zaměstnanci, což by mělo negativní dopad na získávání nových lidí.

A pokud je správce prevít, nebo jen paranoidní, tak si příslušná zadní vrátka a časované bomby připraví už s velkým předstihem.

[hatlapatla]

Doufam, ze takovejchhle vychc.nku potkam v zivote co nejmene. "Chteli, abych dodrzel pracovni smlouvu, tak jsem jim zatopil" Tfuj !

[Pravák Bob]

14 hvězdiček? To je originální heslo

[Sodalite]

Slušný správce se takto nechová. Imho pokud někdo skončí v nějaké firmě, tak končí a jde si po svých. Jestli se ještě hrabe v jejich serverech, je to na žalobu.

[Cievo]

Ahoj Backslash

No ten problem co si hore opisoval bol koli tomu, ze ty si odisiel mesiac pred ukoncenim tvojho pracovneho pomeru a Marian nejak pozabudol na to aby poziadal o vypnutie tvojeho pripojenia na VPN a uctu do CTX prostredia

Inac to heslo na admina sa akurat menilo, takze uz nie je to co si spominal

I ked ja stale pre nich robim, ale s tou bezpecnostou to nie je ziadna vyhra, presne ako pises. Napriklad take vytunelovanie portov dnu aj von cez otvoreny FTP port Vsak pamatas ako si chodieval na IRCcko :)

Drzim ti palec v tvojej novej praci

[lacho]

sewaz backslash

s tym admin heslom je to fakt otrasne a nie si sam co odisiel... HRoooozne vela ludi odislo a heslo sa zmenilo az mozno po roku a pol - dvoch rokoch ;) na druhej strane suhlasim s tou lojalitou - pokial robis nieco podobne, tak je na mieste dovera...

DRZ Si, backslash a niekedy dobehni konecne na to pivo, co si sluboval ;))

PS: pozdravujem cieva ktory uz odisiel na obed