Průnik je problém image? (diskuse)

[Michal Kubeček]

Zda jde o problém image nebo bezpečnosti, to záleží nejspíš na tom, kam se ti útočníci vlastně dostali, jak citlivé informace tam principiálně mohli získat a jakou škodu tam mohli napáchat. Vidím to asi takto: když před pár lety někdo úspěšně naboural web Armády ČR, taky jsem neměl pocit, že by se tím nějak snížila obranyschopnost naší země…

[JiK]

souhlas. Jedna vec je nejaky web, a druha, naprosto oddelena je armadni IS, vec kterou by v pripade potreby putovaly rozkazy k bojovym jednotkam. Pevne verim a doufam, ze spolu nemaji VUBEC nic spolecneho.

[Michal Vyskočil]

Což je úplně jedno, pokud je i ona vnitřní síť chráněná stejně mizerně

[Hanato]

V armade jeste chodi papirove rozkazy s podpisem...

[JiK]

chodili by i za valky? Mam pocit ze poslat fingovany "rozkaz s podpisem" ve smyslu:

Za zadnych okolnosti neopustite operacni zakladnu a nenechate se vyprovokovat k bojove akci.

Generalmajor Ten-samy-co-vzdycky-predtim

by asi bylo tezsi nez nejaky digitalne podepsany kryptogram se silnym sifrovanim. Ale mozna je to v armade jinak.

[Michal Kubeček]

Nemluvě o rychlosti…

[JiK]

Samozdrejmne. A navic na zastaveni motospojky s telegramem staci dva prislusnici SNB s legendarnim rozkazem:

"Muz s kozenou brasnou nesmi za zadnou cenu projet!"

Adresat ani nezjisti, ze mel neco dostat....

Promin Michale, ale nemohl jsem si to odpustit...usmejme se, zivot je beztak dost nevesely, nedelejme ho sobe a ostatnim horsi a smutnejsi.

[podlesh]

V armade jeste chodi papirove rozkazy s podpisem...

Případně diskety s podpisem.

(Nedělám si srandu!)

[Michal Kubeček]

Skoro se bojím zeptat… ale nedá mi to… je řeč o elektronickém podpisu nebo o podpisu propiskou?

[podlesh]

Propiskou, samozřejmě

Tedy, takto zabezpečené diskety se samozřejmě nepoužívají k předávání bojových rozkazů ale dokumentů typu "Stav výstrojního skladu".

[podlesh]

No ale aby to nevypadalo, že si bohapustě dělám srandu z armády jenom na základě historek ze ZVS: situace v různých složkách a různých útvarech se dost liší. Sám jsem trochu dělal na zpracování a zobrazování radarových dat. Takže například pokud někdo má stále představu klasické obrazovky radaru, kde se kolem dokola točí zelená čára a zůstávají za ní pohasínající tečky letadel... tak je mimo.

[Michal Čihař]

Tohle nevypadá, že by šlo jen o web, spíš průnik do interní sítě.

Tajné dokumenty prý nejsou v elektronické podobě, ale nějak se moc mi nechce věřit, že by posudek psali na psacím stroji.

[Jiří (BoodOk) Kadeřávek]

Priznam se, ze jsem postup pruniku peclive procetl a horce se smal spolu s jeho autory. Jen mi to potvrdilo me neustavajici obavy z kvality statni spravy. Uz dlouho se mi zda, ze idelani pozici pro poradne zapojeni se do vyvoje Open Source je vzit praci od statu a v nasetrenych 7h denne (budu delat o hodinu mene a 6h nasetrim tim, ze udelam za 2h to, co po me ten den chteji) se venovat bohulibe programatorske cinnosti. Navic uz nikdy nebudu mit pocit, ze mne stat vykoristuje.

[rastos]

Podla popisu k prieniku pomohlo to, že získali súbor passwd pomocu chyby vo web interface na mail. Tvrdenie, že neunikli skutočne tajné informácie si vyvetľujem tak, že stroje s takýmito informáciami nie sú fyzicky pripojené na internet (air gap).

Ale séria chýb je neuveriteľná: triviálne heslo, nepovšimnutý veľký upload, rovnaké heslo na viacerých strojoch, ssh povolené zvonka z ľubovoľnej adresy, na štandardnom porte, povolené heslá cez ssh a nie len kľúče, ...

[Michal Kubeček]

Vy považujete skutečnost, že někdo neprovádí security by obscurity triky typu odstěhování sshd na jiný port, za chybu?

[rastos]

Áno. Ty nie?

[happy barney]

hmm, pouzivas aj port-knocking na standartny port?

[Zdeněk Burda]

Cokoliv spuštěné na jiném než obvyklém portu nepřidá na bezpečnosti, pouze to může odradit různé neználky co si stáhnou nějaký "zlý" program z netu a potom pokoušejí okolní počítače a plní jejich logy neuspěšnými pokusy.

[Heron]

Existuje spousta projektů, jak ochránit třeba sshd. Já s úspěchem používám denyhosts. Po pár pokusech se utočník může na port 22 tak maximálně smutně dívat. A pokud heslo neodolá pár pokusům, měl by se nad tím admin zamyslet.

Umístění standardních věcí na nestandartní port vede jen k oběžování uživatelů, útočníka s portscanerem neodradí.

[Michal Kubeček]

Ne. Já ne.

[Luk]

Problémy měl kdysi i český NBÚ. Jeden z počítačů v centrálním registru byl napaden červem (tuším) W32/Badtrans. Byl to právě ten červ, který umí rozesílat informace.

[happy barney]

no, tak to budme radi, ze v tom nasom padlo za obet freebsd ))

[JiK]

obavam se, ze za debilne zvolene hesla muze root, ne freeBSD. Predpokladam, ze uz stoji ve fronte na urade prace.

Jinak, lehce OT, jak se lisi ruzne BSD, je freeBSD, openBSD a netBSD, jedno by melo byt inovativni, zamerene na podporu noveho HW, jedno ultrabezpecne a ultrakonzervativni, a jedno snad nekde mezi...vi to nekdo?

[tomasgn]

podle www.sme.sk se o zabezpeceni stara externi firma. at zije outsourcing.

[miso]

Vyhlasenie NBU k famam Po vykonani dokladnej bezpecnostnej kontroly sme zistili, ze tzv. k uniku dat nemohlo dojst, nakolko mame dvere zamknute a Jozo vo vratnici do budovy nepustil ani nohu. Aby sme dostali svojej povinnosti vyplyvajucej zo zakona, odomkli sme a vykonali aj prehliadku v miestnoti kde mame zamknuty toten kompjuter. Naslednou obhliadkou bolo zistene, ze boli zavrete aj okna, takze k ziadnemu uniku informacii nemohlo dojst. Cele to povazujeme za nevyberany utok opozicie na demokraciu a navrhneme zvysenie nasho rozpoctu o 200mil. Sk, za ktore by sme od Ferovej firmy kupili tesniacu pasku pod dvere a okna a tym dosiahli este vyssiu bezpecnost nasho pocitacoveho systemu.

S pozdravom
Bezpecnosti zdar
Nacelnik security commandos NBU

[abr]

Porovnani BSDcek ...

[Kyosuke]

If you have been defaced, your image surely changed a bit...