Ali je "vstop" v IS, ki ni vdor, kazniv?

To je eno težjih vprašanj s področja prava v informacijski varnosti IHMO.

Nekateri to "rešujejo" na tak način:

Opozorilo
Nepooblaščena uporaba in poskusi vdora bodo kazensko preganjani v največji možni meri, ki jo dopušča zakon.

Tole na vstopno stran, samo zato, da je "nič hudega sluteči sprehajalec po internetu" obveščen, da tukaj ni zaželen.
Tudi ta prijem po mojem nosi zelo malo težo v pravnem smislu.

Socialni inženiring ni legitimen, ker ljudi zavajaš, da ti dajo informacije, ki ti jih drugače ne bi dali.
Spet pa tu ne boš kazensko odgovarjal dokler ne boš zlorabil pridobljenih informacij.

Čakamo na Matthaia... :)

Pomoj se vsak nepooblaščen dostop v IS, dom, ali kaj podobnega lahko smatra kot vlom, saj način vstopa ni pomemben

V trgovino lahko vstopiš in gledaš brez kakega pooblastila dokler ne prideš do vrat, na katerih piše da je nepooblaščenim ali nezaposlenim vstop prepovedan. Če greš tja notri, potem verjetno vstopaš nekam kamor nebi smel. Verjetno je nekako podobno pri IS... V privat hišo pa brez povabila ne smeš vstopit, saj upam da ne :)

Če pa nima nooben posebej pooblastila, pa lahko samo vstopis nekam in nič ne narediš (oz. malo vohljas) - je to narobe?

Je narobe. Tudi v stanovanje z odprtimi vrati nimaš kaj vstopat, če nisi povabljen. Pooblastilo = vedenje in strinjanje osebe, da malo "vohljaš naokoli". Če tega ni, nimaš kaj "vohljat naokoli".

Nekako tako, kot če ima nekdo odklenjeno hišo oz. odprta vrata - ali je to potem vlom?

Če nimaš poolastila, je vlom.

Thnx za popravek.

v ITju je še najboljši izraz "security breach"

Daj preberi si Legalnost povezovanja v odprta WiFi omrežja, kjer smo to že vse precej podrobno obdelali.

@z00s - Pri vseh teh zadevah še vedno velja načelo "Kjer ni tožnika, tam ni dolžnika".

Tako, kot se kaznuje krajo po kazenskem zakoniku, se nimaš česa bati, če te ne dobijo.
Zakonov obstaja celo morje, vredni pa so točno toliko, kolikor jih sami spoštujemo, ali pa nas kdo k njihovemu spoštovanju prisili.

Prav nič ni drugače s temi zadevami, ki si jih ti načel.
V prvi fazi se mora vsakdo soočiti s svojo lastno vestjo. Omenjal si social engineering, oz. njegovo vejo, ki ji lahko po domače rečeš zloraba zaupanja. V prvem koraku, se gre za moralno vprašanje (nekdo bi rekel, da je bil zgolj firbec), a kljub temu najbrž ne boš brez težav zrl v oči svoji sosedi, ki si ji brskal po mailboxu, katerega te je prosila, da ji ga urediš?

Pravno si na tej točki sicer že naredil prekršek, ampak dokler soseda ne pogrunta, da se še nekdo prijavlja na njen mail in ga prebira, še nisi v škripcih. Resen problem pa boš imel, ko bo soseda podala prijavo proti neznani osebi.....

Veliko tovrstnih zlorab in breach-ev se prej ali slej odkrije, vendar razmeroma mali odstotek se konča z ovadbo, še veliko manj pa na sodišču.

S tem ne želim nikogar opogumljati, češ da se takointako nima česa bati. Vendar si tudi ne moreš zatiskati oči pred realnostjo. Koneckoncev tudi ne prijaviš vsakega, ki te je imenoval za bedaka zaradi razžalitve.

retsom je 18. okt 2012 ob 09:38 izjavil:

(1) Kdor neupravičeno vstopi ali vdre v informacijski sistem ali kdor neupravičeno prestreže podatek ob nejavnem prenosu v informacijski sistem ali iz njega, se kaznuje z zaporom do enega leta.

Vse jasno, torej.

Torej prestrezovanje nešifriranega kot tudi šifriranega prometa (recimo brezžičnega) s kakšnim Wireshark-om je tudi kaznivo ? Verjetno.
Prestrezovanje - ali to pomeni, da podatku preprečiš, da pride iz začetne točke A v končno B v tvojo vmesno C (in od tam naprej ne gre v B) ali to pomeni, da gre neovirano iz A v B, vmes pa še skozi tvojo C (ti pa to zabeležiš) in B ne ve, da je bila sploh kakršnakoli zamuda pri prispelem podatku iz A v B (kaj šele, da je bil pri tem podatek kaj spremenjen) ?
Prestrezovanje se potem bere kot nek MiTM.

Vsako prestrezanje je kaznivo, hramba toliko bolj, ce za to nimas posebnega pooblastila (pri nas APEK)

retsom je 18. okt 2012 ob 15:29 izjavil:

Kamran je 18. okt 2012 ob 15:19 izjavil:

Torej prestrezovanje nešifriranega kot tudi šifriranega prometa (recimo brezžičnega) s kakšnim Wireshark-om je tudi kaznivo ?

Sicer nisem pravnik, ampak ja, natanko to piše v zakonu. Če za to nimaš dovoljenja, torej prestrezaš neupravičeno, je to kaznivo dejanje. Kakšno tehnologijo uporabljaš za prestrezanje pa sploh ni važno.

Se uradno:
(103.5) Vse oblike nadzora oziroma prestrezanja, kot so poslušanje, prisluškovanje, snemanje, shranjevanje in posredovanje komunikacij iz prvega odstavka tega člena so prepovedane, razen če je to dovoljeno v skladu s prejšnjim odstavkom ali v skladu s 107. do 107.e členom tega zakona oziroma, če je takšna oblika nadzora oziroma prestrezanja nujno potrebna za prenos sporočil (npr. faksimilna sporočila, elektronska pošta, elektronski predali, glasovna pošta, storitev SMS).

(107 cleni pa govorijo le o operaterjih, ki morajo to delati v skladu z zakonom Slovenske obvescevalne varnostne sluzbe, seveda na osnovi
odredbe s sodisca)

Vdora ne bos obtozen, ce je nezasciten na noben nacin, ker si tehnicno normalno vzpostavu komunikacijo.
Se vedno pa ne pomeni da je to legalno. Ce ima sosed na ta nacin odprto za javno uporabo, mora biti nekje tudi obvestilo o tem.
Ce obvestila ni, si ze moralno kriv za uporabo. Neglede na to, a ti je racunalnik sam od sebe to storil ali ne, vendar je verjetno
moralna krivda drugace obravnavana (ce sploh kdaj je). Podobno kot ce imas virus ki ti vdira nekam, ti pa tega ne ves. Moralno si odgovoren,
kazensko pa ne (razen ce ti dokazejo, da si o tem nacinu vedel, oz. celo sam naredil to)

v tem primeru bos sigurno zastonj imel hrano, ce te dobijo :)

jaz imam 2 wifija, enega zase, enega pa odprtega za vse, preko katerega lahko dostopas samo do dolocenih dnsjev (gmail,facebook ipd).
Trenutno imam ze ogromno gesel tisti, ki ga uporabljajo, ne da bi "sosed vedel" :)

Kaj pa je to Lan-Party ?

SplitCookie je 18. okt 2012 ob 18:52 izjavil:

Q: Imaš računalnik na Lan-Party-u - Nekdo ga začne uporabljati, kolega, sošolec ipd.

A si jasno dovolil uporabo sistema?

SplitCookie je 18. okt 2012 ob 18:52 izjavil:

Q: Iz njega sname občutljive slike tebe ko sexaš partnerico in s tem izsiljuje

Si mu jasno dovolil dostop do teh osebnih slik?

Preveč se osredotočate na tehnologijo - naklep/namen je pomemben.

Eh, jaz imam tudi orodje, ki se lahko uporabi za posiljstvo, pa zato še nisem posiljevalec?

Če si kdaj uporabljal BT5, in se igral okoli brezžičnih omrežij, potem verjetno veš, da je tudi vsak klient 'viden'.
Tehnično najbrž nebi bil poseben problem določiti točen položaj klienta. Problem je bolj v tem, da ga že zdavnaj ne bo več tam, ko boš enkrat vzpostavil vse potrebno, da bi ga lociral.

Kamran je 18. okt 2012 ob 19:51 izjavil:

Nekje v KZ (or similar) je tudi izrecno opredeljeno glede posedovanja programske opreme, čigar namen je omogočanje prestrezanju, vdiranju, itn. Če imaš BT5 DVD, si že osumljen, torej ?

306 čl. 3. odstavek KZ-1-UPB2:

(3) Enako kot v prejšnjem odstavku se kaznuje, kdor z namenom storitve kaznivega dejanja poseduje, izdeluje, prodaja, daje v uporabo, uvaža, izvaža ali kako drugače zagotavlja pripomočke za vdor ali neupravičen vstop v informacijski sistem.

Sama posest ni kazniva, razen če zadevo uporabljaš z namenom storitve kaznivega dejanja.

Mavrik je 18. okt 2012 ob 19:05 izjavil:

SplitCookie je 18. okt 2012 ob 18:52 izjavil:

Q: Imaš računalnik na Lan-Party-u - Nekdo ga začne uporabljati, kolega, sošolec ipd.

A si jasno dovolil uporabo sistema?

SplitCookie je 18. okt 2012 ob 18:52 izjavil:

Q: Iz njega sname občutljive slike tebe ko sexaš partnerico in s tem izsiljuje

Si mu jasno dovolil dostop do teh osebnih slik?

Preveč se osredotočate na tehnologijo - naklep/namen je pomemben.

1. Komp je bil samo 'odprt' - zagnan v OS
2. Dostop do osebnih slik ni bil dovoljen (tip je prebrskal vse slike kar se jih je dalo, nato skopiral kar mu je bilo zanimivo)

NeMeTko je 18. okt 2012 ob 20:01 izjavil:

Tehnično najbrž nebi bil poseben problem določiti točen položaj klienta. Problem je bolj v tem, da ga že zdavnaj ne bo več tam, ko boš enkrat vzpostavil vse potrebno, da bi ga lociral.

Drži, vendar tako bi dobil recimo vsaj nek "origin of attack" točko in če je nekje na kakšnem parkirišču ali podobnega sedel nekdo s prenosnikom in kanteno, boš sigurno našel priče, ki bi potrdile prisotnost "sumljive osebe" na določenem mestu.
Druga zadeva pa je, če je bil tisti predel, od kodaer se je izvršil napad, pokrit z videonadzorom.

V teoriji bi to že držalo, v praksi pa......

Nekoč sem skušal odkriti, kje se nahaja nek accesspoint. Sem s prenosnikom hodil gor pa dol, sem in tja, pa nisem uspel dobito prav nobevega zares uporabnega vzorca - še jakost signala je tako nihala, da je začela padati, ko sem že mislil, da vem, kje bi lahko bil.

Dejansko bi moral imeti izredno ozkopasnovno usmerjeno anteno, da bi si lahko pomagal pri določevanju lokacije. Z anteno v prenosniku, pa nimaš šanse, saj se signal odbija od raznoraznih ovir in te spelje v napačno smer.

NeMeTko je 19. okt 2012 ob 14:42 izjavil:

Dejansko bi moral imeti izredno ozkopasnovno usmerjeno anteno, da bi si lahko pomagal pri določevanju lokacije. Z anteno v prenosniku, pa nimaš šanse, saj se signal odbija od raznoraznih ovir in te spelje v napačno smer.

To vem, zato sem si pa tudi sam preko te zadeve naredil nek zunanji priključek (2) oz. možnost, da lahko namesto notranje, v zaslon vgrajene brezžične antene, na mini PCI WLAN kartico priključim tudi kakšno svojo, doma izdelano enosmerno usmerjevalno anteno.
2 sta narejeni iz mislim da pločevink od mango-ta, ena je od nitro razredčila in ena (zelo dolga) pa je sestavljena od nekaj, skupaj spajkanih, fižolovih pločevink. Lahko ruknem slike gor, če koga zanima...

Fraktalne antene so pa tudi sila zanimive zadeve.