ZDNet - Neznani napadalci so v Strasbourgu napadli javno brezžično omrežje, ki z internetom oskrbuje obiskovalce in zaposlene v Evropskem parlamentu. Zaradi incidenta, v katerem naj bi ukradli uporabniška imena in gesla štirinajstih uporabnikov, so do nadaljnjega ugasnili javni Wi-Fi v Parlamentu. Vsem uporabnikom so že priporočili zamenjavo gesel, hkrati pa poslancem in ostalim zaposlenim priporočajo namestitev ustreznega certifikata, s katerim se bo mogoče povezati na varno zasebno omrežje Wi-Fi.
Vse kaže, da je šlo za napad MITM (man-in-the-middle). Šlo je za javno dostopno omrežje EP-EXT Network. Napadalci niso izkoristili ranljivosti v infrastrukturi, ampak so postavili lažno prijavno točko, ki je od uporabnikov terjala vpis uporabniškega imena in gesla. Ker je bila povezava prek klasičnega HTTP (in ne HTTPS), tudi ni bilo nobenih komplikacij s certifikati. Po vnosu podatkov v lažen strežnik, se je ta za minuto izključil, da se je naprava avtomatično povezala s pravim omrežjem, potem pa je čakal na naslednjo žrtev. Dokler ne bodo omrežja vključili nazaj, bodo prizadeti zgolj obiskovalci in novinarji, ki so ga uporabljali pri svojem delu.
Ni še znano, ali so hekerji dejansko povzročili kakšno resno škodo oziroma ali so uspeli odtujiti vredne podatke. Der Spiegel in Mediapart pa pišeta, da heker, ki prevzema odgovornost za napad, označuje varnostni sistem v Parlamentu kot šalo in luknjičav. Večina računalnikov naj bi še vedno uporabljala Windows XP, ki bo prihodnje leto aprila prenehal dobivati varnostne popravke, pa tudi sicer v postaviti mrgoli lukenj. Do preteklega tedna poslanci sploh niso smeli šifrirati svoje pošte, ker je IT-služba prepovedovala namestitev te programske opreme. Dejansko se Parlament vrača v preteklost, saj nekatere zaupne podatke spet pošiljajo po klasični pošti.
Ne vem zakaj bi se sploh nekdo cudil temu. Kao sej gre za parlament, tu pa res mora biti vse "varno".
Do danes se se ni razvil obcutek kaj pomeni IT za neko podjetje / ustanovo. Se zmeraj so IT administratorji tretjerazredna delovna sila, ki so le nepotreben strosek.
In te ljudi nihce ne spodbuja, jim ne placuje izobrazevanj, obenem se pa od teh ljudi zahteva da so strokovno nadpovprecno podkovani.
Tudi IT administratorji imajo svoje privatno zivljenje in se ne morejo nenehno izobrazevati doma. Poleg tega tak nacin danes ni vec tako ucinkovit, saj so se tehnologije bodisi sofwarske kot hardwarske toliko razvile, da samo za en sistem ( tako da res deluje kot treba) je potrebno vloziti ure in ure zivljenja, da ga dodobra spoznas.
Saj ni problem instalirati npr. Exchange streznik. Problem je kako ga ustrezno nastaviti, tako da ustreza nekemu okolju. Ponavadi je itak vse po defaultu in seveda da potem pride do taksnih napadov.
Meni pa se zdi rahlo neresno, da v takem omrežju, kot je EU parlament, ne uporabljajo WiFi izključno v povezavi z SSL ali IPSec VPN povezavo. Moj router ima že leta opcijo, da na WiFi dovoli komuniciranje izključno preko IPSec-a... pa naj se potem probajo MITM špilat.
Po drugi strani pa so še dobri, da so sploh uspeli ugotoviti, da do tega prihaja. Ni mi pa jasno, da grdobca niso ujeli. Če je postavil rouge accesspoint, je ta oddajal signal in bi se ga lahko lociralo. So morda povedali zgolj polovico zgodbe?
Ups... sem malo prehitro napisal, predenj sem prebral zgodbo zgoraj (zgodbo sem že prebral nekje drugje, pa je bilo nekaj manj podrobnosti kot zgoraj).
Vidim, da se je šlo za 'Guest Network' in ne za dejansko interno omrežje. Na temu se seveda ne greš vsiljevanja SSL ali IPSec-a.
Zakaj bebci? Ti kot novinar nimaš pojma kaj je tam in kaj ni. Free wi-fi? Se pač konektaš gor in to je to. Delo IT službe oz cele organizacije pa je da en spusti človeka na kake bolj občutljive podatk, če prej ne preveri istovetnosti. Samo zato da daje internet signal pa res nerabiš neki hudga ustvarjat. Tudi varovanje z gesli v tem primeru ne pride lih kej dost v poštev.
Kako pa je šifriranje v javni upravi skladno z ZDIJZ, kjer dostop do dokumentov ne sme biti pogojen z dobro voljo uradnika (da posreduje, uporabi, oz ne "pozabi" šifrirnega gesla)? Šifriranje prenosa (wifi, https, vpn...) ni toliko kritično kot šifriranje dokumentov (diski, baze, e-pošta...). Bi moral v teh primerih delodajalec (država/EU) imeti kopijo šifrirnega ključa, rezervni/univerzalen ključ, stranska vrata (backdoor)?
Kakšna logika je pa to, da novinarji uporabljajo nešifrirano WiFi povezavo??
Kaj imajo vsi 7 sekund spomina? Kaj mislijo, da Snowden objavlja Science Fiction zgodbice za njihove otroke?!?
Islam is not about "I'm right, you're wrong," but "I'm right, you're dead!"
-Wole Soyinka, Literature Nobelist
|-|-|-|-|Proton decay is a tax on existence.|-|-|-|-|
Saj sprva so Snowdenove zgodbe zvenele kot Science Fiction....
Svet je rabil kar nekaj časa, da je dojel, da je 'nekaj' na teh zgodbah dejansko res.
Od enega novinarja pričakovati, da bo ločil med navadno in kriptirano povezavo, kaj šele o pomenu uporabe kriptirane, je pa spet druga znanstvena fantastika.
Živimo v realnem svetu in v tem verjetno niti 10% ljudi z računalniško izobrazbo ne uporablja VPN povezave za brskanje po spletu, ko sede v cyberkafič z odprtim WiFi-jem.
Zakaj bebci? Ti kot novinar nimaš pojma kaj je tam in kaj ni. Free wi-fi? Se pač konektaš gor in to je to. Delo IT službe oz cele organizacije pa je da en spusti človeka na kake bolj občutljive podatk, če prej ne preveri istovetnosti. Samo zato da daje internet signal pa res nerabiš neki hudga ustvarjat. Tudi varovanje z gesli v tem primeru ne pride lih kej dost v poštev.
Ce si se povezal na free wifi, ki ga NE poznas in potem sel vpisovat geslo kamorkol in to preko navadne http povezave si tocno to kar sem napisal. BEBEC.
Ce si se povezal na free wifi, ki ga NE poznas in potem sel vpisovat geslo kamorkol in to preko navadne http povezave si tocno to kar sem napisal. BEBEC.
Potem je po tvoje več kot 90% ljudi bebcev? Toliko jih namreč po moje še vedno ne loči med http in https!
Pa tudi tisti, ki poznajo razliko, na zadevo pogosto pozabijo.
Izpostavljaš http - veš koliko ljudi vsak dan na raznih nepreverjenih hotspotih čekira svoj mail in pri tem posreduje username in password preko odprtega pop3 protokola?
Dejstvo je da ne rabiš bit hecker in imet doktorat iz kriptologije da uredeš v kako tako mrežo. Malce tavaš po hodniku, kako gospodično pelješ na kavico in zveš vse kako in kaj on jihovem omrežju :)
Če boš udejanil svoj dostop pa boš pa itak bil v kaznivem postopku, tko da če suneš kako kartico ali dve je pa itak vseen :D
Živimo v realnem svetu in v tem verjetno niti 10% ljudi z računalniško izobrazbo ne uporablja VPN povezave za brskanje po spletu, ko sede v cyberkafič z odprtim WiFi-jem.
Kaj je najhujši scenarij? Da ugotovijo katere bloge si bral ter ukradejo sejo za nek naključen forum?
Izpostavljaš http - veš koliko ljudi vsak dan na raznih nepreverjenih hotspotih čekira svoj mail in pri tem posreduje username in password preko odprtega pop3 protokola?
Kateri resni ponudnik mailov pa nima POP3/IMAP preko SSL? To dobiš že pri gostovanju spletnih strani za 5€/mesec.
Ce si se povezal na free wifi, ki ga NE poznas in potem sel vpisovat geslo kamorkol in to preko navadne http povezave si tocno to kar sem napisal. BEBEC.
Potem je po tvoje več kot 90% ljudi bebcev? Toliko jih namreč po moje še vedno ne loči med http in https!
Pa tudi tisti, ki poznajo razliko, na zadevo pogosto pozabijo.
Izpostavljaš http - veš koliko ljudi vsak dan na raznih nepreverjenih hotspotih čekira svoj mail in pri tem posreduje username in password preko odprtega pop3 protokola?
Se tole...v razmislek glede bebcev, ki jih zagovarjas. Ce postavim veliko PAPIRNATO skatlo sredi Preserca, gor napisem BANKOMAT bojo sli ljudje tja vtikat kartico pa vpisovat svoj PIN? 99,999999999999% jih ne bo. Ampak ko grejo pa na internet se jim pa vsako neumnost lepo oprosti...pa kljub vsem filmov, kjer kazejo kako folk "heka"(ceprav zelo nerealno) racunalnike....kljub vsem novicam o ne vem kaksnih zlorabah v casopisih. Ce bi to isto "razmisljanje" uporabil in sel recimo vozit avto po cesti brez izpita(ker pac vidim da vozi moj sosed in par 100.000 slovencev) bi mi vsak rekel, da sem idiot...pa tud ce bi trdil, da za pojem "izpit" se nisem slisal. Ko grem na internet pa naredim debilno stvar sem pa magicno med 99% uporabnikov in zato magicno NISEM bebec?
Ravno zaradi bedarij iz filmov folk nima pojma o zadevah.
PS: Ti bi čisto enako padel na finto, če bi bila izven tvoje stroke. Bi prepoznal ponarejeno zdravilo? Okvir za vrata? Motorno olje? Matematično formulo?
PPS: Kaj predlagaš za rešitev problema?
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!
. 
