» »

Bankomati bodo preskočili Windows 8

Bankomati bodo preskočili Windows 8

Slo-Tech - Tudi bankomate poganja svoj operacijski sistem, ki je največkrat kar Windows XP. Posodobitve so redke, zato velja omeniti, da je ATMIA (ATM Industry Association) izdal priporočilo, naj vse vmesne verzije preskočijo in naj nanje po izidu Windows 10 začnejo nameščati kar najnovejši sistem. Ta bo tam ostal več let, ko bo podpora za Windows 7 in Windows 8 že potekla.

Situacija je namreč trenutno precej kritična. Lanska raziskava je pokazala, da je Windows 7 nameščen le na odstotku evropskih bankomatov. Osupljivih 89 odstotkov še vedno teče na nepodprtih in nezaščitenih Windwos XP, preostanek pa na Windows NT, 2000 in OS/2. V Sloveniji je situacija podobna, saj še vedno večino bankomatov poganja Windows XP. Pri tem gre večinoma za verzijo Windows XP Embedded, ki ima sicer podaljšano podporo do aprila 2016, a vseeno gre za zelo star sistem.

Izvršni direktor ATMIA Mike Lee je zato upravljavce bankomatov pozval, naj začnejo migracijo 2020 (tako se imenuje, ker se tedaj izteče podpora za Windows 7) čim prej. Dodal je, da razvijajo Next Generation ATM Architecture (NGATMA), kjer bodo na bankomate namestili tudi Linux oziroma Android. Še vedno bo večina sicer ostala na ekosistemu Windows, kjer bo Windows 10 po Leejevih besedah zaradi nove filozofije en sistem za vse naprave prinesel številne prednosti zlasti na področju varnosti. Hkrati je pozval upravljavce bankomatov na Windows XP naj sploh ne čakajo na izid Windows 10, temveč se nadgradnje (bržčas na Windows 7) lotijo takoj.

73 komentarjev

«
1
2

Testman42 ::

>do Aprila 2016
To je čez 5 minut
Sam sem enkrat pisal na NLB če bodo kej na Linux migrirali malo po tem ko je XP-jem padla podpora, pa so mi odgovorili da jim ni v interesu.
Bi se do zdej že morali premislit?
(\__/) This is Bunny. Copy and paste bunny
(='.'=) into your signature to help him gain
(")_(") world domination.

mitja73 ::

Testman42 je izjavil:

>do Aprila 2016
To je čez 5 minut
Sam sem enkrat pisal na NLB če bodo kej na Linux migrirali malo po tem ko je XP-jem padla podpora, pa so mi odgovorili da jim ni v interesu.
Bi se do zdej že morali premislit?


Pa sej NLB ne dela svojih bankomatov ?!?!

Bankomate vzdržuje Bankart, delajo jih pa tuja podjetja, ene par na svetu. NLB nima nič z njimi

Isotropic ::

mislim, da tut ena slovenska firma, če še obstaja.

#000000 ::

Pa sej so vsi bankomati na intranetu, tako da nima veze ker sistem je gor, praktično so dokaj varni pred raznimi virusi, le če ga kdo okuži, kar je skor nemogoče, glede na to da je vsak BA pokrit z vsaj eno kamero.

[D]emon ::

#000000 je izjavil:

glede na to da je vsak BA pokrit z vsaj eno kamero


Kako efektivne so kamere, lahko Britance vprasas. :))
Mavrik ta forum uporablja za daljsanje e-penisa. Ker si ne upa iz hise.

mitja73 ::

Kamera je v večini bankomatov in te slika vsakič ko npr. vtipkaš napačen pin in ob nekaterih drugih zaznavah.

[D]emon ::

In to ti koristi kako tocno ? Ce bi hotel bankomat okuziti z virusom, bi moral to storiti z neposrednim maintenance dostopom do same naprave, ali pa preko centralnih streznikov. Razen ce si preveckrat gledal Terminator 2, kjer mulc z Atari Note-om sheka ATM. :))
Mavrik ta forum uporablja za daljsanje e-penisa. Ker si ne upa iz hise.

AndrejO ::

[D]emon je izjavil:

In to ti koristi kako tocno ? Ce bi hotel bankomat okuziti z virusom, bi moral to storiti z neposrednim maintenance dostopom do same naprave, ali pa preko centralnih streznikov. Razen ce si preveckrat gledal Terminator 2, kjer mulc z Atari Note-om sheka ATM. :))

http://www.torontosun.com/2014/06/08/tw...

No, glede na to, kakšne se najde, ne bi me čudilo, če je tudi podležni OS, ... precej nevzdrževan.

GTX970 ::

V Slo bi ju zaprli.

Zgodovina sprememb…

  • spremenilo: GTX970 ()

AndrejO ::

V Sloveniji se mladoletnikov ne zapira v zapore.

Oh, pa dajmo še kakšno na temo virusov: http://www.kaspersky.com/about/news/vir...

HPME ::

Android na avtomatih, zakaj ne samo pravi Linux?

Ribič ::

mitja73 je izjavil:

Kamera je v večini bankomatov in te slika vsakič ko npr. vtipkaš napačen pin in ob nekaterih drugih zaznavah.

A nimajo nameščenih tako, da te konstantno snemajo, ko se približaš in vstaviš kartico?

crniangeo ::

Testman42 je izjavil:

>do Aprila 2016
To je čez 5 minut
Sam sem enkrat pisal na NLB če bodo kej na Linux migrirali malo po tem ko je XP-jem padla podpora, pa so mi odgovorili da jim ni v interesu.
Bi se do zdej že morali premislit?



sej ves tist pregovor: ne pipaj dokler dela?:)
Convictions are more dangerous foes of truth than lies.

noraguta ::

AndrejO je izjavil:

V Sloveniji se mladoletnikov ne zapira v zapore.

Oh, pa dajmo še kakšno na temo virusov: http://www.kaspersky.com/about/news/vir...

najbrž ni trivialno pridt do tega da vstaviš cd v bankomat, al pa tud je. ampak potem je itak skor vseen na čem stvar laufa.
Pust' ot pobyedy k pobyedye vyedyot!

joze67 ::

AndrejO je izjavil:


http://www.torontosun.com/2014/06/08/tw...

No, glede na to, kakšne se najde, ne bi me čudilo, če je tudi podležni OS, ... precej nevzdrževan.

To nima nobene veze z OS, še manj z njegovo starostjo. Če je varnost zagotovljena samo tako, da se zanašajo, da nihče ne bo pritisnil določenega gumba (security through obscurity), je to pač fail.

Članek razumem, kot da proizvajalce bankomatov žuli, da so dohodki iz vzdrževanja in nadgrajevanja sorazmerno manjši kot v drugih delih IT industrije.

SeMiNeSanja ::

Amaterji...:))

Danes bankomat preprosto razstelijo, ali pa pridejo z bagrom in ga naložijo na kamion in izginejo v temno noč (ni bilo nekaj takega pred časomv Medvodah?).

Namesto bagra lahko alternativno uporabiš tudi viličar. So pa v Berlinu menda imeli tudi kup primerov, ko so z ukradenim avtom ponoči zapeljali v trgovino, bankomat privezali in ga izvleki ven, naložili in izginili (verjetno kakšni manjši samostoječi bankomati).

AndrejO ::

noraguta je izjavil:

AndrejO je izjavil:


Oh, pa dajmo še kakšno na temo virusov: http://www.kaspersky.com/about/news/vir...

najbrž ni trivialno pridt do tega da vstaviš cd v bankomat, al pa tud je. ampak potem je itak skor vseen na čem stvar laufa.

Oh, seveda ni trivialno in članek lepo povzame, da je govora o napadih na ravni APT. Ni pa nemogoče in komur uspe, ima možnost ven potegniti dejansko velike denarce.

joze67 je izjavil:

AndrejO je izjavil:


http://www.torontosun.com/2014/06/08/tw...

No, glede na to, kakšne se najde, ne bi me čudilo, če je tudi podležni OS, ... precej nevzdrževan.

To nima nobene veze z OS, še manj z njegovo starostjo.

Seveda to nima nič z OS, zato pa sem omenil, da me ne bi čudilo, če je tudi podležni OS enako kvalitetno "zavarovan". Če na SW ne spreminiš privzetega gesla, kakšna je potem verjetnost, da za OS skrbiš, da je ustrezno zavarovan?

Po moje ne velika, kar pomeni, da tudi OS morda samo čaka, da nekdo pride mimo nekdo s pravim kablom in prenosnikom.

SeMiNeSanja je izjavil:

Amaterji...:))

Danes bankomat preprosto razstelijo, ali pa pridejo z bagrom in ga naložijo na kamion in izginejo v temno noč (ni bilo nekaj takega pred časomv Medvodah?).

Jp, definitivno amaterji, ker je potem ta denar samo še za rit obrisat. Tudi v Sloveniji so banke hitro ugotovile, da je barva za uničevanje bankovcev učinkovita in poceni rešitev, ki jo "kandidati za tepce" hitro spoznajo in se zato začno lotevati dela na druge načine.

Zgodovina sprememb…

  • spremenil: AndrejO ()

SeMiNeSanja ::

@AndrejO - glede na število teh razstrelitev in kraj bankomatov (tudi ropov transportov denarja), se sprašuješ, še tisto o barvi ni bolj vzorčno, tako malo za baw baw, dejansko pa da je še kup kaset z denarjem čisto navadnih - brez barvila.

[D]emon ::

AndrejO je izjavil:

[D]emon je izjavil:

In to ti koristi kako tocno ? Ce bi hotel bankomat okuziti z virusom, bi moral to storiti z neposrednim maintenance dostopom do same naprave, ali pa preko centralnih streznikov. Razen ce si preveckrat gledal Terminator 2, kjer mulc z Atari Note-om sheka ATM. :))

http://www.torontosun.com/2014/06/08/tw...

No, glede na to, kakšne se najde, ne bi me čudilo, če je tudi podležni OS, ... precej nevzdrževan.


Tole je jako nelogicno, da bi imel bankomat dostop do operator mode-a kvecjemu s pritiski na tistih 12 tipk na keypadu in tistih nekaj okrog zaslona.
Mavrik ta forum uporablja za daljsanje e-penisa. Ker si ne upa iz hise.

AndrejO ::

SeMiNeSanja je izjavil:

@AndrejO - glede na število teh razstrelitev in kraj bankomatov (tudi ropov transportov denarja), se sprašuješ, še tisto o barvi ni bolj vzorčno, tako malo za baw baw, dejansko pa da je še kup kaset z denarjem čisto navadnih - brez barvila.

Seveda je cel kup kaset brez barve, ampak da ugotoviš katere imajo barvo, da se jim lahko izogneš, potrebuješ notranje informacije. To pa potem več niso amaterji.

AndrejO ::

[D]emon je izjavil:

AndrejO je izjavil:


http://www.torontosun.com/2014/06/08/tw...

No, glede na to, kakšne se najde, ne bi me čudilo, če je tudi podležni OS, ... precej nevzdrževan.


Tole je jako nelogicno, da bi imel bankomat dostop do operator mode-a kvecjemu s pritiski na tistih 12 tipk na keypadu in tistih nekaj okrog zaslona.

To še zdaleč ni edin takšen primer in očitno se to kar dogaja.

https://www.schneier.com/blog/archives/...
http://avinash-diwedi.blogspot.ie/2009/...
http://www.wired.com/2014/11/nashville/

Pa še cukrček za na konec: http://techbytom.com/more-atm-default-p...

SeMiNeSanja ::

Sicer ne vem, kako so tile bankomati konkretno narejeni, ampak po moje je že sam koncept krepko zastarel.

Terminalski del bi moral biti svoja mašina, dispenzer pa svoja, ki nima nobene povezave s terminalom. Ukaz za izmet denarja pa bi moral priti s centralnega računalnika in ne terminalskega dela.

Danes, ko je vsa ta šara 'online', to nebi bil več noben problem. Dejansko bi potem lahko manipuliral terminal kolikor bi ga hotel, pa nebi bankomat izpljunil enega samega bankovca. Šele ko bi zlikovec uspel zasimulirati legitimno transakcijo in prevarati centralni sistem, bi priletel ven kakšen bankovec.

Tak pristop bi manipulacije precej otežil, omogočal pa bi tudi dodatne varovalke na centralnem sistemu.

Ampak ker morajo bankomati delati tudi v zadnji vukojebini, kjer povezave tudi niso nujno online....se potem uporablja tehnologija, ki je bila projektirana pred 20 leti, po standardih in s tehnologijo izpred 20 let.

Edina dobra tolažba pri vsem skupaj je to, da brez da ga napol razmontiraš, ne boš prišel do njegovega drobovja, kjer bi lahko priključil USB ključek ali vanj vstavil CD.

AndrejO ::

SeMiNeSanja je izjavil:

Edina dobra tolažba pri vsem skupaj je to, da brez da ga napol razmontiraš, ne boš prišel do njegovega drobovja, kjer bi lahko priključil USB ključek ali vanj vstavil CD.

Hehe. Vsaj pogooglal bi lahko prej, preden ugibaš.

USB praviš ...

http://www.wired.com/2013/12/whos-robbi...
http://krebsonsecurity.com/2015/01/thie...
http://www.extremetech.com/extreme/1737...

Skratka "USB zadeva" je operativno v uporabi že od 2013 in se jo še danes izkorišča.

jacal ::

Razmerje med dejansko škodo (prebrisanimi tatvinami) in stroški posodobitve/nadgradnje/kar že bankomatov je, po mojem, edini jezik, ki ga banke razumejo. Očitno se (še) ne splača. "Dej, Borči, vzem cede iz mamičinga laptopa pa prnes ene par milijončkov iz bankomata pr samopostrežni."

Zgodovina sprememb…

  • spremenil: jacal ()

stb ::

SeMiNeSanja je izjavil:


Terminalski del bi moral biti svoja mašina, dispenzer pa svoja, ki nima nobene povezave s terminalom. Ukaz za izmet denarja pa bi moral priti s centralnega računalnika in ne terminalskega dela.

Ja, potem mora napadalec manj zavarovan terminal prenesti na drugo lokacijo (ali mu zamenjati id, spoofati GPS lokacijo, prevezati mrežo...), sam pa nato čaka pri dispenzerju in pobira kar pride ven. ;((

Zgodovina sprememb…

  • spremenil: stb ()

techfreak :) ::

SeMiNeSanja je izjavil:

Ampak ker morajo bankomati delati tudi v zadnji vukojebini, kjer povezave tudi niso nujno online....se potem uporablja tehnologija, ki je bila projektirana pred 20 leti, po standardih in s tehnologijo izpred 20 let.
Si preprican? Sicer ne poznam stanja pri nas, ampak precej dvomim da bi lahko bankomat deloval offline.

@stb: niti ne, ker ce prav razumem bi naj terminalski del bil samo za prikaz na zaslonu in posiljanje podatkov iz tipkovnice in bancne kartice na centralni racunalnik, vso logiko bi pa imel preko centralni racunalnik, ki bi sprozil komando za izmet denarja.

boolsheat ::

Android na bankomatih? A to je šala? Eden izmed najbolj buggy in luknjstih sistemov kar jih je. :8)

andrejus ::

Ker bankomati opravljajo samo 1 oz bolj napredini ene 5 nalog je kaka oblika namenskega (linuks) sistema smiselna.

Sam kdo bo to razvil ce tibMS servira kiosk različico OSa for free (mislim licenčnino je treba plačat)

krneki0001 ::

V Slo j kar nekaj bankomatov z visto. tiny vista varianta.
Asrock X99 Extreme 4 | Intel E5-2683V4 ES | 64GB DDR4 2400MHz ECC |
Samsung 250GB M.2 | Asus 1070 TI | 850W Antec | LC Tank Buster

one too many ::

Morda neumno vprašanje:
Kaj je narobe s starimi Windows XP?
Prej bi rekel, da so bolj varni kot Win 10, saj se je tekom let veliko varnostnih lukenj zakrpalo. OK, razumem potem, ko je konec podpore, ampak to je bolj stvar politike Microsofta, ki seveda mora prodajati nove izdelke.

hojnikb ::

>Prej bi rekel, da so bolj varni kot Win 10, saj se je tekom let veliko varnostnih lukenj zakrpalo.

Tekom let se je lahko našlo tudi veliko exploitov, ki niso javni in posledično tudi nepopatchani...
#brezpodpisa

MrStein ::

Od tega jih je nekaj tudi v 10-ki.
Linux pa itak.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

boolsheat ::

one too many je izjavil:

Morda neumno vprašanje:
Kaj je narobe s starimi Windows XP?
Prej bi rekel, da so bolj varni kot Win 10, saj se je tekom let veliko varnostnih lukenj zakrpalo. OK, razumem potem, ko je konec podpore, ampak to je bolj stvar politike Microsofta, ki seveda mora prodajati nove izdelke.


Bugy so lowlevel, na kernel nivoju, ki je v obeh sistemih NT, s tem, da tisti v XPjih že dolgo ne dobiva popravkov.

Zgodovina sprememb…

MrStein ::

Pri ne-javnih načeloma noben ni popatchan.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

SeMiNeSanja ::

AndrejO je izjavil:

SeMiNeSanja je izjavil:

Edina dobra tolažba pri vsem skupaj je to, da brez da ga napol razmontiraš, ne boš prišel do njegovega drobovja, kjer bi lahko priključil USB ključek ali vanj vstavil CD.

Hehe. Vsaj pogooglal bi lahko prej, preden ugibaš.

USB praviš ...

http://www.wired.com/2013/12/whos-robbi...
http://krebsonsecurity.com/2015/01/thie...
http://www.extremetech.com/extreme/1737...

Skratka "USB zadeva" je operativno v uporabi že od 2013 in se jo še danes izkorišča.


Pa saj ravno to sem napisal, da je USB port enak problem, kot če bi imel dostop do CD-ja.

stb je izjavil:

SeMiNeSanja je izjavil:


Terminalski del bi moral biti svoja mašina, dispenzer pa svoja, ki nima nobene povezave s terminalom. Ukaz za izmet denarja pa bi moral priti s centralnega računalnika in ne terminalskega dela.

Ja, potem mora napadalec manj zavarovan terminal prenesti na drugo lokacijo (ali mu zamenjati id, spoofati GPS lokacijo, prevezati mrežo...), sam pa nato čaka pri dispenzerju in pobira kar pride ven. ;((

Kako pa bo z druge lokacije prišel na intranet?
Sploh pa, če bi imel dostop do intraneta, ne rabi sploh prenašati terminala, saj bi že zadoščalo, da ima terminalski software na laptopu.
Če pa ima nekdo že dostop do intraneta - zakaj bi se potem mučil z dispenserjem, če lahko naredi nakazilo na kajmanske otoke?

Zgodovina sprememb…

AndrejO ::

SeMiNeSanja je izjavil:

AndrejO je izjavil:

SeMiNeSanja je izjavil:

Edina dobra tolažba pri vsem skupaj je to, da brez da ga napol razmontiraš, ne boš prišel do njegovega drobovja, kjer bi lahko priključil USB ključek ali vanj vstavil CD.

Hehe. Vsaj pogooglal bi lahko prej, preden ugibaš.

USB praviš ...

http://www.wired.com/2013/12/whos-robbi...
http://krebsonsecurity.com/2015/01/thie...
http://www.extremetech.com/extreme/1737...

Skratka "USB zadeva" je operativno v uporabi že od 2013 in se jo še danes izkorišča.


Pa saj ravno to sem napisal, da je USB port enak problem, kot če bi imel dostop do CD-ja.

Jaz pa sem ti podal dva primera kako ga res ni potrebno "napol razmontirati". Samo vedeti moraš kje zarezati ali pa potegniti ven ploščico.

SeMiNeSanja je izjavil:

Kako pa bo z druge lokacije prišel na intranet?

Vdor v sistem na kakšni drugi točki?

SeMiNeSanja je izjavil:

Sploh pa, če bi imel dostop do intraneta, ne rabi sploh prenašati terminala, saj bi že zadoščalo, da ima terminalski software na laptopu.

In ravno to so tudi že počeli, kjer so se s pomočjo pametnega telefona (Galaxy G4) "pogovarjali" z dispenserjem in ga prepričali, da izpljune ven gotovino.

http://www.darknet.org.uk/2015/01/atm-h...

Vse seveda na daljavo. Criminal mastermands se ne pustijo ujeti in umazano delo prepuščajo mulam.

Mulam seveda tudi ne zaupajo in tudi ne zaupajo naključjem.

http://www.darknet.org.uk/2015/01/atm-h...

SeMiNeSanja je izjavil:

Če pa ima nekdo že dostop do intraneta - zakaj bi se potem mučil z dispenserjem, če lahko naredi nakazilo na kajmanske otoke?

Ker morda intranet ni sam, en in edini. V Sloveniji npr. sistem bankomatov upravlja BankArt in težko verjamem, da lahko prideš iz njihovega omrežja v omrežja sodelujočih bank brez premagovanja še enega dodatnega kompleta ovir.

Kar se tiča nakazovanja na Kajmane oziroma izven sistema SEPA... Preveč filme gledaš. Ta nakazila so bodisi ročna (preko računalnika oddaš samo nalog za izvedbo), bodisi še vedno dodatno nadzarovana (hm, danes imamo pa veliko nakazil na ta račun). Oboje zato, ker so to redka nakazila, ki izstopajo.

Znotraj SEPA je pa sledljivost tako solidna, da se mule prehitro odkrije.

Gotovina, po drugi strani, ... je zelo težko izsledljiva. Še posebej majhne denominacije.

Zgodovina sprememb…

  • spremenil: AndrejO ()

SeMiNeSanja ::

@AndrejO - tisto o Kajmanskih otokih je bilo mišljeno kot prispodoba, ne dobesedno. Poleg tistega kar si naštel, je vmes še poročanje zaradi preprečevanja pranja denarja, tako da enkratno veliko nakazilo takointako pade v oči (vsaj upam?). Če že, bi prej pričakoval, da bi kakšne mule tudi v tem primeru prevzele prenakazovanje na končni račun 'organizatorjev', morda celo preko pretapljanja v Bitcoine. Če mule nastradajo, se 'organizatorji' kaj dosti ne sekirajo.

'Če veš, kje zarezat' - spada pod kategorijo 'imam en primerek doma in ga študiram, dokler ne stuhtam zadevo'. In ja, seveda tudi imajo kakšne stare primerke doma - če ne drugače pa vzameš bager in novega odpelješ, kot so to naredili v Medvodah - mogoče pa sploh ni bil cilj denar ampak sam bankomat?

Dostop v intranetu in prepričevanje od tam, da naj dispenser kaj izpljune, pa je tudi žalostno, če je možen kar z Andridom oz. katerimkoli PC-jem, saj naj bi banke uporabljale kriptirane komunikacije v intranetu (ssh in podobno), kjer potrebuješ veljavne (registrirane) ključe, da bi se lahko povezoval. Ampak ja, vem, da v marsikateri banki še veliko komunikacij poteka kot plaintext, tudi telnet, čeprav ga nebi smelo biti že dolgo ne.

Kljub temu, če si enkrat 'notri', imaš kot insider obilico možnosti, samo sistem in arhitekturo moraš dobro poznati.

AndrejO ::

No, pri mulah je najpomembnejše, da jih imaš sočasno pod nadzorom in, da prekinejo vez med dejanjem in načrtovalcem dejanja.

Western Union Money transfer je odlično sredstvo za takšne stvari. Gotovina, gotovina, gotovina.

Glede žalosti pa pač YMMW. Po službeno dolžnosti sem se pogovarjal z inženirji neimenovanega podjetja (brez imen zaradi NDA), ki izdeluje tudi bankomate. Njihovo razmišljanje o varnosti lahko povzamem kot "blissful ignorace".

SeMiNeSanja ::

AndrejO je izjavil:


Glede žalosti pa pač YMMW. Po službeno dolžnosti sem se pogovarjal z inženirji neimenovanega podjetja (brez imen zaradi NDA), ki izdeluje tudi bankomate. Njihovo razmišljanje o varnosti lahko povzamem kot "blissful ignorace".

Saj ignoranco najdeš pri marsikaterem 'programerju'. Sem enkrat enemu skušal dopovedati, da naj ne razmišlja 'ČE bodo vdrli', ampak da naj za default vzame DA bodo vdrli v javni del spletne aplikacije, pa me je samo gledal kot tele v nova vrata. Ko sem mu podajal nekaj idej, kako naj tisti del sprogramira, da bo škoda čim manjša, ko bo kdo vdrl, si je pa očitno mislil, da sem popolni paranoik.

Samo hudirja, če že delaš nekaj na novo, zakaj vsaj takrat nebi naredil spodobno?

krneki0001 ::

SeMiNeSanja je izjavil:

AndrejO je izjavil:


Glede žalosti pa pač YMMW. Po službeno dolžnosti sem se pogovarjal z inženirji neimenovanega podjetja (brez imen zaradi NDA), ki izdeluje tudi bankomate. Njihovo razmišljanje o varnosti lahko povzamem kot "blissful ignorace".

Saj ignoranco najdeš pri marsikaterem 'programerju'. Sem enkrat enemu skušal dopovedati, da naj ne razmišlja 'ČE bodo vdrli', ampak da naj za default vzame DA bodo vdrli v javni del spletne aplikacije, pa me je samo gledal kot tele v nova vrata. Ko sem mu podajal nekaj idej, kako naj tisti del sprogramira, da bo škoda čim manjša, ko bo kdo vdrl, si je pa očitno mislil, da sem popolni paranoik.

Samo hudirja, če že delaš nekaj na novo, zakaj vsaj takrat nebi naredil spodobno?



Zato ker naloge delegirajo taki, ki nikoli niso videli ne kode in ne arhitekture v živo, samo šol imajo dovolj (pač še vedno se ocenjuje "znanje" na podlagi šol, ne pa konkretnega znanja človeka (pa ni važno kake šole ima). In taki še vedno mislijo, da njim se pa to ne more zgoditi.

Pa ker večina programerjev dela po liniji najmanjšega odpora in napora.
Asrock X99 Extreme 4 | Intel E5-2683V4 ES | 64GB DDR4 2400MHz ECC |
Samsung 250GB M.2 | Asus 1070 TI | 850W Antec | LC Tank Buster

Zgodovina sprememb…

Invictus ::

krneki0001 je izjavil:

SeMiNeSanja je izjavil:

AndrejO je izjavil:


Glede žalosti pa pač YMMW. Po službeno dolžnosti sem se pogovarjal z inženirji neimenovanega podjetja (brez imen zaradi NDA), ki izdeluje tudi bankomate. Njihovo razmišljanje o varnosti lahko povzamem kot "blissful ignorace".

Saj ignoranco najdeš pri marsikaterem 'programerju'. Sem enkrat enemu skušal dopovedati, da naj ne razmišlja 'ČE bodo vdrli', ampak da naj za default vzame DA bodo vdrli v javni del spletne aplikacije, pa me je samo gledal kot tele v nova vrata. Ko sem mu podajal nekaj idej, kako naj tisti del sprogramira, da bo škoda čim manjša, ko bo kdo vdrl, si je pa očitno mislil, da sem popolni paranoik.

Samo hudirja, če že delaš nekaj na novo, zakaj vsaj takrat nebi naredil spodobno?



Zato ker naloge delegirajo taki, ki nikoli niso videli ne kode in ne arhitekture v živo, samo šol imajo dovolj (pač še vedno se ocenjuje "znanje" na podlagi šol, ne pa konkretnega znanja človeka (pa ni važno kake šole ima). In taki še vedno mislijo, da njim se pa to ne more zgoditi.

Pa ker večina programerjev dela po liniji najmanjšega odpora in napora.

Večinoma so taki pacienti brez šol. Samouki, ki prodajajo svoje, že zdavnaj naučeno znanje ... Imaš pa paciente na obeh straneh, tako s faksom, kot brez ...

Pač furajo svoj posel, ki jim zagotavlja ljubi kruhek. Večinoma so tako ali tako samo podizvajalci ...
"Life is hard; it's even harder when you're stupid."

http://goo.gl/2YuS2x

Utk ::

Če bi bil kdo pripravljen to plačat, se bi sigurno tudi našel kdo, ki bi bil to pripravljen naredit.

SeMiNeSanja ::

@nebivedu - v samo kodo se jaz ne spuščam, ker nisem programer. Šlo se je za osnovne principe arhitekture rešitve, za kar (še) ne rabiš gledati kodo.

Npr.:

- javno dostopna web aplikacija nima kaj iskati na domenskem strežniku (prvotno jo je mojster dejansko hotel postaviti na domenski strežnik podjetja!)
- web strežnik za to aplikacijo bomo dali v poseben DMZ (ker je zunanji izvajalec, ima dostop izključno preko VPN)
- baza na javnem strežniku se posodablja po push sistemu (SQL porti odprti samo proti DMZ, obratno pa zaprti)
- baza na javnem strežniku ne sme vsebovati nobeni osebnih podatkov (pri tej aplikaciji niso bili potrebni)
- baza na javnem strežniku naj vsebuje samo aktualne podatke, vsi ostali 'zgodovinski' se sproti brišejo

Skratka, tudi če je koda zanič in nekdo vdre (SQL injection, etc.), si z ukradenimi podatki napadalec v nobenem primeru ne more pomagati.

V bistvu noben 'rocket science' ampak čisto navadna temeljna načela, ki bi morala biti jasna VSAKEMU programerju. Žal praksa kaže drugače. Programira se po poti najmanjšega odpora. Samo da je stvar hitro spacana, da se pobere denar za izveden posel. Drži vodu, dok majstori odu.

krneki0001 ::

Saj pravim. Osnove arhitekture manjkajo, pa četudi so večinoma zadaj ljudje s faksi, magisteriji in celo doktorati. Poznam cel kup primerov.
Asrock X99 Extreme 4 | Intel E5-2683V4 ES | 64GB DDR4 2400MHz ECC |
Samsung 250GB M.2 | Asus 1070 TI | 850W Antec | LC Tank Buster

AndrejO ::

SeMiNeSanja je izjavil:

V bistvu noben 'rocket science' ampak čisto navadna temeljna načela, ki bi morala biti jasna VSAKEMU programerju.

To sta dve različni specializaciji: SWE != SRE.

Niso vsi, ki se ukvarjajo z računalniki, kar avtomatično programerji.

Dinozavri ::

kako to, da ne uporabljajo MacOS? :O :D :D

St235 ::

AndrejO je izjavil:

No, pri mulah je najpomembnejše, da jih imaš sočasno pod nadzorom in, da prekinejo vez med dejanjem in načrtovalcem dejanja.

Western Union Money transfer je odlično sredstvo za takšne stvari. Gotovina, gotovina, gotovina.

Glede žalosti pa pač YMMW. Po službeno dolžnosti sem se pogovarjal z inženirji neimenovanega podjetja (brez imen zaradi NDA), ki izdeluje tudi bankomate. Njihovo razmišljanje o varnosti lahko povzamem kot "blissful ignorace".


V bistvu gre bolj za calculated risk, ki se ga varuje z zavarovanjem. Pač tako kot povsod se gleda na price performance. Pri čemer so metode tako fizičnega varovanja (dostop do hardwera) kot šifriranje podatkov na zadostnem nivoju, da je zavarovanje cenejše od vložka v bolj zaščiten sistem.

SeMiNeSanja ::

Tudi zavarovalnica lahko enega dne reče 'tega pa ne bomo pokrili, saj se je šlo za grobo malomarnost z vaše strani'.

Potem pa se bo začelo tožarjenje na vse konce in kraje, kot se to dogaja trenutno v Ameriki, kjer se tožarijo izdajatelji kreditnih kartic z trgovsko verigo Target, kateri so lani 'ukradli' padatke kreditnih kartic strank. Trgovce bo zadeva drago stala (trenutno ponudbo v višini $19M kot poravnavo, banke niso sprejele).

Seveda se kalkulacija tveganja bistveno spremeni, če obstaja možnost, da bo zavarovalnica pokazala sredinec in vsa škoda obvisela na tebi. Vrag je ponavadi v tem, da večinoma sploh nebi bilo treba nekih strašnih investicij/razvoja, da bi se stvari naredilo bolj varne. Samo ignoranco je treba izklopiti in se učiti na napakah.

Najbolj me razkuri, ko kakšen raziskovalec odkrije varnostno pomanjkljivost, na kar se ne potrudijo zadevo popraviti, ampak namesto tega začno tuhtati, kako bi ga po možnosti spravili za zapahe. Nič kolikokrat videno. V vlogi zavarovalnice, bi takšno početje smatral za grobo malomarnost in nebi pokril niti enega centa, če bi prišlo do škode, ki bi se jo dalo preprečiti.

AndrejO ::

St235 je izjavil:


V bistvu gre bolj za calculated risk, ki se ga varuje z zavarovanjem. Pač tako kot povsod se gleda na price performance. Pri čemer so metode tako fizičnega varovanja (dostop do hardwera) kot šifriranje podatkov na zadostnem nivoju, da je zavarovanje cenejše od vložka v bolj zaščiten sistem.

Ah, ne. Govorim o elementarnih naivnostih tipa:
- Nihče ne bo nikoli prestrezal prometa v omrežju.
- Vse naprave (niso bili bankomati, ampak blizu njim) bodo imele isto in "vpečeno" up. ime ter geslo za dostop do centralnega strežnika.
- To up. ime bo uporabljeno za dostop do API-ja in neposreden dostop do SQL podatkovne baze, morda pa še česa.
- Pri dostopu do SQL podatkovne baze bo to geslo omogočalo "superuser" pregled in popravljanje podatkov v vseh tabelah v bazi, vključno s tabelo "uporabnikov".
- ...

Blissful ignorance. Zakaj, kako, ... me na koncu dneva sploh ne briga. Če je to signal splošne kvalitete njihovih plačilnih produktov, potem me nič ne čudi.
«
1
2


Vredno ogleda ...

TemaSporočilaOglediZadnje sporočilo
TemaSporočilaOglediZadnje sporočilo
»

Windows XP umrl. Dokončno (strani: 1 2 )

Oddelek: Novice / Operacijski sistemi
7516031 (12271) Markoff
»

Nove procesorje bo podpiral le najnovejši Windows (strani: 1 2 3 )

Oddelek: Novice / Operacijski sistemi
13145254 (39672) jest10
»

Leto dni po koncu podpore Windows XP še vedno brca (strani: 1 2 3 4 5 )

Oddelek: Novice / Operacijski sistemi
23553834 (47027) Malajlo
»

Konec podpore za Windows 7 (strani: 1 2 3 )

Oddelek: Novice / Operacijski sistemi
14270149 (62399) dr.Akula
»

Bankomati ostajajo na Windows XP. Microsoft bo služil.

Oddelek: Loža
494819 (3463) Malajlo

Več podobnih tem