Slo-Tech - Urad za informacijsko varnost (URSIV) je danes pozval vse uporabnike informacijskega sistema državne uprave, kamor sodi ožji del javne uprave, naj nemudoma zamenjajo svoja gesla. Zaznali so hekerski napad, ki ga je neznani napadalec izvedel prek kompromitiranega strežnika v enem izmed državnih organov. Prizadeti strežnik so že odklopili z omrežja. S tem je napadalec pridobil prijavne podatke 15.000 uporabniških računov sistem Domino, zato je nujna ponastavitev vseh gesel.
Po trenutno znanih informacijah je napadalec pridobil uporabniške zapise 15.000 računov, med njimi 7216 zapisov, v katerih so bile zgoščene vrednosti gesel (hash). Zaradi tega bodo morali vsi uporabniki zamenjati gesla. Če kdo isto geslo uporablja še kod drugod, mu svetujejo, da ga zamenja tudi tam. Priporočajo tudi uporabo večfaktorske avtentikacije.
URSIV bo javnost obvestil o novih ugotovitvah, ko bo imel več informacij. Analizo incidenta nadaljuje SIGOV-CERT.
Bolj me skrbi za medicinske podatke, ki so zadnja leta pri nas šli online. Kolikor kažejo podatki, se večina podatkovnih baz ukrade: https://www.bleepingcomputer.com/
Je kaj povezano, da tudi telekom.si, neo.io, webmail siol... ne deluje?
Dostopam preko hotelskega dostopa in imajo očitno neko omejitev. Preko svojega gsm (hotspot) pa mi deluje. Zgleda res ni povezano z novico. Predhodnikom hvala za info.
Kljub opuščanju Lotus Domino storitev in prehajanju na druge sporočilne in aplikativne rešitve (iz aplikacije SPIS-a na Krpan) se na Lotus Domino področju še vedno skrbi za 200 strežnikov in 14.000 prijavnih Lotus Domino certifikatov.
The main failure in computers is usually located between keyboard and chair.
You read what you believe and you believe what you read ...
Nisam čit'o, ali osudjujem (nisem bral, a obsojam).
Men so na razgovoru za službo (na upravni enoti sicer), razlagali, da lotus notes več ne uporabljajo. Z krpanom pa nimam noben izkušenj, pa sem potem izvisel.
Nisem zasledil kakšno ranljivost so zlorabili za vdor. Ni nujno da gre za ranljivost Lotus Domino strežnika (Lotus Domino je sicer leta 2019 od IBM kupila Indijska firma HCL Technologies, tako da podpora verjetno še obstaja, če seveda plačaš za to). Lahko da gre za kakšno ranljivost na Linuxu, kjer so ponavadi nameščeni ti strežniki. Če so dobili dostop do strežnika so verjetno odnesli kar imenik, ki ga uporablja Domino.
In, se že ve ali je bila kriva konfiguracija strežnika ali je šlo za ranljivost v spletni aplikacij, da je napadalec lahko skopiral names.nsf z uporabniškimi imeni in zgoščenimi vrednostmi?
In, se že ve ali je bila kriva konfiguracija strežnika ali je šlo za ranljivost v spletni aplikacij, da je napadalec lahko skopiral names.nsf z uporabniškimi imeni in zgoščenimi vrednostmi?
Imenik (names.nsf) lahko kakor vem skopira k sebi in odnese kamorkoli vsak uporabnik Lotus Notes. To Lotus Notes ne preprečuje. Vsaj kakor jaz poznam zadevo, so v imeniku shranjena šifrirana samo internet gesla, torej tista gesla, ki se uporabljajo za spletni dostop (Notes klient uporablja drugo geslo). Če uporabnik nima nastavljenega internet gesla, potem tega v imeniku ni. Je pa od nastavitev sistema odvisno, ali pride lahko vsak uporabnik do hashov gesel drugih uporabnikov.
Trditev, lahko names.nsf skopira vsak uporabnik Lotus Notes je kar bold. Ja, ime, priimek, e-naslov in telefonsko številko.
Od nadzora dostopa (ACL) je odvisno, kaj lahko naredi uporabnik z names.nsf. To je sicer baza, tako kot ostale Lotus Notes baze. Če imaš pravico branja in kopiranja oz. replikacije lahko imenik skopiraš. In v njem niso samo uporabniki.
Vsaj meni se zdi obvestilo URSIV-a nenavadno in je kot vidim povzročilo kar nekaj zmede.
Po dosedanjih ugotovitvah je napadalec pridobil več kot 15.000 uporabniških zapisov iz sistema Domino. Med njimi je bilo 7.216 zapisov z zgoščenimi vrednostmi gesel. Gre za matematično obdelane vrednosti gesel, iz katerih je v določenih primerih mogoče ugotoviti izvirno geslo.
Namreč širša javnost ne ve, kaj naj bi bil "sistem Domino" in kateri uporabniški računi so sploh bili prizadeti. Kaj je "sistem Domino" ne vedo večinoma niti državni uslužbenci, ki uporabljajo Lotus Notes, na kar se ta novica nanaša. Lotus Domino je sicer ime za strežnik. Ampak tudi če to veš, še vedno ni iz te novice jasno, kdo se skriva za 7.216 zapisov...
To obvestilo je res slabo napisano, sploh ne vem, za katere sisteme se gre. Ima to kaj veze z eDavki, zVem in/ali zemljiško knjigo?
Ne, tu gre za Lotus Notes, ki ga ponekod v državni upravi še vedno uporabljajo zlasti zaradi dokumentnega sistema SPIS. S temi sistemi ta novica nima veze.
Delavke na upravi enoti raje pijejo kavo, kot da mene postrežejo. Ima to kaj veze s tem vdorom?
Delavke pač mal pojamrajo tam nadrejenemu pa jih mal pomasira po napornem delovniku. Meni niso še nikoli postregli pa sem se načakal v tistih vrstah za podaljšanje osebne in vozniške.
To je samo varka internega IT-ja, da prisilijo Dragice in Stankove v menjavo svojega štirimestnega gesla.
Na žalost temu ni tako, ker moramo vsi v DU menjati gesla na 6 mesecev. Če ne narediš tega, se ne moreš vpisati v računalnik.
Tako amatersko in zastarelo je to? Nas je***o z menjavo na 120 dni, vsaj 11 mest, vedno novo in vsa ostala najnovejša priporočila. Mreža tako zaščitena, da ima še legitimni software težave :)
Včasih bi mogli ITjevci tud mal pogledat na uporabniško stran.
To je samo varka internega IT-ja, da prisilijo Dragice in Stankove v menjavo svojega štirimestnega gesla.
Na žalost temu ni tako, ker moramo vsi v DU menjati gesla na 6 mesecev. Če ne narediš tega, se ne moreš vpisati v računalnik.
Tako amatersko in zastarelo je to? Nas je***o z menjavo na 120 dni, vsaj 11 mest, vedno novo in vsa ostala najnovejša priporočila. Mreža tako zaščitena, da ima še legitimni software težave :)
Včasih bi mogli ITjevci tud mal pogledat na uporabniško stran.
Stalna menjava gesel je bedastoča. Zastarela IT praksa.
No, pol so pa naši ostali v za uporabnika najbolj neugodnem obdobju :)
Siljenje v stalno menjavo gesel pripelje do tega da folk začne dajat kretivna gesla, kjer povečujejo eno številko. Ali uporabljajo datum ali kaj podobnega. Sicer lahko to tudi preprečiš ampak 95% adminov tega ne bo blokiralo.
Bolje je, da enostavno zahtevaš dolgo geslo + MFA. Ali pa prijava s passkey-i.
Nas je***o z menjavo na 120 dni, vsaj 11 mest, vedno novo in vsa ostala najnovejša priporočila.
Ko s temi zahtevami uporabnike dovolj stisneš in je takih gesel po možnosti še cel kup ni druge, kot da si to nekam začno zapisovat. Rešitev je po moje samo MFA. V tem primeru ne morejo ukrast gesel tudi s strežnika, je pa res, da so tudi tu ranljivosti, samo bistveno manjše.
In kaj meni AI:
Menjava gesla na 120 dni brez znakov kompromitacije je danes zastarel pristop. Aktualni NIST SP 800-63B izrecno pravi, da se od uporabnikov ne sme zahtevati periodične menjave gesel, razen če obstajajo dokazi, da je avtentikator kompromitiran.
Podobno velja za klasična pravila tipa velika črka + mala črka + številka + poseben znak. NIST daje prednost dolžini, preverjanju gesel proti seznamom znanih kompromitiranih gesel in uporabnosti, ne kompliciranim pravilom sestave.
Tvoja ugotovitev glede uporabnikov je zelo praktična: če ima nekdo 10 ali 20 različnih službenih gesel, ki jih mora stalno spreminjati, ga politika dejansko spodbuja k predvidljivim vzorcem ali zapisovanju. Boljša rešitev je password manager + enolična dolga gesla/passphrase + MFA.
Quick answer: NIST SP 800-63B Revision 4, finalized July 31, 2025, now requires passwords to be at least 15 characters, checked against breach databases, and changed only when compromised. Forced periodic expiration and composition complexity rules (uppercase, numbers, special characters) shall not be imposed. Most organizations still follow outdated guidance. The fix: stop forcing 90-day rotations, allow longer passwords up to 64 characters, block compromised passwords at creation, and supplement with MFA.
Moj predlog o ukinitvi spreminjanja gesel je "under review", že par mesecev.
To jaz pravim že kar nekaj let. Če boš ljudi zadost zajebaval, bojo pač nalepili listek na monitor, oz še bolj praktično, imeli text fajl gesla.txt na namizju.
To jaz pravim že kar nekaj let. Če boš ljudi zadost zajebaval, bojo pač nalepili listek na monitor, oz še bolj praktično, imeli text fajl gesla.txt na namizju.
Ni potrebnega nobenega zajebavanja, to imajo povečini že zdaj. Ali pa gesla tipa Poletje2026 ter ob kvartalni menjavi Jesen2026. Pa to ni tak problem osnovne računalniške pismenosti kot lenobe zaposlenih, tudi IT-jevci imajo takšna gesla, pa naj bi bili izvršna roka teh priporočil...
če vdrejo v varovano stavbo ki je "zaščitena" z varnostno firmo, se oni ubadajo z zavarovalnicami oziroma škodo vezano na objektu oziroma skladno s pogodbo o varovanju če pa vdrejo tako kot tukaj je pa kako? po domače: kdo ima jajca na pladnju?
Kaj svetujete javnemu uslužbencu in nasploh če vemo:
Da je težko ustrezno geslo , nezapomljivo in težko ga prepišeš, ker folk ne ve kje so tisti znaki...
Kako si shranjevati gesla? Če ne hranjevati kakšen je vaš predlog?
Vsakdo si lahko spremeni svoje geslo. Nihče jim ne brani, da si ne nastavijo nekaj, kar si bodo zagotovo zapomnili, npr. "JazSemFikus123!". Klicaj bodo menda našli. KeepassXC je še vedno free ter open source.
Vsakdo si lahko spremeni svoje geslo. Nihče jim ne brani, da si ne nastavijo nekaj, kar si bodo zagotovo zapomnili, npr. "JazSemFikus123!". Klicaj bodo menda našli. KeepassXC je še vedno free ter open source.
haveibeenpwned pravi, da geslo "JazSemFikus123!" še ni bilo pwned. To geslo je še na voljo.
Kaj svetujete javnemu uslužbencu in nasploh če vemo:
Da je težko ustrezno geslo , nezapomljivo in težko ga prepišeš, ker folk ne ve kje so tisti znaki...
Kako si shranjevati gesla? Če ne hranjevati kakšen je vaš predlog?
Vsakdo si lahko spremeni svoje geslo. Nihče jim ne brani, da si ne nastavijo nekaj, kar si bodo zagotovo zapomnili, npr. "JazSemFikus123!". Klicaj bodo menda našli. KeepassXC je še vedno free ter open source.
Ok in tale : "JazSemFikus123!" je dovolj varen? NE rabi biti: OuTV7ep4BcB^%K3r
Length over complexity — minimum 15 characters; allow passphrases; do not require mandatory character-class mixing that produces predictable substitutions
Torej preferirajo "passphrase" stil gesel, kar je lahko tudi "Jaz-Sem-Fikus-1965".
Tisti tvoj primer "kompleksnega gesla" je arhaičen in se ga ne uporablja, razen v primeru avtomatske generacije na n-znakov ter z uporabo password managerjev.
Če ti sistem račun zaklene po par neuspešnih poskusih z ugibanjem prav daleč ne bodo prišli, razen če ni geslo res banalno tipa 1234 ali jesen2026. V takem primeri ti bodo po moje bolj verjetno geslo na nek način ukradli ali jim ga boš sam izdal prek kakšne fake strani. Če pa sistem omogoča ugibanje brez omejitev, potem pa danes verjetno najprej poskušajo s seznamom že kompromitiranih gesel, potem pa naprej...Tu pa potem verjetno pride na vrsto statistična verjetnost, število možnih kombinacij, število poskusov na sekundo...
Lotus Notes je tehnologija iz 90 let in že takrat je imel vgrajen očitno nek slovar, saj ni pustil da bi bilo geslo samo neka beseda iz slovarja. Tudi ko vnašaš napačna gesla se avtomatično podaljšuje čas, ko lahko poskusiš z novim geslom. Po parih napačnih lahko čakaš več minut za naslednji poskus.
