» »

Najdena resna varnostna ranljivost v AJPESovi podpisni komponenti

1
2
3 4 5

Invictus ::

Poanta vsega je da nesposobni letijo iz služb...

Če tega ne bo, potem je vse skupaj brez zveze...
"Life is hard; it's even harder when you're stupid."

http://goo.gl/2YuS2x

Zgodovina sprememb…

  • predlagal izbris: matijadmin ()

offline ::

Etični hekerji ne smejo "bombastično" udariti prek medijev, ker prav to lahko povzroči množične zlorabe, ampak se na varnostne luknje diskretno opozori, v tem primeru Ajpesu, da problem rešijo.


Ma problem, ker pri nas nič ne pofixajo do konca, na koncu samo tako da greš v medije kaj dosežeš...

čuhalev ::

poweroff je izjavil:

c3p0 je izjavil:

Moj denar, kdo pa drug. Strokovnjaki, a očitno le v sodelovanju z državo. Know-how o varnosti pa jim je zgleda španska vas.

Ni nujno. Lahko da so zgolj delali po specifikacijah.

Potem pa naj ti pisci specifikacij odgovarjajo.

V javnem sektorju je praviloma tako:
- Nekdo od vplivnih v javnem sektorju z željo po X pozna podjetje Z, ki se s tem ukvarja z X in ga prosi, da spiše specifikacijo U
- Ta specifikacija U gre na javni razpis
- Če ne pride do pritožb, razpis dobi Z
- In vsi srečno živijo do konca svojih dni, ker jim nihče nič ne more

MaCoFaCo ::

Kar je je, zadevo bo potrebno hitro rešiti in zagotoviti, da se podobni primeri ne bodo ponavljali v prihodnosti.

Jaz bi specifikacijo (in mogoče kodo) za takšne javne projekte objavil javno, kar bi bilo najbolj transparentno in bi se takšne luknje hitro odkrile. Na ta način bi se tudi zunanji izvajalci verjetno bolj potrudili, da si ne bi slučajno naredili sramote oz. dobili slabe reference.

poweroff ::

dronyx je izjavil:

V bistvu lekcija, kako delajo pravi "etični hekerji".

A način razpletanja zgodbe prek medijev ni pravi. Etični hekerji ne smejo "bombastično" udariti prek medijev, ker prav to lahko povzroči množične zlorabe, ampak se na varnostne luknje diskretno opozori, v tem primeru Ajpesu, da problem rešijo. Zadeva se lahko javno objavi pozneje, je komentiral Gabor in dodal, da načeloma etični heker, ki nima slabih namenov, svoje identitete ne skriva za različnimi kriptiranimi povezavami, kar naj bi se v primeru napada na Ajpes prav tako zgodilo.


Hmm, kaj pa Petrol in HIT zgodbi? ;)

Pa brez zamere. 8-)
sudo poweroff

alexmarsic ::

Žalostno po vrhu vsega tudi Minimax uporablja isto komponento za podpisovanje eračunov. Tako, da niti če izdaš račun ni varno :)

PaX_MaN ::

Nič čudnega, če so pa zadnji penetracijski test delali 2013.

krneki0001 ::

Leta 2013 Ajpes ni imel drugega kot PRS (poslovni register) in RTRR (register transakcijskih računov), do katerih se je dostopalo preko FTP-ja.

technolog ::

smrko je izjavil:

Mater a se sploh lahko še kaj zgodi da ne bi bili komunisti krivi? Daj potegni že glavo iz riti pa poglej na koledar, nismo več v osemdesetih...


Kaj majo komunisti veze z 80imi? Pomagalo bi ti, če ne bi mešal partizanov in komunajzerjev. Ni isto.

b3D_950 ::

Upam, da je na https://moj.zzzs.si/ bolj urejeno, kar se tiče varnosti podatkov. Čeprav glede na vse te novice, rahlo dvomim, da je kaj boljše.
Zdaj ko je mir, jemo samo krompir.

Ziga Dolhar ::

krneki0001 je izjavil:

Leta 2013 Ajpes ni imel drugega kot PRS (poslovni register) in RTRR (register transakcijskih računov), do katerih se je dostopalo preko FTP-ja.


What what?
https://dolhar.si/

DeeJay ::

technolog je izjavil:

smrko je izjavil:

Mater a se sploh lahko še kaj zgodi da ne bi bili komunisti krivi? Daj potegni že glavo iz riti pa poglej na koledar, nismo več v osemdesetih...


Kaj majo komunisti veze z 80imi? Pomagalo bi ti, če ne bi mešal partizanov in komunajzerjev. Ni isto.


Kaj majo komunisti sploh veze s to temo?
Pejt počas na en pregled, ker blodnje o komunistih v vsaki temi je pa že precej shizofreno.

BlaY0 ::

krneki0001 je izjavil:


Zelo podobno se obnašajo banke in zavarovalnice v sloveniji. Imajo cel kup ljudi, ki vedo kaj in kako, imajo dovolj znanja, vendar delat ne smejo teh stvari, ker to vse delajo zunanji, zato da se plačujejo provizije.
Tako se pač dela v sloveniji!

Ne boš verjel, tako se dela povsod. Zakaj si mnenja da se to dogaja samo v Sloveniji?

Ice-Heki ::

Ziga Dolhar je izjavil:

krneki0001 je izjavil:

Leta 2013 Ajpes ni imel drugega kot PRS (poslovni register) in RTRR (register transakcijskih računov), do katerih se je dostopalo preko FTP-ja.


What what?


Sej se do teh stvari še danes dostopa preko FTP.

Ziga Dolhar ::

Ice-Heki je izjavil:

Ziga Dolhar je izjavil:

krneki0001 je izjavil:

Leta 2013 Ajpes ni imel drugega kot PRS (poslovni register) in RTRR (register transakcijskih računov), do katerih se je dostopalo preko FTP-ja.


What what?


Sej se do teh stvari še danes dostopa preko FTP.


Imata v mislih (plačljiv) zajem podatkov?
https://dolhar.si/

Ice-Heki ::

Ziga Dolhar je izjavil:

Ice-Heki je izjavil:

Ziga Dolhar je izjavil:

krneki0001 je izjavil:

Leta 2013 Ajpes ni imel drugega kot PRS (poslovni register) in RTRR (register transakcijskih računov), do katerih se je dostopalo preko FTP-ja.


What what?


Sej se do teh stvari še danes dostopa preko FTP.


Imata v mislih (plačljiv) zajem podatkov?


Tako je. Obstaja pa tudi (po novem) nek web service.

hruske ::

Ta web service ni tako nova stvar, kot si ti predstavljaš.
Rad imam tole državico. <3

Spura ::

Kaksno ime za firmo, "moj denar". :D Zakaj nimajo kar "lepljivi prsti" ali pa "muh shekels"?

konspirator ::

avister je izjavil:

mdSigNetSetup.exe je očitno "spet" od podjetja Mojdenar. A niso bili tile že zadnjič na tapeti?

Če je temu tako, jih nekdo na vsak način hoče izriniti s položaja. Seveda s pomočjo etičnih hekerjev.

Triglavskladi takisto:
https://www.triglavskladi-emil.si/Dokum...

Ujpnet
http://ujpnet.gov.si/Help/UJPnet_podpis...
--

Zgodovina sprememb…

smihael ::

Poleg vsega pa tudi SSL certifikata nimajo pravilno nastavljenega.

This server could not prove that it is www.ajpes.si; its security certificate is not trusted by your computer's operating system. This may be caused by a misconfiguration or an attacker intercepting your connection. Learn more.

krneki0001 ::

Ziga Dolhar je izjavil:

Ice-Heki je izjavil:

Ziga Dolhar je izjavil:

krneki0001 je izjavil:

Leta 2013 Ajpes ni imel drugega kot PRS (poslovni register) in RTRR (register transakcijskih računov), do katerih se je dostopalo preko FTP-ja.


What what?


Sej se do teh stvari še danes dostopa preko FTP.


Imata v mislih (plačljiv) zajem podatkov?


Ja. Masovno se dela preko FTP, posamezno povpraševanje preko web servisa.

SaXsIm ::

b3D_950 je izjavil:

Upam, da je na https://moj.zzzs.si/ bolj urejeno, kar se tiče varnosti podatkov. Čeprav glede na vse te novice, rahlo dvomim, da je kaj boljše.


Kaj pa lahko delaš z moj.zzzs.si ? Najbolj neuporaben portal in najbolj tehnološko zaostala javna ustanova, še e računov ne izdajajo.
SaXsIm

aerie ::

smihael je izjavil:

Poleg vsega pa tudi SSL certifikata nimajo pravilno nastavljenega.

This server could not prove that it is www.ajpes.si; its security certificate is not trusted by your computer's operating system. This may be caused by a misconfiguration or an attacker intercepting your connection. Learn more.

Uporabljajo certifikat SIGEN-CA,ki ga Mozilla ne prepozna kot varnega. IE in Chrome pa ga. Kdo ve zakaj?

metalc ::

SaXsIm je izjavil:

Kaj pa lahko delaš z moj.zzzs.si?


Lahko pogledaš, koliko so zavarovalnico stala tvoja zdravljenja oz. obiski zdravnika. :D

SaXsIm ::

Sigenca ni trustworthy CA.

Strašna korist od tega ZZZSja. Ko sem jih pa vprašal, kako se naročim na eračun za zavarovanje, so me pa samo debelo gledali.
SaXsIm

dronyx ::

smihael je izjavil:

Poleg vsega pa tudi SSL certifikata nimajo pravilno nastavljenega.

Tu po moje ni problem na strežniku, ampak pri izdajatelju potrdila (Sigen-Ca). Kaj konkretno bi morali naredit, da bi bili priznani in ne bi povsod javljalo teh sporočil sicer ne vem, verjetno pa komu kaj plačat. Ponavadi na spletnih straneh ki uporabljajo ta potrdila piše, da moraš uvoziti v brskalnik ročno tole.

Me pa dejansko čisto iz firbca zanima koliko bi bilo potrebno plačat, da tega ne bi bilo potrebno ročno delat? Namreč za IT gre stotine milijonov letno in nenavadno je, da se je potrebno s tem ukvarjati na toliko računalnikih.

Zgodovina sprememb…

  • spremenil: dronyx ()

aerie ::

Hja... samo tole je potem brezveze, da sploh obstaja nek sigen-ca, ki izdaja certifikate za celo SI javno upravo. Gledam zdej... eDavki majo certifikat od Comoda, prej so tudi imeli od sigen-ca, pa so imeli probleme (če se dobro spomnim so celo po radiju o tem nekaj razpravljali zakaj tako in ne drugač). A zna kdo tole malo bolj razložit? Je vmes denar?

dronyx ::

Pri strežniških certifikatih je zadeva problematična, saj recimo kakšen spletni portal kot so eDavki lahko uporablja tudi več sto tisoč uporabnikov. Kaj ni lažje namestiti na strežnik potrdilo, ki je priznano kot pa tisočim vedno znova razlagat, zakaj javlja ta sporočila, da ne gre za nateg in kaj je potrebno ročno narediti.

Shalabajzer ::

Ranljivosti v organizacijah javne uprave so v interesu javnosti in prav se mi zdi, da so državljani obveščeni o potencialnih grožnjah njihovi zasebnosti in varnosti. Konec koncev so davkoplačevalci tisti, ki plačujejo javne uslužbence in si zaslužijo visoko mero transparentnosti.

Iz radovednosti sem tudi sam pognal decompiler.

Koda, ki uporablja statične ključe za AES dekripcijo:

public static byte[] Decrypt(byte[] encData) throws Exception {
    byte[] simKey = "j8h34lan8qgdm1b9".getBytes("UTF-8");
    byte[] saltBytes = "mp8bn260qykda5bf".getBytes("UTF-8");
    SecretKeySpec secretKeySpecification = new SecretKeySpec(simKey, "AES");
    Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
    IvParameterSpec IVspec = new IvParameterSpec(saltBytes);
    cipher.init(2, (Key)secretKeySpecification, IVspec);
    return cipher.doFinal(encData);
}


V modernih zahodnih državah bi rekli, da je spodnji izsek kode nameren backdoor, v Sloveniji pa naslednjo cvetko verjetno lahko pripišemo nevednosti ali ignoranci izvajalca ter naročnika. Kodo, ki zaobide preverbo imena strežnika certifikata, so razvijalci podpisne komponente skopirali kar iz StackOverflowa. https://stackoverflow.com/questions/130...

if (useSSL.booleanValue()) {
    HostnameVerifier allHostsValid = new HostnameVerifier(){

        @Override
        public boolean verify(String hostname, SSLSession session) {
            return true;
        }
    };
    HttpsURLConnection.setDefaultHostnameVerifier(allHostsValid);
    con = (HttpsURLConnection)url.openConnection();
} else {
    con = (HttpURLConnection)url.openConnection();
}


Vabim tudi ostale, da si prenesejo komponento za digitalni podpis in sami pogledajo, kakšno programsko opremo smo državljani drago plačali. Žalostno je, da smo takšne rešitve primorani uporabljati. Mislim, da bi bila ustrezna rešitev, da komponente za digitalni podpis preverja UVTP ali podobna organizacija, ali pa da so odprtokodne in na vpogled vsem državljanom. V takem primeru, si tako slabega izdelka ne bi upali sproducirati.

Slovenija ima to srečo, da za tuje hekerje, hekerske in državne organizacije ni dovolj zanimiva. Ko postane zanima - v kolikor se kaj drastično ne spremeni - nas bodo prerešetali.

Zgodovina sprememb…

ender ::

Kaj ko bi kdo preveril še ProXsign G2, ki se tudi na nekaterih straneh uporablja za podpisovanje?
There are only two hard things in Computer Science:
cache invalidation, naming things and off-by-one errors.

jype ::

aerie> A zna kdo tole malo bolj razložit? Je vmes denar?

V resnici je vprašanje precej filozofsko: Komu zares lahko zaupaš?

Načeloma obstajajo smernice, ki se jih morajo CAji (to so tisti, ki "garantirajo" istovetnost) držati. Če se jih ne, jih lahko vržejo ven iz novih različic brskalnikov, iz starih jih pa seveda ne morejo, na primer: https://blog.mozilla.org/security/2016/...

Velik problem CAjev je, da so pretežno avtomatizirani in pogosto podpišejo očitno zlorabo, zaradi česar očitno ne gre za zaupanja vredne ustanove, zgolj za "too big to fail" problem. Verisign, ki je pred leti že podpisal "paypal.com" certifikat, delno zapisan v pismenkah iz cirilice, je preveč pomemben za delovanje interneta, da bi ga vrgli ven iz brskalnikov in/ali operacijskih sistemov.

jukoz ::

dronyx je izjavil:

Pri strežniških certifikatih je zadeva problematična, saj recimo kakšen spletni portal kot so eDavki lahko uporablja tudi več sto tisoč uporabnikov. Kaj ni lažje namestiti na strežnik potrdilo, ki je priznano kot pa tisočim vedno znova razlagat, zakaj javlja ta sporočila, da ne gre za nateg in kaj je potrebno ročno narediti.


Kaj, naj ga izda Comodo? Kaj pa če izda še kakšen fake certifikat?

Je že prav da za državo izdaja državni CA.

dronyx ::

jukoz je izjavil:

Kaj, naj ga izda Comodo? Kaj pa če izda še kakšen fake certifikat? Je že prav da za državo izdaja državni CA.

Poglej prosim potrdila katerih izdajateljev uporabljajo spletne banke.

aerie ::

To je vse razumljivo z enega zornega kota. Ampak uporabniki smo zmedeni in zadnje čase nas kar posiljujejo s temi e zadevami. Če tam v brskalniku piše, da stran ni zaupanja vredna, potem mogoče celo res ni ;)

jukoz ::

dronyx je izjavil:

jukoz je izjavil:

Kaj, naj ga izda Comodo? Kaj pa če izda še kakšen fake certifikat? Je že prav da za državo izdaja državni CA.

Poglej prosim potrdila katerih izdajateljev uporabljajo spletne banke.


In kaj hočeš s tem povedat? Da je NLB zamenjal cert s katerim se predstavi Klik, jaz pa tega nisem opazil in sem se veselo logiral gor s client certom, izdanim s strani NLB? In kaj se zgodi, ko Entrust izda cert tudi za domeno nbl.si? Jaz tega ne bom opazil.

Zato državne inštitucije ne morejo uporabljati xyz certov - ker mora imeti država to pod nadzorom, tako kot bi morala imeti ostalo kritično infrastrukturo.

HotBurek ::

Država bi ta problem z manjkajočimi (Slovenskimi) certifikati rešila tako, da bi pri uvoz elektronskih naprav (računalniki, telefoni, TVji, itn.) od proizvajalcev/uvoznikov zahtevala prednamestitev le-teh.
root@debian:/# iptraf-ng
fatal: This program requires a screen size of at least 80 columns by 24 lines
Please resize your window

jype ::

aerie> To je vse razumljivo z enega zornega kota. Ampak uporabniki smo zmedeni in zadnje čase nas kar posiljujejo s temi e zadevami. Če tam v brskalniku piše, da stran ni zaupanja vredna, potem mogoče celo res ni ;)

Če bi želeli zagotoviti varnost, bi morali otroke že v osnovni šoli naučiti, kako te reči delujejo.

HotBurek> Država bi ta problem z manjkajočimi (Slovenskimi) certifikati rešila tako, da bi pri uvoz elektronskih naprav (računalniki, telefoni, TVji, itn.) od proizvajalcev/uvoznikov zahtevala prednamestitev le-teh.

Posledica tega je praviloma zgolj ta, da potrošniki težje dobijo izdelke, ki si jih želijo.

Zgodovina sprememb…

  • spremenilo: jype ()

čuhalev ::

jype je izjavil:

Posledica tega je praviloma zgolj ta, da potrošniki težje dobijo izdelke, ki si jih želijo.

Te težave so že sedaj.

Recimo z AK47 in žižo.

čuhalev ::

Ne poznam

tardusm ::

Tole se je pojavilo ta hip na URL od www.ajpes.si:

Connection insecure opozorilo (Firefox) , potem pa tole:

https://www.ajpes.si/Default.asp?
https://www.ajpes.si/Default.asp? Peer’s Certificate issuer is not recognized. HTTP Strict Transport Security: false HTTP Public Key Pinning: false Certificate chain: -----BEGIN CERTIFICATE----- MIIFzDCCBLSgAwIBAgIEO0mp1jANBgkqhkiG9w0BAQsFADA9MQswCQYDVQQGEwJz aTEbMBkGA1UEChMSc3RhdGUtaW5zdGl0dXRpb25zMREwDwYDVQQLEwhzaWdlbi1j YTAe...

Pomeni, da certifikati niso "pravi" ali kaj. Lahko kdo pokomentira,prosim...?

čuhalev ::

Kot piše: "Peer's Certificate issuer is not recognized."

Certifikata tvoj sistem ne more preveriti, zato se sistem odloči, da ti strani ne pokaže. In enako velja zate kot uporabnika, saj nimaš oziroma ne poznaš dovolj podatkov, da bi lahko presodil, ali je certifikat pravi ali ni.

Lahko potrdiš ali zavrneš, ampak v obeh primerih tvegaš, da si ravnal napačno.

Zgodovina sprememb…

  • spremenil: čuhalev ()

MrStein ::

c3p0 je izjavil:

Daleč smo prišli, da se razni security eksperti morajo skrivati za TOR omrežjem, da naša vrla oblast ne more iti v kill-the-messenger mode. Žalostno.

Saj to je standard za "žvižgače" vsepovsod.
Če obstaja res razlog (in soglasje) za razkritje identitete, se to lahko naredi pozneje.

aerie je izjavil:

smihael je izjavil:

Poleg vsega pa tudi SSL certifikata nimajo pravilno nastavljenega.

This server could not prove that it is www.ajpes.si; its security certificate is not trusted by your computer's operating system. This may be caused by a misconfiguration or an attacker intercepting your connection. Learn more.

Uporabljajo certifikat SIGEN-CA,ki ga Mozilla ne prepozna kot varnega. IE in Chrome pa ga. Kdo ve zakaj?

Ker je Microsoft dal SIGEN (in SIGOV) CA v spisek zaupanja vrednih, Mozilla pa ni.
Chrome uporablja spisek od Windows.

PS: To velja za "stare" korenske certifikate, novih (letnik 2016) pa ni, vsaj nazadnje ko sem gledal jih ni bilo v spisku.
Motiti se je človeško.
Motiti se pogosto je neumno.
Vztrajati pri zmoti je... oh, pozdravljen!

Zgodovina sprememb…

  • spremenil: MrStein ()

tardusm ::

čuhalev je izjavil:

Kot piše: "Peer's Certificate issuer is not recognized."

Certifikata tvoj sistem ne more preveriti, zato se sistem odloči, da ti strani ne pokaže. In enako velja zate kot uporabnika, saj nimaš oziroma ne poznaš dovolj podatkov, da bi lahko presodil, ali je certifikat pravi ali ni.

Lahko potrdiš ali zavrneš, ampak v obeh primerih tvegaš, da si ravnal napačno.



Hvala za komentar. Seveda zavrnem !
Tako obvestilo dobim mogoče petkrat na leto, torej zakaj ravno AJPES...?
Ali tam nimajo nekih "pravih" certifikatov, np. Verisign, Comodo , GeoTrust ali kaj bolj "recognizable"?
kako bo povprečni uporabnik prišel na spletno stran državne agencije , če ga brskalnik opozarja na tveganje; pa to še pravi vstop na stan ni ???

čuhalev ::

Povprečni uporabnik mora tvegati. Ni čudno, da je vedno več "kriminala" na spletu.

jype ::

batt67> Povprečni uporabnik mora tvegati.

Ne, ni mu treba. Lahko gre na http://www.si-ca.si/, preuči vse skupaj, pokliče na upravno enoto in prosi, da mu zrecitirajo prstni odtis korenskega certifikata, ter ga uvozi v shrambo Mozille.

HotBurek ::

Root certifikat: http://www.ca.gov.si/crt/si-trust-root....

Dokumentacija: http://www.ca.gov.si/dokumenti/SI-TRUST...
(7.1.2.2. Profil potrdila za podrejene in povezane izdajatelje)
root@debian:/# iptraf-ng
fatal: This program requires a screen size of at least 80 columns by 24 lines
Please resize your window

Zgodovina sprememb…

  • spremenilo: HotBurek ()

jype ::

Drži pa, da mora biti uporabnik za uporabo take tehnologije tudi usposobljen oziroma ustrezno funkcionalno pismen.

Če ni, potem ga pa itak lahko nategne kdorkoli.

aerie ::

MrStein je izjavil:


Ker je Microsoft dal SIGEN (in SIGOV) CA v spisek zaupanja vrednih, Mozilla pa ni.
Chrome uporablja spisek od Windows.

PS: To velja za "stare" korenske certifikate, novih (letnik 2016) pa ni, vsaj nazadnje ko sem gledal jih ni bilo v spisku.

A v tem je catch. Hvala.

jype je izjavil:

Drži pa, da mora biti uporabnik za uporabo take tehnologije tudi usposobljen oziroma ustrezno funkcionalno pismen.

Če ni, potem ga pa itak lahko nategne kdorkoli.

OK. Takšnih nas je dost.

tardusm ::

Postavimo v vrsto par sto zaposlenih v raznoraznih naključnih podjetjih, upravnih enota ipd. ki imajo opravka z e-upravo in jih povprašajmo po certifikatih, raznih brskalnikih, uvozih, fingerprintih ipd.
Koliko odstotkov primernih odgovorov bi dobili?

jype ::

tardusm> Koliko odstotkov primernih odgovorov bi dobili?

IMO manj kot 1%, kar toliko bolj jasno izraža potrebo, da se o teh rečeh začne izobraževati osnovnošolsko mladino. X509 še ne bo kmalu zgodovina.
1
2
3 4 5


Vredno ogleda ...

TemaSporočilaOglediZadnje sporočilo
TemaSporočilaOglediZadnje sporočilo
»

Najdena resna varnostna ranljivost v AJPESovi podpisni komponenti (strani: 1 2 3 4 5 )

Oddelek: Novice / Varnost
20174727 (57281) jukoz
»

Ajpes končno priznal: Ne vemo, kaj delamo (strani: 1 2 )

Oddelek: Novice / Varnost
8430083 (20390) Furbo
»

AJPES-ova alternativna dejstva (strani: 1 2 )

Oddelek: Novice / Varnost
7626303 (18573)          
»

Storitve E-uprave

Oddelek: Programska oprema
137022 (6697) qwzyx

Več podobnih tem