Najdena resna varnostna ranljivost v AJPESovi podpisni komponenti

Poanta vsega je da nesposobni letijo iz služb...

Če tega ne bo, potem je vse skupaj brez zveze...

poweroff je 27. feb 2017 ob 11:30 izjavil:

c3p0 je 27. feb 2017 ob 10:18 izjavil:

Moj denar, kdo pa drug. Strokovnjaki, a očitno le v sodelovanju z državo. Know-how o varnosti pa jim je zgleda španska vas.

Ni nujno. Lahko da so zgolj delali po specifikacijah.

Potem pa naj ti pisci specifikacij odgovarjajo.

V javnem sektorju je praviloma tako:
- Nekdo od vplivnih v javnem sektorju z željo po X pozna podjetje Z, ki se s tem ukvarja z X in ga prosi, da spiše specifikacijo U
- Ta specifikacija U gre na javni razpis
- Če ne pride do pritožb, razpis dobi Z
- In vsi srečno živijo do konca svojih dni, ker jim nihče nič ne more

dronyx je 27. feb 2017 ob 10:55 izjavil:

V bistvu lekcija, kako delajo pravi "etični hekerji".

A način razpletanja zgodbe prek medijev ni pravi. Etični hekerji ne smejo "bombastično" udariti prek medijev, ker prav to lahko povzroči množične zlorabe, ampak se na varnostne luknje diskretno opozori, v tem primeru Ajpesu, da problem rešijo. Zadeva se lahko javno objavi pozneje, je komentiral Gabor in dodal, da načeloma etični heker, ki nima slabih namenov, svoje identitete ne skriva za različnimi kriptiranimi povezavami, kar naj bi se v primeru napada na Ajpes prav tako zgodilo.

Hmm, kaj pa Petrol in HIT zgodbi?

Pa brez zamere.

Nič čudnega, če so pa zadnji penetracijski test delali 2013.

smrko je 27. feb 2017 ob 03:27 izjavil:

Mater a se sploh lahko še kaj zgodi da ne bi bili komunisti krivi? Daj potegni že glavo iz riti pa poglej na koledar, nismo več v osemdesetih...

Kaj majo komunisti veze z 80imi? Pomagalo bi ti, če ne bi mešal partizanov in komunajzerjev. Ni isto.

krneki0001 je 27. feb 2017 ob 12:36 izjavil:

Leta 2013 Ajpes ni imel drugega kot PRS (poslovni register) in RTRR (register transakcijskih računov), do katerih se je dostopalo preko FTP-ja.

What what?

krneki0001 je 27. feb 2017 ob 07:26 izjavil:

Zelo podobno se obnašajo banke in zavarovalnice v sloveniji. Imajo cel kup ljudi, ki vedo kaj in kako, imajo dovolj znanja, vendar delat ne smejo teh stvari, ker to vse delajo zunanji, zato da se plačujejo provizije.
Tako se pač dela v sloveniji!

Ne boš verjel, tako se dela povsod. Zakaj si mnenja da se to dogaja samo v Sloveniji?

Ice-Heki je 27. feb 2017 ob 14:19 izjavil:

Ziga Dolhar je 27. feb 2017 ob 14:02 izjavil:

krneki0001 je 27. feb 2017 ob 12:36 izjavil:

Leta 2013 Ajpes ni imel drugega kot PRS (poslovni register) in RTRR (register transakcijskih računov), do katerih se je dostopalo preko FTP-ja.

What what?

Sej se do teh stvari še danes dostopa preko FTP.

Imata v mislih (plačljiv) zajem podatkov?

Ta web service ni tako nova stvar, kot si ti predstavljaš.

avister je 27. feb 2017 ob 08:15 izjavil:

mdSigNetSetup.exe je očitno "spet" od podjetja Mojdenar. A niso bili tile že zadnjič na tapeti?

Če je temu tako, jih nekdo na vsak način hoče izriniti s položaja. Seveda s pomočjo etičnih hekerjev.

Triglavskladi takisto:
https://www.triglavskladi-emil.si/Dokum...

Ujpnet
http://ujpnet.gov.si/Help/UJPnet_podpis...

Ziga Dolhar je 27. feb 2017 ob 14:30 izjavil:

Ice-Heki je 27. feb 2017 ob 14:19 izjavil:

Ziga Dolhar je 27. feb 2017 ob 14:02 izjavil:

krneki0001 je 27. feb 2017 ob 12:36 izjavil:

Leta 2013 Ajpes ni imel drugega kot PRS (poslovni register) in RTRR (register transakcijskih računov), do katerih se je dostopalo preko FTP-ja.

What what?

Sej se do teh stvari še danes dostopa preko FTP.

Imata v mislih (plačljiv) zajem podatkov?

Ja. Masovno se dela preko FTP, posamezno povpraševanje preko web servisa.

smihael je 27. feb 2017 ob 17:15 izjavil:

Poleg vsega pa tudi SSL certifikata nimajo pravilno nastavljenega.

This server could not prove that it is www.ajpes.si; its security certificate is not trusted by your computer's operating system. This may be caused by a misconfiguration or an attacker intercepting your connection. Learn more.

Uporabljajo certifikat SIGEN-CA,ki ga Mozilla ne prepozna kot varnega. IE in Chrome pa ga. Kdo ve zakaj?

Sigenca ni trustworthy CA.

Strašna korist od tega ZZZSja. Ko sem jih pa vprašal, kako se naročim na eračun za zavarovanje, so me pa samo debelo gledali.

Hja... samo tole je potem brezveze, da sploh obstaja nek sigen-ca, ki izdaja certifikate za celo SI javno upravo. Gledam zdej... eDavki majo certifikat od Comoda, prej so tudi imeli od sigen-ca, pa so imeli probleme (če se dobro spomnim so celo po radiju o tem nekaj razpravljali zakaj tako in ne drugač). A zna kdo tole malo bolj razložit? Je vmes denar?

Ranljivosti v organizacijah javne uprave so v interesu javnosti in prav se mi zdi, da so državljani obveščeni o potencialnih grožnjah njihovi zasebnosti in varnosti. Konec koncev so davkoplačevalci tisti, ki plačujejo javne uslužbence in si zaslužijo visoko mero transparentnosti.

Iz radovednosti sem tudi sam pognal decompiler.

Koda, ki uporablja statične ključe za AES dekripcijo:

public static byte[] Decrypt(byte[] encData) throws Exception {
    byte[] simKey = "j8h34lan8qgdm1b9".getBytes("UTF-8");
    byte[] saltBytes = "mp8bn260qykda5bf".getBytes("UTF-8");
    SecretKeySpec secretKeySpecification = new SecretKeySpec(simKey, "AES");
    Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
    IvParameterSpec IVspec = new IvParameterSpec(saltBytes);
    cipher.init(2, (Key)secretKeySpecification, IVspec);
    return cipher.doFinal(encData);
}

V modernih zahodnih državah bi rekli, da je spodnji izsek kode nameren backdoor, v Sloveniji pa naslednjo cvetko verjetno lahko pripišemo nevednosti ali ignoranci izvajalca ter naročnika. Kodo, ki zaobide preverbo imena strežnika certifikata, so razvijalci podpisne komponente skopirali kar iz StackOverflowa. https://stackoverflow.com/questions/130...

if (useSSL.booleanValue()) {
    HostnameVerifier allHostsValid = new HostnameVerifier(){

        @Override
        public boolean verify(String hostname, SSLSession session) {
            return true;
        }
    };
    HttpsURLConnection.setDefaultHostnameVerifier(allHostsValid);
    con = (HttpsURLConnection)url.openConnection();
} else {
    con = (HttpURLConnection)url.openConnection();
}

Vabim tudi ostale, da si prenesejo komponento za digitalni podpis in sami pogledajo, kakšno programsko opremo smo državljani drago plačali. Žalostno je, da smo takšne rešitve primorani uporabljati. Mislim, da bi bila ustrezna rešitev, da komponente za digitalni podpis preverja UVTP ali podobna organizacija, ali pa da so odprtokodne in na vpogled vsem državljanom. V takem primeru, si tako slabega izdelka ne bi upali sproducirati.

Slovenija ima to srečo, da za tuje hekerje, hekerske in državne organizacije ni dovolj zanimiva. Ko postane zanima - v kolikor se kaj drastično ne spremeni - nas bodo prerešetali.

aerie> A zna kdo tole malo bolj razložit? Je vmes denar?

V resnici je vprašanje precej filozofsko: Komu zares lahko zaupaš?

Načeloma obstajajo smernice, ki se jih morajo CAji (to so tisti, ki "garantirajo" istovetnost) držati. Če se jih ne, jih lahko vržejo ven iz novih različic brskalnikov, iz starih jih pa seveda ne morejo, na primer: https://blog.mozilla.org/security/2016/...

Velik problem CAjev je, da so pretežno avtomatizirani in pogosto podpišejo očitno zlorabo, zaradi česar očitno ne gre za zaupanja vredne ustanove, zgolj za "too big to fail" problem. Verisign, ki je pred leti že podpisal "paypal.com" certifikat, delno zapisan v pismenkah iz cirilice, je preveč pomemben za delovanje interneta, da bi ga vrgli ven iz brskalnikov in/ali operacijskih sistemov.

jukoz je 27. feb 2017 ob 19:31 izjavil:

Kaj, naj ga izda Comodo? Kaj pa če izda še kakšen fake certifikat? Je že prav da za državo izdaja državni CA.

Poglej prosim potrdila katerih izdajateljev uporabljajo spletne banke.

dronyx je 27. feb 2017 ob 19:48 izjavil:

jukoz je 27. feb 2017 ob 19:31 izjavil:

Kaj, naj ga izda Comodo? Kaj pa če izda še kakšen fake certifikat? Je že prav da za državo izdaja državni CA.

Poglej prosim potrdila katerih izdajateljev uporabljajo spletne banke.

In kaj hočeš s tem povedat? Da je NLB zamenjal cert s katerim se predstavi Klik, jaz pa tega nisem opazil in sem se veselo logiral gor s client certom, izdanim s strani NLB? In kaj se zgodi, ko Entrust izda cert tudi za domeno nbl.si? Jaz tega ne bom opazil.

Zato državne inštitucije ne morejo uporabljati xyz certov - ker mora imeti država to pod nadzorom, tako kot bi morala imeti ostalo kritično infrastrukturo.

aerie> To je vse razumljivo z enega zornega kota. Ampak uporabniki smo zmedeni in zadnje čase nas kar posiljujejo s temi e zadevami. Če tam v brskalniku piše, da stran ni zaupanja vredna, potem mogoče celo res ni ;)

Če bi želeli zagotoviti varnost, bi morali otroke že v osnovni šoli naučiti, kako te reči delujejo.

HotBurek> Država bi ta problem z manjkajočimi (Slovenskimi) certifikati rešila tako, da bi pri uvoz elektronskih naprav (računalniki, telefoni, TVji, itn.) od proizvajalcev/uvoznikov zahtevala prednamestitev le-teh.

Posledica tega je praviloma zgolj ta, da potrošniki težje dobijo izdelke, ki si jih želijo.

Ne poznam

Kot piše: "Peer's Certificate issuer is not recognized."

Certifikata tvoj sistem ne more preveriti, zato se sistem odloči, da ti strani ne pokaže. In enako velja zate kot uporabnika, saj nimaš oziroma ne poznaš dovolj podatkov, da bi lahko presodil, ali je certifikat pravi ali ni.

Lahko potrdiš ali zavrneš, ampak v obeh primerih tvegaš, da si ravnal napačno.

čuhalev je 27. feb 2017 ob 22:45 izjavil:

Kot piše: "Peer's Certificate issuer is not recognized."

Certifikata tvoj sistem ne more preveriti, zato se sistem odloči, da ti strani ne pokaže. In enako velja zate kot uporabnika, saj nimaš oziroma ne poznaš dovolj podatkov, da bi lahko presodil, ali je certifikat pravi ali ni.

Lahko potrdiš ali zavrneš, ampak v obeh primerih tvegaš, da si ravnal napačno.

Hvala za komentar. Seveda zavrnem !
Tako obvestilo dobim mogoče petkrat na leto, torej zakaj ravno AJPES...?
Ali tam nimajo nekih "pravih" certifikatov, np. Verisign, Comodo , GeoTrust ali kaj bolj "recognizable"?
kako bo povprečni uporabnik prišel na spletno stran državne agencije , če ga brskalnik opozarja na tveganje; pa to še pravi vstop na stan ni ???

batt67> Povprečni uporabnik mora tvegati.

Ne, ni mu treba. Lahko gre na http://www.si-ca.si/, preuči vse skupaj, pokliče na upravno enoto in prosi, da mu zrecitirajo prstni odtis korenskega certifikata, ter ga uvozi v shrambo Mozille.

Drži pa, da mora biti uporabnik za uporabo take tehnologije tudi usposobljen oziroma ustrezno funkcionalno pismen.

Če ni, potem ga pa itak lahko nategne kdorkoli.

Postavimo v vrsto par sto zaposlenih v raznoraznih naključnih podjetjih, upravnih enota ipd. ki imajo opravka z e-upravo in jih povprašajmo po certifikatih, raznih brskalnikih, uvozih, fingerprintih ipd.
Koliko odstotkov primernih odgovorov bi dobili?