Transparentna Slovenija #4: "Luknje" v spletnih straneh treh zdravstvenih domov SI-CERT uspel odpraviti v pol leta

matijadmin je 19. mar 2019 ob 19:17 izjavil:

Če je nekdo (iz javno dostopnih) spletnih virov, npr. headerjev, copyright vsebine komentarjev, skript ... razbral, katera verzija programja (mislim na CMS z raznimi dodatki) poganja določeno spletno stran ter nato zanjo preveril (ne boš verje, kje - kar na spletu), katere ranljivosti so dokumentirane, še ne pomeni, da je vdiral ali to poskušal. Torej ni počel nič nezakonitega in tvoja analogija z vrati banke ali soseda je čisto mimo.

Ce gres pa googlat ali ima WordPress 5.1.1 kak exploit, potem to ni kaznivo, jasno. Ce gres sprobavat na neko spletno stran ali je ranljiva za ta exploit, potem pa to je nezakonito.

BigWhale je 20. mar 2019 ob 09:28 izjavil:

SeMiNeSanja je 19. mar 2019 ob 17:17 izjavil:

Kakorkoli se mogoče nekomu zdi 'neetično', če nekdo hodi naokoli in sprobava kljuke - če tega nihče od 'ta dobrih' nebi počel - 'ta hudobni' to zagotovo počno. Za marsikateri problem nebi nikoli vedeli, če 'ta dobri' nebi sprobavali kljuk na razne mile viže. Problem je zgolj, da vsak hoče, da bi to počeli pri nekomu drugemu, ne pri njemu.

Svet ni tako preprost kot si to morda predstavljas. 'Sprobavanje kljuk' je, vsaj pri nas, protizakonito. Opravicevanje kljukanja vrat s tem, da delas dobro za uporabnike, je v vecini primerov neumnost. Ce bi slo resnicno za nek altruizem potem bi se tistim krsiteljem ponudilo pomoc in se poskrbelo, da problem odpravijo preden se jih javno linca.

SeMiNeSanja je 19. mar 2019 ob 17:17 izjavil:

Tisti, ki so miselno en korak dalje, pa celo javno ponujajo bonbončke za tiste, ki jim bodo povedali, da imajo zanič ključavnico, ali pa da so pozabili zakleniti.

To je nekaj povsem drugega. Dokler od ponudnika nimas dovoljenja za taksno pocetje, je taksno pocetje nezakonito. In pri teh receh je treba VEDNO pogledati smiselnost ukrepa glede na velikost in razseznost krsitve. Je prav, da se izolsko bolnisnico obesi na veliki zvon? Seveda, gre za precej hud primer krsitev. Ampak potrebno je pocakati na to, da odpravijo napako, ker drugace lahko s svojim razkritjem povzrocis precej vecjo skodo, kot je nastala prej, dokler ranljivost se sploh razkrita ni bila. Potem, ko je vse skupaj odpravljeno, pa go ahead, fire away. Prav je, da se pove in da za to nekdo odgovarja.

Kaj pa XY trgovina za katero se prakticno nihce ni slisal? V tem primeru so pa taksna sramotilna razkritja prej neumnost kot pa neka dobrodelnost in skrb za uporabnike.

Tebi res ni jasno, o čem pišemo.

Folk je do spoznanj prišel z zbiranjem javno dostopnih informacij in naposled logičnega sklepa ter nikakor s poizkušanjem, tj. nevnaprej dogovorjenim pentestom (pa naj bo to zgolj skeniranje vrat ali poganjanje eksploitov).

BigWhale je 20. mar 2019 ob 09:37 izjavil:

matijadmin je 19. mar 2019 ob 19:17 izjavil:

Če je nekdo (iz javno dostopnih) spletnih virov, npr. headerjev, copyright vsebine komentarjev, skript ... razbral, katera verzija programja (mislim na CMS z raznimi dodatki) poganja določeno spletno stran ter nato zanjo preveril (ne boš verje, kje - kar na spletu), katere ranljivosti so dokumentirane, še ne pomeni, da je vdiral ali to poskušal. Torej ni počel nič nezakonitega in tvoja analogija z vrati banke ali soseda je čisto mimo.

Ce gres pa googlat ali ima WordPress 5.1.1 kak exploit, potem to ni kaznivo, jasno. Ce gres sprobavat na neko spletno stran ali je ranljiva za ta exploit, potem pa to je nezakonito.

Ce sem prav razumel situacijo, so samo v CVE bazah preveriali ali so za predmetne verzije dokumentirani eksploiti!

BigWhale je 20. mar 2019 ob 09:40 izjavil:

Dokler se bo govorilo o igrace-za-otroke-od-tri-do-pet-let.si, ki ga upravlja Janez&Jozica d. o. o. z 0 zaposlenimi in imajo letno pet tisoc evrov prometa, tega ne bo pograbil noben mainstream medij. Dejte razumet to.

Morda. Pa še enkrat: kakšna je škoda, da tega ni smiselno počet?

In pa kaj predlagaš, da se bo stanje dejansko uredilo.

BigWhale je 20. mar 2019 ob 09:28 izjavil:

SeMiNeSanja je 19. mar 2019 ob 17:17 izjavil:

Kakorkoli se mogoče nekomu zdi 'neetično', če nekdo hodi naokoli in sprobava kljuke - če tega nihče od 'ta dobrih' nebi počel - 'ta hudobni' to zagotovo počno. Za marsikateri problem nebi nikoli vedeli, če 'ta dobri' nebi sprobavali kljuk na razne mile viže. Problem je zgolj, da vsak hoče, da bi to počeli pri nekomu drugemu, ne pri njemu.

Svet ni tako preprost kot si to morda predstavljas. 'Sprobavanje kljuk' je, vsaj pri nas, protizakonito. Opravicevanje kljukanja vrat s tem, da delas dobro za uporabnike, je v vecini primerov neumnost. Ce bi slo resnicno za nek altruizem potem bi se tistim krsiteljem ponudilo pomoc in se poskrbelo, da problem odpravijo preden se jih javno linca.

Ampak vseeno (SQL injection je seveda na drugem nivoju, ampak - ) javno dostopne, poindeksirane strani na Googlu niso primerljive s kljukanjem na vrata, vstopanju v stanovanje, odpiranju omar s kartotekami na hodniku zdravstvenega doma...

@Whale - a se lahko strinjava, da ima vsaka medalja (vsaj) dve plati?

Če veš, da so 'bad boys' z veliko gotovostjo že zdavnaj odkrili tvoj fail - kaj ti je potem ljubše:

- da ga 'bad boys' tudi zlorabijo in si potemtakem po GDPR v lepi godlji, ker moraš sam obveščati vse od Poncija do Pilata

ali

- da te 'good boys' še pravočasno opozorijo, da imaš resen problem in ga porihtaj?

Če si na gala prireditvi, prideš z WC-ja....
Vidiš, kako se ti ljudje nekaj nasmihajo...

- ti je ljubše, če ti nekdo pristopi in prišepne 'frajer, daj si šlic zapret!'
ali
- da te še nekdo fotografira in sliko tebe z odprto štalco postavi na instagram, video na youtube, označi za perverzneža,...?

V prvem primeru boš diskretno zaprl zadrgo oz. zapel tiste par gumbov. Kasneje pa se s kolegi smejal tej prigodi.

V drugem primeru pa mislim, da ti bo precej manj do smeha in kasnejšega 'obujanja anekdot'

V bistvu si s skrivanjem izza zakonodaje nihče ne dela prav posebne usluge.
Ja, res je, da je marsikaj prepovedano in kot 'preverjanec' niti slučajno ne veš, ali je trenutno na delu 'good' ali 'bad boy'. Toda koliko jih pa sploh ugotovi, da jih nekdo preverja? Koliko jih je sploh zmožnih ugotoviti, da jih nekdo skenira?

Koliko jih sploh ve, da jih Shodan praktično vsakodnevno 'potipa', rezultate pa si lahko vsakdo ogleda na spletu?
Ali je tudi vpogled v Shodan bazo kaznivo dejanje? Mislim da ne...?

Koliko pa kdo investira v to, da bi otežil raznorazna testiranja od odprtih portov, pa vse do URL vej, ki že same po sebi kličejo po težavah?
Tudi če si kdo nekaj nastavi na požarni pregradi, se to običajno konča z 'drop-om', napadalec pa brez težav gre dalje in testira naslednji port in to križemkražem preko vseh IP naslovov, ki jih imaš.
Koliko jih ima sploh tehnično možnost, da tisti 'connection drop' spremeni v 'začasni ban', da napadalec nima več dostopa niti do servisov, ki so vsem drugim javno dostopni?

Po svoje je kar hecno, da se na požarnih pregradah dodaja blazno fancy inteligentne varnostne storitve, hudo malo pa se naredi na teh najbolj osnovnih zadevah, ki te lahko v veliki meri 'skrijejo' pred raznoraznimi testiranji - ne glede na to, ali se gre za dobre ali grde fante.

BigWhale je 20. mar 2019 ob 09:12 izjavil:

poweroff je 19. mar 2019 ob 16:46 izjavil:

Spletna trgovina je dolžna varovati osebne podatke strank. Edina žrtev tukaj so njihove stranke, ne spletna trgovina.

Sem mar kje trdil, da je trgovina zrtev?

boolsheat je 19. mar 2019 ob 16:49 izjavil:

Enim še vedno ni jasno, da internet je čisto nekaj drugega kot B&M svet?

Enim pa se vedno ni jasno, da so stvari precej analogne (podobne), potem pa privzemajo, da zato ker je neko stvar lazje narediti in je tezje izsledljiva, lahko te stvari kar pocnejo. To je neumnost.

V teoriji so res analogne.

V praksi pa ne. Luknje na internetu bo slej kot prej nekdo izkoristil...

Vsem v interesu mora biti, da se lukjne poišče in zakrpa ASAP!

BigWhale je 20. mar 2019 ob 10:31 izjavil:

Ne, niso enake stvari, so pa primerljive. V vsakem primeru gre za podatke do katerih nisi upravicen do vpogleda. In tudi google ni upravicen do vpogleda.

Kaj se zgodi z mapo na kateri pise gor "TOP SECRET" in jo nekdo pozabi na klopci v parku? Jo lahko pogledas? Smes narest kopijo in dat kopijo tistemu, ki izrazi zeljo, da bi jo imel?

Emmm.. a veš, kako delajo pentesterji (in badboys)?

Najprej na web serverju preverijo datoteko robots.txt, in v njej preberejo, da si Googlu in ostalim naročil, da naj nikar ne indeksirajo url-ja /TOP-SECRET.

Kaj meniš, da je naslednji logični korak? Ja logično - šel bo pogledat, kaj imaš za skrivat v /TOP-SECRET, da se to ne sme indeksirat.

In kaj misliš, se mu zgodi, ko to poskusi naresti pri meni?
Avtomatično pristane na ban listi!

Pri tem mu še dodatno naštimam vabljive URL mape v robots.txt (/private /place /hidden ,...) da ga ja čim prej zvabim, da se sam sebe odstreli.
Podobno se zgodi tudi takim, ki preiskušajo /WP-Admin in podobne povezave - torej probavako kljuko (ob tem, da WP-ja sploh nimam).

Skratka, če oni taktizirajo....moraš še ti malo taktizirati nazaj.
In ne - ne gre se za security through obscurity. Gre se ta to da ga lopneš po prstih, čim jih začne stegovati! (ne pa da potem jokaš, da te je celega prešlatal...)

imagodei je 20. mar 2019 ob 10:17 izjavil:

BigWhale je 20. mar 2019 ob 09:28 izjavil:

SeMiNeSanja je 19. mar 2019 ob 17:17 izjavil:

Kakorkoli se mogoče nekomu zdi 'neetično', če nekdo hodi naokoli in sprobava kljuke - če tega nihče od 'ta dobrih' nebi počel - 'ta hudobni' to zagotovo počno. Za marsikateri problem nebi nikoli vedeli, če 'ta dobri' nebi sprobavali kljuk na razne mile viže. Problem je zgolj, da vsak hoče, da bi to počeli pri nekomu drugemu, ne pri njemu.

Svet ni tako preprost kot si to morda predstavljas. 'Sprobavanje kljuk' je, vsaj pri nas, protizakonito. Opravicevanje kljukanja vrat s tem, da delas dobro za uporabnike, je v vecini primerov neumnost. Ce bi slo resnicno za nek altruizem potem bi se tistim krsiteljem ponudilo pomoc in se poskrbelo, da problem odpravijo preden se jih javno linca.

Ampak vseeno (SQL injection je seveda na drugem nivoju, ampak - ) javno dostopne, poindeksirane strani na Googlu niso primerljive s kljukanjem na vrata, vstopanju v stanovanje, odpiranju omar s kartotekami na hodniku zdravstvenega doma...

Kot tudi ni primerljivo iskanje na sql vrivanje ranljivih streznikov. Tega sploh ni potrebno dejansko poskusiti, da veš.

imagodei je 20. mar 2019 ob 11:03 izjavil:

Ma, te primerjave itak niso primerne. A lahko pogledaš na list, kjer piše TOP SECRET in ga je nekdo izgubil v parku? A če je v zaprti mapi s takim napisom, še lahko pogledaš? A če je napisano z otroško pisavo lahko gledaš, če ima pa gor grb od Republike Slovenije in logotip od SOVE pa ne smeš? A v pozabljeno torbico na klopi v parku lahko pogledaš - da vrneš lastniku? Al je treba zaprto odnest na policijsko postajo?

Lahko sploh še pobereš izgubljeno osebno/vozniško in prebereš, komu pripada, ali je že to prepovedano?

In če rešimo vse te dileme - kaj nam to pove za splet, kjer že 30 let velja, da je javno vse, do česar lahko dostopaš (če imaš seveda link)? IMO (IANAL) bi moralo obveljati tako. Valjda, SQL injection je na drugem nivoju. Tako kot tudi vsako namensko brskanje, takoj ko postane jasno, da gre za nenameren zajeb. Npr., v temi Transparentna Slovenija #5: Spletni trgovini s spolnimi pripomočki razkrili svoje kupce je opisan primer, kjer bi IMO vsakomur s kančkom zdrave pameti moralo postati jasno, da gre za nenameren zajeb. Kot so nekateri že komentirali, zajeb postavljalca spletne strani ali lastnika trgovine tebe ne odveže odgovornosti, da počenjaš stvari, za katere bi moral vedeti, da so prepovedane.

In jasno, če se človek po začetni ugotovitvi, da je našel napačno hranjene dokumente z osebnimi podatki namensko loti pregledovanja kopice dokumentov na spletni strani npr. Izolske bolnišnice, je to brez dvoma narobe. Ne more pa biti narobe to, da po nesreči naletim na tak dokument in da na kratko (pred prijavo ustreznim inštitucijam) preverim, a gre za osamljen dokument ali za napako v zasnovi spletne strani. Right?

Kar ni izrecno prepovedano, ne more biti sankcionirano in pri odškodninah pa se zmeraj presoja na podlagi predpostavke, da je uporabnik povprečno skrben in povprečno vešč. Tako da nehajte bluzit, da bi stara mama morala vedeti, da je admin in ima to lahko posledice zanjo.

@mitjadmin, a si ti sicer prebral, na katerem stališču sem jaz?

SeMiNeSanja je 20. mar 2019 ob 12:08 izjavil:

Še ena reč, ki me rahlo bega....

Verjetno se gre za razliko med ameriško in našo zakonodajo...a vendarle:

ko se z ameriškimi admini pogovarjaš, te zelo hitro opozorijo, da moraš na čisto vsako figo obesiti 'disclaimer', se pravi obvestilo, da sme uporabnik do točke X in nikamor dalje, sicer se ga bo preganjali z FBI in težkim topništvom za najhujša hudodelstva (to obešajo na vse logine routerjev, switchev,....).

Baje, da si brez tega obvestila, presneto bos, ko se z barabo soočiš na sodišču.

Na Cisco tečajih na veliko težijo s temi disclaimerji

BigWhale je 20. mar 2019 ob 09:12 izjavil:

boolsheat je 19. mar 2019 ob 16:49 izjavil:

Enim še vedno ni jasno, da internet je čisto nekaj drugega kot B&M svet?

Enim pa se vedno ni jasno, da so stvari precej analogne (podobne), potem pa privzemajo, da zato ker je neko stvar lazje narediti in je tezje izsledljiva, lahko te stvari kar pocnejo. To je neumnost.

Heh, me spomnilo na zadevo izpred let, o softverskih patentih. Gre nekako takole :

Patent number xyz: exactly the same thing as being done for decades..... (wait for it)..... but on a computer!

matijadmin je 20. mar 2019 ob 09:40 izjavil:

Folk je do spoznanj prišel z zbiranjem javno dostopnih informacij in naposled logičnega sklepa ter nikakor s poizkušanjem, tj. nevnaprej dogovorjenim pentestom (pa naj bo to zgolj skeniranje vrat ali poganjanje eksploitov).

Kateri folk? Ta iz novice je konkretno poizkušal na ciljnem sistemu.

imagodei je 20. mar 2019 ob 11:46 izjavil:

@mitjadmin, a si ti sicer prebral, na katerem stališču sem jaz?

Sem in vem, da opozarjanje, ki mu predhodno ni botrovalo poskušanje, ne obsojaš. Pa vendar ne razumem, zakaj eni še naprej mlatite slamnate može, ko je avtor jasno izpostavil, da tega niso počeli.