Vdor v informacijski sistem državne uprave

S strani katere države je prišel vdor?

dronyx je včeraj ob 14:59:27 izjavil:

Če ti sistem račun zaklene po par neuspešnih poskusih z ugibanjem prav daleč ne bodo prišli, razen če ni geslo res banalno tipa 1234 ali jesen2026. V takem primeri ti bodo po moje bolj verjetno geslo na nek način ukradli ali jim ga boš sam izdal prek kakšne fake strani. Če pa sistem omogoča ugibanje brez omejitev, potem pa danes verjetno najprej poskušajo s seznamom že kompromitiranih gesel, potem pa naprej...Tu pa potem verjetno pride na vrsto statistična verjetnost, število možnih kombinacij, število poskusov na sekundo...

Lotus Notes je tehnologija iz 90 let in že takrat je imel vgrajen očitno nek slovar, saj ni pustil da bi bilo geslo samo neka beseda iz slovarja. Tudi ko vnašaš napačna gesla se avtomatično podaljšuje čas, ko lahko poskusiš z novim geslom. Po parih napačnih lahko čakaš več minut za naslednji poskus.

Ne vem kako je na arhaičnem Domino urejeno, včasih so razni *NIX in tudi Linux imeli le passwd datoteko s hashi, ki jo je videl vsak lokalni uporabnik, shadow bolj kot ne izjema. In si si jo lepo presnel, spustil v John the Ripper z znanim wordslist pogostih gesel in permutacijami in v roku nekaj sekund si imel ponavadi že par gesel. Tudi NT je, če se prav spomnim, en čas imel nek bug, kjer si lahko prišel do hashev. Če prideš do tega, te noben lock-out in back-off ne ustavi.

NIST je eden najbolj relevantih organov (zagotovo pa je glavna referenca za USA), njihova zadnja priporočila so jasna:
https://pages.nist.gov/800-63-4/sp800-6...

še povzetek v slovenčini, en kup strani zahteva ali deluje ravno obratno kot je svetovano (to sem jaz poboldal spodaj)

Priporočila Nacionalnega inštituta za standarde in tehnologijo (NIST SP 800-63B Rev. 4) se osredotočajo na dolžino, preprečevanje zlorab in uporabniku prijazno varnost:
o Dolžina in gesla (fraze): Najmanjša dovoljena dolžina gesla je 8 znakov (priporočljivo vsaj 15 znakov pri enofaktorski avtentikaciji), največja pa mora podpirati vsaj 64 znakov. Dovoljeni so vsi tiskalni znaki, presledki in Unicode, spodbujajo pa se dolge, zapomljive fraze (gesla).
o Odstranitev zapletenosti (kompleksnosti): NIST ne zahteva več obveznega mešanja velikih/malih črk, številk in posebnih znakov, saj to uporabnike sili v predvidljive vzorce (npr. Geslo123!).
o Konec obveznega menjavanja gesel: Redno mesečno ali četrtletno menjavanje gesel (npr. vsakih 90 dni) ni več priporočljivo in je celo odsvetovano, ker vodi v šibkejša gesla. Geslo se zamenja le, če obstaja sum ali dokaz o zlorabi.
o Preverjanje podatkovnih baz (Blocklist): Sistemi morajo gesla sproti preverjati proti zbirkam že ukradenih ali ogroženih gesel (breach corpora).
o Ukinitev varnostnih vprašanj: Znana varnostna vprašanja (npr. ime prvega hišnega ljubljenčka) so ukinjena zaradi dovzetnosti za družbeni inženiring.
o Omogočanje kopiranja in lepljenja: Spletne strani in aplikacije morajo omogočati lepljenje (paste) gesel, da uporabniki lahko uporabljajo upravitelje gesel.
o Večfaktorska avtentikacija (MFA): Priporočena je uporaba sodobnih, na phishing odpornih metod (varnostni ključi FIDO2/WebAuthn, aplikacije za generiranje žetonov), medtem ko enkratna gesla prek SMS-sporočil (SMS OTP) niso več skladna z višjimi varnostnimi nivoji (AAL2+).

johanblond je včeraj ob 15:38:09 izjavil:

NIST je eden najbolj relevantih organov (zagotovo pa je glavna referenca za USA), njihova zadnja priporočila so jasna:
https://pages.nist.gov/800-63-4/sp800-6...

še povzetek v slovenčini, en kup strani zahteva ali deluje ravno obratno kot je svetovano (to sem jaz poboldal spodaj)

Priporočila Nacionalnega inštituta za standarde in tehnologijo (NIST SP 800-63B Rev. 4) se osredotočajo na dolžino, preprečevanje zlorab in uporabniku prijazno varnost:
o Dolžina in gesla (fraze): Najmanjša dovoljena dolžina gesla je 8 znakov (priporočljivo vsaj 15 znakov pri enofaktorski avtentikaciji), največja pa mora podpirati vsaj 64 znakov. Dovoljeni so vsi tiskalni znaki, presledki in Unicode, spodbujajo pa se dolge, zapomljive fraze (gesla).
o Odstranitev zapletenosti (kompleksnosti): NIST ne zahteva več obveznega mešanja velikih/malih črk, številk in posebnih znakov, saj to uporabnike sili v predvidljive vzorce (npr. Geslo123!).
o Konec obveznega menjavanja gesel: Redno mesečno ali četrtletno menjavanje gesel (npr. vsakih 90 dni) ni več priporočljivo in je celo odsvetovano, ker vodi v šibkejša gesla. Geslo se zamenja le, če obstaja sum ali dokaz o zlorabi.
o Preverjanje podatkovnih baz (Blocklist): Sistemi morajo gesla sproti preverjati proti zbirkam že ukradenih ali ogroženih gesel (breach corpora).
o Ukinitev varnostnih vprašanj: Znana varnostna vprašanja (npr. ime prvega hišnega ljubljenčka) so ukinjena zaradi dovzetnosti za družbeni inženiring.
o Omogočanje kopiranja in lepljenja: Spletne strani in aplikacije morajo omogočati lepljenje (paste) gesel, da uporabniki lahko uporabljajo upravitelje gesel.
o Večfaktorska avtentikacija (MFA): Priporočena je uporaba sodobnih, na phishing odpornih metod (varnostni ključi FIDO2/WebAuthn, aplikacije za generiranje žetonov), medtem ko enkratna gesla prek SMS-sporočil (SMS OTP) niso več skladna z višjimi varnostnimi nivoji (AAL2+).

Točno tole, ampak IT-jevci na naših firmah to še vedno vztrajno ignorirajo in zahtevajo nemogoče kompleksnosti in menjave na X mesecev, kar je totalna bedastoča. Sam to rešim tako, da zgeneriram močan passphrase iz ~5-6 besed, začnem prvo besedo z veliko, na koncu pa dodam števec, ki ga povečujem za 1 pri vsaki menjavi, na koncu pa pika. Tako je zadoščeno zahtevam (vsi znaki, dolžina), hkrati pa si enostavno zapomnim. Torej primer:
"Correct horse battery staple01." Če pol leta bo "Correct horse battery staple02."

starfotr je včeraj ob 15:56:39 izjavil:

Če imaš password manager je lahko geslo povsem naključno in dolgo po želji, z vsemi zahtevnimi znaki. Priporočila NIST brcajo v temo pri določenih točkah.

Gre za vpis npr. v služben PC! Takrat ti PM ne koristi, ker ne moreš lepit gesla v login! IT bi to lahko rešil tako, da bi vsakemu uslužbencu pomagal zgenerirati random passphrase recimo iz 5-6 SLO besed, samo male črke, vmes presledki - in ne bi več zahteval menjave razen ob izrednih dogodkih. Tako bi vsi imeli močno geslo, ki bi si ga zapomnili po 3 vnosih.
Trenutno pa se dopusti bedastoče tipa "M4rt1nKrp4n79?", kar bo vsak sposoben heker shekal v sekundah. Ustreza pa vsem zahtevanim pogojem...

c3p0 je včeraj ob 15:27:26 izjavil:

Ne vem kako je na arhaičnem Domino urejeno...

V 90 letih sem delal v neki večji in finančno uspešni firmi (ni bila sicer finančno uspešna zaradi mene). V tistem času so ravno uvajali Lotus Notes. Admin, ko je kreiral userje, je očitno označil, da se datoteka, ki jo klient uporablja za dostop (notri so podatki, kdo si ti, šifrirano geslo, certifikat...) shrani kar v imeniku, ki je dostopen vsem. In geslo v tej datoteki so imeli vsi enako oz. se je vedelo, kako je bilo tvorjeno. To je v praksi omogočilo, da se je katerikoli zaposleni prijavil v Lotus Notes kot katerikoli drug, samo to datoteko je prenesel iz imenika. Kako so ta zaplet rešili sem pa pozabil.

V tem primeru sedaj, če imajo res hash gesel, bodo gesla, ki so enostavna, lahko hitro ugotovili. Z bolj kompleksnimi gesli pa bodo imeli več dela.

energetik je včeraj ob 15:52:02 izjavil:

Točno tole, ampak IT-jevci na naših firmah to še vedno vztrajno ignorirajo in zahtevajo nemogoče kompleksnosti in menjave na X mesecev, kar je totalna bedastoča. Sam to rešim tako, da zgeneriram močan passphrase iz ~5-6 besed, začnem prvo besedo z veliko, na koncu pa dodam števec, ki ga povečujem za 1 pri vsaki menjavi, na koncu pa pika. Tako je zadoščeno zahtevam (vsi znaki, dolžina), hkrati pa si enostavno zapomnim. Torej primer:
"Correct horse battery staple01." Če pol leta bo "Correct horse battery staple02."

Password does not meet history requirement bla bla...

Veliko lahko izboljšaš z firewall-om in zapreš tuj promet.

mtošev je včeraj ob 18:25:02 izjavil:

bm1973 je včeraj ob 18:09:50 izjavil:

Samo 1x doživel, da je moral biti password različen tam za 4 znake in zgodovina za 8 passwordov nazaj...

S kakšnimi šalabajzerji pa ponavadi sodeluješ? Ban liste, history ter fuzzy matching so v uporabi že skoraj deset let...

Kako sistem iz zgoščenega starega gesla sploh lahko ugotovi, v koliko znakih se razlikuje novo geslo? Ajde, če moraš v isti dialog vpisati staro in novo geslo, preprosto ugotovi. Kako pa je potem pri menjavi pozabljenega gesla?

BBB je včeraj ob 18:56:40 izjavil:

Kako sistem iz zgoščenega starega gesla sploh lahko ugotovi, v koliko znakih se razlikuje novo geslo? Ajde, če moraš v isti dialog vpisati staro in novo geslo, preprosto ugotovi. Kako pa je potem pri menjavi pozabljenega gesla?

Zato ker ne shranjuje samo hashanega gesla, temveč tudi drugo heuristiko povezano z njim, lahko tudi string sam v kriptirani obliki. Potem pa Levenshtein distance @ Wikipedia

HotBurek je včeraj ob 18:11:09 izjavil:

Veliko lahko izboljšaš z firewall-om in zapreš tuj promet.

Ja saj ta strežnik je bil za HKOM-om in kot smo se naučili iz primera Binanc, je to v bistvu vseeno, ker imajo kljub temu zunanji izvajalci lahko dostop zaradi vzdrževanja itd.

to so ukradli hashe gesel iz

a)
Notes/Domino ID file (.id) password: The password isn't simply stored as a standalone hash. Notes derives a key from the password to encrypt data in the ID file. The scheme varies by version; older IDs used 64-bit protection, while newer versions can use 128-bit RC2 or AES, including 256-bit AES.
https://help.hcl-software.com/domino/9....

b)
Domino Internet/HTTP password (HTTPPassword in names.nsf): These are separate password digests, with formats commonly described as V1, V2, and V3; newer formats use salting and iteration.
https://www.ytria.com/blog/deep-dive-do...


?