Tietoturva ja h4x0r

[MtJ]

Hakkeri-uutisia maailmalta, Hacker News. Ihan mielenkiintoistakin luettavaa ja myös tekniikoita hakkerointien takaa, kuten zombie bottien lähdekoodia ja sen sellaista.

Sivu on hirveä ulkoasultaan, joten siitä miinukset...

[PDC]

Hakkeri-uutisia maailmalta, Hacker News. Ihan mielenkiintoistakin luettavaa ja myös tekniikoita hakkerointien takaa, kuten zombie bottien lähdekoodia ja sen sellaista.

Sivu on hirveä ulkoasultaan, joten siitä miinukset...

Noita oli siisti lukea! Kuin katsoisi hyvää elokuvaa 8-)

[youtube][/youtube]

Off topikki, mutta Gable Guy on yksi kautta-aikojen aliarvostetuimpia leffoja. TÄYDELLINEN kuvaus nykysukupolvesta, joiden maneereista sekä käytöstavoista suurin osa on jonkinlaista populaarikulttuurin, eli lähinnä television tai internetin toistoa.

[MtJ]

Miten toimitaan, jos havaitaan useissa eri yritysten verkkosivuissa huomattavia ongelmia tietoturvassa ja jopa suoria tietokannan salasanoja näkyvissä erilaisilla hakukriteereillä verkosta haettuna?

Pohdin asiaa siltä kannalta, että voinko kertoa yrityksille heidän sivujensa olevan täysin avoimet hyökkäyksille ja spammille ja laittaa suoralinkin tiedostoon, josta löytyy esimerkiksi tietokannan tai verkkosivujen salasanoja? Vai miten näiden kanssa toimitaan?

Tiedän eettisesti ajatellen, että tietoturvaongelmista pitää ilmoittaa välittömästi, mutta syyllistynkö itse johonkin, mikäli julkisesti on saatavana tiedostoja, joissa on salasanoja ja käyttäjätunnuksia ja klikkaan tällaiseen hakemistoon? Tiedostot on löydettävissä Googlen avulla ja niihin pääsee suoraan klikkaamalla linkkiä (halutessaan).

En usko, että kaikki, jotka löytävät em. tiedostot, ovat hyväntahtoisia ja haluavat vinkata yritystä tietoturvaongelmista... Mutta itse haluaisin joko antaa vinkin ongelmasta tai vastaavasti tarjota tietoturvan osalta palveluita.

[PDC]

http://jezebel.com/5970975/anonymous-ou ... -rape-crew" onclick="window.open(this.href);return false;

Anonymous Outs Members of Alleged Steubenville High School ‘Rape Crew’


Thanks to a lengthy New York Times piece, the country knows that superstar high school athletes Trent Mays and Ma'lik Richmond are charged with raping and kidnapping a 16-year-old girl in football-crazed Steubenville, Ohio.

But those two aren't the only kids who helped assault and take photos of the passed-out teenager, according to most accounts — they're just the only ones who were caught. Who were the others? Will they experience any repercussions? Should they?

Enter Anonymous sub-group KnightSec, which has released a preliminary dox outing the identities of other students at Big Red High School who they say dubbed themselves the "rape crew" but are being protected by the teachers and parents in the small town. More people and info will be exposed if those involved don't publicly apologize in the next few days:

A preliminary dox is being released on some of those involved, while a full size dox of everyone involved including names, social security numbers, addresses, relatives, and phone numbers is being compiled as you watch this video on every single member of the football team, those involved, the coaches, the principle, and more. This dox will be released unless all accused parties come forward by new years day and issue a public apology to the girl and her family. Make no mistake, all you need is a google search engine to realize we are serious in what we do. You can hide no longer, you have attracted the attention of the hive. We will not sit idely by and watch a group of young men who turn to rape as a game or sport get the pass because of athletic ability and small town luck. You now have the world looking directly at you.

Regardless of how you feel about Anonymous (personally, I wish they were better at using spellcheck, because their frequent typos don't bolster my confidence that they're careful about pegging the right guys) or internet vigilantism in general, you have to admit it's nice to see a group of lawless internet hackers who really believe that rape is rape.

Kaveri tosta puhui, että missä niillä menee se raja, että ne ei enään tee näitä paljastuksia tällaisista raiskaaja ym. runkkareista, vaan tekee mitä haluaa. Ja sitten kontrolloi ketä haluaa. En tiedä miksi noitten ei mukana olleiden tiedot on pitäny uhata pistää esille? Tajuan pointin, mutta eihän tuo oo muutakuin vallan käyttöä.

MUOKKAUS: http://www.slate.com/blogs/xx_factor/20 ... _more.html

Tuo linkki tuo vähän lisää ideaa siihen miksi nähtävästi noita muittenkin tietoja on uhattu levittää.

MUOKKAUS: [youtube][/youtube]

[PDC]

Voi olla, mitä lueskelin tuolla, että jos ei Anonymous ois tonkinu tota dataa niin tapaus ois vaivihkaa lakaistu maton alle. Tossa linkissä esitetään hyvä pointti mitä pitää miettiä.

As some initial gleeful Twitter responses from students to the alleged rape demonstrate, one reason rape continues is that communities not only don't hold perpetrators responsible, but close ranks to defend or even celebrate them. By stepping in and holding people accountable, Anonymous stands a very good chance of taking action that actually does something to stop rape. But: This type of online vigilante justice is potentially invading the privacy of or defaming innocent Steubenville residents, and even if everything published is true, there are very serious legal limits to the Anonymous strategy. Not all of the leaked allegations are attached to Twitter or YouTube accounts—many of the most serious cover-up claims, which we won't reprint here, are at this point only rumor. The allegations will infuriate you, but they don't rise to the level of real evidence that can be used to truly hold responsible those who participate in sex crimes.

[MtJ]

Jotenkin tuntuu, että Anonymous-ryhmän "kantava idea" on tuoda tieto julki, arvioimatta sitä, mitä siitä seuraa tai mitä merkitystä sillä on. Siis yksi tärkeimmistä ajatuksista "ryhmässä" on julkaista tietoa, jota koitetaan salata. Muuta yhteistä nimittäjää ei oikein ole, eikä voikaan olla, koska ei Anonymous oikeasti ole minkäänlainen ryhmä tms.

Sitten lisää h4x0r kamaa, jokamiehen verkkosivuskanneri;
http://www.mavitunasecurity.com/communityedition/" onclick="window.open(this.href);return false;

Loistava työkalu verkkosivujen arviointiin ja turvallisuuden lisäämiseen. Ilmainenkin vielä. Suosittelen, jos ei halua manuaalisesti arvioida sivujen turvallisuutta verkkohyökkäysten varalta. Verkkosivujen korjauksiin saa apua vaikka minulta, jos korjausehdotukset ovat eksoottisia.

Skannasin oman firman nettisivut tuolla ja tilanne oli juuri niin hyvä, kuin olen yrittänytkin siitä saada. Vain yksi punainen varoitus ja se tuli sellaisen linkin alta, joka käy läpi verkkosivujen sisällön sitemapiksi.

[Mika]

Sitten lisää h4x0r kamaa, jokamiehen verkkosivuskanneri;
http://www.mavitunasecurity.com/communityedition/" onclick="window.open(this.href);return false;

Hmm, kokeiletko mitä tuo osaa kertoa Potkusta?

[MtJ]

Kokeillaanpas. Teen testit tänään illalla. Jos potkulla on wordpress blogeja, sinne ilmestyy noin 15-20kpl "spammiposteja" jonoon, joten älä ihmettele. IP-osoite näille on 178.16.186.xx muotoinen. Nämä ovat skannerin testiposteja ja ne voidaan hävittää sen jälkeen, kun testi on ohitse (itse asiassa ne voidaan poistaa heti, kun skannaus on ne luonut).

edit; Laitoinkin samantien jauhamaan noita.

[anj]

Tiedän eettisesti ajatellen, että tietoturvaongelmista pitää ilmoittaa välittömästi, mutta syyllistynkö itse johonkin, mikäli julkisesti on saatavana tiedostoja, joissa on salasanoja ja käyttäjätunnuksia ja klikkaan tällaiseen hakemistoon? Tiedostot on löydettävissä Googlen avulla ja niihin pääsee suoraan klikkaamalla linkkiä (halutessaan).

En usko, että kaikki, jotka löytävät em. tiedostot, ovat hyväntahtoisia ja haluavat vinkata yritystä tietoturvaongelmista... Mutta itse haluaisin joko antaa vinkin ongelmasta tai vastaavasti tarjota tietoturvan osalta palveluita.

Olen varma, että olen lukenut tästä postauksen jossain. F-Securen Weblog on yksi mahdollisuus, mutta en kyllä nyt onnistunut löytämään.

Lienee vähän arpapeliä, varsinkin jos kyseessä on pienempi yritys. Valitettavan usein niillä ei taida edes olla halua korjata asiaa. Pahimmassa tapauksessa joudut itse syytetyksi, mutu sanoisi että jo Googlen kautta noiden avaaminen voidaan lukea tietomurroksi. Varsinkin amatöörien (tuomioistuin) silmissä, jossa jo välimuistiin tahattomasti tallentuneesta lapsipornosta voidaan antaa tuomio.

Isommat, tietotekniikkaan orientoituneet puljut (esim. FB ja MS) käsittääkseni suhtautuvat white hatteihin varsin suopeasti.

Mihin ratkaisuun päädyit?

[MtJ]

Lueskelin tarkemmin asiasta ja tästä yksi tulkinta oli, ettei googlen hakukentistä löytyneistä hakutuloksista voi syyttää käyttäjää. Kokeilin lähettää viestiä parille yritykselle heidän tietoturvaongelmistaan ja he kyllä korjasivat nämä. Tosin laajempi määrä yhteydenottoja on turhaa, koska en saa siitä rahaa... En kuitenkaan klikannut perille linkkiin asti, joka näytti tietoturvareikää, koska koin, että klikkaus linkin taakse olisi etenemistä haavoittuvuutta hyväksikäyttäen.

Joka tapauksessa vaikuttaisi siltä, että suomalaisilla yrityksillä on kovasti korjattavaa asian suhteen, sillä jo tällainen yksinkertainen google-testi paljastaa useita haavoittuvuuksia yritysten verkkosivuilta ja jopa intrasta.

[anj]

Jep. Ei sinällään yllätä. Yritysvakoiluun ei taideta enää tarvita aina edes ihmisiä.

Kuinkakohan pitkälle yhteiskunnan toimintoja saisi lamautettua esim. itänaapurista missä tahansa konfliktitilanteessa? Nythän asiaan on taidettu alkaa edes kiinnittää jotain huomiota.

Jenkeissä tilanne ja riski ovat kai vielä suuremmat. Veikkaan, että Stuxnet & co kostautuvat heille ennen pitkää.

[MtJ]

Melko yksinkertaisilla, massiivisilla DDOS-hyökkäyksillä, jotka jatkuvat päiväkausia, saisi kyllä rahaliikenteen ja sellaiset lamaantumaan pitkiksi ajoiksi. Samoin moni muu sähköinen palvelu olisi suhteellisen helppo kyykätä, jos oikein toimeen ryhtyisi. Lisäksi haavoittuvuudet mahdollistavat mitä erinäisimpien isojenkin yritysten alasajon nopeasti.

En nyt anna esimerkkejä, mutta puhutaan firmoista, joissa on kymmenien miljoonien eurojen liikevaihto ja tietoturva täysin retuperällä, mikä yllätti kyllä itseni kovin.

[Mika]

Tämä olisi ihan hyvä uutinen.

– Kyberturvallisuudella on kaikki mahdollisuudet olla uusi Nokia Suomelle, sekä liiketaloudellisesti että poliittisesti. Ja miksei myös sotilaallisesti, kun mietitään sitä, että millaista suorituskykyä asevoimat tarvitsevat jo ihan lähitulevaisuuden taistelukentillä, ennustaa Stonesoftin kyberturvallisuusjohtaja Jarno Limnéll.

Uhan kautta kasvavan toimialan uskotaan synnyttävän vähintään tuhansia kotimaisia työpaikkoja jo seuraavan viiden vuoden aikana.

– Tätä osaamista tällä hetkellä maailmalla huudetaan ja sitä Suomessa on tarjolla, Limnéll hehkuttaa.

[MtJ]

Tietoturvaongelmien hausta googlen avulla blogiteksti. Pitäisi selvittää tarkemmin, miten asiaa voisi käyttää markkinointiin, sillä nämä ongelmat ovat erittäin usein korjattavissa melko nopeasti, jopa 1-2 tunnin konsultaatiolla, kuntoon.

[MtJ]

Malware Must Die!

Asiaa erilaisista haittaohjelmista ja niiden tunnistuksesta. Teksti kuvaa Wordpress-haavoittuvuutta ja sen hyväksikäyttöä mobiililaitteissa. Huom! Varoitus teknisestä lähestymistavasta.

Samasta blogista projekti "Tango Down", miten tipautetaan saastuneet domainit verkosta. Ja samasta tekstistä lopuksi maininta:

Previously we announced 140+ domains are suspended, but it looks like the list will be added by another NEW 120 domains shortly.