Tietoturva ja h4x0r

[Uchujin]

LastPassilla on ollut aika usein ongelmia selainlaajennuksen kanssa, joten sen kanssa voi harjoittaa pientä varovaisuutta

[jsv]

Joo, tietoinen riski helppokäyttöisyyden takia . Ja osittain siksi, ei työsalasanoja tuonne, tai GMailin mastersalasanaa.

[Uchujin]

Joo, tietoinen riski helppokäyttöisyyden takia . Ja osittain siksi, ei työsalasanoja tuonne, tai GMailin mastersalasanaa.

Juuri näin Suosittelen henkilökohtaisempaan tarkoitukseen seuraavaa: https://protonmail.com/

[Mika]

Eilen kuului aikamoinen uutinen Intelin prosessoreiden tietoturvasta, ja pian uutinen tarkentui koskemaan kutakuinkin kaikkia vuoden 1995 jälkeen julkaistuja prosessoreita. Se koskee lähes jokaista tätä lukevaa.

Huge Flaws Affect Nearly Every Modern Device; Patch Could Hit CPU Performance

[Mika]

jsv löysi tätä koskevan Twitter-viestin:



Yhdessä toisessa Twitter-viestissä neuvotaan, miten Spectreltä voi yrittää suojautua:

[Mika]

Sylttytehtaalle ne jäljet taas johtavat.

Tietoverkkoyhtiö Cisco Systems ja virustorjuntaan erikoistunut Symantec varoittivat eilen keskiviikkona hakkereiden saaneen haltuunsa mahdollisesti puoli miljoonaa reitintä, joiden avulla valmisteltiin jonkinlaista sabotaasioperaatiota.

Yhdysvaltain oikeusministeriö uskoo, että kyberiskua suunnitteli Venäjän hallitukseen kytköksissä oleva kyberrikollisten organisaatio, joka tunnetaan monella eri nimellä, kuten APT28, Pawn Storm, Sandworm, Fancy Bear tai Sofacy Group.

https://yle.fi/uutiset/3-10220798?origin=rss

Tuossa vähän kuumottaa se, että vaikka tuo nyt paljastui, tilanne on vaiheessa.

[MtJ]

Kieltämättä looginen valinta kohdistaa isku heikon tietoturvan verkkolaitteisiin. Mennään siitä mistä helpoiten läpi pääsee.

Tässä kolkutellaan samalla uutta aluetta, jossa on paljon potentiaalia levittää mitä erilaisempia haitakkeita. Kuluttajatason verkkolaitteista löytyy hienoja puutteita (ei kaikista).

[Mika]

Yle on tuottanut todella mielenkiintoisen ja hauskasti tehdyn lyhyen sarjan hakkeroinnista. Siinä kolme valkohattuhakkeria parin kaverinsa kanssa hakkeroi kaikenlaista, esimerkiksi Häijään Nesteen ison sähköisen ilmoitustaulun, jonne ilmestyi Hasselhoffin naama.

Suosittelen katsomaan, koska aihe eli tietoturva koskee meitä kaikkia. Oli hupaisaa katsoa, kun hakkerit keskustelivat yhden perheenisän kanssa niin, että kommunikaatiokanavana toimi perheen älyläitteet.

https://areena.yle.fi/1-4664681

https://fi.wikipedia.org/wiki/Team_Whack

[DeusVult]

Mua jotenkin aina hämmentää toi koko skene. Olen itse nyt gradua vaille tietojenkäsittelytieteen maisteri, mutta en silti ymmärrä mistään hakkeroinnista juuri mitään. Sitten tollaset jotkut 20v tyypit koodaa käden käänteessä jotain haittaohjelmia, joilla ottavat haltuun servereitä jne. Ovatko nämä jotain erityislahjakkaita ihmisiä, vai olenko minä vain väärällä alalla?

[Atticora]

Heh, itsekin ihmetellyt noita heppuja. Aina sieltä 80-luvulta(?), kun Kevin Mitnick aikoinaan voitteli jonkun radioaseman kilpailussa Porschea sun muuta. Muistaakseni hän pelkästään lankapuhelinta sopivasti näppäilemällä sai teleoperaattorin systeemit niin solmuun, että kukaan muu ei päässyt läpi.

Oman hakkeriuran huippu oli reilu 30 vuotta sitten. Kun meillä ei ollut varaa omaan kotitietokoneeseen, lueskelin mikrobitti-lehdestä ajan kuluksi eri tietokoneiden basic-ohjelmien listauksia ja sitten tuli jossain marketissa kokeiltua esittelykoneilla. Kerran menin kodinkoneliikkeeseen ja valitsin konerivistä rivistä jonkun käynnissä olevan koneen, taisi olla Spectravideo merkiltään. Televisioista ääni täysille, sen jälkeen näpyttelin nopeasti lyhyen basic-ohjelman, joka vaihtoi ruudun väriksi mustan (niin televisio näytti suljetulta) ja parin minuutin viiveen jälkeen alkoi soittamaan satunnaista kakofoniaa. Siirryin liikkeen ulkopuolelle hykertelemään, kun kaikki myyjät kokoontuivat telkkari- ja konerivistön eteen koittaen paikallistaa saatanallisen älämölön lähdettä. Idean olisi voinut jalostaa kunnon kupruksi, mutta en sentään.

Perushaxoreiden osalta luulen, että toimintatapa on sellainen, että toisaalta hyödynnetään valmiita tietoturva-aukkoja, työkaluja saa valmiina ja voi koodata itse. Esim. WPA2 murrettiin pari vuotta, niin maailmalla on varmaan aika paljon haavoittuvaisia wlan-verkkoja edelleen. Ei vaatine ihmeellisiä kykyjä kaapata sitten kaikki liikenne.
Toisaalta olen nähnyt kuinka erittäin merkittävän ja tunnetun suuren kiinteistön huoltomies otti yhteyden kiinteistön hallintajärjestelmään internetin yli, käyttäen VNC-etätyöpöytäohjelmaa. Voi lyödä vetoa, ettei toteutuksessa otettu tietoturvaa mitenkään huomioon, vaan käytössä oli se vuonna miekka ja kirves käyttöön otettu, mahdollisimman epäturvallinen versio.

Tähän lisätään sosiaalinen hakkerointi, niin ei tuloksiin vaadita kuin riittävästi aiheeseen perehtymistä.

[Jarppa]

Mua jotenkin aina hämmentää toi koko skene. Olen itse nyt gradua vaille tietojenkäsittelytieteen maisteri, mutta en silti ymmärrä mistään hakkeroinnista juuri mitään. Sitten tollaset jotkut 20v tyypit koodaa käden käänteessä jotain haittaohjelmia, joilla ottavat haltuun servereitä jne. Ovatko nämä jotain erityislahjakkaita ihmisiä, vai olenko minä vain väärällä alalla?

Varmaan haittaohjelmien lähdekoodeja on netti pullollaan (ja tietysti monella hakkerilla on hallussa kohtalainen valikoima ohjelmakoodia millä tehdä erilaisia tunkeutumisia) ja kohtalaisella koodausosaamisella pääsee nopeasti pitkällekin. Päälle löytynee ihan haittaohjelmia joita käyttää esimerkiksi omien scriptien avulla. Asiasta sen tarkemmin tietämättä siis.

Ohjelmassahan ei näytetä miten pitkään tuohon hakkerointiin meni aikaa ja mitä kaikkea kaivettiin, mutta varmasti perussettiin kuuluu USB:sta käynnistyvä softa mikä tutkii koneen sisällön ja mahdollistaa esim. etähallinnan. Sosiaalinen hakkerointi sitten taas oma lukunsa, mutta kyllähän ihmisiä edelleen kertoo salasanojaan ihan puhelimitse, ja ihan lehdistössähän oli parin vuoden sisällä juttu, missä pörssiyhtiöiden tiloihin käveltiin haalarissa sisään ja kukaan ei kysellyt mitään.

Itse tiedän varkauden tapahtuneen niin, että heppu käveli haalarit päällä yritykseen, odotteli vessassa toimiston tyhjentymistä ja käveli ulos muutama läppäri mukanaan.

[TimoS]

Ei ne jenkit ihan tyhjästä ole tainneet temmata syytöksiä Huaweita kohtaan

https://breakingdefense.com/2019/07/hun ... back-doors

[Mika]

Tuo oli hyvää luettavaa, kiitos.

Tämä kohta jätti minut sanattomaksi.

Dahua at first ignored ReFirm’s inquiries, then claimed the vulnerability was a simple error that had been fixed in the latest update. But when ReFirm looked through the updated firmware, they still found the same backdoor — just relocated in a different place in the code. (Huawei had done the same thing).

[TimoS]

https://www.forbes.com/sites/zakdoffman ... posed/amp/

KGBFSB:n tietojärjestelmät häkätty

A week ago, on July 13, hackers under the name 0v1ru$ reportedly breached SyTech, a major FSB contractor working on a range of live and exploratory internet projects. With the data stolen, 0v1ru$ left a smiling Yoba Face on SyTech’s homepage alongside pictures purporting to showcase the breach. 0v1ru$ then passed the data itself to the larger hacking group Digital Revolution, which shared the files with various media outlets and the headlines with Twitter—taunting FSB that the agency should maybe rename one of its breached activities “Project Collander.”

[Mika]

Olen sitä mieltä, että nykyään ihan tavallisilla ihmisillä on ihan liikaa kaikenlaisia tietoturvahimmeleitä. Niistä alkaa olla enemmän haittaa kuin hyötyä, ja koska tavalliset ihmiset eivät osaa eivätkä työverkossa edes saa säätää koneensa tai verkkonsa turva-asetuksia, ovat ne jo vähän kapuloita rattaissa. Tilanne on vähän sama kuin pakottaisi lapselle kypärän päähän aina kodin ulkopuolella.

Mikään määrä tietuturvaa ei estä sitä tavallista ihmistä klikkaamasta viruslinkkiä.

Ylivarovaisuus ja pelkääminen ovat olleet arkipäivää elämän monilla osa-alueilla jo vuosia. Selkä suoraksi, muna käteen ja vähän reippaampi ote asioihin on se mitä moni nyt tarvitsisi.