cogito, ergo incognito

kiállítás és hakni?

2017. augusztus 09. - gordiuszblog

- Ne szólj szám, nem fáj fejem.
Mrs. Lipton

Minden adatbázis ellopható.
Weboldal, számítógép feltörhető, ember zsarolható, megvehető, átverhető. A szerencsések eljátszhatják, hogy feltörték őket így pénz is, társadalmi státus is, káposzta, kecske..
Amikor 138 ezres aláírásgyűjtés indul valami szent őrültség nevében, ellenében, akkor az ott megadott személyes adataink, nem meglepő módon azonosítanak minket. Az, hogy hol és miért adtuk meg ezeket, majd hitelesítettük aláírásunkkal, az egy határozott vélemény valami mellett' vagy ellenében.
Amikor elvadul a helyzet, leegyszerűsödik a világ és csak az marad a kérdés, hogy velünk vagy ellenünk - egy listán szereplő határozott vélemény egyértelműen determinálhatja akár a szakmai jövőnket is. Például ezért nem csapkodja térdét a kibervédelem együtt az utazóközönséggel. Mert nincs ingyen ebéd. Csak néhány cella vagyunk egy táblázatban, ami könnyebben kereshető, mint petabytenyi videófolyam.

Amikor egy észszerű és szükségszerű digitális kezdeményezés indul útjára, annak örülhetnénk. Ha észtek lennénk. De nem vagyunk észtek.

Ha ez a digitális kezdeményezés, nomen est'.. digitális, akkor könnyebben hekkelhető ember vagy gép terhére, mint egy aláírásgyűjtés. De előfordulhat, hogy az adatbázison már most opciós vásárlási jog van. Melyik szoftvercég ne örülne az ingyenpénz korában egy kockázatitőke-injekciónak?
Kilencezer határozott vélemény..
Kiszámíthatatlan erőterekben sodródunk. Akad rá példa, hogy valaki 17 évvel ezelőtt még szerette az NKOTB-t, de ma már pont kevéssé sem. Előfordulhat, a kezdeti lelkesedésnél is lehettünk volna óvatosabbak.

Tovább

Privacy Trumped!


Mint az korábban egy csatakiáltás stílusában kiderülhetett, az amerikai szenátus teret engedett, majd a képviselőház is megszavazta, hogy a tengerentúli internetszolgáltatók - AT&T, Comcast.., melyek magyarországi megfelelője a digi/fibernet/invitel/telekom/telenor/upc/vidanet/vodafone - előzetes beleegyezés nélkül eladhassák az ügyfeleik helyadatait, internetböngészési szokásait - például reklámcégeknek, biztosítóknak.

Szűcs Péter szintén a Washington Postra támaszkodva korrekt távolságtartással, érzelemmentes szakmaisággal vezette le a folyamatot az ITcafé forráskódján:
- Olcsóbb lenne az internet, ha eladhatók a webes előzmények
- A szenátus kiáll a böngészési adatok szabad kereskedelme mellett
- Nincs akadálya az internetes előzmények értékesítésének

..és a mai napon, mindez alternatív valósággá vált:

trumped-gordiusz.png

Az új amerikai szabályozás távolinak tűnhet Magyarországról nézve, de az Internet határtalan - az üzleti döntés itthon is gondot okozhat. Arról van szó, hogy eladás és anonimizált eladás között a problémás összefüggés nem az eladás, hanem már maga az adatok gyűjtögetése, készletezése és annak a lehetőségnek a megteremtése, hogy valaki felhasználhassa mindezeket.
Gondoljunk bele, hogy, ha a munkahelyen egy célcsoportba sorol minket az algoritmus és két gépen ugyan az az „anonimizált” hirdetés jelenik meg, ez milyen összefüggéseknek lehet táptalaja.
Ha az internetszolgáltató gyűjt össze rólunk mindent, akkor nincs választási lehetőségünk, például kijelentkezni vagy törölni egy fiókot.
Az elhárítási-jelentőségű információk pénzre váltásának esélye, Pandóra szelencéjének piszkálásával lehet egyenértékű - a Snowden utáni II. adatvédelmi apokalipszishez vezethet.

Lássuk milyen álhírekkel lehetne érzékeltetni a problémakört:

- A Vízművek látni akarja a testedet, amit a tőle megvásárolt vízzel mosol. Ízléses vízálló kameráikon keresztül lehetőség van előfizetni online stream-re.

- A Csatornázási Művek elemzi végtermékedet és elérhetőségeiddel együtt eladja egészségügyi profilodat a gyógyszergyártó cégeknek, hogy az általuk szponzorált háziorvosod a megfelelő készítményeket írhassa fel.

Tovább

eladás vs. ellopás

Manapság szerencsés lehet az, akinek az adatait egy ismeretlen 22 éves, 167 cm magas, 39-es lábú hekker lopja el. Mert legalább dolgozott vele.

A legújabb vad ötlet a tengerentúlon az, hogy a szenátus csütörtökön minden akadályt arrébb gurított az internetszolgáltatók elől, hogy értékesíthessék ügyfeleik adatforgalmát. Bizonyosan itthon is begyűrűzik, mint fejlesztés - hamarosan szóba kerül valamelyik meetingen, amit valami miatt konferenciának hívnak majd és rózsaszínű ing plusz paripafrizura a belépő.

Az internetszolgáltatótól kapjuk ügye a lehetőséget a kapcsolatra. Ő a gyökér.
A fa törzse mondjuk az operációs rendszer, amit használunk az eszközünkön.
A honlapok a lombkorona, a szolgáltatások pedig a gyümölcsök ezen a képzeletbeli, internetet szimbolizáló fán.

profil.png

A fa ágain pedig ott ücsörögnek és kurkásznak a felhasználók. Inkább visszamásztunk, jobb ott. Ezeknek a csimpánzoknak már a lábuk elé teszik a közlekedési lámpát, mert nem néznek fel a telefonjukból. Hamarosan valamelyik színes nyakkendős zseni ráérez arra, hogy a reklámoknak is a zebrán a helyük meg az utcaköveken. Kijelző lesz a pocsolyában és a gorillamarketing keretében szemétként szabadjára eresztett csipszes zacskók a lábaink előtt - melyeknek a szél lesz a hordozómédiuma.

virtuális Pokemon manökenek mutatják be a legújabb trendeket a járdaszegély bíbor kifutóján billegve

A többségében érdektelen felhasználókból nehezen jön össze a változáshoz szükséges kritikus tömeg.

Tovább

"Time to say adios to you, Dropbox!"

dropbox-end.png

A Dropbox nevű felhőszolgáltató előzetes értesítés nélkül felfüggesztette az ingyenes fiókok közvetlen, un. direkt link elérését a html-be ágyazott honlapoknál.
Ez azt jelent, hogy, ha eddig egy alkalmi honlap, gazdaságos webáruház felületén a linkek publikus Dropbox tárhelyre mutattak, akkor valószínűleg költözni kell.
Fenti ügyfélbarát gesztus megtétele valami miatt pont március 15-ére esett.
Direkt linkelésre alkalmas tárhely hirtelenjében nincs túl sok a piacon, képfájlok esetén a postimage.io, illetve az Imgur volt ilyen.
El lehet menni, akinek mindez nem tetszik:

berkopal1938.jpg

Tovább

osint

adatvadász kézikönyv információcserkészeknek

sosincs mikroszint makroszint
csintalan sintér kacsint
forint sodorint krinolint
alkalmasint osint

  • Elveszett a kutyád. Kétségbeesel. Plakátolsz, posztolsz, hirdetést adsz fel: telefonszámok, lakóhely, hobbi, @-cím, lakókörülmények, igénybe vett internetes szolgáltatások, jutalom összege..
  • Komoly szakember vagy, előadásokat tartasz, ezeket néha felrakják a netre. Az előadás végén ott a „Köszönöm a figyelmüket, kérdéseiket..”

az adatok évekig kereshetőek maradnak

Míg korábban az un. OSINT tevékenység keretében kitartó emberek a fél életüket rááldozhatták arra, hogy például easter egg-et találjanak a Bibliában, napjainkban már lényegesen könnyebb dolgunk van. Nem kell külön tv-néző ember, újságolvasó ember, könyvtárba járó ember. Egy személy is elég, aki akár a wc-n ülve is kiterjedt kutatást végezhet a digitalizált tartalmakban.
Nyílt adatforrás elemzés, nyílt forrásos kutatás, nyíltforrású hírszerzés - az OSINT leginkább egy félrefordítás, mint az URL. Talán a „public” szónak van létjogosultsága a területen. Barátkozzunk a gondolattal, hogy az interneten minden nyilvános.

monalisa-szetcsuszva-6oo.png

Arról van szó, hogy a szegény ember azzal főz, amije van; vízzel, információból pediglen tengernyi érhető el a publikus weben, csak össze kell őket gereblyézni:

- céghálózatok, tulajdonosi szerkezetek feltárása
- ki árul feltűnően olcsón telekjárót
- ki lopta el a posztomat, szerzői jogi problémák orvosolása
- ki hívogat, lássuk ki lesz a következő a CallBlocker feketelistáján
- ki lehet a felelős egy megkérdőjelezhető webes tartalomért
- kit takar egy alákérdező vagy troll nick-, álnév a weben
- milyen csatornákon érhetünk el valakit
- segítendő a hatóság munkáját, hová küldjük őket
- van-e kapcsolat két személy között
- ..

Az OSINT, az egy darab információból kiinduló profilalkotásnak az a módja, amikor lépésről-lépésre azonosítunk összefüggéseket, adatfajtáról-adatfajtára jutunk közelebb fenti célok valamelyikéhez. Oly módon, hogy nem használunk fejlett hírcsatornákat és mondjuk hatóságinak nevezhető emberi erőforrású feldolgozást, egyéb kapacitásokat - további, szép számmal létező *INT-eket.

Tovább

adatzaj


Az információbiztonság nem csak az interneten szivárgó személyes adataink, preferenciáink csökkentésének megkísérlésével fokozható.
A profilozás, adatzaj létrehozásával is megnehezíthető.

példa:

Rengmjon felelős minisztériumi tisztségviselő. Komoly döntéseket hoz, nagy koncentrációt igénylő, pénzügyi vonzatú feladatainak elvégzésébe nem csúszhat hiba. Természetesen segítségre is számíthat, a központi belső elhárítás minden lépését figyeli. Rengmjon kiemelt káder, igazi internetkapcsolata is van a munkahelyén. Hősünk megbecsüli magát, hiszen hazájának egzotikus szokásai miatt, ha hibázna, nem bizalomvesztéssel, hanem légvédelmi rakétával kéne szembenéznie.
Azonban szívesen olvas apokrif forrásból származó tartalmakat is. Rengmjon szűk időbeosztása miatt a napi hírek feldolgozására RSS olvasót használ. Annak ellenére, hogy az RSS-sel hatékonyabb a hírfogyasztás, még így is túlságosan nagy a hírzaj, sok idő elmegy a nemzetközi helyzet fokozódásával.
Így RSS-olvasó szoftverébe un. szűrőket alkalmaz: amennyiben bizonyos szavak szerepelnek egy új hír címében, amik nem érdeklik őt, az automatikusan a kukába kerül.
Ezek a tiltólistás kulcsszavak általános esetben például így nézhetnek ki:

4g, 4k, 5g, 5k, airbnb, alcatel, amazon, apple, azure, biznisz, bréking, brit tudósok, broadcom, brutális, galaxy, gopro, gpu, gtx, huawei, iot, ios, iparági becslések, iphone, kiszivárgott, logmein, lte, macbook, mwc, netflix, netiq, nintendo, note 7, nvidia, önvezető, playstation, qualcomm, radeon, spotify, számos, uber, virtuális valóság, xbox, xiaomi, xperia, zsarolóvírus

city-wok-man_south-park.png

Viszont Rengmjonnak van egy különleges, titkos kulcsszava is, melyet a központi bizottság által jóváhagyott hírcsoportoknál alkalmaz:

Tovább

boldogok-e a sajtkészítők?

az informatika nagy problémái - nemes egyszerűségük, horderejük és bravúros megoldásuk

boci.jpg

Az informatika világának küzdelmes hétköznapjait középpontba állító hírekben olyan dolgokról olvashatunk nap nap után, hogy:

- az internetre kötött háztartási eszközök sebezhetővé teszik a felhasználókat, mert a gyártók nem fordítanak kellő figyelmet a szoftveres védelemre [IOT]

azaz a termelékenységi hatékonyság a biztonsági szabványok kidolgozásának rovására megy, mintha a kávéfőző felrobbanhatna, a csapból folyó elektromos árammal keveredő víz vagy a fűtőrendszerből a légtérbe jutó gáz hétköznapi veszélyforrás lehetne

- a zsarolóvírusok kórházakat, nagyvállalatokat tesznek a földdel egyenlővé

szerencsére emberrablást, váltságdíjat, csak a kalandfilmekben láthatunk - emellett sajnos nem túl kedvező az ország ransomware ellátottsága, ritka, mint a magyar narancs, a szakmai fórumokon is a hónap dolgozója, aki véletlenül belefut ilyesmibe - "Mi ez? Bástya elvtársat már meg sem akarják gyilkolni? Én már szart érek?!"

Tovább

legkisebb királyfi

Ritka alkalom, hogy szívet melengető hírek érkeznek a dark web területéről. Lekapcsoltak több pedofil tartalmat közvetítő weboldalt és nyilvánosságra hozták a látogatók néhány adatát.

heroikus fejlődéstörténet: egy tehetséges srác első hack-elése, ami mókás deface-nek indul. Ez olyan eljárás, mint amikor a graffitis tag-el, felhúzza a házmestert, egy: „itt jártam, megcsináltam” életjel, de lehet a kutyák vizelet kiválasztási szokásaival is összefüggést találni. Aztán kiderül, hogy a zéró toleranciát hirdető FH2 nevű .onion oldal hosting, pénzért adott plusz tárhelyein mocskot hosztolt. Technikailag nem titkosítva, mert, akkor hogyan is érhetnék el az ügyfelek. Tehát ők, az FH2, feltételezhető, hogy rálátott a tartalomra, tehetett volna ellene, ha ezt a policy-t vállalta, sőt egyébként is..
A srác [legkisebb királyfi], a gyermekpornográfiával szemben zéró toleranciát hirdető dark webhost anyagaival szembesülve tovább ment a deface-nél és klasszikus törést hajtott végre, vitte a bizonyítékokat és zárta az oldalakat - lekapcsolta a LAMP-át.

Gratulálunk, innen küldünk színes bitbuborékokat, csak így tovább!

taps.gif

Tovább

kapd el az árulót, mentsd meg a forrást

informátor felfedése és elfedése


Korábban szóba került, hogy akár az is informatív jelentőséggel bírhat, ha zöld szigszalagot ragasztunk egy metrókocsira. Aki eme jelhír értelmezésébe beavatott, tudni fogja, hogy ideje cselekednie.
Sokféle információ rendelkezhet akár jelentőségteljesebb mögöttes tartalommal is.

Tetszőleges évben, egy afrikai ország zord minisztériumában huszadmagammal kellett aláírnom egy dokumentumot. A dokumentum kettős tartalommal bírt. Arról szólt, hogy senki sem nyilatkozhat a nemzetközi sajtónak, illetve hogy kizárólag egy meghatározott helyről lehet csak mondjuk pálmaolajat vásárolni nagy tételben.

mini-of-segg_x.jpg

A gyanakvó szem kiszúrhatta, hogy minden kolléga egyedi műgonddal elkészített dokumentumot kapott aláírásra. A dokumentum szignózva volt, hogy ha véletlenül valaki szivárogtat, azonosítani lehessen az árulót.

Tovább