Poleg dejstva, da je ta napad izvedla skupina Anonymous, je skupina uspela pridobiti okrog 200 GB podatkov med katerimi so bili kontaktni podatki strank in tudi njihove številke kreditnih kartic. S temi karticami je potem skupina opravljala donacije dobrodelnim ustanovam.

Seveda to ne bi bilo nič posebnega, saj smo prepričani, da se to dogaja daleč stran od nas in se nas ne tiče. Ampak resnica je drugje. Ta akcija je namreč razkrila tudi slovenske naročnike storitev Stratforja. Pogled na seznam naročnikov je namreč zelo zanimiv. Na njem je mogoče najti zaposlene v javni upravi, ministrstvu za obrambo, novinarskih hišah, korporacijah, RKC in v podjetjih, ki so bolj malo znane javnosti.

Seveda pa je zanimiv tudi način, kako je mogoče priti do teh podatkov. Pri rutinskem preverjanju na spletnem odložišču pastebin.com, se je med rezultati iskanja pojavila povezava, ki je vodila do seznama uporabniških imen. Ta seznam je izgledal kot izpis iz baze uporabnikov. Poleg podrobnosti o uporabniku je bilo v MD5 načinu zapisano tudi geslo teh uporabnikov. Po preverjanju in iskanju prvega gesla ni bilo mogoče sklepati na kaj bolj natančnega. Pri drugem uporabniku je preverjanje MD5 gesla na iskalniku dalo odgovor stratfor. In iz tega je mogoče sklepati, da je to izpis slovenskih uporabnikov storitev Stratfor. Torej je nekdo imel namen izločiti samo slovenske uporabnike in jih objaviti ali spraviti. Datum objave na pastebin.com nosi namreč datum 30.12.2011 in je delo anonimnega uporabnika.

Zakaj so bili objavljeni slovenski člani posebej, zakaj določeni ljudje potrebujejo takšne tipe podatkov in kaj z njimi počnejo, ne bomo špekulirali. To prepustimo bralcem. Je pa zanimivo ugotavljat, kako globalne hekerske akcije vplivajo tudi na naše lokalne okolje in ponudijo dodatne informacije do katerih drugače ne bi najbrž prišli.

Sprva smo imeli namen objaviti tudi celoten seznam elektronskih naslovov, vendar smo se odločili, da tega zaradi potencialne odločbe Informacijske pooblaščenke ne bomo storili. Se pa da do seznama priti na enostaven način.

Seznam povezav:

• Novica o napadu
• Pastebin povezava s slovenskimi uporabniki
• Iskalnik po elektronskih naslovih in s podatki o kreditni kartici

Čestital bi vsem sodelujočim, ki so s svojo kreativnostjo rešili kakšen digitalni izziv.

Končni rezultat tekmovanja:

Etični heker je strokovanjak za računalnike in omrežja, ki s svojim znanjem poskuša odkriti pomankljivosti v sistemu preden jih zlorabi black hat heker. Etičnemu hekerju rečemo tudi white hat heker. Izraz izhaja iz starih kavbojskih filmov, kjer so dobri kavboji nosili beli klobuk, slabi pa črnega. Razlika med black in white hat je, da black hat uporablja svoje znanje za vdiranje v računalniške sisteme z namenom koristoljubnosti, medtem ko white hat prav tako vdira v računalniške sisteme, toda z namenom okrivanja varnostnih pomankljivosti, ki jih ne izkoristi v svojo korist, toda problem sporoči podjetju katerega varnost preverja. Podjetje tako lahko pomankljivosti pokrpa preden jih zlorabi black hat heker.

Ponavadi podjetje kontaktira strokovanjaka, ki ima v lasti CEH (Certified Ethical Hacker) certifikat, da za njih izvede varnostni pregled. Varnostni pregled vsebuje naslednje faze: zbiranje informacij o omrežju, skeniranje omrežja za ugotovitev uporabljenih aplikacij, napad na aplikacije, ohranitev dostopa do sistema ter izdelava poročila. Prav zadnje je tisti končni rezultat, ki ga podjetje dobi kot končni izdelek in na podlagi katerega ocenjuje delo white hat hekerja. Podjetje se torej niti ne zaveda za prejšnje faze, torej kako je heker prišel do vseh informacij, ki jih je pridobil, toda dobi samo poročilo.

Iz prej omenjenega lahko povzamemo, da se white in black hat hekerji razlikujejo predvsem po tem ali imajo dovoljenje za izvedbo varnostnega pregleda ali ne. Rečemo lahko tudi, da so white hat hekerji v prednosti, ker so zaposleni v podjetju, ki jim plača dodatno izobraževanje, da se naučijo zadnjih tehnik vdiranja, medtem ko so black hat pretežno samouki. Imajo tudi dostop do virov, kot so razne visokotehnološke naprave, nove tehnologije, do katerih black hat hekerji nimajo dostopa. Lahko omenimo tudi, da so ponekod v prednosti black hat hekerji, ker nimajo omejitev pri testiranju omrežij. White hat hekerji so povečini omejeni samo na napade, ki so zapisani v pogodbi, torej ne smejo uporabljati vseh napadov (kot primer naj navedemo DDOS napad). S tem pa pri varnostnem pregledu ne pridemo vedno do realne ocene kakšno škodo lahko black hat hekerji dejansko povzročijo. Lahko pa precej zanesljivo sklepamo na podlagi simulacije vdora.

Viris je sodeloval v kategoriji Javna uprava in velike organizacije poleg znanih imen podjetij kot so Avtenta, Inovo, Sonce.net, SmartIS in Medic Sistemi.

S poslovno idejo »Najamete hekerja?« smo že v prvem krogu glasovanja pridobili izredno visok odstotek glasov za samo predstavitev poslovne ideje in za uporabnost ideje za povečevanje konkurenčnosti.

Sledilo je glasovanje publike o izboru treh finalistov. S poslovno idejo smo se uspešno prebili med najboljše tri poslovne ideje. Nič manj usmiljena publika kot strokovna komisija je ponovno postavljala vprašanja vsem trem finalistom, ki so že na tej stopnji tekmovanja pošteno potili.

Po zadnjih predstavitvah ter odgovorih na zastavljena vprašanja, je sledilo še glasovanje publike o najboljši poslovni ideji in obiskovalci so odločili in izglasovali predstavljeno rešitev kot najboljšo.

Čestitali bi vsem sodelujočim, ki s svojo kreativnostjo rešili kakšen digitalni izziv. Vsi, ki še niste sodelovali, pa si lahko preberete več o tekmovanju v enem izmed prejšnjih blog zapisov.

Končni rezultati tekmovanja:

Včasih bi bilo prav zanimivo vedeti, kje točno se določene brezžične točke nahajajo. To lahko načeloma dosežemo s triangulacijo, vendar je postopek razmeroma težko izvedljiv brez posebne opreme. Obstaja pa tudi enostavnejši način: Google Location Services. To storitev pozna razmeroma malo ljudi, čeprav je bila že dolgo nazaj vgrajena tudi v brskalnik Mozilla Firefox. Gre za storitev, ki omogoča, da izbranim spletnim mestom pošljemo našo geografsko lokacijo v obliki koordinat. Našo geografsko lokacijo pa izračuna storitev Google Location Services s pomočjo podatkov o jakostih signalov bližnjih brezžičnih omrežij. To storitev lahko torej uporabimo za določitev naše lokacije, lahko pa jo uporabimo tudi za določitev lokacije brezžičnih točk, pri čemer pač storitvi Google Location Services pošljemo takšen zahtevek, v katerem je jakost signala do izbrane brezžične točke največja možna.

V našem laboratoriju smo izvedli poskus. Z zunanjo anteno smo “polovili” signale “beacon” brezžičnih točk okoli nas. V paketih so med drugim zapisane tudi vrednosti BSSID, ki so v praksi naslovi MAC brezžičnih točk. Pridobili smo torej bazo naslovov MAC vseh brezžičnih točk okoli nas. Nato smo za vsako točko storitvi Google Location Services posredovali zahtevek za izračun geografske lokacije, in odgovore nato sestavili v obliki datoteke KML. Rezultat je zanimiv.

Pohvalili bi vse sodelujoče, ki so pokazali svojo kreativnost in rešili katero izmed nalog. Najboljši 4 tekmovalci, ki so celo presegli 3000 točk, pa bodo še dobili praktične nagrade v obliki izdelkov podjetja Gemalto.

Končni rezultati tekmovanja:

Tekmovanje je zasnovano kot vrsta bolj ali manj težavnih izzivov v obliki nalog, ki jih lahko rešujejo udeleženci v poljubnem vrstnem redu preko posebnega v ta namen postavljenega spletnega portala. Pri tem v splošnem ne bo potrebno imeti posebnih programov razen spletnega brskalnika, pri nekaterih pa bo potrebno tudi kako drugače dostopati do tekmovalnih strežnikov. Na spletnem portalu in tudi na zaslonu v prostorih konference bo možno v živo spremljati napredek tekmovalcev, število rešenih nalog in pridobljenih točk. Na uradni razglasitvi rezultatov bodo najboljše uvrščeni tekmovalci z najvišjim številom točk prejeli praktične nagrade.

Več na naslovu: http://izziv.viris.si/

Milan Gabor je na konferenci dobil priložnost, da spregovori kot vabljeni predavatelj na temo informacijske varnosti. Na sami konferenci se bomo pa predstavili tudi tekmovanje Digitalni izziv za vse udeležence. Več o tem boste izvedeli na konferenci ali pa s spremljanjem naše spletne strani.

Vabimo vas, da se nam pridružite v Portorožu! Vse dodatne informacije o konferenci DSI 2011 najdete na spletni strani konference: http://www.dsi2011.si/

Najprej moram priznati, da do sedaj nisem pisal nobenega bloga. Sem sicer prispeval članke za študentski medij, nisem pa potem nikoli našel časa in ne preveč dobrega razloga za to, da bi svoje misli delil s širnim svetom. Tudi zdaj ne bo dosti drugače. Tu pa tam se bom oglasil. Saj veste, da se je najboljše oglasiti takrat, ko imaš kaj povedati. Če pa nimaš kaj povedati, pa je najboljše molčati.

S sodelavci vam lahko obljubimo, da bomo občasno poskušali z našimi blog zapisi posredovati izzive, s katerimi se dnevno srečujemo. Seveda naloga ni lahka, saj po eni strani ne moremo izdajati podrobnosti naših projektov po drugi strani pa imamo vedno polno zanimivih izzivov, ki jih srečujemo pri naših naročnikih. Po dolgem premisleku, smo se odločili, da se bomo potrudili in občasno z vami delili nekaj naših misli, idej in tudi različnih izzivov s katerimi se srečujemo.

Seveda pa bomo veseli tudi vašega odziva.

Torej do naslednjega bloga.