הערה! הפוסט מדבר על פירצת ה-DLL Hijacking כפי שהוצגה בפוסט הקודם. קריאת המידע שהופיע שם הכרחי לצורך הבנת הפוסט הנוכחי.
בתור בלוג אבטחת מידע המשתדל לפנות לקהל רב ככל האפשר ובמיוחד לאלו שמטרתם ללמוד, אני משתדל שהפוסטים שיוכנסו לבלוג יהיו בהירים כמה שאפשר – אך גם מדויקים באותה מידה. המידע שאני מביא כאן לרוב עובר מחקר מקיף שמתפרש על פני אתרים שונים ואנשים שונים שבודקים את נכונות הפרטים בהם אני לא בטוח, עיתונים מן המעלה הראשונה ואף לעיתים מקורות ראשונים (במידה ורלוונטי). כאחד שכזה, אני מרגיש צורך להתנצל על הפוסט האחרון שפורסם תחת הכותרת המפוצצת: "DLL Hijacking – הפירצה החדשה ב-Windows (חלונות) שמצא HD Moore". בסוף הפוסט אמנם הוצגה סברה לפיה הפירצה איננה כה חדשה, אך כשדברתי עם מספר חוקרי אבטחה ישראליים – העניין התבהר כחמור אף יותר.
אלו שקראו והעמיקו בתגובות של הפוסט האחרון (ואני מציע לעשות זאת בכל פעם – לעיתים מובא שם מידע שערכו איננו נופל מערך הכתבה עצמה) ודאי ראו את תגובתו של אביב, אחד מהאנשים שבאמת ראויים לכבוד שהם מקבלים (ואף מעבר לו) בתחום אבטחת המידע. אביב כתב תגובה בזו הלשון:
הפירצה איננה חדשה.
היא ידועה לפחות משנת 2000: http://www.securityfocus.com/bid/1699/info
ודווחה רשמית למיקרוסופט בשנת 2006: http://aviv.raffon.net/2006/12/14/IE7DLLloadHijackingCodeExecutionExploitPoC.aspx
לפני קצת יותר משנה, מיקרוסופט שחררה עדכון למערכת ההפעלה שאמור היה לעזור בפתרון הבעיה (כאמור, אינו פותר אותה לחלוטין): http://www.microsoft.com/technet/security/Bulletin/MS09-015.mspx
אתמול מיקרוסופט פרסמה מאמר המסביר (טכנית) את הבעיה ודרכים כיצד ניתן לפתור אותה ללא עדכון: http://www.microsoft.com/technet/security/advisory/2269637.mspx
והוא אכן צודק. בשיחה שלי שנערכה עם cP כשעתיים קודם לכן, הוא אמר לי לגגל DLL Search Order Hijacking – הופתעתי מהתוצאות. מילות המפתח שאכן מתארות במדויק את אופי המתקפה, מצאו תוצאות של קוד המשתמש לניצול הפירצה ("אקספלוייט") עוד מ-2006 שנכתב על ידי… אביב ראף – איש אבטחת מידע ישראלי, שלא במקרה היה זה שהגיב בבלוג. למרות שמאות (אם לא אלפי) עיתונים נכבדים באנגלית מן המעלה הראשונה, מסקרים את "הפירצה החדשה שמצא HD Moore" [וחיפוש ממש קצר מניב מעל 120 תוצאות מקוונות שנרשמו ב24 שעות האחרונות, למרות שחלפה הסערה]. העיתונים המקוונים המתקדמים יחסית מדווחים על כך שהבאג נמצא לפני 6 חודשים, אך כמעט אף לא אחד בעולם דיווח על כך שהפירצה קיימת כבר 10 שנים.
היחיד שאני מצאתי למען האמת, הוא HD Moore, שלא מכחיש את זה ואפילו דואג לפרט. בבלוג החברה הוא כתב:
As Thierry notes, a variation of this bug was originally published in 2000 by Georgi Guninski.
("כפי שתיירי הזכיר, גירסה אחרת של הבאג מקורה בפרסום בשנת 2000 שנעשה על ידי גאורגי גונינסקי.")
אז מה בכל זאת ההבדל? HD Moore מציין רק אחד שכזה וטוען שהוא "הגדול ביותר" – ההרחבה לפירצה ניתנת לניצול גם כשמקור ה-DLL שהתוכנה מנסה לטעון איננו בתיקיית המערכת (ספריות DLL השייכות לתוכנה ספציפית):
The biggest difference is that the new issues mostly apply to applications where the hijacked DLL does not exist in the system directory (application-specific libraries).
פתית מידע נוסף: למרות הצהרותיה, קרסה מיקרוסופט תחת פרסומי התקשורת השליליים ופירסמה תיקון לחור האבטחה. במקביל, החל גל האקספלויטים לעניין להציף את הרשת, ובין התוכנות הפגיעות – Powerpoint 2010 וכן חבילת Live (שניהן תוצרת מייקרוסופט), כמו גם uTorrent (קליינט ביטורנט) ואפילו Wireshark (תוכנה שמשמשת הרבה חוקרי אבטחת מידע ואפילו מפתחי אתרים לחקירת התעבורה העוברת ברשת).
פתית על הפתית: רוצה לציין הרבה הרבה הרבה [והמוני המונים] של תודה ל-TheLeader, שנתן אזכור לכתבה הקודמת בתוך אקספלויט DLL-Hijacking שהוא פירסם בexploit-db עבור uTorrent. נציין שיש סבירות גבוהה מאוד שהוא זה שהזין את הדוגמאות לרוב המדיות התקשורתיות בחו"ל אודות האקספלויטים (כולל האתר העצום The Register – כבוד!) – הוא הראשון שראיתי שכתב אקספלויטים עבור uTorrent, Wireshark ו-Powerpoint. סחתיין עליך חבר (:
מקורות להרחבה זו: הפוסט בבלוג החברה, תגובות לפוסט הקודם, האקספלויט שפרסם אביב (2006), עלון המידע של SecurityFocus משנת 2000, כתבה שמזכירה את תגלית חוקר האבטחה הישראלי אביב ראף ב-2006, כתבה על הכלי לחסימת הפירצה שנכתב על ידי מיקרוסופט.
התודות ניתנות ל: חדר ה-IRC [שרת irc.nix.co.il, חדר security#] שלנו (ו-cP שנכנס לעדכן), אביב ראף (בלוג מצוין), TheLeader (על הפירסום, בדיקת המאמר הקודם והתרומה לקהילה הישראלית).
ראיתי לנכון לכתוב פוסט חדש ולא לעדכן, למען ההוגנות והחשיפה שהמידע שהוצג מקודם היה לא מדויק במלואו. הפוסט הקודם יקשר לפוסט זה (:
- ים מסיקה
היו לי בערך 20 רעיונות לשמות לפוסט הזה. "מבוא לשיעור בתקשורת", "איך להשיג רייטינג בשיטת ynet", "ההאקרים הישראלים מנמנמים… לפחות לפי ynet" ועוד שלל רעיונות נחמדים. לבסוף הסתפקתי בכותרת הנוכחית, ובשיחה מעניינת בתחילת הפוסט:
עורך א: "בואו נייצר ידיעה גדולה. אני מתכוון, ממש גדולה. ענקית, עצומה."
עורך ב: "עיגול קצוות?"
עורך א: "חידוד פינות."
עורך ב: "על מה הפעם?"
עורך א: "איזה חבר מסר לי שנפרצו הרבה חשבונות, משהו שקשור לכסף וחשבונות בנק… יש חומר, אל תדאג."
עורך ב: "אה, נהדר, עונה על כל הדרישות שלנו: בר-ניפוח, מעורר המולה, מפחיד את הציבור, ידיעה בלעדית והכי חשוב – מביא רייטינג!"
כמובן שלא מדובר בשיחה אמיתית בין שני עורכים, אלא בהמצאה מהמוח הקודר שלי. למרות זאת, קשה לי שלא להאבק ביצר שלי להפוך את השיחה למגוחכת יותר, טיפשית יותר ועוקצת יותר, פשוט מכיוון שבזמן האחרון נראה כיאילו כך מתנהלת התקשורת. היא מתעקשת שלא לתת לעובדות לבלבל אותה, לייצר פאניקה ומחלוקות בציבור ולהשמיד כל חלקה טובה – זו התקשורת של מדינת ישראל, רמיסה של כל ערך והוגנות עבור הרייטינג והרווח האישי. היכן הם הזמנים שהתקשורת הייתה "כלב השמירה של הדמוקרטיה" במקום המחסלת העיקרית שלה? היכן הם הזמנים שהתקשורת ידעה לדווח על מאורעות כפי שהם, ולא לנפחם במימדים בלתי נתפשים רק על מנת להשיג רייטינג?
אני מדבר כמובן על הידיעה האחרונה בynet, לפיה נפרצו על ידי טורקים עשרות אלפי חשבונות כספים ופורסמו בקובץ אקסל (excel) באתר cyberwar. כאופייני לכתבות אבטחת המידע בynet, נראה שאף אחד לא עבר על הכתבה והיא נכתבה על ידי שטוטניקים גמורים. כנסו לכתבה ותפחדו לרגע. ל50% מהגולשים לא יהיה אכפת. 35% יפחדו, 13% ילכו לכתוב טוקבק ואולי 2% ילכו לחקור מה באמת קרה. שמח להיות מיוחד – ממליץ גם לכם להיות כשynet קופצים עד מעל הפופיק עם כתבות מוגזמות.
אז חקרתי. חקרתי והגעתי לקובץ המקורי שפורסם (שתוכלו להשיג בעצמכם אגב – הוא נקרא homeless.xml). הקובץ, שמכיל את שמות המשתמשים והסיסמאות של המשתמשים הישראליים, נגנב באופן ישיר מאתר ממסד הנתונים של אתר "הומלס" (ולא "אולי" או "כמעט", וגם לא מאף אתר אחר). באתר שבו פורסם הקובץ (הקובץ כבר מחוק, לידיעתכם), נכתב שנפרצו 32,560 משתמשים של האתר הומלס, כולל שם משתמש, סיסמה וכתובת דואר אלקטרוני. שימו לב שמי שלא עשה שם משתמש זהים לאתר "הומלס" ולתיבת הדואר האלקטרוני שלו – לא צריך לדאוג כלל, שכן הפרטים שנגנבו הם של האתר הומלס ולא של הדואר האלקטרוני. ynet מתיימר להציג עובדה שגויה, והכותרת הישנה של הכתבה אף ציינה במפורש:
הבלוג we-cms טוען כי 32 אלף ססמאות, פרטי חשבונות PayPal ופרטי אשראי של ישראלים שנגנבו מאתר מסחרי מרכזי בישראל – נמצאות בפורום טורקי בקובץ הזמין לכל אחד.
אז לא. ממש לא. לא פרטי אשראי, לא פרטי PayPal ולא "אתר מסחרי מרכזי". פשוט ניפוח טוטאלי, מכוער ועלוב של התקשורת שנוצר על מנת ליצור הפחדה.
אגב, קראו לי "קטנוני", אבל בעוד בפועל 32,560 חשבונות, בynet דווח – "האקרים טורקיים הצליחו להשיג ססמאות של 32,561 ישראלים". לא מעצבן אותי אחד פחות או אחד יותר, כמובן, אלא עקרון ההגזמה שחוזר גם פה: בשיניים ובציפורניים מוסיפים עוד משתמש כדי לגרום לזה להראות רציני יותר.
אבל מה יוצא לynet מכל העניין? בוא נבדוק:
- רייטינג! מי שעושה כתבה מנופחת ומוגזמת לחלוטין, מקבל רייטינג בגלל המאורע המיוחד והמרגש שהתרחש.
- רייטינג! מי שכותב דברים שמפחידים את הציבור, גורם לכך שהכתבות שלו יופצו ברמה עולמית.
- רייטינג! מי שכותב על דברים שלא היו ולא נבראו, יזכה לידיעה "בלעדית"! שעוזרת לקבל… (נחשו!… רייטינג!) איזה כיף!
- רייטינג! יצירת סכסוכים עתידיים לצורך רייטינג עתידי (הטורקים פורצים לכם לדבר הכי חשוב – חשבונות בנקאיים).
- רייטינג! יצירת סכסוכים בין קהילות בישראל לצורך אפשרות לפיתוח כתבות עתידיות ("ההאקרים הישראליים לא פועלים!")
למישהו עוד יש אילו שהן ספקות בקשר לכמה אפשר לסמוך על התקשורת בענייני אבטחה?
עד הניפוח הבא,
- ים מסיקה
נ.ב. – רציתי להזכיר לכולם שאנחנו זמינים גם ברשתות החברתיות (Facebook, Twitter וכו' – לינק למעלה, ב"דפים"), וכן גם בעדכונים דרך הדואר האלקטרוני (מוזמנים להרשם דרך השורה העליונה ביותר של האתר).
נ.ב. 2 – לשם הסר ספק, אני בהחלט לא מאשים כתבים כמו ארז-וולף (זה שגילה את הפירצה), שפעל נכון מאוד לפי דעתי וסיפק את כל הפרטים הטכנולוגיים הנחוצים על מנת שהידיעה תהיה בהירה ולא מוצפת בהצהרות שגויות ובאי דיוקים טכנולוגיים למינהם.
נ.ב. 3 – קראתי את מה שכתב באתרו עו"ד יהונתן קלינגר (בחור שאני מכבד מאוד). למרות כל מה שנאמר בפוסט הזה, ממליץ קריאה – בין היתר מכיוון שזה קשור לעניין הפריצה ומסכם את הרעיונות שלי בצורה הטובה ביותר.
אגב, לשם ההגינות: מסתבר שנחשפו מעל לעוד 70,000 כתובות (פורסם לאחר פרסום הידיעה הנוכחית, וכן הידיעה בynet). תוכלו לראות את כתובות המיילים שנפרצו, ללא סיסמאות, בקובץ שהעלתי עבורכם. אם מצאתם שהאימייל שלכם כלול שם, נא לשנות את הסיסמה.
לפני הכל! שימו לב! נוסף למעלה עמוד שנקרא "ברשתות חברתיות" ומכיל קישורים שלנו לפייסבוק ולטוויטר – אתם בהחלט מוזמנים להרשם ולעקוב אחרינו. יופיעו שם עדכונים שוטפים על כל מה שחדש בבלוג, ולפעמים (אם יהיה לי אקסטרה-פאוור) הגיגים ומחשבות מעניינות. נוסף על כן, תוכלו להרשם במקומות שונים באתר לרשימת התפוצה שלנו – שתעדכן אתכם בכל פוסט שרשמתי באופן אוטומטי. הבלוג שומר על ממוצע כניסות נאה לאחרונה ואני מאוד מרוצה, תודה רבה לכל המתעדכנים הקבועים.
ולעניינינו: ברוכים הבאים לפוסט נוסף של מבזקי ברק. השבוע לא עדכנתי את הבלוג בכלל (השבוע הראשון שפרט למבזקי ברק לא הופיע אף פוסט). אני מדגיש שאם מתחשק לכם לפרסם פה פוסטים על אבטחת מידע וטכנולוגיה, כל עוד שהפוסט יהיה מובן לכולם (גם למשתמשים לא טכנולוגיים) – אשמח לפרסם אותו כאן. להזכירכם (או לטובת הקוראים החדשים שהמעבר על שאר הפוסטים מומלץ עבורם), מבזקי הברק הן פינה מגניבה וחדשנית שמלקטת עבורכם את עדכוני השבוע שאני מצאתי כמעניינים מעולם אבטחת המידע. חושבים ששכחתי משהו? תוכלו ליצור איתי קשר באופן פרטי במייל בדף האודות או לפרסם אותו בתגובות – ואם אמצא אותו כאייטם מעניין אדאג להכניס אותו לפוסט. אז מה היה לנו השבוע?
ה-VeriSign הולך יחף - אחד מספקי האבטחה הגדולים ביותר בעולם, VeriSign, נתפס השבוע כשהוא חשוף לפירצת האבטחה הידועה לקוראים הקבועים – XSS. אופס? כידוע, פירצת הXSS מאפשרת להרצת קוד (מסוג JavaScript) על המחשב של המשתמש, דבר המאפשר "להגיע רחוק": מגניבת משתמשים ועד השתלת וירוסים קטלניים – הכל אפשרי.
ים אמר – וים צדק - אחד הפוסטים הראשונים שלי בבלוג היה על פיראטיות, ועל כמה המלחמה בה היא טיפשית ולא מועילה. דיברתי על מאפיינים שונים במלחמה חסרת-הסיכוי הזו שהופכים אותה למנוונת ועלובה, ולמרות זאת הכתבה זכתה לציון די נמוך (עקב חוסר הסכמה אידיאולוגית לדעתי, אך יש גם הסיכוי שעקב חוסר הסכמה מעשית). בכל מקרה, הנה ה"אמרתי לכם" שלי, וזה רק מתחיל: עונשו של משתמש בשם ג'ואל טננבאום הלומד באוניברסיטת בוסטון ונשפט בגין פיראטיות הופחת מ675 אלף דולרים ל67.5 אלף (90%). בנוסף לכך, נמתחה ביקורת חמורה על ידי השופט אודות התנהלות ה-RIAA (ההתאחדות האמריקנית של יצרני התקליטים). עוד נודע לנו בזכות הדו"ח הטכנולוגי של יוסי גורוביץ, שבסך הכל, בשנים 2008-2006 הוצאה אותה התאחדות עלובה 64 מיליון דולר וקיבלה בחזרה 1.36 מיליון דולר. באסה.
דפדפנים עם חורים - "חורי אבטחה" התגלו בתוספות לשני הדפדפנים Mozilla Firefox ו-Google Chrome. שימו לב שלא מדובר בחורי אבטחה שבאים Built-in עם הדפדפן, כפי ששאר הכותרות ברוב אתרי החדשות הפופוליסטיים מנסים למכור לכם! מדובר באפשרויות להתקנת תוספים (Add-ons) לדפדפן, כאשר אותו Add-on הוא זדוני ועלול לגרום נזק רב למשתמש. בשני מאגרי התוספות הרשמיים של הדפדפנים (המקומות שבו היצרניות מאגדות ונותנות אפשרות להוריד תוספות), התגלו תוספים מסוימים המכילים פרצות אבטחה, שעלולות לגרום לגניבת שמות משתמש וסיסמאות. מסוכן.
ארצות-הברית והסייבר – ארצות הברית, כידוע לנו כבר מעדכונים של השבועיים הקודמים, נכנסה לפאניקה טוטאלית (ואולי מוצדקת?) החודש עם שגעון ה"בוא-נקטין-את-פגיעות-הסייבר-שלנו-ונגדיל-את-הפרטיות-פה". סייבר (cyber), לכל מי שלא יודע, הוא כל דבר הקשור או נמצא במרחב האינטרנטי – וארצות הברית רוצה "לתקן את כל מה שקשור בזה". במסגרת השגעון כבר נכנס חוק שלנשיא מותר לנתק בהנפת אצבע חלקים נרחבים של ארצות-הברית מן האינטרנט. התוכנית אפילו זכתה לטיוטה מתאימה – וכנראה שמדובר במשהו גדול יותר ממה שאנחנו מסוגלים לדמיין. אין לנו הרבה לעשות חוץ מלחכות ולראות לאיפה זה מתפתח.
זוכרים את פרשת גוגל? - אני שומע במוחי את רוב הקהל צועק מיד (וצודק) "איזו מהן!", אך הפעם אני מדבר על זו שאוזכרה דווקא פעמים רבות בבלוג: פרשת איסוף הפרטים של רשתות הWi-Fi הבלתי מאובטחות. בקצרה, למי שלא מכיר: גוגל החביבים החליטו שיהיה ממש חביב, אם במסגרת פרויקט Street View, בו הם שולחים מכוניות מיוחדות של גוגל לסרוק כל חור בעולם ולהציג אותו במפות תלת מימדיות שלה, יאספו גם אותות הWi-Fi של הרשתות השכנות. הם טענו שזה היה בטעות, אבל אני לא נוהג לרשום בבלוג דברים שאני לא מאמין בהם. בקיצור, לאחר שבריטניה כבר הספיקה להאשים את גוגל, וקללות נשמעו בכל רחבי העולם על המדיניות הקלוקלת (דבר שגרם להפסקת עדכון המפות של Street-View באופן זמני), הצטרפו לעצבים גם האוסטרלים (אם כי באיחור ניכר, ולמרות פרסום התנצלות בבלוג הרשמי האוסטרלי של גוגל). המחדל קרה בסך הכל ב-30 מדינות… מעניין כמה סיפורים על גינויים נצטרך לשמוע.
פרצות אבטחה? אפל ראשונה! - וממקום שלא ציפינו לו – מחקר חדש: סיכום תוצאות מראה שבחצי הראשון של שנת 2010, מספר חורי האבטחה שנמצא במערכות שונות הוא זהה לזה שנמצא בכל שנת 2009! בראש הלהיטים של מספר פרצות האבטחה, מככבים: במקום הראשון והמפוקפק במיוחד – אפל (וואו?!), לאחר מכן חברת מסדי הנתונים אורקל (פה אני חייב להודות שלא הופתעתי, במיוחד אחרי שהשבוע הוציאה 59 עדכוני אבטחה חדשים) ולשלישית שהפתיעה דווקא לטובה: מיקרוסופט! (הופתעתי לטובה. בחיי. או שנמאס לאנשי אבטחת המידע למצוא באגים של מיקרוסופט, או שפשוט החברות האחרות פישלו בענק). מעוניינים במחקר? קבלו אותו במחיאות כפיים סוערות.
המלך העירום גירסת בריטניה: המלוכה בבריטניה מציעה פתרון מקורי לבעיית הפיראטיות: הספקית תשלם על כל תוכן פיראטי שהורד מהאינטרנט על ידי משתמשיה. כמה פשוט וקל! מה? אני שומע מישהו פה צועק איך לאכוף את זה? אה… בקשר לזה… תשמעו… זה לא ש… טוב נו. הבריטים כבר ימצאו דרך… או שלא.
סיסמאות? למי אכפת - מחקר מעניין החליט לבדוק את הרגלי הסיסמאות הגרועים של משתמשי האינטרנט. אם להגיד את אמת, לא מדובר בגילוי חדש והממצאים אפילו מפתיעים לטובה – לפי הממצאים שפורסמו בF-Secure, כ51% מהאוכלוסייה משתמשים בלוגיקה מסוימת על מנת ליצור את הסיסמה – דבר העוזר להם להזכר בה. 19.4 אחוזים משתמשים באותה סיסמה לכל השירותים שלהם, 20.7 אחוזים רושמים אותה על דף נייר ו8.8 אחוזים פשוט לא נוהגים לזכור את הסיסמה שלהם – הם משחזרים אותה בדואר האלקטרוני. הממצאים שהובאו פה הם ממוצעים, ואתם מוזמנים להסתכל בתמונה הכוללת כאן. הבלוג ממליץ: וודאו שאין לכם תוכנות זדוניות על המחשב, השתמשו בסיסמה עם 8 תווים ומעלה, הכניסו בסיסמה אותיות גדולות, קטנות ומספרים, ואם אתם ממש אשפי זכרון – הכניסו גם תווים מיוחדים כמו ~ או $. לא מומלץ להשתמש בכמה אתרים באותה סיסמה – הגדירו לפחות סיסמה נפרדת לחשבונות מאוד רגישים. מעקב אחרי ההוראות הללו יחסוך ממכם עוגמת נפש רבה, שכן לסיסמאות יש חשיבות רבה בעולם היום-יום. כפי שאמר הבחור הגדול קליפורד סטול (Clifford Stoll):
Treat your password like your toothbrush. Don't let anybody else use it, and get a new one every six months.
נינטש בשדה הקרב? - אז זהו, אחרי מיליון דיווחים שקראתי ולא הבאתי לבלוג על מנת לחסוך ממכם פאניקה ובלבולי שכל, נגמרה תקופת התמיכה בWindows XP SP2. מה זה אומר? כל מחשב עליו מותקנת מערכת ההפעלה הזו, פשוט לא יקבל יותר עדכונים חדשים – אפילו אם ימצאו חורי אבטחה (וכפי שכבר ראינו, ההיסטוריה של מיקרוסופט לא מזהירה במיוחד בתחום הזה). מה עושים? משדרגים לSP3 דרך מרכז העדכונים, או מחליפים מערכת הפעלה לאחת אחרת. (לבחירתם, לאו-דווקא ווינדוס 7. לינוקס ומק הן גם אופציה). על מנת לבדוק איזו גירסה יש לכם, לחצו על לחצן החלונות במקלדת (Win) יחד עם הלחצן Pause Break. אין כוח לחפש איפה הם? לחצו קליק ימני על המחשב שלי, ומאפיינים (Properties). חטטו שם קצת, ועד מהרה תגלו – מקסימום, תמיד יש גוגל.
Micrussia?: מיקרוסופט ורוסיה החליטו להתיידד באמצעות מהלך מוזר, לפיו מיקרוסופט תפתח בפני צוות המודיעין רוסיה את קוד המקור של מערכת ההפעלה החדישה ווינדוס 7. קוד המקור הוא הקוד שממנו נוצרה התוכנה (במקרה הספציפי שלנו: מערכת ההפעלה ווינדוס 7). מיקרוסופט פרסמה שמטרתה היא להגביר את מכירותיה ברוסיה. רק אני מריח פה משהו מסריח?
שועל האש שורף בשבילכם כסף: רוצים 3,000$? אין שום בעיה! צוות שועל האש החזיר לפעולה תוכנית למציאת חורי-אבטחה, זו הוצגה לראשונה לפני שלוש שנים. מטרת המשתתפים בתוכנית היא מציאת חורי אבטחה בדפדפן עם סיכון גבוה, וכמובן שלא יוצאים בידיים ריקות: מצאת משהו רציני? קיבלת 3,000$. אני מכיר הרבה שיתווכחו על המחיר, אבל אם למישהו יש אקסטרה-זמן, רצון מטורף לתרום לקהילה והרבה כוח לויכוחים עם מוזילה – הנה ההזדמנות. לפרטים נוספים.
ואיך אפשר לסיים בלי להזכיר את פינתינו החביבה, שמופיעה לגיקים המסורים כל שבוע מחדש:
תוכנות השבוע: התוכנה הראשונה היא Fork של Paros Proxy, והיא מהווה כלי נחמד ביותר לבדיקות חדירות – קבלו את Andiparos 1.0. השנייה היא פשוט חבילת אקספלויטים חביבה שפורסמה על ידי Malc0de. כמובן שכל שימוש לרעה בחומר זה הוא לחלוטין אסור על פי חוק והעובר עליו עתיד להשפט על הפרת חוקי מדינת ישראל בבית המשפט.
עד כאן להשבוע, נתראה בשבוע הבא (:
- ים מסיקה
זהו השבוע החמישי של "מבזקי ברק" – מבזקים מעולם הטכנולוגיה ואבטחת המידע. אני מודה לכם על כל התגובות למבזקי הברק הקודמים ועל הפידבקים החיוביים באמצעי הקשר השונים, זה מה שגורם לי להמשיך (; להזכירכם (או לטובת הקוראים החדשים שהמעבר על שאר הפוסטים מומלץ עבורם), מבזקי הברק הן פינה מגניבה וחדשנית שמלקטת עבורכם את עדכוני השבוע שאני מצאתי כמעניינים מעולם אבטחת המידע. חושבים ששכחתי משהו? תוכלו ליצור איתי קשר באופן פרטי במייל בדף האודות או לפרסם אותו בתגובות – ואם אמצא אותו כאייטם מעניין אדאג להכניס אותו לפוסט. אז מה היה לנו השבוע?
טלפון חכם? כנראה שלא כל-כך - 50 אנשים נעצרו ברומניה על שימוש אסור בטלפונים חכמים לצורך ריגול. אותם אנשים התקינו על הSmart-Phones של אנשים שונים תוכנות ריגול, שעזרו להם לרגל אחרי בנות-זוגם, מתחרים ואנשים אחרים שנפלו קורבן לאותו ריגול ממניעים אלו ואחרים. אמנם התוכנות לא ממש יכולות להיות מותקנות מרחוק, אבל בהחלט היינו מציעים לכם להתקין איזו תוכנת הגנה נורמלית לטלפונים הניידים שלכם (תחום שמתפתח בטירוף לאחרונה – שווה לעקוב).
AMTSO WHAT? – קווים מנחים לבדיקת וירוסים התקבלו לאחרונה על ידי לא אחרת מאשר… AMTSO. מה? מי זאת? גם אני לא שמעתי על החבר'ה, ובעקבות זה יצאתי למסע להבין במי לעזאזל מדובר. מסקנות: ראשית, מדובר בAnti-Malware Testing Standards Organization (ארגון הסטנדרטים לבדיקות נגד רושעה). שנית, מסתבר שהרבה מחברות האנטי-וירוסים הגדולות ביותר חברות בה, ואני מדבר על AVG, Avira, Avast, ESet, Symantec , McAfee, AV-TEST ועוד המוני שמות שמוכרים לנו מחברות האנטי-וירוס הגדולות. שלישית, אם תרצו להתקבל – אין שום בעיה. 2,000 יורו בשנה ואתם בפנים. לקווים המנחים שפורסמו (שני הקישורים התחתונים).
הכוכבים של Ynet – האתר של ידיעות אחרונות, ynet, פועל כרגיל. כשאני אומר "כרגיל", אני מתכוון כמובן למגמתיות הנתעבת שבאה לידי ביטוי כמעט בכל מילה שקיימת באתר. אז נכון, אולי הם מעתיקים את הכותרות מאתרי חוץ גדולים יותר, אבל הם רחוקים מלהיות תלית שכולה תכלת. אני מתכוון, כמובן, לפרשת "סרטוני הפורנו". כפי שדיווחנו לכם כבר במהלך השבוע, אתר הסרטונים הענק YouTube סבל מפרצת אבטחה חמורה הקרויה "XSS קבוע" באתר. הקורבנות לפי ynet הם כמובן לא המשתמשים, אלא… ג'סטין ביבר! שמספר נמוך עד בלתי-מורגש של סרטונים שלו הושחתו. כך גם נבחרה כותרת הענק על סרטוני פורנו, למרות שבפועל אולי 0.01% מהסרטונים באתר הובילו לאתרי פורנו.
נגסו בתפוח – השבוע הגיעו דיווחים רבים על פריצה לחנות האפליקציות לאייפון, הApp-Store שמנוהלת על ידי חברת הענק אפל. בסופו של דבר, הסתבר שפרצו לעשרות משתמשים וקנו דרך חשבונם האישי אפליקציות שונות במחירים מוגזמים (בכל חשבון בוזבזו, בדרך-כלל, בין 100$ ל1,400$). האפליקציות שנקנו, כמובן, היו שייכות לפורצים – ששלשלו סכומים נכבדים מאוד לכיסם הפרטי. מה שהדליק את התקשורת במיוחד בהתנהלות הפרשיה, הייתה התגובה של אפל – שמיהרה להכחיש, וגם כשהודתה אמרה שמדובר רק ב400 חשבונות. אם להיות אמיתי, מדובר באשמת בעלי החשבונות שבוודאי בחרו סיסמה פשוט והתקשורת ניפחה לגמרי. אבל נו טוב, מי אני שאתווכח עם תקשורת שתמיד כל-כך דואגת לדווח בכנות ולא לנפח כותרות…
Patch Tuesday - בזמן האחרון, לא עובר שבוע שאני לא רואה עשרות דיווחים על עדכוני האבטחה של מיקרוסופט. למי שלא קרא פוסטים קודמים, Patch Tuesday הוא כינוי ליום שלישי, בו מיקרוסופט מוציאה תיקונים לפרצות אבטחה במערכת שלה. בשבוע האחרון תוקנו ארבע פירצות – שלוש פירצות קריטיות המאפשרות השתלטות ממחשב מרוחק – 2 במערכת ההפעלה ווינדוס ואחת בחבילת Office, ועוד עדכון "חשוב" (מדורג מתחת ל"קריטי") לפירצה נוספת בOffice המאפשרת השתלטות ממחשב מרוחק. הפרצות לאופיס הודלפו על ידי ארגון בשם Vopen Security. כמובן שישנם עוד פרצות שהתגלו ולא הוצא עבורם עדיין טלאי (פרצות כאלו נקראות בעגה המקצועית Zero-Day), כמו זו שנמצאה עד לא מזמן ב-IIS 5.1… למיקרוסופט יש הרבה על מה לעבוד.
Oopsbuntu – השבוע לא נאשים רק את מיקרוסופט (למרות שזה כיף לא נורמלי), אלא גם נדווח לכם על פירצת אבטחה רצינית שנמצאה במערכת ההפעלה הלינוקסאית Ubuntu! הפירצה מאפשרת למשתמשים מקומיים להשיג גישת מנהל, ונמצאת במודל MOTD, שמאפשר להציג למשתמשים הודעת כניסה בעת התחברות מוצלחת. לפרטים נוספים.
התקפה חדשה בתאוצה - "חטיפת-טאבים" (התרגום הוא שלי, חופשי, מהמילה האנגלית Tabnapping) היא מתקפת פישינג (דיוג) חדשה ברשת. הבעיה: היא משגשגת. מאוד. בהמשך השבוע אולי יבוא סיקור מלא על המתקפה, אך לבנתיים אציע לכם להזהר – המתקפה מבוססת על כך שמתי שאתם עוברים לטאב אחר (טאב = "לשונית", אתר אחר שפתוח באותו חלון בדפדפן), היא מחליפה את הסמל של הדף שממנו עזבתם (favicon) וטוענת אתר הדומה לאתר מפורסם ומוכר. בקיצור: לפני שאתם מתחברים לשירות כלשהו, תמיד בדקו את שורת הכתובות שלכם וראו שהכתובת נכונה ומדויקת.
תחרות עם נשק יום הדין - DefCon הוא מפגש האקרים שנתי עולמי, המתקיים כל שנה וזוכה לחשיפה ענקית בכלי התקשורת. השנה מארגני דפקון מארגנים תחרות אדירה, הממומנת על ידי הבעלים של האתר http://www.social-engineer.org/ – הרעיון הכללי הוא להעלות את המודעות לנושא ההנדסה החברתית. לפי התכנון, כל משתתף יקבל תיק מסמכים מפורט על כתובת אותה הוא צריך לתקוף. המטרה: לאסוף כמה שיותר מידע. לפני הכנס יהיה מותר לאסוף כמה מידע שירצו על החברה, אך אסור יהיה להם עד הכנס ליצור איתה קשר באיזשהו אופן. בסופו של דבר, יהיו לכל קבוצה 5 דקות להסביר מה הלך שם. זה הולך להיות מסקרן.
שוב אדובי?! – כן כן. לאחר שכבר דיווחנו לכם בשבוע שעבר על הבעיות באבטחה של מוצרי אפל, הנה זה מגיע שוב. החברה לא הצליח לתקן את פירצות האבטחה בקורא קובצי הPDF שלה בצורה טובה מספיק, ולנו רק נשאר להכיר לאדובי את הביטוי Facepalm. לפוסט בדיגיטל וויספר על עקיפת ההגנה.
האם לפרוץ CAPTCHA זהו פשע? – CAPTCHA, או בשם המוכר יותר למשתמשים הביתיים "הקוד-המעצבן-הזה-שצריך-להעתיק-מהתמונה-בזמן-ההרשמה", הוא מנגנון הנועד לעצור רובוטים מלהרשם מאות פעמים ולהציף את האתר. הוא לא ממש אהוד על משתמשים, ובטח שלא על האקרים שמנסים להפיל אתרים. לאחרונה עלה דיון על האם לפרוץ את המנגנון המיוחד נחשב פשע, לאחר שחברה B קנתה מחברה A מספר עצום של כרטיסים, תוך כדי עקיפת מנגנוני הCAPTCHA שלה, עקב רצון למכור את הכרטיסים ולעשות רווח גבוה.
הפיראטים קיבלו בארררררררראש – אתר The Pirate Bay הענק והגדול שמשמש לשיתוף והורדה באינטרנט, נפרץ באמצעות שימוש בחור אבטחה בשם SQL Injection שהיה שם. איך נפלו גיבורים.. לאתר אמנם לא נגרם נזק, אך הושגו פרטים רגישים של משתמשים, כמו כתובת IP של המשתמשים בטראקר, סטטיסטיקות מדויקות של קבצים, שמות משתמשים וסיסמאות (אל דאגה – הסיסמה שלכם מוצפנת בMD5, אלגוריתם שדורש עבודה רבה מאוד אם רוצים לפענח אותה).
החוק להשבתת האינטרנט – סרט ההמשך - NSA (סוכנות הבטחון הלאומית של ארצות-הברית, National Security Agency) החליטה להערך לקראת מלחמת רשת (cyberwar). במסגרת ההחלטה, בשבוע שעבר הועבר החוק שנתן לנשיא ארה"ב (נכון לכתיבת שורות אלו אובאמה) את האפשרות לנתק חלקים נרחבים מרשת האינטרנט בעת מלחמה אינטרנטית. הNSA הוציאה תוכנית יקרה שנקראת "אזרח מושלם" (Perfect Citizen) שמטרתה להודיע על אפשרות להתקפה סייברית על לחברות הפרטיות והממשלתיות שאחראיות לייצור דברים החיוניים לארצות הברית, כמו חברות חשמל או תחנות אנרגיה גרעינית. ההגנה תתבצע באמצעות חיישנים מיוחדים הפרוסים ברשתות מחשוב קריטיות. יעניין לשמוע, שהמלחמה האינטרנטית כעת בראש כותרות מדורי הטכנולוגיה של ארצות-הברית.
פינת התוכנות השבועית לגיקים! – למרות שאתם ממשיכים לא להיות מועילים ולא לעדכן אותי, אני כל שבוע ממשיך ומביא תוכנות לגיקים שיצאו ממש השבוע.
- הראשונה היא inundator v0.5, שמטרתה היא להתחמק מIDS/IPS וWAFים, על ידי הצפתם בfalse positives. שקלתי הרבה אם להביא אותו, ובסוף החלטתי שכן – על מנת שתהיה לכם הגנה ראויה לפני שהכלי ישומש עליכם, מה שמביא אותנו לכלי השני.
- Safe3 SQL Injector הוא אחד הכלים החזקים ביותר שאני מכיר להזרקות SQL, ותומך בעוגיות, POST, GET, ב8 סוגי שרתי בסיס-נתונים, עקיפת WAF ועוד ועוד.
- הכלי השלישי והאחרון שיקפיץ כל לינוקסאי-רוורסר הוא REMnux, שהיא הפצת לינוקס מקונפגת במיוחד עבור רוורסינג של Maleware. מבוססת אובונטו.
עד כאן דיווחי השבוע, להתראות בשבוע הבא
ים מסיקה
שלום לכם, ותודה שחזרתם לקרוא כתבה נוספת בעניין ה-XSS. נעים מאוד לראות את כל התגובות שלכם לכתבה הקודמת, שהתפרסמה, אגב, גם בNewsgeek (וגם שם זכתה לתגובות אוהדות). רציתי להגיד לכולם תודה רבה, ושהתגובות שלכם הן מה שמשלהב אותי להמשיך להמשיך לכתוב פוסטים ב4 לפנות בוקר ;). היום נדבר על מקרה פרטי מאוד מעניין, שכמעט לא מוכר ולא מדובר. בהרבה מדריכים "מקיפים" לאבטחת מידע לא מצאתי מילה בנושא – וכשאני אומר "לא מצאתי מילה", אני מתכוון ל"חיפשתי בגירסאות האלקטרוניות של 'Web Application Hacker's Handbook' ו'XSS Attacks' באופן אלקטרוני, ולא מצאתי שום הזכרה לעניין הזה". האם חוסר המודעות העצומה גורמת לרשלנותן של כל-כך הרבה חברות ענק בנושא, הן של חברות ישראליות והן חברות חוץ? אינני יודע לענות לכם על כך בוודאות, אבל אני חושש שהתשובה היא כן. יש להבין שבהעדר רכישת אמצעים מקצועיים לאבטחת הערוצים התקשורתיים, כפי שכבר הזכרתי בעבר, רק הפרצות הנפוצות שמוכרות לבוני האתרים יטופלו.
אזהרה – למי שלא קרא את הפוסט על XSS-ים, אינני מתכוון לדוש בו שוב. בפוסט זה אני הולך להשתמש בכל הביטויים שהגדרתי בפוסט הקודם, ולכן אני מבקש מכם ללכת ולקרוא אותו כמה שיותר מהר. לעצלנים: לינק. באם לא הבנתם חלק מסוים במאמר, תוכלו בשמחה ליצור עמי קשר במייל ולפרט את החלק שלא הבנתם. אני מבטיח לעזור במגבלות הזמן והלחץ שיש לי בימים האחרונים.
כולנו זוכרים (אוי לקוראים הותיקים אם לא) את ההגדרה שהצגתי ל"שרת", החוטאת בדיוק למען קיצור אורכה – מחשב מרוחק המחובר לרשת האינטרנט, ומשמש אותנו למטרות שונות (פירוט נוסף כמובן מופיע בפוסט על הIRC). כשאנחנו אומרים "שרת הקבצים", אנחנו מתכוונים לשרת שמוצא עבורינו קובץ מסוים על המחשב שבו מאוחסן האתר, מאפשר ומבצע את שליחתו למשתמש. זאת אומרת: אם אני, ים, נכנס ל http://www.mesicka.com/index.php, שרת הקבצים ידע לשלוף עבורי את הקובץ index.php. (הוא אפילו יעבד את הקודים של הPHP שבו עבורי – ראו פוסט קודם).
לעניין – crossdomain.xml
ישנן מוסכמות על שמות של קבצים רבים שלהם יש חשיבות מסוימת, ולמרות שמשתמש רגיל יכול לצפות בחלקם – הם אינם חלק מתוכן האתר באופן ישיר. אתן דוגמה: בחלק מהאתרים ישנו קובץ בשם robots.txt (גם לנו יש). הקובץ, שכבר הוזכר באחד הפוסטים הקודמים שלי, בבירור לא נועד כדי להיות חלק מן התוכן באתר באופן ישיר, ומטרתו האמיתית היא להראות לרובוטים של מנועי החיפוש (זחלנים) מה לעשות (לקריאה נוספת). באופן דומה, יש את הקובץ htpasswd (קיים בשרתים מסוימים עליהם מותקן שרת דפי-אינטרנט בשם "Apache") שמטרתו היא להגביל כניסה לדף מסוים בשם משתמש וסיסמה – והצגת התוכן שלו, כמובן, איננה נגישה למשתמשים, שכן הוא מאחסן את שם המשתמש והסיסמה שיאפשרו גישה לדף. יש עוד מספר קבצים מיוחדים כאלו (שיעורי בית: חפשו על htaccess ועל sitemap.xml), חלקם אחראיים על תפקוד השרת עצמו (php.ini לדוגמה) וחלקם מבקשים משרתים אחרים דברים (robots.txt).
ובכן, למרות שהסוג השני יותר נדיר, הנה הצצה נדירה לקובץ שאת שמו מעטים מכירים: crossdomain.xml. מסתבר שהוא קיים בהמון אתרים, ולרוע המזל – לפעמים הוא יכול להיות ממש לא נחמד. הוא אינו בגדר וירוס, אבל אני מניח שכל קוראיי יסכימו שכמו שלא נמליץ לטבח להתחיל לתכנן ולבנות לבד בניין שדורש יעוץ אדריכלי, כך עדיף יהיה שלא כל בעל אתר יתעסק בקבצים שאיננו מבין בהם. חיזרו למאמרי הקודם בנושא הXSS, וקיראו שוב את ההגדרה המפורטת של "עוגיות" – פתיתי מידע שנשלחים מהשרת ונשמרים על המחשב שלנו, ובסופו של דבר מכילים פעמים רבות את פרטי ההתחברות. משנזכרתם, אוכל להגיד לכם למה אותו קובץ (שעד עכשיו הצגתי כקובץ אימה, שלא בצדק) משמש. עיקר המטרה של crossdomain.xml, הוא להגדיר לאילו אתרים יש גישה לעוגיות של האתר. במילים אחרות: אני, הבעלים של האתר www.mesicka.com, יכול להכניס קובץ חדש לאתר: www.mesicka.com/crossdomain.xml. בקובץ זה, אני יכול לכתוב שמתחשק לי לתת לwww.walla.co.il גישה לכל העוגיות של האתר שלי.
בהרבה מן הפעמים הקובץ הזה יכול להיות מועיל מאוד, ולעזור לי בצורה בלתי רגילה. אני יכול לקשר בין מספר מערכות ששייכות לי, ולמען האמת – אפילו השירות העצום והענק Twitter משתמש בקובץ שכזה. הסכנה האמיתית מגיעה כשאנשים חסרי ניסיון מתחילים לגעת ולשנות שורות בקוד של הקובץ, או מציפים אותו בשורות ללא ביקורת – והתוצאות עלולות להיות הרסניות. בל נשכח שאותן עוגיות (Cookies) הן חלק אינטגרלי מהאתר שלנו, וכוללות פרטי משתמשים. הסגרה שלהם לכל אתר אחר צריכה להעשות בקפידה יתרה, תוך כדי בטחון מלא בבעלים של האתר (המלצת השף: כל עוד זה לא אתר שלך – אל תעשה את זה!). ולאחר שסיימנו את ההקדמה המפרכת, כהרגלנו, בואו נעבור לאבטחת מידע!
* הערה: העברת העוגיה בשימוש ברעיון הcrossdomain.xml יכול להעשות רק דרך מספר טכנולוגיות מצומצמות, כמו Flash וSilverlight. למרות זאת, מאחר ורובם המוחלט של המשתמשים ברשת תומכים בטכנולוגיות אלו, אין פה בעיה.
ניצול הcrossdomain.xml
נכנס לעובי הקורה ונסתכל באותו קובץ של טוויטר. נתמקד בשורות הכוללות allow-access-from domain (מכיוון שהן מרכז המאמר), ונוכל לראות שהוא מקנה גישה לארבעה אתרים שמהווים חלקים מ-Twitter עצמו. נבדוק אתר אחר – YouTube (לחצו על-מנת להגיע לקובץ). הופה, גילינו משהו מעניין: יוטיוב מעניק גישה לעוגיות שלנו גם עבור האתר s.ytimg.com. אלוהים יודע מה זה.. מוזר. (*תודה לw3rp שהגיב לפוסט והודיע לנו שמדובר בשרת המאחסן קבצים, בבעלות YouTube.) עם הרגשת חוסר הבטיחות ואולי החשש הזו, נפנה אל אתר רדיו מעניין – Hideout. לאנשים לא טכנולוגיים מדי קצת קשה להבין מה הולך כאן, ולכן אעזור לכם: סימן הכוכבית במחשבים הוא אחד מקבוצת סימנים חשובה אשר קרויה Wildcards, שהם בעצם תווים שמסמנים תכונה מיוחדת. משמעות הכוכבית היא "הכל", ולכן במקרה שלנו Hideout פשוט מאפשר לכל האתרים לקחת את העוגיות שלו, כלומר – של המשתמשים שלו. מפתיע ומדהים? חסר אחריות לגמרי? מעצבן ומקומם? כל התשובות נכונות. למי שעדיין לא נפל האסימון עד כאן, הנה עזרה קטנה: אני יכול פשוט להקים אתר משלי, ולדעת שכשמשתמש יתחבר לאתר עם crossdomain לא מאובטח, ולאחר מכן לאתר שלי – אוכל פשוט לגנוב לו את העוגיות ששייכות לאותו אתר. XSS ממעלה שנייה, אם תרצו.
אז ברור שאתרים המרשים גישה לכל אתר שהוא, פשוט דורשים שיגנבו להם עוגיות. קצת קשה לדווח על עניין כזה מאחר ולא הרבה שמים על בחור בן אנונימי בן 18 שמנסה לדווח על פרצת אבטחה, אבל נו-מילא. רבים ממומחי האבטחה מזהירים שוב ושוב שלא להשתמש בנתינת גישה גורפת לעוגיות דרך הקובץ הארור, אלא אם אין באתר שום צורת התחברות על ידי עוגיות. יש להזהר מלתת גישה שכזו גם לאתרים עם חומת אש (Firewall, כלי המנסה להגן מפני חדירות למערכת), כי הוא יכול להעניק גישה למקומות שחומת האש מנסה לחסום.
אבל יש גם אנשים שמנסים להיות אחראיים, ולא מציינים את אותה כוכבית ארורה שעלולה לגרום לכל-כך הרבה צרות. גם אם יש עשרות אתרים שאיתם הם רוצים לשתף את העוגיות, הם רושמים את כל כתובות האתרים. אז מה רע, אתם שואלים? הבעיה עם העמסת כתובות אתרים על קובץ היא מובנת, והפעם לאו-דווקא מזווית של אבטחת מידע אלא מזווית אנושית: כשקונים דומיין (כתובת אתר), בדרך-כלל רוכשים אותו לתקופה של שנה עד שנתיים. לאחר מכן הוא מתפוגג (לא מיד, כי אם לאחר "תקופת חסד", תודה לגולש שוהם שביקש להבהיר), ואז כל אחד אחר יכול לרשום אותו שוב. זאת אומרת, שאם נעמיס, נניח, 1,000 כתובות על crossdomain.xml, הסיכוי שדומיין יפוג למחרת הוא כמעט ודאי. למען האמת, בהנחה שכל דומיין נרשם לשנה ולא לשנתיים, מספיקים 22 דומיינים על מנת שתהיה סבירות גבוהה מ-50% שאחד מהם יפוג ממש למחרת! (קראו על פרדוקס יום ההולדת על מנת להבין מדוע).
בואו נניח שיש לנו חברה בשם "חמציצים בע"מ". חמציצים בע"מ היקרים בדיוק עשו שיתוף פעולה עם "תותים עזאם", שמהווה חברה מאוד ותיקה לתותים בשוק. למעשה, "תותים עזאם" רכשו דומיין לשנה בדיוק לפני 362 ימים (עוד 3 ימים והדומיין חוגג יומולדת ויש צורך לחדש אותו). במסגרת השותפות הוחלט שכל אתר ישים קובץ crossdomain.xml, שיאפשר גישה לעוגיות האתר השני. עד כאן הכל דבש. יומיים לאחר מכן, בצער רב, מכריזים "תותים עזאם" על פשיטת רגל. תוך יום נגמרה תקופת ההשכרה של הדומיין, והוא פנוי למשכירים חדשים. אם "חמציצים בע"מ" לא יורידו את האתר של "תותים עזאם" מקובץ הcrossdomain.xml, יוכל גורם עוין ("שזיפים בלעם") להשתלט על הדומיין של תותים עזאם ולהשתיל שם Cookie Stealer. בכך, כל פעם שמישהו יתחבר ל"חמציצים בע"מ" ומיד אחרי זה יחפש בגוגל "תותים עזאם" ויגיע לאתר, שעכשיו בכלל בבעלות "שזיפים בלעם", יסגיר את פרטי ההתחברות שלו לאתר של "חמציצים בע"מ". מסוכן. (התבלבלתם? קראו שוב).
ישנם עשרות אתרים פגיעים. ניתן לראות עד כמה הנושא לא חלחל למודעות בעזרת שאילתות שונות לגוגל, שלאחר התלבטות ארוכה לא אחשוף כאן מחשש לניצול לרעה. אני מאמין שלמי שיש את השכל לבנות את שאילתת החיפוש, הוא גם בעל מספיק שכל על מנת שלא לפגוע באתרים סתם.
עד הפעם הבאה,
- ים מסיקה
ואגב, בונוס על שבירת שיא הכניסות לבלוג – Ninja Catty!
* כמו הפוסט הקודם, הפוסט נועד למטרות ידע בלבד(!) השימוש במידע זה למטרות רעות עובר על חוק המחשבים התשנ"ה (1995) והוא מהווה עבירה פלילית לכל דבר.
בזמן האחרון נראים יותר ויותר ניצוצות קלים של הבנת החומרה שבפרצות האבטחה באינטרנט. בנקים הנשדדים באמצעות האינטרנט הם אמנם קלישאה נפוצה, אבל לא קשה לראות שהפעולה עדיין אפשרית לביצוע. פריצות לאתרים ישראליים רבים בוצעונה לאחר המשט לטורקיה, ביניהם לאתר של סטימצקי, שגרמה לחברה נזק תדמיתי רב. בעוד המודעות גוברת, מעטים בעלי האתרים שטורחים לתקן את אתרם ולשכור צוות מקצועי שיחפש ויסדר להם פרצות אבטחה. בתור אחד שנהג לחפש פרצות אבטחה באתרים ולהודיע לבעלי האתרים עליהן, מצאתי לא לאחת שגם לאחר חודשים מספר, האתרים שדיווחתי להם על חורי האבטחה לא טרחו לתקן אותם. לא אחת אפילו קיבלתי מכתב מעותר באיומים לתביעה על ניסיון להזיק, או קללות על זה שאני נזק, הישראלי המכוער ומה לא.
רוב הציבור נוהג להסתכל על אבטחת מידע כדבר מאוד מונוטוני – כשאדם רגיל שומע שיש באתר "פירצת אבטחה" הוא מתחבא מתחת לשולחן, מנתק את המודם מהמקום וממלמל מתחת לשפם "שמע ישראל" בתקווה שההאקר המרושע לא ידפוק את המחשב. במציאות העניינים מתנהלים די אחרת: גם באתרים מקצועיים של אבטחת מידע, לרוב מדורגת הפירצה במדד מסויים (ראיתי כאלו שמדרגים אפילו בכמה מדדים נפרדים, מ1-3, וציון סופי של 1 עד 10 – OSVDB). ישנם פרמטרים שונים שמשפיעים על כמה הפירצה חמורה, והרבה פעמים ימצאו פירצות שיהיה די קשה לנצל אם שאר האתר מוגן כמו שצריך (דוגמה טובה לכך תהיה פירצה שמסוגלת לפלוט את שם המשתמש של מנהל האתר, אך הפאנל לניהול יהיה מוחבא היטב, ובו תהיה הגנת CAPTCHA והגנה מהתקפות כוח-גס).
היום אכתוב מאמר די טכני שכולל הסבר קצר מאוד, ולא מעמיק, על פרצות מסוג XSS. הייתי שמח גם אם האנשים הפחות-טכניים יתאמצו להבין את מה שכתבתי (ולא להסתפק ב200 המילים שנכתבו עד כה), כשאני מצידי אעשה את המיטב על מנת להשתמש בכמה שפחות ביטויים מורכבים, מוזרים או סיניים. הסיבה לכך היא שהמאמר הוא בעצם מעין הקדמת-בסיס למאמר הבא שארשום על פגיעות מוזרה ושכיחה באתרים שונים, ושזהו המאמר הכי קרוב בבלוג הזה לנושא אבטחת המידע עד כה (לפחות לטעמי).
ראשי התיבות של XSS הן Cross Site Scripting. אז למה לא CSS, ישאלו החכמולוגים שבינכם, ויקבלו את התשובה שישנו כבר קיצור נפוץ מאוד בשם CSS – כל כך נפוץ, כנראה, שלא ראו לנכון לבנות עליו ביטוי נוסף. לכל אותם חברה שאינם בעלי רקע גדול מדי באתרי אינטרנט ובאבטחת מידע, אוכל להגיד שחלק נרחב מהפרצות החבויות באתרי אינטרנט, הן בעצם פגיעוּת עקב חוסר בדיקה של קלט מהמשתמש. אדם שיכול להיות איש אבטחת מידע טוב, הוא זה שיגלוש לאתר הבנק, וכשישאלו אותו "כמה אתה רוצה להפקיד לחשבון של מר. קוסטנזה" הוא ירשום בשדה הקלט 5000$- (שימו לב לסימן המינוס). בעצם, נעשה פה ניסיון להערמה על מערכת המחשוב של האתר – האם במקום הפקדה של 5,000$ לחשבון, אוכל למשוך 5,000$ מחשבונו של אותו מר קוסטנזה? כאן בעצם בא לידי ביטוי תפקידו של מתכנת מערכות הבנק למנוע מצבים שכאלו, או באופן סציפי יותר – תפקידו לזכור לרשום את התנאי שעבור כל סכום להעברה הקטן מאפס תוצג למשתמש שגיאה, והפעולה לא תבוצע.
אתרי האינטרנט עובדים על אותו רעיון: פעמים רבות אנחנו, כאנשים שמנסים להערים על מערכות ההגנה של האתר, נחפש היכן החוליה החלשה באותו אתר, או במקרה שלנו – היכן נוכל להכניס קלט באופן שימוטט את הגנת האתר ויתן לנו גישה מסוימת, למקום שאליו לא יכולנו להגיע לפני-כן. במאמר זה אציג את אחת הפרצות המפורסמות והנפוצות ביותר: XSS. במחקר שתוצאותיו פורסמו בסוף 2007, נמצא ש59.26% מהאתרים מכילים פרצת XSS (חשבו על היכולת לפרוץ שלושה מכל חמישה אתרים). רבים מזלזלים בכוחה של פירצה זו, אך עוד נגיע במאמר זה למה היא מסוגלת לעשות. לאחר כל ההקדמה הארוכה הזו – היידה, לעבודה.
כל אתר בנוי מקוד מסוים, שניתן לחלק לשני "סוגים":
- חלק שמעובד על המחשב שלנו, של המשתמשים, ולכן הוא נשלח אל המחשב שלנו ויכול להקרא במלואו על ידינו (תוכלו לראות את הקוד הזה בכל אתר על ידי קליק ימני -> הצג מקור). השפות שמשתמשות בקוד שכזה אינן שפות תכנות, והנפוצות ביותר הן HTML וJavaScript.
- חלק שמעובד על השרת, והדבר היחידי שנשלח אלינו, המשתמשים, הוא התוצאה ("הפלט"). השפות שמשתמשות בקוד שכזה הן לרוב שפות תכנות, וניתן לראות בתחום זה שפות רבות כמו PHP, ASP ודומות רבות להן.
אם נפרק את התקפת הXSS למרכיביה, נקבל מעין תרשים זרימה:
- אנחנו מנסים ליצור התקפה שתשפיע על עמודי האינטרנט, כך שנוכל לגנוב פרטים של המשתמשים בה.
- את ההתקפה נוכל לעשות על ידי ניצול מקומות בהם הקלט בלתי מסונן, משמע – מקומות באתר שהמתכנת לא בדק האם מה שהמשתמש הכניס הוא למטרה זדונית, או למטרות שימוש נורמליות.
- אם אנחנו רוצים לגנוב פרטים של המשתמשים, אנחנו מעוניינים שהפרצה תהיה חשופה לכמה שיותר מהם על מנת שכמה שיותר "יפלו בפח" ויסגירו את פרטיהם.
- נוכל להשיג כמות נכבדת של פרטי משתמשים על ידי עריכת תוכן הדף, באופן זמני או קבוע, כך שהתוכן שיוצג למשתמשים יהיה מעוות באופן כלשהו שיביא לנו את פרטיהם.
- שימו לב שאם אתם מבולבלים ואיבדתם את הידיים והרגליים – אתם בדרך הנכונה. המשיכו לקרוא.
בהתקפה זו לא נוכל שלא להשתמש במונח "עוגיות", שמהוות אפשרות מעניינת ביותר לניצול פירצת האבטחה – העוגיות (Cookies, או "קוקית" בעברית.. בעע), הן מעין נתונים שאתרים שונים משתילים לנו במחשב. בניגוד לסברה הנפוצה שמדובר בוירוסים שמטרתם לעקוב אחרינו, העוגיות הן בעצם כלי חשוב שעוזר לנו באופן משמעותי להתנהלות היום-יומית באינטרנט: נניח, Gmail.com יכולים להכניס לנו עוגיה עם שם המשתמש והסיסמה שלנו לחשבון המייל, אם לחצנו על "שמור סיסמה". מטרת העוגיה היא, כמובן, להכניס אותנו באופן אוטומטי בפעם הבאה שנכנס לאתר. הפרטים בעוגיה לרוב מוצפנים, על מנת שלא יוכלו להקרא על ידי גורמים עויינים שמאזינים לנו. שימו לב שעוגיה היא כמו אישתו של אתר: אף אתר אחר לא יכול "להתחיל איתה" (לקרוא את התוכן שלה) חוץ מאותו אתר שהגדיר שהיא בשליטתו. זאת אומרת: אם Gmail יצרו עוגיה שבה פרטי החשבון שלי, Hotmail לא יוכלו לקרוא מה יש בעוגיה – כי אין להם גישה לכך.
נחלק את התקפת הXSS לשני חלקים (למרות שיש חלק שלישי, עליו לא נדון במאמר):
- פרצה קבועה: השתלת קוד משלנו בתוך האתר (נניח, בפורומים או במערכות אתרים שמרשות לנו לנהל את הHTML שלנו).
- פרצה "זמנית": באתרים שמציעים עמודים דינאמיים בעלי קלט שמתקבל מהמשתמש – נפרט מיד. הסוג הנפוץ יותר.
פרס לאלו שסבלו עד כאן: בדיוק כאן נתחיל את הפירוט על פרצת הXSS שלנו וכיצד לבצע אותה. הפרצה הקבועה היא מעולה לצורך הדגמת עקרונות של הXSS, ולכן נתחיל איתה. בואו נניח שיש פורום מסוים, שמאפשר לנו להכניס בהודעותינו קוד HTML וקוד JavaScript טהור (כאלו שבונים איתם אתרים). מה שנעשה הוא דבר שכזה:
- נכין דף מראש על השרת שלנו, שיחכה לקבל כפרמטר תוכן של עוגיה. נקרא לו OogiFletzet.php, ומטרתו: ברגע שהוא מקבל עוגיה, הוא מאחסן אותה על Ate.txt
- בדף הפגיע שמצאנו באתר ההוא (זה שמאפשר להכניס בו קודים), נרשום סקריפט בJavaScript שישלוף את התוכן של העוגיות של מי שצופה בדף.
- הסקריפט של הJavaScript ישלח לOogiFletzet.php את העוגיות שהוא שלף.
- נשאר רק לחכות שמשתמש (קורבן) מסכן יכנס לדף שבו שתלנו את הסקריפט בשלב 2, ופרטי העוגיות שלו ישלחו אלינו.
- לרוב, פרטי העוגיות מוצפנות. לכן, נוכל להזריק לעצמינו את העוגיות (לעזאזל, זה נשמע ממש רע) שנצברו בAte.txt ולהשתמש בהן כיאילו היו שלנו.
לקוד שכזה, כמו שהוצג בשלב 1, קוראים Cookie Stealer (תודו שזה משעשע ותמיד חלמתם על לגנוב עוגיות! פשוט אמא די מפחידה כשזה מגיע לשם…) בכל מקרה, פעמים רבות הקוד יסונן, אבל בצורה כושלת. ישנן דרכים רבות לעקוף אותו, אבל למען האמת, המדריך הזה בא לעסוק יותר בצד התיאורטי, ולכן לא אפרט פה שום דרך לגניבת עוגיות וכיו"ב (אנחנו בברנז'ה של הכובע הלבן, זוכרים?).
ניתן תרשים ויזואלי שאולי ימחיש קצת מה הולך כאן:
אבל אם להגיד את האמת, הסוג הזה של XSS נפוץ הרבה פחות. לכתוב הודעה באיזשהו פורום, לחכות שאנשים יכנסו ולקבל הרים של עוגיות זה חלומו הרטוב של כל האקר – אבל זה די נדיר. הפרצה הזמנית היא נפוצה הרבה יותר, ולא אתפלא אם במחקר ההוא שנערך ב2007, כ50% מתוך אותם 59.26% היו פרצות "זמניות". קצת קשה להסביר את שונותה של הפרצה הזמנית מזו של חברתה הקבועה, אבל נוכל לנסות ולנסח כלל שכזה: פרצה קבועה מוטמעת בתוך תוכן האתר, בעוד שפרצה זמנית נוצרת כל פעם מחדש. הטכניקה של גניבת העוגיות היא אותה טכניקה עם שינוי אחד קטן: אנחנו הופכים להיות יותר אקטיביים. אנחנו לא ממתינים שאנשים יכנסו לדף שבו השתלנו את פרצת האבטחה, אלא אנחנו פועלים ושולחים לאנשים פרצת אבטחה שיצרנו. כיצד זה עובד?
- לרוב, את פרצת הXSS הזמנית אנחנו נראה בכתובות של אתרים, כאשר כתובתם דינאמית.
- כתובת דינאמית תהיה, נניח, http://mysite.com/index.php&search=hello – בכתובת זו אנו עושים חיפוש אחר המחרוזת "hello", והיא משתמשת בשיטה בשם GET לשליחת הנתונים שלה, לפיה הפרמטרים מועברים דרך הכתובת (לדוגמה: search הוא פרמטר, שמציין לעמוד index.php באיזו מחרוזת להשתמש לצורך החיפוש. במקרה זה, המשתמש החליט לחפש hello).
- אופציה למה שיוצג למשתמש לאחר חיפוש שכזה הוא: "חיפשת את המחרוזת hello, ולהלן התוצאות". אנו רואים שפלט הדף קשור באופן ברור למחרוזת שהזננו, ולכן נשחק מעט עם הכתובת.
- נשנה את הכתובת ל<http://mysite.com/index.php&search=<script>alert("hello")</script . מה שהכנסתי בפרמטר החיפוש הוא בעצם סקריפט קצר בג'אווהסקריפט, שמטרתו הוא להקפיץ הודעה למשתמש.
- נכנס לכתובת, ואם תוצג למשתמש הודעת שגיאה עם הכיתוב hello, נדע בוודאות שהאתר פגיע.
רבים ישאלו "למה זה פגיע, הרי זה מוצג רק אצלינו" – וכאן קבור הכלב. באפשרותינו לשלוח קישור שכזה לאדם אחר המשתמש באותו אתר, כאשר בפרמטר search נוכל להכניס סקריפט שישלוף את העוגיות וישלח אותן ישירות לCookie Stealer שלנו. כשהמשתמש ילחץ על הקישור (וזה ממש לא בעייתי לעשות דבר שכזה עם קצת הנדסה חברתית) עוגיות המשתמש ישלחו אלינו, וכך נגנוב את פרטי החשבון שלו! האופציות הגלומות בעניין אדירות: אם מנהל האתר נכנס לקישור – אפשר להרים כוסית, הרי שהאתר נפרץ. נוכל גם להשתיל בקישור העברה לתוכנה זדונית שבנינו, או אפילו לגנוב רק את האימייל לצורך ספאם. האפשרויות הגלומות בהתקפה הן אין-סופיות, מגניבת זהות ועד פריצה לאתר כולו.
למרות זאת, רבים ממעיטים בערכו של הXSS הזמני – אני מניח שזה משום שיש צורך ממשי שמשתמש יכנס לאותו קישור נגוע. אינני מסכים עם תחושת הבטחון הפיקטיבית הזו, וקורא לכם לזכור שבעידן מקצרי הקישורים למינהם לא קשה לגרום לכם ללחוץ על לינק – bit.ly וtinyurl עושים את זה ממש קל לגרום לכם להתעניין וללחוץ. פירצת XSS לרוב בכלל לא תהיה מורגשת, ותוודעו לה רק שחשבונכם יפרץ. היא קיימת באין-ספור אתרים בעולם, ובכתבה הבאה אני אראה לכם כיצד אפשר לזהות כמה מהם ב5 שניות בדיוק.
מקווה שהשכלתם,
ים מסיקה
לקריאה נוספת: בבלוג של גיא מזרחי, "שליף" לבדיקות XSSים, תזכורת באתר של ניוזגיק, הערך בויקיפדיה (או בעברית), ואפילו אחד שפורסם היום בבלוג הזה.
כל מה שנכתב בבלוג הוא כמובן ברמה התיאורטית בלבד. השימוש בו למטרות פרקטיות אסור לחלוטין על פי חוק המחשבים התשנ"ה (1995).
בעזרת כמה משתמשים שהגיבו בפורומים של גיא מזרחי, אנו אחד הבלוגים הראשונים שמפרסמים את המצאו של XSS בYouTube!
הXSS הוא מסוג קבוע, כך שהוא מהווה דרגת סיכון גבוהה במיוחד גם למשתמשים זהירים. מומלץ להתנתק מחשבונותיכם באופן מיידי, למחוק את העוגיות הקשורות לYouTube בדפדפן ולהשתדל להמנע כמה שיותר מכניסה לסרטוני YouTube עד שיפורסם שהפרצה נסתמה. על מנת להיות לא חשופים לפרצה, יש להשתמש בתוסף NoScript לפיירפוקס שמנטרל JavaScript.
פוסט מפורט אודות פירצת הXSS יפורסם היום בחצות. מחיפוש קצר, אנחנו בלוג הטכנולוגיה הראשון שמעדכן בדבר המצאות פירצת הXSS באתר YouTube. לא נוסיף כאן פרטים נוספים אודות טיב הפירצה על מנת שלא תנוצל לרעה, אך תוכלו למצוא פרטים אודותיה בחיפוש מעמיק.
שימו לב! לצורך הפרסום העניין לא נבדק באופן מעמיק ומסתמך על מספר דוגמאות. יתכן שמדובר במתיחה, בדבר שלא באמת עובד או בדבר שאינו באמת פירצת אבטחה. צוות הבלוג עובד על בדיקת הפרצה.
עדכון (שעה 17:50 לערך): הפירצה תוקנה. ניתן להתחבר שוב למשתמשים. תודה לכל החבר'ה שעדכנו את חבריהם.
הגעתם לפוסט מבזקי הברק הרביעי, שמצליח כל שבוע לרשום מספר תגובות נאה במיוחד (וזו הסיבה שאני מתחיל לכתוב פוסט ב3:50 לפנות בוקר ומסיים ב6:05, מהיר יחסית), ולכן אני ממשיך לעדכן אתכם באותם "מבזקי ברק". להזכירכם (או לטובת הקוראים החדשים שהמעבר על שאר הפוסטים מומלץ עבורם), מבזקי הברק הן פינה מגניבה וחדשה שמלקטת עבורכם את עדכוני השבוע שאני מצאתי כמעניינים מעולם אבטחת המידע. חושבים ששכחתי משהו? תוכלו ליצור איתי קשר באופן פרטי במייל בדף האודות או לפרסם אותו בתגובות – ואם אמצא אותו כאייטם מעניין אדאג להכניס אותו לפוסט. אז מה היה לנו השבוע?
ארצות הברית מכבה את האינטרנט בקליק - בארצות רבית הועבר חוק על ידי הסנאט (הרשות המחוקקת), לפיו לנשיא יש סמכויות לנתק על דעת עצמו חלקים נרחבים מהאינטרנט בזמן מתקפה טכנולוגית על ארצות הברית. באופן די משעשע, גם בישראל עשו מהעניין רעש גדול. החוק מעורר בעיקר דאגות רציניות במקרה שיופעל לצורך סתימת פיות וכנגד אתרים כמו Wikileaks, ואכן מהווה נקודה בעייתית במקום כלשהו לדמוקרטיה בעודו מעלה סימני שאלה רבים על הסיבות שנחקק (למה זה דרוש עכשיו? ארה"ב מתכוננת לאיזשהי מלחמה בה היא תקח חלק אקטיבי?). ניחשתם נכון, האזרחים לא אהבו את זה…
צרפת מפעילה פיקוח אדוק יותר על משתפי הקבצים – צרפת כבר פתחה בהגבלות וענישה חמורות במסגרת חוק "שלוש הפסילות" שנחקק בשנה השעברה, והעבירה בשבוע האחרון חוק חדש העוסק ברמת המעקב אחר משתמשים. לחוק שלוש הפסילות היסטוריה ארוכה – הוא החל בהענשה וניתוק מהאינטרנט באופן מיידי של כל אדם שנתפס כמוריד פעמיים, התגלגל להיות כזה רק בהיתר בית משפט, ולאחר מכן הוכרז ככשלון מוחץ שהתברר שאינו הוריד בכלל את אחוזי הפיראטיות – ולמעשה הייתה עליה בהם. הקוראים הותיקים כבר יודעים מה דעתי…
אם בארזים נפלה שלהבת… – מי שבעסקי האחסון, ודאי יודע על אחת החברות הגדולות בתחום בעולם לענייני אחסון – BlueHost. הפריצה לחשבון הבלוג של מנכ"ל החברה בשבוע האחרון אמנם לא תמוטט את העסק, אבל החודש הוא יוכל לקנות רק 5 וילות במקום 7 ומכונית. בנוסף, נמצאה פרצת אבטחה קריטית מסוג XSS באתר של חברת האנטי-וירוס Norton שמהווה את אחד המפורסמות בעולם – Symantec. בואו נודה באמת, גם להם זה לא ממש יוסיף לקוחות… לגרגרנים שבינכם שלא יסתפקו ב2 דיווחי ענק, נודיע שפרטים טיפוליים של 130,000 לקוחות של בית חולים בארצות הברית שהיו מגובים על דיסקים, פשוט נעלמו.
מה יגידו אזובי הקיר - נפרצו מערכות של עיבוד-כרטיסי מלונות במקומות שונים בארה"ב. כמובן שההשפעה הישירה נראתה על מערכת התשלום של אותם מלונות, חלקם בהוואי, קולוראדו וקליפורניה. כל אורח ששהה ב21 מתוך 30 המלונות שמערכותיהם נפרצו, עלול להיות קורבנות לגניבה. החברה האחראית מסרבת לשחרר פרטים נוספים, תוך כדי שהיא חוזרת ואומרת שהעניינים נמצאים תחת חקירה של ארצות-הברית.
וברווזי השיר (מתחרז יופי עם למעלה) - לא, סתם. אליהם כבר התרגלנו. התקפות חוזרות ונשנות על מרכז התמיכה של מיקרוסופט, ולנו לא נותר אלא להתגלגל מצחוק ולהודות שזה היה חייב לקרות מתישהוא. אוך, נוסטלגיה. מזכיר לי את ימי הקונפיקר העליזים, שהפילו את שרתי Windows Update. כמה נחמד.
סקאם! – ועדת הסחר הפדרלית של ארה"ב (FTC), דיווחו על פעילות סקאם (זיוף, התחזות ורמאות באינטרנט) ספציפית שנמשכת כבר ארבע שנים. במסגרת הפעילות, הצליחו לגלגל מפעיליה מיליוני דולרים, על ידי שימוש בחברות וירטואליות. הסקאמרים היו מתוחכמים במיוחד, והצליחו להשאר בפרופיל נמוך מכיוון שגנבו מכל כרטיס רק בין 0.25$ ל9$, ויצירת יותר מ100 חשבונות בנק מזויפים שיעבירו את הכספים. בעזרת לכידת 1.35 מיליון כרטיסי אשראי, הצליחו החבר'ה להגיע לסכום הבריא של 9.5 מיליון דולר. מכובד.
אדובי הדובי בשנת חורף - Adobe, כאן כדור הארץ. למקרה שלא שמת לב, שניים מהמוצרים שלך נחשפו בחודש שעבר לפרצת אבטחה חמורה. הרעיון: את אמורה לנסות לשפר את התדמית שלך. מה שקורה בפועל: אחד מפרצות האבטחה תוקנו רק לפני יממה, האקספלוייט (הדרך לניצול) כבר הופץ, ואנחנו כוססים ציפורניים כל פעם לפני שאנחנו פותחים PDF בתקווה שהוא לא יקריס לי את הדפדפן או יריץ לי איזה טרויאן מציק על המחשב. אז נכון שיצא בשקט בשקט איזה עדכון, אבל היי, אפשר בבקשה שהשרת שלכם לא יקרוס כשאני מנסה להוריד אותו? טוב נו. אני פשוט אזהר.
גוגל לא רק חוגגת עם DevFest - לצד חגיגות הDevFest (הנפלאות, רוצה לציין) שהיו ביום שלישי, גוגל יכולה להרכין חצי ראש על הבוץ העמוק שהיא דחפה את עצמה אליו עם פרשת הWi-Fi. להזכירכם, גוגל החליטה לנצל את הרשאות הStreet View שנתנו לה לסייר באיזורים מסוימים ברחבי העולם, ואספה אותות של רשתות אל-חוטיות ממשתמשים. החברה כמובן התנצלה ואמרה שזה בטעות, אבל לא נראה שזה שיכנע מישהו. במיוחד לא את הUK Metropolitan Police, שהחליטה לחקור את הנושא וגילתה, למרבה הפלא(?), שגוגל עשתה את זה כבר 3 שנים! אה, ואם כבר גוגל, ענקית החברה החליטה להעביר את חיפושה המוצפן לכתובת https://encrypted.google.com/ , בשל בקשה של בתי-ספר ואוניברסיטאות ברחבי העולם לחסום גישה לדפי חיפוש מוצפנים (נקודה למחשבה). חדשה מרעישה מספר 3 היא שגוגל גם גונבת לפיירפוקס את דף האבטחה של בדיקת הפלאגאינים.
עוד חבר למעגל הרשלנות - זהו האזכור הראשון (ובתקווה שגם האחרון) של חברת FourSquare החביבה, שנפלה הפעם, במזל, לידיים טובות. מטרת החברה היא לאנדקס את המיקום של החברים בה, לתת להם אצ'יבמנטים על ביקורים במקומות חדשים וביקורים חוזרים ונישנים באותו המקום. מזלם של החבר'ה שהפעם תפסו אותם האקרים כובע לבן עם המכנסיים למטה (ולא היו אלו משתמשים זדוניים), והצליחו לדלות Check-Ins של 875 אלף משתמשים. החברה דווקא נהגה באופן אחראי ופרסמה את המקרה בבלוג שלה באופן הוגן, ותיקנה את בעית הפרטיות החמורה. נקווה שלא יחזור על עצמו.
ונחזור לגוגל! – עם הדיווח הרביעי השבוע על חברת הענק, שבהחלט הייתה פעילה במיוחד השבוע מסיבה בלתי-ברורה בגזרת אבטחת המידע, אנחנו מצהירים על מערכת אבטחה חדשה (שהחדשות עליה מתפשטות בעולם ממש ברגעים אלו). ההגנות החדשות אמורות להתריע, ממש כמו מערכות בנק, על כל התחברות נוספת ממקום גיאוגרפי מרוחק. תוכלו לראות ולהתעדכן על התראות כאלו בגוגל דאשבורד.
גוגל תומכת באבטחה ופרטיות? לייק! – פייסבוק, בצעד די נדיר ואולי לאור הלחצים הנדירים שהופעלו עליהם לאחרונה, החליטו לשפר את התמיכה בפרטיות. לפי צעד זה, המשתמש יצטרך לאשר לכל אפליקציה צד-שלישי (תוספת לפייסבוק, אתר או שירות שאינם שייכת לפייסבוק ישירות) לפני שזו תוכל לראות את פרטי המשתמש שלא נחשפו לציבור. צעד זה, על פי פייסבוק, עוזר ומגדיל את אפשרויות הפרטיות של המשתמשים בשירות. נזכיר רק שבשבועות האחרונים פייסבוק באמת התאמצה לשמור על פרטיות המשתמשים, אפשר אפילו לומר שהיא ממש הזיעה על מנת להפוך את הגדרות הפרטיות של פייסבוק לקצת יותר אטרקטיביים.
תוכנות השבוע - לגיקים שבינינו. שוחרר w3af 1.0 rc3 (פרטים נוספים בלינק. משמשת בעיקר להתקפות ווב, וזמינה לווינדוס וללינוקס). אני אשמח אם מישהו יעזור לי בעדכון הפינה הקטנה הזו, שכן אני לא משתמש הרבה מדי בכלים ולא מכיר הרבה מהם.
לא לשכוח! השבוע יצא גם גיליון Digital Whisper חדש, והעשירי במספר. זוהי כברת דרך רצינית, ואני רוצה לאחל לאפיק ולכל הכותבים הרבה מזל טוב ועד 120 גליונות. הדבר הראשון שאני עושה כל חודש, תודה רבה! להורדת הגיליון (מומלץ בחום, בעברית למי שעדיין לא בעניינים), תוכלו להכנס לעמוד הגליונות באתר. לכבוד חגיגת המספר העגול, אוסיף שגם מדי פעם שווה להציץ בבלוג עצמו, שמודיע לא רק על יציאת פוסטים חדשים – אלא על עדכונים שוטפים בתחום אבטחת המידע.
אני חוזר ואומר שעבור פרסום פוסטים מעניינים כאן (שיסוננו בחלקם, דרושה רמה גבוהה של מאמר אך שמתאימה לכל סוגי האוכלוסיה) תוכלו לפנות אלי בכתובת הדואר האלקטרוני שבעמוד אודות, בתגובות או בIRC.
שיהיה לכולם סוף שבוע דבש (:
ים מסיקה
בגדול, מטרת פוסט זה הולכת להכיר לכם את משמעות העולם הנפלא של ה--IRC. אם נסקור באופן עמוק קצת יותר את תוכן הפוסט, מטרתי להכיר לכם מושגים שונים הקשורים ברשת האינטרנט ואפילו ללמוד מעט על אבטחת מידע. על מנת להכיר את אותו דבר שנקרא IRC, נצטרך ללמוד את פירושם של מספר מושגים בסיסיים שיעזרו לנו לבנות את פרמידת המושגים שאנחנו מעוניינים ללמוד – מושגים שיעזרו לכם לקבל פרופורציה מסוימת על האינטרנט, ולא רק בפוסט הזה, כי אם גם בפוסטים הבאים שארשום.
העם לא יכול לדעת איך להגדיר את הIRC במדויק, כי אין לו כלים לעשות זאת – בדיוק כפי שלי אין כלים להגדיר אותו במדויק בפני האנשים הלא טכנולוגיים. הוא מאוד יתקרב לאמת כשיגיד שמדובר ב"רשת גדולה של צ'אטים", כי זה בערך מה שIRC אומר – Internet Relay Chat. "אדם שמתחבר לIRC יכול לדבר עם החברים שלו" זו גם הגדרה שנשמעת קרובה למציאות, אבל עדיין לא מספיק טובה לטעמי (שכן היא יותר קרובה להדגמה). מקצת אנשי הטכנולוגיה שלא יהיו מוכנים להסתכן באי הבנתכם תמורת דיוק, יגידו לכם שהIRC הוא בעצם מעין פרוטוקול תקשורת. רבים מאיתנו משתמשים בפרוטוקולי תקשורת רבים מבלי לשים לב לכך, בכל יום! אך על מנת להבין את משמעות המונח פרוטוקול תקשורת, נבחן קודם מקרוב את משמעות המונח פרוטוקול.
פרוטוקול (בעברית: נוהל) לפי ויקיפדיה מהווה "רשימה של כללים המגדירים את דרך ביצועה של משימה מסוימת". פרוטוקול של לכידת אויב יכול להיות, לדוגמה, נוהל סיר לחץ הצבאי שמתרחש כך: כיתור הבית, וידוא שאין בבית חפים מפשע, [הוצאת חפים מפשע אם יש], קריאה לאויב לצאת, יריית רקטות, רימונים ואש קלה על הבית, ירייה על הבית באמצעות טנקים, קידום דחפור באופן קרוב לבית, תקיעת כף הדחפור בבית, הריסת הבית. הפרוטוקול נפסק באופן מיידי ולא עובר לשלב הבא ברגע כניעת האויב. חשבו לעצמכם על דוגמאות נוספות לפרוטוקולים, ומשהבנתם הגדרת "פרוטוקול" מה הוא (החלק הקשה יותר), תוכלו לעבור להגדרה הספציפית יותר של פרוטוקול תקשורת.
פרוטוקול תקשורת מהווה הסכמה הדדית על חוקים ועל מוסכמות שיתקיימו בין מספר פרטים (יצורים חיים, אובייקטים) המשתמשים בשירות מסוים, על מנת שיהיה נוח יותר או מובן יותר כיצד להשתמש בו. לדוגמה, פרוטוקול מסוים יכול להיות: ישיבת התלמידים בכתה, צלצול, כניסת המורה לכתה, התלמידים משתתקים לגמרי, לימוד אינטנסיבי של חומר, צלצול הפסקה, המורה אורזת, התלמידים קמים (בתקווה שהמורה לא תזכר בעוד משהו), המורה הולכת לכיוון הדלת, המורה יוצאת מהכתה, סיום השיעור. לצורך העניין, זהו פרוטוקול התקשורת של שיעור בבית-הספר עם מורה מפחידה (סורי לחבר'ה שבחופש הגדול…) , בו התקיימו חוקים ומוסכמות של מספר פרטים (תלמידים ומורה, אנשים). בפרוטוקול זה ראינו תבנית מעניינת מאוד, שתחזור על עצמה ברוב פרוטוקולי התקשורת האחרים, של המתנה לפתיחת קשר, יצירת וביסוס הקשר, התחלה של העברת נתונים, ותהליך של סיום ווידוא של העברת נתונים. השקעתי אמנם זמן רב על כתיבת כל הרעיון ואיך הוא מתממש, אך בסוף החלטתי שלא להכניסו בגלל הצפה בנתונים טכניים וחוסר יכולת להכנס לכל החריגות והפרטים הקטנים. לכל הסקרנים הערך האנגלי בויקיפדיה מסביר את זה מעולה, וגם אם לא תקראו אותו – אני מניח שהצלחתם להבין פחות או יותר מה הכוונה והמטרה של "פרוטוקול תקשורת". פרוטוקול תקשורת יכול להיות גם שיחת טלפון, ואפילו שיחה במסנג'ר (שכבר קרוב יותר למה שאני הולך לקראתו – פרוטוקולי תקשורת הממומשים באופן אלקטרוני).
כפי שכבר הזכרתי, הIRC הוא בעצם פרוטוקול תקשורת. הוא מאפשר לכם לדבר עם החברים שלכם באמצעות הגדרת כללים משותפים ומובנים, שיהיו מקובלים עליכם ועל שאר המחשבים שמשתמשים באותו פרוטוקול ורוצים לתקשר דרכו. על ידי כמה אנשים שמנגנים תווים מסוימים בזמנים שונים, כפי שהסכמנו מראש, אנחנו יוצרים הרמוניה שמאפשרת לנו לעשות מוזיקה טובה. כך גם פועל הIRC וכל פרוטוקול תקשורת אחר בעצם – על ידי כך שהמחשב שלנו והמחשבים שאיתם אנחנו בתקשורת עושים פעולות מסוימות בזמנים שונים, אנחנו מצליחים ליצור בינינו התקשרות ולשוחח ברשת.
אבל אם להגיד את האמת, ניתן לדייק הרבה יותר בהגדרת אופן הפעילות של ה-IRC. את פרוטוקולי התקשורת ניתן לסווג לשני סוגים עיקריים: תקשורת בין לקוח ללקוח (כוונתי היא בין אדם לאדם), ובין לקוח לשרת. בפוסט הזה אנחנו לא נתעסק בתקשורת שבין לקוח ללקוח – כך פועל הeMule שלכם (או קליינט הטורנטים שלכם, או כל תוכנה אחרת לשיתוף קבצים), לדוגמה – כל משתמש מתחבר להרבה משתמשים אחרים, מעביר להם ומקבל מהם את המידע – באופן ישיר. הIRC פועל בצורה שונה קמעה: כל משתמש מתחבר לשרת, במקום למשתמש אחר.
שרת (או באנגלית: Server) הוא בעצם מחשב מרוחק שיושב אי שם (לרוב במקום שנקרא חוות שרתים), ומאפשר למשתמשים שונים להתחבר אליו. על השרת מותקנת תוכנה מסוימת, שחיונית לפעולתו, והיא מאפשרת את פעולות המשתמשים עליו. ישנם שרתים מסוגים רבים, שמוגדרים לרוב על פי אותה תוכנה חיונית שמותקנת עליהם: שרתי HTTP (זה שמאפשר לכם לראות אתרים שונים ברשת האינטרנט), שרתי פרוקסי (שעליהם ודאי אכתוב פוסט מתישהו), שרתי DNS (כנ"ל), שרתי דואר אלקטרוני, שרתי קבצים (שמאפשרים שיתוף קבצים), שרתי eMule (שלא דואגים להעברת הקבצים, אלא רק לחיפוש אנשים אחרים אליהם תוכלו להתחבר) ועוד הרבה אחרים – כולל שרת IRC, הדואג שלמשתמשים המחוברים אליו תהיה אפשרות לשוחח ברשת.
אם כן, אנחנו יודעים מה הוא שרת. אנחנו יודעים שהIRC הוא בעצם פרוטוקול תקשורת האחראי למימוש שיחה בין אנשים, כאשר אותו פרוטוקול תקשורת ממומש על ידי שרתים. ההסבר מכאן הוא די פשוט: כל אדם הרוצה להשתמש בפרוטוקול הIRC על מנת לשוחח עם חבריו, יכול להתחבר לשרת מסוים (בדיוק כמו שרובכם עושים בשרתי משחק רשת, או בשרתי תוכנות השיתוף). ישנם אלפי שרתי IRC המאפשרים למשתמשים להתחבר אליהם באופן חופשי. אדם המתחבר לשרת שכזה, יכנס בדרך כלל לערוץ. ערוץ הוא בעצם מקום מסוים שיוכלו המשתמשים "להכנס" אליו, והוא מהווה הסכמה בין משתמשים שרוצים לשוחח אחד עם השני (כמו שיחת ועידה שכזו). לכל ערוץ יש שם שמתחיל בסימן #, ופעמים רבות הוא ישקף את נושא השיחה בערוץ: לדוגמה, האנשים בערוץ security# ידברו לרוב על אבטחה. ניתן להתחבר לכמה שרתים ולכמה ערוצים במקביל, על מנת לשוחח (או לראות שיחות) בכמה מקומות מעניינים. דוגמה לשרת מעניין הוא שרת ששמו Freenode, בו הערוצים המובילים (אלו שיש בהם את המספר הרב ביותר של אנשים) עוזרים למשתמשים בנושאים שונים בשפות תכנות, ומאוכלסים במשתמשים שרמתם גבוהה מאוד (שימו לב – שפת הדיבור בסרבר הספציפי הזה היא אנגלית). מה שקורה במציאות לפי פרוטוקול התקשורת של ה-IRC, זה שהשרת אליו אתם מחוברים מקבל את ההודעה ששלחתם לערוץ מסוים, ומעביר אותה לשאר המשתמשים שנמצאים באותו הערוץ. פשוט, לא? כמו בחדרי צ'אט רגילים שאתם מכירים (שרובם המכריע מתבסס על פרוטוקול ה-IRC), בסרברים המודרניים יש דרגות ניהוליות שמסומלות בעזרת תווים מיוחדים (כמו @ שמציין מנהל), ויש אפשרויות שונות ("מודים") שניתן להחיל על הערוץ, דוגמת i שמציין ערוץ למוזמנים בלבד. קצרה היריעה מלהכיל את האפשרויות העצומות והרחבות הללו בפוסט אחד, ואני אסתפק בתיאור שנתתי עד כה.
כמובן, לכל דבר טוב חייב להיות גם צד רע. לרוע המזל, מנצלים היום את ה-IRC משתמשים רבים שמטרותיהן שונות ומסתכמות לרוב בגרימת נזק למחשבים שונים המחוברים לרשת האינטרנט: הם מדביקים משתמשים רבים בתוכנה זדונית, שמטרתה היא להכניס את כל אלו שנדבקו לחדר מסוים בשרת IRC ספציפי. לאחר מכן, אותם משתמשים זדוניים שולחים הודעה מסוימת בערוץ, המכילה פקודה שהמחשבים שנדבקו בתוכנה הזדונית יבצעו. פקודה זו יכולה להיות, נניח, בקשה מכל המחשבים לתקוף בצורה מסוימת, באופן סימולטני, אתר מסוים (שנקרא "הקורבן"). מחשב בודד שנדבק בתוכנה זדונית שכזו נקרא בוטנט (Botnet) או זומבי (Zombie), ובפעמים רבות הוא אחראי גם על הדבקת מחשבים אחרים (על ידי שליחה ברשימות תפוצה, כמו מייל, מסנג'ר וכדומה). רשתות בוטנטים הן עניין רציני, וככל נושא באבטחת מידע הוא מורכב ממנגנונים שונים, שבין היתר אחראיים לניקוי העקבות ולהסתרת ה"מפקדה", ממנה התוקף שולח את הפקודות. רשתות בוטנטים ניתנות למכירה (כמובן שכנגד החוק, כמו כל הסיפור הזה בפני עצמו), ואדם ששולט על רשת בוטנטים רחבה נחשב כאדם בעל עוצמה רבה. ישנם ספרים רבים בנושא, ולשם שינוי הפעם דווקא לא אמליץ על אף אחד מהם. לקריאה זריזה ונוספת אמליץ על מאמר של cp77fk4r במסגרת הגליון החודשי לאבטחת מידע של Digital Whisper (לחצו כאן – עמ' 4 עד 14).
גם לבלוג יש ערוץ IRC רשמי. לערוץ זה תוכלו להתחבר דרך צ'אט אינטרנטי, שכתובתו http://webchat.nix.co.il/#security (המילה security# מציינת את הערוץ). להתחברות דרך קליינט (תוכנה שמאפשרת שימוש בשרת מסוים – במקרה שלנו שרת הIRC), הורידו את mIRC לווינדוס או את XChat ללינוקס (המלצות אישיות, יש עוד תוכנות דומות רבות). מיד לאחר מכן תוכלו להתחבר על ידי הלינק הזה, שיקח אתכם ישירות לערוץ שלנו, security#, שנמצא בסרבר irc.nix.co.il. מומלץ בחום.
המסתקרנים באופן בלתי רגיל, אולי יתעניינו בקריאה של הRFCים (קבצים טכניים שמהווים טיוטה מסוימת למימוש תקנים ברשת האינטרנט) של ה-IRC, שניתנים להשגה במלואם ובאופן מסודר כאן. הרבה מהRFCים ממש לא מסודרים, מכילים הרבה (המון!) טקסט לא מעניין ומציק ולא נוחים לקריאה. ראו הוזהרתם.
מקווה שהשכלתם,
ים
שבוע שני שהרעיון המגניב ממשיך לעשות גלים (לפחות לפי התגובות הנהדרות שלכם, תודה!), ואני ממשיך לעדכן אתכם ב"מבזקי ברק". להזכירכם (או לטובת הקוראים החדשים שהמעבר על שאר הפוסטים מומלץ עבורם), מבזקי הברק הן פינה מגניבה וחדשה שמלקטת עבורכם את עדכוני השבוע שאני מצאתי כמעניינים מעולם אבטחת המידע. חושבים ששכחתי משהו? תוכלו ליצור איתי קשר באופן פרטי במייל בדף האודות או לפרסם אותו בתגובות – ואם אמצא אותו כאייטם מעניין אדאג להכניס אותו לפוסט. אז מה היה לנו השבוע?
HTTPS בכל מקום!: תוסף חדש לדפדפן Firefox ("פיירפוקס") מאפשר לנו לנהל גלישה דרך כתובת בטוחה באתרים גדולים, תמיד. התוסף נוצר באמצעות שיתוף בין EFF ו-TOR. הראשון, EFF ("קרן החזית האלקטרונית"), דוגל בחירות ברשת האינטרנט ובעידן המחשבים בכלל. הוא מוכר מאוד בארצות הברית, הוא ארגון ללא מטרות רווח ותוכלו למצוא עליו אפילו בויקיפדיה העברית. הוא שותף למאבק בעד התוכנות החופשיות, ונגד ניהול זכויות דיגיטלי, עליו כתבתי בפוסט שלי "על תוכן פיראטי, מוזיקה, משחקים ודולרים". השני, TOR, הוא אחד הפרויקטים המוכרים ביותר בתחום אבטחת המידע בישראל (וראיתי לא מעט אנשים פרטיים ששמעו עליו, למרבה ההפתעה). החברים מהגיליון הידוע Digital Whisper אף כתבו עליו באחד הגיליונות, ובקצרה נגיד לכם שהוא מיועד להסוואה של אנשים ברשת האינטרנט (ויש שילקו בי על חוסר הדיוק, אז אנא, קראו את הכתוב בגיליון). התוסף בהחלט מומלץ, ובין האתרים שעליו הוא משפיע תוכלו למצוא את גוגל, וויקיפדיה, טוויטר, פייסבוק ופייפל. להורדה.
שועל האש לא יקרוס יותר בגלל חתיכות קרח בזנב?: ואם כבר אהובינו הפיירפוקס, נודיע לכם בקול צהלה שיצאה גירסה חדשה לדפדפן "פיירפוקס", 3.6.4, שמונעת את קריסת הדפדפן במקרה של קריסת אחת מהתוספות שלו. יותר מזה, השועל ידאג להדליק את התוסף החביב מחדש ללא גרימת שום נזק. חוסר המזל הוא שמשתמשים רבים, רוב מכריע שהצלחתי לראות הוא המשחקים במשחקים של החברה Zynga בפייסבוק (בין המפורסמים FarmVille וTexas Hold'em Poker), מדווחים על קריסות חוזרות ונשנות של נגן הפלאש בגירסה החדשה.
אינטרנט אקספלורר מובילה ב… רגע, מה?!: אינטרנט אקספלורר תפסה השבוע תאוצה מרשימה ביותר, כאשר הציגה תצוגה מקדימה של הדפדפן החדש שלה: אינטרנט אקספלורר 9. מסתבר שהדפדפן החדש מרשים ביותר יחסית לציפיות העלובות ממיקרוסופט (לאחר הגירסאות העלובות 7 ו8 שלא עמדו בקצב), והוא הצליח לעקוף במבחנים מסוימים אף את הדפדפנים "כרום" ו"פיירפוקס", תודות להאצת חומרה (בין היתר). אמנם כך מדווחות הכותרות, אך אוכל להגיד לכם שמדובר בהשוואה בין תנין לברווז, שכן רוב הדפדפנים אינם תומכים עדיין בהאצת חומרה. למרות זאת, מעניין לראות את התפתחות העניינים בזירה הזו.
כמה?!?!?!: לא, לא קיבלתי הודעה על העלות של מערכת ההפעלה של מיקרוסופט, אלא שלפי מחקרים שהתפרסמו השבוע מדובר ב3.7 ביליון מיילים של פישינג שנשלחו בשנה האחרונה. יותר ממחציתם(!) נועדו לרמות לקוחות בנק על מנת לתת את פרטי כרטיס האשראי שלהם, כאשר במקום השני מתמודד נכבד לא פחות, העוקץ הניגרי המפורסם שמודיע על זכייה בתחרויות והגרלות שונות, ומבקש מקדמה על מנת לפרוע את הזכייה. כמובן ששום כסף לא מגיע בחזרה. רבע מהבריטים מודים שהם נפלו קורבן לדיוג, בסכום ממוצע של 285 לירה שטרלינג (סכום השווה ליותר מ1,600 ש"ח!). הנתון הסטטיסטי המדהים, הוא שהתגלתה עלייה של 132% בהונאות הבנק.
ואם כבר ספאם, ככה לא בונים חומה!: סינון ספאם הפך לצרה רצינית בזמן האחרון, כשהמונדיאל מוביל בכמות הספאם האדירה שהוא משגר לאנשים – כך מדווחת חברת הענק Symantec (שאחראית בין היתר על המוצר Norton Anti-virus). חוקרים כבר הזהירו במשך שבועות שהנושא יהיה הוט-טופיק לספאם, דיוג וכן נוזקה, בשל העניין הרב שהנושא מושך לעברו. המעבדות לחקר המייל של החברה מודיעות שהנושא הוא אכן החם ביותר בזמן האחרון, והוא בהחלט לא משתמש רק לשליחת ספאם הקשור באירועי המונדיאל – אלא גם הודעות שאינן קשורות ומנסות לעבור את הסינונים הרגילים. בנוסף, החברה מתלוננת על כך שספאם זה מעודד משתמשים אחרים להתחיל בפעילויות ספאם.
3 שנים נפלאות של זכויות יוצרים הגיעו לסיומן?: במאבק משפטי חריף על סך ביליון דולר שנמשך שלוש שנים מרות בין Viacom, מפיצה סרטי קולנוע ועובדת בתחום הטלוויזיה, הלווין והכבלים בארצות הברית, לבין Google שבבעלותה אתר הסרטונים Youtube, ניצחה לבסוף גוגל. משתמשי הביטורנט טוענים לנצחון עצום עבורם, שכן מדובר בנצחון ענק בתחום שיתוף הקבצים שתוכנם מוגן בזכויות יוצרים.
הקעקרים הטורקיים מצייצים: יותר מאלף חשבונות טוויטר ישראליים לערך נפרצו על ידי "האקרים" טורקיים תוך 12 שעות, כך מדווח אתר אבטחת המידע F-Secure. למשתמשים בטוויטר נמליץ לא להכניס את הפרטים של חשבונכם לאף דף, להמנע מאישור של אתרים שאתם לא בוטחים בהם ולבחור סיסמה המורכבת מיותר משמונה תווים ומכילה תווים קטנים, גדולים וסימנים – זאת למרות שגל הפריצות פסק נכון לזמן זה. דרך החשבונות שנפרצו, פורסם הציוץ Hacked By Turkish Hackers.
יש וירוס – אין אינטרנט!: האוסטרליים חטפו ג'ננה רצינית השבוע, והחליטו שבמסגרת מאבק פשיעה ברשת, כל אזרח שיודבק באיזה וירוס – ינותק מהאינטרנט. אל תשאלו אותי איך הבחור אמור להסיר את הוירוס בלי אינטרנט, להשיג אנטי-וירוס במהירות ובנוחות בלי אינטרנט, או אפילו לנהל חיי עבודה נורמליים כשכל רגע אתה יכול להזדהות כבעל וירוס ופשוט לקבל ניתוק אינטרנט בפרצוף. יותר מזה, הייתי מציע רעיון: כל מי שיחלה במציאות, פשוט נירה בו!… לא? תהרגו אותי, אבל לי זה נשמע כמו איזשהו קומבינה רצינית עם ספקי האנטי-וירוס, ועם כל הרצון הטוב – לא רק שזו תוכנית מפגרת, אלא גם שמדובר בתוכנית שכמעט בלתי אפשרית למימוש.
המטרה: קבצי אקסל – אדובי לא לבד: אחרי שהאקרים הצליחו למצוא חור אבטחה חמור בקבצי ה-PDF שמאפשר להריץ קוד זדוני בעת פתיחתו, מסתבר שהאפיזודה לא נגמרה: בעזרת חור אבטחה שמזהה ה-CVE שלו הוא 2009-3129, ולפי מספר עדכונים שפרסמו מיקרוסופט בנושא, גם קובצי הExcel בצרות. למעודכנים אין מה לדאוג – אם ברשותכם העדכונים האחרונים של האנטי-וירוס ושל חלונות – אתם בסדר גמור. לבעלי הזכרון הארוך שבנינו אני מרשה לצחוק, כי אדובי ומיקרוסופט הסתבכו גם ב-2009 ביחד, בתחום אבטחת המידע, עם אותם מוצרים. Hilarious it is.
DNSSEC יוצא לפעולה!: דומיינים עם סיומת org. יוכלו להיות מוגנים בעזרת המנגנון החדש והמגניב של DNSSEC, בהמשך למה שדובר עליו כאן בפינת מבזקי הברק בסוף השבוע שעבר. "במילים פשוטות", אומר רוד בקסטרום, מנכ"ל הICANN שאחראיים על רישום ועל פעולות הדומיינים בעולם, "DNSSEC יבטיח למשתמשים שהם הגיעו לאתר או למיקום שהם רצו להגיע אליו". ההשפעה על דומיינים בעלי סיומת net. וcom., למרבה הצער, לא צפויה להתרחש עד הרבעון הראשון של שנת 2011. לפירוט נוסף.
ולתוכנות השבוע שלנו (אנשים, זרקו לי פה עצם): nwmap v0.1, פרויקט מגניב שמטרתו לנתח רשתות תקשורת על ידי קובץ pcap! חמוד ביותר. עוד פרוייקט נחמד, מבוסס ענן (נכון שאני מתחיל להיות מעניין?), הוא ניתוח קבצי networking ללא צורך בתוכנה! גדול לגמרי לדעתי – שימושי? קצת פחות. לפרויקט קוראים CloudShark, והוא נפתח ממש בשבוע האחרון. גיגול של ext:pcap נתן לי קובץ להכניס, והרי לכם התוצאות.
עד השבוע הבא
שלכם,
ים מסיקה.
|
|
Recent Comments