Názory k článku Hysteria.sk: jménem zákona se zabavuje
-
medvedik (neregistrovaný)ja uz dlhsiu dobu nastastie nie som na slovensku vsak viete kazdy z nas na to ma ako taky nazor.staci si len zobrat ako to skoncilo na volbach.lepsia zostava sa uz podla mna neda zkonbinovat.svet sa meni ludia chcu stale to a ono v podstate si to aj zasluzia ono vsetko je to ako odraz zrkadla.viete si predstavit slovensko bez korupcie a ked niekto najde dieru v systeme tak uz je problem mozno len zrnko pravdy kvaplo z vreca,aj tak sa nikto nikdy nedozvie kde idu tie vsetky peniaze...
ono je to take ako globalne myslenie kupis si colu a myslis si ze mozno ziskas neaku cenu
hmm ale to si myslia aj ostatny v podstate ta velka cena pojde do skladu a kym sa dotrepe do obchodu zatial uz bude neplatna.
toto je moj nazor na svet..
este taka rada nebuduce si treba dat hosting do takeho statu kde je vatsia demokracia a zalohovat sa da .ja si myslim ze admin musel mat zalohovany server.a urcite sa najde niekolko sponzorov dobroprajnych ktory HYSTERIU znova spojazdnia..
staci ked si pozriete top rated hosting or dedicated servers..
takze na zaver len tolko berte to tak ze vlada ma vatsiu moc ako par ludi aj ked tych par ludi ma pravdu.
s pozdravom medvedik -
anonymníMuzete, prosim, tady panovi disorderovi nekdo vysvetlit, co je to Internet a jak funguje? Nebo mu poradte zdroje, odkud si to bude moct nastudovat. Ja na to nemam cas.
PS: Zacit se da napriklad u IANA a pak pokracovat dal. Pan Peterka tusim psal hodne veci jak co funguje. Preji prijemne studium. -
Karel (neregistrovaný):-) Tohle je věta, kterou obhájce anarchismu nikdy nesmí říct, protože by se tím totálně odepsal v diskusi. Pokud jsou v anarchii pravidla, pak mají smysl jen pokud je nějaká autorita, která jejich dodržování vymáhá. A pokud existuje autorita, která má mandát něco vymáhat, pak... pak už to není anarchie :-)
Aneb někomu méně patrný rozdíl mezi liberalismem a anarchií... -
disorder (neregistrovaný)1) ja tu neobhajujem anarchizmus. a nepisal som, ze to je anarchizmus, ale ze sa riadi jeho pravidlami (ani nemoze vsetkymi, pretoze su aj rozdielne anarchizmy - napr. sukromne vlastnictvo moze a nemusi byt)
2) ani v anarchii nie je mozne si robit co sa mi zachce (to by bolo skvele keby ma niekto okradol ci zabil!) -
Nepletes si nahodou svobodu a anarchii? To, po cem tady lidi volaji, je svoboda. tedy dokud nekdo nema duvodne podezreni, ze konam neco zleho, neni duvod, aby se prohrabaval zaznamy meho chovani na internetu.
Pokud i to nazyvas anarchii, budes asi zklaman tim, ze to neni domenou Slovaku - chvala bohu jsou jeste leckde lide, kteri si svobody ceni nade vse. -
Karel (neregistrovaný)Definice svobody je bohužel velice složitá a nekonečná. Pokud ji ponecháme na vámi uvedené větě, pak jednání popsané v článku je zcela v souladu se svobodou. Protože někdo měl důvodné podezření.
Mělo by se to vylepšit něčím jako "a v případě, že se čin neprokáže, měl by žalující nést za své obvinění trest odpovídající újmě, která byla způsobena nespravedlivě obviněnému."
A pak přijde další kolečko - ze strachu o sebe by málokdo kdy vznesl jakékoliv obvinění. A další kolečko - co třeba dříve populární organizovaný zločin a dnes medializovaný terorismus? Neměla by i míra nebezpečnosti pro společnost mít nějaký vliv na posouzení co už je důvodné podezření a jaký trest by měl být z nespravedlivého obvinění? A kdo má vlastně rozhodovat o míře a trestu?
Řečeno jinak, za to co policie udělala by měl někdo dostat přes prsty. Ale ne zas tolik, aby se bál to samé podniknout znovu proti někomu, kdo bude skutečně nebezpečný. Policista, který se nebojí, je riziko. Policista, který se bojí, je k ničemu. Společnost je tak silná, jak silný je její nejslabší článek. I kdybych si o sobě myslel, že jsem sociální superman, pohledem okolo sebe ztratím iluze. Možná by se i dalo říci, že dokud jde jen o ego a o peníze, tak jsme na tom vlastně velmi dobře. -
O tom se take nepru - ac hrube nesouhlasim s tim, ze o tom predtim ani potom neinformovali majitele a provozovatele.
Pru se o to, zda proxy a obecne jakakoliv sluzba bez logu ma nebo nema pravo na existenci, a jestli volani po tom, aby mela, je anarchii, nebo prirozenym a opravnenym projevem touhy po svobode. -
anonymníSouhlasim, ze mohou byt vyhrady proti nekterym detailum pri postupu policie pri zabavovani serveru. Ne, ze by predem upozornovali, ze si pro ten server jdou. To proste neni mozne. Ale rozhodne po zabaveni je nutne bez prodleni informovat majitele/provozovatele (Na druhou stranu nikde nepsali, ze kontaktni udaje majitele/provozovatele mela policie k dispozici pred nebo tesne po akci).
Pokud se mi nekdo bude prohanet takovymto zpusobem po serveru, tak rozhodne budu chtit po policii, aby ten vzdaleny server okamzite zabavila. A muzou byt umysly aktera sebevznostnejsi. V tom policii jednoznacne podporim.
Co se tyka logu. Souhlasite snad s tim, aby provozovatele serveru meli moznost beztrestne kryt trestnou cinnost na internetu? Ja tedy rozhodne ne. To nazyvam anarchii. (Ona ta beztrestnost neni zas tak horka.)
Povinne ukladani logu je tou nejjednodussi moznosti, jak k dopadeni pachatelu alespon trochu prispet. A o zadne omezeni svobody se stejne nejedna. To jsou jen kecy. -
anonymní1) verejna autorita je pod tlakem medii, takze zakony musi vyvazovat anarchisticky tlak(skryvajici se pod ideemi falesne svobody) a tlak totalitni autokracie (skryvajici se pod ideemi falecne bezpecnosti)
2) verejna autorita bude vzdy reagovat pomaleji, protoze 1)
3) logy mohou mit i kdyz to neni povinne, a pokud by byli co k cemu, tak budou mit i accounting a MAC
4) To, ze tyto logy nemaji, nevedou a dokonce ucelne zastavili jejich generovani, jasne dali najevo svuj zamer, ktery ostatne v mediich potvrdili. V tomhle pripade vedome kryji nejakeho troubu, ktery si stahnul z ciziho serveru cizi postu. V jinem pripade mohli stejnym zpusobem vedome kryt o dost zavaznejsi trestnou cinnost. -
anonymníad 3. Mate smulu, ze vam neverim. Mozna jsem ted naivni ja, ale podle mne nejste takovy hlupak, jak tady ze sebe delate.
A co z toho, ze je nikdo neobvinil? Vedome nekoho kryt a byt z toho obvinen jsou dve odlisne, na sobe naprosto nezavisle veci. Takze? (radeji uz nereagujte :-))
Prestante si hrat na demagoga. Je zjevne, ze _principy_ zakonu a soudu jsou pro vas tajemna neznama. (Slovo "principy" je podtrzeno, pokud to nekomu nedojde, a zacne se tahat za slovicka.)
Takovych vychytralku jako vy, co k zakonum pristupuji jako k hlavolamu, ktery je potreba "vyresit" jsem videl ve skolnich lavicich desitky. Vsichni maji argumenty typu "Chtel jsem tomu panovi s tim kufrem jen pomoci. Nemohu za to, ze mi nestacil v chuzi." (opet ukazka z praxe) -
disorder (neregistrovaný)ked sa presadi zakon o nutnosti tych logov, az potom sa mozeme bavit o ich vine. zakon im to povoluje, tak preco by to nemohli spravit? ved oni sa vystavili riziku, ze o server pridu, vas do toho nic. a vy ako platiaci uzivatel by ste ho urcite zneuzil, aby ste o neho prisiel (navyse nie je zahranicny)? postrada to vsetku logiku...
a ked ich nikto neobvinil, tak to nespravili. ze sa vam nepaci, ze to "mohli robit, tak su zli" je vas problem (a myslim, ze dost velky). -
Vypada to, ze snad dokonce jste pravnik, ale principy svobody Vam moc nerikaji... Zase, znovu - proc by nekdo mel byt povinen shromazdovat informace pro vysetrovatele preventivne, pro pripad, ze vysetrovatele napadne, ze by se u nej po necem poohledl? Ano, je to bohuzel presne ten trend, ktery zacina ve svete - napr. v Nemecku musi jakakoliv verejna sluzba na v;astni naklady uchovavat informace v pozadovanem rozsahu a pozadovanytm kanalem je na vyzadani vydat. Pro velkeho poskytovatele mailu naklady v milionech, pro maleho, ktery mel tu smulu, ze spadl do teto povinnosti, smrt.
To vsak jeste neznamena, ze by to tak bylo z jakehokoliv hlediska - krome toho policejniho - spravne. -
To je pravda. Na druhe strane - kdyby si police vyzadala soucinnost provozovatele, kterou je ji povinen, je to neco jineho nez jit sbalit stroj, nikomu nic nerict - a obvinovat, ze "vsichni ty utocniky stejne jen chrani, protoze vsichni vime, proc to tam maji a proc tam vsichni jsou". To se musi pricit snad kazdemu a jako prvnimu kazdemu s pravnickym vzdelanim.
Na druhe strane je pravda, ze kdyz chci upozornit na bezpecnostni chybu, slusne na ni upozornim obet - nerozmaznu to ze vseho nejdriv v novinach a nedelam z obeti blba. Ta to uz, jak je vidno, zvladne sama. -
ToM (neregistrovaný)Jake by to bylo pekne, kdyby vsichni meli cestne umysly a mluvili pravdu.
Nelze bohuzel spolehat na "cest" provozovatele. Dukaz musim zajistit bez ohledu na jeho vztah k cinu. Nikdo mi nezaruci, ze provozovatelem neni primo sam pachatel.
Uz jsem tady souhlasil s tim, ze policie by mela o zabaveni bez prodleni upozornit provozovatele, ale musi take zajistit, ze dukaz nebyl nikym ovlivnen a ma tedy stale prukazni hodnotu. Coz se u serveru v internetu dost blbe realizuje, pokud by ta policie mela zabaveni oznamit byt jen jednu minutu pred odpojenim serveru. -
zufik (neregistrovaný)add1))) viete mi prosim definovat "skutocnu slobodu" a "skutocnu bezpecnost"? ako by ste ju zaviedli do praxe? odstranili by ste anonymitu aj z realneho zivota?..niekto tu server prirovnaval k namestiu..je mozne aby museli byt vsetky namestia monitorovane? respektive..tvar nas neidentifikuje jednoznacne..takze vsetci by sme boli oznaceny neakymi id? verejne by nebolo zname ale statne organy by k nemu mali pristup..prepacte ale zda sa mi to absurdne..
add3)))obratme otazku..zaviedli by ste v zaujme bezpecnosti povinne logy?alebo by ste zakazali proxyservre a uzivatelia spoza natu by sa mali identifikovat este neako inak?fajn..a nezda sa vam ze toto vsetko by sa dalo krasne zneuzit?
add4)))to ze logy nevedu svedci imho o serioznosti a skutocnej anonymite daneho proxy.. -
CyberBob66 (neregistrovaný)Stručně řečeno anarchie je sračka a nesmysl:
"anarchie dává jedinci svobodu a práva" a "nejsou omezována veřejnou autoritou"
Obhájci anarchie si totiž neuvědomují, že každá mince má dvě strany. Proto neexistují práva bez povinností a svoboda bez omezování.
Jestliže chcete mít nějaká práva a svobody nevyhnutelně to znamená, že ostatní musí mít (minimálně) povinnost vaše práva respektovat. A na to musí dohlížet nějaká autorita. Protože, kdyby nedohlížela, tak ta práva prakticky nemáte, protože je nikdo není povinen respektovat.
V anarchii pak budete paradoxně méně svobodní než v lehce totalitním režimu (který by vám ukládal sice mnoho poviností, ale např. by vám zaručil právo na ochranu soukromého majetku, trestal by zloděje a vrahy...) -
Ondrej 'SanTiago' Zajicek (neregistrovaný)> Co se tyka logu. Souhlasite snad s tim, aby provozovatele serveru meli moznost beztrestne kryt trestnou cinnost na internetu? Ja tedy rozhodne ne. To nazyvam anarchii. (Ona ta beztrestnost neni zas tak horka.)
Co se tyce videozaznamu. Souhlasite snad s tim, aby majitele bytu meli moznost beztrestne kryt trestnou cinnost? Ja tedy rozhodne ne. To nazyvam anarchii. V kazdem byte povinne uschovavany videozaznam pro policii. -
J (neregistrovaný)Obavam se, ze podstata unika naopak Vam. Nejspis Vam prijde normalni ze si v obchode zapisi vase jmeno a adresu + kompletni seznam nakupu. No a az ve vasem okoli nekoho zapichnou nozem s cepeli sirokou 5cm, pujde policie rovnou k vam domu, protoze jste si ho minuly tyden koupil. Bude na Vas aby jste prokazal ze jste nikoho nezapich a mezi tim budete vesele rok, mozna dva sedet ve vazbe. (viz nedavna reportaz v TV).
-
ToM (neregistrovaný)Mozna to je tim, ze nam jde kazdemu o neco jineho.
Mne jde o to, aby byl internet pouzitelny. Coz mimo jine znamena, aby bylo mozne dopadnou cloveka, ktery v nem sluzby sabotuje nebo ziskava informace, ktere mu nepatri.
A o co jde vam? Vypada to, ze o presny opak, kdyz chcete umoznit kryti takovych pachatelu.
Kdyz uz sledujete televizi, doporucuji si vytvorit/udrzet zdravy odstup od nazoru a informaci, ktere dostavate z tohoto manipulujiciho medialniho kanalu.
Ostatne nic neni dokonaleho, ale proc kvuli tomu vylevat vanicku i s ditetem. Jeden pripad pravidlo nedela. -
Televizi? Snad mi ani nechybi, ze jakykoliv cesky kanal nemam sanci chytit. Ale dekuji za radu.
Proc tady vsem vkladate do hlav, ze chteji chtranit nejake pachatele? To prece nikdo nerika! Kdo zpusobi druhemu skodu a ev. se tim jeste sam obohati, at pyka. Proc by ale mel kdokoliv byt povinen shromazdovat informace jen proto, aby nekdo jiny - jehoz to je job - mel snazsi praci? Proc se snazite kriminalizovat provozovatele serveru, ktery od sameho pocatku nezaznamenava vyuziti svych sluzeb? Proc by mel? Dela ho to zlocincem? Znamena to, ze schvaluje pripadne trestne ciny? Ne, ani jedno z toho neni logicky pravda.
Vezmete si to jinak - kdyz nechate na ulici stat odemcene auto - i kdyz se tam nikdo nevloupe, ale policajt vezme za klicku, dostanete pokutu. Jste POVINEN si je zajistit. Proc se tady NBUSR hluboce nestydi, neprozene administratory a cele tech. oddeleni trestnou kolonou a misto toho zabavi HW prostredky nekoho zcela nezucastneneho, nesdeli mu to ani pote a odmita se s nim bavit? Pripadne Vam to v souladu s jakymkoliv pravem - krome onoho "noze a tesaku" - totiz "My sme policia, kto, prosim pekne, ste vy? Aky vas hardwer? Hovorte az budete pytany, teraz prosim opustte tuto budovu."
Abych odpovedel na Vasi otazku - mne jde o svobodu. Totiz, kriminalizovan ma byt ten, kdo se dopousti trestneho cinu (i kdyz uz tady mam problem s vyrazivem, neb trestny cin a cin moralne zavrzenihodny jsou dve ruzne mnoziny cinu), nikoliv statni moci sikanovan ten, kdo se nahodou namanul na ceste a pro koho bylo jednoduche si dojit. Taktez ne - nema byt sledovan a implicitne podezrivan kdekdo, jen proto, aby liny/neschopny vysetrovatel mel jednodussi praci. -
ToM (neregistrovaný)Ad televize. To byla reakce na prispevek pisatele "J" o televizni reportazi.
Shodneme se na tom, ze k reseni problemu pocitacove kriminality prispiva vyznamnou merou nalezeni pachatele a jeho potrestani?
Jak chcete pachatele na internetu nalezt, pokud je budou, byt z nedbalosti, kryt provozovatele serveru?
Jak chcete identifikovat pachatele, ktery se vydava za nic netusiciho provozovatele serveru? A tento provozovatel bude za svoji nedbalost nepostizitelny?
Mate pak vubec sanci najit nejakeho pachatele s vasim pristupem? Nemate. A to je oc tu bezi. Kriminalita v takovem pripade roste a roste a humanisti transparenty oslavuji svobodu.
Je Svoboda a Svoboda. Pokud chcete zit v pravnim state, tak na tu humanistickou (prominte ten vyraz) - velkohubou - svobodu zapomente. Ta proste neexistuje. -
CyberBob66 (neregistrovaný)1) Pokud to zákon výslovně nevyžaduje, pak taková služba má právo na existenci.
2) Pokud jde o nějakou vizi, jestli by takové služby měly v budoucnu existovat nebo ne, nemůžeme o tom rozhodovat v internetových diskusích. Je to věc, o které rozhodnou všichni občani prostřednictvím svých volených zástupců (uznávám, že dnešní demokracie je na ho*no, ale v současnosti nemáme lepší způsob rozhodování)
Přidám i svůj osobní názor:
-internet by měl zůstat svobodný a do jisté míry anonymní (jistá míra = tak jak to bývalo :) a každý by s tím měl počítat. Že internet používají i BFU, kteří na takové vlastnosti internetu nejsou připraveni, je jejich problém.
-někdo tady přirovnával proxy s telefonní ústřednou - to je docela výstižné. Když budou teroristi telefonovat přes Eurotel, taky tam nevtrhnou policajti a neseberou jim všechny počítače. Ale vyzvou příslušnou společnost ke spolupráci. Vtip je totiž v tom, že (potenciální) zločin nepáchá majitel proxy/ústředny ale uživatel jeho služby. -
ToM (neregistrovaný)1) jiste, ale pak musi provozovatel nest dusledky za takovy provoz
2) souhlasim s poznamkou, ze odborna verejnost prijde take s svou troskou do mlyna
Souhlasim s urcitou mirou anonymity. Je rozhodne zadouci. Nicmene nesmi zamezi vysetreni trestnych cinnu.
Pokud by se jednalo o server Eurotelu, tak by policie postupovala asi velmi obdobnym zpusobem (tj. bez oznameni). Statni zastupce prip. soud, ktery zabaveni schvaluje, bude vzdy brat v uvahu potencialni skody, ktere zabavenim mohou vzniknout, v porovnani se spolecenskou nebezpecnosti trestneho cinu.
Ostatne pokud se prokaze, ze takoveto zabaveni bylo neprimerene tj. vznikla tim neumerne vysoka skoda, tak ma postizeny pravo stezovat si proti postupu policie a zadat nahradu skody. -
zufik (neregistrovaný)No..ip adresa prave uz nieje az tak dovodne podozrenie..hovori vam nieco pojem bot?..a ked som dobre informovany k pristupu z onyx proxy doslo az po samotnom prielome..teda neaka lamka sa tam chcela tiez "pozriet"..ak by slo o neaku inu adresu tak sa na to vybodnu..ale nie..tu islo o pristup z "liahne hackerov"..
-
Zet (neregistrovaný)Nepochopil si... problém totiž nie je v proxy, ktorý neloguje prístupy a dá sa cez neho vlezť do NBÚ. Problém je v NBÚ kde sedí nejaký debil, ktorý ani po apríli nezmenil heslo ale tam nechal to primitívne čo bolo aj pretým. Podľa mňa by ho mali súdiť za sabotáž alebo vlastizradu.
-
Ray (neregistrovaný)Driv si urednici nedovolili tolik co ted, bohuzel... Ani policie si nedovolila bez dukazu a pod. neco delat. Minimalne si je "opatrili" - ale takzvana dnesni demokracie se ani s timto nenamaha :( A ruku v ruce domu jde funkcnost soudu a vezenske zpravy jako celku.
Nerekl bych, ze u nas by to probihalo jinak. Aneb, verim tomu, ze pokud by nekdo prisel do firmy, tak ji zabavi veskerou vypocetni techniku, ikdyby nenasli ani ablo nelegalniho - koneckoncu, nekdo podal "udani" tak se tomusi prosetri, ne ?
R. -
Karel (neregistrovaný)Onehdá byl zveřejněn případ nějakého člověka, co seděl ve vyšetřovací vazbě snad 3 měsíce a chytil tam od někoho tuberkulózu. Nakonec ho pustili, protože se podezření nepotvrdilo (a údajně mělo jít navíc o čin, který ani nebyl trestným činem ale šlo pouze o přestupek a prakticky by nebylo možné ho za to poslat natvdro do vězení).
A výsledek? Nikdo se neomluvil, žádná náhrada ušlé mzdy, žádná náhrada ztráty zaměstnání, žádné odškodnění za psychickou újmu, žádné odškodnění za ztrátu společenského uplatnění (bacilonosič), prostě nic. Policie ČR to totiž udělat smí, musí to být sice odůvodněné, ale nikdo takové odůvodnění neověřuje. Když se ptali novináři proč, tak je to údajně proto, aby se nemusel vyšetřovatel obávat, že ho za jeho rozhodnutí bude někdo stíhat a tudíž nebyl tak snadno ovlivnitelný a vydíratelný. -
off (neregistrovaný)Precitaj si http://drahovsky.blog.sme.sk/c/56570/Nezmyselne-dodrziavanie-nezmyselnych-zakonov.html
najma cast:
Ešte z minulého režimu si pamätám na podobné prísne dodržiavanie zákonov. Katka, sestrina spolužiačka na základne skole v Piešťanoch, spadla pod nákladne auto, tak nešťastne, že jej odtrhlo štyri prsty na ruke. Ľudia z neďalekého obchodu zavolali sanitku a verejnú bezpečnosť. Lekár naložil dievča do sanitky a bral dva prsty ležiace na ceste. Lenže príslušník verejnej bezpečnosti mu ich nedovolil zobrať, že najprv a musia byť odfotografovane, že tak mu káže predpis. Strhla sa hádka, ale príslušník verejnej bezpečnosti striktne dodržiaval predpisy. Našťastie ďalšie dva prsty odleteli ďalej, tam ich zobrala okoloidúca pani a v tichosti ich dala vodičovi sanitky.
Katku operovali a dva prsty jej úspešne prišili naspať. Až keď sa prebrala z narkózy došla verejná bezpečnosť, že ňou zabezpečene prsty už nepotrebuje. Bohužiaľ bolo to veľmi neskoro.
Tak vďaka náhodnej okoloidúcej, ktorá úmyselne porušila vtedy platné predpisy, má Katka na ruke okrem palca, aspoň dva prsty. -
Karel (neregistrovaný)Kdybych měl tehdejší a dnešní situaci porovnat, tak dříve byly excesy úzké a vysoké - takové prasárny si dovolilo jen pár lidí, ale pak zacházeli do extrémů. V dnešní době nejsou excesy až tak vysoké, ale jsou ukrutně široké - prasárny dělá kdekdo. Já osobně například nevěřím na vodníky, lesní víly a poctivé městské policisty.
A důvod proč to tak je? Za komunistů nebylo až tak bezpečné navážet se do lidí o kterých moc nevíte, protože jste nikdy neměli jistotu, zda to náhodou není manžel bývalé sekretářky nějakého ředitele šlechtitelského ústavu, nebo zda to není známý nějakého vysoce postaveného milicionáře z místí fabriky atd. Jinak řečeno (a ověřeno) - za komunistů se bál každý každého a hubu a krok držela i většina úředníků, policistů apod. Sice se nepřetrhli, ale báli se aby někomu nešlápli na kuří oko. A také nebyl tehdy problém nepohodlného úředníka přeřadit na obecní úřad na východ od Košic. Dneska máme tu vymoženost, že na úředníka nikdo nemůže, a oni to velice dobře vědí. -
Izak (neregistrovaný)TO ANI NAHODOU, pokud to nebylo na obednavku KSC kdy se konaly justicni vrazdy, ktere nynejsi soud zlegalizoval !!!! A odsuzuje pana Cibulku za ciutrhani, kdyz ukazuje na agenty STB.
Kdyby normalni policista za vlady KSC spachal nenarizenou zlovuli, sel by klidne i do vezeni, mimochodem az se situace uvolnila, nejtvrdsi agenti a vysertovatele ve vezeni skoncily, coz jim dnes nehrozi ani nahodou.
Policista byl sice sasek, co vam mohl zneprijemnit zivot, ale jen tak vas zmlatit taky nemoh, zato by sel sedet. Nebavim se ted o letech tvrde normalizace, kdy se to delo na politickou obednavku, ale na dobu tak cca 28 let zpet.
To si ani agenti STB nemohli delat co chteli.
Ted sice mame virtualni demokracii, teoreticky mame presunkci neviny, teoreticky by mel stat uznavat a odskodnovat sve chyby, jenze to tak nefunguje.
Zatimco USA podle zakonnu vypada jak policejni stat, maji tam presunkci viny, jenze pokud ji vyvratite, nebo nekdo neda presvedcivy dukaz(kdyz neni dukaz, skonci soud predbeznym slysenim). Zato tam jsou politicky korektni a i kdyz jsou tam magori a nekdy by byl hezky zdravi selsky rozum, tak kdyz vas policita zmlati, pujde do vezeni a bude vam paltit odskodne, do vezeni tam muze jit i prezident ci jakykoliv senator, kdyby manageri z Enronu pusobili u na v CR, tak by nesedeli ani nahodou a odesli by na dovolenou nekde na luxusni chatu. -
Karel (neregistrovaný)Upřesnil bych: v ČR je relativně přesně dáno co úředník smí a co nesmí. Bohužel ale neexistuje žádný postih za to, že udělá něco co nesmí. Řečeno na příkladu: pořádá se veřejné výběrové řízení a některý z úředníků někomu vyzradí některé tajné části (hodnotící kriteria, nabídky třetích stran apod.) Když se na to přijde, může dojít až ke zrušení výsledků výběrového řízení a k jeho opakování. Ovšem ten, kdo takové informace vyzradil, nemůže být nijak potrestán. Zákon, vyhlášky apod. sice přesně napsaly co se smí a co ne, ale už není nenapsáno, co se má udělat tomu, kdo to poruší.
Takže v ČR je jasné co úředník smi a co nesmí. Ale zároveň za své činy nenese žádnou zodpovědnost. Neplatí to sice univerzálně, ale až nepříjemně často ano. -
blaster (neregistrovaný)Tohle mi pripomina americky zatah na hackery v 90.letech. Ti slovaci je urcite chteli hackery vydesit tim, ze rozezenou jejich hnizdo. To mi nepripomina standardni demokraticke praktiky.
Pokud by byli policajti chytri, poslali by do serverovny forenzniho technika, ktery by poridil kopii disku serveru... Majitele by se zrejme vubec nic nedozvedeli. -
abyssal (neregistrovaný)a) Ludia v Nextre by si to asi vsimli, ale keby boli sikovni (a hodne by chceli), tak by mohli pouzit nejaky social engineering. Nieze by to policajti potrebovali, mozu zo zakona nakazat Nextre, nech ich tam pusti.
b) Admini by si to asi vsimli. Policajti mohli odpojit komp od siete, rebootovat, pridat trojana, rychlo prebootovat naspat, zapojit siet a vypadok by bol par (desiatok) minut. Admini sa tiez nepozeraju stale, ci komp bezi. Nextra by im mohla povedat, ze vyhorela UPSka alebo nejaku podobnu blbost. Jednoducho pouzit std::mlzenie :-) (std::mlzenie je oblubena technika mnohych ludi) -
Dramon (neregistrovaný)No nevím. Podle mě je server uzamčený (myslím tím jeho kastli) na zámek, botoování je povolené jen z HDD a GRUB zaheslován = nejde změnit parametry.
Otázka zní. Jak se rychle dostat do takového PC ??
Nehledě na to že existuje dnes několik způsobů jako odhalit změny v systému, které se udělaly vypojením HDD a jeho úpravou na jiném stroji. Nebo se pletu ?? -
abyssal (neregistrovaný)Jj, BIOS sa da zaheslovat, grub sa da zaheslovat, skrina sa da poistit s chasis intrusion, ale ked tam ma niekto fyzicky pristup, je to fakt len otazka casu. Teda ak admini hysterie boli sikovni, tak by si to vsimli. To je ten nekonecny cyklus bezpecnosti: nieco sa prelomi, potom sa na to najde riesenie, to sa prelomi, atd. V tomto pripade sa skor priklanam k nazoru, ze admini by si to vsimli (tj. vypadok by bol radovo minuty az hodiny, kvalitna forenzna analyza na zistenie vsetkych bezpecnostnych prvkov je narocna).
Ad zamok: pred par dnami bolo na CT alebo Nove ukazane, ako sa zlozite zamky daju radovo v sekundach otvorit, obycajnym klepanim s kusom zeleza.
"Nehledě na to že existuje dnes několik způsobů jako odhalit změny v systému, které se udělaly vypojením HDD a jeho úpravou na jiném stroji. Nebo se pletu ??"
Asi mate na mysli nastroje ako tripwire atd. Tie sa daju obist, ak o ich existencii utocnik vie. Napr. je mozno schovat nieco do HPA (host protected area na disku) a tam to typicky tie nastroje neskontroluju. Da sa flashnut BIOS, schovat trojan v grube (v bootloaderi), pri procesoroch podporujucich virtualizaciu schovat trojan ako 'hypervisor'. Vsetko sa da schovat a znova najst, zavisi kto je sikovnejsi, a komu to ako dlho bude trvat.
Samozrejme sa da urobit hash celeho disku/particie a porovnat aktualny obsah oproti "known good" hashu, cim sa neopravneny pristup da zistit najlepsie. Bezpecnost tohoto pristupu zavisi od sily hasovacich funkcii. Hodne pochybujem, ze by policia mala cloveka, ktory by lustil hasovacie funkcie lusknutim prstu alebo stroj, ktory by hadal rychlo preimage kolizie (tj. kolizia k pevne danemu hashu).
IMHO by bolo hrozne narocne urobit to pre policiu tak, aby si to admini nevsimli. -
jap (neregistrovaný)to o klepani do zamku je stare uz asi 2 roky, a kamarad zamecnik mi rikal, ze vetsina zamku mladsich nez 2 roky, uz je upravena - viz http://www.panoch.net/foto/lock_bumping/
-
laoce (neregistrovaný)Cela vec je podla mna hlavne o tom ukazat verejnosti (a mladymadolescentom) co im asi hrozi jed budu blbnut na nete. tzn podla mna chcu z toho urobit exemplarny pripad ..ale vzhladom na to ze policia s takymito aktivitami len zacina a tito admini asi nie su mechom prasteny tak tocele pojde do stratena. Ale je tu este moznost ze (ako je to na slovensku zvykom :o) ) sa snazia poukazat na spolocenske riziko tychto ludi (akoze hackeri a admini ktori vypinaju logovanie) len aby sa na nich upriamili pohlady verejnosti a nie aby ich zaujimalo (ako danovych poplatnikov) co za bordel a tunelovanie sa deje v NBU (koncorocny bezpecnostny audit za 3,5 miliona SKK - za rok 2005 - a ponechana moznost sa su-cknut na roota bez hesla??? a kalinak na to este vyhlasi ze nie su peniaze na dosledne zabezpecenie NBU.... tststs tu nieco smrdi v tom state danskom :o)) )
-
johny (neregistrovaný)suhlasim,
NBU si chce zachovat tvar pred verejnostou a "nieco" sa spravit muselo. Ci budu aj konkretne dosledky pre konkretne osoby uvidime.. A ak po 2-5 rokoch nejakeho sudu (ktory bude zrejme prvym takehoto druhu) prijdu nejake rozhodnutia, ktovie ci si niekto este spomenie na hysteriu. Stroj sa nahradi za iny a vsetko pri starom..
zasah za brutalny nepovazujem,.. potrebovali dokaz, tak si pon prisli. Jasne, ze si ho mohli najprv vyziadat, ale vsetci vieme, ake disky by prisli :).
Ci je vinny prevadzkovatel servera? Ked si to prirovnavame k tym zbraniam, pravdaze nie je vinny ten kto zbran predal, avsak je povinny evidovat komu, ake zbrane predal. Ak ich predava len tak z dodavky je to nelegalne. Nerobi ho to zodpovednym za vrazdy spachane tymi zbranami, ale urcite je to pritazujuca okolnost k jeho previneniu nelegalneho predaja.
Mal by teda prevadzkovatel povinne logovat? No mozno sa dockame aj takehoto zakonu.. -
MeX (neregistrovaný)Sorry, ale "server" nie je v nasom pravnom systeme definovany ako "zbran". A poskytovatel NIE JE povinny logovat aktivitu na serveri. So zbranami sa to neda absolutne porovnavat.
Toto cele je ukazna nasej supa-dupa policie, ktora este len zistuje, co je to ten internet. Su to chudaci, ktori nic nevedia, nic nezistia a okrem buzeracie nic nerobia. Namiesto toho, aby trestopravne postihli osobu zodpovednu za nezabezpecenie NBU zacinaju lov na obetneho baranka. -
Izak (neregistrovaný)A uzivatele sleduje v usa NSA, nikoliv FBI, FBI sleduje jen federalni trestne ciny a pokud dostanou povoleni, vyuziji sluzeb NSA a odposlouchavaji, ale v USA si uzakonili, ze internet musou odposlouchavat bez povoleni, akorat ti sk*i admini pouzivaji sifrovani, ktere neumi v realnem case rozlousknout a zakon ktery to zakazoval uz neplati.
-
zufik (neregistrovaný)Takze ked sme u tych zbrani skusim este ine prirovnanie a prejdime k tovaru vseobecne..kedze vrazedny nastroj nemusi byt len zbran ale napr obycajna sekera..budem si evidovat meno adresu a rodne cislo kazdeho kto si u mna kupi sekeru?..Niekde v amerike vraj doslo k vrazde mrazenou rybou..takze budem evidovat kazdeho kto si kupi mrazenu rybu? Neuchadza tu trosicku logika?
-
Izak (neregistrovaný)A to je trestny cin, policista si nemuze jen tak mirnix dirnix zasahovat do cizich veci bez informovani majitele.
Pokud ma povoleni k domovni prohlidce, nesmi vam vykopnout dvere kdyz jste na dovolene, pokud se teda nejedna o zvlast spolecensky nebezpecny zlocin .... a proto se ted polceie SK snazi presvedcit a delat ze sebe debilky, ze oni prece rikali ze je to jak terorizmus ... doporucuji lidem s hysterie.sk a spol prostudovat zakon a podat trestni oznameni, nebo jeste lepe zalobu a hnat ji az pred evropsky soud. -
J (neregistrovaný)To je davno znama vec, ze jedina skutecne existujici mafie v tomto state se jmenuje Policie. Mam velmi duveryhodne informace o tom, co se u policie vsehno deje - to by jeden blil. To ze nekoho odvezou za mesto a tam ho zmlatej a jeste obvinej z napadeni je naprostej standard. Proto tvrdim, ze dobrej policajt je jedine mrtvej policajt.
-
Izak (neregistrovaný)Samozrejme ze nesmite, to muzete az potom, co vas clovek, kteremu ten server patri posle nekam, nebo vam da svoleni.
Takze spravne jednani je kontaktovat adminy (mimochodem admini nebyli z niceho ani obvineni, jsou nevinni a tak jim nelze neco jen tak UKRAST, protoze vzit nekumu neco bez jeho vedomi je kradez a nesmi to spravne delat ani executor), s adminy jit zajistit vec a nemeli by pri tom poskozovat majitele. -
mekele (neregistrovaný)podcast se vcerejsim rozhovorem Pajkuse na Radiu FM lze stahnout tady
http://www.radiofm.sk/onair/podcast/26072006bestof.mp3 -
ujo imro (neregistrovaný)keby ste si poriadne prestudovali materialy (aspon ten prvy), z ktorych vychadzate, tak by ste zistili, ze sa tam nedostali cez heslo nbusr123 ale cez horde. vid: http://blackhole.sk/node/442
---------------------
vsetko sa zacalo pri vtipkoch medzi kamaratmi, ktori si vsimli chybu v mailovom rozhrani na adrese webmail.nbusr.sk, pomocou ktorej bolo mozne vykonavat systemove prikazy na serveri. (ja viem, tato veta znie uplne napicu, ale tak nech chapu aj ludia menej zasveteni danej problematike ;))
tym padom bolo mozne prevziat zoznam lokalnych userov na masine.
http://webmail.nbusr.sk/horde/services/help/
?show=about&module=;%22.passthru(%22cat%20%22.
chr(47).%22etc%22.chr(47).%22passwd%22);%27. -
purporte[X] (neregistrovaný)By me vazne zajimalo jestli ty posRanci v posRanecke snemovne delaji neco uzitecneho. Krom toho, ze sem-tam zvednou ruku, mnohdy bez nejmensiho tuseni pro jakou vec, tvori nam zakony, ktere jsou plne definici typu "primerene", "odpovidajici", "umerne", ..., ktere se daji VZDY vylozit po svem. Ty zakony v podstate chrani jen toho, kdo ma vetsi pravomoce, postaveni nebo tucnejsi konto. A k cemu teda nam jsou zakony, ktere jsou natolik nepresne a ktere se daji otocit potrebnym smerem pouhym tvrzenim: "Myslime si ze nase jednani bylo primerene, odpovidajici nebo umerne okolnostem"...?
-
quo (neregistrovaný)Zakony nejsou a ani nemohou byt manualy. Vetsina legislativniho prujmu, ktery pomalu ale jiste likviduje pravni rad je prave zpusobena tim ze si nekdo mysli, ze do zakona co nejpresneji napise co si mysli, ze by meli lide delat.
Bohuzel slovy se neda popsat vse co muze v zivote nastat. Vysledkem jsou necitelne zakony, ktere obsahuji logicke chyby. Zakon by mel jen stanovit nejake zasady, podle ktere zakonodarce povazuje za spravne.
V praxi by pak nekdo nejak jednal tak jak si zakon chape. Pod pojmem "chape zakon" rozumim to, ze zakonodarce ma nejaky zamer a snazi se to slovy popsat. Ten kdo zakon aplikuje by se snazil z tech slov zamer zakonodarce pochopit a ridit se jim. To zda zakon pochopil dobre nebo spatne by v pripade sporu resil soud. Co je a coneni primerene by rikal soudce.
Bohuzel v dnesni praxi se nehleda smysl zakonu, ale ruznymi ucelove sestavenymi uvahami nad slovy, kterymi je zakon napsan, se lide snazi zduvodni sve jednani v rozporu se zakonem. A pravnici (soudy) misto aby zkoumaly logiku zakona, tak zkoumaji zda zminene konstrukce nad slovicky jsou dostatecne verohodne. Tento zhoubny proces zasel jiz tak daeko, ze rada zakonu jiz ma svoji vnitrni logiku znacne narusenou a jsou vytvoreny pouze jako shluk slovicek. Tolik teorie.
V pripade zabaveni servru si policie mysli, ze jedna opravnene. Pokud to prehnala, tak by to mel soud hrave napravit. Jenze soudy jsou prilis zchromle instituce aby sly v praxi pouzit. Statu to nevadi, ma jednodussi praci a obcane mohou akorat tise nadavat. -
Karel (neregistrovaný)No ono soud třeba i časem (kolikrát i rychle) řekne, že to bylo v rozporu se zákonem. Policejní prezident, ministr financí nebo nějaký jiný nařízený pak ale prohlásí, že on je jiného názoru a že dotyčného nepotrestá. Soudy soudí a státní správa se jim směje. Za nedodržení soudního nařízení totiž úředníkovi nehrozí žádný postih.
-
ToM (neregistrovaný)Zlodeji nebo policajti? Podle diskuse tu jasne vede hysteria.sk.
Ale proc?
Protoze z jejich serveru byl napadeny pocitac statni spravy? Proto jsou hrdinove?
Protoze spravci nejsou schopni dohledat kdo to provedl? Snad kvuli tomu jsou hrdinove?
Protoze ted statni sprava bude vynakladat kazdy rok minimalne pul miliardy korun za zabezpeceni, audity a dalsi sluzby ze statniho rozpoctu? (odhad je _silne_ podhodnoceny) Proto jsou hrdinove?
Ze k uctu nbusr uhodli heslo nbusr123? Hmm. K tomu clovek potrebuje jiste vysoke matematicke vzdelani z kryptologie.
Jestli spravcove hysteria.sk ani nevedi, co se jim na serveru deje a kdo se jim tam prohani, tak nejsou o nic lepsi nez spravce serveru na nbusr. -
anonymníMyslite rozdil mezi soukromym serverem, ze ktereho se delaji utoky a serverem statni spravy na ktery se delaji utoky?
Jiste. Ten rozdil vidi i male decko. A neni to v privlastcich soukromy vs. statni.
Pokud me bude odstrelovat nekdo ze sveho brlohu, tak mu to hnizdo vypalim a muze se 100x hajit, ze mame demokracii, ze si muze delat co chce. -
Karel (neregistrovaný)Když mi někdo řekně, že jsem si nezamkl auto, tak mu poděkuji a auto si zamknu.
NBU bohužel auto nezamkla a místo poděkování začala křičet "zloděj!" Argument, že neměl vůbec zkoušet brát za kliku, je bohužel pro celou věc irrelevantní a ani sebelepší právník nebo vyšetřovatel tím auto zpětně nezamkne.
Nejsem občanem SR, ale kdybych byl, asi bych se ohradil, že to je moje pěkně drahé a důležité auto, a ten kdo ho nechal odemčené by měl dostat přes držku, protože právě za to zamykání ho platím. A abych se oháněl po tom, kdo na to přišel a oznámil? Ne, pouze bych se snažil zjistit zda byl první a zda skutečně nic nevzal. Pokud ne, omluvil bych se mu. Každopádně už na začátku bych mu poděkoval, protože bůh ví kolik lidí to samé udělalo předtím, nic o tom neřekli a snad ani nedomýšlet, k čemu všemu ty informace mohli použít. Uvědomme si, že "hackeři" z Hysterie nic nerozbili, ale pouze nám ukázali, že už je to rozbité. -
Jinx (neregistrovaný)RTFM! Nejdrive si laskave vsichni overte fakta a pak kecejte ;-) Slo jenom o upozorneni na velmi velke nedostatky v zabezpeceni takto citliveho uradu. Az vam nejaky lamer slohne penize z uctu jenom proto ze admin ve vasi bance je looser, nevi nic o zabezpeceni a cele dny nedela v pracovni dobe nic jineho nez cuci na porno a chatuje urcite budete nadavat...
-
anonymníRTFM? Jaky manual? Tady ti lidi uz placaji fakt paty pres devaty.
Slo jenom o upozorneni? To je do nebe sahajici naivita. Tohle nemuze vymyslet nekdo, kdo ma obcansky prukaz.
Az mi lamer slohne v bance penize, tak to bude problem banky a jejiho nedostatecneho overovaciho postupu. Viz. priklad z praxe z roku cca 2002 - kauza KB (neautorizovany vyber vice nez 8MKc).
Vymyslite blbosti totelne odtrzene od reality. Vy jste tady temer sami teoretici.... -
anonymníStalo. Samozrejme, ze se v KB cukali a porad tvrdili, ze si to majitel vybral sam. Jenze soud rozhodl rychle a jednoznacne.
Ale postup KB byl mozna i pochopitelny (i kdyz to na prvni pohled navypadalo). Banky maji ruzna pojisteni a je dost mozne, ze i pro takoveto pripady. Pro pripadne plneni je ale vetsinou nutne mit soudni rozhodnuti. Takze banku to ve vysledku mozna nestalo ani tolik. -
Izak (neregistrovaný)To ani nahodou, reknou vam, ze jstye to vybral a basta.
LASKAVE SI PRECTETE PODMINKY, je tam jasne receno, ze pokud se nekdo dozvi vase helso, jste zobpovedny vy.... takze hacker odcizi hesla a jste bez penez. Mimochodem znam cloveka, kteremu v zahranici skopli platebni kartu a pak na ni provedli nakup, podle platnych slmluv mezinardni VISA to reklamoval v CR ho poslali doprdele ze je to jeho problem, financni arbitr v EU vs VISA ovsem prokazali, ze v ten sami den tento clovek plati svou kartou uplne v jinem state a tak mu byla hotovost vracena, jenze v absudristane jmenem CR, kde prodejce neni zodpovedny za overeni karty mate smulu. To v blbem Spanelsku po me chcou vsude nejaky prukaz, protoze pak musi resit reklamaci myslim 60 nebo 30 dnu od uskutecneni platby a prisly by o penize.
Jinak za crackly bankomat je v zahranici taky zodpovedny provozovatel, u nas majitel uctu. -
Silne pochybuju, ze by v CR banka u soudu ustala situaci, kdy na jejim bankomatu byla nainstalovana ctecka karet a kamerova lista... Ucivatel neni povinen provadet etchnicou expertizu zarizeni banky pri kazdem pouziti. Je povinen beznou opatrnosti a ochranou karty a tajnych udaju v rozashu svych schopnosti... Lomcovat slicem na krtu, jestli tam nahodou neni namontovany oredstavec, to po nikom nemuzou chtit...
-
Miloš (neregistrovaný)Samozřejmě, že hrdinové jsou ti z hysteria.sk a pokud by NBU ovladali profesionalove, a nikoliv banda alibistických diletantů dali by jim naopak metál. Ne za to, že se tam nabourali, ale za to, že tento fakt i postup zveřejnili. ( I kvalita práce NBU musí být pod veřejnou kontrolou). Kolik lidí se tam už nabouralo, z jakých zemí a jak velké bezpečnostní riziko pro Slovensko tento server představoval, se můžeme jen domýšlet. Ale jsem skálopevně přesvědčen, že hysteria.sk nebyla první. Servery těchto "firem" se jistě těší v "sesterských firmách" obzvláštní pozornosti. Stejně tak jsem přesvědčen, že by prokuratura měla vyšetřovat někoho úplně jiného. Nebo snad znáte lepší způsob, jak se v dnešní době může napakovat dvojitý agent? (A k tomu úplně bez rizika - geniální).
-
anonymníMyslim, ze i skolak zakladni skoly vi, ze ziskat neopravneny pristup k cemukoli neni uplne v poradku. A ti znalejsi dokonce vedi, ze to muze byt trestne. A jestli tohle tem chlapeckum nedoslo, tak to jsou zcela jednoduse hlupaci a na metal nemaj narok.
Pokud zjistim, ze jsou otevrene dvere, tak jen blbec se tam vrhne, vezme zarizeni z bytu a pak se haji tim, ze chtel jen upozornit na nedostatecnou bezpecnost.
NBU pod verejnou kontrolou? :-) To asi dost dobre primo nelze. Kdyby mel byt NBU pod verejnou kontrolou, tak neni mozne, aby NBU mohl existovat. Z podstaty veci.
Bezpecnost asi ohrozena nebyla, kdyz zmizely udajne jen pi****. Kdo to trochu zna, tak vi, ze tyhle servery neobsahuji nic jineho. To jen potvrzuje, ze akterovi neslo o zadnou bezpecnost a podobne vyssi cile, ale ze to delal ze zvedavosti. -
Miloš (neregistrovaný)Šmírovat dalekohledem sousedovic ložnici taky není fér. Ale pokud se tímto stanete svědkem vraždy, měl by být stíhán především vrah a nikoliv šmírák. Ti kluci prokázali Slovensku službu, na tom trvám. O tom, že strategické informace jsou chráněny lépe si troufám silně pochybovat. Je to jako kdybyste tvrdil, že nějaký chirurg sice neumí vyříznout slepý střevo, ale srdce operuje výborně. Stejně tak tvrdím, že i NBU musí být pod veřejnou kontrolou, jinak se stane kombinací Gestapa a NKVD (Pokud k tomu už nedošlo). Samozřejmě, že rozhodovat musí bez nějakého omezování. Ale následně si své rozhodnutí musí zodpovědět a obhájit i oni. A tohle by si měli zodpovědět sakramentsky.
-
anonymníNetrvejte. Zadnou sluzbu nikomu neudelali. Snad jen sobe.
A pokud zpochybnujete rozdilnost pristupu (a ochrany) k ruznym typum informaci, tak jste asi tak sto let za opicema, protoze toto se delo jeste driv nez byla vynalezena propiska.
Dnes a denne se opakuje, ze vy kluci si myslite, ze se z hlediska principu pristupu k informacim internetem a vypocetni technikou neco zasadne zmenilo. Neverete akcnim filmum. -
anonymníTakze smirovat je povolene, protoze by smirak mohl byt svedkem pripadneho trestneho cinu?
Ne, ze bych byl pravnik, ale v podstate muzete porusit trestni zakon, ale jen pokud tim zabranite vetsi skode a zadne dalsi prostredky nepomahaji. Na to zakon pamatuje.
Ale tohle neni ten pripad.
1) Ti kluci nechteli zabranit zadne skode. To je jasne a vlastne to i prohlasuji, takze si tu nebudeme nic nalhavat.
2) Nevyuzili zadne jine prostredky, aby pripadne skode zabranili.
3) Nikoho na omezenou bezpecnost neupozornili a souperili s administratorem.
Nechapu vasi slepotu. -
Karel (neregistrovaný)Nejsou hrdinové, jsou poškození.
A půl miliardy investice do zabezpečení za současného personálního obsazení bude mít zhruba stejnou úroveň jako nechat si k bytu namontovat pancéřové dveře, pancéřové zárubně, čtyřstranné duplikované bezpečnostní závory, bezpečnostní vložku a "nekopírovatelnou FABku", když nájemník za sebou beztak nezavírá dveře, natož aby zamykal.
A uvědomte si, že se tu nebavíme o zabezpečení místí samoobsluhy, ale o národní bezpečnosti. Nechci urazit lidi z Hysterie, ale když se do NBU dokáže dostat i takováhle máčala, tak jak těžké to asi bude pro organizovaný zločin, špionáž apod., když si mohou dovolit investovat velké peníze? Proč stát investuje obrovské peníze do boje proti organizovanému zločinu, proč má tajné agenty, konspirační byty, síť informátorů, zásahovku apod., když vzápětí veškeré tajné informace defakto zveřejní? Kolik závažných zločinů pachatelům prošlo jen proto, že se dostali tak snadno k těmto informacím? To už nikdy nezjistíme, leda by se sami přiznali.
Když čtu reakce podobné té vaší, tak mně vždycky zajímá, jestli si dotyčný zamyká byt a auto. Ono přeci odjet cizím nezamčeným autem nebo vykrást nezamčený byt je zákonem zakázáno a proto je zamykání zbytečné. Kolik peněz zbytečně vyhodíte za takové věci jako jsou zámky u auta, centrální zamykání, immobilizery apod? Vždyť krádež auta je zakázána a to přeci úplně stačí, nebo ne? Toto je dost zvrácená logika, ale přesto ji celá řada lidí ve vám podobném duchu na informační technologie aplikuje. -
anonymníAno nejsou hrdinove, ale jak je videt, tak vetsina je tak vidi.
A jestli jsou poskozeni? Muj nazor je, ze jim vubec neslo o nejake overeni bezpecnosti a pod. Jsem presvedcen, ze to udelali z chlapecke zvedavosti a zabavy a domnivam se, ze to take vedi i lidi z policie. Jenze tohle proste neni mozne tolerovat. Pokud dostanu nejake podezreni na snizenou uroven bezpecnosti systemu, myslim ze existuje dost legitimnich cest, jak takovou skutecnost oznamit a dat do poradku.
Problem je, ze kluci za klavesnicema si potrebuji porad neco dokazovat a tak si s administratory hrali na kocku a mys. To nevypadalo jako konzultace...
Takze o nejakych uslechtilych cilech nemuze byt rec.
Faktem je, ze neopravnene ziskani pristupu se NESMI TOLEROVAT. A kluci presne tohle porusili. Ze neudelali zadnou skodu? Ze to nebylo ve zlem umyslu? A opravdovi zaskodnici budou tvrdit neco jineho?
Ad investice do zabezpeceni. Proto jsem psal i audity, ktere proveruji procesy a jejich dodrzovani. A co se tyka te sumy, tak je to spis takova lepsi Fabka v rozsahu statni spravy.
K ruznym informacim se pristupuje ruzne. Ziskana data mela hodnoceni "pi***".
K tem neprisnejsim informacim se rozhodne daleko lepe dostanete socialnim inzenyrstvim nez pres sit. Holt nejmodejnesi veci nemusi byt nejlepsi.
Auto i byt zamykam. A co vy? Uz vam nekdy neco ukradli, protoze jste to nemel "dostatecne" zabezpecene? Kdyz zapomenete zamknout auto a nekdo vam s nim odjede, tak to nechate plavat, protoze to je vase vina? Kdyz zapomeneze zabouchnout dvere, tak vam nebude vadit, ze by nekdo prisel do bytu a prohlizel si vase veci?
Znova opakuji naprosto zasadni pravodlo, ze neopravnene ziskani pristupu se NESMI TOLEROVAT. -
xobot (neregistrovaný)Moje, resp. nase "auto" spravuje sofer.
Ten sofer je plateny od toho, aby sa o auto staral, min. aspon o jeho bezpecnost. Tento sofer ma svoje poslanie zjavne na haku a nechava kluce vo dverach popijajuc si kafe v oblibenom pube. To si vsimnu chalani, auto si pozicaju, opisu si zaznamy z notesu, smsky+kontakty zo sluzobneho mobilu atd co im posluzi ako trofej = dokaz.
Neskor si uvedomia, ze i oni su spoluvlastnici auta a jeho zabezpecenie nie je v poriadku. O celej veci anonymne informuju verejnost....
Ako spoluvlastnik auta (a danovy poplatnik) ma netesi, ze sa niekto vozil v nasom aute a mal pristup k nasim sukr. datam, ale som rad, ze som bol upozorneny na hrube chyby v zabezpeceni danej veci a lajdackosti sofera.
Dosledky upozornenia by mali byt v kazdej rozumnej (no jo :c/ ) spolocnosti zhruba nasledovne:
Chalani by nemali byt potrestani, lebo nam pokytli dolezite informacie, no nemali by byt brani ako hrdinovia (vozit sa bez dovolenia v cudzich autach nie je pre spolocnost ziaduce)
Sofer by mal byt ROZHODNE brany na zodpovednost !!!
Treba analyzovat, k akym skodam mohlo dojst;
hladat stopy, ci uz nedoslo v minulosti k uniku informacii ku gangu autickarom a zabezpecit, aby sa nieco taketo nemohlo (aspon takto primitivne) zopakovat (a ak toho nie su schopni nasi soferi, prenajat si sikovnejsich). -
xobot (neregistrovaný)1. vsak sa jednalo o same pi... a to aj podla vyjadreni "sofera"
2. boli by jedni z mala "zlocincov", ktory zneuziju inf. a vzapati o tom informuju verejnost - to moc logiky nema, a hlavne:
3. nic to nemeni na mojom postoji voci soferovi, ktory hrubym zanedbanim svojich povinnosti take nieco pripustil.
btw: nechapem tu solidaritu s adminmi NBU, keby som svoju pracu sabotoval rovnakym sposobom, tak si to poriadne vyzerem. Kazdemu sa samozrejme moze stat, ze mu hacknu server, ale je rozdiel nevsimnut si, resp. neskoro zareagovat na novoobjavenu chybu v jadre ci sluzbe, a mat servery dostupne bez obmedzenia z celeho sveta + prislusnu password policy.
A to sa bavime o NARODNOM BEZPECNOSTNOM URADE !!! -
anonymníAle kdeze.
1. Pi... to byly podle vyjadreni chalanu
2. Pro kristapana. Jak to, ze to nema logiku? Vzdyt se tim ospravedlnuji! Naopak takhle preci reaguje vetsina "zlocincu". Nebyli by prvni pachatele, co po "kradezi" veci ji jdou vratit puvodnimu majiteli a jeste chteji "nalezne". Vzdyt to urcite vite, jen jste si to neuvedomil.
3. Ano jiste. Rikal jsem, ze s odpovednosti sofera souhlasim. Jenze odpovednost sofera je z pravniho hlediska jiny pripad. To nemuze ospravedlnit chovani pachatelu.
Uvedu jeste jeden markantnejsi pripad, ktery se take stal, v oddelenem threadu. -
disorder (neregistrovaný)1. nie, bolo to oficialne. http://www.sme.sk/clanok.asp?cl=2819980
2. pekne naivne a nebezpecne. naozaj si myslite, ze by to spravili? (okrem toho ze ziskali same *) -
abyssal (neregistrovaný)Nerad by som Vam bral iluzie, ale zrovna platobne karty nie su najlepsim prikladom zabezpecenia.
V Britanii pred rokmi pri zavadzani platobnych kariet existovali "dummy" ucty, ktore boli na testovanie, ale davali realne peniaze. Kvoli jednemu bugu sa raz stalo, ze boli len 3 rozlicne PINy na velkej serii kariet a keby si tie PINy ludia navzajom povedali, zistili by to. Stacilo by potom ukradnut kartu a na 3 pokusy by spravny PIN uhadli :-) Mali velke stastie ze sa tak nestalo (alebo len vo velmi malo pripadoch), inak by sme dnes mozno karty nemali.
Odvtedy sa uz mnohe zlepsilo, ale karta nie vsemocna. Mnohe zariadenia dnes este nevedia citat cipy, len magneticku pasku. Ta sa da lahko skopirovat (napr. nepoctivy predavac si namontuje citacku svoju do povodnej citacky). A kamerou odchytava PIN. Stalo sa uz, tusim CSOB na vaclavaku. Bankomaty maju tiez mnozstvo bugov.
PIN posielany v obalke sa da specialnym vlnenim (druh lasera) precitat bez otvorenia obalky, ta bielo-cierna bodkovana struktura nestaci. Nech sa vymysli hocico, stale to pojde nejak obist.
"dávám si pozor kam ji strkám a komu jí dávám do ruky" - tomu IMHO len verite, ale nie je to pravda (viz predchadzajuci text). -
Petr (neregistrovaný)Zabihame daleko od puvodniho tematu, ale neda mi to:
O kartach nikdy nikdo netvrdil, ze jsou dobre zabezpecene. Bohate staci, ze lze rozsah zneuziti mit pod kontrolou (rekneme kolem 1%). Pak uz lze udelat business case na to, ze poplatky z karet jsou kolem 2%, z toho 1% pokryje ztraty zneuzitim a 1% je zisk.
V USA, odkud se karty rozsirily, nese riziko zneuziti obchodnik a banka. (Lide jsou dokonce federalnim zakonem chraneni - maximum liability je $40.) Jenze v Cechach je to zparchantele a banky riziko prenaseji na drzitele karet. Tim se system rozklada, protoze drzitel karty nema, jak se proti zneuziti ucinne branit. Nastesti pro banky to zatim lidem nevadi; a nanestesti pro uzivatele zatim banky drzi basu a zadna se k tomu nepostavila celem. -
anonymníDavate si pozor kam ji strkate a komu ji davate do ruky? Verte, ze 100% ne dostatecne. Byl byste vyjimka. A i kdybyste ta vyjimka byl, tak vas lituju, protoze to placeni musi byt poradna fuska. A nakonec tu jsou stejne ti ostatni, kteri si pozor nedavaji, vcetne mensiny, ktera si mysli, ze ano. Teorie, ze si maj davat pozor jako vy a tim si to placeni vlastne znemoznit neuspeje.
-
Radius (neregistrovaný)Protoze z jejich serveru byl napadeny pocitac statni spravy? Proto jsou hrdinove?
***ano, kdyz parodie na slozku nbu ma paradoxne bezpecnost zarucovat
Protoze spravci nejsou schopni dohledat kdo to provedl? Snad kvuli tomu jsou hrdinove?
***ano, kdyz organi odnesou server, aby jako nasli stopu, kdyz nedokazou zabezpecit svuj vlastni
Protoze ted statni sprava bude vynakladat kazdy rok minimalne pul miliardy korun za zabezpeceni, audity a dalsi sluzby ze statniho rozpoctu? (odhad je _silne_ podhodnoceny) Proto jsou hrdinove?
***ano, kdyz to nedokazou sami, musi jim nekdo pomoci. je smutne ze za dane obyc.lidi.
Ze k uctu nbusr uhodli heslo nbusr123? Hmm. K tomu clovek potrebuje jiste vysoke matematicke vzdelani z kryptologie.
***ano. jinak by tam to heslo asi nebylo.
ANO!! zavreme inetove kavarny, Zavreme kryptology!!! ANO, zavreme vsechny co jsou chytrejsi nez statni sprava.. ANOOO!!! vypneme vsechno co nemuzeme mit pod kontrolou!!!
chce se me blejt... -
zzz (neregistrovaný)Jak si mohou byt admini tak jisti, ze se jednalo jen o nejaky nevinny klik na URL nebo z IRC, kdyz ani oni sami nemaji logy? Mozna jsou si jisti proto, ze utok provedli sami (z jineho pocitace) a nyni jsou nastvani, ze jim zabavili ten spatny server :]
Nic proti, ale pokud tyto sluzby poskytuji jinym uzivatelum (navic za penize), neuklada jim nahodou zakon veskere logy uchovavat a archivovat?
Nerad bych neco zpochybnoval, ale je to minimalne podivne z obou stran... -
Admin NBU (neregistrovaný)Som Slovak a hanbim sa za NBU, pretoze su tam sami nevzdelanci. Aj za seba. Horsi je uz iba nas parlament.
A okrem toho je jasne ze chybu sme spravili v NBU a teraz sa snazime tvarit akoze mame nejaku stopu. Je to zufaly pokus zistit, ze preco sme taky sprosty.
ps: Aby som ochranil system pred dalsimi utokmi som zmenil heslo na:: nbusr987. Ale myslim, ze za mesiac bude taky isty cirkus :-) -
anonymníOdporucal by som citat texty na www.blackhole.sk, viazuce sa ku kauze NBU. Z nich zistite, s aky stupnom amaterizmu a ditetantstva je nas NBU presiahhnuty.
A tu najdete statistiku dostupnosti ich webu www.nbusr.sk: http://ventyl.web4all.sk/?clanok=availability
Len pre informaciu, tento tyzden to vypada tak, ze web funguje od cca 700 do 1600, potom ho odpoja. Staci ? -
Izak (neregistrovaný)Proc mam takovi pocit, ze kdyby se jednalo o server nebo ustrenu telecomu, t-mobile, vodafone, GTS, Nextry, tak by ji policie nezabavila. Ano protoze by pak v arbitrazi zadali uhrazeni skody a soud by jednoznacne dokazal, ze nekladli odpor, nebranily ve vystrovani a patricna data by proti rozhodnuti prokuratora vydali.
Proc admini nebyli pozadani o vydani udaju ? Vzdyt by jim proti povoleni data skopirovali sami a stacil by jim jeden urednik na odneseni par DVD.
Jinak dle vyjadreni NBU byl utok veden z ciny, nemecka atd.
Kdyz na me byl pachan utok a me uz nebalivo tech nekolik ticsic pokusu kazdy den, tak jsem jim chtel ten server znicit, ale zjistil jsem ze dana IP patri nejake hostingove sluzbe v Rakousku a tak jsem jim poslal e-mail ze na mne s jejich serveru utoci a dane IP adresy docasne zakazal "iptables -A IPUT -s blabal -j deny; -A OUTPUT -s blabal -j reject"
Proc NBU do sveta hlasa ze jsou magori a jesto to uredne odsouhlasi soudem? Proc radeji nedelaji napravu.
Proc rikaji, ze si sva data chrani zakony, misto zabezpecenim svoji site. Takhle spatne neni nejsou zabezpeceny ani studentske servery na VS, kde jsou prd data. -
VM (neregistrovaný)
Hysteria se vsude chlubi tim, ze se nikde nic neloguje. Takze tam policie nejspis nema sanci nic najit, vec neni dulezita pro trestni rizeni, a zabaveni neni zakonne. Slo by to ohodnotit jako zneuzivani pravomoci verejneho cinitele. Policie asi nebude prilis nadsene stihat sebe sama, bude ji treba tlacit, cemuz se bude branit, tim min ale budou mit chut na podobne excesy. Sedet, nedelat nic a nechat se takhle napadat je neunosne, to je skoro jako znameni souhlasu.
Dale bych mozna zkusil na zaklade stejne argumentace zadat nahradu skody - za predplacene loginy, poplatky za pripojeni, novy server...
-
AW (neregistrovaný)me osobne to celkem sere, jak z duvodu obvinovani komunity okolo h-k.sk, tak z duvodu ze sem vlastnikem konta na onyxu, nejenom ze sem prisel o data (o kterych nevim jestli se mi vrati a kdyz jo tak v dobe kdy uz budou treba nepouzitelny ...) ale i o komunikacni sluzby ktere jsem tam pouzival. S moji zkusenosti s policii kdy byl z jednoho servru spachan trestni cin, me policie vyzvala k predlozeni logu, a ne aby me vlitlo nekolik kuklacu do baraku a sebrali mi server. A to ze onyx log nema, coz je myslenkou pod kterou server vznikl, neni zadny trestni cin, archivovat log neni vyzadovan zakonem u soukromich osob, co sem se nekde docetl tak logy musi archivovat jen poskytovatele telekomunikacnich sluzeb.(a to si touto vetou nejsem jist i kdyz 4 roky prava mam za sebou, vsechny zakony neznam ...) podle me toto bude jeste vetsi problem nez se zda, protoze policie bude mit pristup ke vsem datum, nejen k proxy servru, tak by se mohlo zdat ze budou vznesena dalsi obvineni na uzivatele servru, kdyz by tam najdou nake nelegalni data, coz z vlastni zkusenosti se neda lechko ohlidat, a i na servrech freewebu by se neco naslo...
podle me toto neni normalni a plne se zakrokem nesouhlasim ... tot vse ... -
disorder (neregistrovaný)> tak by se mohlo zdat ze budou vznesena dalsi obvineni na uzivatele servru, kdyz by tam najdou
> nake nelegalni data,
http://www.sme.sk/clanok.asp?cl=2815852 -
noname (neregistrovaný)Také jsem uživatelem ONYXu a upřímně řečeno jsem se dneska teprve dozvěděl, že se něco tak strašného přihodilo. Je to pro mě obrovský šok, protože na serveru jsem měl data, která rozhodně do rukou veřejnosti nepatří, natož nějakému NBU.
To co za data se na serveru nacházelo pro všechny uživatele komentovat nebudu, nicméně si myslím, že do toho nikomu, včetně zapíčenému NBU nic není. A Pokud inteligentní, pracovití lidé narušují bezpečnost státu, kde neschopní manažeři dosazují do NBÚ neschopné správce, tak sorry podle mě má být bezpečnost narušena a tenhle režim, kdy vládne banda blbců zlikvidován -
turzin (neregistrovaný)doufam ze maji zasifrovany disky, pokud ne tak to sou pekni looseri, osobne pouzivam truecrypt.org na widlach a to tady mam velky hovno, a hodne bych se divil, kdyby superhaxori s anonymni proxy a diskusnim forem nemeli sifrovany data . . . to by byl asi takovej amaterismus jako NBUSR123, jo co takhle postnout ty data co tam ukradli na torrent (navrhuju thepiratebay.org) uz vidim jak slovenska vymastena policie zada holandskou policii aby zabavila torrent tracker, ze tam visi torrent na jejich kradeny maily slovenskyho saskovskyho uradu ;)))))
-
AW (neregistrovaný)no jestli bylo vsechno sifrovane to nevim, ale moznost si sam sifrovat vlastni home tam je ... ale stejne policie si vyzada klice hesla atd ... neni povinost je vydat tak si je policie zacne zjistovat sama a proces se protahne o nekolik mesicu/let ... tak co je lepsi ? nesifrovat/odsifrovat a mit to snad spatky za nakej ten mesic nez sifrovat a dostat ho spatky za 3 roky ?
-
CyberBob66 (neregistrovaný)"kryptovany disk so 100MB kvotou" viz http://web.archive.org/web/20030604021314/hysteria.sk/sluzby.html
Docela bych i věřil tomu, že cajtům ten ukradený srrver nebude k ničemu. Leda, že by ho nějaký "náčelník" dal svému synáčkovi na hraní her :-D -
CyberBob66 (neregistrovaný)Ano i ne.
Na jedenu stranu lze říci, že pokud uživatelé hysterky nedělali nic zlého, pak mohou odtajnit disky, ukázat to a dostat server zpátky.
Ale dá se na to dívat i jinak: když posíláte dopis, třeba papírový, tak neposíláte žádné špatnosti, pak by vám nemělo vadit, že ho někdo otevře a přečtě, neposíláte přece nic zlého... ale ono vám to vadit bude. Jde o princip. -
ToM (neregistrovaný)To je asi stejna otazka, jako zda mi vadi samotna existence zakonu.
Domnivat se, ze kdyz budete u policie, tak si budete moci delat co chcete (napr. cist cizi postu), se neda uz snad ani nazvat naivitou. Do dneska bych neveril, ze si tohle muze myslet nekdo, kdo umi cist a psat.
Abych odpovedel na otazku. Samozrejme, ze principialne nevadi. Protoze jsou k tomu racionalni duvody. -
ToM (neregistrovaný)Nevim kolikrat to mam dokola opakovat.
Pro konkretni duvody si budete muset dojit za prokuratorem, ktery zajisteni schvalil. Vsechno ostatni budou jen dohady. Jak na vasi strane, tak na me.
Nicmene obecne je k tomu potreba tzv. duvodne podezreni, ktere tvori klicovou cast povoleni k zajisteni dukazu (omylem jsem predtim mluvil o zabaveni, coz samozrejmne neni) tohoto typu. -
ToM (neregistrovaný)Slibil jsem druhy priklad z praxe. (Pro Izaka: z praxe, tj. skutecne se to stalo)
Nema s tim prvnim pripadem KB nic spolecneho. Jen uspecny vysledek pro majitele uctu.
Na konci devadesatych let tj. na zacatku ery e-bankovnictvi jeden konzultant delal posudky pro policii a vsiml si, ze temer vsechny banky maji problem s bezpecnosti. Pred jednim policajtem prohodil, ze odhaduje, ze do pul roku se zacnou zlodeji vybirat ucty.
A stalo se. Ten samy policajt, za nim do pul roku prisel, ze uz to zacalo. Resili jeden konkretni priklad, kdy podnikateli vybrali 30.000. Smesna sice castka, ale vic tam nemel. Tenhle konzultant nelenil, sedl ke klavesnici a zacal zkoumat servery banky. (Banka pochopitelne tvrdila, ze penize prevedl majitel a mel byt kvuli tomu soud, ze banka penize prevedla nepravem.) Konzultant pochopitelne zjistil bezpecnostni chybu v bance a sel jako znalec svedcit k soudu.
Soud uznal opravnenost pozadavku majitele uctu a prikazal bance penize vratit. Jenze. Banka nelenila a podala trestni oznameni na schopneho konzultanta za "ziskani neopravneneho pristupu ve stadiu pokusu". Sazba 6 mesicu nebo 40 tisic pokuty.
Je chyba v zakone? Kde se stala chyba? Jakkoli se to zda v tomto pripade absurdni (na prvni pohled), tak chybu udelal konzultant. Kde? Ne v tom, ze se rozhodl proverit servery banky. Ne v tom, ze sel svedcit. Udelal chybu v jedne trivialni veci. Sel ty servery proverit na vlastni pest. To je to podstatne _na vlastni pest_. To proste nelze obecne tolerovat. Takove svevolne "testovani", "hrani" atd. muze mit dost vazne nasledky. Nehlede na to, ze neexistuje bezpecny a 100% funkcni system bez chyb. Kdo tvrdi opak, tak tomu nerozumi.
Budiz takove pripady ponaucenim i pro ostatni. Jestlize chci neco testovat, tak jen se souhlasem majitele/provozovatele prip. na zaklade narizeni nebo souhlasu soudu. Pokud mam podezreni na snizenou bezpecnost systemu, tak to muzu stejnym slozkam oznamit formou upozorneni nebo stiznosti atd. Mimochodem, tahle diskuse i timto doporucenim se na internetu objevuje v temer pravidelnych cyklech. Jen proto, ze studenti si neumi cist a neuvedomi si dusledky "svych pravidel" take v opacnych pripadech nez je tento.
Bohuzel je tahle masinerie nutna. Kdyby nebyla, tak je to krok do doby zakona kyje a tesaku. Do doby bez platebnich karet, bez elektronickeho bankovnictvi, bez elektronickych podpisu, bez emailu, bez celeho internetu. -
turzin (neregistrovaný)no jasne ze "je tato masinerie nutna a jinak zakon kyje a tesaku", vsichni poslouchat velkyho bratra, nikdo bez povoleni nic nedelat... o bezpecnost se postara hodnej nezkorumpovanej statni urednik, se spamem zatoci novej zakon prosi spamu a firewally sou k nicemu, protoze se nikdo nebude o nic poukouset
-
Toudy (neregistrovaný)Nechapem niektorych ludi na tejto diskusii (vratane teba). Porovnavat to co stalo v NBU s bankou alebo vykradnutim bytu/auta. Podla mna porovnavate dve neporovnatelne veci, lebo tu boli (odsudzene) nematerialne veci, takze akekolvek porovnanie z materialnymi nie je uplne realne.
Skusim priklad ja. NBU = patentovy urad. Maily = patenty. Povedzme, ze by sa na patentovom urade niekde v USA/EU niekto takto nabural do patentoveho uradu a skopiroval si vsetky patenty co tam su. Ochrana by bola uplne rovnaka ako v NBU. Co myslis, ako vlastnik patentu (ktory si za jeho regisraciu a evidenciu musis zaplatit). Koho by si vynil. Patentovy urad, alebo toho co si tie patenty skopiroval. Pritom podotykam, ze tie patenty ma len pre svoje vlastne potesenie. Nikde ich nemoze pouzit (lebo patentovane to mas ty a keby to spravil, ulahcil by tym svoje dolapenie, nikde ich nemoze oficialne predat, dokonca ani zverejnit, ze ich ma - a keby to chcel predat potajme, tak by nato asi logicky neupozornoval). Cize ak to zverejnil tak asi nema umysel to dat konkurencii alebo nejako zneuzit, lebo tym by len na seba upozornil. V zasade, ako vlastnik patentu si k ujme neprisiel, lebo tvoj patent ti ostal (aj so vsetkymi pravami). Jedina ujma ktora ti nastala je, ze okrem patentoveho uradu, ma pristup k tvojmu patentu aj nikto iny, kto by ho sice mat nemal (ale pravdepodobne to nijako nezneuzije, lebo keby to chcel spravit tak opakujem, ze nato neupozorni verejnost). Na druhej strane, vdaka tomu co urobil vies, ze za peniaze co musis platit, sa nikto nestara o bezpecnost tvojho dusevneho vlastnictva a ak uz v minulosti niekto vyuzil tuto nedbalost, tak ta to mohlo/moze v buducnosti stat vela penazi.
Pritom keby nato upozornil v sulade zo zakonom (administratora patentoveho uradu), tak s pravdepodobnostou hraniciacou s istotou, by sa nic nezmenilo, lebo clovek ktoreho netrapi takyto stav veci, by si po upozorneni na problem asi nevstupil do svedomia a nezacal pracovat tak ako by sa cakalo. Maximalne by tomu venoval tak 2 minuty, zalepil by to naco si ho upozornil a zase by pokracoval v svojom nic nerobeni (nikto by mu neslapal na prsty, nikto by ho nezacal kontrolovat a brat na zodpovednost, nikto by ten problem neriesil - skratka by isiel do stratna).
Prepac, ked si ja mohol vybrat medzi moznostou, aby mal nejaky pubis doma moj patent a musel si davat pozor aby sa nedostal nikomu do ruk, lebo zato moze dostat basu, alebo zit v blazenej nevedomosti, ze platim amaterom za nieco, co nerobia a myslim si, ako je to chranene, pritom to moze ktokolvek zneuzit, tak je asi jasne co by som si vybral. Samozrejme moralisti ako ty, by vybrali druhu moznost - len som zvedavy, ci aj v skutocnosti :) -
ToM (neregistrovaný)Patentovy urad a patentova ochrana funguje dost jinak. Ale budiz. Rozumim prikladu a zkusim odpovedet.
V takovem pripade jsou vini oba. Jak patentovy urad tak zlodej. (Uvahy o hodnem zlodeji jsou blbost. To jsou teoreticke uvahy se kterymi nelze v praxi pocitat.)
Chlapi proberte se. Ja souhlasim, ze by to bylo krasne, zit v takovem svete. Ale tohle neni realita. Pokud byste chteli omlouvat prunik do systemu nejakymi "cistymi" umysly, tak jak zastavite ty "opravdove" zlocince, kdyz vsichni tvrdi, ze jen testovali bezpecnost? Timhle pristupem by se cely system totalne zhroutil. Na to bohutel nemyslite.
Takze tyhle teorie jsou tak na urovni marxisticko-leninske ideologie "Kazdy podle svych schopnosti, kazdemu podle jeho potreb." tj. hezka nerealizovatelna idea. -
Toudy (neregistrovaný)Dobre tak je podla teba rozdiel medzi tymito situaciami?
Zistis, ze niekto si pozera kazdy den tvoju postu, subory u teba na pc, ....
Pride ti email, ze tak a tak som sa dostal do tvojho pocitaca a ked chces tomu v buducnosti zabranit, tak si to osetri, alebo si to nechaj spravit ludom co tomu rozumeju? On ti ten email poslat nemusel. Ak bol dobry, nikdy v zivote by sa sa nedozvedel ze tam bol prihlaseny. Mohol tu chybu poslat dalsim ludom aby sa ti tiez pohrabali v pc, ... .
Netvrdim, ze zhladiska zakona je medzi nimi rozdiel. Ale popravde, ak si mozem vybrat, tak nech na moje chyby pride clovek, ktory ma nato upozorni ako ten co mi nic nepovie a chodi sa tam kochat kazdy den. A to ze sa k mojim udajom dostane nikto iny ako ja, je pre mna problem. Ale ak o tom viem, ze tymi udajmi disponuje niekto iny (a este on sam ma nato upozorni, pricom sam by som nato pravdepodobne v zivote neprisiel), tak je to podstatne mensie zlo (a bral by som to ako dan za svoju nevedomost resp. poplatok za vyucbu). -
ToM (neregistrovaný)Tak ja ti ten priklad ted dopovim.
Ty toho hodneho "hackera" poplacas po ramenou. Pozves ho treba na pivo. Podekujes, zabezpecis si pocitac a jsi v pohode.
Jenze tenhle hodny kamos, ti za 2 minuty vybere ucety, elektronicky za tebe podepise prodejni smlouvu na auto (pripadne v budoucnosti i na nemovitost) a zneuzije dalsi tvoje soukrome informace (treba ti vyfoukne nejaky business) atd. atd.
A ty pak brecis a nadavas si, jakej jsi to byl vul.
Nemuzes prece pocitat s tim, ze vsichni kolem tebe jsou hodni. Trebaze tak vypadaj. -
ToM (neregistrovaný)Proc? Nema k tomu duvod. Chcete rict, ze kdy to takhle udelam vam, tak me nebudete podezirat? :-) Tomu se rika pokrytectvi. Urcite to ve wikipedii najdete.
A druha vec je, ze nikdo nezaruci, ze se tyhle citlive udaje nedostaly od hodneho hackera do rukou zlemu hackerovi, ktery je zneuzije.
Vidite, ze vase teorie o hodnych hackerech v praxi muzou hezky rychle narazit. Tak se s tim konecne smirte. -
ToM (neregistrovaný)Vitejte v jednadvacatem stoleti. Dokonce uz koncem minuleho stoleti vyznam slova hacker morfoval. Dnes oznacuje jak zle tak hodne osoby.
Priznejte se, ze vy tu wikipedii, na kterou tady odkazujete, vlastne ani nectete!
Takze zly hacker smaze disk a basta? Super teorie. V jakem jste casovem pasmu? Neni u vas brzke rano? -
disorder (neregistrovaný)povedal kto? je kopa inyh slov, ktore media a vacsina ludi vyklada inak a pritom zmysel ostava rovnaky. len preto, ze nejaky debilko v telke vam povedal, ze to su zli hackeri, tak to nie je pravda.
> Takze zly hacker smaze disk a basta? Super teorie. V jakem jste casovem pasmu? Neni u vas brzke rano?
zly clovek, nie hacker. -
ToM (neregistrovaný)Asi slepy. Hned prvni odstavec:
The term usually bears strong connotations, but may be either positive or negative depending on cultural context
Konecne si prectete i ty odstavce, na ktere upozornujete. Predevsim ten 1.2.
Vy opravdu malo ctete. Pak se neni cemu divit, ze mate tak pokrivene nazory a predstavy. -
another debian user (neregistrovaný)However, the most common usage of hacker in this respect refers to someone who exploits systems or gains unauthorized access by means of clever tactics and detailed knowledge, while taking advantage of any carelessness or ignorance on the part of system operators. This use of hacker as intruder (frequent in the media) generally has a strong negative connotation, and is disparaged and discouraged within the computer community
ale ja som slepy. uz nemam slov, tymto ste ma presvedcil o tom, ze netreba pokracovat. -
ToM (neregistrovaný)Tak vidite, ze to ma i negativni vyznam. Zmena vyznamu slova a to bud rozsirovanim vyznamu nebo zuzovanim vyznamu je naprosto bezny zpusob tvorby slov, ktery existuje ve vsech jazycich.
Taky si tukate na hlavu, kdyz nekdo mluvi o fotbalovem zapase? Vzdyt se hraci za pas nechataji! To je totiz puvodni vyznam slova zapas.
Jazyk se vyviji. Neni to nic, co by zakonzervovali nasi obrozenci. -
ToM (neregistrovaný)Neni to rozdil. Slovo zapas take existovalo veky a jaky ma dnes vyznam (a desitky dalsich). Nebylo to nic platne.
A se slovem hacker to je stejne. Mate smulu. Tenhle boj uz jste prohral.
Ano. Ve chvili, kdy vic nez 90 procent lidi ma pod slovem hacker fixovaneho zleho hackera a neni sance jak to zmenit, tak jste ten boj uz davno prohral. A to i z hlediska pravniho (viz. soudni rad). Pripominate mi Paroubka, ktery se hadal o vysledky voleb a to mel daleko priznivejsi skore nez mate vy.
Ti rozumnejsi alespon se snazili zavest pojmy white-hat a black-hat. Ale mezi ty, vy urcite nepatrite.
Koncim. Venoval jsem vam vic nez je zdravo sveho casu. Dle vasi teorie byste mi mel za informace zaplatit, ale netrvam na tom (ostatne mozna jsem vam mezi tim uz vybral bankovni ucet ;-)) -
disorder (neregistrovaný)je mi luto, nepoznam etymologiu slova zapas, ale vyzera to byt diametralne odlisne.
pokial sa bude vo vsetkych vykladoch slova nachadzat vysvetlenie, ze to nie je jeho pravy vyznam a bude odkazovat na cracking - tak mate smolu vy. tak ako nepredefinujete ine slova.
konecne, uz som myslel, ze neprestanete. a platit? za co? za tu kopu kecov? podla akej teorie? niekto tu "mlží" -
anonymní
Takze tyhle teorie jsou tak na urovni marxisticko-leninske ideologie "Kazdy podle svych schopnosti, kazdemu podle jeho potreb." tj. hezka nerealizovatelna idea.
IMHO open source/free software je k tomuto idealu hodne blizko. Kazdy podla svojich schopnosti plati trivialne, kazdy podla svojich potrieb plati vo vela pripadoch (feature requesty, atd.). Preto si ho mnohi mylia s komunizmom, pritom je to meritokracia. Netvrdim, ze sa to da pouzit v "realnom" svete, ale poukazuje to na povodny problem.
-
anthem (neregistrovaný)Takze clovek, co slusne upozorni adminov banky, ze na webe internetoveho bankovnictva maju chybu, je kriminalnik? Bez naroku na odmenu, len preto, aby kvoli nejakemu "chytrakovi" neprisiel o peniaze on ani ostatni. Tak dakujem pekne, neprosim, na taky system mozem viete co.
A upovedomit "zlozky"? Aby sa to mesiac tahalo, len ked treba zmenit 3 slova v zakone? A robi na tom skupina ludi, ktorym nikto neuhradi strateny cas, ktory by inak stravili v praci?
Za to, ze ste si zvolili sporny system, my nemozeme. Zo sporneho systemu odvodite kazdu kravinu. Viz: obcan nic nepovie - "kto mlci ten svedci", obcan nieco povie - "trafena hus zagagala". A taketo kraviny v zakonoch naozaj su (skusenosti na vlastnej kozi).
Samozrejme by stat chcel, aby sa kazdy najprv spytal: "Sudruzka vychovavatelka, mozem odmerat ihrisko a dokazat, ze to neni 20 metrov ale 40 metrov?" Sudruzka by povedala: "Nie, tomiku, pretoze som povedala." Je jasne, preco to statu vyhovuje a preco je to kardinalna blbost. -
ToM (neregistrovaný)Aaaa dalsi molekula inertniho plynu. Kolik vas v tom vakuu jeste je?
Jaka jste generace, ze uz nerozumite cestine? Pisal som, ze ten chalan to robil viacmenej na vlastne triko. Admini o tom nevedeli.
Precitajte si najprv tie prispevky. Bolo uz povedane vse podstatne vratanie nesmlyslnosti vasej teorie.
PS: Za pripadne gramaticke chyby sa ospravedlnujem. -
caepule (neregistrovaný)Jde ovsem o to, zda-li je anonymni proxy bez logu neco, co je z principu spatne?
Protoze lidska svoboda je vec mnohem krehci a zranitelnejsi, nez pitomosti (ve srovnani) jako system platebnich karet nebo elektronickeho bankovnictvi.
A protoze velke spolky maji zajem tak maximalne na tom, vydojit ze svych ovecek co nejvice a zredukovat jejich prava a svobody na minimum, to vse ve jmenu spravedlnosti a bezpecnosti (nebo posledni dobou napriklad ve jmenu boje proti terorismu).
A proto musi stovky lidi donekonecna kopat do zakonem posvecenych zlodeju a mocipanu... (napr. poplatky bank pro obchodniky za pouzivani platebnich karet nejsou nicim jinym, nez zakonem posvecena lichva). Bohuzel je tato vzdorovitost nutna. Kdyby nebyla, bude to navrat do doby, kdy se nekteri lide rodili jako otroci, kdy kazda zena byla menecena oproti kazdemu muzi a kdy se do delniku, stavkujicich ohledne svojeho postaveni ve spolecnosti strilelo ze samopalu.
A btw, internet byl "pouzitelny" davno predtim, nez se zacaly prosazovat prihlouple zakony ohledne uchovavani dat providery. ;-) -
ToM (neregistrovaný)Z principu a v idealnim svete to neni vubec spatna vec.
Registrace zbrani take nebyla od prvniho okamziku jejiho vynalezu. Dokonce ani po prvnim problemu s identifikaci pachatele se nic takoveho nezavedlo.
K takovym krokum se pristupuje pokud vyvstane nejaky problem, prip. je vysoka pravdepodobnost, ze vznikne. A muze tim ke vsemu ohrozit rad spolecnosti.
Shrnu-li to, tak tu proti sobe stoji dva nazory:
1) neco s tim delat, a jako "neco" se v tuto chvili nabizi "jen" logovani cinnosti.
2) nic s tim nedelat a nechat celemu prubehu volnost
Muj nazor je, ze varianta 2) znamena, ze kdokoli bude moct beztrestne:
a) zjistit cizi heslo
b) zjistit duverne udaje a zneuzit je napr. v obchodnim styku
c) vyuzivat komercni sluzby na cizi ucet
d) uzavirat smlouvy za cizi osoby bez jejich vedomi
e) podavat bankovni prikazy bez vedomi majitele uctu
f) podavat danova priznani a tim dostat cizi lidi do problemu
g) dokonce kdokoli bude moci vyrazovat sluzby z provozu
h) atd. atd.
Zatim tady nepadlo jedine reseni jak tomuto predejit. Az navrhnete cestu, tak tomu zamezit, tak od prosazovani logu ustoupim.
Takze pochlapite se? -
hm (neregistrovaný)Rozlisujte medzi umyslom a nahodou.
a) technicky moze zistit admin hesla userov nahodou pri rieseni nejakeho sietoveho problemu, prevazna vacsina pouzivanych protokolov je nechranena. Na zneuzitie treba umysel
b) az h) vyzaduje umysel
Z principu je kazda obrana prelomitelna. Ak na to niekto neupozorni, zacnu sa tam hrabat ludia s necistymi umyslami a ti sa tym budu chvalit tak max. medzi sebou.
Nie som sice pravnik, ale ak ma pamat neklame, pri sude treba preukazat umysel, alebo? Vyzadova logy vypoveda o neschopnosti vysetrit pripad. Ak suhlasite s logmi, tak zacnite prikladom: namontujeme Vam kamery vsade do domu aj na oblecenie, atd. -
ToM (neregistrovaný)U nekterych trestnych cinu je nutne dokazat umysl, u nekterych ne. To ale nesouvisi s tim, ze mi ve "vasem svete" nedokazete zajistit/vynutit relativne bezpecne prostredi.
Znova opakuji. Jak chcete zamezit/omezit riziko, ze nekdo provede a-h?
NIKDO TOTO RIZIKO NERESI!!!! Naopak to jeste podporujete ve jmenu pochybne "svobody".
Jak vy byste takovy pripad resil. Nekdo napadne server zpusobi skodu a vy? Pokrcite rameny a placnete vetu "Meli si to zabezpecit."? -
hm (neregistrovaný)"NIKDO TOTO RIZIKO NERESI!!!!"
Ano, presne to sa snazim povedat cely cas. To sa riesit v principe neda - na kazde opatrenie niekto najde cesticku okolo, atd.
Nepodari sa Vam zarucit 100% ze sa niekto niekde nenabura (pocitac, dom, auto) a nieco neposkodi/neukradne. Ale zrovna v oblasti pocitacovej bezpecnosti to vyzera takto:
-je kopa script kiddies, ti si postahuju sniffery a strasne sa vytesuju, ze niekomu odchytia heslo. Potom ich to prejde alebo dostanu po prstoch (viz afera Nova vs "ukradnutie hesiel Seznamu").
-script kiddies to po case bud prestane bavit, bud dalej tomu nerozumeju, alebo sa ucia dalej. Nemusi to byt nutne napadanim cudzich pocitacov, casto si to simuluju na vlastnych. Ucenie je jednoducho vyzva, nieco ako sach. Aj pri prelomeni sa casto stava, ze ak admin napadnuteho stroja urobil len malu chybicku, tak casto dostane oznamenie, ze tam ma chybu (ak to teda nema derave jak prehnity emental)
-tito ludia sa neskor zamestnaju ako admini/specialisti na bezpecnost, ak ich budete ostrakizovat, tak bude akurat kopa neschopnych adminov a kopa zbytocnych problemov
Co je jadro problemu: Ak sa pozriete na spravy rozlicnych velkych spolocnosti (MC-Afee, Symantec, atd.), tak zistite, ze skoro vsetok spam, podvodne kliky, viry a ina haved pochadza od relativne maleho mnozstva organizovanych skupin (radovo 10-20). Oni dokonca medzi sebou superia, vymazavaju si viry a trojany navzajom. Ak by sme to zobrali do extremu, reverznym inzinierstvom virov by tie kompy sli na dialku zaplatovat :-)
"Zly hacker" je vacsinou mytus, skor vynimka nez pravidlo, az na tych par organizovanych skupin (ale tie budete hladat niekde uplne inde nez na hysterke). -
abyssal (neregistrovaný)
Takze nad tim, ze nad beztrestnosti utoku na server jen krcite rameny s poznamkou "takovy je zivot"?
Mozete sa na to pozerat aj tak. Ale na kazdej aspon trocha solidnej prednaske o informacnej bezpecnosti hned v prvych par minutach ucia:
- neexistuje dokonale bezpecny system (jedine rozmlatit komp kladivom, prepiect v mikrovlnke, zabetonovat a hodit hlboko do mora, co zase nerobi ten komp moc uzitocnym ;-))
- bezpecnost je proces, nie produkt, tj. nikdy nebude existovat nejaky balik, ktory vyriesi vsetky problemy, ako sa to napr. Mrakosoft snazi nahustit ludom do hlavy
Je dokazatelne, ze za urcitych predpokladov (splnenych vacsinou v nasom svete) prave ta "neexistencia absolutnej bezpecnosti" plati. Ci to bude uzivatelom stacit, je ich vec. Keby som mal dat zaucho kazdemu, ked mi hadze pod nohy klaciky len preto, ze nedokaze pochopit pravdu, tak by odo mna odchadzalo vela ludi s cervenymi usami ;-) (zase plati to aj opacne, tiez som sa velakrat popalil ked som tvrdil blbosti, proste clovek sa musi ucit aby mohol rast)
Spytajte sa toto lubovolneho cloveka, co je v branzi dost dlho (pozrite napr. The Daily WTF). Kazdy potvrdi, ze videl tolko deravych systemov, ze bol zazrak, ze sa do nich nikto nenabural. Alebo ked sa aj nabural, tak nesposobil velku skodu. Kazdy potvrdi rozlicne "nemenovane firmy", kde zostaval rozum stat.
Nie je problem, ak autor/programator/admin uzna kritiku, pouci sa a nabuduce chybu nespravi. Horsi su taki, co si myslia, ze zozrali mudrost sveta a nechcu si chybu priznat, zvaluju vinu na tych, co na chybu upozornuju.
-
abyssal (neregistrovaný)Ja to tiez opakujem od zaciatku :-)
Ci to uzivatelom stacit bude, to je mi jedno. Trebars nech nepouzivaju internet. Mne pride, ze sa snazite, aby uzivatelia boli schopni bezpecne pouzit vec, ktorej takmer vobec nerozumeju. To je asi ako dat dietatu zapalky bez varovania. V najlepsom pripade zisti, ze ohen pali bez velkych zraneni, v horsom bude mat velke zranenia a v najhorsom sa z toho nikdy nepouci (a popali sa znova).
Medialna masaz (na cele s Mrakosoftom) sa snazi uzivatelov presvedcit, ze vsetko je easy a plug-and-play a click-a-blij a neviemco. Uzivatelia potom cakaju bezpecny a funkcny balik, co je takmer oxymoron. Ale nie je to tak - a oni na to nakoniec pridu (zase v lepsom pripade sa poucia, v horsom nadavaju na vsetko okolo).
Cele mi to pride tak, ze hladate riesenie v nespravnom tvare: hladate jednoduche blbuvzdorne riesenie na problem, ktory nie je konecny (jedno ci sa jedna o zakon alebo o pocitacovu bezpecnost). -
ToM (neregistrovaný)Vam je to jedno? Tak to vam taky bude jedno povinne logovani. Protoze diky temto lidem, kteri vas nezajimaji, se to prosadi. Pesek.
Medialni masaz? Mrknete obcas na Internet. Uz nekolik mesicu je to spis masaz o Linuxu.
Snazim se problem resit, zatimco vy jste na to rezignoval. Kdo z nas dvou ziska podporu verejnosti? Ne jenom obecne verejnosti. Trvam na tom, ze s drtivou prevahou ziskam prevahu i odborne verejnosti. -
abyssal (neregistrovaný)Neprekrucajte prosim to, co som povedal.
Logovanie mi nie je jedno. Co tvrdim je, ze nech "nebezpecne" veci pouziva kazdy na vlastne riziko. Nech sa uci. Materialov je dost. Staci chut a nejaky ochotny clovek sa pripadne najde, co pomoze (ak to nebudu stale ten isty problem dokola). Alebo nech si tych ludi na bezpecnost zaplatia - vela ludi ma pocit, ze "henten odvedla" mi vzdy zadara pomoze s akymkolvek problemom.
Riesenim je mat kvalitnych adminov. A tych odpovedajuco zaplatit. A ten, co ich vybera, nech ich vybera podla znalosti a nie podla toho, ze su napr. synom sefky brata byvaleho spolubydlica.
Ad rezignovanost: nie, ja jednoducho vidim, ze konecny algoritmus (zakon) na nekonecny problem obecne nevymyslite, nezavisle od toho, jak moc budete chciet, aj ked sa na hlavu postavite. -
ToM (neregistrovaný)No to je nadhera. Kdyz to zopakuju tak:
1) nejdriv reknete, ze neexistuje zabezpeceny system
2) pak lidem radite, aby pouzivali jen zabezpecene systemy
3) dodate, ze nezabezpecene veci - to jest vsechny (viz 1) - ma kazdy pouzivat na vlastni riziko
4) a ukoncite to tvrzenim, ze na pocitacovou kriminalitu nerezignujete.
Jen jeden tady mel vetsi blaboly nez tohle.
Prosim vas usporadejte si sve myslenky, abyste sam sebe za dve reakce nepoprel. -
caepule (neregistrovaný)Stejne nevidim, jak by tomu zabranilo i napr. postaveni anonymnich proxy mimo zakon.
Uz jenom proto, ze pokud ziskam roota na cizim stroji, muzu z nej stejne nakonec anonymni-proxy "vyrobit" (pokud uz nekdo ziska podobny pristup a neni blazen, zacne pochopitelne mazat logy).
Dulezita vec je, ze a-h nikdy nepujde a neslo beztrestne, mluvime tu jenom o efektivite potirani podobnych veci.
Ad e, Pokud vim, tak za zneuziti sluzby banovnich prevodu bude vzdy zodpovedna banka, at uz se jedna o platebni karty nebo napr. elektronicke bankovnictvi, pokud snad soudne neprokaze klientovi umysl (vetsinou nicmene vse odskace obchodnik :P ).
Pokud nekdo bude spolehat na smlouvu uzavrenou po internetu (to jde??) a neoveri si to alespon telefonatem s protistranou, pak je blazen a neverim, ze jeho "narok" soud uzna! ;-)
No a nakonec, kdyz si umi s anonymous-proxy "poradit", tj. blokovat, na spouste IRC serveru (kvalitnich blacklistu jsou mraky), tak by si s tim snad kolegove ITaci v bankach a na uradech mohli taky poradit, ne? Pokud to nedokazou, tak jsou diletanti a rozhodne nejsou spravne na svem miste.
Ono uz jenom to, jak banky jeste nedavno tvrdily, ze pouzivani e-bankovnictvi odkudkoliv je v poradku a bezpecne i z uplne ciziho pocitace (v dobe kdy ochrana byla pres na klavesnici zadane heslo) je do nebe volajici diletanstvi, to jen tak pro uplnost!
Takze na zaver, volim moznost 2 (nedelat nic), protoze se o nic tak zavazneho nedeje (nikdo neumira ;-)), sice bych byl pro, napriklad pokud se tyka potirani terorismu, ale tam zase absolutne neverim v efektivitu podobnych "nastroju". -
ToM (neregistrovaný)Jo, to je slovo do pranice. Nikdo neveri, ze to kriminalitu odstrani, ale urcite to omezi. A jeli na vyber toto proti nicemi, tak radeji toto.
a-h bude de-facto beztrestne.
e ... ktera banka bude provozovat bankovnictvi, kdyz kazdy neopravneny prevod pujde z jeji kapsy?
O co je bezpecnejsi telefon nez internet? Notabene kdyz za chvili tu mame boom VOIPu. Blazni jsou vsichni co podavaji elektronicky danove priznani? Blazni jsou vsichni co delaji prevody penez pres internet?
Bezpecnost IRC? Ale no tak. To je dokonaly protimluv.
Takze radeji volite zivot bez pocitacu a internetu. No proc ne. Znam takovy, co se chtej vratit do jeskyni.
Ale jsem si 100% jist, ze vetsina lidi bude volit 1). -
pepan (neregistrovaný)Tome nepoznas zakladny princip demokracie, clovek je nevinny pokial mu sud nepreukaze vinu. demokracia sluzi ludom (aspon by mala), v opacnom, Vami udavanom pripade ide o policajny stat, kde kazdy je posudzovany ako potencionalny zlocinec.
Pritom jeho jediny dokazatelny precin (ak spravil len to, co spravil) je, ze vstupil na sukromny pozemok bez povolenia (ak by som to prirovnal k hmotnemu svetu, proste vopchal kluc a zamok sa otvoril, co sa strochou stastia moze stat aj na normalnom zamku) a zistil, ze je to slabo zabazpecene a zistenie oznamil, ale ak by, co i len cital doverne data, mozu ho za narusenie sukromia alebo narusenie listoveho tajomstva alebo nieco podobne (prirovnanie tiez k hmotnemu svetu) odsudit aj za toto, ale myslim, ze tato skutocnost mu zatial dokazana nebola.
nepoznate problematiku bezpecnosti a osocujete tu odbornika, ak povedal, ze neexistuje bezpecny system, tak neexistuje, ak povedal, ze mate pouzivat bezpecne systemy tak ich pouzivajte, tieto vety si neodporuju ...
admin NBUSR mal byt na hodinu prepusteny.
a len clovek nezasvateny do prava a bezpecnosti, moze zvolit 1.
btw. bezpecny system je taky system, ktory vsetky uvazovane(!!!) poruchy prevedie do bezpecneho stavu, to znamena ze aj MSWIN je bezpecny ak povedia, ze sa vam do kompu nikto nenabura, pretoze to mi nepredpokladame, alebo je tu minimalna sanca(uvazovana porucha , ale z minimalnou pravdepodobnostou vyskytu, ktoru vyratal nejaky MS expert, ktora je ale omnoho vyssia a mala by byt uvazovana)
ste, clovek, ktory nedoveruje nicomu, len sebe, taky ludia su najnebezpecnejsi !!!
ak chcete takto narabat zo svetom, tak bezte na Kubu alebo do Ciny, tam sa maju ludia dobre.
v sulade s tym, co som napisal na zaciatku, ja beriem urcite 2. takze vasich 100% si mozete strcit ... -
ToM (neregistrovaný)V souladu s demokracii by lide zvolili cestu 1.
A dale.. Jak muzete takhle studovat, kdyz vam z ty matematiky porad vypadavaji dost dulezite axiomy ze zivota (minimalne vam dvema poslednim diskutujicim). Pak je jasne, ze mate spatny vysledek.
a) bezpecny server neexistuje
b) nepouzivat server, ktery neni bezpecny
resenim je nepouzivat server, jenze zapominate na to hlavni
c) lide chteji pouzivat server
d) zdroje (financni, lidske) jsou omezene
Vase filozoficka definice bezpecneho systemu je sice krasna, ale je
1) zalozena na subjektivnim hodnoceni bezpecnosti
2) pripousti prolomeni systemu
3) neresi pripad 2 a tim jste zase na uplnem zacatku
Takze se mejte za experta, ale v oblasti bezpecnosti radeji ne.
Znova opakuji: NIKDO Z VAS RADOBY EXPERTU NENAVRHL USPESNEJSI RESENI, SIROCE AKCEPTOVATELNE, KTERE BY BYLO LEPSI NEZ LOGOVANI.
Snazize se, snazite, ale nejde vam to. -
pepan (neregistrovaný)a je videt, ze vy ste lama, ufnukany chudacik, co fušuje do veci, o ktorych nema ani paru. ani jeden vas nazor nema pevnu podu pod nohami ...
ta definicia bezpecnosti je taka aka ma byt, precitajte si normu a pridite sa ospravedlnit.
ja radsej pojdem na kavu z cestnym clovekom, co mi povedal, ze mam deravy komp, ako s idiotom, co zozral mudrost sveta.
diskusiu si kludne uzavrite, tymto vyrokom ste len uzavrel svoju obmedzenost, znalec naroda ;-) ale je pravda, ze kazdy priemerny clovek zvoli 1, zdar vasej priemernosti. -
zufik (neregistrovaný)Este jeden prispevocek pred triumfalnym vitazstvom...
CO LOGOVANIM VYRIESITE?uvediem pribeh z dielne pavla dobsinskeho: som zly skaredy oplzly a nadovsetko nebezpecny hacker/radsej cracker/ ktory udaje zneuziva a nikomu o tom nic nepovie..pridem do internetovej kaviarne a popri pive na neakom slabsie zabezpecenom kompe niekde na nete nazvyme ho xy ziskam/napr pomocou nbuser a nbuser123/ roota..fajn logy su povinne takze mam log na servri kaviarne ze z jedneho pocitaca v kaviarni pristupujem na masinu xy..no podme do extremu..loguju sa aj cele pakety..lenze co z toho ked som si konneksn tuneloval sslkom?a je nelegalne pristupovat k pocitacu xy? nieje..samozrejme ze budem v logoch na xy..ale tam uz som root..co z toho vypliva? mozu mi vsetci fukat praskovy cukor do ritneho otvoru pretoze ked uz som root s radostou si logy prekreslim ako sa mi chce..a aj keby sa mi prave nehcelo hrat maju tam akurat pristup z neakej net kaviarne//tak mi napada..nemali by sme pred pristupom na net z ic udavat obsluhe svoje rodne cislo?//no podme dalej do extremov nech ma zaloguje aj kazdy router ktorym presli moje pakety..co tym ziskaju? nic..najdu tam koneksn z jednej masiny v neakej ic na masinu xy..ale uz sa mi nechce byt v kaviarni..tak idem domov a na xy pristupujem z domu..a na xy su stale logy ake chcem ja najlepsie teda bez mojich koneksn..trosku odbocim a teraz to uvedieme na konkretny priklad hysterky..som strasne zly cracker a vsetci na hysterke ma uz davno stvu..su to lamy a ja ich potrebujem zneskodnit..tak ich poslem k ujom policajtom..ako? neaky lamkos crackol velmi nebezpecny server..nazvime ho vnu/velmi nebezpecny urad/..a teraz po nom patra pol policajneho statu pretoze ten debil to zverejnil..tak sa teda pripojim na moj oblubeny xy a cez proxy na hysterke sa idem polamacky priamo pozriet na vnu trosku sa im tam pohrabem..ale to len tak symbolicky a hned tam maju log hysterky..samozrejme proxy na tej skaredej hysterii si ma zapise do logov..co sa stane teraz? pridu ujovia policajti..a zacnu svojimi mudrymi hlavickami skumat server vnu..co tam najdu? koneksn priamo z hysterii..aa ano..to je ta liahen hackerov..a huraaa ideme zabavit dokazovy material..a kedze na hysterii je vsetko logovane co tam najdu tak po troch mesiacoch? aaa koneksn z xy..ideme na xy..lenze na xy su len logy ktore sa mi tam pacili..a aby som sa hadam dopracoval k niecomu s tou hysterkou hodim tam koneksn priamo z tej spinavej jaskyne plnej hackerov..samozrejme ze mimo milionu5 dalsich logov ich zaujme prave tento..vobec ich nebudu trapit tie z mojej nenapadnej masinky od neakeho big poskytovatela internetovych sluzieb..tak pridu na hysterku a vsetkych tam pozatvaraju....ake poucenie plynie z tejto rozpravocky? logovanie je viacmenej nebezpecna vec..
PRECO NELOGOVAT? A PRECO SERVRE KTORE NELOGUJU POVAZUJEM ZA SERIOZNE?
Preco nelogovat som uz svojsky nacrtol v predchadzajucej rozpravocke..jednoducho to nema zmysel ..preco to nema zmysel? lebo ujo root moze ponapravat logy ako sa mu paci..perco existuje ujo root?..vlastne fakt..vie niekto preco existuje vsemohuci mr root?..opytajte sa uja torvaldsa..mozno vam to vysvetli...teraz sa na vec pozrime zo stranky uzivatela..preco mam rad servre ktore neloguju? lebo to znamena ze o mne nechcu mat ziadne informacie..na ilustraciu dalsia rozpravocka..som skaredy oplzly a ziskuchtivy admin neakeho servru kde bezi fe burza cennych papierov..samozrejme..logujem si vsetko..a najradsej si logujem kto kde kolko akcii kupuje..no samozrejme..internet je plny spekulantov na ktorych nieje spolah..ale tak nenapadne si vsimnem jednu ipcku jednej firmy o ktorej je zname ze celkom ako aj zbohatla na burze..co budem robit? kupovat akcie ktora kupuju aj oni..co ma z toho ta firma? mozno nic a mozno vyfuknuty job.....mozno si poviete ze je to len spekulacia..pravdou je ze existuje milion5 dalsich sposobou ako moze admin zneuzit to ze ma moju ipcku..takisto nikto vam neunesie deti ked nevie kde sa hraju, kde byvate, a kam chodia do skoly..preto su pre mna serioznejsie servre ktore neloguju..
LOGOVAT CI NIE?
Niektore sluzby by som na servri predsa len logoval/napr take ssh alebo samotny shell/ ale samozrejme treba potom tie logy aj pravidelne kontrolovat..tak raz denne je celkom dobry interval..a zase nevidim dovod preco logovat proxy server ked ho vyhlasujem za anonymny..
ALTERNATIVNE RIESENIE
Myslim si ze je podstatnejsia bezpecnost vlastneho servru ako bezpecnost ostatnych servrov..keby kazdy pristupoval k zabezpeceniu servru zodpovedne musel by sa ujo cracker aspon trosicku zapotit..zatial co nbuser:nbuser123 vela prace nedal. a logovanie na anonymnom proxy by potom myslim nikomu nechybalo.
Druhov alternativou je logovat vsetko a vsade..a samozrejme uchovavat v archivoch aspon 15 rokov..nikto nevie ako dlho uz bol nbu cracknuty..potom by bolo myslim vyhodnejsie zmenit strukturu internetu..neako tak aby sa logovalo aj to rodne cislo v internetovej kaviarni
OFFTOPIC FOR ToM:
Myslite ze anonymita by mala zmiznut z internetu?
Su podla vas technologie ako onion routing/tor a i2p/nebezpecne? -
ToM (neregistrovaný)Vase teorie narazi na jeden zakladni axiom. Dokonaly zlocin neexistuje. A i kdyby, ciste teoreticky existoval, tak spolecnost je ochotna toto akceptovat, paklize pripadna opatreni eliminuji drtivou vetsinu trestnych cinu. (Jinymi slovy, kvuli par teoretickym prikladum spolecnost nerezignuje na pravni rad.)
Uz po nekolikate opakuji, ze nejsem pro odstraneni anonymity na internetu a po nekolikate opakuji, ze si myslim ze je v nemale vetsine pripadu prospesna. Ale to neznamena, ze jsem pro obstrukce v pravnim systemu. Chci, aby _i_ pravni system minimalizoval riziko, ze se mi nekdo bude nabouravat do systemu (a jak uz jsem uvedl, jsem ochoten tolerovat, ze to nebude v plnych 100% pripadu).
Mozna, ze lepe nez ja, by vam to vysvetlila nejaka ucebnice prava. Tezko rict.
A posledni poznamka k technologiim. Z hlediska pravniho systemu je irelevantni o jake technologiie se jedna. Podstatna je pouze cinnost a jeji spolecenska nebezpecnost a dostatecna prukazni schopnost, ktera vede k potrestani nebezpecnych cinu a tim k jejich eliminaci. -
zufik (neregistrovaný)Kto tu hovori o dokonalom zlocine? preco je potom uspesnost vyriesenia pripadov niekde okolo 40%? Nieste nehodov pravnik? cely tento thread pozadujete lepsie riesenie ako logovanie a ked vam poukazem na silne nedostatky v logovani uvadzate neaky axiom neexistujuceho dokonaleho zlocinu..verte ci nie logovanie a dostupnost vasej ip adresy kazdemu serveru na ktory zavitate je denne zneuzivana..niekolko threadov nizsie som vam vysvetlil pojem bot..takze urcite by ste drvivu vetsinu trestnych cinov logovanim nevyriesil..ak chcete neake konkretne priklady utokov pomocou botov dajte mi par dni cas a ja vam ich najdem..verte ci nie ale obrovske mnozstvo utokov je spachane prave cez botov..logy na verejnych sluzbach boli su a budu.. ale kym budu aj anonymne sluzby su vam na prd..ked anonymne sluzby zakaze zakon, ajtak to nic nevyriesi pretoze technicky zdatny jedinec si najde cestu ako sa vyhnut identifikacii...mimo to som ochotny a odhodlany dat sa na rebeliu pretoze v tom momente zijem v policajnom state a to prave nieje zivot aky by sa mi pacil!
Ako pravny system minimalizuje riziko ze vas niekto napadne v tmavej ulicke? alebo v lese? Je to iba urcity eticky ci moralny kodex alebo kombinacia fyzickych vlastnosti ktora nedovoli vecsine ludi okradnut vas kazdy den..alebo chodite iba cez monitorovane uzemie? aj to je moznost..v tom pripade sa na internet pripajajte cez neaku dobre zabezpecenu vpn siet a verte mi ze prave na vas server nikto utoky pachat nebude...Ked si pred domom necham nezamknuty bicykel a niekto mi ho ukradne..zavolam policiu a oni sa nebudu ani namahat presetrit tento pripad..preco? mal som si bicykel zamknut..taky je realny zivot -
cryp (neregistrovaný)jen tak orientacne, ne ze bych se v tom vyznal, ale kdesi jsem cetl, ze hysterka ma cryptovanej fs a to jeste pro kazdeho usera jinak podle vlastniho klice nebo tak nejak, takze ani admin nevi co je tam za data a jak se k ni nejak easy dostat, tak co s tim budou ty svestky delat?
-
anonymníPorad se tady resi, jestli bylo/nebylo spravne proniknout na NBU a pripadne tam zkopirovat data atd.
Bez ohledu na to jak na tuhle otazku odpovite je tu jiny problem a to v tom, ze byl zabaveny server, ktery krome anonymni proxy, pres kterou byl vedeny utok, poskytoval i radu jinych ( i placenych ) sluzeb vlastnim klientum. Takze zabavenim serveru vznikla skoda majiteli / poskytovateli sluzeb na hysteria.sk.
A zabavit server s oduvodnenim ze pres jeji anonymni nelogovanou proxy byl vedeny utok a ze je potreba zanalyzovat data je asi na urovni toho, jako by vas vyhodili z bytu ( a zabavili vam ho na dobu neurcitou ), ktery sousedil s bankou a pres tenhle vas byt se do ni nekdo vloupal ...... -
anonymníNo zda se ze prebornik na plno kecu a skutek utek jste tady Vy (ToM).
Tady slo o primerenost/neprimerenost pouziteho reseni. Predpokladam, ze kdyby vam zabavili auto, ktere denne nutne potrebujete k praci, protoze je nekdo po spachani zlocinu pouzil k uteku z mista cinu, tak si jdete hned koupit/pronajmout jine, vzdyt dulezitejsi je vysetreni zlocinu, ze? -
anonymníJa nemam nic proti logum - ve spouste zemi mimo SR je uschovavani logu povinne pro poskytovatele pripojeni (dokonce po dobu nekolika let) a privatni subjekty se mohou rozhodnout, jestli logovat a v pripade zneuziti logy predat prislusnym organum anebo nelogovat a pak muset nevinu dokazovat vlastnimi silami. Osobne loguju jak privatni tak firemni systemy, pokud rozhodnuti zalezi na mne.
Ale tady se bavime o zabaveni serveru / pracovniho prostredku a ne o tom jestli logovat nebo ne.
Pochybuju o tom, ze by fakt jestli loguji nebo ne zmenil neco na tom, jesli by ten server zabavili nebo ne. Spis bych rekl ze slo o zaminku, jak se podivat na soukrome data hackerske komunity.
Jak uz bylo receno, policie ma pravo zasahnout a treba i zabavit server ze zavaznych duvodu, ale pak by mela zavaznost techto duvodu obhajit a nebo prijmout odpovednost za eventualni nahradu skody zpusobenou neprimerenou akci. Zajimala by mne vase reakce, pokud by vam vlitli do bytu a vsechno odvezli 'k analyze', protoze se vam nekdo napichl na vas bezdratovy (ne DECT) (a nebo i klasicky) telefon a oni odposlechli tenhle hovor a klasifikovali ho jako 'vysoce nebezpecny'. A v tomhle pripade by i povinne logy telefonni spolecnosti mluvili proti vam..... -
hyza (neregistrovaný)Moj nazor je ze sa netreba zamyslat nad tym ze ci je zabavenie serveru opravnene alebo nie, ale nad ucelom toho utoku.Ucel nebol uskodit, ale pomoct.Neschopnost adminov v NBU nepozna medze, ked este aj po 3 mesiacoch je ucet nbusr stale funkcny.
A heslo nbusr123 takisto.Je to typicke prelievanie penazi zo statneho rozpoctu, a policia sa teraz zameriava na druhu stranu.To prelievanie penazi spociva v tom ze tento rok NBU preplatil fakturu 3 mil. Sk firme , ktora poskytuje net NBU a ma pre NBU robit aj administratora.No a takto to vypada.3 mil v lufte a pruser na pracovnom stole. -
ToM (neregistrovaný)Cituji:
"vecer sa nasadili na masiny zabackdoorovane ssh demony, ktore nam zaznamenavali pohyb adminov po dalsich strojoch (aj s heslami of course :) )
pod ruskom noci cez switche a routre veselo tiekli gigabajty mejlov a inych dovernych dat ku nam, do spravnych ruk na kryptovane disky ;)
po bezradnych tahoch administratorov je v dobe pisania tohto clanku stale mozny plny pristup do siete nbu. ktokolvek s minimalnymi znalostami pocitacov si moze v pohodli svojho domova pristupovat k ich datam. nie vsetko co je bezpecne je naozaj bezpecne a nie vsetko co je tajne je az tak tajne :) smutnym mementom tohto cinu je zistenie, ze azet je lepsie zabezpecenym systemom ako institucia zastresujuca vysoko doverne dokumenty."
Takze o dobrych umyslech nemuze byt ani rec. -
hyza (neregistrovaný)Keby ste citali trosku viac , napriklad interview, tak zistite,ze ukradnut data preukazatelne pochadzajuce z NBU bol jediny mozny sposob ako dosiahnut zverejnenie problemu.Pretoze pokial by iba prenikli, a nemali by to ako dokazat, tak by NBU jednoducho poprelo tento prienik, potvrdilo by bezpecnost ich siete a bolo by po parade.Nepoznate medialne hry vlady?
-
ToM (neregistrovaný)Poznam medialni hry i pachatelu, kdyz jim tece do bot.
Uvedu treti priklad z praxe. V polovine devadesatych let byl pripad zmizeni milionove castky z uctu v Ceske sporitelne. Zjistilo se, ze to udelal zamestnanec. Kdyz ho dopadly, hajil se presne stejnym zpusobem. Tvrdil, ze chtel upozornit na bezpecnostni problem Sporitelny v informacnim systemu. Dokonce rikal, ze predem informoval nadrizene. Ti ale o nicem nevedeli. S tim klukem to nedopadlo slavne. Pochopitelne byl odsouzen.
Praktiky vsech pachatelu jsou opravdu velmi trivialni i co se tyce zpusobu obhajoby.
Takze verit, ze to udelali pro dobro, je naivni. -
ToM (neregistrovaný)Jestli _nebyly_ informace zneuzite se asi nikdo nedovi. Jednoduse proto, ze ani jedna strana nema zajem na tom zverejnit, zda vubec slo o zneuzitelne informace. Takze se ani s jistotou nedovime, o jake informace slo. Muzeme se bavit sice o nejake pravdepodobnosti, ale jistota to nikdy nebude. Ale principialne to ani neni podstatne viz. dale.
Taky to muze byt tak, ze informace nestihli zneuzit. S jistotou tuto variantu vyloucit nelze a proto ji vysetrovatel musi brat do uvahy.
A jestli ty kluky znate dokonce osobne a dlouho, tak ani na to se (bohuzel) neda spolehat. Nebyl prvni pripad, kdy z "poctiveho a vzorneho pracovnika se stal defraudant".
Osobne soudim, ze podle toho prvniho zaznamu na blackhole.sk to udelali ze zabavy. Ale urcite ne pro dobro NBU. Bohuzel musim ale pripustit, ze i tento zaznam mohl byt naprosto peclive dopredu promysleny. A vysetrovatel s tim musi pocitat a vsechny takove verze musi proverit (jazykem technokrata - musi projit cely stavovy prostor)
Mimochodem urcite kazdy cetl Kukacci vejce. Koho by v polovine osmdesatych let napadlo, ze kluci z nemecka budou KGB prodavat informace ukradene v americe.
A prave proto, ze takove situace mohou nastat (tj. nelze vyvratit, ze nemohou) a clovek se tak snadno muze dostat do podezreni, je opravdu hloupost blbnout tak, jako v pripade NBU (aneb nedrazdi kobru bosou nohou). -
ToM (neregistrovaný)Ano, ta analogie vicemene sedi. Diky.
Driv stacilo majiteli rict "ja to nebyl" a byl z obliga. A to byl spolecensky problem, a proto se zacal resit zodpovednosti majitele/provozovatele automobilu.
Pokud dnes rekne "ja to nebyl", tak musi prokazat, komu automobil pujcil. Pokud ne, nese odpovednost sam. Spolecensky problem to 100% neresi, ale je to _vyznamny_ krok dopredu ke zvyseni prokazatelnosti cinu. S utoky v Internetu je to stejne. A je jen otazkou casu, kdy se takove veci _explicitne_ uzakoni, protoze to je spolecensky problem. Nicmene nas to v zadnem pripade nemine. -
zufik (neregistrovaný)Prirovnavat proxy k automobilu je trosku zvlastne..skor by som to prirovnal k taxiku..predsatvte si ze niekoho zvrazdia a vraha videl niekto vystupovat z taxiku..z toho vypliva ze policia pride na parkovisko kde je ten taxik odstaveny a bez konzultacie s majtelom ho zkonfiskuju? zaujimave...
-
SeZu (neregistrovaný)Stejné je to v tom, že obě věci jsou identifikovatelné na základě nějakého čísla (SPZ/IP), o kterém je záznam v nějaké databázi a obě věci byly použity k trestnému činu. Váš případ lze také přijmout a moc nepochybuji, že v případě, že by byla nějaká možnost na usvědčení na základě důkazů získaných z taxi (navíc v případě, kdy taxikář odmítne spolupracovat), tak to auto také zabaví (otisky prstů,....). Jakým to udělají způsobem, na jak dlouho atd., je samozřejmě věc jiná. Jde spíš o to, že mnoho lidí nechce nést následky za své jednání a využívají/zneužívají možností Internetu a pak se diví....
-
zufik (neregistrovaný)predsa len je zima takze pacahtel nosi rukavicky a samozrejme..som slusny taxikar..tak im kludne a dobrovolne svoj taxi poskytnem ak ma on ho poziadaju..lenze oni mi ho bez mojho vedomia zobrali tym ze prisli na strazene parkovisko ..ukazali tomu dedkovi v budke lajstro s povolenim a taxi mi nalozili na nakladak..ma to este aj svojsky hacik..svoje auto kazdy den poriadne poupratujem..takze vela tam toho asi aj tak nenajdu..mozno by som im vedel pomoct osobne ale o to nestoja..ma to logiku?
-
Peto_MiG (neregistrovaný)Viaceri diskutujuci sa domahaju akehosi "slusneho" postupu zo strany hackerov. Posledne dianie vsak ukazalo, ze takato poziadavka je naivna.
Prienik bol uskutocneny v aprili. V juli zhabala policia server. Hackeri na protest zablokovali webserver NBU. Co sme sa este dozvedeli?
1, heslo, ktore uz deti nosia na trickach a je predmetom vtipov, sa na klucovej infrastrukture STALE NEZMENILO. Z toho vyplyva, ze NBU nie je schopne a/alebo ochotne vykonat potrebne kroky na napravu stavu
2, NBU klame, zavadza, zatlka. Niekolkodnovu nedostupnost servera obhajuju "nahravanim obsahu". Nepotrebuje komentar.
Mne z toho vyplyva, ze poziadavky na hackerov, aby sa najprv "slusne opytali", potom "slusne upozornili a nic nebrali" a nakoniec "este slusnejsie zverejnili" su naivne.
Aky by mal byt postup, ktory by vyhovoval vsetkym puntickarom? Na zaklade doterajsieho konania zucastnenych si to mozme rozviest:
1, hackeri sa opytaju admina, ci mozu skontrolovat system.
Moznosti:
a, ziadna odpoved
b, "dakujem, netreba"
c, policia zacne nahanat "zlych hackerov", hoci este nic neurobili, len tak, preventivne, pre zastrasenie
poznamka: niektore moznosti sa navzajom nevylucuju
o niekolko dni
2, hackeri uskutocnia prienik a upovedomia admina, ze ma system deravy ako sito. Nic odtial nevezmu.
Moznosti:
a, ziadna odpoved
b, "to nie je mozne, klamete, nikde ste sa nedostali"
c, policia zacne nahanat "zlych hackerov"
poznamka: niektore moznosti sa navzajom nevylucuju
o par dni
3, hackeri zistia, ze zabezpecenie sa v nicom nezlepsilo. Informacie o prieniku zverejnia.
Moznosti:
a, NBU sa nevyjadri
b, NBU vsetko poprie, hackeri aj tak nemaju ziadne dokazy, a system NBU predsa presial bezpecnostnym auditom za 3,5 miliona
c, policia zacne nahanat "zlych hackerov"
poznamka: niektore moznosti sa navzajom nevylucuju
4, hackeri zistia, ze nic sa nezmenilo. Skopiruju si zo servera nejake data ako dokaz a znovu to zverejnia.
Moznosti:
a, Novinari nemaju chut tahat sa s NBU za prsty a preto sa informacii nedostane ani 10% predchadzajucej pozornosti. Ved predsa sef NBU uz predtym vsetko jasne poprel a pre obcanov je pohodlnejsie uverit jemu, nez sa zmierit s tym, ze nase citlive data su takmer verejne dostupne komukolvek na svete.
b, NBU znovu vsetko poprie a zatvari sa pritom zovialne
c, policia zacne nahanat "zlych hackerov"
poznamka: niektore moznosti sa navzajom nevylucuju -
ToM (neregistrovaný)Dobra, zkusim popsat svuj soukromy tip na postup, ackoli urcite vsem vyhovovat nebude.
Bohuzel, jelikoz se jedna o instituci, bude treba vyrazne vetsiho usili k prosazeni zameru (o to vic, kdyz jde o statni zrizeni). Omlouvam, se jestli to bude vypada slozite, ale pro toho, kdo se v takovem prostredi pohybuje dlouho, to ve skutecnosti je rutina. Urcite to nezabere az zase tolik casu, jak to na prvni pohled vypada. V podstate jde o bezny postup pri obchodnich schuzkach.
ad 1) hackeri sa opytaju admina, ci mozu skontrolovat system.
Motivace:
- Presvedcit, ze jsem duveryhodna osoba, se kterou ma cenu se bavit.
- Zjistit, zda pravidelne prochazi bezpecnostnim auditem.
- Presvedcit, ze mam potrebne know-how.
- Ziskat povoleni k provereni bezpecnosti.
1.1 Hacker si zjisti, kdo je zodpovedny za IT bezpecnost (webove stranky, nebo spojovatelka na ustredne).
1.2 Domluvi si primo s odpovednym pracovnikem (vedouci/reditel bezpecnosti IT, vedouci/reditel IT oddeleni nebo reditel financniho oddeleni - zalezi na instituci) osobni schuzku - pokud se chovam slusne, neni treba mit z toho tremu.
1.3 Dostavi se na schuzku vcas a slusne obleceny (doporucuji nejaky ala business styl) - ackoli to bude pro mnoho hackeru neprirozene, je to pomerne dulezite. Druha strana vas bude brat o poznani vazneji.
1.4 Na schuzce se strucne predstavim a uvedu cim se zabyvam, co je moje specializace (vhodne je uvest 2-3 realne reference).
1.5 A samozrejme uvedu duvod schuzky tj. nabidka na provereni bezpecnosti serveru. Pokud na to nekdo ma, tak jeste lepe "bezpecnostni audit" (minimalne to zni dobre :-) ). A nezapomenu takovou nabidku zduvodnit. Zjistit, zda provadi pravidelne bezpecnostni audit a pripadne nabidnout oponentni posudek atd. Meli byste byt schopni vysvetlit schema takoveho auditu bez technickych detailu. Na terminy jako BOF nebo nmap radeji zapomente. Cloveku tim muzete akorat zamotat hlavu. (nerikam, ze nejsou vyjimky). Musite zjistit, jestli by stali o vasi nabidku.
Pozn. radeji se neoznacovat za hackera. Tohle slovo proste laikum nahani hruzu a zavrelo by vam to s nejvetsi pravdepodobnosti dvere. Vysvetlovat puvod slova nema cenu. Verte mi.
Urcite jednejte diplomaticky. Ne ze mu reknete, jake hloupe administratory ma ve svem uradu.
Shrnuti: Pusobite seriozne, presvedcili jste, ze jste odbornik s potrebnym know-how.
Mozne reakce:
a) ano, zajima nas to - rozpracujete metodiku, poslete nabidku a cekate na odpoved. Metodika bude napr. obsahovat i 2. fazi provereni po případných napravných opatřeních.
b) nemame zajem - muzete se slusne ubezpecit, zda si dotycny uvedomuje, ze data mohou byt ohrozena (uvedete priklad), pokud ho nepresvedcite muzete se na to cele vykaslat nebo vasi nabidku eskalovat vedoucimu uradu/rediteli spolecnosti.
c) nevime, nechame si to projit hlavou - dohodnete se na terminu
d) zajima nas to, ale - predevsim u NBU, hrozi, ze byste se aktivitami mohli dostat k informacim tzv. utajovanych skutecnosti prip. jinych dat neverejne povahy. U NBU to znamena projit bezpecnostni proverkou, ktera trva nekolik tydnu az mesicu (zalezi na pozadovanem stupni). Take muzete narazit na fakt, ze bezpecnostni audit systemu muze provadet jen samo NBU. V takovem pripade toho cloveka musite presvedcit a ziskat povoleni treba "jen" na overeni bezpecnosti web serveru. (povoleni = smlouva o dilo viz. a))
Pokud objednavku neziskate, tak muze viz. b) eskalovat vasi nabidku vys a nebo se na to vykaslat.
V pripade, ze jste nahodou narazili na nejaky bezpecnostni problem, tak mate vyrazne jednodussi situaci. Mate padny argument, ze bezpecnost je narusena a tim presvedcite danou osobu, aby se situaci zabyvala. Pokud i na doporuceny dopis s dodejkou se odmita k situaci vyjadrit a aktivne ji napravit, muze to v dalsich fazich prerust az v podani trestniho oznameni (napr. poruseni povinnosti pri sprave ciziho majetku; v pripade NBU me ted nic nenapada - minimalne stiznost vlade).
Mimochodem, nemyslim si, ze by se media bala vlivu NBU. Nevim jak na SK, ale v CZ jde sefredaktorovi spis o prodejnost nez o "ty nahore". A media, to neni jen tisk a televize, ale i internetove denniky.
ad 2) hackeri uskutocnia prienik a upovedomia admina, ze ma system deravy ako sito. Nic odtial nevezmu.
2.1 Cely postup musi byt do detailu promysleny dopredu. Tzn. musi existovat presny postup, ktery je zdokumentovany.
2.2 Provereni (obzvlast, pokud jde o invazivni test zivych serveru) musi byt i nacasovany. Musi byt vytvorene zálohy dat, musi se pocitat s vypadkem sluzeb, ktere nesmi ohrozit prip. ovlivnit beh uradu/spolecnosti nebo jeji casti nad ramec dohody.
2.3 Kazda provedeny krok musi byt zdokumentovany (to je neco jineho nez 2.1)
2.4 Je vytvořena záverečná zpráva s případnými doporučeními.
ad 3) hackeri zistia, ze zabezpecenie sa v nicom nezlepsilo. Informacie o prieniku zverejnia.
3.1 Overeni napravných opatření musí být také v souladu s celkovou metodikou, kterou odsouhlasil objednatel a jedna se o stejny bod 2 (v jeho redukovane podobe)
3.2 Informace o pruniku zverejnit nemohou, protoze kazdy rozumny urad/spolecnost sepise s dodavatelem NDA.
3.3 V takovem pripade lze postupovat tak, jak jsem psal vyse. Eskalovat to na nadrizene, prip. podat stiznost nebo dokonce v posledni fazi trestni oznameni.
Hruza co? :-) Ale jak uz jsem psal. V podstate se jedna o bezne obchodni jednani, kterych maji obchodnici nekolik denne.
Plati jedna zasada pro komunikaci. Pokud se omezite jen na email, tak se podari dohodnout jen maloco. Vetsinou jen nepodstatne veci. Je to holt prilis anonymni.
Telefon je rozhodne lepsi a v tomto pripade byste se osobnimu setkani asi nevyhnuli.
Podani trestniho oznameni je samozrejme to nejzassi variantou, na kterou ve vetsine pripadu ani nedojde.
Podstatne ovsem je, ze nikdo nema pravo na testovani. Pokud bude moje nabidka zamitnuta s oduvodnenim, ze pravidelne delaji audit, a nebudu mit v ruce nic, co by nasvedcovalo, ze neni bezpecnost narusena, tak mam smulu. To by za nima mohlo chodit 10 lidi denne, ze si to chteji otestovat, protoze tem ostatnim auditorum neveri.
Nakonec to je hodne o jednani s lidmi. Na druhou stranu, kolik lidi je tady schopno udelat smysluplne provereni bezpecnosti IT? To neni pro script kiddies. Takove testovani instituci nepomuze (snad jen na par dni). Je to hodne (dost mozna vyrazne hodne) o procesech. Neco, co rada administratoru nesnasi :-) -
zufik (neregistrovaný)"Pane prominte ale vy si to predstavujete jako hurvinek valku"..ak som dobre pochopil vas prispevok ma to niekolko nedostatkov:
add 1) Viete si predstavit zeby neaky "obycajny" clovek prisiel za veducim it oddelenia NBU a povedal mu ze spravi bezpecnostny audit organizacii ktora mala byt certifikacnou autoritou na slovensku? Teda vlastne bezpecnostne audity by mal vykonavat NBU..Viem si zivo predstavit ako by sa pan manager pobavil na vasej ponuke..to je ako ponuknut policajtom ze im budete strazit veznicu lebo sa vam zda ze par veznou chce ujst.. prezradte mi prosim s cim by ste k nemu prisli? nieco ako: mam dovodne podozrenie ze vas server nieje dostatocne zabezpeceny?//isty neuspech//alebo..nahodov som prisiel na to ze cez mailagenta mozem spustat prikazy na vasom servri..myslim si ze je to bezpecnostna diera//iste zazalovanie za pokus o napadnutie pripadne ziadna reakcia ved sme NBU a my najlepsie vieme co je bezpecne a co nie//
add 2)Skuste to..prajem Vam priemny pobyt vo vezeni...
add 3)Stale sa pytam s cim pojdete za nadriadenymi? s tym ze ste im napadli pred rokom server a oni s tym stale nepohli? Viz add 2..to iste plati aj o zalobe na sude..
a na zaver taka teoreticka otazka? mozem sa vykaslat na stav zabezpecenia institucie ktora mala byt certifikacnou autoritou? Myslim ze nie..
Myslim si ze postup ktory ste tu nacrtli je uplne nepriatelny..a postup ktory pouzili ti chlapici co NBU napadli sa mi zda byt ajked nie idealny ale pre nich ako jedincov jediny mozny..na ilustraciu vam mozem porozpravat dalsiu rozpravocku... -
ToM (neregistrovaný)ad 1) :-) Presto takto zacina rada obchodnich jednani (v praxi!). A jestli alternativne nabizite "zacit busit do jejich serveru bez dohody a povoleni" ...
ad 2) Za co do vezeni? Za neopravnene ziskani pristupu? Ja ho mam ale z bodu 1 opravneny!
ad 3) Nikdo nikomu server nenapadal. Psal jsem s cim pujdu za nadrizenymi. Se spravou o bezpecnostnim provereni, ktera dokazuje problem v siti.
K te teoreticke otazce: Pokud vam nic nezbyva, tak ano. Muzete a dokonce musite. Chcete snad proverit veznice, ze se z nich neda utect? Chcete svevolne proverit banku, ze se z ni neda ukrazt penize? Proc bych vam mel verit, ze chcete "jen" proverovat bezpecnost? Proc si myslite, ze vasim proverovanim nezpusobite zadnou skodu?
Netvrdil jsem, ze vam budou predstavitele NBU libat ruce. Kazdopadne na informaci, jestli je pravidelne provaden bezpecnostni audit IT mate pravo (v nejhorsim pripade prostrednictvim vaseho poslance). Poslanec by mozna mel moznost zjistit i dalsi podrobnosti (ktere vam doslova pochopitelne nerekne).
Mimochodem dost vazne pochybuju o schopnostech nekterych diskutujicich vubec takovy smysluplny audit uskutecnit. Rada z nich se totiz nedokaze kriticky divat na ciny potencialniho utocnika, cimz zanechavaji v systemu diru jako vrata. -
zufik (neregistrovaný)add1)Ok..obchodne jednania takto mozno zacinaju..ale predstavte si ze by ste prisli za neakym vladnym predstavitelom ministerstva obrany /dajme tomu ministrom obrany/ ze ste uplne neznamy obchodnik so zbranami ale zda sa vam ze mig29 niesu to co potrebuje nas stat a ponukli mu nakup napr francuzskych mirage? Bez "lobovania"..bez udania neakych konkretnych vyhod vasej stihacky a bez toho aby bol vypisany neaky konkurz?..nieje to trosku nezmysel?..cisto z obchodneho hladiska..aku by ste mali sancu uspiet?
add2)//add3)co ak by ste pristup nemali vid add1..bola by vam bezpecnost NBU ukradnuta?
Naozaj sa nemozem vykaslat na bezpecnost NBU..za ziadnych okolnosti! Pretoze tym ze nieje dobre zabezpeceny ohrozuje aj mna ako uzivatela pohybujuceho sa na slovenskom internete.. Viete co to znamena certifikacna autorita? viete co to znamena sprava elektronickych podpisov? Predpokladam ze ano..tak urcite viete aj co by to znamenalo mat k servru takejto organizacii pristup..Ak budem mat dovodne podozrenie zeby z veznice mohol ujst vezen ktoreho pobyt na slobode by ohrozil moju existenciu..pojdem najprv na policiu..tam mi dajme tomu neuveria a potom sa dohodnem s kamaratmi a budem veznicu sledovat z vonku..Ak budem mat v bezpecnostnom trezore v banke nieco na com mi zalezi a ich zabezpecenie sa mi nebude pozdavat tak si tu vec od nich vyberiem a dam do inej banky..
lenze ja ako uzivatel sa nemozem rozhodovat kto mi na slovensku udeli certifikat alebo elektronicky podpis a tiez je nemozne pasivne snifovat na servri nbu a cakat kym niekto zautoci..ved aj sniff je v podstate utok...
Samozrejme ze na informacie o bezpecnosti NBU mate pravo..ale stazovali ste sa niekedy neakej vecsiej firme na nekvalitu alebo nedostatky ich sluzieb? Neviem ako vam ale mne mnohokrat prisiel list v zneni: "dakujeme vam za to ze vyuzivate nase sluzby ..bla bla bla bla ..je v nasom zaujme aby sme sa nase sluzby stale zlepsovali a vasu pripomienku bereme na vedomie...bla bla bla" Od kazdeho predstavitela by ste sa urcite dozvedeli ze audit sa vykonava pravidelne v n-ddnovych intervaloch..preco? pretoze sa do toho vobec nerozumie..a dajme tomu ze admin si raz za tyzden prezrel letmo logy na servri a nazval to v sprave bezpecnostny audit. -
ToM (neregistrovaný)ad 1) Ano. Podle toho, jak to podavaji noviny to tak vypada. Ale o realite to nic nerika. Dokud to nezkusime, tak o tom muzeme jen teoretizovat. A pak - kde rozdavaji migy zadarmo? Vy prece za tu sluzbu nic nechcete. Takze zadne vyberove rizeni. Mimochodem mluvil jsem castecne obecne s upozornenim na mozne komplikace v pripade NBU.
ad 2,3) to jsem take uz psal. Ne. Mam legalni moznost zjistit, jestli provadi bezpecnostni audit. Pokud ne, tak mam opet legalni moznosti, jak vyvijet tlak. Pokud audit provadi (nezavisly a nekolikanasobny), tak muzete byt v pohode, protoze uz vam asi zadna legalni moznost nezbyla.
=======================================================
Na to co je napsano vyse muzete klidne zapomenout, protoze to oduvodneni neni podstatne.
Podstatne je to, ze vy si nemuzete hrat na superhackera a zjistovat slabiny systemu. Proc by vam mel nekdo verit, ze to delate pro "dobro"?
Proc se snazite stale ignorovat tenhle fakt? -
zufik (neregistrovaný)add1)Uhm..takze ja vo vlastnom zaujme pojdem na kolienkach ziadat neakeho kapa v NBU aby mi dovolil overit zabezpecenie..nezda sa Vam to trosku nelogicke? odkedy je predmetom obchodu ponuknut niekomu nieco zadarmo? trosku na ujasnenie..soft vydany pod gpl si mozem kludne stiahnut zadarmo z netu..obchodujem s niekym? nie..ale ak pridem do obchodu ..a chcem napr dvdka debiana musim za ne zaplatit..sice v podstate smiesnu sumu..ale predmetom obchodu je vymena tovaru/sluzby za peniaze..a predmetom obchodneho jednania je obchod..ak som niekde urobil chybu prosim opravte ma
add2,3)vid posledny odstavec predchadzajuceho prispevku..chybka je v tom ze ak klame vlada nemate si to ako overit
----------------------------------------------
hmm rozoberem to z dvoch pohladov..
Predstavte si ze ste admin neakeho serveru...a pride vam mail ze mate deravy system..mr xxx v nom presne opise chyby ktore nasiel a ako dokaz prilozi neake bezvyznamne data..ako by ste zareagovali?pokial viem tak na bezpecnostnu chybu sa vecsinou pride len cistou nahodou..takze asi tazko bolo jeho umyslom napadnut vas server ked vam teraz presne opisal kde mate chyby..zazalovali by ste ho? alebo by ste si zabezpecili server? samozrejme tieto dve moznosti sa niako nevylucuju..osbne by som sa mu podakoval a zabezpecil si server..samozrejme by som sa snazil z neho dostat k akym datam mal pristup a pripadne ho zamestnat na dobre platenu poziciu..podla toho by som informoval aj uzivatelov..urcite by som sa snazil aj o osobne stretnutie s nim..napr pozvat ho na to pivo..ak pozvanie prime a pride..znamena to ze je sakra odvazny..pretoze riskoval ze na nho pockam s policiou... a hlavne ma 100% cestne umysly ..ved ho vidim svojimi vlastnymi ocami a teda viem ho identifikovat..ak pozvanie neprime..budem opatrny a urcity cas budem sledovat system 24/7/4/12..
No a teraz si predstavte ze som zsonnc //zly skaredy oplzly a nanajvys nebezpecny cracker//..napadnem server a narootujem sa na nho..aky by som mal pristup ku vsetkym datam a admini by o mne nemali ani paru..aky by som mal dovod zverejnit to? alibi? pred kym? ved nikto o mne nevie a ak sa aj dakto o mne dozvie ipcky hovoria o cine a po rokoch patrania v zemiach juhovychodnej azie a juznej ameriky sa dostanu na onion routing server a tam skoncili..alebo koli pocitu ze som nieco dokazal a chcem byt slavny? to sa mozem pochvalit pred kamaratmi v krcme..potichucku pri stole na meatingu zsonnc a budem slavny v undergrounde..so stalym pristupom k datam na napadnutom servri..medializacia? no tak dajme tomu..chcem ukazat celemu svetu aky je spravca servru curak..tak anonymne vypustim niekde neake mensie mnozstvo dat..napr na pokec.sk..v momente o tom vie pol slovenska aj s novinarskou obcou..a ja si stale slobodne beham po servri kde stale zneuzivam data..
fascinujuca pre mna bola reakcia NBU ktory nielen ze neopravil bezpecnostne chyby, neposlal spravcu za primitivne heslo do vecnych lovist a nevymenil ho za niekoho schopneho.. ale zacalo sa trestne stihanie voci tym kto sa na NBU nabural..heslo sa nezmenilo za 3 mesiace/ajked mozno to bol honeymoon..comu velmi neverim/ a viacmenje bezdovodne zkonfiskovali onyx server.. -
ToM (neregistrovaný)Pripad 1) To, ze neznate motiv, neznamena, ze neexistuje. Koukam, ze vy byste pachatele poustel na jejich cestne slovo. Jiste je, ze i takto se pachatele chovaji. A vy mate dost vazny problem, protoze a priori zamitate jednu z moznych variant.
Pripad 2) Ano, podle meho nazoru, i v pripade NBU stala zverejnenim jesitnost akteru. A proc by to zverejnoval? No protoze prave vy ho pak nebudete podezirat viz. vase definice z prikladu 1.
IF clovek upozorni na bezp. problem THEN clovek nemohl spachat trestny cin -
zufik (neregistrovaný)add1)tvrdim ze v pripade ak sa s niekym osobne stretnem doverujem mu pretoze aj on doveroval mne..ked mi ten hackmajster ukaze svoju tvar..da vizitku a ja mu dam svoju..v tom momente sme obchodni partnery..tym lepsie pre mna nie? A ta druha moznost je aka? ze pride za mnou na osobne stretnutie clovek..povie mi nazdar ja som jano..a bude mi dalej ocucavat server? respektive..nanovo si server zabezpecim a on si najde novu cesticku do mojho domceka..to by muysel byt cracker-adrenalista nemyslite?a tie data ktore ziskal predoslim ocucavanim bud zneuzil pred tym ako mi oznamil to ze mam deravy server alebo bude prvy podozrivy..tak si na nho urobim obcas neaky hrniec s medom..
add2)z coho ho nebudem podozrievat??? nemylte si prosim pritomy a minuly cas..to ze data ktore ziskal nezneuzil alebo nezneuzije v buducnosti..zarucit neviem..je to moja chyba pretoze ja som mal slabo zabezpeceny server..ale stavil by som sa o cokoladu ze obycajny hacker ked by uz vysiel s pravdou najavo nesnazil by sa dalej ziskavat nove data..je to ako ked ste majtelom obchodu..stale vam niekto kradne zuvacky az raz sa prizna neaky chlapcek len tak..koli vlastnym vnutornym pocitom ze robi nieco zle..viete ze zuvacky ktore vam ukradol vam nikdy nevrati..ale viete aj to ze uz kradnut nebude.
IF clovek upozorni na bezp. problem THEN ak aj pachal tre stny cin, neplanuje v tom pokracovat do buducnosti -
ToM (neregistrovaný)ad1) jestli by musem mit rad adrenalin je mi celkem fuk. Faktem je, ze takovi pachatele existuji a to zdaleka ne vyjimecne. Cimz diskuse k tomuto bodu konci.
ad2) Nevim co vas vede k zaveru, ze kluk, ktery se prizna, ze kradl zvykacky, uz to neudela. Ruku za nej do ohne davat nebudu. Vy ano?
Takze kdyz to prepisu:
IF (clovek upozorni na bezp. problem AND pachal trestny cin) THEN neplanuje v pachani trestne cinnosti pokracovat v budoucnosti
Coz znamena:
1) ze mu trestny cin prominete
2) ze si ziskal vasi bezmeznou duveru (ve smyslu pachani trestne cinnosti)
Pochopil jsem vas dobre? -
zufik (neregistrovaný)add1)OMYL! Diskusia tymto nekonci..poprosil by som vas konkretne priklady..nevenujem sa tymto pripadom natolko zeby som o tom vedel a ujo google mi o tom tiez nevie nic povedat..ale velmi by ma to zaujimalo..porosim ak viete o neakych konkretnych pripadoch sem s nimi..
add2) Za to ze nebude kradnut v inych obchodoch sa vam zarucit nemozem..ale za to ze u mna na tie zuvacky ani nesiahne vam plne rucim..preco? urcite si na nho dam pozor..a poznate ten ponizujuci pocit ked sa musite majtelovi priznat ze ste mu nieco nedovolene vzali? ja ano..zazil som to raz v zivote..a nikdy viac nezazijem..preco sa priznava chlapec ktory kradol? co ho k tomu nuti?..to neviem..a preco sa priznava hacker ktory vam napadol masinu? nechce tym povedat aby ste si ju zabezpecili? no potom fakt neviem o co mu ide..
budme konkretny:
IF(clovek upozorni na bezp.problem AND pred tym spachal trestny cin nedovoleneho pristupu na server na ktorom odhalil bezp.problem)THEN neplanuje v pachani trestne cinnosti neopravneneho pristupu na tento server pokracovat v buducnosti AND ja si server zaplatam a v blizkej buducnosti server budem sledovat aby k tomu nedoslo.
co znamena:
1)Ano trestny cin neopravneneho pristupu mu prepacim prave koli tomu ze ma v podstate ochranil od ostatnych ktory by sa nepriznali
2)Urcitu doveru avsak ohranicenu(napr ak uvidim neaky cudzi pohyb na svojom servri prvym podozrivim je on) tym urcite ziska( v zmysle pachania trestnej cinnosti nedovoleneho pristupu na moj server)
Z vasho uvazovanaia mi vychadza ze ak niekto spacha trestny cin mali by sme ho zavriet na dozivotie do vezenia pretoze je tu urcite percento pravdepodobnosti ze trestny cin zopakuje..alebo uplne najlepsie by bolo ho rovno popravit..potom uz urcite ziaden trestny cin pachat nebude -
ToM (neregistrovaný)1.1. Sam jste tuto moznost pripustil, byt s urcitymi podminkami, ktere ale ja povazuji za splnitelne.
1.2. Ciste teoreticky - dukaz sporem vam toto potvrdi.
1.3. A prakticky? Doufam, ze vam nevadi, ze to nebude z IT oblasti. Princip zustava stejny. Tak ted rychle si vzpominam na pripad, kdy mi ukradli penezenku. Vratil mi ji jakysi "hodny" clovek. Ovsem bez penez. Jen s dokladama (zaplat panbuh aspon za ne). Jenze ja si vsiml, ze ten clovek se uz kolem mne motal driv a dodnes ho podeziram z toho, ze ty penize ukradl on sam. Proc by tu penezenku vracel? Na to se ho asi uz nezeptame (pochybuju, ze by to priznal). Kazdopadne bych ho na zaklade teto zkusenosti nezamestnaval. Zeptejte se kterehokoli vysetrovatele, ze pokud se tyka vaznych trestnych cinu s vetsi skodou, tak takoveho "hodneho" nalezce/oznamovatele budou proverovat. To je naprosto trivialni logika. Mimochodem, z te zkusenosti jsem se poucil a rozhodne ne tak, ze nenosim penezenku.
1.4 Druhy priklad, ktery asi neni uplne to, co chcete slyset, je pripad toho kluka z Ceske sporitelny.
2.1. Vyvracite sam svoje tvrzeni. "Verite, ze vam to znova neudela, ale presto si date na nej pozor."
2.2. Svedomi nema jen 0 a 1. Navic to co se na prvni pohled zda jako kajicne priznani muze byt naprosto promyslena kalkulace.
Aby bylo jasno. Ja nejsem zastance radikalnich reseni. Nekolikrat jsem v diskusi zduraznil, ze se kazdy pripad musi posoudit individualne vzhledem k okolnostem. Dokonce jsem nekolikrat uvedl, ze podle mne, to kluci (at uz to byli hackeri, crackeri, script kiddies nebo kdovi co jeste) provedli ze zabavy a z jesitnosti.
Ale i presto:
1) je nutne proverit i variantu, ze to bylo zamerne s umyslem skodit
2) jsem zastance urcite formy trestu (existuje cela skala trestu), protoze takoveto jednani povazuji spolecensky za nebezpecne (nejde o dvoustavovou velicinu)
V neposledni rade i soud muze po zvazeni vsech faktu upustit od potrestani. Ale to pouze za urcitych podminek. Ostatne pojem amnestie, i kdyz jde o trochu neco jineho, take asi znate. -
zufik (neregistrovaný)1.1-2 Pri urcitych splnitelnych podmienkach moze na zemskom povrchu zit 20 metrovy dinosaurus! samozrejme dokaz sporom vam to potvrdi..ak vychadzate v realnom zivote z matematickych dokazov potom urcite ocakavate utok mimozemstanov..vylodenie neznamej flotily z bermudskeho trojuholniku na americkom pobrezi alebo svojvolnu teleportaciu objektov..pripadne cesko-slovensku vojnu...vsetky tieto javy vam dokaz sporom potvrdi!..prosim vas berte v uvahu aj pravdepodobnost!
1.3 Velmi ste ma neuspokojili..vlastne ste ziaden pouzitelny priklad neuviedli.. iba urcitu spekulaciu na zaklade vasich dohadov..aj to uplne mimo odbor..samozrejme je vela pripadov ked sa zlocinec prizna pred sudom..pripadne najdu sa aj take ked sa chce kryt napr tym ze zlocin ohlasi..ale to nema naozaj nic spolocne s napadnutim servra..nahlasenim bezpecnostnej chyby..a opetovnym napadnutim....predstavte si ze by ste nasli otvoreny tunel priamo k trezoru neakej banky..nikto by o nom nevedel iba vy..samozrejme..malicko by ste sa obohatili a potom by ste to ako "kryci manever" isli ohlasit..majtel banky by ten tunel zasypal postavil tam 3.5metrovu betonovu stenu a okolo trezoru by postavil 10 ozbrojenych strazcov...hned potom by ste sa opet snazili dostat nepozorovane k tomu trezoru..ma to logiku?..ak sa vam to zda byt logicke naozaj sa nemame o com bavit
2) Hovoria vam nieco pojmy opatrnost a prevencia? Dovera tiez nema stavy 0 a 1 ale <0,1>
Ako preverite variantu ci to nespravili s umyslom skodit? preco by sa priznavali? preco by si nechali zasypat tunel k trezoru? ..chlapci to spravili nahodov..nie zo zabavy ani z jesitnosti..proste nasli dieru v systeme..a ked zistili ze uzivatel nbuser ma heslo nbuser123 //a to stale hovorime o organizacii ktora by mala zabezpecovat bezpecnost celeho statu// chceli upozornit na to verejnost..tot moj nazor..samozrejme..nedodrzali uplne pravidla hry..ale ak by ste im vymerali akykolvek trest aky trest by potom postihol toho administratora? dozivotie? ved ohrozil bezpecnost celeho statu!niekolko krat! -
ToM (neregistrovaný)1.1-2 Chcete tim tedy rict, ze pravdepodovnost utoku mimozestanu je vyssi nez pravdepodobnost existence pachatele, ktery ze sebe dela dobreho poradce?
1.3 Jestli se vam zda nelogicke domnivat se, ze ciny pachatelu nemusi byt logicke, pak souhlasim, ze diskuse zkoncila. (Kdyz vysetrovatel nezna motiv, tak jednani pachatele muze zcela logicky pusobit nelogicky.)
2. To vy jste nastavil svym tvrzenim hodnotu na "verit,podekovat,jit na pivo, zamestnat"
Jak to proverit? Jednou z klicovych fazi je zajisteni dukazu napr..
Pokud je zapis na blackhole autenticky, tak to spis vypada na tu zabavu.
Mimochodem NBU nezabezpecuje bezpecnost celeho statu. To zavani zpravou TV Nova/JOJ. Jeho pusobnost je vymezena zakonem a neni problem si to nastudovat. Na webu budou mi asi take informace.
Myslite, ze administrator NBU ohrozil bezpecnost statu? Je pravda, ze i toto by mela policie (resp. pravomocny organ) vysetrit. Ale dost o tom pochybuji (vidite, pochybuji, ale presto zadam prosetreni.) -
zufik (neregistrovaný)Vy nechcete aby som sa v zdravy dozil staroby vsak nie?
1.1-2 Nie podla mojich dlhotrvajucich vyskumov je pravdepodobnost ze zautocia mimozemstania priblizne 1*10^-25 a pravdepodobnost ze existuje hacker/stale sa bavime o utokoch na server/ktory po utoku a naslednom ohlaseni chyby opakuje utok za ucelom skodit je nieco okolo 1*10^-9
1.3 Samozrejme pripadov ked pachatel kona nelogicky je velke mnozstvo..ale ukazte mi jeden jediny konkretny za cca 30 rokov existencie sieti kedy hacker najprv ohlasil chybu a potom zautocil znovu, ziskal data a zneuzil ich..pekne vas o to prosim..nech sa tu nehadame o dogmach...
2. kedy som nastavil hodnotu na 100% verit? opet necitate moje prispevky pozorne!!!!
No mimo to ze si mylite blackhole s hysteriou je v konecnom dosledku //resp v buducnosti mal byt// NBU zodpovedny za nieco ako statnu bezpecnost na pode it..viete co je to certifikacna autorita? samozrejme jedina na slovensku..viete co to znamena pridelovat elektronicke podpisy?
Hmm tazko povedat ci ohrozil admin statnu bezpecnost..zalezi na tom o ake data slo..ak v networku NBU su aj utajovane data urcite ju ohrozil tym ze akykolvek pokus statneho nepriatela by viedol k ich odcudzeniu..Polozme inak otazku..kto by mal podla vas dostat vyssi trest? admin nbu alebo chlapci ktory ten server napadli? -
ToM (neregistrovaný):-) Ok. Zvolnime. Konkretni priklad z oblasti IT osobne neznam. Take ale znam jen par konkretnich pripadu pruniku do systemu (kdy o neco slo). Vlastne jsem si vzpomnel na jeden priklad, kdy majitel firmy na zabezpecovaci systemy IT vedomne napadal systemy firem, kterym pak prodaval svuj software.
http://blackhole.sk/node/442 ... blackhole - o tom jsem psal.
Bezpecnost statu je na certifikacni autorite zavisla jen velmi omezene. Uznavam, ze to problemy nadelat muze a dost vazne, ale "bezpecnost statu"? To je hodne pro-medialni hodnoceni. -
zufik (neregistrovaný)Samozrejme..co by clovek nespravil pre biznis..a najlepsi je tovar ktory sa sam predava..lenze to nema absolutne nic spolocne s hackerom ktory si zbura svoje "dvere" do systemu tym ze nahlasi chybu..takze momentalne ma statistiky nutia pozmenit predchadzajuce pravdepodobnostne udaje..pravdepodobnost ze na nas zautocia mimozemstania je 1*10^-25 a pravdepodobnost ze existuej hacker ktory si zbura svoje zadne dvierka je (1*10^-25 - 1*10^-29)vyplyva to z poznania ze niekolko ludi tvrdi a su ochotni pred sudom odprisahat ze ich uniesli mimozemstania a teda je mozne ze nas pomalycky infiltruju..zatial co o takomto hackerovi som este nepocul.
K tomu blackhole sa ospravedlnujem..neako mi to nesadlo do kontextu..
Citujem:"Bezpecnost statu je na certifikacni autorite zavisla jen velmi omezene." Takze v podstate uznavate ze je predsa /ajked samozrejme v nizsiej miere/ ale je ohrozena..pravdou je ze som nepouzil mozno najspravnejsie pomenovanie..mozno by bolo spravnejsie pouzit "bezpecnost obyvatelov statu". -
ToM (neregistrovaný)Takovy hacker, ktery nahlasi chybu, si sice zavre jedny dvere do systemu, ale jsou to dvere, ktere uz nemusi potrebovat nebo je ozeli. Muze zaroven vedet o dalsich dverich, o kterych nikomu nerekl. A proc by to nahlasil? Otevre si tim ohromna vrata, protoze se dostane do vnitra organizace.
Druha svetova valka byla plna agentu, kteri druhe strane predhodili urcite informace , aby je presvedcili o sve loajalite. Dostali se tim do systemu a sve strane pak posilali informace, ke kterym by jinak nemeli pristup.
Myslim, ze ta pravdepodobnost existence analogie v IT oblasti je o dost vyssi nez si myslite. Ale to tu asi nevyresime.
Ano. Pripoustim, ze neopravnene nakladani s certifikacni autoritou muze zpusobit problemy. Ale v takovem pripade se na bezpecnosti podili specialni technologie a predevsim prave zminene procesy. Navic ziskanim pristupu k CA muzete pouze zneplatnit vydany certifikat nebo vydat novy. Spis jsou pro spionaz hodnotnejsi systemy, ktere uchovavaji informace o utajovanych skutecnostech. Jestli k nim ale patril i webserver, to tezko z vnejsku soudit. (Mozna naivne verim, ze ne urcite ne ty "priste tajne".) Ale proto jsem pro, aby i tato vec byla prosetrena. -
zufik (neregistrovaný)Samozrejme ze o dvojitych agentoch viem..lenze pokial viem ani jeden agent sa nestal dvojitym tak ze by sa priznal jednej strane ze pracoval pre druhu a ponukol im svoje sluzby/samovrah?/..ano boli pripady ked jedna strana chytila agenta a pod prislubom zisku ho pustila aby spehoval aj pre nich..pravdou je ze to nevyriesime..moj osbny postoj je najprv cloveku doverovat a az ked sa nieco stane zacat s podozrievanim.
IMHO najvecsie nebezpecenstvo hrozi prave koli moznosti vydat novy certifikat..predstavte si na kolkych zle zabecenych servroch kde by mali crackery umiestnene svoje sniffre by obycajni BFU surfovali s pocitom absolutneho bezpecia a odborna verejnost s pocitom relativneho bezpecia?kolko penaznych a inych operacii by sa dalo takto zneuzit? -
ToM (neregistrovaný)Uz jsem to tu psal. Vysetreni podezreni ze spachani trestneho cinu ma prednost pred komernimi duvody.
Kdyby tomu tak nebylo, tak se nikdy nic nevysetri.
Proto je to take omezene. Muze to provadet jen policie, jejiz pravomoce jsou regulovane zakonem o policii a trestnim radem. Takze rozhodnuti take neni v pravomoci policie, ale statniho zastupce a jde-li o soukromi (domovni nebo osobni prohlidka) tak jen v pravomoci soudu. Ale to jsem uz take psal.
Co vas v te obcanske nauce uci? :-) -
zufik (neregistrovaný)Este raz opakujem..z hysterky nebol vedeny utok na NBU..takze tu by som pochyboval o neakom trestnom cine..predstavte si taku absurdnu situaciu ktora mohla nastat..som ujo vysetrovatel ktory nema hackerov v laske a mimo to potrebujem neakeho obetneho baranka v pripade NBU..na hysterke sa mohol registrovat kazdy..co teda spravim? zaregistrujem sa na hysterku a kedze postup je verejne znamy..a vlastne uplne primitivny ssh-nem sa na NBU cez proxy hysterky..co tym dosiahnem? mam logy..a potom je postup jednoduchy..ujovia vysetrovatelia sa poznaju s panmi sudcami a tak vybavit neake lajstro na konfiskaciu servru nieje problem..co som dosiahol? hysterka je v cudu a ja som ukazal verejnosti ze nespinkam ale tazko makam na vyrieseni pripadu..hec..povazujem sice tento scenar za nepravdepodobny ale zaujima ma akykolvek pokus o vyvratenie jeho realnosti..
este by ma celkom zaujimalo kolko IPciek okrem hysterky pri vysetrovani zistili..verim ze clanok uputal celu detsku komunitu velkych hackerov a vsetci sa bezali povrtat v NBU..vysvetli mi niekto preco medzi dajme tomu stovkou IPciek uputala prave hysteria? -
ToM (neregistrovaný)Mame takovy system, jaky mame. Podobny pripad muzete vymyslet i v pripade trestneho cinu vrazdy, kdy muzete byt omylem odsouzen. Ano muzete. Co s tim nadelate? Od toho jsou v systemu obhajci a nezavisly soud. A hlavne vas zdravy rozum, ktery vam zabrani takove situace vyhledavat.
Jestli pujdete v davu s rozzurenymi fanousky fotbalu, tak musite pocitat s tim, ze dostanete od policajta obuskem. A proto taky v rozzurenem davu fanousku fotbalu nechodim. -
zufik (neregistrovaný)nezavisly sa mi nezda byt spravne slovo..vsetko zavisi od jedineho cloveka..pokial viem neexistuje ziadna nezavisla porota z obcianskych radov..da as obhajovat ak proti vam stoji tak silna organizacia akou je stat? ak nahodov mate neake kon kretne pripady sem s nimi
zdravy rozum???trosku ot ale predsa to len rozviniem a skusim aplikovat zdravy rozum..pred par rokmi pri prestrelke mafii v jednom slovenskom meste rozstrtielali mladeho nevinneho chalana ked isiel okolo v aute..dopadlo na auto len par guliek..ale tri boli smrtelne => nebudem jazdit autom..maleho osemrocneho chlapceka prevalcovalo auto v 160tke a od vtedy je na vozicku => nebudem chodit cez cestu..turistku v tatrach zabil blesk => nebudem chodit do tatier...pri vybuchu plynu zahynulo x ludi => budem byvat niekde kde sa nekuri plynom..rodina sa udusila CO=>nebudem kurit drevom..zena v strednom veku sa posmykla vo vani a od vtedy je imobilna => nebudem sa kupat ..............a na zaver trosku fantazie z oblasti it ..z mojho pocitaca si niekto spravil bota a teraz som obvineny z napadnutia neakeho vladneho servru => radsej sa nebudem pripajat na net..takze navrhujem navrat do jaskyn alebo ani to radsej nie pretoze co ak nas v jaskyni zasype? nie tadialto cesta naozaj nevedie.. -
ToM (neregistrovaný)Slovo nezavisly je spravne. Jen ho nesmite vytrhavat z kontextu. To pak neuspejete naprosto zadnym tvrzenim o cemkoli (prosim, nechytat za gramaticke paradoxy ceskeho jazyka; nemohu za ne :-))
Proc byste se mel objavat? Prave ja tady zastavam nazor jednat tak, aby se tahle situace minimalizovala. Jestli me nekdo chce zalovat kvuli nabidce na bezpecnostni audit, tak do toho jdu s usmevem na tvari.
A i kdyz to s tim nesouvisi, tak zalovat stat - a uspesne - se da. Dokladaji to prinejmensim nase (CZ) prohrane arbitraze nebo uspesne zaloby restituentu a dalsich.
Co se tyka uvedenych prikladu, tak reagovat na takove okolnosti se da ruznymi zpusoby. Zalezi jen na okolnostech a jake riziko jste ochoten akceptovat. Ale principialne na to budete reagovat.
Vy uvadite reakce pouze dohnane do extremu, ale svet neni z jednicek a nul.
Jestli vas tedy dobre chapu, tak jste pro to, aby bylo mozne napadat cizi servery bez svoleni beztrestne. Ano? -
zufik (neregistrovaný)add1) MOZE BYT SUD NEZAVISLY NA STATE AK JE STATNOU INSTITUCIOU? To je ako v rozpravke o kralovnej kolobezke1. ...v kralovstve sudi kral..ale kto sudi krala?..pokial bude iba jeden sudca bez skutocne nezavislej poroty odmietam hovorit o nezavislom sude...
add2-5) Do extremov ste zasli vy v momente ked ste porovnali naburanie servra s vrazdou..som zvedavy ci by ste sli na sud s usmevom aj v pripade zeby ste boli obvineny z vrazdy..samozrejme nespravodlivo.
add6) Skor ako sa budem bavit dalej na tuto temu chcel by som vas poprosit aby ste definovali niekolko pojmov: ziskat nedovoleny pristup; nahodne ziskat nedovoleny pristup; napadnut server; pokus o napadnutie servra; bot; zatial dakujem -
ToM (neregistrovaný)Vidite a presto muze byt soud nezavisly. Ostatne prakticky dukaz nezavislosti muzeme v CZ sledovat temer kazdy pulrok.
Nabidnuti bezpecnostniho auditu neni trestny cin. A rozhodne jsem neprirovnaval nabourani serveru k vrazde. Mluvili jsme o zneuziti pravniho systemu.
Co se tyka definic, tak myslim, ze jsem nikde nepouzil a nebudu definovat:
- nahodne ziskat nedovoleny pristup
- bot
Ziskat neopravneny pristup a napadnuti serveru ("pokus" je to same): zalezi na konkretnim pripade. Lze aplikovat "Neopravnene nakladani s osobnimi udaji", "Neopravnene uzivani cizi veci", "Poskozeni a zneuziti zaznamu na nosici informaci", "Poskozovani cizi veci" nebo "Poskozovani a ohrozovani provozu obecne prospesneho zarizeni". V pripade NBU by mohlo jit i o "Ohrozeni utajovane skutecnosti". A urcite by se daly najit dalsi. Veskrze jde o tresty do 1 roku nebo do 3 let. V pripade organizovaneho cinu az 8 let.
Toliko asi posledni lekce. Vic se budete muset snazit sam. -
zufik (neregistrovaný)Neverim ze moze byt sud nezavisly pokial o vsetkom rozhoduje jediny clovek..ano mozno sa tak vola..mozno ho tak nazvali..ale to je vsetko..nezavysli jednoducho nieje
No je to zvlastne klasifikovat pokus rovnako ako cin..myslim ze ani v zakone nieje pokus o vrazdu sankciovany rovnako ako vrazda..ale to mi je vlastne jedno..a co by ste namerali adminovi v NBU? zanedbanie povinnosti? Ohrozovanie utajovanej skutocnosti?/kto je za utajenie danych dat zodpovedny?/ alebo rovno vlastizradu?
Dodefinujem vami nedefinovane pojmy..aby som mohol odpovedat na vasu otazku je dost dolezite aby sme sa na ich vyzname zhodli:
nahodne ziskany neopravneny pristup: nedovoleny pristup ku ktoremu dojde nahodov pocas opravneneho uzivania neakej sluzby..teda pocas opravneneho uzivania sluzby objavite dieru ktora vam umoznuje neopravneny pristup..a to sa neda inak ako do tej diery "spadnut"..priklad z praxe:mr.abcd pisal skript pre uzivatelov svojej webovej aplikacie pomocou ktoreho by sa mohli bezpecne prihlasit na jednu nemenovanu zahranicnu penaznu sluzbu..pocas jedneho z testov prisiel na to ze sposobom akym chcel povodne prihlasovat svojich uzivatelov moze prihlasit akehokolvek pouzivatela bez zadania potrebneho autentifikacneho udaju..
bot: prvok siete/napr PC/ ktory bol uspesne napadnuty a teraz su utoky vedene aj z neho..zli skaredi a nebezpecni hackeri pouzivaju siet takychto pocitacov napr na rozne DoS utoky
suhlasite s tymito definiciami? -
ToM (neregistrovaný)No vidite, opet se mylite viz. Trestni zakon. Je trestna dokonce i priprava k trestnemu cinu. Mrzi me, ze ztracim cas v diskusi, kdy si druha strana neoveri o cem mluvi. (A v dobe internetu je to tak snadne.)
Nikdy jsem nepochyboval o provineni administratoru NBU. Ale o tom tu rec nevedeme. A dost mozna, ze bychom se na tom i shodli. Nicmene asi jen v tomto konkretnim pripade administratoru NBU (prihlizim k okolnostem). Napadnout (a uspesne) lze ale i server, ktery je zabezpecen _realtivne_ dobre. Minimalne muzete zpusobit vypadek sluzba. Za takovy stav serveru nemuzete vinit administratora.
Obycejne znam pojem bot pod jinym vyznamem, ale v tomto "namespace" mohu akceptovat i vasi definici. Je to preci jen definice. Mimo tento namespace budu stale ale pouzivat tu svoji.
Co se tyka "nahodne ziskaneho neopravneneho pristupu", tak mam trochu problem ji pochopit. Nikde se explicitne nepise o neopravnenem pristupu. Jen ze lze prihlasit jakehokoli uzivatele bez potrebne autentizace. A o nahode se zminujete jen, ze autor na tuto skutecnost prisel nahodou. -
zufik (neregistrovaný)Precitajte si moj predchadzajuci prispevok pozorne!!!! Aj mna dost mrzi ze stracam cas v diskusii ked druha strana nevie poriadne citat..aby som vam ten drahocenny cas usetril prezradim vam ze som uvadzal ze POKUS O VRAZDU NIEJE ROVNAKO SANKCIOVANY AKO VRAZDA z coho samozrejme nevypliva ze nieje sanckiovany vobec!!!! Pravom sa nezaoberam takze budete musiet ospravedlnit niektore moje nedostatocne vedomosti..
Bol by som rad ak by ste ma uviedli do obrazu..o com teda vedieme rec? Samozrejme ze sa da napadnut i relativne dobre zabezpeceny server..lenze1: dobre zabezpeceny server "nedobijete" za jeden den a niekedy ani za mesiac... lenze2: kedze utok je dlhodoby su tu od toho plateni administratori ktori ak su co i len trosku kvalitnejsi vedia identifikovat utok a urobit protiopatrenia/aj proti DoS/..alebo to takto nefunguje a ja zijem mimo virtualnu realitu???
Takze ideme sa chytat za slovicka..fajn..Prihlasenie akehokolvek uzivatela podla vas neznamena ze mozem mat pristup k datam/sluzbam ku ktorym pristup mat nemam??? zaujimave...a ak ja nahodov pridem na skutocnost ze predomnou lezi 5 korun tak som nahodov nasiel 5 korun ci nie? fakt nieste pravnik? -
ToM (neregistrovaný)Pokus o vrazdu a vrazda jsou v CZ sankcionovane stejnou trestni sazbou. Obecne existuji moznosti kdy trestnost pokusu zanika, ale je na to nekolik podminek a asi ani jednu chlapci hackeri nesplnili. Nehlede na to, ze neni jiste, zda se jednalo jen o pokus.
O cem diskutujeme?
1) Zda zajisteni serveru hysteria.sk mohlo byt opravnene.
2) Zda pokusy o proniknuti do systemu se zaminkou testovani bezpecnosti jsou v poradku.
Nezlobte se na mne. Kdyz nerozumim definici, tak se ptam. Jestlize mam nejakou moznost neco udelat (ziskat neopravneni pristup), tak to neznamena, ze jsem to udelal (ziskal neopravneny pristup) a dokonce to neznamena, ze jsem se pripravoval to udelat nebo se pokousel to udelat (ziskat neopravneny pristup). To me prave na te definici mate. -
zufik (neregistrovaný)Uhm..tak to sa ospravedlnujem..o tom som nevedel..
Som rad ze ste mi to ujasnili
Rozumiem..lenze ako zistite ci tu moznost mate? osobne si myslim ze tazko najst genia ktory by to zistil z vlastnych zdrojakov a k zdrojakom tej spolocnosti pristup jednoducho nemate..proste do tej diery "spadnete" nahodov sa dostanete k informaciam/datam/sluzbam ku ktorym by ste pristup mat nemali... -
ToM (neregistrovaný)Dobre. Autor pri vyvoji sve aplikace zjisti, ze vzdaleny system povoluje pristup i kdyz by, vzhledem k povaze takove sluby, nemel. Autor tim takto ziskal nahodne neopravneny pristup. Takto te definici rozumim.
V takovem pripade by ale nemel ve zkoumani pokracovat a ihned situaci nahlasit. Nejjednoduseji na policii a pak provozovateli, kteremu sdeli, ze tato skutecnost byla na policii nahlasena. A jestli me nejaky policista bude chtit poslat obrazne receno "do haje", tak nema sanci a trvam na nahlaseni.
Mimochodem vyvoj a testovani takove aplikace na "zivem" systemu by melo byt provozovateli znamo nebo a priori schvaleno. Muze se vam totiz stat, ze takovym testovanim odstavite celou sluzbu. Navic by ten vyvoj mel byt v souladu s platnymi standardy one vzdalene sluzby. Pamatuji si na pripad, kdy specificky poskozeny snmpget poslal dolu hlavni router site s tisici uzivateli. Nezkoumali jsme cim vsim se to da shodit - omezovalo by to dost vyrazne velkou organizaci. Okamzite se to hlasilo provozovateli, se kterym jsme se osobne znali, takze jsme nemeli duvod k jine akci.
Myslim, ze ti kluci to meli _osobne_ hlasit okamzite po prvnim zjisteni, ze neco neni v poradku. (Stejne na vsechny diry neprisli.) Ale pravdepodobne by tim zamezili zajisteni serveru hysteria.sk. Argumenty, ze by se na to policie vykaslala, jsou trochu alibisticke. Stejne toho medializaci moc nedokazali. -
zufik (neregistrovaný)no neviem ake mate skusenosti s hlasenim bezpecnostneho problem na policii..no konkretne aky by som dajme tomu nahlasil bezpecnostny problem v danej zahranicnej penaznej sluzbe sai by na mna pozerali ako na jedinca pod vplyvom drog..nevidim k tomu dovody..osobne ked nieco zistim okamzite to hlasim prevadzkovatelovi/tak sa samozrejme stalo aj v mnou uvadzanom priklade/..je to taky neaky platny eticky kodex ci nie?..prevadzkovatel sa vecsinou podakuje a chybu napravi..je to tak? predpokladam ze ste prevadzkovatelom neakej sluzby a ste teda ochotny tolerovat takyto neopravneny pristup? neviedli by ste proti danemu "hackerovi" ziadne trestne konanie?
hovoril som o vyvoji absolutne primitivneho skriptu..je to nieco podobne ako ked si napisem par riadkov pretoze sa mi nechce kazdy den chodit na neaky web , prihlasit sa a pozriet napr ci nepribudol neaky prispevok v diskusnom fore..
Aj v tomto pripade zdielam vas nazor..neurobili to spravne..lenze tu je obrovsky priestor pre polemiku..mali to len nahlasit adminom NBU? ved clanok bol uz niekolko dni na ciernej diere a horde NBU nebol stale zaplatany..co by sa stalo? asi by to admini vyhlasili za nerealne..je mozne aby takato diera bola na urade ktory ma sluzit ako certifikacna autorita? nieje..co dalej? aky by ste zvolili postup? -
ToM (neregistrovaný)No s hlasemin mam samozrejme spatne zkusenosti. Proto jsem uvedl, ze je treba na tom trvat. Nemohou vas odmitnout. Mimochodem mam dost spatne zkusenosti i pokud slo o svedecke vypovedi policity.
Zamerne jsem uvedl upozorneni policie na prvnim miste. Pokud to bude prvni provozovatel (rozhodne ne admin!), tak vas provozovatel muze predbehnout a jeste vas obvini. V zakone je jasne stanovena policie nebo statni zastupce. Je lepsi kdyz i vy se chranite proti "zlemu" provozovateli. Policie byva pomerne blizko, takze to neni prilis slozite a muze mi to usetrit problemy. V praxi asi clovek bude zvazovat i okolnosti a rizika. V pripade pristupu do banky jednoznacne bezim na Policii. V pripade pristupu k emailum nejake skoly asi na policii nepobezim. Vsechno mezi je vyvazeni rizika a komplikaci.
Pokud bych zjistil, ze se mi dotycny coural po systemu nebo siti a dokonce si stahoval postu, tak s trestnim oznamenim neotalim. Pokud by mi to oznamil tesne po zjisteni tj. te chyby nevyuzil, tak bych zvazil, jakou skodu mohl napachat a dost mozna bych mu opravdu i podekoval. Zaroven bych provedl kompletni revizi bezpecnosti a zjistil k jakym informacim mohl mit pristup. Tyto informace bych oznacil za kompromitovane atd. Je ale rozdil pokud provozuju nejaky jednoduchy eshop nebo bankovni system. U tech dulezitejsich systemu je ten rezim precijen prisnejsi. -
zufik (neregistrovaný)Hmm a co ti policajti do toho hlasenia napisu?
Zdrava miera paranoje je nevyhnutna..ale to co tu spominate je prave ta 1 z intervalu < 0,1 >..Priamo z toho vyplyva ze ak vas niekto upozorni na hole v systeme a niekto iny tuto hole pred tym zneuzival obvinite toho cloveka ktory vas na to upozornil..
Moje posledne slova: vam by som urcite radsej ososaval cele dni server ako povedat vam ze v nom mate hole... -
ToM (neregistrovaný)Jakym zpusobem zaeviduji moje oznameni po pravde ani nehodlam resit. Jake na to maji "kolonky" a jestli maji nejakou obecnou netusim. Spokojim se s potvrzenim o takovem oznameni, ktere jsou povinni vydat.
Asi mam dost spatne zkusenosti a predevsim spatne zkusenosti vidim kolem sebe. Ale uplna 1 to take neni. Psal jsem, ze v pripade mailserveru nejake skoly to asi nebudu resit s policii. Bohuzel me ale me okoli stale presvedcuje, ze byt v urcitych situacich pozorny, se vyplati. Navic si myslim, ze se to bude zhorsovat s tim, jak bude cela spolecnost zavisla na sluzbach internetu. Ale kdo vi? Mozna to vidim prilis cerne. -
hmm (neregistrovaný)
tak co nejake novinky? jak se kauza vyvrbila? doslo k ukonceni vysetrovani? doslo k propadnuti veci nebo si ji vyzvedli nebo je stale v archivu? jak osobni data, jestli pujde do drazby? pripadne pokud bude vyhozena. byla tam asi i posta a na tu se vztahuje listovni tajemstvi, ne?
