Paweł Goleń, blog

Chciałem dziś zaktualizować listę POI na Miplo, ale okazało się, że to nie jest wcale takie proste... Na stronie powitał mnie komunikat: (...) W ZWIĄZKU ZE ZMIANAMI SYSTEMU ZABEZPIECZEŃ SERWISU MIPLO (W NASTĘPSTWIE MOŻLIWOŚCI UJAWNIENIE HASEŁ CZĘŚCI KONT), PROSIMY WSZYSTKICH UŻYTKOWNIKÓW O USTAWIENIE NOWEGO HASŁA. (...) Przepraszamy wszystkich użytkowników za powstałe problemy. Zespół Miplo. 13 MAJA 2008 No bardzo konkretne wyjaśnienie. Znaczy się co, ktoś się włamał i wyprowadził listę użytkowników? Bo raczej nie sądzę, że chodzi o brak SSL (wciąż trzeba sobie wybrać “loguj się bezpiecznie”). Dziś jest 18 maja, komunikat ma więc 5 dni. Cóż, nie aktualizuję POI codziennie. Zakładając, że było jakieś naruszenie bezpieczeństwa (no dobrze, nie koniecznie włamanie, może ktoś wyrzucił jakiś dysk, płytki/taśmy z backupem, czy coś w tym stylu), to dlaczego użytkownicy serwisu nie zostali o tym poinformowani (choćby mailem)? Niektórzy prości użytkownicy mają tendencję do używania jednego hasła do wszystkich systemów, więc, w moim głębokim przekonaniu, poinformowanie o potencjalnym jego ujawnieniu powinno mieć miejsce natychmiast po stwierdzeniu możliwości jego zaistnienia.

Równolegle z polowaniem na zwierzątko przygotowałem mu klatkę.

Skoro już wybrałem sobie moją maskotkę, warto przyjrzeć się jej bliżej, zanim pozwolę jej się odezwać, czyli się uruchomić.

Moje polowanie na malware zakończyło się sukcesem. Z pośród 30 unikalnych próbek trzeba wybrać jakąś, od której należy zacząć...

Jednym z moich pomysłów jest przygotowanie sobie tamagotchi w postaci zawirusowanej maszyny z Windows. Z kilku powodów:

• po uruchomieniu malware dam mu chwilę, a później postaram się znaleźć zmiany w systemie, które wprowadził (taka zabawa),
• mam nadzieję, że trafię na jakieś malware służące do ataków na banki, od dawna chcę je własnoręcznie przeanalizować,

Oczywiście pomysł nie jest mój, temat honeypottów jest stary, a ja z pomysłem zrobienia takowego noszę się już co najmniej od 2002 roku...

Irytuje mnie, gdy logi mojego obszczymurka są pełne tego typu wpisów: (...) May 16 06:14:43 puffy sshd[16266]: Invalid user tester from 207.210.75.197 May 16 06:14:43 puffy sshd[30954]: inputuserauthrequest: invalid user tester May 16 06:14:43 puffy sshd[30954]: Received disconnect from 207.210.75.197: 11: Bye Bye (...) Wiem, że można sobie z tym radzić na różne sposoby, przenieść SSH na inny port, blokować uciążliwe IP, na Linuksie miałem kiedyś zrobione port-knocking...

Dzisiaj postanowiłem nieco utrudnić życie automatom, których aktywność może się nasilić choćby z uwagi na słynną już dziurę w OpenSSL i zestaw złych kluczy. Znów poszedłem po najmniejszej linii oporu i wykorzystałem to, co pf ma samo w sobie, czyli max-src-conn-rate (patrz pf.conf). Ciekawe jak sobie poradzą z limitem jednego połączenia na 30 sekund...

Pewnie już słyszeliście o problemach z PRNG w OpenSSL, które są specyficzne dla Debiana (i dystrybucji na nim opartych). Ciekawe jest jednak jak do tego doszło...

• More proof that crypto should be left to the experts,
• Vendors Are Bad For Security,

EDIT: Praktyczne wykorzystanie w odniesieniu do kluczy SSH.

Mark Russinovich często na swoim blogu publikuje wpisy z serii “Case of...”. Charakteryzują się one zawsze wysokim poziomem technicznym i z każdego z nich można się czegoś nauczyć. Dziś pojawił się “gościnny post” The Case of the FrontPage Error. Jego autor otrzymał podpisany egzemplarz książki Windows Internals. Dlaczego zjada mnie zazdrość??? Cóż, tego typu dochodzenia robiłem już nie raz, jeszcze na długo przed pojawieniem się Process Monitor, używając do tego Registry Monitor i File Monitor, a czasem nawet wbudowanej w system inspekcji dostępu do obiektów. Nigdy nie wpadłem jednak na pomysł, by wysyłać opisy moich poczynań do Marka, bo wydawały mi się trywialne, w porównaniu z jego “śledztwami”... Czasami mam chyba problem z uświadomieniem sobie, że to co dla mnie jest oczywiste, dla innych jest magią...

Dziś krótki przykład, który pokazuje dlaczego zmiana identyfikatora sesji po uwierzytelnieniu jest dobrą praktyką.

Na moich komputerach od dłuższego czasu nie ma antywirusa (rezydenta). Po prostu w moim przypadku taki antywirus jest nieco szkodliwy. Poza tym bez antywirusa można całkiem nieźle żyć.