Gorazd :blog

V ponedeljek (1.3.2010) je Blaž Mazi v Dnevniku pisal o spletnih goljufijah, vdorih in zlorabah na omrežju, ter pasteh za otroke, ki se ne zavedajo pomembnosti zasebnosti in objavljajo vse živo kar povprek, saj jim nihče ni povedal, kako naj se ravnajo (če poenostavim).

Glede tega sem pomislil na scenarij, ki se verjetno kar pogosto odvija pri nas: otrok nekje v prvih razredih osnovne šole sliši, da imajo eni že Facebook in ga hoče tudi sam, čeprav ne ve čisto, kaj to pravzaprav je. Starši pogosto tudi ne vedo, ali pa so neizmerno navdušeni nad web 2.0 sposobnostmi svojega otroka (oz. se imajo za blazno moderne in napredne) in mu naredijo FB račun. Kaj bo, če bo prišlo do kakšnega problema in bo otrok nevede objavil preveč, ali pa bo žrtev kakšnega nadlegovanja? Se mi zdi, da bodo starši zelo hitro obtožili državo, šole in še koga, ne bodo pa pomislili na to, da je njihova dolžnost, da se pozanimajo, kam spuščajo otroka. Če to počnejo v fizičnem svetu, morajo tudi v virtualnem. Pa še Facebook sam med pogoji uporabe določa, da morate imeti vsaj 13 let …

O zasebnosti na omrežju je Mazi v ponedeljkovem Dnevniku napisal tudi ločen komentar (priporočam!), o vrednosti Facebook profila pa sem tudi že sam pisal.

V torek, 23. 2. 2010, sva z Matejem Kovačičem predavala v Kiberpipi na temo zadnjih sprememb Zakona o igrah na srečo (ZIS-C). Spremembe zakona so potiho uvedle možnost, da Urad RS za nadzor nad prirejanjem iger na srčo (UNPIS) lahko odredi blokado dostopa do spletnega mesta v tujini. Predavanje ima naslov: “Omogočanje dostopa prepovedano!”

Posnetek predavanja je tule, med najavo na začetku za kakšno minuto slika izgine, potem pa je v redu.

Omogočanje dostopa prepovedano! from SI-CERT on Vimeo.

Upam, da sva v predavanju uspela prikazati, kako spremembe v ZIS-C očitno niso bile dovolj premišljene, ne s pravnega, ne s tehničnega stališča.

Apple je z iPhone OS 3.1.1 nadgradnjo ukinil možnost “tetheringa” (tj. uporabe iPhona kot modema za računalnik oz. notesnik) pri odklenjenih telefonih. Ker Apple ni podpisal pogodbe še z nobenim slovenskim operaterjem, je ta poteza prizadela vse slovenske uporabnike. No, danes je prispela različica iPhone OS 3.1.3, ki možnost “šlepanja” vrača:

Če poleg te, vsaj meni zelo pomembne funkcionalnosti, upoštevam tudi zadovoljivo podporo za prepoznavo obeh formatov slovenskih telefonskih številk (tistih s +386 predpono in onih brez), potem zase ne vidim več razloga za jailbreak. Super!

Related articles by Zemanta

• iPhone OS 3.1.3 Update Available for All iPhone and iPod touch Models (lifehacker.com)
• Apple patch plugs iPhone, iPod Touch holes (news.cnet.com)
• Apple releases iPhone software 3.1.3 (macworld.com)

Ko so mediji povzeli novice o spremembah Zakona o igrah na srečo, sem zasledil tudi izjavo Ministrstva za finance iz katere gre sklepati, da je ukrep omejevanja dostopa do spletnih mest “izvedljiv in smotrn”. Pravi kontranst tej skopi izjavi je debela študija Open Society Institute z naslovom “Internet blocking: balancing cybercrime responses in democratic societies” (priporočam ogled povzetka). Ugotovitve študije je soavtor Cormac Callanan komentiral z naslednjimi besedami: “Tehnično je težko izvedljivo. Pravno je problematično. Predvsem pa predstavlja otipljivo grožnjo prostemu pretoku infirmacij in je v nasprotju z osnovnimi demokratičnimi načeli.”

Technically, it is difficult. Legally, it is problematic. Above all, it represents a real threat to the free transfer of information and conflicts with basic democratic principles.

Cormac Callanan

V povzetku poudarjajo tudi, da filtriranje in omejevanje dostopa ni učinkovito, saj blokira bodisi premalo ali preveč, poleg tega pa bodo storici ali prekrškarji zlahka ukrep zaobšli.

Zanimiva pa je v luči sprememb naše zakonodaje novica, da bo Google zaradi hekerskih napadov in omejevanja svobode govora prenehal cenzurirati iskalne rezultate na google.cn in celo razmišlja o tem, da bi zaprl svojo kitajsko poslovalnico. Ameriška vlada se je hitro odzvala in Hillary Clinton pravi, da bo naslednji teden govorila o svobodi interneta v 21. stoletju.

Rekli boste, da primerov ne moremo enačiti. Res je.

Državni zbor RS je pred kratkim sprejel spremembe Zakona o igrah na srečo, ki med drugim dodajajo tudi tole v 107. člen:

Če nadzorni organ pri izvajanju nadzora ugotovi, da se prirejajo spletne igre na srečo brez koncesije vlade, lahko ponudniku storitve informacijske družbe naloži omejitev dostopa do spletnih strani oziroma drugih telekomunikacijskih povezav, preko katerih se take igre prirejajo.

Vsem, ki vas zanimajo pravne implikacije in družbena primernost uvajanja takšnih ukrepov, toplo priporočam članka Mateja Kovačiča in Žige Turka, sam pa se bom osredotočil na tehnične možnosti blokiranja omrežnega prometa in posledice, ki jih ta lahko prinese.

Kadar želimo omejiti dostop do nekega strežnika oz. do spletnega mesta, imamo v bistvu na voljo štiri možnosti: blokada prometa glede na ciljni IP naslov, spreminjanje tabel za usmerjanje prometa, preusmerjanje s pomočjo lažnih DNS odgovorov in tehnologijo DPI, Deep Packet Inspection. Vsaka od teh možnosti ima svoje pomanjkljivosti oz. povzroči probleme, na katere zakonodajalec verjetno ni pomislil, bodo pa padli na ramena “ponudnikov storitev informacijske družbe”.

Blokada prometa na podlagi IP naslova

To je najbolj enostavna metoda, ki jo običajno internetni ponudniki uporabljajo recimo za obrambo pred napadi s poplavo podatkov (DDoS, Distributed Denial of Service oz. na kratko kar “dosanje”). Tudi najbolj enostavne omrežne naprave podpirajo vsaj osnovno filtriranje prometa te oblike. Na napravi (običajno usmerjevalniku prometa, lahko tudi požarnem zidu) se ustvari novo pravilo, ki pravi, naj se promet na nek ciljni IP naslov (recimo 195.72.135.41) zavrže. To bi ustrezalo primeru, ko poštar na določen naslov (recimo Jamova 39, 1000 Ljubljana) ne bi več dostavljal pošiljk. S tem morda dosežemo namen, kadar je na tem naslovu samo ena oseba, povzročimo pa lahko dodatno škodo, kadar stoji na tem naslovu blok ali celo poslovna stavba (ali v tem konkretnem primeru Inštitut Jožefa Stefana).

Takšni blokadi se lahko prireditelj iger na srečo enostavno izogne tako, da prosi svojega ponudnika gostovanja, naj mu zamenja IP naslov. Ta bo verjetno rade volje to storil in ukrep je izničen. Še več: ponudnik bo ta prosti IP naslov recikliral in ga že naslednji trenutek dodelil drugi svoji stranki, do njenega spletnega mesta pa naenkrat iz Slovenije ne bomo mogli.

Vsi tisti igralci, ki se bodo ukrepu želeli izogniti, bodo ukrep zaobšli z uporabo anonimnih proxy strežnikov (kot se je to zgodilo v udba.net primeru) ali omrežja Tor, ki je namenjeno anonimnemu brskanju.

Spremembe tabel za usmerjanje prometa

Omrežje internet je sestavljeno iz ogromnega števila povezav med usmerjevalniki prometa (router). Vsak od njih ve na podlagi posebnih tabel za usmerjanje prometa, kateremu sosedu mora poslati paket, da bo prišel na cilj. Vsi internetni ponudniki svoj IP naslovni prostor oglašujejo sosednim omrežjem, posebni protokoli in postopki pa poskrbijo, da se ustrezna informacija razširi po omrežju. Če se vsi ponudniki držijo dogovorjenih pravil, lahko od koderkoli na internetu pridemo kamorkoli.

Ponudniki v Sloveniji bi omejevanje dostopa lahko implementirali tako, da bi dodali v usmerjevalne tabele lažne podatke, ki bi govorili, da se recimo bwin.com nahaja dejansko na strežniku Urada RS za nadzor nad prirejanjem iger na srečo. S tem ne bi zavrgli ali uničili pakete, ampak bi jihpreusmerili. Kot da bi na cestah v vsej državi zamenjali table, ki kažejo, kako se pride recimo v Trst in bi potnike usmerjali v Celje. Dodaten “bonus” takšnega omejevanja je, da upravitelj tega lažnega cilja jasno vidi, kdo vse želi priti do prepovedanega spletnega mesta …

Ostale problemi in metode izogibanja ukrepu pa so povsem isti, kot v prejšnjem načinu blokade. Ker pa lahko po nesreči usmerjevalna informacija “uide” v tuja omrežja, pa se tu pojavi še dodaten problem, ko preusmerimo promet tudi v drugih državah. To se je dejansko že zgodilo v primeru, ko je pakistanski telekom leta 2008 dobil navodilo države, naj zablokira Youtube zaradi neprimernih vsebin. Zaradi napake pri urejanju usmerjevalnih tabel je ta laž ušla iz Pakistana ven in se v hipu razširila po internetu. Tako je bil nekaj ur Youtube nedosegljiv za večino uporabnikov interneta!

Podtikanje lažnih DNS odgovorov

Omrežna komunikacija poteka med različnimi IP naslovi, te pa si ljudje težko zapomnimo, zato je eden od temeljnih gradnikov interneta tudi porazdeljeni imenik DNS, Domain Name System. Vsakič, ko recimo vpišemo spletni naslov v brskalnik, si naš računalnik v ozadju izmenja kopico paketov z DNS strežniki na omrežju. Tako vpraša, kateri so domenski strežniki za bwin.com; ko izve za te, njih vpraša za IP naslov spletnega mesta www.bwin.com in prejme odgovor: 195.72.135.41. Brskalnik šele nato lahko pošlje zahtevek za vsebino spletne strani. Za te DNS poizvedbe običajno uporabljamo strežnike svojega internetnega ponudnika (pogovorno tak DNS strežnik imenujemo resolver).

Spletno mesto lahko s pomočjo DNS sistema blokiramo tako, da v resolver dodamo črno listo imen. Ko recimo tako spremenjen resolver na črni listi najde www.bwin.com, namesto pravega odgovora vrne IP naslov vnaprej določenega spletnega mesta, kjer se uporabniku prikaže sporočilo, da do tega spletnega mesta ne sme.

Pri tem načinu se vsak igralec iger na srečo še bolj enostavno izogne blokadi. Na primer tako, da si na računalniku nastavi OpenDNS ali Googlove strežnike (resolverje), ki brezplačno nudijo svoje storitve komurkoli. Ker pa je podtikanje lažnih DNS odgovorov tudi ena od metod omrežnih kriminalcev, ki nam skušajo na ta način ukrasti gesla in denar, zato se bo prej ali slej vpeljal nov, bolj varen protokol, DNSSEC. Ta bo vzpostavil hierarhijo ključev za digitalno podpisovanje, takšne blokade (oz. preusmeritve) pa naredil manj uporabne.

DPI – Deep Packet Inspection

Najbolj kompleksna in napredna (ali pa perfidna, odvisno od stališča) tehnologija za filtriranje prometa temelji na vpogledu v vsebino, samodejnem pregledovanju celotnega prometa in iskanju vzorcev v njem. Če se vrnemo na poštarsko analogijo: vsako pismo bi na pošti odprli in na podlagi vsebine pisma odločili, ali se ga sme dostaviti, ali ne. DPI se uporablja kot dodatek pri nekaterih požarnih zidovih, seveda pa je tudi idealno orodje za nadzor nad prometom zaposlenih. Tudi pri nas se skuša še dodatno promovirati internetnim operaterjem, saj omogoča tudi spreminjanje in dodajanje vsebine v komunikacijo. Reklam, recimo.

DPI sigurno pomeni nesorazmeren poseg v zasebnost komunikacije glede na namen omenjenega zakona, zato kaj dosti besed o tej možnosti ne bi izgubljal, morda bi le pokazal na članek o neprimerni uporabi DPI tehnologije pri nas.

Splošni problemi

Obstaja tudi nekaj pomislekov, ki pa so skupni vsem trem načinom blokiranja prometa. Najprej bi omenil ažuriranje spiska blokiranih mest. Kdo bo vzdrževal spisek, preverjal ali še veljajo razlogi za blokado in sporočal vse skupaj slovenskim “ponudnikom storitev informacijske družbe”? Urad RS za nadzor nad prirejanjem iger na srečo? Kaj, ko bo prireditelj zamenjal IP naslov ali DNS ime? Bomo imeli centralni državni organ za urejanje cenzuriranih spletnih mest, ali bodo to počeli posamezni uradi in inšpekcije? Zdi se mi, da so vse te službe bolj vajene postopka, kjer izdajo odredbo, nato pa je stvar zaključena. Kaj pa bo čez dve leti, ko bo prireditelj propadel, zamenjal ponudnika gostovanja ipd.?

Zanesljiva komunikacija je tista, pri kateri vemo, kakšni so možni rezultati: ali bo sporočilo prišlo na cilj, sicer pa bomo dobili povratno informacijo, da nekaj ni bilo v redu. Z nekaterimi načini filtriranja to zanesljivost zmanjšamo in vnesemo polje zmede v omrežje.

Predvsem pa ni prav, da v spor med Uradom, ki skrbi za zakonitost iger na srečo in tujim prirediteljem iger na srečo vlečemo tretje osebe. Še posebej, če gre tu za operaterje, ki imajo za nalogo hitro in učinkovito omrežno komunikacijo in jim zakonodaja sicer nalaga, da se vsebine uporabnikove komunikacije ne smejo pritakniti. Ne zdi se mi primeren izgovor, da je težko doseči, da bodo tujci sprejeli omejitve, ki veljajo v Sloveniji, ter da ti postopki trajajo dolgo časa. Še posebej, kadar ima prireditelj sedež v članici EU.

Končal bom s prispodobo. Predstavljajmo si italijanske uradnike nekaj let nazaj, kako so preko meje strmeli v Hitove reklame in se jezili, da njihovi državljani v slovenske igralnice nosijo denar. Ker vedo, da čez mejo pristojnosti nimajo in da so tam zakoni drugačni, so po mrzličnem iskanju rešitve odredili lastniku ozemlja ob meji, naj na lastne stroške postavi veliko tablo, ki mimoidočim zakrije pogled na reklamne napise igralnice tam čez. Ne glede na to, da vsak lahko reklame vidi, če se premakne nekaj deset metrov stran, bi svoj “ukrep” opravičili s tem, da so naredili vsaj nekaj in da je tudi to bolje, kot nič.

Pa je res?

Posted via web from Micro Bursts

Ljudje smo družabna bitja in Facebook nam omogoča enostavno, udobno, in široko komunikacijo s prijatelji in znanci. Prišel pa je hitro in morda zato še nismo imeli dovolj časa razviti obrambnih mehanizmov, s katerimi bi se uspešno izognili pastem sodobnega “druženja”.

Internetna družabna omrežja temeljijo na tem, da si zgradimo mrežo prijateljev, tem pa nato oznanjamo, kaj počnemo, kje smo bili, kam gremo in kaj si o kakšni aktualni stvari mislimo. Objavljamo slike, povezave na bloge in video posnetke, ter komentiramo objave svojih prijateljev. Ker na internetu velja, da je z objavljeno stvarjo tako kot z zobno pasto, ko jo iztisnemo iz tube (t.j. zelo težko jo spravimo nazaj), bi morali biti pozorni na vsaj dve stvari.

Najprej, koga vse na Facebooku vzamemo za svojega prijatelja? Dovolimo bežnim znancem in popolnim tujcem v svoje omrežje, ker se želimo postaviti z visokim številom FB prijateljev, ali pa nam je nerodno koga zavrniti? Bolj ko je temu tako, težje napovemo, kako bodo ti “prijatelji” ravnali z našimi podatki. In nato: kdo vse vidi naše podatke, samo prijatelji, tudi prijatelji prijateljev, ali kdorkoli na internetu?

Vedno govorimo, da imajo informacije vrednost. To vrednost sami večamo z objavami na FB o tem, kdo smo in kaj počnemo. Tako lahko nekdo recimo izkoristi dejstvo, da ste se odpravili na pot po Afriki in v vašem imenu pošlje obvestilo FB prijateljem, kako so vas okradli, ste v hudi stiski in nujno potrebujete denar za vrnitev domov, nakazilo pa naj bo v neko banko v Nigeriji (dvig z geslom, brez osebne identifikacije) … Takšne goljufije se redno dogajajo že danes, pričakujemo lahko le, da bodo jutri goljufi postali še bolj zviti s pomočjo informacij, ki jih mi sami dajemo na voljo.

FB in podobna omrežja so dejansko platforma za izmenjavo različnih tipov informacij med uporabniki, te pa so lahko tudi neposredno škodljive, denimo računalniški virusi in črvi. V pradavnini so ti potovali po disketah, včeraj po elektronski pošti, družabna omrežja pa so naslednja na spisku.

Na koncu ne smemo pozabiti na to, da vse podatke na FB hrani in upravlja zasebno podjetje v ZDA. Kaj bodo z njimi počeli bo verjetno prej stvar zaslužka, kot neke nedefinirane skupne koristi uporabnikov.

Je torej glede na zgoraj nametane probleme rešitev v popolni web 2.0 abstinenci in strogo anonimnem brskanju po spletu? Za nekatere morda res, za večino nas pa bo verjetno dovolj, če poskrbimo za osnovno zaščito in higieno pri uporabi. Zato si priskrbimo profesionalni zaščitni program, ki nas bo obranil virusov in podtaknjenih stvari na spletu (ter nas na leto stane toliko kot ena cenejša večerja v mestu). FB, spletne pošte in drugih omrežnih storitev raje ne uporabljajmo s tujih računalnikov (cybercafeji), lahko nam ukradejo geslo in z njim našo omrežno identiteto. Preverimo nastavitve na FB, ki določajo, kdo lahko pregleduje naše objave. Pri objavljanju osebnih podatkov, slik in video posnetkov pa bodimo raje bolj na konzervativni strani. In ker odrasli zaradi svojih izkušenj to mejo konzervativnosti lažje najdemo kot otroci in mladostniki, jim pomagajmo z nasveti.

Slika: pshab

Med velikonočnimi prazniki so se na Twitterju pojavili XSS (cross-site scripting) črvi. Ob obisku okuženega profila vam lahko podtaknjena koda na strani ukrade Twitter piškotek, s katerim se identificirate. Črv v vašem imenu (a brez vaše vednosti, seveda) počivka, kjer skuša vaše prijatelje namamiti na stran z zlonamerno kodo in tako okužiti tudi njihov profil.

Kot vse kaže, je v tem primeru šlo za “proof-of-concept” črva, doživel pa je par mutacij. Sigurno ni to zadnji varnostni problem, s katerim se je Twitter soočil. Družabna omrežja vabijo s tem, da so preprosta in prijazna, včasih tudi na račun opuščanja razmisleka o varnem snovanju za splet.

Zaenkrat svetujem, da bodisi izklopite Javascript (radikalno), ali pa bodite zelo rezervirani pri klikanju po Twitterju (verjetno dovolj). Še posebej, pri povezavah novih neznanih “sledilcev”. Twitter ekipa pa pravi, da so izbruh spravili pod nadzor, vendar pa še “pregledujejo vse podrobnosti.” Torej še ni čisto jasno ali je zadeve konec, zato previdno.

Facebook je zrasel dovolj, da je pritegnil pozornost goljufov. S krajo vaše identitete na njem lahko poskusijo vaše fb prijatelje prepričati, da nakažejo denar v čudne roke. Povzetek in nasvete najdete v obvestilu SI-CERT centra.

MSNBC in F-Secure poročata o poskusih prevar, ki se izvajajo na Facebook družabnem omrežju. Goljufi imajo na voljo idealno platformo, saj je sam namen družabnih omrežij vzpostavitev skupine prijateljev, znancev in sodelavcev, s katerimi si potem delimo podatke, pogosto tudi osebne. Če nam nekdo “ukrade identiteto” (bolj preprosto: e-mail naslov in geslo), lahko pridobi o nas dovolj podatkov, da prelisiči naše znance in prijatelje z izmišljeno zgodbo. Recimo: po vašem statusu vidijo, da potujete po tujini, zato obvestijo znance, da so vas oropali in da potrebujete denar za vrnitev domov.

V Sloveniji nam naš “zapeček” pomaga v toliko, da nismo takoj prizadeti s takimi triki, predvsem zaradi jezika. Prevare pa nas lahko dosežejo preko znancev v tujini. Za preventivo svetujem, da si ogledate nasvete v SI-CERT obvestilu. Sploh pa previdno, če se omenja nakazila preko Western Union …

O Twitterju sem nekaj slišal tu in tam, pred kratkim pa sem šel tudi sam pogledat, za kaj pravzaprav gre. Prebral sem opis in še vedno mi ni bilo jasno. Ustvariš svoj račun, potem pa lahko vsake toliko napišeš kakšno kratko sporočilo o tem kaj počneš? Pri tem pa si omejen na 140 znakov (to pa je nekaj za SMS generacije)! Ko odkriješ druge ljudi na Twitterju, jim lahko slediš – spremljaš njihova sporočila. Svoj Twitter status lahko spreminjaš tudi preko SMS sporočil in tako “čivkaš” tudi, kadar nisi blizu interneta. Twitter pa lahko vsako spremembo statusa samodejno pošlje tudi na tvoj Facebook račun, tako da bodo obveščeni res vsi. Ob nedavni nesreči letala na reku Hudson so bile prve slike prav na Twitterju. Slike sicer niso (še) del Twitterja, to luknjo pa zapolnjujeta TwitPic in Posterous.

Registriral sem se in čez čas začel slediti nekaterim osebam. Čeprav se to družabno omrežje oglašuje kot storitev za ohranjanje stikov s prijatelji, se mi je ščasoma Twitter pokazal bolj uporaben v druge namene: spremljanje kratkih novic o dogodkih, ki me zanimajo. TED 2009 konferenca je že en tak primer. Ali pa spremljanje ljudi, za katere se mi zdi, da povedo kaj koristnega. Tako na primer Janko Gradišnik čivka nasvete o rabi slovenščine, France Prešeren pa svojo poezijo. Gor je seveda tudi Jonas, pa baje tudi nekateri naši politiki. Barrack Obama in Britney Spears pa sta bila žrtvi hekerjev, ki so po vdoru v Twitterjeve strežnike v njunem imenu čivkali nespodobnosti.

Ko pa začnete malo raziskovati, kaj twitter še omogoča, najdete dodatne funkcije: odgovarjanje na sporočilo, neposredno sporočilo samemu uporabniku in ukazi za dodatne funkcije (recimo WHOIS). Vse to me je pričelo zelo spominjati na IRC. Če ne veste: Internet Relay Chat je pogovorno omrežje, ki je bilo pri nas zelo popularno na prelomu tisočletja. Ja ja, tisti ki poznate IRC in ga še vedno uporabljate boste znoreli, češ da je IRC bolj kompleksen in uporaben in bla bla bla … Že mogoče res*, ampak na twitter lahko gledamo kot na IRC v web 2.0 preobleki, ki je prilagojen današnjemu internetnemu uporabniku in njegova preprostost je prednost. Tudi na IRC skoraj nihče ni šel čez 140 znakov, vse skupaj je bilo eno čivkanje (glej zgornjo definicijo iz angleškega slovarja), biti si moral malo geek, da si “šel gor” ipd.

* Tudi USENET je bil po tehnologiji boljši od spletnih forumov, pa je vseeno odmrl …