Spamaj namesto mene, pa ti mogoče dam nekaj denarja!

Petrol ima nagradno igro, v kateri sodeluješ tako, da pošlješ reklamo za nagradno igro naprej vsaj petim svojim prijateljem ali znancem.

Nagradna igra Petrola

Gre za enostaven viralni marketing, kjer se organizator izogne zakonskim prepovedim o neželenih sporočilih tako, da z obljubo povečanja možnosti zadetka v nagradni igri prepriča sodelujoče, da pošljejo njegovo sporočilo naprej. V njem sicer navedejo, da ti v bistvu nekdo drug pošilja vabilo za sodelovanje v nagradni igri, a naslov pošiljatelja elektronske pošte je vseeno petrolklub@petrol.si, zaglavje sporočila pa pokaže, da je bil poslan iz strežnika http://www.petrol.si. Kdo je torej zares pošiljatelj, Petrol, ali oseba, ki so jo na svoji spletni strani prepričali, da je kliknila na gumb?

Mogoče je že res, da se Petrol na tak način med vejico in presledkom izmuzne črki zakona, vsaj meni pa se zdi, da zakonska določila urejajo neželeno pošto zato, ker je moteča in vsiljiva, pa naj ti jo pošiljajo znanci, ali pa podjetje samo. Duh zakonske regulacije je nedvomno tak, a hudič je v podrobnostih, pravijo.

PS: Ker se v elektronskem sporočilu Petrol sklicuje na pravila uporabe, ki določajo, da je sporočilo zaupne narave in se ga ne sme objavljati (hm?), sem poslal vprašanje glede tega na navedeni naslov pošiljatelja elektronske pošte. A ta ne obstaja:

Delivery to the following recipient failed permanently:
petrolklub@petrol.si
...
550 #5.1.0 Address rejected.

To pa ni ravno lepo.

DefCon 20

DefCon je največja hekerska konferenca, ki je ravnokar proslavila dvajsetletnico svojega obstoja. Prve konference so imele nekaj sto udeležencev, med katere so se skušali infiltrirati tudi ameriški zvezni agenti. Hekerji so to hitro ugotovili in zato kar uvedli javno tekmovanje “Spot the Fed”. Dvajset let kasneje je DefCon brez dvoma najbolj množična konferenca za omrežno varnost, ki ima še vedno zelo jasno hekersko identiteto. Le da so sedaj zvezni agenti tudi čisto uradni gosti (“Spot the Fed” še vedno traja, dodana pa je prijazna “Meet the Fed” okrogla miza). Predprijava na konferenco ne obstaja, plačilo kotizacije ($200) pa je možno le v gotovini na licu mesta. No questions asked. DefCon je vedno v Las Vegasu, par dni prej pa lahko obiščete tudi Black Hat, ki je DefConov alter ego, namenjen bolj uradni publiki (temu primerna je tudi cena).

DefCon 20: Udeleženca

Udeleženca konference

Na DefConu boste takoj opazili nenavadno veliko ljudi, ki si na predavanjih zapiske delajo v blokce s kuliji. Saj: če kje, potem bodo luknjo v vašem laptopu našli tu. Seznam prestreženih gesel nepazljivih udeležencev na konferenčnem Wi-Fi omrežju redno osvežujejo na Wall of Sheep projekciji. Poleg predavanj se lahko udeležite različnih tekmovanj (v hekanju, razbijanju šifrirnih kod ali računalniških igrah), skupine pa se pomerijo v Capture the Flag tekmovanju.

Po toliko letih ima konferenca že svoje slavne osebnosti. Prvi je sigurno Jeff Moss alias Dark Tangent, kreator in organizator DefCona. Letos je govoril tudi Bruce Schneier, sigurno največju “guru” infoseca (nekateri mu pravijo tudi rock zvednik informacijske varnosti), na podpisovanje svojih knjig pa je prišel najbolj slavni heker do sedaj, Kevin Mitnick (preberite njegovo knjigo Ghost in the Wires).

Vse pa je močno zasenčil letošnji uvodni govorec, direktor NSA (National Security Agency), general Keith B. Alexander. Izkušen govorec, ki ni skoparil s komplimenti hekerski skupnosti. Na oder je povabil mlado CyFi, ki je zmagala na tekmovanju DefCon Kids in jo predstavil kot pozitiven zgled in up države v boju proti sovražnikom. Neposredno je izjavil, da je preiskovanje ranljivosti, ki ga opravlja hekerska skupnost, pomemben prispevek k izboljšanju varnosti in dodal: “We need you!” NSA je imela celo svojo stojnico na konferenci (in objavila možnosti zaposlitve), malo ironično zraven EFF (Electronic Frontier Foundation), ki je takoj po konferenci objavila prispevek o tem, zakaj NSA ne sme biti zadolžena za kibervarnost.

Bruce Schneier je naslednji dan na vprašanje o predavanju direktorja NSA dejal: “Pa ja niste nasedli?”

Predavanje raziskovalcv iz Penn State University o ranljivostih P25 radijskih naprav, ki jih uporablja ameriška vojska, policija, reševalci in gasilci (ter skoraj vse druge službe na terenu) me je spomnila na nedavno objavo GSM ranljivosti na Slo-techu pred nekaj tedni, sploh ko smo pri nas doma slišali tudi mnenja, da je vsako tako preiskovanje ranljivosti avtomatično tudi kaznivo. V ZDA so nemalokrat takšne raziskave državno financirane (v konkretnem primeru preko NSF, National Science Foundation). Posnetkov iz DefCona še ni, ogledate pa si lahko bolj ali manj isto predavanje iz USENIX konference.

Razbijanje gesel je zrela panoga, ki se je skladno s trendi premaknila v oblak (kot vse drugo). Pedavanje Cryptohaze Cloud Cracking je še enkrat zelo jasno izpostavilo, da so “nesoljena” gesla lahka tarča in da je potrebno pazljivo izbrati tudi samo sol. Časi, ko si je lahko “zaščito” izmislil poljubni programer spletne aplikacije, so brez kančka dvoma mimo! Programerji: uporabite bcrypt, če se le da, sicer pa sha-512 ali sha-256. Sol naj bo čimbolj naključna, nevezana na uporabnikov račun ali kakšno drugo njegovo lastnost. Moja priljubljena mantra letošnjega leta pa je: razvoju aplikacij naj sledi neodvisni varnostni pregled in testiranje.

Vseeno se je večina programske opreme z varnostnega stališča vendarle izboljšala v zadnjih desetih letih. Microsoft je bil takrat konstantno na sramotilnem stebru, danes nič več. Obrat je prišel pri njih s tem, ko je vodstvo ugotovilo, da je varnost operacijskega sistema pomemben del produkta in ustanovilo ekipe, ki so se zaščite lotile sistematično in jo vpele v procese razvoja. Takrat je Microsoft prvič tudi stopil v kontakt s CERT centri po svetu in neodvisnimi raziskovalci, ki so odkrivali napake. Obstajajo pa zatohli žepi na področju razvoja programske opreme, ki so ostali kar nekje v prejšnjem stoletju, med njimi je SCADA oprema.

SCADA (Supervisory Control And Data Acquisition) je oznaka za sisteme, s katerimi krmilimo industrijske procese. Lahko gre za krmiljenje tekočih trakov v proizvodnji, ali pa nadzorne sisteme za elektrarne, plinarne in raznovrstno drugo zanimivo infrastrukturo. Ker se je vsa zaščita tam prevedla na predpostavko, da ti nadzorni sistemi niso priključeni na internet, se zdi, kot da so razvijalci ostali na nivoju študenta, ki naredi svojo prvo resno aplikacijo. Prikazani so bili primeri hrambe gesel v čisti obliki, neumno zasnovanih obvodov okoli gesel in podobno. Ti sistemi bi morali biti deležni največje pozornosti, saj preko njih lahko manipuliramo s kritično infrastrukturo. Od te pa je odvisna kvaliteta, včasih pa tudi življenje samo. (Doma smo že obravnavali nekaj takih primerov, sigurno nas čaka še več. V romanu pa je tema obdelana v Russinovichevem Zero Day.)

Ogled predavanj, ko bodo na voljo na Youtubu, bi moral biti obvezen za vse, ki v državi sodelujejo pri vpeljavi (recimo) pametnih števcev in druge avtomatizacije naše infrastrukture. Da moramo zdaj poskrbeti za zdravo zasnovo in vse rešitve temeljito preveriti, je jasno prikazano na DefConu in vseh drugih konferencah informacijske varnosti. V stroki dileme o tem sploh ni. Kako to sporočilo spraviti do odločevalcev, je pa drugo vprašanje.

Anonymous se je podpisal na dvigalo (DefCon 20)

Čeprav konferenca še vedno nosi feeling hekerske subkulture iz 90. let prejšnjega stoletja, je jasno, da odrašča skupaj z ljudmi, ki so jo ustvarili. O tem priča sama popularnost konference in raznovrstna publika, hekerska tekmovanja za otroke (DefCon Kids) in nagovor direktorja NSA (tega noben jasnovidec ne bi mogel napovedati pred leti).

Enhanced by Zemanta

Zero Day

Zero Day (or 0-day) is a term in computer security denoting a vulnerability in software that is being exploited “in the wild” before authors of the software (vendors) and the rest of the computer security community is aware that there is one. Hence there are zero days to prepare for it. Zero Day is also a novel by Mark Russinovich published last year that revolves around that concept. In the novel, a group of Arab terrorists purchase a stalthy rootkit from a Russian hacker, combine that with various “off-the-shelf” virus components and succeed in infecting a large number of important computers in the West with the intention to crash the internet and computers that we now rely on so heavily. On the other side battling the virus are former CIA computer analyst now turned free-lance computer security consultant and the head of US-CERT, the US government Computer Emergency Readiness Team. The novel starts with a computer malfunction on a Boeing 787 flight that nearly results in a crash and is followed by a number of similar faults on assembly lines and a nuclear power plant. I will not go further into the plot as my intention is only to comment on the feasability of a virus bringing down the net. Get the book, it’s a nice read (preferrably on the beach, not on the plane, as I did).

Mark Russinovich is well-known and respected for the work on his Sysinternals tools. These were a must for anyone even mildly interested in Windows administration since late 1990s. Microsoft baught Russinovich’s company and Sysinternals are now being developed under Microsoft’s umbrella. Definitely a wise move on part of Microsoft. Russinovich’s background ensured me from the start that this is not going to be just another “facepalm” hacker novel where you have to be very lenient and swallow pretty far-fetched technical simplifications. No way – Russinovich makes sure that every technical detail is correct, even to the point where I thought that a couple of explanations in the story were maybe too hard to understand if you were not knowledgable in the field.

That being said, some things did strike me as unusual or odd. I’ll start with the most familiar for me: CERT cooperation. Fighting a virus like that would get a big part of the CERT community world-wide heavily engaged. There are several forums where CERTs meet, both virtually or in person and operational issues with new malware are routinely discussed. Add a number of free-lance and corporate computer security researchers to that and you get a mix that usually produces results in a matter of days. Recent cases of Stuxnet, Duqu and Flame are examples of that. Having two lone analysts fight the malware while US-CERT is not able to bring vendors and anti-virus companies on board is pretty strange.

The book describes several special cases which are of course used for the dramatic effect: an assembly line where robots go crazy and kill the supervisor, an airplane system causing a near crash, medical equipment killing people by overdosing medication, nuclear power plant getting close to core meltddown and a gigantic oil tanker smashing into the port. I think that in practice it would take a long time to design such viruses and every case would require a different virus altogether. One supervirus probably would not make sense. Is Boeing using a plain Windows system in the cockpit which can be subverted easily without a deep knowledge of how everything is “wired” together?

The virus (or viruses) in the book all seem to target one operating system: Windows. There is no mention (as far as I remember) of malware being multi-platform. So when Jeff and Sue discussed whether company backups are infected or not with, I kept thinking: “Why don’t you inspect backups on a different OS? Linux? Or Solaris, if you’re really afraid it will spread there too?”

And then the most important: internet is not (Windows) servers. The backbone consits of routers running specialised operating systems and exchanging routing information, a really big hierarchical DNS system and various services layered on top of that. All these also have vulnerabilities exploited every now and then, but bringing this down with one blow would be really hard. And to keep banging my drum: there are emergency response teams in place ready to kick in if such a thing happens. Expecting that such an attack would destroy a whole western civilization is a bit of a strech even for a terrorist blinded by faith.

Undoubtedly Russinovich made several decisions to simplify the tech in the book to make it digestable for non-geeks. And even after all that I said above, he does point out a serious problem. Not only have we become very reliant on computers and the network, we are implementing vulnerable consumer-grade systems to run critical systems. Military used to develop their own operating systems. Airplane and rocket control systems were developed using specialized programming environments designed to lower the risk of undefined behaviour of a program. Industrial control systems were not put on-line at all. This is all changing. The reason? It’s cheaper to use Windows/Linux and C++. Until it all goes horribly wrong, that is. And if you’re close when that happens, you’ll bear some of the externalization of that cost.

I hope they make a decent movie out of Zero Day.

 

Bodo internet volitve anonimne ali Anonymousove?

O volitvah preko interneta govorimo že nekaj let. Pri nas so se prve pobude pojavile leta 2003, potem je ideja prišla na plano spet kakšno leto pred državnozborskimi volitvami leta 2008. Volitve se običajno postavi ob bok e-bančništvu in drugim naprednim storitvam e-uprave, s prstom pa se pokaže na Estonijo, kot na vzor, kjer volitve preko interneta opravljajo že nekaj let.

V enem od prvih intervjujev je novoimenovani glasnik digitalne tehnologije Aleš Špetič povedal, da ne vidi razloga, da ne bi “katerih koli naslednjih volitev že opravili [v] e-obliki”. Zlorabe in poneverbe se mu zdijo tehnično težje izvedljive pri e-volitvah, kot pri klasičnih. Sam nisem tako prepričan.

Kadar govorimo o e-volitvah, imamo lahko v mislih eno od dveh možnosti: da opravimo volitve na voliščih s pomočjo elektronskih naprav, ali pa da volitve opravljamo na daljavo, kar iz domačega računalnika. Prve omogočajo strojno štetje glasov in so povzročile tudi nekaj kontroverznosti v ZDA od leta 2000 dalje (med drugim je Al Gore dobil -16.022 glasov, v občinskih volitvah leta 2003 v Boone County pa je bilo zabeleženo 140.000 glasov, čeprav tam živi vsega skupaj 50.000 ljudi). Elektronske naprave in programska oprema vsebuje različne napake (buge), to je izkusil že vsak od nas. Vendar pa bi rad pogledal bolj zanimive volitve: tiste preko interneta.

Eden od pogosto uporabljenih argumentov za internetne volitve je naslednji: če lahko preko interneta opravljamo finančne transakcije, lahko verjetno postavimo dovolj varen sistem tudi za volitve preko omrežja. Vendar pa je e-bančništvo že nekaj let stalna tarča organiziranega kriminala, ki najema hekerje za izdelavo vedno bolj naprednih virusov in trojancev. ZeuS in SpyEye se vmestita med banko in vaš brskalnik (ali kar vanj), ter prestrezata podatke o transakcijah, jih spreminjata “v letu” in preusmerjata denar, žrtvi pa v brskalniku kažeta, da je vse v redu. Takšnim napadom se ne izognemo s certifikatom, pametno kartico, digitalnim podpisom in šifriranjem komunikacije. Žal to ni dovolj, prav to jasno vidimo na primeru e-bančništva.

Čeprav imamo zrelo protivirusno industrijo, ki nudi tehnično zaščito pred okužbami z zlonamerno kodo, je več milijonov uporabnikov po svetu vseeno okuženih. Iz tega lahko izpeljemo sklep: če je nekaj tehnično možno, to še ne pomeni nujno tudi v praksi, da bo stanje najboljše od možnih.

Kot piše Bruce Schneier (verjetno najbolj znana osebnost s področja kriptografije in informacijske varnosti) je tudi pomembna razlika med finančnimi transakcijami in volitvami preko interneta. Tveganje pri prvih lahko “vračunamo” v sistem in ob zlorabah prekinemo ali storniramo transakcije. Proti škodi se lahko zavarujemo in oškodovancem se škoda lahko povrne preko različnih mehanizmov. Ko pride do zlorabe pri volitvah pa mogoče ne vemo več, kdo je kako volil. Volitve morajo volilcu omogočati anonimnost, zato moramo podatek o njem v nekem koraku zavreči. Od takrat naprej ne moremo več popraviti določenih zlorab. Izkušnje iz e-bančništva nam spet kažejo napredne napade, ki jih žrtev ne opazi, dokler ne ugotovi, da ni več denarja na računu (čeprav mu računalnik kaže, da še je). Pri volitvah pa te povratne informacije običajno ni. Ko oddamo glas za enega od kandidatov, ne dobimo potrdila o komu smo glasovali.

Marsikaterega od naštetih problemov verjetno lahko delno rešimo z zapleteno tehnično rešitvijo (Estonija je uporabila nekaj pragmatičnih prijemov), a z večanjem kompleksnosti sistema e-volitev nujno večamo tudi možnost napak. Vendar pa to niti ni tisto, kar me najbolj skrbi.

Po podatkih, ko smo jih zbrali na SI-CERT je trenutno vsaj 5.000-6.000 računalnikov v Sloveniji okuženih z DNSchanger virusom. Vsaj v toliko primerih tehnična zaščita ni pomagala. Kaj bi na naših volitvah pomenilo do 6.000 spremenjenih glasov? Koliko verjetno je, da bi nekdo res skonstruiral virus, ki bi bil namenjen spreminjanju glasov pri internet glasovanju in ga z enako uspešnostjo razširil med slovenske uporabnike? Pojma nimam.

Schneier pa opozori še na nekaj: kaj če se po volitvah javi nekdo in oznani, da je z vdorom spremenil izid volitev v prid eni stranki ali kandidatu. Predstavljajmo si recimo, da to oznani Anonymous. Kako bomo lahko dokazali, da se to ni zgodilo?

Pravo streznitev pa lahko ponudi primer v ZDA leta 2010. Pilotni projekt v Washingtonu D.C. je bil namenjen glasovanju preko spleta. Pred vpeljavo so uprizorili igrane volitve in pozvali k testiranju varnosti sistema. Skupine iz Univerze v Michiganu je uspela:

“… v 48 urah pridobiti skoraj popolni nadzor nad volilnim strežnikom. Uspeli smo spremeniti vse oddane glasove in razkriti vse tajne glasovnice. Volilni odbor ni odkril vdora vsaj dva delovna dneva – in bi morda tako ostalo, če ne bi nalašč pustili za seboj jasnega namiga.”

V 48 urah. Prof. Halderman, ki je vodil to “operacijo”, še dandanes dvomi v smiselnost volitev preko interneta.

Seveda pa bo na koncu vse odvisno od tega, kako bomo ocenili tveganje zlorab naproti prednostim. To odločitev bo naredila politika. Nekaj držav se je s tem že ubadalo. Koliko se bomo pri tem ukvarjali z možnimi odstopanji, napakami in zlorabami, ter predvideli ustrezne reakcije nanje? So internetne volitve res tisti ključni moment, ki bo s svojo enostavnostjo prepričal tudi popolnoma nezainteresirani del volilnega telesa, da končno odda svoj glas? Ali bo pa rezultat le, da bo potem politično zainteresirani fotr prepričal popolnoma indiferentne otroke in ženo, da lahko končno glasuje kar še v njihovem imenu? Ali pa nam je za to vseeno?

Na koncu pa še bistveno: ali so elektronske/internetne volitve res tisto, kar je v tem trenutku ključnega pomena za našo državo in je nujno treba uvesti čimprej, čeprav bo drago? No, tudi ta odločitev je stvar politike.

Dodano 30. 5. 2012: Žiga Dolhar v svojem prispevku “Tajnost in svoboda volitev v dobi informatizacije” sijajno obdela internetne volitve s pravne plati. Osredotoči se na tajnost in svododo volitev. Po mojem mnenju obvezno čtivo, s katerim bi moral začeti vsak, ki se bo lotil implementacije volitev po internetu.

Dodano 24. 6. 2013: Internet volitve so spet na dnevnem redu, v vmesnem času pa sem svoje argumente tudi predstavil na konferenci e-demokracija 2012, na voljo je video posnetek.

Pravica do pozabe in izbris zgodovine

Pred nekaj tedni je Matej Kovačič objavil zanimiv sestavek o potvarjanju številke klicočega v telefonskih omrežjih. Prikazal je metode, ki omogočajo pošiljanje SMS sporočil in izvedbo klicev iz poljubne telefonske številke. Čeprav so te metode strokovnjakom znane že kar nekaj časa, jih je lepo povzel in prikazal v praksi. Na koncu Matej namigne na (recimo temu) stranski sklep, ki se nanaša na prometne podatke. Hramba naj bi bila nepotrebna že zato, ker obstaja način, da se podatek potvori. Tu pa mislim, da nakazuje na napačen sklep.

Kaj je prometni podatek

Sporočila so sestavljena iz vsebine in glave sporočila (včasih imenovane tudi ovojnica). Ovojnica ali glava vsebuje podatke o pošiljatelju, naslovniku, ter še nekaj pridruženih lastnosti (recimo na kakšen način naj sporočilo potuje). Ko sporočilo potuje po poti, na vmesnih postajah na podlagi glave sporočila nastanejo prometni podatki, recimo: “Sporočilo vrste V, velikosti K je ob času T prišlo iz smeri A in bilo napoteno v smer B.” V primeru telefonskega klica prometni podatki vsebujejo podatke o klicoči telefonski številki, klicani številki, datum in čas klica, ter njegovo trajanje. Elektronska komunikacija na internetu je sestavljena iz kar sedmih različnih nivojev, na vseh teh pa se ustvarjajo prometni podatki. Na nižjih nivojih iz prometnih podatkov ugotovimo, kateri napravi je bil dodeljen nek IP naslov, višje izvemo izvorni in ciljni IP naslov komunikacije, vrsto internetnega protokola, izvorna in ciljna vrata (port), čisto na vrhu pa podatke, ki so vezani na samo aplikacijo, recimo elektronske naslove v primeru elektronske pošte, ali parametre spletne poizvedbe.

Skoraj vse naprave na omrežju beležijo prometne podatke (OK, določene naprave, kot so recimo električno-optični pretvorniki res ne beležijo nič, a saj veste, kaj sem hotel reči). Vsak spodobno napisan računalniški program, ki komunicira preko omrežja, beleži dogajanje v svoj dnevnik. Vsak usmerjevalnik prometa zabeleži, na kateri vmesnik je prejel komunikacijski paket in preko katerega ga je predal naprej (oz. če ga ni, zakaj tega ni storil).

Kje vse se hranijo prometni podatki

Povsod. Vsak upravitelj spletnega strežnika hrani dnevniške datoteke, v njej pa so prometni podatki na aplikacijskem nivoju. Notri je datum in čas, IP naslov obiskovalca, zahtevana spletna stran in status poizvedbe (uspešna, neuspešna, preusmerjena, in tako naprej). Podobno je tudi z drugimi strežniki, od pošte in DNS sistema do namenskih strežnikov.

Vsaka organizacija običajno namesti požarno pregrado, s katero zaščiti svoje lokalno omrežje. Na njej se zbirajo prometni podatki za vso komunikacijo, ki preko požarne pregrade potuje. Zabeležijo se izvorni in ciljni naslovi, lastnosti komunikacije in še kaj več. Tudi doma lahko vaš brezžični usmerjevalnik beleži prometne podatke.

Operaterji beležijo prometne podatke tudi na usmerjevalnikih svojega omrežja. Preko njih spremljajo prometne tokove in na njihovi osnovi upravljajo z omrežjem. Načrtujejo nadgradnje in odgovarjajo z zaščitnimi ukrepi v primeru napadov. Operaterjem zakon predpisuje obvezno hrambo, po drugi strani pa jo prepoveduje.

Namen in uporaba prometnih podatkov

Prometni podatki so nujni za zagotavljanje zanesljivega delovanja omrežja. Brez njih je odkrivanje napak nemogoče. To si je pomembno zapomniti in najraje bi to zapisal še vsaj petkrat zapovrstjo.

Brez njih je internetni ponudnik (ali ponudnik drugih storitev, recimo gostovanja) kot človek brez spomina. Ko se znajde v slepi ulici, ne ve, zakaj je tja prišel, kako je prispel, niti ne ve, od kod je.

Ena od dokaj tipičnih pritožb, ki jo operaterji redno prejemajo, je recimo: “Poslal sem pomembno (elektronsko) pošto poslovnim partnerjem, a je ti niso prejeli. Pravijo, da vso pošto od drugod prejemajo brez problema, torej ste vi krivi.” V takšnem primeru ponudnik pogleda v svoje “zbirke prometnih podatkov” (pravni termin) oziroma “log fajle”, dnevniške datoteke svojih strežnikov (strokovni termin). Tam vidi zapisano, kdaj je sporočilo prejel in kdaj ga je predal tujemu poštnemu strežniku.

Tu pa se začne zgodba o z zakonom določeni hrambi prometnih podatkov. V bistvu se začne še nekoliko prej. Začne se pri strahu, da se lahko sledi vsakemu posamezniku preko shranjenih prometnih podatkov. 104. člen Zakona o elektronskih komunikacijah zato določa:

(1) Podatki o prometu, ki se nanašajo na naročnike in uporabnike ter jih je operater obdelal in shranil, morajo biti izbrisani ali spremenjeni tako, da se ne dajo povezati z določeno ali določljivo osebo, takoj ko niso več potrebni za prenos sporočil, razen če sodijo v kategorijo podatkov iz 107.b člena tega zakona, ki se hranijo v skladu s četrtim in petim odstavkom 107.a člena tega zakona.

Po uspešnem prenosu sporočila naj bi operater povezane podatke o prometu anonimiziral ali izbrisal. Kaj to pomeni v zgornjem primeru pritožbe? Če bi operater izbrisal ali anonimiziral podatke, čez kakšen teden dni (ko se uporabnik pritoži), ne bo več vedel, ali je sporočilo uspel predati naprej ali ne. Primera nisem naključno izbral, saj so napake pri delovanju poštnih strežnikov zelo zelo redke, pritožbe glede dostave pošte pa ne.  Običajno “zamočijo” pošiljatelji ali prejemniki (ti se včasih še celo zlažejo, da kakšne pošte niso dobili, ker jim pač njena vsebina poslovno preveč ne prija; lahko verjamete kaj takšnega, a?).

Vsak ponudnik na podlagi zbranih in analiziranih prometnih podatkov spremlja stanje na omrežju in ugotavlja, kje so ozka grla. Te podatke uporablja za načrtovanje razširitev in nadgradenj, ki bodo zagotavljale udobno delo na omrežju.

Ko pa gre za namerne napade na strežnike ali omrežje, prometni podatki pokažejo, kaj pravzaprav se je dogajalo. Ponudniku omogočijo zaznavo napada, ustrezno zaščito pred njim in omogočijo izsleditev izvora napada. Reakcija na napad vedno pride šele za njim. Če prometne podatke prehitro vržemo stran, potem ne moremo narediti nič. Ponudnik takrat lahko le zatisne oči in počaka, da vse skupaj mine. O tem smo pisali tudi ob napadih skupine Anonymous februarja letos.

No, ampak v zgoraj citiranem odstavku obstaja izjema pri hrambi, določena v 107.a. in 107.b. členih. Ta sta nastala na podlagi Direktive 2006/24/ES za namen boja proti terorizmu. Določata zelo omejen obseg prometnih podatkov, ki so jih operaterji dolžni hraniti. Vsi ponudniki po vsem svetu so seveda že pred tem beležili prometne podatke za namene zagotavljanja normalnega delovanja omrežja in načrtovanja. Direktiva je le na neroden način določila neko podmnožico podatkov, ki jih operaterji nujno morajo hraniti in omogočajo izsleditev storilca. Zato se je tudi moral popraviti 104. člen. Če sem malo ciničen, se je slaba rešitev “popravila” s še eno slabo.

Potvarjanje številke klicočega

Matej v svojem prispevku opiše, kako lahko v tujini najdete operaterja internetne telefonije, ki vam dovoli potvoriti telefonsko številko in potem preko ovinka pošiljate lažne klice in SMS sporočila. V računalniški srenji bi seveda lahko rekli: “It’s not a bug, it’s a feature,” predvsem za tistega ponudnika telefonije, ki to trži kot prikladno fleksibilnost. V svojem članku za Sobotno prilogo Lenart J. Kučić nekoliko posplošeno opisane aktivnosti povzame, da je Matej pri “… več slovenskih operaterjih mobilne, fiksne in internetne telefonije (voip) … uspešno preizkusil spreminjanje klicne identifikacije.” Matej ni spremenil identifikacije pri nobenem od slovenskih operaterjev, ampak je izbral tujega operaterja, ki to deklarirano dovoljuje, in potem preko njega izvedel klic v slovenska omrežja. To je velika razlika. Matej je uporabil možnost pri tujem VoIP ponudniku, ki jo ta pač ponuja svojim strankam. Ne moremo govoriti o varnostni pomanjkljivosti, ker gre za poslovni model. Ali je ta pameten ali ne, je drugo vprašanje.

Kot Matej pravilno ugotavlja, se je podobno dogajalo tudi na internetu. Preko potvorjenih IP naslovov so se izvajali različni napadi, dokler sčasoma ponudniki sami niso ugotovili, da je treba uvesti določena pravila na mejah omrežja, od koga boš sprejel kaj. Morda se bo to zgodilo tudi pri internetni telefoniji.

Najbolj pa je pomembno naslednje: kako se lahko lotimo preiskovanja v primeru, ko gre za podtaknjene in lažne klice? Odgovor je: preko analize prometnih podatkov! Vi boste ob Matejevem “napadu” res na zaslonu svojega telefona videli izmišljeno številko, ki jo bo on poljubno nastavil, vendar pa bo vaš operater telefonije lahko preko prometnih podatkov lahko preveril, od kod je klic dejansko prišel v njegovo omrežje. To ponudniki redno počnejo pri elektronski pošti, kadar pride do pritožb ali goljufij. Ko pa bo vaš operater prometne podatke izbrisal (zaradi zakonske določbe), tega ne bo mogel več ugotoviti in vi sami kot žrtev napada boste bolj izpostavljeni tveganju.

Druga napaka leži v domnevi, da se v preiskovanju zlorab na omrežju vedno zanašamo le na en sam podatek in da nikoli ne podvomimo v verodostojnost kateregakoli od njih. To seveda ni res. Vsako preiskovanje na omrežju vedno temelji na tem, da se primerjajo podatki iz različnih koncev in na podlagi njih se izdelajo možni scenariji, eni bolj, drugi manj verjetni. Koristno je, da se prometni podatki ustvarjajo pri različnih skrbnikih, z njihovo primerjavo pa se lahko povečuje ali zmanjšuje to verjetnost.

Preveč enostavno je tudi reči: “ker lahko na enem primeru pokažemo, da je možno, da prometni podatek ne ustreza dejanskem stanju, ne potrebujemo njihove hrambe.” Dvomim, da se kdajkoli samo na podlagi enega takšnega podatka odloča o pomembnih rečeh na sodišču. Ne smemo pa tudi mimo dejstva, da tveganja opisujemo z verjetnostmi in se na podlagi teh vedemo.

Povsem verjetno pa je, da se pri telefoniji takšne preiskovalne varovalke še najmanj uporabljajo, zato je v tem kontekstu Matejevo opozorilo na mestu.

Zakonska regulacija kot način urejanja kršitev

Pred leti je Mobitel d.d. predal policiji seznam klicanih številk, a pri tem pozabil vprašati, kje je odredba sodišča. Delodajalci na ministrstvu so preko izpiskov klicev službenih telefonov iskali zaposlene, ki so se pogovarjali z novinarji in jih za to kaznovali (po naši lokalni folklori seveda z obveznim političnim priokusom). Potem pa imamo še poskus tržnega inšpektorja, da bi pridobil identiteto internetnega uporabnika na podlagi zakonskega določila, ki ga je zakonodajalec sicer namenil pregonu hujših kaznivih dejanj. Kaj je skupno tem primerom? Namesto da bi v posameznem primeru prišli do ustreznega pravnega epiloga, se je dostikrat ubrala najlažja pot: ali malo spremenimo zakon, ali pa si ga razložimo na tako izviren način, da bo cilj dosežen. S pravno akrobacijo uvedbe razlikovanja statično in dinamično dodeljenih IP naslovov se je sicer rešil tisti problem z inšpektorjem, a nastali so problemi pri policijskih postopkih, zaradi političnih iger pa morajo sedaj vsi operaterji delno skrivati telefonske številke na izpiskih, ki nam jih pošljejo. Lahko, da se je v nekem primeru dobila bitka za zaščito zasebnosti zaposlenega, a zraven tudi jaz kot uporabnik občutim zame neželene stranske učinke, ki se dostikrat ob iskanju rešitve zanemarijo. Refleksno dodajanje členov in celih zakonov nas pelje v vedno bolj zbirokratizirano in konfuzno družbo, to da napišemo še en zakon, pa je nemalokrat tudi zatiskanje oči pred problemi in bežanje pred njihovim korenitim reševanjem. Da je stvar sedaj urejena in problema ne bi smelo več biti. Spam pri nas urejamo s kar štirimi zakoni, pa je pregon domačih spamerjev vseeno dolg, poln zapletov in čeri.

Prav tako so po krivem v središču prometni podatki. To “čast” si zaslužijo tisti, ki prometne podatke zlorabljajo ali prodajajo. Ker ne zmoremo kot družba kaznovati teh zlorab, raje vsem predpišimo, da prometnih podatkov sploh ne sme biti? Če gremo predaleč lahko tudi zaščita zasebnosti posameznika škodi njemu samemu, ko se znajde v vlogi žrtve prevare in pričakuje, da se bo storilca poiskalo. Sploh pa: medtem, ko se mi v peskovniku mikastimo glede tega in si eden drugemu mečemo v oči zdaj statični, zdaj dinamični internetni pesek, se velike firme, kot so Google in Facebook, smejejo na široko in naše podatke zajemajo z zelo velikimi lopatami.

Javna razprava o sporazumu ACTA

V odziv na pobudo o sporazumu ACTA je Državni zbor najavil javno razpravo o njem in tudi podpisnike pobude povabil na javno predstavite mnenj. Spodaj je posnetek mojega govora in pisni prispevek k razpravi.

Javna predstavitev mnenja o podpisu Trgovinskega sporazuma za boj proti ponarejanju (ACTA), Državni zbor, Odbor za evropske zadeve, petek, 17. 2. 2012 ob 12. uri.

Spoštovani!

Veseli me, da imam možnost v javni razpravi o sporazumu Acta predstaviti tudi svoje mnenje. Govoril bom predvsem o 27. členu sporazuma, ki govori o uveljavljanju pravic intelektualne lastnine v digitalnem okolju, torej na internetu.

Za začetek moram jasno povedati: Acta sama ne vsebuje določil, ki bi uvajala filtriranje interneta ali zahtevala odklope posameznikov zaradi kršitev pravic intelektualne lastnine. Zakaj pa me sporazum vseeno navdaja s skrbmi glede spremembe vloge internet ponudnikov in možnim omejevanjem elektronske komunikacije, pa želim predstaviti v nadaljevanju.

V uvodu sporazuma lahko preberemo, da je eden od ciljev sporazuma spodbujanje sodelovanja med ponudniki storitev in imetniki pravic pri reševanju kršitev v digitalnem okolju. Ali to pomeni, da bodo gospodarski subjekti, ki so imetniki navedenih pravic, imeli pri obrambi teh drugačen položaj, kot kateri drugi gospodarski subjekti? To iz formulacije ni razvidno.

V nadaljevanju 4. odstavek 27. člena pravi, da lahko imetnik pravice na podlagi »pravno zadostnega« zahtevka dobi posebej hiter kanal za pridobivanje podatkov o posameznem naročniku, ki domnevno krši njegove pravice. To pomeni, da imetniki pravic lažje pridejo do osebnih podatkov naročnika. Ta izjema me nekoliko spomni na že videno nenavadno situacijo, ko naj bi imel Tržni inšpektorat RS lažji dostop do prometnih podatkov, hranjenih po Zakonu o elektronskih komunikacijah, kot sama policija, pa čeprav se je hramba teh podatkov uvedla ravno za namen hudih kaznivih dejanj, povezanih s terorizmom in torej za namene policijskega pregona. Če se prav spomnim, je bilo ob tej situaciji potrebne kar nekaj pravne akrobacije s pojmi dinamičnih in statičnih internet naslovov, da se je stanje za silo zopet uskladilo z namenom. Omenjena akrobacija pa je povzročila nenačrtovane stranske učinke, v katere sta morala poseči tako Informacijska pooblaščenka, kot tudi Vrhovno sodišče. Ponudniki in policija pa se na okroglih mizah še dandanes sprašujemo, kaj se sme in kaj ne.

S 5. odstavkom 27. člena Acte se podpisnice zavežejo, da bodo zagovile ustrezna pravna sredstva zoper izogibanje tehničnim ukrepom, ki jih lastniki pravic uporabljajo za zaščito svojih del. Tu pa je že bolj jasno, da gre za tehnologijo Digital Rights Management ali na kratko DRM. DRM je mehanizem za onemogočanje digitalnega kopiranja. Ni enotnega DRM in vsak založnik lahko razvije svojega. Leta 2005 je družba Sony v ta namen uporabila t.i. rootkit, hekerski program, ki se s prevezavami v operacijskem sistemu računalnika  skrije pred uporabnikom in izvaja pritajeni nadzor, odkrije pa ga lahko le specialist. Poenostavljeno rečeno: Sonyjev DRM mehanizem je okužil računalnike po vsem svetu. Po velikem škandalu in tožbah, ki so sledile, je moral Sony program umakniti. Če bi takrat bila uveljalena Acta, morda uporabniki sploh ne bi smeli raziskovati, kaj se dogaja na našem lastnem računalniku, takoj ko bi spoznali, da gre za DRM. In morda okužbe z lastne naprave niti ne bi smeli odstraniti.

Ko beremo člene Acte jih res lahko vzamemo kot neka splošna priporočila za izboljšanje stanja na področju varstva pravic intelektualne lastnine na spletu. Če pa na Acto pogledamo skozi prizmo nekaterih že uporabljenih rešitev, pa lahko vidimo povsem drugačno sliko. Spomnil bi na hitro sprejete spremembe Zakona o igrah na srečo, ki so takorekoč čez noč prinesle možnost blokade tujih spletnih mest in tako legitimirale poseg v elektronsko komunikacijo. Brez širše razprave in sodelovanja strokovne javnosti. Spomnil bi na »družbo«, v kateri hote ali nehote potuje Acta: mislim predvsem na zloglasni ameriški Stop On-line Piracy Act, ki je tudi dodobra razburil javnost in je sedaj na hladnem.

Zaradi navedenega menim, da Acta v digitalnem okolju ne prinaša ustreznih rešitev in zna povzročiti nenadejane posledice, ki bodo posegle v elektronsko komunikacijo, ter morda celo ovirale vpeljavo naprednih komunikacijskih protokolov in programskih mehanizmov, ki so namenjeni večji varnosti uporabnika pri uporabi spleta.

Gorazd Božič, vodja SI-CERT pri javnem zavodu ARNES (Akademska in raziskovalna mreža Slovenije)

Enhanced by Zemanta

Nemško sodišče proti blokadam pri ponudnikih

Kot piše Heise Online, je nemško sodišče odločilo, da internetni ponudnik ni dolžan izvajati blokad igralniških spletnih mest, ki se nahajajo izven njegovega omrežja.

Gre za zelo zelo podoben primer, kot so predlogi Urada RS za nadzor nad prirejanjem iger na srečo pri nas doma. Kot je razvidno iz povzetka obrazložitve, nemško sodišče smatra, da je internetni ponudnik v tem primeru le prenosnik informacije (po našem Zakonu o elektronskem poslovanju na trgu /ZEPT/ bi rekli, da je ponudnik storitev izključnega prenosa) in kot tak ni odgovoren za informacije, ki jih ponuja prireditelj (bwin.com v tem primeru).

Ja, naš ZEPT že na začetku določi, da se zakon ne uporablja za področje iger na srečo. Zakaj pa ne? Kdo nam lahko to razloži na nek način, ki ima rep in glavo?

Nekaj upanja je, da se torej te igre na srečo začnejo urejati drugače, kot pa na način, ki prinaša dodatne stroške nič krivim internetnim ponudnikom in ima lahko v prihodnosti resne posledice za vse uporabnike interneta glede svobode do dostopa do informacij.

Bo 2012 leto filtriranih vsebin?

Konec leta 2011 je Urad za nadzor nad prirejanjem iger na srečo (UNPIS) spet izdal odločbe internetnim ponudnikom, kjer nalaga blokado spletnih mest (tokrat gre za pokerstars.si in pokerstars.com). Ponavlja se zgodba iz leta 2010, čeprav se glede nesmiselnosti takšnih blokad nič ni spremenilo (moje mnenje o smiselnosti lahko preberete v prispevku “Cenzura prometa na stranska vrata“). Zakon o igrah na srečo se je sicer spremenil, upam da prav zaradi odziva internetnih ponudnikov, medijev in tudi Direktorata za informacijsko družbo pri Ministrstvu za visoko šolstvo, znanost in tehnologijo. Novi zakon sedaj določa, da UNPIS sam ne more izdati odločb, ampak mora za to prositi sodišče, ki presodi o ustreznosti ukrepa. Upravno sodišče v konkretnem primeru trenutno presoja.

Včeraj pa smo lahko brali o tem, kako je finski ponudnik dobil odločbo o blokadi thepiratebay.org:

V tem članku na koncu najdete tudi primer domene, ki je zablokirana, čeprav naj ne bi vsebovala nobenih vsebin, ki kršijo avtorske pravice. Ta del je pomemben, saj smo kritiki filtriranja interneta vedno opozarjali na možnosti napak in blokiranja “z levo roko”.

Blokada je čisto v duhu ameriškega Stop On-line Piracy Act (SOPA), ki strokovno javnost prav tako razburja s svojim DNS filtriranjem. Pozitivnega mnenja kakšnega strokovnjaka s področja elektronskih komunikacij v prid takšnemu filtriranju pa za zdaj še nisem slišal. No, če so se našli “znanstveniki”, ki so z “neodvisnimi” študijami dokazovali, da ne morete povezati kajenja s kakšnimi boleznimi, se bo verjetno tudi tu prej ali slej našel kakšen, ki bo zagovarjal postavitev plašnic.

Smo torej morda na razpotju, ko globalne probleme želimo urejati lokalno, ker je to za nekatere ceneje (po malem pa prizadane nas vse, a mi bomo že potrpeli)? Urejati predvsem s postavljanjem zidov, zaradi katerih problema samo vidimo ne, čeprav ga s tem nismo rešili?

Paddy Ashdown v TED predavanju o globalnem premiku moči:

Enhanced by Zemanta

Mi pa čakamo viruse na telefonih …

Se še spomnite, kakšen halo je bil zaradi tega, ker si je iPhone zapisoval vaše lokacije? Teh ni zbiral Apple, niti vaš mobilni operater, ampak so ostale na vašem telefonu in potem tudi na varnostnih kopijah, ki se zapišejo ob sinhronizaciji z računalnikom. Zdaj pa kaže, da so tudi Android naprave nekaterih ameriških operaterjev dobile svoj škandal s sledenjem.

Razvijalec aplikacij za Android Trevor Eckhart je odkril skrit program Carrier IQ, ki poleg lokacije zna spremljati tudi drugo metriko, lahko pa preko sprožilcev beleži sprejete SMS, katere aplikacije uporabljate, kaj vpisujete na spletna mesta in široko paleto drugih stvari. Ameriški operater Sprint je pojasnil, da gre za diagnostično orodje, ki omogoča izboljšavo storitve in identifikacijo problemov, ki jih imajo uporabniki.

Pred kratkim je revija Monitor objavila zanimiv video o skritih programih, ki vam omogočajo sledenje in prisluh uporabniku, kaže pa da lahko to počnejo tudi nekateri (ameriški) operaterji.

Po bolj splošni definiciji bi lahko Carrier IQ označili za ‘rootkit‘, program, ki se skrije na računalniku in omogoča prikrit dostop nepooblaščenim osebam. Mogoče malo široko pojmovanje, saj rootkit običajno preveže sistemske klice ali se naseli v jedro operacijskega sistema, tu pa kaže, da gre za bolj enostavno implementacijo.

Sony je pred leti poskusil z namestitvijo rootkita z namenom zaščite avtorskih pravic (t.i. DRM, Data Rights Management). Ne da bi povedal kupcem CD plošč s to “zaščito”. Sedaj pa mobilni operaterji želijo spremljati metriko uporabe. Izboljševanje omrežne infrastruktire je seveda dobra stvar. Nameščanje skrivnih aplikacij za sledenje in prisluh brez vednosti uporabnika (lastnika telefona) pa nikakor ne.

In medtem, ko vsi čakamo na prve res hude viruse na mobilnih telefonih, ki jih bodo pisali najeti programerji ruskega organiziranega kriminala, ter ugibamo, ali bomo morali res prehoditi celotno pot, ki smo jo že na osebnih računalnikih, ugotovimo, da so lahko mobilni operaterji in proizvajalci še največja grožnja (via Brian Krebs)…

Enhanced by Zemanta

Bi Kafka danes pisal o Googlu in oblakih?

Predstavljajte si, da v Google vpišete svoje ime in ime firme, kjer ste zaposleni in se tole pojavi kot prvi zadetek:

Prvi zadetek za vaše ime

Ni preveč dobro za posel (no, razen če delate za Freepornio). Verjetno so na freepornia.net sklonirali ogromno kombinacij imen, da dobijo čimveč klikov. Sigurno pa obstaja način, da se ta obscenost odstrani!

Googlu lahko prijavite zlorabo vašega imena na mestu “za odrasle” preko obrazca, ali pa na dnu iskalne strani uporabite obrazec za povratne informacije, kjer razložite, da je nekomu uspelo priti mimo SafeSearch filtra. V prvem primeru ne boste dobili nobene povratne informacije. Je gospod G. prejel obrazec? Se je odločil ukrepati? Nič, boste morali pač spremljati rezultate parkrat na dan. No, za probleme s SafeSearch filtrom povratno informacijo dobite potem, ko jo obdelajo.

Toliko torej o Googlu. Medtem pa lahko poiščemo ponudnika, ki vaše ime s Freepornije servira javnosti in boste pritožbo poslali tudi njim. Tako ugotovite, da IP naslovi pripadajo podjetju CloudFlare, ki upravlja t.i. reverzne proksije, zato je pravi strežnik v ozadju, čeprav se vsebina ponuja s CloudFlare infrastrukture. Izgovorijo se, da to ni njihov problem in da moramo zadevo rešiti z nekom na Nizozemskem, saj je tam prava Freepornija. Sicer se vsebina ponuja iz njihovih IP naslovov, ampak ne pomaga: iti moramo do nizozemskega LeaseWeb, ponudnika gostiteljstva.

Vi: “Gre za zlorabo imena, prosim odstranite to vsebino.”
Oni: “Stranko smo obvestili, za nas je primer zaključen.”
Vi: “Za mene pa ne, mi lahko pokažete, kje so vaši splošni pogoji?”
Oni: “Sploh ne gre za našo stranko.”
Vi: “Res? Kaj pa tale DNS strežnik, pa tile zapisi?”
Oni: “Vsebina bo danes odstranjena.”

No, pa je ne.

Ampak sedaj je minilo že nekaj dni in greste pogledat, kaj pravi Google. Vaš SafeSearch zahtevek je bil zavrnjen!

Zavrnjeno!

Se ne pojavi v iskalnih zadetkih? Poskusite z drugim brskalnikom, drugim računalnikom, pri drugem ponudniku, prvi zadetek za vaše ime je še vedno Freepornia! Kateri iskalnik pa uporabljajo na Googlu, Bing? Tam resda ne kažejo porno spletišča.

Zavrnjeno… To mora biti napaka. Mogoče Freepornia dela kakšne trike s HTTP_REFERER in IP naslovi? Ampak ne – iskalne strani generira Google in oni nadzorujejo, kaj se tam prikaže.

OK. Dajmo vse skupaj bolj natančno razložiti v sporočilu na support@google.com. Tišina.

Poskusimo spet s spletnimi obrazci. Zopet zavrnjeno.

Pravijo, da je bodočnost v oblaku.