IT sviestapika » Drošības caurumi

Apollo raksta, ka bija ievainojama probacija.lv mājaslapa

Kaspars — Mon, 23 Jan 2012 08:42:26 +0000

Jāpiefiksē vēsturei.
Cik sapratu, tad šīs publikācijas mērķis bija noreklamēt testētāju, kuri to darīja bez saskaņošanas. Diez vai tas nostrādā? Es personīgi šādiem tipiem neuzticētu testēšanu.
Principā par šādu rīcību prasītos notiesājošs spriedums.

http://www.apollo.lv/portal/news/articles/262237

Kā pārliecinājās aģentūra LETA, izmantojot minētās mājaslapas tehniskās nepilnības, ikvienam interneta lietotājam bija iespējams iegūt informāciju par dienestā strādājošo ierēdņu algām, kā arī viņu personīgos datus.

Izmantojot būtiskus pārkāpumus mājaslapas drošībā, «ir iespējams iegūt un manipulēt ar pilnīgi visu informāciju, kura atrodas uz servera, ieskaitot pašu serveri», norādīja «Influent».

Drošības testētāji esot informējuši par atrasto «caurumu» arī pašu VPD, bet atbildi no tā neesot sagaidījuši.

Adrese uz visiem publiski pieejamajiem VPD failiem, kas augšupielādēti uz servera, bija gluži vienkārša – «www.probacija.lv/upload».

Tomēr īsi pēc aģentūras LETA ziņas publicēšanas minētais «caurums» tika «aizlāpīts», līdz ar to dati publiskajā vidē vairs nav pieejami.

Vienā no neaizsargātajiem failiem drošības pārkāpumu testētāji esot atraduši dokumentu, kurā redzams, ka par mājaslapas izstrādi no valsts budžeta paprasīti vairāk nekā 1000 lati, lai gan izstrādātājiem samaksāts vien ap 300 latiem.

VPD pārstāvis Imants Mozers aģentūrai LETA sacīja, ka, uzzinot par šo situāciju, dienests sācis to vērtēt. «Tiklīdz būs zināmi notikušā apstākļi un plašāks skaidrojums, arī mēs sniegsim informāciju,» norādīja Mozers, piebilstot, ka pagaidām nav saprotams, kā šāda veida dati varējuši būt pieejami publiskā vidē.

VPD mājaslapa esot izstrādāta 2004.gadā. Arī intranets dienestam izstrādāts sen, bet Mozers nemācēja pateikt konkrētu gadu.

VPD mājaslapa ir izvietota uz SIA «Lattelecom» serveriem.

Mozers piebilda, – viņa rīcībā nav informācijas, ka drošības testētāji iepriekš būtu ziņojuši VPD par atrasto «caurumu» dienesta mājaslapā.

Aizejoša darbinieka risks

Kaspars — Tue, 12 Apr 2011 05:05:27 +0000

Gucci uzņēmums uz savas ādas izbaudīja IT darbinieka atriebību, kuru viņš realizēja vēl strādājot izveidojot VPN pieslēgumu.
Ar rakstu var iepzīties te.
Daudzi uzņēmumi paļaujas uz darbinieku godprātu un kā var redzēt velti.
Ārējo pieslēgumu kontrolē ir ļoti būtiska.

Vadipats.lv tehniskais downtime

Kaspars — Sun, 10 Apr 2011 18:59:10 +0000

Serveri mēdz nokrist un, ja risinājums nav izveidots “High availability”, tad gadās šādi.
Uz e-pastu saņēmu paziņojumu:

Labdien,

www.vadipats.lv 2011.gada 07.aprīlī plkst.13:00 pilnvērtīgi atsāk darbību.

vadipats.lv komanda atvainojas par problēmām, kas radušās sistēmas nepieejamības dēļ.

Diemžēl pat visdrošākajām iekārtām mēdz būt problēmas, un šoreiz platforma Latvijas Valsts Radio un Televīzijas centra datu centrā, uz kuras darbojās vadipats.lv sistēma, nebija izņēmums, proti, 2011.gada 6.aprīlī plkst. 00:35 pārstāja funkcionēt datu centra serveris.

Mūsu prioritāte vienmēr ir bijusi sistēmas pieejamība un mūsu lietotāju datu drošība. Tāpēc vienmēr visiem datiem ir tikušas veidotas rezerves kopijas. Līdz ar to platformas bojājumi neietekmēja sistēmā esošos datus.

Diemžēl datu rezerves kopijas tiek veidotas periodiski. Tāpēc sistēma atjaunota ar datiem tādā stāvoklī, kādā tie bija uz 2011. gada 5. aprīļa plkst. 00:00.

Līdz ar to mums jāatvainojas tiem, kas reģistrējušies vai šī atgadījuma dēļ zaudējuši ievadītos datus periodā no 05.04.2011 plkst. 00.00 līdz 06.04.2011 plkst.00.00. Šādi dati un lietotāji sistēmā jāreģistrē atkārtoti.

Turpmāk vēl lielāku uzmanību pievērsīsim datu saglabāšanā un turpināsim īstenot aktīvu datu drošības nodrošināšanas politiku.

Paldies par sapratni.

Ar cieņu,
vadipats.lv klientu serviss,
www.vadipats.lv

Tautas skaitīšana, EDS, CSDD un ņemšanās ap perosnas kodu

Kaspars — Sat, 05 Mar 2011 07:33:52 +0000

Līdz šim aizņemtības dēļ nebija laiks iedziļināties problēmā, ar kuru slimo visa LV jau veselu nedēļu.
Principā šeit ir jāizdala divas problēmas- valsts iestāžu (un arī dažu privātu) izpratne par to, kas ir drošs autentifikācijas rīks un personas datu pieejamība (lietojamība).

1. gadījumā interesants ir viedoklis, ka privātie dokumenti ir jāsargā pašiem (lai nenoplūst pases kopijas, personas kodi, utml) un to salīdzināšana ar bankas kodu karti.

Diez vai viņi meklējot sev attaisnojumu padomāja no šāda skata punkta- personas apliecinošie dokumenti ir jāuzrāda, jākopē un jādod trešajām pusēm (slēdzot visādus līgumus vai iesniedzot dokumentus valsts iestādēm), turp pretim bankas kodu karti nevienam neviens neprasa.

Apšaubu arī otru argumentu- banku kodu kartes ir tik pat pieejamas internetā, kā personas kodi. Ja tā būtu, tad daļai cilvēku jau sen būtu iztukšoti konti. Principā smieklīgi.

Vispār nesaprotu cik šauri cilvēkam ir jādomā, lai izdarītu secinājumu, ka pasē pieejamie dati tiek uzskatīti par drošu autentifikācijas rīku.. .
Kaut kā neticas, ka neviens auditors nepievērsa tam uzmanību (vairākās iestādēs ir savi IT auditori, drošības speciālisti, gan veiktas ārējās novērtēšanas).
Šādas lietas gribot negribot liek apšaubīt šo cilvēku atbilstību ieņemamam amatam.

2. variantā bija vēl labāk- vienīgais, kas VID darbiniekiem ienāca prāta ir atslēgt EDS sasaisti ar pārējām sistēmām un pompozi paziņot- Tagad Jums visiem būs divreiz vairāk darba, būs jāvada gan personas kodi, gan vārdi, uzvārdi, adreses ar roku.

Tas viss atgādina drīzāk nedomāšanu vai klasisko domāšanu balts/melns.

Es piedāvātu labāk izvērtēt kāda informācija tad īsti ir jāatspoguļo tajās EDS anketās par trešajām pusēm. Manuprāt pietiktu ar personas kodu (kuru ievada pats aizpildītājs) un tad, lai no saistošām sistēmām izvada tikai vārdu un uzvārdu (lai salīdzinātu vai ievadīts pareizi). Pārējo informāciju paturot pieejamu tikai VID darbiniekiem. Tādā veidā būtu atvieglota datu ievade un nevajadzīgi nebūtu jāatspoguļo informācija.

Internetā pieejamie cepieni par šo tēmu- Tautas skaitīšana, CSDD, EDS.

www.zz.lv un XSS

Kaspars — Mon, 17 Jan 2011 07:00:51 +0000

Mājās drusku pabakstoties atklājās, ka Zemgales ziņas mājas lapas meklēšanas funkcionalitātē ir XSS ievainojamība. Pieņemu, ka tāda pati problēma ir visās AS Dienas reģionālo avīžu mājas lapās.
Pilnībā atvēzēties liedz tas, ka tiek atfiltrēts „=” simbols.
Par XSS var palasīt:

http://hakipedia.com/index.php/Cross_Site_Scripting
http://www.owasp.org/index.php/Cross-site_Scripting_(XSS)
http://ha.ckers.org/xss.html
http://www.martani.net/2009/08/xss-steal-passwords-using-javascript.html

www.atlaizuklubs.lv SQL kļūda

Kaspars — Wed, 29 Dec 2010 07:54:21 +0000

Šorīt apmeklējot www.atlaizuklubs.lv atklājās medusmaize- SQL kļūdas paziņojums no kuras var izsecināt daļu no datubāzes uzbūves.
Pēc visa spriežot uz servera aptrūkās vieta.
Konkrētā gadījumā izskatās pēc divām klasiskām kļūdām:
1. Nav atslēgta kļūdu izvadīšana (nepieciešama izstrādes posmā, bet ne produkcijas serveros).
2. Un nebija uzstādīts servera disk space monitorings (alerts).

Ar igtrade.lv noticis nesmukums

Kaspars — Sun, 28 Nov 2010 06:44:46 +0000

Klejojot par internetu un meklējot ceļojumus iegāju igtrade.lv lapā. No google.com piedāvātā linka izskatās, ka kādreiz bija joomla, bet tagad…
Piefiksēšu vēsturei.

Uzlauzsts Jelgavnieki.lv

Kaspars — Wed, 20 Oct 2010 06:40:04 +0000

Pieminēsim vēsturei- Uzlauzts Jelgavnieki.lv un nomainīts mysql parole, kā rezultātā portāls nebija pieejams lasītājiem.

Raksts un raksta kopija.

18.oktobra naktī ir neatļauti piekļūts portāla Jelgavnieki.lv serverim un apzināti samainīti pieejas kodi tā, lai lasītājiem nebūtu iespējams lasīt portāla ziņas. Atverot portālu parādījās uzraksts «Access denied for user nobody@localhost (using password: NO).»
Portāla Jelgavnieki.lv īpašnieks Kristians Rozenvalds informē, ka problēmas ir novērstas. «Vēlamies nomierināt lasītājus – redakcija turpina darbu, taču, protams, žēl, ka tieši pirmdienas rītā, kad ierasti ir vislielākais apmeklētāju skaits, portāla darbība ir traucēta,» komentē K.Rozenvalds.

«Mūsu gadījumā šis ir ļoti nepateicīgs laiks arī tāpēc, ka pirms vēlēšanām netrūka nelabvēļi, kas apzināti izplatīja baumas par to, ka pēc vēlēšanām Jelgavnieki.lv pārtrauks savu darbību. Tagad, protams, daudzi, nespēdami atvērt portālu, tā arī padomā, jo nav jau citas iespējas pārliecināties par pretējo,» stāsta K.Rozenvalds, piebilstot, ka arī pirms iepriekšējām vēlēšanām tā runāja gan par portālu, gan arī par žurnālu, taču Jelgavnieki.lv turpināja strādāt un turpinās arī turpmāk, piedzīvojot ne vienas vien vēlēšanas.

K.Rozenvalds atgādina, ka pēdējā pusgada laikā šī ir jau otrā reize, kad nelabvēļi mēģina ietekmēt Jelgavnieki.lv darbu: «Iepriekš Jelgavnieki.lv izmantots kā resurss datoru inficēšanai, šoreiz pieeja portālam bija liegta pavisam.» atgādina

«Portālam kļūstot arvien populārākam, palielinās arī interese no hakeru puses. Vieni vēlas izmantot portāla auditoriju, lai to inficētu ar tādiem vīrusiem, kas iesaista lietotāju datorus virtuālos tīklos, lai no šiem datoriem pēcāk var attālināt veikt kādu uzdevumu, par kuru datora īpašnieks pat nenojauš. Tāpat populāri portāli ir arī kā izaicinājums hakeriem demonstrēt savas uzlaušanas spējas,» komentē K.Rozenvalds.

«Spiedīgajos apstākļos būs vēl vairāk jādomā par drošību, lai gan vairāk gribētos tērēt naudu saturam. Bet ar to nāksies samierināties,» tā K.Rozenvalds.

Uzlauzta Vienotības mājaslapa

Kaspars — Mon, 13 Sep 2010 07:35:54 +0000

Ir.lv ir raksts:

Sestdienas vakarā uzlauzta politisko partiju apvienības “Vienotība” mājaslapa. Kā pēc plkst.19 pārliecinājās aģentūra LETA, atverot vietni, lapas apmeklētājs pēc īsa mirkļa tika aizvests uz partiju apvienības “Par labu Latviju” (PLL) mājaslapu.

“Vienotība” arī tviterī ierakstījusi: “Mums ir uzlauzta mājaslapa, bet jau labojam. Šobrīd viss liecina par PLL roku darbu.”

Sestdienas vakarā “Vienotības” mājaslapa vispār nav redzama un saites “www.vienotiba.lv” apmeklētājs tiek informēts, ka viņam nav pieejas minētajam serverim.

Savukārt apvienības PLL preses sekretārs Edgars Vaikulis aģentūrai LETA noliedza apvienības saistību ar uzbrukumu “Vienotības” vietnei. Vaikulis paudis, ka, visticamāk, šāda rīcība ir provokācija.

Pirmdienas rītā gan viss bija mierīgi, bet vēsturei piefiksēsim.

Pods izsmiets vai vēsture atkārtojas

Kaspars — Fri, 06 Aug 2010 19:55:59 +0000

Tiko uzrakstīju post par boot izsmiešanu un gribas palasīt ko citu.

Un te seko nākamais pārsteigums- pods izsmiets.

Nu ko vēsture atkārtojas..

Pods jau vienreiz tika nonests un cik atceros toreiz autoram bija paša radīts brīnums, bez rezerves kopijām. Tagad Pods griežas(zās) uz wordpress- vai bija mācība un ir rezerves kopija uzzināsim visai drīz.

Man pašam arī pāris mēnešus atpakaļ bija nonests wordpress izmantojot wordpress ievainojamību. Kas par iemeslu bija iekš pods.lv būs interesanti noskaidrot un cerams autors neturēs sveci zem pūra. Varbūt nebija atjaunota pēdējā versija, varbūt kaut kas cits.

Iekš LV ik pa laikam kāda lapa tiek nonesta, taču neesmu dzirdējis ne par vienu sekmīgi pabeigtu izmeklēšanu un notiesājošu spriedumu. Gaidu precedentu, lai tīņi urķi nobītos un beigtu bojāt citiem garastāvokli.

Uzstādīts arī interesants redirekts uz www.kuce.lv, kas liek domāt, ka vainīgais mitinās iekš LV

No sava Hackera neaizbēgsi .