Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

Zárt rendszerek

2013.08.17. 09:59 | buherator | 2 komment

Egy floridai börtön maximális biztonsági szintű szárnyának cellaajtajai kinyíltak, az egyik helyi banda tagjai üldözőbe vették egyik riválisukat, aki kiugrott egy második emeleti erkélyről, hogy elkerülje az összetűzést. Hasonló eset történt ugyanitt még májusban, áprilisban pedig Marylandben nyílt ki egyszerre 500 cellaajtó - akkor a számítógépes rendszer hibáját okolták a történtekért, melynek lehetőségét egyelőre floridában sem zárták ki. 

Természetesen kívülállóként szinte lehetetlen meghatározni az események valódi kiváltó okát - az összes ajtókinyílását eredményező "Group Release" utasítást akár egy korrupt őr is kiadhatta, a vezérlőteremben nincs kamera, a szoftver pedig úgy tűnik, nem végez megfelelő logolást - de szakértők már évekkel ezelőtt figyelmeztettek rá, hogy a börtönök vezérlő szoftverek a munkaállomások és a PLC-k szintjén is kiszolgáltatottak a belső és külső támadásoknak. 

“The software in the computer has only one kind of thing, operator error, and we don’t know what triggers that, so part of the inquiry is to find out what the software is saying,”
Tim Ryan, Miami-Dade Corrections

Ennek kapcsán osztanám meg egy gondolatomat, ami már régebb óta motoszkál a fejemben: A közelmúltban a nyilvánosságra került hírek és a saját személyes tapasztalatom is abba az irányba mutatnak, hogy a szűk piacra szánt informatikai rendszerek valódi aranybányát jelentenek a biztonsági kutatóknak, illetve a sérülékenységeket kihasználni kívánó feketekalaposoknak.

A legszembeötlőbb példa a Siemens WinCC ipari irányító és automatizáló szoftver, ami a Stuxnet kapcsán került reflektorfénybe. Azelőtt feltehetően csak kevesen tudtak a létezéséről, és még kevesebben voltak azok, akik rendelkeztek egy használható tesztpéldánnyal, nem beszélve a hozzá tartozó hardverről. A Stuxnet azonban megmutatta, hogy a szoftver minősége nem éppen kimagasló, azóta pedig számos arcpirító sérülékenységet fedeztek fel a programban. A hosszú időn át fenntartott alacsony sérülékenység- illetve incidensszámot tehát nem a jól kidolgozott szoftverfejlesztési folyamat, hanem a hozzáférhetetlenség garantálta. 

Ha belegondolunk, a helyzet hasonló egy időutazáshoz: a hőskori hackerek sokszor azért folyamodtak a biztonsági rendszerek kijátszásához, hogy a szélesebb nyilvánosság számára elérhetetlen eszközökhöz és dokumentációkhoz férjenek hozzá, a tapasztalat pedig azt mutatja, hogy a most górcső alá vett rendszerek biztonsági szintje is sokszor a 80-as, 90-es éveket idézi.

Az ebből eredő kockázat nyilvánvaló: miért foglalkozna egy támadó a széles körben elterjedt - ezért a tűzkeresztségen ("pwned!") sokszorosan átesett -, széjjelhardenelt alkalmazásokkal, mikor a nagy halaknál úgyis telepítve van valami ősi célszoftver, amin még a stack canary sincs engedélyezve? 

A történelem már sokszor megmutatta, hogy a helyzet nem változik egészen addig, amíg a vásárlók elég nyomást nem gyakorolnak a gyártókra, ehhez pedig rengeteg kutatásra és az információk nyílt megosztására van szükség. Mindehhez azonban feltétel a hozzáférés kiterjesztése, melyhez segítséget főként kalóz testvéreinktől várhatunk. 

Szóval kedves falábú-kampókezű barátaink, ha egy kis kihívásra vágytok amíg az aktuális, másfél oldalas forgatókönyvvel készített hollywoodi szuperprodukció transzkódolódik, vessetek egy félszemű pillantást az olyan appokra is, melyekkel például a delejt adják a gépetekbe, meg a gázt a rumfőzdébe - kincskereső térképeket tudok adni, ha kell.

Címkék: gondolat börtön scada stuxnet plc

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben.

kz71 2013.08.21. 22:34:37

hali,
totál egyetértek, ezért említettem a minap, hogy már az oviban el kellene kezdeni a biztonságtudatos nevelést (like Kék Vonal, SaferInternet.hu a sulikban stb.), mert ld. inzulin pumpa, vagy pacemaker, autókba szerelt bluetooth vagy ajtózárak, víz-gáz-áramórák és leolvasók stb. de mondhatjuk a kábel tévéket (HBO dekóder egységcsomaggal a boltban), mindben ott volt a ,,tudatlanság'', hogy a securityvel rendesen foglalkozzanak...de a homabanking fejlesztő is hazarohant a sörözésről, amikor először hallott az SQLi-ről.
kz