Igen, nem véletlen van nálunk is leválasztva az IP telefon és a Wifi külön hálózatra, valamint nem véletlen tiltakoztam hevesen, mikor meghallottam, hogy a rendszergazdánk rávirtualizálná a tûzfalat a DC mellé. Legyen csak szépen fizikailag szeparálva.
gforce9 jól mondod alap szintû módszer, a gyenge Wi-Fi-n át de ha WPAII van rajta akkor is megvalósítható ugyanez a módszer irányított antennával messzebbrõl is!
Így van, minél összetettebb egy hálózat, minél több az emberi tényezõ, hozzáférési pont, annál több luk lehet rajta. Borzalmas, hogy egyes cégeknél mennyire nem adnak az ilyenekre. Voltam kinn olyan helyen, hogy wifin kapcsolódtak a laptopokkal a belsõ hálóra és osztották meg az erõforrásokat doksikat, úgy, hogy a wifin nemhogy wpa vagy mac szûrés, de egy tetves wep jelszó sem volt. Mondom ezt mégis, hogy gondolják? Kérdik, miért, mibaj? Hát mondom, ideállok a cég elé egy autóval a laptopommal felcsatlakozok a belsõ hálóra, mert nincs jelszó, lemásolom utána letörlöm az összes megosztott doksit, nyomtatok a nyomtatótokkal egy "have a nice day" fejet és elhúzok a vérbe. Az se fogjátok tudni mi történt, csak huss az összes adatnak. Jaaa hogy így is lehet? Ennyire nincsenek tisztában sokszor az emberek a hálózat biztonságának kérdésével.
ebben van sok igazság. Egy eléggé nagy cég gizdája vagyok. És szeretem a kihívásokat. Most éppen ott vagyok, hogy vajon a Citrix rendszerbe egy közönséges webconnect segítségével, hogyan tudok belépni. A rendszer jenenleg egy otp (one time password) állal generált max 40sec-ig élõ jelszót ad, viszont megbuherált adatokkal sikerûl átjutni rajta. Ami komoly gond. Nagyon komoly. Most azon vagyunk, hogy megtaláljuk milyen algoritmus szerint doglozik az a kis token. Érdekes dolgok ezek. :) és én szeretem is :) mondjuk az IT fõnök odakint nem nagyon, de addíg jó míg egy belsõs szarozik és kûldi az infókat nekik, mind ha ezt egy kûlsõs tenné meg kéretlenûl ;)
De tény: egy otthoni rendszert jóval 1xübb védeni. Azt a 2-3db vasat nem egy nagy vászidász. Nálunk több nc-bõl van több mint 17ezer. PC-bõl szintén ennyi. És akkor házanként egy i5... Ez most kb. 200-250db-ot jelen. ezek meg bérelt vonalon lógnak a központfelé... stb... Szóval too many lehetõség a betõrésre. Egyenlõre sikertelenûl :))
Aki látott már egy tipikus vállalatot belülrõl, az tudhatja, hogy az átlagos vállalat könnyebb célpont, mint egy router meg egy AVG (mellesleg hamarább bejutok a böngészõdön keresztül, mint a routereden, valamely módosított oldalon, trójaival, FYI). Ugyanis cégnél sokszorta több rendszer van, több telephely, frontend szerverek, azok VPN-ben az irodával, stb. Elég csak egy rendszeren egy lyuk, mert egy lusta programozó spórolt 10 másodpercet vagy egy igen rosszul megválasztott jelszó, egy nem frissített verzió, távozáskor nem [idejében] letiltott accountok, polictyt figyelmen kívül hagyva telepített szemetek...
Csak egy példa: kb. 3 hetes küzdelem volt keresztül vinni az új jelszó policyt a cégen, pedig ez egy <25 fõt foglalkoztató KKV. És akkor még így is messze van a jótól ami most van.
Adok ip-t törj be hozzám. Nyugi csak router tûzfal és AVG van fenn. Ha be tudsz hozzám ilyen minimális védelemmel akkor pattoghatsz. Õ cégekhez tört be.
Nagy kaland, betört, 1 óra múlva visszaállították a rendszert. Jó, hogy már az ottani rendõrség is hónapokig üldöz egy 15 éves gyereket. Kalap szart ér a rendõrség, mindegy hol vannak.
Gyereket meg alkalmazni kell részidõben valami komolyabb cégnek.
"2000 résztvevõ közül bekerült a legjobb ötven közé"
és az a 49 akik nála is jobbak voltak?....
A gyerek unta magat. Rajott, hogy ez jo modszer a hirnev szerzesre, mert ha elkapjak max. lecsukjak, de biztosan nem kap annyit, mintha a vagyott hirnevet iskolai meszarlassal szerezne meg. Arrol nem beszelve, hogy az erintett oldalon talalhato munkak fizetosek, tehat eleg sok penzt is keresett vele. Hasonloan sokat kereshetett volna kabitoszer kereskedelemmel, de egyreszt azt szigorubban veszik, masreszt kevesbe biztonsagos szakma mint fehergalleros, fekete kalapos bunozonek allni.
Persze elmehetett volna fehergalleros, feherkalapos biztonsagi szakertonek is, de azokat tenyleg nem ismeri senki, raadasul ahhoz meg tul fiatal. (a legtobb helyen minimum egy egyetemet kernek az allasintejukon)
ps: A srac nem valodi hacker, inkabb a cracker es a script kiddie kevereke, mert egyreszt penzert csinalta, masreszt kesz eszkozokkel. Egyebkent a jo hacker onnan ismerszik meg, hogy azt sem veszik eszre soha, hogy feltortek az adott szervert. Tehat nem az a fontos, hogy ne bukjon le az illeto, hanem az, hogy soha ki se deruljon az, hogy barmit is csinalt valaki. Persze ez dupla 0 hirnevvel jar, tehat a legtobb ember szamara nem vonzo...
Én a szülõket is felelõségre vonnám.... ui(szerintem) az, hogy milyen mintákat követ a gyerek az a szülõkön múlik.
(És nem ártana a pincében is körülnézni, ki tudja mi van ott :) )
Ez a könnyebb? Muhaha
"Gyorsan rájött arra, hogy a sikeres online betörésekkel elismerést vívhat ki magának és megszerezheti azt az ismertséget, amirõl a valódi életben nem is álmodhatott." Na hát megszerezte az ismertséget,de valahogy nem így gondolta. Talán a való életben is lett volna ismertsége ha esetleg kiment volna az ajtón a világba és nem a gép elõtt gubbasztott volna,de hát ez a könnyebb.
Informatika és tudomány
