Εντάξει ας ηρεμήσουμε. Εν ολίγοις θα συμφωνήσω με το Μοναδικόψαρο. :-)

Δεν είναι security breach response plan να πατσαρεις άμεσα ένα χακαρισμένο μηχάνημα – είναι απλά κλείσιμο μιας τρύπας. Ένα response plan έχει κυρίως διαδικασίες και λιγότερα τεχνικά βήματα.

Το (τεχνικό)ζήτημα τότε ήταν οι προτεραιότητες Vodafone και κράτους (κλείσιμο υπόθεσης vs tracing of intruders). Αν άφηνε η Vodafone το rootkit να τρέχει μερικές ώρες πολύ πιθανό να είχαν όλοι πολύ περισσότερα στοιχεία. Με triangulation θα εντόπιζαν και τα “μαϊμού” τηλέφωνα που στήθηκαν για τις παρακολουθήσεις.

Το θέμα σήμερα είναι πως η “δικαιοσύνη” έριξε στο σκοτάδι δύο μεγάλες υποθέσεις που έχουν να κάνουν με τους θανάτους δύο ανθρώπων.

To zhthma (oxi aparaithta estiasmeno sth VF) shkwnei poly syzhthsh, ama vreite allo meros na to syzhthsoyme, eimai mesa.

E3akoloy8w na diafwnw kai me toys 2 sas, eidika me ton j95

Πράγματι σε ιδανικές συνθήκες η VF θα έπρεπε να έχει τα περιθώρια να κάνει ένα “An evening with Berferd“.

Αλλά δεν έχεις πάντα τις ιδανικές συνθήκες.

Ένας από τους λόγους που θέλω να κλείσουμε τη συζήτηση είναι γιατί στη συγκεκριμένη υπόθεση υπάρχει ήδη ένας άνθρωπος νεκρός, με την οικογένειά του να μην δέχεται την περίπτωση της αυτοκτονίας, και εμείς εδώ τη συζητάμε εξαιρετικά επιφανειακά, ειδικά εάν αναλογιστούμε το μέγεθος του δικτύου που αφορά.

H vodafone ekane oti DEN prepei na ginei se tetoia periptwsh.

Η περίπτωση λεγόταν rootkit σε 4 super-critical μηχανήματα (switching centers IIRC).

Θυμίζω για τους σκοπούς της συζήτησης ότι rootkit είναι ένα software που μπαίνει στον ξενιστή με σκοπό:
1) Να κρύβει πώς μπήκε
2) Να κρύβει ότι υπάρχει
3) Να κρύβει τι κάνει.

Και όλα αυτά δεν τα κρύβει π.χ. μπαίνοντας σε κάποιο folder που δεν κοιτάει ο χρήστης και βασιζόμενο στην αφηρημάδα του. Τα κρύβει με ενέσεις στον κώδικα του λειτουργικού ώστε όταν πατάς π.χ. ls στο φάκελο που είναι το rootkit να μη βλέπεις τίποτα, όταν πατάς netstat να μη βλέπεις την πόρτα ή τις πόρτες που έχει ανοίξει, όταν ο syslogd παίρνει logs που αφορούν το rootkit να μην καταγράφει τίποτα κλπ. Καταλαβαίνεις τι σημαίνει “κάνει ενέσεις στο λειτουργικό”; Σημαίνει ότι το σύστημα αλώνεται πλήρως.

Με λίγα λόγια δε μιλάμε για το μέσο τσοντοϊό.

Στη Vodafone ήταν πάρα πολύ τυχεροί που ανακάλυψαν ότι υπάρχει (συνήθως αυτό γίνεται κατά τύχη, ένα rootkit μπορεί να παίζει για 10 χρόνια σε ένα μηχάνημα χωρίς να το πάρεις χαμπάρι δεν πα να ‘σαι ο καλύτερος συστεμάς του κόσμου) και απίστευτα τυχεροί που ανακάλυψαν ένα από τα πράγματα που έκανε (παρακολουθήσεις), το οποίο κατά 99% ήταν προπέτασμα καπνού.

Αυτά που λέγανε οι καθηγητάδες στις τηλεοράσεις “να το αφήνανε να τρέχει για να βρούνε τους ενόχους από στατιστική ανάλυση της κίνησης” είναι άνω ποταμών! Σιγά μην αφήνανε στα switches τους να τρέχει για μήνες κώδικας που ένας θεός ξέρει τι άλλη ζημιά προκαλούσε επειδή ένας μαλάκας δημοσίευσε ένα paper για την 2.5% αυξημένη πιθανότητα να εντοπίσεις το ημισφαίριο στο οποίο εδράζεται ο δράστης αναλύωντας στατιστικά κρυπτογραφημένη κίνηση, θεωρώντας φαντάζομαι -ο μαλάκας- για λόγους απλότητας ότι το Internet περιέχει μόνο 4 hosts ή κάτι εξίσου ηλίθιο από αυτά που διαβάζεις συνήθως σε papers!

Όλα τα security advisories όλων των software vendors (Sun, HP, Microsoft κλπ) λένε ότι άμα βρεις rootkit το μόνο response plan είναι να βγει άμεσα offline το μηχάνημα και να φορμαριστεί. Δεν υπάρχει τρόπος να το θεραπεύσεις, δεν υπάρχει τρόπος να πάρεις backup κρατώντας το online, δεν υπάρχει τρόπος να είσαι βέβαιος ότι αυτά που σου λέει το μηχάνημα είναι αυτά που συμβαίνουν. Το response plan είναι λοιπόν “βγάλτο offline και φορμάρισέ το”. Live with it.

Και κάτι ακόμα: το δίκτυο της Vodafone και οποιουδήποτε tellco δεν είναι κανένα σουρωτήρι. Τέτοια δίκτυα είναι κανονικότατα φρούρια που προστατεύονται από τους καλύτερους μηχανικούς ασφαλείας. Δεν είναι υποχρεωτικό να φταίει η Vodafone που μπήκε το rootkit, ούτε σημαίνει αναγκαστικά ότι οι άνθρωποί της δεν έκαναν καλά τη δουλειά τους. Μπορεί πολύ απλά η επίθεση να ήταν απίστευτα καλά μελετημένη, ακόμα και αν έχεις κάνει ό,τι ανθρωπίνως δυνατόν για να ασφαλίσεις ένα δίκτυο πάντα θα υπάρχουν τρύπες, εδώ χακεύουν το Πεντάγωνο στη Vodafone θα κολλήσουνε; Δε δέχομαι λοιπόν την άποψη ότι η Vodafone και η κάθε Vodafone φταίει σε κάτι αν δεν έχει εξασφαλίζει 100% ασφάλεια στο δίκτυό της, γιατί τέτοιο πράγμα πολύ απλά δεν υπάρχει.

Να διευκρινίσω ότι όλα αυτά τα λέω εγκυκλοπαιδικά και για να διαλύσω κάποιες παρεξηγήσεις πάνω στο τι εστί rootkit, τι εστί forensics και τι εστί γενικότερα ασφάλεια. Δεν έχω σχέση με τη Vodafone και για το συγκεκριμένο ζήτημα η πληροφόρησή μου είναι ό,τι έχει ειπωθεί δημόσια.

afoy einai to super critical mhxanhma (opws ola ta billing mhxanhmata)

Δεν ήταν το πρόβλημα στο billing.

a) vash poioy krithrioy epilex8hke h ADAE gia thn ereyna?

Το λένε νομοθεσία: http://www.adae.gr/adae/nomothetikoplasio.html

b) ti expertise eixan ta atoma ths ADAE poy anelavan thn ereyna?

ΤΤΒΟΜΚ, είχαν επαρκή. Αλλά επειδή η πληροφόρηση που έχω είναι ανεπίσημη και διαγώνια, δεν μπορώ να σχολιάσω περισσότερο.

To 8ema den einai oti den phge public h oxi. IMHO to zhthma einai oti to “super critical” mhxanhma enos apo toys 3 megalyteroys paroxeis kinhths thlefwnias (kai malista franchise opote exoyn ta atoma me tis gnwseis, estw kai ws contractors h apo e3wteriko sth xeiroterh, den gnwrizw ti an8rwpinoys poroys exei h en ellada vodafone) afenos vre8hke me “rootkit”, afeteroy, afoy einai to super critical mhxanhma (opws ola ta billing mhxanhmata), response plan den eixan? An den eixan, fapes. An eixan kai den thrh8hke, pali fapes. An eixan, thrh8hke kai den dhmosieythke fapes.

An twra mia etaireia me tosa fragka (giati ola ekei anagontai) den exei ta stoixeiwdh, tote ti na perimenoyme apo mikroteres?

epishs, merika points, an oxi gia syzhthsh toylaxiston gia skepsh:

a) vash poioy krithrioy epilex8hke h ADAE gia thn ereyna?
b) ti expertise eixan ta atoma ths ADAE poy anelavan thn ereyna?

Φυσικά και θα μπορούσε να το χειριστεί καλύτερα, αυτό όμως δεν σημαίνει πως το “καλύτερα” για τη Vodafone ήταν να πάει “public” με το θέμα εξ’αρχής.

Όσο για το εάν έκανε τεχνικά λάθη, το μόνο που ξέρουμε είναι πως δήλωσε πως έκανε τεχνικά λάθη.

@Titanas: as antalla3oyme ama 8es conspiracy stories gia th vodafone, eimai sigoyros oti mas perimenoyn amfoteroys arketes ekplh3eis