Ars Technica: Fotók arról, ahogy NSA "upgrade" kerül Cisco router-be

Titkosítás, biztonság, privát szféra

Az Ars Technica Glenn Greenwald (újságíró Edward Snowden csapatából) No Place to Hide című könyvére hivatkozva arról ír, hogy az NSA routereket, szervereket, hálózati eszközöket "egészít" ki speciális "implantátumokkal" annak érdekében, hogy a titkos megfigyeléseket el tudja végezni. A portál által közzétett képen állítólag az látható, ahogy az NSA Tailored Access Operations (TAO) egysége éppen egy Cisco eszközön dolgozik.

A részletek itt olvashatók.

( artifex | 2014. 05. 15., cs – 10:40 )

Lehet az én tekintetem siklott el valami felett, de honnan tudjuk, hogy ez az NSA-nal van és nem mondjuk egy CISCO szervizben?

"Belépés díjtalan, kilépés bizonytalan."
"Vajon mit várok a sorstól, ha hányok az édestől, és izzadok a sóstól."

( ezqgtouvszfgc | 2014. 05. 15., cs – 11:04 )

Kezdjük tehát a vizsgálatot ott, annál a kérdésnél, ahová feltett szándékuk, hogy soha ne jussunk el. A kérdés, hogy bármilyen demokratikus önkormányzat, bárhol, összhangban van-e az ilyesfajta hatalmas, mindent átható felügyelettel, amelybe az Amerikai Egyesült Államok kormánya vezette nem csak az amerikaiakat, hanem az egész világot.

Ez valójában nem egy bonyolult vizsgálat.

Örömmel tudatom, hogy a KFKI Telephely területén, a 18-as épület helyén az MTA WIGNER [...] tenderünket a Persecutor Kft. nyerte meg.

stb.

( prion | 2014. 05. 15., cs – 11:19 )

én csak azt nem értem újra és újra, hogy miért megy tovább az élet mintha mi sem történt volna miközben derülnek ki ezek a dolgok... miért nem buknak bele politikusok, miért nincs tömeges bocsánat kérés, miért szívják meg ezek a cégek és jönnek létre olyanok, amik az átláthatóságot biztosítják független audittal stb.

és tényleg mindez a szabadságra elvben oly büszke usa-ban. ahol attól is ki vannak akadva ha a fegyvereiket el akarják venni.

Hát igen... mikor anno aggódtam a wifim miatt, a főnököm is ezzel jött: mit izgulsz, majd pont a te routeredre lesz kíváncsi valaki? Pár évvel később, igaz, már ő sem volt a cégnél, rákérdeztem, hogy még most is paranoiának tartja-e, hogy nem éreztem elégségesnek a hidden SSID-t, hanem ragaszkodtam mindenféle titkosításhoz és egyéb hasonlókhoz. Nem tudott igennel felelni. (esélye sem volt rá :D)

Lehet, hogy így van, de az üres SSID vagy ascii az nullák hogyan segíthetnek?

# Send empty SSID in beacons and ignore probe request frames that do not
# specify full SSID, i.e., require stations to know SSID.
# default: disabled (0)
# 1 = send empty (length=0) SSID in beacon and ignore probe request for
# broadcast SSID
# 2 = clear SSID (ASCII 0), but keep the original length (this may be required
# with some clients that do not support empty SSID) and ignore probe
# requests for broadcast SSID

------------------------------------------------------------------------------
www.woodmann.com/searchlores/welcome.htm

"én csak azt nem értem újra és újra, hogy miért megy tovább az élet mintha mi sem történt volna miközben derülnek ki ezek a dolgok..."

Mi is derült _most_ ki?

Nézzük a tényeket: van 2 kép: az egyiken 3 kivetetlen arcú embör bont ki egy cisco-s kartondobozt, a másikon meg egy cisco hálózati eszköz van _valamire_ csatlakoztatva konzol kábellel.

És akkor van valaki, aki azt állítja, hogy itten épp az nsa-sok nsa-skodnak, és mi pont ezt látjuk. Ez a valaki amúgy felült a snowden vonatra, és írt is erről egy könyvet, aminek a reklámozásához pont jól jönnek az ilyen hírek.

De vajon igaz amit állít? Hát lehet, meg az is lehet, hogy nem.
Aztán ebbe kéne bárkinek is belebukni? Nem hiszem.

"én csak azt nem értem újra és újra, hogy miért megy tovább az élet mintha mi sem történt volna miközben derülnek ki ezek a dolgok... miért nem buknak bele politikusok, miért nincs tömeges bocsánat kérés, miért szívják meg ezek a cégek és jönnek létre olyanok, amik az átláthatóságot biztosítják független audittal stb.

és tényleg mindez a szabadságra elvben oly büszke usa-ban. ahol attól is ki vannak akadva ha a fegyvereiket el akarják venni."

Azért, mert nincs tömeges felháborodás. Azért, mert az az általános hozzáállás az átlagos netezőben, hogy leszarom, mit tudnak rólam, én nem vagyok terrorista. Mert az internet felhasználók nagy részét kurvára nem érdekli az egész, ha a napi facebook és twitter (stb.) igényét ki tudja elégíteni. Azért, mert úgy általában tíz év alatt eljutott oda az internet, hogy a mezei felhasználó maximálisan leszarja a személyes adatait. Nincsenek tömegek, akik kivonuljanak az utcára emiatt fejeket követelve, mivel tisztába sincsenek az egész jelentőségével. Ez számukra egy megfoghatatlan és hosszútávon értelmezhetetlen valami. És kényelmesek meg konzumidióták. Azt hiszed, érdekel bárkit is, hogy egy smart tv potenciálisan kémeszközzé alakítható? Nem érdekel senkit sem. Viszont a smart tv trendi, ezért meg kell venni.

Magyarán az NSA botrány kapcsán felbukkanó problémák túl technikaiak vagy értelmezhetetlen ahhoz, hogy Jóska, Pista, Mari néni felfogja a hosszú távú hatásait. Önként dugják a fejüket a hurokba.

--------------------------

Csak a viták elkerülése végett. Ha nem használok ékezetet, mobiltelefonról írok.

"Vagy esetleg az is lehet még, hogy ezt az emberek - űgy általában - kurvára nem tartják akkora problémának, mint egyes személyiségi jogi hittérítők.
És nem - feltétlenül - azért, mert hülyék vagy agymosottak vagy birkák."

Mert kurvára fel sem fogják, hogy miről van szó. Akkor, amikor napi szinten adnak ki magukról adatokat a Facebookon vagy máshol, és számukra teljesen természetes, akkor persze, hogy nem fogják problémaként látni ezt a helyzetet.

Egyébként az általad személyiségi jogi hittérítők titulált szervezetek vagy egyének álláspontja kissé árnyaltabb, mint ahogy ez lejön a sajtóból vagy máshonnan.

Nem azzal van bajuk, hogy biztonsági szempontból adatokat gyűjt az USA (most más országokat hagyjuk ki), hanem az, hogy ezt kvázi kiadták vállalkozásba. Az NSA nem állami szervezet. Azzal is bajuk van, hogy totálisan kontrollálatlan az egész, senki sem tudja, hogy mi a sorsa ezeknek az adatoknak, milyen törvények vagy szabályzók mentén kezelik, őrzik vagy használják fel. Nincs kontroll. Se politikai, se törvényi, a civil kontrollról már nem is szólva. Egyelőre nagyon úgy tűnik, hogy maga az USA elnök sincs tisztába dolgokkal, bizonyos körök teljesen elzárták előle az információáramlást. És ez bizony kurvára aggályos.

Aztán azt is aggályosnak tartják, hogy bizonyos webes cégek olyan mennyiségű személyes adatot kezelnek és gyűjtenek be, amiken aztán tényleg nincsen semmilyen fajta kontroll. Egy Facebook vagy Google szinte már állam az államba működik a saját törvényei szerint. Ezek a cégek már símán nemzetbiztonsági veszélyeztetést jelentenek, a kérdés csak az, milyen szinten paktáltak le a kormányzattal, illetve az árnyékszervezeteikkel. Azt azért ne felejtsük el, hogy a kilencvenes években ennél kevesebbért indítottak tröszt ellenes eljárást a Microsoft ellen. Ehhez képest a Google vagy a Facebook szinte azt és úgy csinálnak, ahogy akarnak.

Tételezzük fel, hogy az USA-ba az elkövetkezendő 10-20 évbe egy markáns állam berendezkedési pálfordulat történik, akár gazdasági, akár politikai vonalon. Vagy mondjuk egy helyi diktátorocska kerül politikai hatalomra a demokrácia állarca mögött. Onnantól kezdve nincs kontroll arra nézve, hogy ezt a hatalmas adatbázist mire és hogy fogja felhasználni.

--------------------------

Csak a viták elkerülése végett. Ha nem használok ékezetet, mobiltelefonról írok.

Nem azzal van bajuk, hogy biztonsági szempontból adatokat gyűjt az USA (most más országokat hagyjuk ki), hanem az, hogy ezt kvázi kiadták vállalkozásba. Az NSA nem állami szervezet.

He? Az NSA-t 1952. november 4-én alapította Harry Truman, az USA éppen regnáló elnöke. Az NSA vezetőjének a megbízását az Egyesült Államok Elnöke írja alá. Az NSA első emberének legalább "három csillagos" tábornoki ranggal kell rendelkeznie az USA hadseregében. Egyébként meg költségvetési szerv. Szóval mi ez az "NSA nem állami szervezet" meg "kiadták vállakozásba"?

"Mert kurvára fel sem fogják, hogy miről van szó. Akkor, amikor napi szinten adnak ki magukról adatokat a Facebookon vagy máshol, és számukra teljesen természetes, akkor persze, hogy nem fogják problémaként látni ezt a helyzetet."

Vagy esetleg felfogják, csak kurvára nem érzik ezt akkora problémának, mint _te_

"Egyébként az általad személyiségi jogi hittérítők titulált szervezetek vagy egyének álláspontja kissé árnyaltabb, mint ahogy ez lejön a sajtóból vagy máshonnan."

Ó igen, fél éve olvasom a folyamatos nyavogást a bowden téma nyilvánosságra kerülése óta, és kurvára árnyalt, valóban. A legtöbb esetben megáll ott az árnyaltság, hogy "ezek a mocskok engemet ne figyeljenek már meg, hogy is képzelik", és pont.

"Nem azzal van bajuk, hogy biztonsági szempontból adatokat gyűjt az USA (most más országokat hagyjuk ki), hanem az, hogy ezt kvázi kiadták vállalkozásba. Az NSA nem állami szervezet."

De, az. Egy "kutya közönséges" ami titkosszolgálat.

"Azzal is bajuk van, hogy totálisan kontrollálatlan az egész, senki sem tudja, hogy mi a sorsa ezeknek az adatoknak, milyen törvények vagy szabályzók mentén kezelik, őrzik vagy használják fel. Nincs kontroll."

LOL, pont annyira van kontroll, amennyire azt az usák törvényhozás meghatározza és betartatja.

"Se politikai, se törvényi, a civil kontrollról már nem is szólva."

Civil kontrolt felejtsük már el, hol van titkosszolgálatok fölött civil kontroll?

"Egyelőre nagyon úgy tűnik, hogy maga az USA elnök sincs tisztába dolgokkal, bizonyos körök teljesen elzárták előle az információáramlást. És ez bizony kurvára aggályos."

És ez bizony kurvára mese.

"Aztán azt is aggályosnak tartják, hogy bizonyos webes cégek olyan mennyiségű személyes adatot kezelnek és gyűjtenek be, amiken aztán tényleg nincsen semmilyen fajta kontroll. Egy Facebook vagy Google szinte már állam az államba működik a saját törvényei szerint."

LOL. Állam az államban, hát persze.

"Ezek a cégek már símán nemzetbiztonsági veszélyeztetést jelentenek, a kérdés csak az, milyen szinten paktáltak le a kormányzattal, illetve az árnyékszervezeteikkel."

Tehát lepaktáltak a kormányzattal, de állam az államban. Ne hagyd abba, folytasd! Nagyon érdekes!

"Azt azért ne felejtsük el, hogy a kilencvenes években ennél kevesebbért indítottak tröszt ellenes eljárást a Microsoft ellen."

Indítottak? Tényleg? Ha tényleg így volt akkor mi lett az eredménye?

"Ehhez képest a Google vagy a Facebook szinte azt és úgy csinálnak, ahogy akarnak."

Jaja, hát persze. Hoznál erre példát?

"Tételezzük fel, hogy az USA-ba az elkövetkezendő 10-20 évbe egy markáns állam berendezkedési pálfordulat történik, akár gazdasági, akár politikai vonalon. Vagy mondjuk egy helyi diktátorocska kerül politikai hatalomra a demokrácia állarca mögött. Onnantól kezdve nincs kontroll arra nézve, hogy ezt a hatalmas adatbázist mire és hogy fogja felhasználni."

Aham, hát persze. Gondolom az usák jogrendszert és politikai berendezkedést is mélységében ismered. Mert ott ez csak úgy megy...
Ellentétben ugye Hungarisztánnal, ahol 2010 óta valóban az és úgy történik, amit és ahogy egy szűk csoport akar. És ők _rólad_ sokkal többet tudnak, mint az usák szolgáltatók és szervek, de érdekes módon ezzel nincs semmi problémád...

( MG | 2014. 05. 15., cs – 11:43 )

a képek Az igazi Mao -ra emlékeztetnek :-)

( nevergone v | 2014. 05. 15., cs – 12:35 )

Szerintem trey elrontotta a cikk címét. Helyesen:
„Ars Technica: Fosok attól, ahogy NSA "upgrade" kerül Cisco router-be”

-----
"Egy jó kapcsolatban a társunkat az ő dolgában kell támogatni, nem a miénkben."
rand() a lelke mindennek! :)

Here’s another one, DEITYBOUNCE. This is for Dell, so Dell PowerEdge 1850, 2850, 1950, 2950 RAID servers using any of the following BIOS versions. Right. So just in case you’re wondering, hey Dell, why is that? Curious about that. Love to hear your statements about it.

So if you write YARA sigs [signatures] and you’re interested in looking for NSA malware, look for things that use RC6, so look for the constants that you might find in RC6, and when they run, if they emit UDP traffic – we’ve actually seen a sample of this but we were not able to capture it, sadly, but emitting UDP traffic that is encrypted.

http://www.nakedcapitalism.com/2014/01/jacob-appelbaum-30c3-protect-inf…

( khiraly | 2014. 05. 15., cs – 21:40 )

Amig ezt kezzel utolag barkacsolgatjak amerikai magasan fizetett ugynokok, addig nincs gond. Ha majd a kinai gyerekek szorgos kis kezukkel pakolgatjak bele *minden* gyartott routerbe, akkor mar para van.

Ennek igy hatalmas a bekerulesi koltsege. Cegvezeto szint alatt kb. senkire sem szabad ennyi penzt pazarolni.

---
Saying a programming language is good because it works on all platforms is like saying anal sex is good because it works on all genders....

( dj | 2014. 05. 16., p – 11:59 )

Állítólag, ugye.
Van két kép amin egy valami vehető ki kristálytisztán. A cisco router, semmi más. Ez készülhetet volna bárhol, mondjuk bivalybasznádon a lóitató ellenőrző állomás 3 alkalmazottja próbálja megfejteni, hogyan lehet kibontani egy cisco routeres dobozt. Például.
De most rettegnem kellene, mert egy újságíró írt egy cikket, amivel próbálja bizonyítani, hogy márpedig neki igaza van? Remélve, hogy ezzel jobban fog fogyni könyve?
Helyesbítek: 4 alkalmazott próbálja kibontani a cisco routeres dobozt, nem 3.

Okunk lehetne kételkedni a Snowden által kiszivárogtatott információk valóságtartalmában, ha legalább egyről is kiderült volna, hogy valótlant állít. De én nem tudok olyanról, hogy valaki bizonyította volna akár egy infóról is, hogy hamis. Viszont az infók kiszivárogtatásából nemzetközi balhé lett. Gondolom nem véletlenül. Illetve nem véletlenül kellett magyarázkodnia a Fehér Háznak sem.

Vagyis, ha feltételezzük, hogy a Snowden-iratok igazat szólnak, akkor kicsi az esélye, hogy ez nem igaz. Ha pedig akár minimális is annak az esélye, hogy igaz, akkor jobban teszi mindenki, ha úgy veszi, hogy igaz.

Az is sejtetni véli az igazságot, hogy a Cisco blogján próbál elhatárolódni az USA kormányának lehetséges cselekedeteitől.

--
trey @ gépház

"Okunk lehetne kételkedni a Snowden által kiszivárogtatott információk valóságtartalmában, ha legalább egyről is kiderült volna, hogy valótlant állít. De én nem tudok olyanról, hogy valaki bizonyította volna akár egy infóról is, hogy hamis."

Érvelési hiba: nem olyan bizonyítékot kell várni, ami cáfolja bowden állítását, mert ilyen bizonyíték elvileg sem létezhet. Ha holnap a teljes NSA archívumot nyilvánosságra hoznák akkor se hinné el senki, hogy ez tényleg a teljes és hogy nincs más. Én se hinném, te se hinnéd. Mégis mivel lehetne cáfolni bowden állításait?

Inkább olyan bizonyítékot kellene találni, ami igazolja a gyerök történeteit. Mert ha én azt állítom, hogy trey biciklit lopott, akkor _nekem_ kell ezt bizonyítanom. Trey csak akkor tudná bizonyítani az állításom ellenkezőjét, ha életének minden egyes perce hitelesen rögzítve lenne. Ami nyilván lehetetlen.
Az NSA témában pedig még ennél is nehezebb lenne a cáfolat.

"Viszont az infók kiszivárogtatásából nemzetközi balhé lett. Gondolom nem véletlenül. Illetve nem véletlenül kellett magyarázkodnia a Fehér Háznak sem."

Nemzetközi balhé, jajmó. Hisztiztek egy kicsit más országok politikusai, hogy "cúnya amerikaiak lehallgattak bennünket". Nem igazán tehettek mást, nem mondhatták el az igazságot (ami kb. így hangzik: ha lehetőségünk lenne rá akkor mi is ezt csinálnánk, illetve ahol van rá lehetőségünk ott mi is megtesszük ugyanezt).

Nem értem ezt az egész álnaív rácsodálkozást a világra: igen, a titkosszolgálatok ezt csinálják mióta világ a világ. Meg még ettől sokkal csúnyább dolgokat is időnként. Ezek a szervezetek ezért vannak.

"Vagyis, ha feltételezzük, hogy a Snowden-iratok igazat szólnak, akkor kicsi az esélye, hogy ez nem igaz."

Hát igen, ha feltételezzük hogy trey biciklitolvaj, akkor...

"Ha pedig akár minimális is annak az esélye, hogy igaz, akkor jobban teszi mindenki, ha úgy veszi, hogy igaz."

OK, feltételezem hogy igaz, akkor mit csináljak? Dobjam ki a rack-ből a csicsót és rakjak a helyére hüvelyt? Mert azok nem olyanok, ugye? Vagy építsek saját hálózati eszközöket, amiket én építek a két kezemmel (mert másban ugye nem bízhatok)?

"Az is sejtetni véli az igazságot, hogy a Cisco blogján próbál elhatárolódni az USA kormányának lehetséges cselekedeteitől."

Ja, remek helyzetbe kerültek ők is. Ha hallgatnak akkor bűnösök mert hallgatnak. Ha meg tagadják a vádakat akkor meg még hazugok is, mert természetesen nem hisz nekik senki.

Valójában pont az ilyen vélemények miatt nem történt semmi jelentős dolog ebben a történetben. Hülyének néznek minket az emberek, meg paranoiásnak, pedig csak teljesen logikusan nem szeretjük ha a magánéletünkben turkálnak.
Az megvan, hogy a törökök miniszterelnökét sikerült megszorongatni egy magánbeszélgetés lehallgatásával. Ha nem az amerikaiak csinálják (végre) meg is bukott volna. Így csak belebélsárazott mindenki mint te.
☼☆♫♪♫♪☆☼
AGA@
Fork portal és az egyik logóm :)

"Valójában pont az ilyen vélemények miatt nem történt semmi jelentős dolog ebben a történetben."

Jaja, az ilyen vélemények miatt nem történt semmi, hát persze. Az én kurva anyámat, nyilván.

"Hülyének néznek minket az emberek, meg paranoiásnak, pedig csak teljesen logikusan nem szeretjük ha a magánéletünkben turkálnak."

Hát igen, valójában csak ti, a társadalom elképesztően kicsi, paranoiás része hisztiztek.
Nem szeretitek, ha a magánéletetekben turkálnak. Valóban szörnyű ez a borzasztóság. Viszont a titkosszolgálatok ezt csinálják amióta világ a világ. Persze a valóságban a te magánéleted a zaj, amiben elvész az a jel, amit keresnek.
Mert kurvára nem érdekel senkit az, hogy te hol és mit csináltál és kivel, amíg mittomén nem akarsz felrobbantani valamit. Viszont ha nem te, hanem más akarná felrobbantani pl. a gyereked óvodáját, akkor te is elvárnád az államtól, hogy gyűjtsön be minden olyan infót, ami alapján elkaphatja azt a mocskot, aki a te gyerekedet akarja megölni, lehetőleg az előtt, hogy ezt megtenné...

"Az megvan, hogy a törökök miniszterelnökét sikerült megszorongatni egy magánbeszélgetés lehallgatásával. Ha nem az amerikaiak csinálják (végre) meg is bukott volna. Így csak belebélsárazott mindenki mint te."

Ez mi is volt?

Az amerikaiak megfogtak egy beszélgetést, amiben Erdogan a fiával beszélt, hogy hova, melyik cipősdobozba dugják el a pénzt. Mindezt a választások előtt pár héttel. Csakhogy a törökök sincsenek oda az amerikaiakért.

De tartom, engem a titkosszolgálatok leskelődése ugyanannyira zavar, mint amikor mondjuk az ablakon bebámulnak a szobámba a járókelők. Csak ott van egy függöny ha akarom, itt meg nincs. Az meg, hogy egy ovodarobbantgatót így fognának el, azon kívül ,hogy viccesen valószínűtlen, egyáltalán nem ilyesmire használják az információt. Csak hozzánk jut el az, hogy a tenoristák ellen meg a többi blabala. Politikai befolyás inkább fontos nekik.
ÉS tényleg szörnyű, meg az apatikusság is.
☼☆♫♪♫♪☆☼
AGA@
Fork portal és az egyik logóm :)

( lajos22 | 2014. 05. 16., p – 13:31 )

lol

--
Fontos! Ha berágok, nem feltétlen személyed ellen szól...
openSUSE 13.1 x86_64

( KoGa v | 2014. 05. 16., p – 16:45 )

Elég Ciscos dobozt nyitottam ki, hogy tudjam, a képen (alig) látható módon még a dobozt sem lehet felbontani észrevétlenül. I call this bullshit. (Ettől függetlenül a dolog lehet valós, de hogy ez a kép nem onnan származik, az is tuti.)

Nem tudom, hogy mit akartál írni, de akkor megfogalmazom másképpen

a) ha annyi ezresem lenne most, amennyiszer már valaki által egyszer kinyitott (pl. vám) szervert, switchet stb. kaptam gyári újként (és nem végfelhasználóként, hanem a megoldásszállítói logisztikaként), akkor most nagyon örülnék
b) miért kéne észrevétlenül kinyitni? mit értesz az alatt, hogy így nem lehet? szerinted nem tudja egy akkora szervezet megoldani mint az NSA, hogy a végén az gyárinak tűnjön?
c) ha a végén kapsz egyet, ami láthatólag ki volt nyitva, de te azt egyébként gyártói újként kaptad, akkor reklamálni szoktál? hol? kinek? milyen eredménnyel?

stb.

Volt olyan jó pár évvel ezelőtt, hogy egy nagy magyar vállalatnak hoztunk több száz IBM gépet rendelésre, amit mi előtelepítettünk, majd kiszállítottunk. Kibontottuk a gépeket a gyári csomagból, és meglepve tapasztaltuk, hogy sértetlennek látszó gépek mindegyikéből hiányzott a processzor. A gyártó szerint abban benne kellett lennie. Nyomozás indult és kiderült, hogy a gyártó és a köztünk levő úton tűntek el. Érdekes módon, ez nem látszott a csomagoláson. Pedig itt még az NSA-nak sem volt benne a keze.

Másik dolog:

Számtalanszor kerül ügyfélhez úgy ki termék, hogy az megrendeli, a megoldásszállítóhoz megérkezik, az felkonfigurálja és úgy viszik ki az ügyfélhez. Nyilván már kibontották a dobozt. Sőt, sokszor már a megoldásszállítóhoz is úgy kerül oda. Hogyan fog kiderülni, hogy machinálták-e vagy sem?

--
trey @ gépház