Sokkoló bejelentés a hackerkonferencián

Cisco

"Jogi lépéseket tett a Cisco és az Internet Security Systems amerikai biztonsági cég Michael Lynn – most már szabadúszó – biztonságtechnikai kutató ellen a híres Las Vegas-i Black Hat Briefings konferencián tegnap elhangzott előadása után. Lynn olyan eljárásokat mutatott be, amelyekkel a támadók átvehetik a hatalmat a Cisco routerek operációs rendszere felett.""Alig pár órával az előadás után a Cisco korlátozó végzést kért – és kapott – Lynn ellen Észak-Kalifornia Kerületi Bíróságán, hogy "a továbbiakban ne nyilatkozhasson a Ciscót és az ISS-t érintő biztonságtechnikai kérdésekről."

"Meggyőződésünk szerint azok az információk, amelyeket Lynn a Black Hat konferencián tartott előadásában bemutatott, illegálisan kerültek hozzá, és ezzel megsértette a szellemi temékeinkhez fűződő jogainkat" – nyilatkozta John Noh Cisco-szóvivő arra utalva, hogy a kutató visszafordította a Cisco szoftvereit vizsgálatai közben, áthágva ezzel a törvényeket."



A teljes cikk itt.

( prygme | 2005. 07. 29., p – 19:54 )

Nagyon értelmes ez a struccpolitika a ciscotól. Ha ilyen hozzálállással folytatják, lehúzhatják az Iost, a linux és a bsd majd szépen kiszorítja őket a porondról.

az a baj ezekkel a torvenyekkel, hogy Lynn akkor jart volna el a sajat szempontjavol optimalisan. ha kezpenzert eladja a hibat valamelyik "rosszfiu" titkosszolgalatnak. kapott volna erte 1-2 millio$.

es a kutya sem gyanakodna ra.

valahogy betegesek az amcsi torvenyek a szoftverek kornyeken.

Pont ezt mondtam én is, az, aki sokat tud, az sokat ér mindenkinek. De amcsiéknál úgy néz ki, ez a politika.... Ez már lassan kezd a szólásszabadság ellen szólni. S ha egyszer igaza van, a Cisco kellene foltozza a termékeket, az nem megoldás, hogy valakit elhallgattatunk...

Ezt hol olvastad, hogy megszerezte a forráskódot? Ilyet még a Cisco se állított. Ők azt állították, hogy az ipse reveng-elt.

Európában is csak a kompatibilitás megtartása céljából engedélyezett a reverse enginiering.

Magyarul Európában is csak akkor járt volna el "jogszerűen", ha közben bemutat egy olyan terméket, ami pl. nem érzékeny ezekre a hibákra, de kompatibilis azokkal :-)

És persze ettől függetlenül usa-ban így is- úgy is ezt tették volna vele...

Emlékezz vissza, amikor pl. A. Cox nem írt Changelog-ot a DMCA miatt... USA sux.

Legfeljebb később a Black hat konferenciákat majd nem usa-ba szervezik, hanem vmi. nemzetközi vizeken úszó nagy luxushajóra.

( Hunger | 2005. 07. 30., szo – 07:26 )

Egyelőre elég ködösek a részletek, de annyi biztos, hogy ismét hatalmas sz@rkeverés van a háttérben. Egyesek szerint Lynn hozzáfért a Cisco forrásokhoz az ISS-nél és így megszegte a titoktartási szerződést. Az ISS szerint Lynn nem fért hozzá a forráskódhoz, de az egész gyakorlatilag teljesen lényegtelen, hisz eddig két alkalommal is fény derült arról, hogy az IOS forráskódok kikerültek [hup.hu] a Cisco-tól, így ha valaki nagyon hozzá akar férni, akkor csak utána kell keresnie és garantáltan megtalálja valamelyik p2p hálózaton. Valaki tudni vélte, hogy Lynn készülő BlackHat előadásáról tudott az ISS, de még talán a Cisco is, csak időközben megváltozott a véleményük. Egy biztos: Lynn nem árult el egy (0day) bugot sem az IOS-ban, csak felvázolta, hogy egy esetleges programozói hibát hogyan lehet(ne) kihasználni a Cisco szoftverében.

Hogy kik nyernek ebből? A hacker scene semmiképp, hisz új információhoz nem jutottak. Az elhangzottak java része már 3 éve publikusan elérhető a Phrack [www.phrack.org] írásai és más [www.xfocus.net] leírások között, az underground réteg pedig ennél is jóval régebb óta ismeri a Cisco eszközöket kívül-bellül. Azért sem nyernek ezzel semmit, mert emiatt méginkább terroristáknak minősíti őket a média és az átlagember. A Cisco sem nyer ezzel semmit, mert a nagy botrány miatt az emberek elkezdenek kételkedni az eszközeik biztonságában és szakértelmükben. Az ISS is nyilván be van tojva, hisz a Cisco nem keveset fizethetett neki a forráskód auditálásáért és most előfordulhat, hogy a kikerült információk miatt felbontják a szerződést és soha többet nem üzletelnek együtt. Lynn lehet, hogy mostantól több állásajánlatot fog kapni, de előfordulhat, hogy komolyabb cégek nem merik majd megkockáztatni a vele való munkát. Akik biztosan nyernek ebből a felhajtásból azok a BlackHat rendezvény mögött álló szervezők, hisz ezzel a reklámmal még több érdeklődőt vonzanak magukhoz. Persze elsülhet náluk is rosszul a dolog, mert lehet, hogy ezután egyik komoly hacker sem fog előadást vállalni náluk. (amit azért nem hiszek)

A Cisco egyébként kiadott egy advistoryt [www.cisco.com] az eset után, amely egy IPv6 kezeléssel kapcsolatos problémát javít és DoS-ra vagy rosszabb esetben kódvégrehajtásra használható ki. Szerintük Michael Lynn ennek a hibának a részleteit is feltárta a BlackHat előadásán.

Annak kiderítésére, hogy ez igaz vagy sem, elég elolvasni az előadás vázlatát...

Akit esetleg érdekel, Lynn prezentációja elérhető itt [www.infowarrior.org] és itt [www.infowarrior.org].

>Valaki tudni vélte, hogy Lynn készülő BlackHat előadásáról tudott az ISS, de még talán a Cisco is, csak időközben megváltozott a véleményük.

Az történt, hogy Lynn bejelentkezett a konferenciára, mint ISS alkalmazott az eloadassal. Az ISS, és a CISCO beszart, és az ISS megváltoztatta Lynn előadásának címét valami VOIP-osra. Erre Lynn felmondott és mint magánember megtartotta az előadást.

Egy ilyen fontos szoftvernek mindenkeppen nyilt forrasunak kene lennie. pont, mint a bind-nek.

Pásztor György said the following on 2005-07-30 00:54:
> Legfeljebb később a Black hat konferenciákat majd nem usa-ba szervezik,
> hanem vmi. nemzetközi vizeken úszó nagy luxushajóra.

Teljesen mind1, hogy nemzetkozi vizeken van-e vagy sem, ha a hajo
tulajdonosa amerikai, akkor is az amcsi torvenyek vonatkoznak ra, ha
indiatol nemmessze, nemzetkozi vizeken hajozik...