Security-all

++RonaldReagenAttack

Fórumok

Kedves Fórumtársak!

Egy közeli ismerősöm benyalta a topikcím szerinti trükköt. Komolyabb összegről van szó. Van-e valakinek tapasztalata ezzel, bedőlt-e neki valaki más is, mi lett a végkifejlet, érdemes-e a pénzvisszaszerzésbe energiát ölni, stb?

További kérdés, hogy milyen információkkal kell rendelkezni ahhoz az áldozatról, hogy el lehessen követni ezt a csalást.

MINDEN, látszólag periférikus adat is érdekes lehet, a segítséget előre is köszönöm.

Üdv: meditor

BUD - reptér public wifi content szűrés mi alapján?

Fórumok

Sziasztok! 

Ismeri valaki esetleg a budapesti reptér (BUD) public wifijének content szűrését? Van egy átlag céges weboldal, melyet nem jelenít meg, helyette egy semmitmondó hibaüzenet jelenik meg.

a kép: https://ibb.co/BBs4PQy

a weblap: https://thedecisionmagazine.hu/

Ha esetleg valaki jártas ebben, akkor köszönöm, ha segít!

PZ

Mit tennél ha kezedben lenne az SHA2 törésének kulcsa?

Fórumok

Kérdés a tárgyban, illetve milyen hatással lenne mindez security világra?

Törés alatt értem, hogy záros határidőn belül (max. pár óra) egy adott pl. sha256-os hash-hez tudsz produkálni egy inputot.

A kérdés apropóját később leírom.

 

Eljött a később, itt az apropó:

A történet 2010-ig nyúlik vissza, Karsten Nohl akkor demózta a GSM A5/1 kódolás törését rainbow tábla segítségével. Csak az összehasonlítás végett, a 64 bites key az akkori számítási kapacitással brute force technikával való törése ha jól emlékszem 100 éves nagyságrendbe esett. Ranbow táblával 2 év precomputing (= rainbow tábla előállítása, csak egyszer kell megcsinálni) mellett, 2TB tárkapacitás felhasználásával 2 percre redukálódott.

Ekkor ástam bele magam a rainbow tábla rejtelmeibe és jött az a megállapításom, hogy a raibow tábla valójában egy két dimenziós bruta force technika, egy pici matekkal megspékelve, ami a dimenziók kezelésre hivatott. Ekkor jött az ötlet, hogy ha van 1 és 2 dimenziós brute force technika, akkor lehet 3, 4, 5, ... n dimenziós is. Számításaim szerint az 1-ről 2 dimenzióra váltás hozza a legtöbbet, de 3-ról 4-re váltás is majdnem annyit hoz, egészen addig amíg a dimenziók száma el nem éri a bitszám felét. Itt ugye a hozamnál már több dolgot kell is figyelembe kell venni, a precomputing időt, a tábla méretét és végső kalkulációs időt.

Amit eddig olvasható, azt ezidáig két emberrel osztottam meg.

Némi matekot végeztem abban az időben, sajnos a doksi egy géphalál következtében elveszett. Amire emlékszem, hogy 256 bit esetén 127 dimenziós táblánál 500 év körül volt a precomputing idő, viszont a tábla méretéből csak annyi maradt meg, hogy összemérhető volt a világ teljes tárolókapacitásával. Na de ez 11 éve volt. Fogalmam sincs mekkora most a globális tárkapacitás, és fogalmam sincs, hogy egy országban, pl. Kínában mennyi van összesen. Arról nem is beszélve, ha minden évben a bevont számítási kapacitás csak 1.5-szöröződik, akkor az az 500 év precomputing 11 év alatt 6-7 évre csökkent. Ja, én a matekot a Karsten Nohl féle gép számítási kapacitásával végeztem, amiben 2db akkori csúcskategóriás ATI kártya tette a dolgát.

Fogalmam sincs jól számoltam e a dolgokat, de - és itt jön a csavar - az egyik beavatott nem oly rég elmondta a kínai főnökének. Pár hónapra rá jött a megkeresés, hogy menjek ki, csináljuk meg, gyakorlatilag végtelen kapacitású szerverfarmot raknak a seggem alá. Több okból is nemet mondtam és alig tudtam levakarni őket, szinte már könyörögtek. Amit nem is értettem, mert alig tudok többet annál mint amit itt leírtam, igazából csak az elvi ötlet érdekelt, a gyakorlati megvalósításhoz kevés vagyok meg nincs is kedven vele foglalkozni.

Mindenesetre a megkeresés azt mutatja, hogy ők is metekoltak valamennyit és lehet reális alapja a dolognak. Sőt, attól hogy én nemet mondtam, lehet már ezerrel dolgoznak rajta. Két dolog kell az egészhez, minél nagyobb számítási kapacitás a feltörni kívát algoritmushoz, ez Kínában az üzemen kívüli BTC farmokon SHA256-ra szinte végtelenül rendelkezésre áll, illetve egy jó matek a dimenziók szelektálásához, amihez szintén nem árt a hardveres támogatás.

Ha belefutottatok ilyen több dimenziós brute force vagy rainbow tábla publikációba, ne tartsátok magatokban. Én nem találtam az elmúlt években.

(Lehet néhány adat nem pontos, 11 éves visszaemlékezés alapján írtam. Valószínűleg nagyságrendi tévedés sehol nincs.)

Feltörték az EU-s védettségi rendszerét (sic), Adolf Hitler igazolványt kapott

Fórumok

https://index.hu/kulfold/2021/10/29/feltortek-az-eu-rendszeret-adolf-hi…

Egyszerű a recept: találj ki egy elosztott tanúsítványokon alapuló rendszert, ahol minden ország megbízik a többiben, és csak meg kell várni, míg egy hozzá nem értő hivataltól ellopják a tanúsítványt. Úgy tűnik, rögtön kettőt is sikerült.

Mi a megoldás? Vissza kell vonni a lopott tanúsítványokat, és annak a több százezer/millió embernek új igazolást kell kiadni. Szép. Hosszú távon meg tessenek jobban vigyázni.

Bricking the Internet of Things

Fórumok

Sziasztok!

Egy elméleti kérdést szeretnék feltenni számotokra és kíváncsi vagyok a véleményetekre. Ez a kérdés már rengetegszer felmerült bennem és már kezd érdekelni ki, mit gondol róla.

Érdekel a jogi, etikai és személyes vélemények is.

Az alap felállás:

Az Internet of Things elterjedésével rengeteg olyan eszköz érhető el az interneten, amelyek a felhasználó hozzá nem értéséből adódóan teljesen alap beállításokkal, régi, sebezhető firmware verzióval, alapértelmezett felhasználónév/jelszó párossal hatalmas támadási felületet adnak, amelyeket igen előszeretettel ki is szoktak használni a fekete kalapos urak, script kiddie-k, kormányok, stb... Jelenleg a legnagyobb botnet hálózatok nem mezei PC-kből, hanem IoT eszközökből, router-ekből és egyéb hálózati eszközökből állnak.

Felvetés:

Mi lenne ha néhány hozzáértő a védekezésből átmenne támadásba?

Első lépcsőben egy hagyományos botnet felállást kell elérni, amelyek aktívan pásztázzák az internetet és keresik a sebezhető eszközöket.
Mikor ez már megvan egy ideje, akkor jöhet a "támadás" második lépcsője, ami terjedhet a segítéstől a teljes megsemmisítésig.

Gondolok itt olyanra, hogy a segítés alatt mondjuk a sebezhető firmware-t frissíti a botnet-ünk, a legfrissebbre ezzel megszüntetve az eddigi lyukakat.
Tovább lépve ha lehetőség van egy üzenet hagyás a felhasználónak és egy poweroff az eszközre, ezzel lekapcsolva az internetről. Néhány ilyen kényszer leállás csak feltűnne az üzemeltetőnek.
A végső lépcső a teljes megsemmisítés lenne, amikor is már semmi nem vált be. Nincs újabb firmware, felhasználó továbbra is hagyta az interneten, továbbra is admin/admin jelszó, akkor jöhet az eszköz brickelése. Hibás firmware feltöltése, format c:, amit csak el lehet képzelni. Végül is majd csak egy biztonságosabb eszközt szerez be a felhasználó.

Szerintetek?

Let's encrypt certificate-ek lejártak

Fórumok

Helló, kezdenek becsúszni az ügyfelektől mindenféle hibák, hogy pl. win7-tel megborul a LE root certek lejárása miatt minden webes SSL.

"This is because the root certificate used by Let’s Encrypt to sign client certificates will lose its validity on this day (expiry of Intermediate R3 on 2021/09/29 at 19:21:40 GMT – the DST Root CA X3 expires on 2021/09/30 14:01:15 GMT). Clients that only know the old root certificates will not be able to verify Let’s Encrypt server certificates after that."

Tegnap este járt le az egyik, ma fog a másik...

Mit lehet ilyenkor tenni? szerver oldalon minden friss, újra lett generálva ,ott már ISRG Root X1 a root, míg régen DST Root CA X3 \ ISRG volt. Hogy lehet "megtanítani" a régi oprendszereknek az új root certeket?

Outlook IOS/Android applikáció MS-en keresztül szinkronizál?

Fórumok

Sziasztok,

A mai nap folyamán Exchange előtt lévő proxy logokat nézegettünk. Idáig soha nem tűnt fel, de ma igen, furcsán egyformák a logban a source IP címek:

52.97.215.229 - office.valahol.hu\x5Cvalaki.valaki [29/Sep/2021:21:10:36 +0200] "POST /Microsoft-Server-ActiveSync?Cmd=Settings&User=office.valahol.hu%5Cvalaki.valaki&DeviceId=xxxxxxxxxxxxxxxxxxxxxxxxxxx&DeviceType=Outlook HTTP/1.1" 200 107 "-" "Outlook-iOS-Android/1.0"
40.101.48.173 - office.valahol.hu\x5Cvalaholvalaki [29/Sep/2021:21:10:45 +0200] "POST /Microsoft-Server-ActiveSync?Cmd=Ping&User=office.valahol.hu%5Cvalaholvalaki&DeviceId=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx&DeviceType=Outlook HTTP/1.1" 200 13 "-" "Outlook-iOS-Android/1.0"
52.97.215.245 - office.valahol.hu\x5Cvalaholvalaki [29/Sep/2021:21:10:55 +0200] "POST /Microsoft-Server-ActiveSync?Cmd=Ping&User=office.valahol.hu%5Cvalaholvalaki&DeviceId=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx&DeviceType=Outlook HTTP/1.1" 499 0 "-" "Outlook-iOS-Android/1.0"

A fenti IP-k whois alapján:

CIDR:           52.96.0.0/12, 52.112.0.0/14
OrgName:        Microsoft Corporation
OrgId:          MSFT

CIDR:           40.120.0.0/14, 40.112.0.0/13, 40.96.0.0/12, 40.74.0.0/15, 40.80.0.0/12, 40.76.0.0/14, 40.124.0.0/16, 40.125.0.0/17
OrgName:        Microsoft Corporation
OrgId:          MSFT

Konklúzió:
Minden ami "Outlook-iOS-Android/1.0"-ként mutatkozik be, az MS subnetből jön!
Ez pedig nem más mint MS hivatalos Android is IOS Outlook applikációja.

Azért ez több mint aggályos, ezek szerint minden forgalom ami átmegy a mobil applikáción, az MS-en is átforog, onnantól naplózhatják, elemezhetik ...
Nagyon sok cég pont azért tartja meg saját Exchange-et, hogy saját házon belül tudja a levelezést, így ez szépen sérül is.

Ha lesz rá idő, megnézzük Office-ban lévő outlook-ot is, ha kintről OWA-n keresztül sync-el, akkor vajon az is hasonlóan viselkedik?

Előválasztás összeomlás elemzés

Fórumok

Sziasztok!

Megjelent az előválasztási rendszer összeomlásáról készült elemzés. Mivel Magyarországon ilyen széles körben érdeklődésre számot tartó rendszerről ritkán adnak ki publikusan ilyet, gondoltam feldobom vitaindítónak.

Jó? Nem jó? Mik voltak az elkövetett hibák? Hogy lehetett volna megelőzni?

https://telex.hu/belfold/2021/09/27/ellenzeki-elovalasztas-leallas-ossz…

A támadás elemzése innen tölthető le (a cikkben is szerepel)

https://ahang-static.s3.eu-central-1.amazonaws.com/uploads/fresz_ferenc…

Mivel a security-ba tettem ezért legálább nyomokban legyünk szakmaiak :)

Konstruktiv hozzáállású külső auditor cég SOC2 audithoz?

Fórumok

(nem biztos, hogy ez az alkalmas fórum erre a kérdésre, de a hup.hu fórumai közül ide passzolt leginkább)

Sziasztok!

Tudtok ajánlani konstruktív hozzáállású auditor céget, amelyik SOC2 (ill. ISO27001, bár egyelőre inkább SOC2 a terv) auditot tud csinálni?

Eddigi tapasztalatom szerint compliance témakörben (mint pl. SOC2 ill. ISO 27001 audit) az általános feltételezés az, hogy nagy szervezet akar ilyesmi tanusitványt megszerezni, ahol pl. van lehetőség mindenféle szerepkört külön emberre osztani, stb. Mi viszont egy kicsi cég vagyunk (pl. az IT részleg lényegében 2 fő), de mivel sok nagyvállalatnak dolgozunk (akinek SaaS terméket fejlesztünk), ezért kéne szerezni ilyen tanusitványt. (És a valóban értelmes követelményeket szerintem tudjuk teljesíteni.) Az audit-ot még önmagában jó ötletnek is tartom, de félek attól hogy ha nagyon rugalmatlan az auditor cég, akkor értelmetlen dolgokat akar majd megkövetelni, amit mind megcsinálni még jó drága is lesz (ha egyáltalán lehetséges).

Tudtok olyan auditor céget ajánlani, ami ilyen nagyon kicsi cégnél is értelmes megközelítést tud alkalmazni, és az általa kiadott tanúsítványt nemzetközi piacon elfogadják?