Apie etinį įsilaužimą: Andrej Šebeň podkaste „Buzzworld“
Neseniai buvau pakviestas į podkastą „Buzzworld“, kur kalbėjome apie etinį įsilaužimą – tik kitaip, nei įprasta. Vietoj sausų apibrėžčių ir pernelyg techniškų samprotavimų temą narstėme su humoru. Nes pripažinkime: įsilaužimas, kai jis daromas etiškai, yra ir įdomus, ir linksmas.
Įrašas – slovakų kalba. Toliau einantis tekstas nėra stenograma: jame lietuviškai atpasakojama pokalbio esmė, todėl straipsnį galima perskaityti ir nepaleidus įrašo.
Apie ką kalbėjome?
1. CVE pažeidžiamumai
Apie įsilaužimus sunku kalbėti neužsiminus apie CVE. CVE – tai viešai registruojamo pažeidžiamumo identifikatorius (angl. Common Vulnerabilities and Exposures). Peržiūrėjome kelis įdomiausius pažeidžiamumus, su kuriais teko susidurti: kaip jie veikia, kaip užpuolikai jais pasinaudoja ir kodėl programuotojai vėl ir vėl kartoja tas pačias klaidas. Atsakymas į paskutinį klausimą paprastas – žmonės lieka žmonėmis.
Praktinė išvada svarbesnė už patį sąrašą. Pažeidžiamumo numeris ir jo balas dar nieko nesako apie riziką konkrečioje organizacijoje. Reikšminga tai, ar pažeidžiamas komponentas apskritai pasiekiamas iš interneto, ar jam jau paskelbtas veikiantis išnaudojimo kodas ir ką užpuolikas pasiektų, jei pavyktų. Būtent todėl spragų skenavimas ir įsilaužimų testavimas – ne tas pats: skeneris parodo, kad komponento versija sena, o testuotojas parodo, kaip toli su ta versija galima nueiti.
2. Saugumas bankų sektoriuje
Bankų sektorius – žaidimų aikštelė abiem pusėms: ir kibernetiniams nusikaltėliams, ir saugumo specialistams. Kalbėjome apie realius bankų saugumo trūkumus, apie tai, kaip apeinamos įprastos apsaugos priemonės ir ką finansų įstaigos turi daryti, kad išliktų bent žingsniu priekyje.
Viena išvada tinka ir už bankų ribų: dviejų veiksnių autentifikavimas savaime dar nereiškia, kad sistema saugi. Reikšmės turi tai, kas vyksta aplink jį – ar vienkartinį kodą galima išvilioti fišingo (angl. phishing) puslapyje ir iškart panaudoti, ar patvirtinimo prašoma tik prisijungiant, bet ne atliekant mokėjimą, ar atsarginis prisijungimo būdas nėra silpnesnis už pagrindinį. Testavimo metu paprastai lūžta ne kriptografija, o šie tarpai tarp priemonių.
3. Etinis hakeris be Holivudo
Pamirškite filmų hakerį, kuris daužo klaviatūrą, o per ekraną bėga žalias tekstas. Iš tikrųjų etinio hakerio darbas – tai kūrybiškumas, kantrybė ir labai daug žvalgybos.
Eiga nuobodesnė, nei atrodo. Pirmiausia nustatomi testavimo tikslai ir apimtis, tada surenkama informacija apie sistemą, po to bandomi realūs atakos keliai, o galiausiai sudaroma ataskaita su įrodymais, rizikos vertinimu ir šalinimo nurodymais. Daugiausia laiko atima skaitymas, stebėjimas ir laukimas; įspūdingoji dalis trunka kelias minutes.
Papasakojau ir apie tai, kas lieka už kadro: apie įsilaužimų testavimą, socialinės inžinerijos testavimą ir netikėtas akimirkas, kurių šiame darbe netrūksta. Riba visur ta pati: dirbama pagal rašytinį užsakovo leidimą ir sutartą apimtį. Be jų tai jau ne etinis įsilaužimas.
Kam pravers šis pokalbis?
Jei domina etiniai hakeriai, jei norisi išgirsti, kur kibernetiniame saugume viskas nueina ne taip, arba tiesiog pasijuokti ir kartu ką nors sužinoti, šis tinklalaidės epizodas tinka. Kai ką jame ras ir srities žmogus, ir technologijų entuziastas.
Jei tą pačią temą labiau norisi skaityti, o ne klausytis, pravers straipsnis apie tai, kam patikėti patikrą ir ko paprašyti prieš pasirašant sutartį. Lietuvos teisės aktai įsilaužimų testavimo atlikti neįpareigoja, o testuotojų licencijų ar registro nėra, todėl kokybės kartelę nustato ne teisės aktas, o pirkimo dokumentas ir sutartis.
Didelis ačiū „Buzzworld“ komandai už kvietimą – buvo smagu. Laukiame kitų pokalbių, kuriuose saugumo žinias galima sumaišyti su humoru. Būkite atsargūs, būkite smalsūs ir neleiskite kibernetiniam saugumui virsti nuobodžia tema.
