|
|
Před pár týdny československý internet poznal hackera, který se nazývá igigi a zaměřuje se především na slovenské weby a jejich databáze, které používají populární MySQL server. Na těchto stránkách se sice neobjeví žádný pirátský text nebo obrázek, který by signalizoval napadení, na blogu hackera se však pokaždé jako důkaz objeví výpis struktury databází a zpravidla také seznam několika desítek uživatelů.
Igigi se zaměřuje pouze na databázový server MySQL, využívá tedy některé ze zdokumentovaných slabin, která se objevila u všech napadených serverů. Než ale začnete před igigim smekat klobouk, je třeba si uvědomit, že tyto „slabiny“ a popisy útoku krok za krokem najde každý z vás na Googlu, obecně pak v chytrých knihách. Za příklad bych uvedl publikace Rootkits, Hack the stack a okrajově také Hacking Linux Exposed.
Na Živě.cz jsme psali o napadení filmové komunity ČSFD, slovenské případy pak podrobně dokumentuje naše sesterské Živě.sk. Od té doby se na jeho seznam obětí dostala také jedna z okrajových databází pojišťovny Union, a podle čerstvých zpráv i slovenský Atlas.sk, který spravuje tuzemský Centrum Holdings.
Igigi na webu rozpoutal docela zajímavou diskuzi. Jedná se o člověka, který pouze upozorňuje na chyby majitelů databázových serverů a měli bychom mu tedy tleskat, nebo se naopak jedná o člověka, který se chce především zviditelnit? Obojí je možné, já však zastávám ten druhý názor. Pakliže by se totiž jednalo o novodobého Robina Hooda, který odhaluje nedokonalosti zabezpečení současného digitálního světa, nebylo by třeba na blogu zveřejňovat důvěrná data uživatelů včetně jejich e-mailových adres a kontrolních součtů jejich hesel. Stačilo by doklady o proniknutí v tichosti poslat autorovi služby s prosbou o nápravu a spokojit se skrytou – vnitřní – slávou.
Igigi je dnes skutečně slavný, mluví se o něm a píše na Slovensku i v Česku. Nemluví se však už o tom, že jediný, kdo na tyto weby útočí, je pouze samotný igigi a svou činností tak spíše navádí druhé k podobným kouskům. Že se přitom jedná o trestnou činnost, asi netřeba dodávat.
Před hackery smekáme klobouk. Jsou to zpravidla jedinci, kteří rozumí systému a kódu mnohem lépe než my a to si zaslouží obdiv. Na druhou stranu to jsou jedinci, kteří útočí na druhé a získaná data bez svolení zveřejňují a přidělávají práci majitelům serverů a webů, kteří nabízí své služby internetovým návštěvníků a zvelebují tak jeho obsah. Útok, ať už je vedený s jakýmkoliv ůmyslem, je stále jen útok a nic na tom nezmění ani skutečnost, že zpravidla vede k nápravě a vyšší bezpečnosti.
Pokud se mnou nesouhlasíte, nabízím jednoduchou analogii. Představte si, že si igigi vyhlédne váš byt a vloupe se do něj, jelikož používáte zcela běžný zámek. Nafotí vaše soukromé a třeba i citlivé dokumenty a vyvěsí je na veřejný web jako svoji kořist. Ano, igigi upozornil na skutečnost, že na dveřích nemáte závoru, pochválíte jej ale za to? Vsadím se že ne.
Nadějí pro weby je fakt, že igigi používá stále stejnou metodu, která jej snad brzy omrzí a svět objeví zase jiná témata. Do té doby ale vyzývám igigiho, aby se mi ozval na redakční e-mail (jakub.cizek@cpress.cz) a rád vydám i jeho vyjádření, případně zorganizujeme zcela anonymní rozhovor. Tak co igigi? To je přeci výzva!
Podle jeho blogu napadl ještě další weby, ale o to nejde. Jelikož je jeho blog v angličtině, je malá šance že je z Česka nebo Slovenska, tudíž by bylo rozumnější ozvat se jemu na blog v komentářích. Pokud máte nějaké informace o jeho národnosti, ze kterých by vyplývalo že je Čech nebo Slovák, tak to je jiná :-)
1) Jelikož je jeho angličtina na dosti chabé úrovni a zaměřuje se na české a slovenské weby, jedná se nejspíš o Čecha nebo o Slováka.
“Stačilo by doklady o proniknutí v tichosti poslat autorovi služby s prosbou o nápravu a spokojit se skrytou – vnitřní – slávou.”
to je predsa hlupost, pri zverejneni sa o bezpecnost svojich webov bude zaujimat podstatne viac firiem, co sa igigimu ako pravdepodobnemu majitelovy auditorskej firmy isto bude velmi pacit :)
“Tak co igigi? To je přeci výzva!” No aby nebyla výzva hacknout zive.cz
Dovolím si napísať svoj názor, ale možno so mnou nebude veľa ľudí súhlasíť. Je síce pravda, že využíva také slabiny databázy, ktoré sú zdokumentované a na webe dostupné, takže z pohľadu priemerného človeka znalého problematiky nie je jeho “práca” žiadna frajerina, na rozdiel od ostatných, ktorí mu tlieskajú a otvárajú oči v úžase, čo dokáže. Ale nemali práve preto tvorcovia webu zabezpečiť svoje stránky dôkladnejšie, keďže slabiny a zraniteľnosti sú dávno známe ? O čom to svedčí ? Keď si ja zle spravím svoju prácu, Vy odfláknete článok, skôr či neskôr na to niekto príde. V mojom prípade klient alebo môj nadriadený, vo Vašom prípade čitatelia. Ale keď nejaká firma, ktorej napr. veľká poisťovňa zadala zákazku na tvorbu webu, odflákne svoju robotu (kto zo zamestancov poisťovne je znalý, aby kód webu preveril, či je bezchybný ?), a dostane za to zaplatené určite slušné peniaze, web ako tak funguje, všetci sú spokojní - aj tí úradníčkovia v poisťovni - však web je pekný, funguje, firma zhrabne peniaze, aj keď je v skutočnosti deravý ako rešeto. Pokiaľ by napr. Uniqa alebo Union sa mali na niekoho hnevať, tak len na tvorcu ich webu, že svoju robotu neodviedol tak ako mal a web nezabezpečil tak, ako sa patrí a ohľadom jeho bezpečnosti si nezohnal všetky informácie - ku ktorým mal rovnaký prístup ako onen hacker.
Slováci majú v pamäti ešte kauzu nbusr123, kde škody ohľadom uniknutých dát mohli byť oveľa väčšie - a ako vidno, správcovia sa opäť nepoučili. Podľa neoficiálnych info bolo opäť použité v prípade poisťovne diletantsky stupidné heslo… A opäť, koho je to chyba ? Admina, ktorý použije heslo union123 alebo hackera ? Vy ste dali príklad s bytom, ktorý igigi vylúpi, ale analogicky s týmto prípadom ste svoj byt nechali odomknutý, ba čo viac, kľúče od neho ste schovali pod rohožku !
A ešte jedna pripomienka - v SR sa stále viac hovorí o elektronických zdravotných kartách, v ktorých by boli údaje o zdravotnom stave, chorobopise a pod. pacientov centrálne uchovávané na serveroch. Pri kvalite zabezpečenia webov a prístupu k ochrane údajov Vám asi nemusím vysvetľovať, čo by sa mohlo stať… v porovnaní s tým sú tieto útoky, resp. ich následky, viac než len smiešne neškodné. Ale k niečomu je to predsa dobré - tieto prípady sa medializujú a ľudia si musia uvedomiť, že ich osobné údaje na webe nie sú v žiadnom prípade nikdy v bezpečí.
I to uz tu pokud se nemylim bylo ;)
a taky napadl dennik.cz.
[4] To by samozřejmě mohl, nějaké MySQL databáze máme, ale tímto činem by pouze dokázal, že píšu naprostou pravdu.
Myslim, ze Igigi ma nejakeho Cizka na…haku…Asi tak. :)
Pokud by každý z nás dokázal pomocí googlu napadnout databázový servr MySQL, byly by weby napadány denně tisíci “hackery” a žádný Kuba Čížek by o ničem takovém nepsal do svého blogu, protože by to prostě bylo na denním pořádku.
Můj názor je, že lepší Igigi, než nějaký opravový hacker, který zneužije tisíce citlivých dat, okrade někoho o úspory…
Netvrdím, že to co Igigi dělá je správné, neobhajuji ho ani mu nefandím, ale co kdybych ho namísto k zloději přirovnal k vakcíně :D. Ta je taky vlastně to “zlo”, které ve výsledku tvoří “dobro”, protože tělo (weby) si díky němu vytvoří obranné látky. Jistě, je i tu možnost vedlejších účinků…
5:
head> velky suhlas.
jakub fail
Tohle imho neni hackerstvi. Clovek co dokaze vyuzit zdokumentovanou chybu nebo postupovat podle vygoogleneho navodu neni hacker. Je to jen schopny uzivatel PC, ktery se nudi a nema co delat.
Kdyby nasel nejakou novou diru, o ktere jeste nikdo nepsal, tak to by bylo hackovani, ale tohle ne.
10)
vakcina je dobre prirovnani !
Takze za to muze Google! :DD
to headshrink 5 - aj keby som mal najhorsi zamok a kluce na rohozke nic ta neopravnuje na to aby si sa mi kutral v byte.
[16] To ho sice neopravňuje, ale zkuste s tím jít na pojišťovnu a žádat náhradu škody.
Myslím, že je takových lidí potřeba, ať už jsou to znudění puberťáci nebo profíci. Přirovnání k vakcíně je stoprocentně přesné.
> jojo > máš pravdu, ale za to ho neobhajujem. Snažím sa vysvetliť len to, že v prvom rade pochybili tvorcovia webu, ktorí ho dostatočne nezabezpečili aj napriek tomu, že informácie o zraniteľnostiach boli dávno známe a mali k nim rovnaký prístup ako igigi. Keď vám vykradnú byt, lebo ste ho nechali odomknutý a kľúče mali pod rohožkou, alebo vykradnú nezamknuté auto, tiež vás nebude polícia ani poisťovňa ľutovať “Bože Vy ste chudáčik, samozrejme, škodu Vám uhradíme. Ako Vám to len mohli urobiť…” Každý sa na Vás s prepáčením vykašle a vysmejú Vás, že ste si svoj majetok mali lepšie chrániť (a informácie o tom, že si máte byt aj auto zamykať, používať bezpečnostné dvere a zámky, v prípade auta alarm a pod. sú ľahko dostupné - rovnako ako tie, ako chrániť web pred útokmi hackerov). Skôr či neskôr sa totiž vždy niekto nájde, a je jedno, či bude mať prezývku igigi, Mitnick alebo turecký hacker.
A ako som už napísal vyššie - teraz sú výsledky resp. škody z jeho útokov malé, horšie by to bolo, keby unikli oveľa citlivejšie dáta, ako už spomínaná zdravotná dokumentácia ľudí, a ver tomu, že skôr či neskôr by sa o to niekto postaral, pretože pokiaľ dôjde k tomu, že sa elektronická zdravotná karta zriadi, tak mediálna masáž o tom, aký je ten systém bezpečný a pod bude výzvou pre tých ako igigi, aby sa do databázy nabúrali.
Len jednu poznamku k tej analogii s vlamanim sa do bytu. On sa nevlamal do sukromneho bytu. Ale do databaz firiem ktore spravuju nase udaje a casto si za to nechaju platit. Bez toho aby to zverejnil by asi velka vacsina firiem pripady ututlala a maximalne tak podala trestne oznamenie na neznameho pachatela…. A my by sme nadalej spokojne verili ze firma robi vsetko preto aby ochranila nase udaje.
“Před pár týdny československý internet poznal hackera”
Mám dojem, že před týdnem jsem o něm našel zmínku i na Wired.com nebo podobném zahraničním médiu
[9][10] Koukam ze i sebehloupejsi hacker je vniman jako borec s nadlidskymi schopnostmi :) Umeni igigiho je upozornovat na sebe, ne hackovat.
Hacker vs cracker
Kdyz uz tu pan Cizek vyzyva, tak se pridam a vyzvu naopak jeho, aby si nastudoval dva vyse uvedene pojmy. Zacit lze treba zde http://www.linuxexpres.cz/blog/hacker-vs-cracker
Neznalost vyznamu techto pojmu je zoufalym nedostatkem napric novinarskym spektrem, na oborovem webu je to ovsem na povazenou.
@headshrinker.. vyborný koment..presne toto som chcel napísať..
Jen at pokracuje.. zverejneni nekolik desitek uctu v porovnani s temi tisici, ke kterym mel urcite pristup, je prd.. Pokud by to nedelal, vsichni by na to kaslali a admini by nadale prasili co se da.. Admin (nebo webmaster) proste nedelal svoji praci..
A dost pochybuji, ze nekdo se znalosti IT a s Googlem by neco podobneho dokazal..
[22] Cracker - to je Telka, ne? ;)
ta prva moznost, ze by v tichosti upozornil prevadzkovatelov webu je blbost, v nasich koncinach by ho vysmiali a ziadne lepsie zabezpecenie by sa nekonalo. A v tichosti by ho nabonzovali na policiu…
Zareaguji na několik komentářů naraz.
Metod napadnutí databází je spousta od obecného a povrchního sql junctionu až po specifičtější techniky a všechny se dají vygooglit. Netvrdím to proto, že si to myslím, tvrdím to proto, že jsem to již před lety úspěšně vyzkoušel. Proč to u nás lidé nezkouší po tisících? Protože nestačí jen něco vygooglit, ale i tomu rozumět a igigi všem těmto zvědavcům nyní dává krásný příklad k následování.
Věřte tomu, že když igigi majitelům služby zašle doklady o proniknutí, ti zajistí nápravu. Oni tu nápravu nezajišťují proto, že to bylo zveřejněno, ale proto, že byli napadeni - JE TO JEJICH ZÁJEM.
Igigi není vakcína, vakcína totiž neškodí. Igigi nejdříve škodí a teprve potom nepřímo léčí. Není nic obdivuhodné na tom, když někdo zveřejní osobní data uživatelů na webu. Dnes to jsou “jen” e-maily, zítra to může být něco důvěrnějšího.
Igigi se vloupal do soukromého bytu, jelikož se vloupal do databází soukromých firem. Nebyl to sice váš byt, byl to byt někoho jiného, ale v tom bytě byly třeba i vaše dokumenty.
Igigi není Robin Hood. Před čím ty weby svým napadnutím chrání, když jediný, kdo je napadá, je on sám? Toto je prostě jánošíkismus naruby. Už jsem to psal na Twitteru.
Vypatrat, vysetrit, zazalovat, odsoudit - at si to zapamatuje…
27.
Vakcína vpravuje slabší dávku viru, proti kterému má být tělo cháněno, do lidského organismu. Jsou tisíce případu, především vlivem špatné imunity, alergie nebo nekvalitní očkovací látky, kdy člověk po aplikování zemřel nebo měl vážné zdravotní problémy. A o nejen v začátcích očkování, ale i v dnešní době (vakcína proti H1N1).
At uz nazory jakykoliv.. jedno se zaprit neda. Ten kluk ma velkou budoucnost a verim, ze o nej bude mezi spolecnostma ktery se zabyvaji internetou bezpecnosti velkej zajem. Pred par lety jsem jednoho takovyho igigiho poznal, a dneska, uz po par letech dela pro spolecnost secunia.com (advisory webu) a eset (analyzy viru pro NOD32) a tim vlastne pomaha chranit vas vsechny.
A pane Cizku, nemyslim si ze by igigi nejak skodil, to ze publikuje nazvy tabulek a pouze nepatrnou cast databaze kde jsou ty nejdulezitejsi udaje zcenzurovany jen dokazuje, ze se mu utok opravdu povedl.. Vite jak funguji velke firmy.. dokud z toho neni poradnej pruser a nemluvi se o tom, bude se to resit hodne vlazne zda-li vubec. A nikdo z toho pruser mit nebude. At jsou ty firmy radi, ze je napadl igigi a nejakej ruskej/islamskej hacker kterej by ty data okamzite zneuzil.
Muj respekt teda igigi ma.
Prirovnanie k vakcine je fajn, ale ma jednu ZASADNU chybu. Vakcinu si totiz necham pichnut dobrovolne…
Takze ak si nejaka firma objedna sluzby niekoho aby im prekutral web a nasiel na nom chyby tak potom to moze byt vakcina… Akekolvek svojvolne naburanie sa niekomu do databazy s akymkolvek umyslom je protizakonne.
kypo: to je sice pravda… ale nejakymu rusakovi nebo irancovi to bude uplne u pr…
headshrinker: Plně s tebou souhlasím. Myslím, že jsi to vystihl opravdu pěkně :)
Na margo zabezpečenia webu a serveru všeobecne. Takmer dokonalé zabezpečenie existuje. Stačí server odpojiť od energie, internetu a zakopať ho minimálne 25 metrov pod zem. Vtedy sa dá prehlásiť, že je takmer nenapadnuteľný. (no povedzme si otvorene, asi ťažko by sa využívala služba na ňom ne-bežiaca)
Faktom je, že nedokonalé zabezpečenie dát je chybou, no zverejnenie osobných údajov získaných “hackingom” už sa dá klasifikovať ako trestný čin.
Podľa mňa tu ide o človeka, ktorý našiel automatický nástroj na jeden typ útoku na databázu a skúša na ktorých všetkych weboch zaberie.
Teda u mňa igigi - palec dole
protizákonné to asi je, když to píšete, ale můj pohled je takový, že přirovnání k vloupání do bytu je mimo.. tohle je jen něco přes internet a on fyzicky nikam nepronikl, nic nepoškodil.. kdyby sedl k nějakému z jejich počítačů a ukradl data (už to slovo “ukradl” se mi příčí, pokud jejich soubory ponechal) odtamtud, bylo by to jiné.
@Clarkie - teda podla Teba pouzitie softwaru, ktory je plateny bez licencie tiez nie je kradezou? V podstate tiez nikomu nic nezoberiem, aj povodnemu majitelovi soft zostane.
(27)
Věřte tomu, že když igigi majitelům služby zašle doklady o proniknutí, ti zajistí nápravu. Oni tu nápravu nezajišťují proto, že to bylo zveřejněno, ale proto, že byli napadeni - JE TO JEJICH ZÁJEM.
Verte tomu, že nie vždy je to tak. Dalo by sa nájsť dosť prípadov, keď boli majitelia stránok na chyby upozornení a napriek tomu ich neodstránili.
Igigi není vakcína, vakcína totiž neškodí. Igigi nejdříve škodí a teprve potom nepřímo léčí. Není nic obdivuhodné na tom, když někdo zveřejní osobní data uživatelů na webu. Dnes to jsou “jen” e-maily, zítra to může být něco důvěrnějšího.
Igigi zatiaľ neškodil - weby nijako nezhodil a nevyradil z funkčnosti, nezneužil získané osobné dáta, nezverejnil osobné údaje (až na pár mien a rodných čísel v prípade útoku na Union). Viac škodia admini, ktorý si web nezabezpečili a do nebezpečenstva úniku súkromných informácií priviedli tisíce klientov. Igigi nepriamo lieči - jeho vyčínanie sa medializuje a verejnosť si možno uvedomí, komu poskytne svoje osobné údaje a bude sa pýtať, či tejto alebo tejto inštitúcii môže dôverovať. Pre ostatné nenapadnuté subjekty je to výzva, aby si svoje weby zabezpečili dôkladnejšie.
Igigi se vloupal do soukromého bytu, jelikož se vloupal do databází soukromých firem. Nebyl to sice váš byt, byl to byt někoho jiného, ale v tom bytě byly třeba i vaše dokumenty.
Igigi není Robin Hood. Před čím ty weby svým napadnutím chrání, když jediný, kdo je napadá, je on sám? Toto je prostě jánošíkismus naruby. Už jsem to psal na Twitteru.
Igigi sa vlúpal do súkromného bytu, kde boli zhromaždené vaše dokumenty a dokumenty ďalších tisícok ľudí. Komu to budete vyčítať, u koho si budete nárokovať o odškodnenie ? U zlodeja (keby to nebol igigi, tak by to mohol byť zajtra niekto iný, pozajtra alebo o rok zas niekto ďalší), alebo u majiteľa bytu, ktorý ho nechal nezamknutý a dokumenty neschoval v trezore ale nechal ich voľne položené na stole ?
[27] Absolutny suhlas. Ten clovek by mal spievat Tichu Noc v Leopoldove.
Takovéto hackování/crackování mají za sebou snad všichni starší více-uživatelé PC. Je to spíše výsadou puberťáků kteří to považují za stejnou frajeřinu jako např. nachcat do kašny. Pak ale z toho vyrostou a začnou se chovat rozumně. Igigi je jistě jedním z nich. Kompletní data vytažená z DB jistě neviděl JEN on, ale pochlubil se bandě kamarádů a nebo jim to i poslal. Jestli si někdo myslí že svět by v ideálním případě měl fungovat tak, že každé dveře budou pojištěny závorou (když použiji přirovnání Kuby Čížka) místo toho, aby je mohl nechat přes noc klidně odemčené (jako to v jiných zemích stále funguje), protože lidé budou solidní, slušní a poctiví tak je buď pesimista, nebo český realista :/ Doporučuji některé z napadených společností vypsat odměnu tak, aby některý z kamarádů pubertálního igigiho neodolal anonymnímu udání a šel ho udat. Trošku “soudruhovský” přístup, ale igigi by se naučil, že i on musí dávat závoru na dveře ;)
[27] Plne s vami suhlasim ale, ked som v skole odovzdaval web s takouto chybou cviciaci ma pomaly vyhodil cez zatvorene dvere. Trvalo mi cca @hod kym som to opravil a nieje to az take naarocne.
Ale skutocne jadro chyby bude asi niekde medzi tvorcami webu a zadavatelmi objednavky. Lebo ked, klientovi poviete ,ze za zvysenie bezpecnosti zaplati X korun. Povie vam ze to netreba (cest vinimkam) a preto sa necudujem ze vacsina webov ma taketo primitivne chyby. A to nieje len chyba programatorov.
V prípade Unionu Igigi nevedomky upozornil na jednu pomerne závažnú vec.
V komentároch na sme.sk je skopírovaný príspevok, podľa ktorého, a to si môžte sami overiť, jeden z tých hashov a k nemu prislúchajúce cracknuté heslo (nie je to presne union123, admin zvolil zložitejšiu formu skrátenú o pár posledných znakov názvu firmy) sa na internete váľa už od októbra.
Niekto sa v databázach Unionu hrabal už v októbri. V princípe sú dve možnosti a obe sú pre klienta Unionu nepríjemné.
1.) Igigi je lamer a na lámanie potrebuje skutočného hackera, bohužiaľ admin si to za celé dva mesiace zrejme nevšimol, či nebodaj to odignoroval.
2.) Nebol to Igigi, bol to niekto iný a už pred dvoma mesiacmi výhodne predal dáta o výške poistného, kontakty, mail, krajiny pobytu, výšky prípadného poistného plnenia…
Počítačová bezpečnost je velké téma,ale největším průserem je, že si dnes spousta lidí hraje na odborníky, aniž by k tomu měli byť minimální nezbytný teoretický a praktický základ. Když vidím, kdo všechno dnes pracuje na postech “adminů”, tak se nedivím, že dochází k takovýmto excesům. Nemusí jít vždycky o nedouky, ale třeba jen o shniloně. A ty je třeba kopat do pozadí jak jen to jde. Dobrovolně totiž žádnou práci neudělají a proto takovýmto útokům, které problémy primárně zviditelňují (a ne skrytě zneužívají, jako drtivá většina) fandím.
Igigi pronikl do banky, která nechává klíče od sejfu pod rohožkou.
Teď je otázkou, co je pro vás větší hrozbou. Jestli “lupič”, který pod tu rohožku nakoukne, nebo ukládat si do takové banky svoje hodnoty.
Ono nepokradeš! je sice krásná představa, ale spoléhat na to, zvláště, jestliže mám zákonem nařízeno strážit něčí věci je krajní nezodpovědnost.
[37]Před čím ty weby svým napadnutím chrání, když jediný, kdo je napadá, je on sám?
Z čeho tak vzvozujete? Že se nikdo jiný nepochlubil a třeba rovnou jednal?
Igigi by se teď měl modlit, aby opravdu byl jediný. Aby mu nepřišili i nějaké další zneužití, o které se už dávno mohli posatrat jiní guru z .ua, .ro. ru ….
Stejne snadno jako pan Čížek došel k vlastní jednoduchou dedukcí k závěru,ze jde o prostou snahu se zviditelnit, mohu i já stejně jednoduše tvrdit, ze ne tento clanek , ale predevsim výzva ke kontaktovaní pres email s slabou zaminkou ” preci mu chci dat prostor k vyjádření ” jen jen pokus pana Čížka se ještě více zviditelnit a ukojit jeho ego. Je to tak snadne, par pismenek a z novinaře je egoista a prospechar a ( jak se jmenuje nekdo, kdo se chce prizivit na cizi slave ? ) Jsem dalek hledani duvodu skutku, jen na zaklade nekolika povrchnich informaci a i seriozní novinář by dle mého měl být opatrnější a peclivejsi.Preci jen, je to jeho profese.
A jestě argument: “Věřte tomu, že když igigi majitelům služby zašle doklady o proniknutí, ti zajistí nápravu. Oni tu nápravu nezajišťují proto, že to bylo zveřejněno, ale proto, že byli napadeni - JE TO JEJICH ZÁJEM” - to by si opravdu zaslouzilo titul Perla mesice:) Pokud dle vaseho tvrzeni mam zajem na bezpecnost serveru tak predevsim hledam bezpecnostni diry. A pokud jsou snadno vyhledatelne a vseobecne zname - opet dle vaseho tvrzeni - tak je jiste neni problem najit, zjistit, opravit. Pokud ma muj server dlouhodobe snadno zjistitelnou chybu a nekdo ji zneuzije, tak je to predevsim šlendrian me, jako spravce a mel bych chodit kanalama.
pokial ktokolvek vojde do tvojho domu a nieco odtial odnesie, vzdy je to kradez bez ohladu na to kolko a ake velke zamky boli na dverach !!!!!!
chcem vidiet vsetkych ktori sa zastavaju iqiqi-ho, ako by sa tvarili, keby ich vybral skutocny zlodej s argumentom, ze maju slabo zabezpecene vchodove dvere a ze on im vlastne robi sluzbu…….
dufam ze takto budu rozmyslat aj ludia, ktori budu rozhodovat o treste az tohto zlodeja chytia.
44. Kde berete jistotu, že to jsou díry snadno vyhledatelné, dlouhodobě snadno zjistitelné a všeobecně známé?
K tématu. Souhlasím s Kubou Čížkem. Co brání igigimu, aby napřed kontaktoval správce serverů, dal jim pár dnů na opravu, a teprve potom věc zveřejnil? Ať už zpětně, že se mu to povedlo (aby měl slávu), nebo s ještě větší razancí, že správce varoval a ti se na to vykašlali (aby k tomu měli ještě ostudu).
Takhle by se choval člověk, jehož úmysly jsou čisté a má zájem o zvyšování bezpečnosti. Nikdo by proti tomu asi neřekl ani slovo. Igigi to zjevně nedělá.
Myslím si také, že prolomení systémů není zase tak velká ostuda pro správce. Neustále se objevují nové díry, nové možnosti, ať už dokumentované nebo takové, co hacker zjistí sám. Nic, co je připojené k internetu, nikdy nebude stoprocentně bezpečné. Ostuda by byla až to, kdyby byli upozornění na problém a nedokázali nebo nechtěli ho opravit.
(Ještě si troufám tvrdit, že se slávou redaktora Jakuba Čížka na internetu to není o moc horší než v případě Igigiho. Spíš naopak - nezapomeňte, že jste na největším česko-slovenském webu věnovaném IT, a co Živě publikuje, to je vážně dobře vidět.)
[45] Konečne niekto, kto si to aj všimol.
45, 48:
Už si toho všiml někdo předtím.
46..ked mi ukradne nieco budem nadavat ale aj na svoju sprostost..ked mi posle e-mail ze bol umna a nic neukradol tak mu este zaplatim aj obed..pretoze hra ferovo..je smutne ze iba takto sa da poukazat na taketo zavazne bezpc. problemy..lebo sorry…50percent adminom je jedno ci to niekto ukradne pokial niesu sami zainteresovani resp im z toho nejde ziaden postih..
47 an Lutonsky suhlasim ..ako zas viete vy ze tak neurobil?..admin by to vzivite nepriznal..aj vy rovnako dedukujete lebo to ze to nenapisal na blog neznamena ze tak neurobil
[50] zlodej ostane zlodejom, nech to obhajuje akymkolvek vznesenym cielom
a ako so zlodejom by sa s nim malo jednat.
mimochodom nesuhlasim s tym, ze nic neukradol - ukradol a zverejnil udaje, ktore mozu mat pre kazdeho roznu hodnotu.
(ako by si jednal so zlodejom, ktory ti ukradol inak bezcennu vec, ktora ma konkretne pre teba velku hodnotu?)
skus kontaktovat niekoho z tich, ktorich udaje iqiqi zverejnil - nech ti povedia svoj nazor na vec
No, když už jsme u té bezpečnosti. Když tu spíláte adminům, kteří se nestarají… Schválně kolik z vás má plně aktualizovaný systém, nejnovější verze všech aplikací opravující bezpečnostní chyby předchozích verzí atd. Moc nás zřejmě nebude, takže asi takhle…
50..po prve svet nebol nieje a nikdy nebude cierno-biely a ked ryba smrdi od hlavy treba ju odseknut..on to bral ako vyzvu a so vsetkymi rizikami..po druhe ziadnu skodu nesposobil..zase budme realisti..nejaky e-mail alebo meno nikomu nic neposkodzuje iked tie rodne cilsla su delikatnejsie..prirovnanie k citovej vazbe fyzickeho predmetu je nezmysel lebo so o nic neprisiel..ale berem ze keby tam vystavil trebars foto priatelky tak by som bol asi pissed off..pokial jeho spravanie ostabe cisto white respp grey hat (pokial som to dobre napisal) tak mu to kvitujem..raz zacas sa musi objavit nejaky “DARK KNIGHT” ked je nieco zhnile s state danskom
53 Ano ale som si vedomi rizika a hlavne to nieje moja praca ale cisto sukromna vec..vystavuje problemom iba seba
27: SQL junction nebo SQL injection?
Souhlasím s tím, že iggigi je spíše “mediální hacker” než “hacker”.
44: Pane Lutonský, zdroj: článek pana Čížka, druhý odstavec - “Než ale začnete před igigim smekat klobouk, je třeba si uvědomit, že tyto „slabiny“ a popisy útoku krok za krokem najde každý z vás na Googlu, obecně pak v chytrých knihách. Za příklad bych uvedl publikace Rootkits, Hack the stack a okrajově také Hacking Linux Exposed.” Opakuji ” tyto slabiny najde kažný z nás ” to je pro mě synonymum ” pro díry snadno vyhledatelné, dlouhodobě snadno zjistitelné a všeobecně známé “.
Nezastavám se zde krádeží a nabourávání systému či databází, jen spochybnuji dedukci autora článku o postupu igigiho a jeho motivaci. Proste pokud uvede argument “dostupnosti chyb” a zaroven dáva návrh “tiché upozornění sys.správců”, ponekud to dle meho odporuje logice, protože vlastně doporučuje oznámit obecně známou skutečnost někomu, kdo o ní ví a nic s ní nedělá.
Když tento “slavný” hacker najde slabinu měl by na ní upozornit provozovatele a až když tento nesjedná nápravu tak upozornit ostatní aby věděli jak jsou jejich data v “bezpečí”. Samozřejmě pokud by uveřejňoval tak bez osobních dat
Vazeni,nekdy je zvlastni jak my lide zachazime s internetem a jak na tyto veci reagujeme. Ale vetsinou me to nevyvadi z miry.
(ps: omluvte prosim moji cestinu,nejsem rodily cech.
36 PMacko: ano, ani to podle mě není krádež
Igigi je OBYČEJNÝ kriminálník. Jiný kriminálník, třeba Tauchen, uměl otevírat trezory výbušninou. Další zloděj umí otevírat bezpečnostní zámky.
Jsou proto zloději hodni obdivu? Kdepak, leda tak mezi zloději.
61 platič:
oblast IT (a dát vseobecne) ma oproti materialnemu svetu jeden zasadny rozdiel, ktorym je nematerialna povaha informacie a moznost ju neobmedzene kopirovat. Ak vam ukradnem auto, mam ho ja a vy ho nemate. Ak mi poviete informaciu, mame ju obaja. Hodnotit IT kriminalitu na zaklade paralel s “materialnymi” statkami je podla mna nespravne (tymto teraz nehajim igigi-ho, iba poukazujem na tuto skutocnost).
oki, tak zive.cz si podam este do konca roku :)
Nekradni nick kamarat… Nezabudaj mysql_query();
62 Angie
Já vůbec nehodnotím, jestli je igigi větší nebo menší zmrd než zmrd z jiného oboru (vrah, zloděj, defraudant, …).
Konstatuji však, že se zařadil do kategorie zmrdů a obdivovat jej může leda tak jiný zmrd. To je pointa mého příspěvku.
to 5.headshrinker, to 10.deepthr04t a podobne:
plus minus s temito (a podobnymi nazory) souhlasim.
to Jakub Čížek: Ale nasouhlasim s prirovnanim o zabezpeceni meho bytu. To je prece uplne jinak. Za obsah meho bytu jsem zodpovedny jen a jen ja sam, a pokud necham dvere otevrene, tak mohu nadavat zase jen sam sobe! Ale pokud sveruji svoje soukrome a casto citlive veci nekomu jinemu (a velmi casto za to jeste zaplatim) a verim, jak je mi i slibeno, ze jsou v naprostem bezpeci, pak je to na povazenou. Protoze, jak uz nekdo napsal, urcite neni Igigi jediny na svete, kdo se k nim dostane. Pri pohledu z tohoto uhlu dela Igigi moc dobrou sluzbu nam vsem, i Jakubu Cizkovi :o).
to 65. Platic: jdete zvracet jinam!!!
56: taky bych si tipl, že to mělo být SQL injection
Pane Čížek, většinou nemám potřebu reagovat v diskuzi. Nyní udělám vyjímku.
O Igigi jste napsal, že : “Jedná se o člověka, který pouze upozorňuje na chyby majitelů databázových serverů a měli bychom mu tedy tleskat, nebo se naopak jedná o člověka, který se chce především zviditelnit? Obojí je možné, já však zastávám ten druhý názor”.
Ano obojí je možné a já zastávám oba názory, které se vzájemně nevylučují, ale naopak vzájemně se podporují. Je to člověk který upozorní na chyby majitelů webů a ZA TO se chce zviditelnit. Je to zcela přirozená vlastnost, které mají dostatek (v mnoha případech přebytek) hlavně reportéři či pisatelé blogů, Vás nevyjímaje. (Pročpak se reportér snaží být u tragédie jako první? Pročpak se autor příspěvku na blogu snaží okomentavat nějakou událost, pokud možno co nejsenzačněji, jako první?)
Bohužel celý článek, a hlavně výzva na konci, na mne působí pouze tak, že jste se p. Čížek chtěl pouze zviditelnit na úkor “slavné” kauzy, která jde do popředí.
Ovšem že jde o normální e-penis enlargment. Nad logikou mnohých se tu dá jen pozastavit.
Nezlobte se na mě autore ale opravdu to trochu zkreslujete. Jak tu bylo napsáno….
1. igigi jen oznámil lidem co jsou zákazníci daných subjektů, že jejich data společnost nezabezpečuje jak má. Za což mu děkuji, protože já nemám nejmenší šanci zjistit zda se o moje soukromé data společnosti starají jak mají a nebo jim jsou ukradený a pak někým ukradeny a zneužity.
2. váš názor že by měl poslat data dané společnosti aby zajistili nápravdu a ty by to velice rádi udělali - je to v jejich zájmu….
Asi žiju jinde :) často čtu na forech jak popisují uživatelé chyby zabezpečení a nikdo s tím nic nedělá… Vrcholem všeho bylo obcházení a okrádání bankomatu tím že vytáhnete prostřední bankovku a necháte zase zajet zpět do bankomatu a tak vám nic neztrhnou z účtu. Když to frajeři co na to přišli nahlásili bance bez televize, dostali odpověd že to není možné. Až s televizí dosáhli nápravy.
3. Pokud by ukradl data který nejsou informace a nebo osobní data třetích lidí (zákazníků) a byli to opravdu informace jen o firmě okradl by firmu. Takhle mi jen jako zákazníkovy nějaký společnosti ukázal něco co nikde nikdy nemůžu zjistit a to že jsem si vybral špatně zabezpečenou firmu a tedy nedůvěryhodnou.
Nepsal na svem blogu, ze CSFD nepouziva MySQL ale PostgreSQL?
dnes na seznam napadených webu přibilo aaauto.cz
[66]
“e nasouhlasim s prirovnanim o zabezpeceni meho bytu. To je prece uplne jinak. Za obsah meho bytu jsem zodpovedny jen a jen ja sam, a pokud necham dvere otevrene, tak mohu nadavat zase jen sam sobe!”
nad logikou niektorich ludi zostava rozum stat!!!!!
prave koli zmrdom ako iqiqi musime na zabezpecenie vynakladat viac a viac!!
je podla teba spravne neustale zvysovat zabezpecenie bytu, pretoze zlodeji su stale lepsi a lepsi? nebolo by jednoduchsie a spravne stinat za kradeze ruky?
to 70. Idaho: Jj, vypada to presne tak, z clanku p. Cizka to primo couha. Tak trochu tajemny “hacker”, proto zkusime malinko poskadlit jeho ego, a kdyz to vyjde, budu mit exklusivni material pro svuj “e-penis enlargement”
Ma to logiku? Ja myslim, ze jo!
O Igigim bych to zatim netvrdil, jeste je schovany. Zatim! Cas ukaze.
to 74. wica: Asi trosku nepochopeni, toho co jsem napsal. Nehajim jakehokoliv zlodeje, jen jsem poukazoval na ROZDILY v tom, co si muzu ohlidat sam, a co sveruji do opatrovani ( a OHLIDANI) nekomu jinemu. Mezi nami, ti opravdovi zlodeji pracuji potichu, a dost mozna, ze jim nase soukrome veci vykecavame uplne dobrovolne. Bohuzel. No a jeste mala reminiscence do historie - ano, drive sekali za kradez ruku, ale kradli i jednoruci :o)
[76]
” No a jeste mala reminiscence do historie - ano, drive sekali za kradez ruku, ale kradli i jednoruci :o)”
ano ale maximalne este raz. potom uz nemali cim :)
“Asi trosku nepochopeni, toho co jsem napsal. Nehajim jakehokoliv zlodeje, jen jsem poukazoval na ROZDILY v tom, co si muzu ohlidat sam, a co sveruji do opatrovani ( a OHLIDANI) nekomu jinemu”
Asi si nepochopil ani ty mna - ja povazujem iqiqi-ho za zlodeja. On nekradie len to, co zakaznik (uzivatel portalu) zveruje niekomu do opatrovania. On kradie aj udaje samotneho prevadzkovatela portalu, ktore boli viac alebo menej chranene. Nemozes povedat ze to nie je kradez, lebo bol na dverach maly zamok!!!!!
to 77. wica: O tom neni sporu, bez ohledu na velikost a kvalitu “zamku” je to kradez a kdo krade je zlodej.
uz si rozumieme :)
Jestli autor webu jej nezabezpečí proti základním typům útoků, tak je dobytek a nezaslouží slitování. Bezpečnost nemůže být postavena na tom, že lidi jsou slušní a nebudou se mi snažit na web nabourat.
hmm tha ze majster sveta igigi co keby preto ze ja robim jujitsu som ti zlomil vazy len preto ze som lepsi v tom ako ty ? or alebo prsty aby aj ty si sa z toho dostal co ja viem len tak lebo sa nudim or IDK proste bude to tiez zabava ? myslis ze je v tom nejaky rozdiel ved mozes tiez zacat nieco robit ako ze sa zabezpecit ja neviem ozbrojit hmmm to su vazne veci a raz budes hackovat dierky v base tomu ver teda ak ti niekto predtym neolame konariky ty databazovy majster sveta takych tu uz bolo
75) Já ale myslel e-penis enlargment Igigiho ;)
Jinak to, co se tu ve velkém předvádí, Igigiho obránci, se nazývá morální relativismus. Předvádíte naprosto neuvěřitelné myšlenkové přemety, abyste ho obhájili. Byl jsem přesvědčen, že autor blogu má pravdu, ještě předtím než jsem tento jeho článek četl.
Uz to tu padlo, vidite to pres ruzove brylky, zkuste si najit nejakou chybu, treba v db webu a dejte vedet spravci - at uz cz/sk/svet. Je vyjimkou, kdy aspon podekujou, pokud to vubec fixnou, cili to ve valne vetsine zustava derave klidne dva tydny po ohlaseni (po delsi dobe na to kaslu a zpetne to nekontroluju)
Ted si predstavte, ze takhle derave budou napr. nejake kritictejsi weby, at uz datove schranky, czech point, ci cokoliv jineho. Kdyz ty diry (treba diky igigi-mu) prosaknou, tak lidi uvidi, ze to asi tak bezpecne nebude a bude kladen vetsi duraz na bezpecnost. Pokud neprosaknou, tak se to jen (ne)fixne a do budoucna se na to dlabe…
Nevim, z jakych duvodu to igigi dela a je mne to vcelku jedno, ale z meho pohledu to bezpecnosti do budoucna jen prospeje.
A prirovnavat to k “bytu” ci “vakcine” je uplne mimo tema, pardon.
…vseobecne lze rict, ze pouziti analogie jako argumentu jen komplikuje diskusi, protoze clovek pak misto nad problemem zacne premejslet nad tim, zda ta analogie je skutecne pouzitelna pro ten danej pripad a pravdepodobne se vzdycky najde nejakej prvek, kterej je odlisnej od skutecnyho pripadu… tzn. souhlas s (83. ideolog) …
[83]
“Nevim, z jakych duvodu to igigi dela a je mne to vcelku jedno, ale z meho pohledu to bezpecnosti do budoucna jen prospeje.”
aj ten pan, co pred par dnami zobral rukojemnikov v komercke chcel vlastne len upozornit zakaznikov na slabe zabezpecenie :) policia by ho mala pustit a komercka zamestnat !!!
takto ste to mysleli?
[85] A v podstate aj prepadnutie na ulici je hodne oslavy utocnika. Ved iba poukazal na nedostatocne strazenie ulic :-D
( to je len taky vianocny ulet )
to přirovnání k vykradení bytu se mi nezdá moc správné, při každé registraci uživatel souhlasí s určitými podmínkami v nichž je i ochrana osobních údajů. A pokud je provozovatel nedokaze dodržet, nemá smysl sluzbu vyuzivat. Spíš bych opravil to přirovnání k tomu, že si pronajmete byt, nastehujete si tam veci, ale majitel je lajdak, a nechá vám tam skoro rozpadly dvere, který nejdou porádne zamknout. A ten hacker chodí jenom po chodbe a kope do nich. Tím se ho nechci samozrejme zastavat.
Myslím, že výraz cracker není přesný, ale jiný, přesnější se neuchytil. Vakcína. No, vakcínou by se, dle mého, stal kdyby se, byť bez svolení majitele, naboural do systému přes danou chybu, chybu opravil a adminovi by dal pouze vědět o provedené změně s radou pro příště.
Tohle by podle mne bylo důstojné chování. A zveřejnit daný únik na svém blogu? Jako upozornění pro další “strážce” našich soukromých dat? Proč ne, avšak bez uvedení citlivých údajů uživatelů.
Být Igigim, napsal bych něco ve smyslu, že daný server měl bezpečnostní chybu, která byla zjištěna při mém neoprávněném útoku - admin byl upozorněn. Sebe tím zviditelní a firmě tím dá vědět, že její správci shnile sedí u facebook nebo jiné pofiderní net-aplikace.
Pokud vím tak zatím dělá “jenom” SELECTy. Takže lepší SELECT a když se to správce webu dozví dřív než někdo další s horšími úmysly příjde a udělá UPDATE nebo DELETE ne?
Nuz, padlo aj aaaauto.cz - http://igigi.baywords.com/aaaauto-cz-hacked/
Článek odnikud nikam o někom, kdo si tuto publicitu vlastne ani nezaslouzi. Cele to na me pusobi dojmem, ze autorovi tento hacker-nehacker (ve finale je mi putna, jak si ho kdo zaradi) slapnul autorovi na neco citliveho - omlouvam se, ale proste to tak pusobi a hecovacka na konci :) … skoda slov
Armádu máme. Policii máme. Proč? Protože lidi kradou, zabíjejí a lžou.
Igigi je zloděj, protože nakládá s věcmi, které mu nepatří. O tom není pochyb. De-iure možná není vinný zrovna krádeží, ale to je jedno.
Analogie podle mne je např.: Nekvalitní materiál přední nápravy autobusu a špatné sváry. To, že materiál je nekvalitní všichni v podniku vědí, ale nevyplatí se jim to nijak řešit, protože by to podražilo výrobu a tím autobusy a klesl by odbyt. Navíc je šance, že na to nikdo nepřijde, protože moc lidí nápravy autobusů nezkoumá. A nikdo to řešit nebude dokud se tomu autobusu ta náprava jednou nezlomí na dálnici. A igigi se nudí po nocích a tak nakukuje pod autobusy a když najde špatnou nápravu, tak autobus ukradne a najede s nim na hrbol, aby se náprava zlomila - tak aby se to muselo vyšetřit, proč se zlomila. To, že zvolili špatný materiál a špatné pracovníky je chyba výrobce.
Stejně tak amatérští tvůrci a jejich amatérský web je chybou zadavatele, který si to měl pohlídat - ať vlastními silami, nebo auditem.
Nezpochybnitelně to dělá kvůli vlastnímu prospěchu, aby byl známý. ZA mě má však palec nahoru, že (alespoň to tak vypadá) raději zveřejnil část údajů pro vlastní slávum, než aby prodal v tichosti celou databázi pro vlastní obohacení.
92 Fejfar
První dva odstavce jsi začal dobře ale potom se ti to zvrtlo.
Každá analogie se liší od popisovaného jevu ale mně se různé analogie líbí. V tom tvém autobusu chybí cestující, které igig zavléká proti jejich vůli mimo trasu linky, někteří se pozabíjí nebo pořádně potlučou při lámání náprav.
A tomu dávám JASNÝ PALEC DOLŮ.
Přirovnáním bych se vyhnul. Otázka zní: udělal nějakou škodu? Obohatil se tím nějak? Vypadá to že ne. Takže (kdybysme se pouštěli do vod příměrů) je to zloděj, který se vloupal do bytu, ale odnesl si jenom trofejní fotky. Podle mě to nedělá pro slávu, ale jenom proto že může, protože jde o výzvu. Ale hlavně proto, že může. To je moje teorie.
Já se k jeho činům stavím ambivalentně, obdivuju ho, ale na druhou stranu, kdyby se podobně zaútočil na některé moje weby, pochopitelně bych na něj nadával.
Hej, když už jsem se takhle rozepsal, mě zajímá jenom jeho motivace, psychologie anonymního crackera. To je jediné zajímavé.
atd atd atd
Igigi vs. Games.tiscali.cz - 1:0
92 Fejfar
Když někdo naruší tvé soukromí, budeš to považovat za svou chybu nebo vadné jednání narušitele?
Je jedno, jakým způsobem se ti vlomí do soukromí, to není podstatné. Důležité je, že tam chodí záměrně, získává tvé údaje (a zveřejňuje to, co si ty nepřeješ, aby bylo veřejné.)
Pronikne do tvého bytu, protože zná konstrukci fabky.
Pronikne do tvého bytu, protože umí otevřít bezpečnostní zámek.
Pronikne do tvého bytu, protože oblafne tvou matku, která mu otevře opancéřované dveře.
Pronikne do tvého bytu kanalizačním potrubím, vyfotí pozadí Fejfarovy manželky sedící na WC a fotky vyvěsí na web.
Pronikne do tvého bytu, protože umí navrtat strop a umístit kameru do ložnice.
A Fejfar drží palec nahoře, protože si slabě zabezpečil byt. Takhle jsi to myslel, Fejfare?
85) Ne, tak jsme to nemysleli, protoze ty veci nemuzes srovnavat, jsou nesrovnatelne. Ale jen pis(te) sve pseudoanalogie, proc ne… :-)
Nevite nekdo proc si pojmenoval search v blogu 0×736561726368 ?
no to teda
98: 0×736561726368 je hexa zapis pro ’search’ ;)
zajimavy co na dotaz Igigi vyhodi vikipedia:-D
http://cs.wikipedia.org/wiki/Igigi “Igigi v sumerštině znamená ‘Ti, kteří hledí a vidí’.”
Musim zareagovat:
jak muze nabourani webu srovnavat s vykradenim bytu? Probuh, srovnavejte to radeji s bankou, ci nejakou instituci, ktera vlastni udaje o statisich lidech.
Predstavme si banku: ma drevene poloshnile dvere, ktere se tvari jako dvere z zelezobetonu a za ni budou lezet v supliku i vase citliva data.
Kazdy si mysli, ze jsou relativne v bezpeci, ochranka vypada na profiky, dvere vypadaji taky jak od nejakeho profika na sejfy. Ale ejhle: zjisti se, ze dvere otevrel normalni muz, s pomoci dreveneho paratka - nikdo ho z ochranky nevidel a dvere se jednoduse otevreli.
Je to zlodej, to ano. Ale probuh, jak se tam tak jednoduse dostal?
1. “… nebo se naopak jedná o člověka, který se chce především zviditelnit”
- o zviditelneni by som hovoril az ked zverejni svoju identitu. Anonymita a zviditelnenie mi nejako nejdu dokopy.
2. “Stačilo by doklady o proniknutí v tichosti poslat autorovi služby s prosbou o nápravu a spokojit se skrytou – vnitřní – slávou.”
- Nejeden velky server (napr. azet.sk) bol na nedostatky dlho upozornovany a napriek tomu chyby odstranili ak ked sa to medializovalo.
3. Prave medializacia takychto pripadov vedie k tomu, aby ludia k tymto problemom pristupovali serioznejsie a vzdelavali sa viac v oblasti zabezpecenia webstranok.
4. Napriek tomu, ze su postupy na sql injection dobre dokumentovane na interete, cele technicke oddelenia nie su schopne si to nastudovat a zabezpecit databazy? Kolko napriklad zaraba taky technicky riaditel atlas.sk? Urcite nie malo. Kto ak nie on by mal dohliadat nato (ci uz osobne alebo tym ze niekoho poveri), aby bola databaza zabezpecena?
A co profesionalne firmy, ktore za nemale peniaze odovzdavaju/udrzuju nedostatocne osetrene webstranky? Nemaju ich sucasni/buduci klienti pravo vediet o tychto chybach?
100 Shini: na to uz jsem na to taky prisel:)
Igigi, pokud to čteš, zkus udělat nějakou analýzu účtů (kolik procent lidí má stejná hesla na více službách, kolik lidí má stejné heslo jako někdo jiný apod.) a zveřejni na svém blogu výsledky. Tohle může udělat málokdo, protože většinou nemá nikdo přístup k DB účtů od mnoha webů. Přitom takové statistiky jsou zcela neškodné a zajímavé.
Ahoj, podla mojich zdrojov nasiel novy exploit a nepouzil klasicke SQLi
Prirovnania k materialnym statkom.
A., Igigi nebol v mojom byte (v mojom PC a na mojom serveri). Teda nepoukazuje na to, ze ja mam zle zamknuty byt a kluce pod rohozkou.
B., My, uzivatelia internetu sme v dobrej viere zverili osobne udaje druhej strane. To druha strana je zodpovedna, podla platnej legislativy, bez naseho suhlasu nemoze poskytnut udaje tretej strane, ziadnym sposobom - ani technickou chybou. Nie su mi zname ziadne vynimky v zakone.
Moje prirovnanie celej situacie:
My, klienti danej spolocnosti, sme jej poskytli osobne udaje a spolocnost je zodpovedna za ich ochranu. Igigi si obliekol tricko zamestnanca danej spolocnosti, vyrobil si aj preukaz zamestnanca a uz ho bezpecnostny pracovnici brali ako svojho.
Teda nic neukradol lebo sa identifikoval ako zamestnanec (administrator). A zamestnanci dostali nas suhlas so spracovanim osobnych udajov.
13)
naprosty souhlas
nasmutnejsie natom vsetkom je ze ludia ociernujuci igigiho, nikdy aspon rovnako nepohania aj prevadzkovatelov aplikacii napadnutelnych napr. primitivnym (z hladiska ochrany) ale ucinnym (z hladiska moznych dosledkov) sql injection, resp. inych zranitelnosti, ktorych je samozrejme viac (mam na mysli tie ktore nevyzaduju spolupracu s obetou).
Igigi jednoducho vyjadril nazor verejne a sposobom podobnym verejnemu prostestu. Keby to urobil tak, ze chybu popise len vyvojarom, minimalne polovica sa nato vyprdne, a hajaj naspat ku azetu, podstatne je to ze nik by sa nedozvedel ze jeho udaje su v potencionalnom nebezpeci.
Vase prirovnavania ku zlodejovi atd… mi silno pripominaju casy pred r.89, kedy sa nemohlo poukazat na “zle”, lebo to ty “dobry” nemali radi… vsak sudruhovia :P
majo kolko mas rokov? zazil si obdobie pred 89?
ked citam tvoje
lebo to ty “dobry”
myslim, ze nie :)
nieco z neho ano :) … ale ved preto to je v uvodzovkach… juj… ma nehnevaj :D vies ako to myslim
nepochopil
Pre mna je kazdy destruktivny “programator”, alebo utocnik obycajny looser .. Umenie je nieco vytvorit a nie rozkopat hotovu vec … howgh
113: OT - nejvetsi loser je ten, kdo pouziva cizi vyrazy a pritom je ani neumi spravne napsat ;)
Igigiho jednani neschvaluji ani neodsuzuji,protoze toma svoje +/-.
Jinak si myslim, ze v rade techto firem zaspal predevsim interni audit. Kazda vetsi firma (Uninin, Orange predpokladam i Zoner) ma nebo by mit mela IT Security oddeleni. (Pracoval jsem v jedne bankovni spolecnosti a audity se provadely minimalne jednou mesicne.)
Tim netvrdim, ze admini nemaji take maslo na hlavach.
vo mne to evokuje dojem, ze sa snazi nikto prinutit firmy aby viac zabezpecili systemy aby sa zasa niekto nabalil :)
malo kedy reagujem v diskusiach, ale niektore prispevky v tejto diskusii ma k tomu nabudili. Nemozem povedat, ze by som vyslovene suhlasil s igigi-ho cinnostou, ale myslim ze na to upozornit uz niekto musel. Myslim ze prispevky autora headshrinker su najblizsie realite.
Co sa tyka prirovnania s bytom: nie je priliz vhodne, lebo sa nejedna o sukromny priestor. Je to skor ako ked niekto necha vas rodny list medzi letakmi v supermarkete. Kedze autor clanku pise, ze toto dokaze spravit kazdy trosku pocitacovo zdatny clovek za pomoci googlu a vyuziva uz dloho zname diery, tak sa nemoze jednat ano o byt kde je kluc pod rohozkou, ale skor byt bez dveri.
Chyba je u vsech zucastnenych, ale v ruzne mire. Hacker vlezl, kam, nemel, a zverejnil, co nemel. Firmy nezabezpecily, co mely. Zakaznici duverovali v zabezpeceni (asi nejmensi chyba, ale nedoporucuje se podcenovat).
Zajimala by me ale legalni pozice nejmenovane av firmy, ktera hackuje nelegalni aktualizacni servery, mirrory svych vlastnich serveru.
116. sly204
Keby to dokazali osetrit interne (co by mali byt schopni), tak by sa na tom nebalili externe firmy :)
predovsetkym je to sociopat a zakomplexovany kokot.
Nechci se zastavat Igiho, ale narovinu, pouzivate mySQL, vite ze neni bezpecne asi mate duvody pro ktere jste se pro neho rozhodli. On to zverenil, tak je na pranyri. Kolik lidi se Vam do toho systemu dostalo, aniz by jste o tom vedeli a zneuziva vase data? Nejsem anarchista, ale jaka je definovana povolena cesta k datum a ktera zakazana? Myslite, kdyz napisete do firmy ze to zabezpeci? Je v tom snad nejaky zisk? Internet je dzungle!
Dnes vyšel na novinkách článek o panu Nohlovi, kterému se podařilo nabourat do šifrovaného mobilního hovoru. Podle jeho právníků je jeho práce legální. Technicky vzato dělá to samé co IGIGI, protože upozorňuje na nedokonalost daného systému. V tom případě i práce IGIGIho by měla být legální ne?
igigi je KAPO !!!! uchylaci, kur*y, kur*yci…. byt Vami sa trasiem… ja byt nim… vsetkych by som Vam len pre moju zabavu zverejnil aj s Vasimi PMkami…. to by bolo doma zabavy a placu co???? :D :D :D :D
Jsem zvedav, jak se k tomu azet postavi. A co to bude za web priste…
nijak, zahra mrtveho chrobaka…
Tak v tomto pripade bude zahrat mrtveho chrobaka asi najrozumnejsie, dáta su vonku … nic s tym nespravia ….
Nejrozumnejsi je informovat uzivatele, ze data jsou venku a ze se maji podle toho zaridit (zmenit hesla u jinych sluzeb, kde pouzivaji stejna apod.).
Verejna vyzva pre IGIGI-ho … ponukam ti BALIK v hotovosti za audit weboveho informacneho systemu.
Vsetko diskretne, podla tvojich pravidiel: ja.smolko(at)gmail.com
igigi je hlavne super sexi ,ked vas to tak vzrusuje
pochybujem ze sa ti ozve, nie je taky debo ked vie hecknut take serveri, a sám píše že chce len upozorniť aby sa to zlepšilo akov rumunsku iný hacker……presne nech heckne nieco vacsie aby ti dokazal ze sa nezameriava len na tieto typy stranok, vyzva pre igigiho heckni aj daco vacsie, nemozes predsa stagnovat, ale si frajéééér, nenaucis ma to? a bacha aby ta nevypatrali, drzim prsty ;-)
Pan redaktor vybral zlu paralelu k igigiho cinnosti… spravne to ma byt takto:
Predstavte si ze si vlozite do banky peniaze, ktorej platine alebo aj dajmetomu aj neplatite poplatky, ale kazdopadne ta banka zije z vas…
Banka sa hrdi aka je profesionalna a bla, bla…
Pride chlapik, ktory vojde do banky bez toho aby o tom niekto vedel, vsetko si dokladne ofoti a zverejni komplet plany celej banky a niektore udaje o pouzivateloch(ktore sa ale bezne nedaju zneuzit), lebo inak by sa banka lahko vyhovorila, ze tie jej plany su len jeho vymyslom…
Jakube nezavid…;))
Čo znamá IGIGI?
http://www.celuch.estranky.cz/stranka/povod-diabla
Ja si myslim, ze robi dobre…Ake nehorazne peniaze vyhadzuju spolocnosti spravcom webov, kolko plati stat za svoje stranky, kolko darmozracov zamestnavaju tieto stranky… A jeden Igigi ich dobehne vsetkych… Keby aspon kusok ty hlupaci rozmyslasli… Ak by niekoho ako on zamestnali a vyhodili darmozracov, prienikov do systemov by bolo menej…
Prirovnavat kradez dat s vlamanim do bytu sa mi zda dost….. ! na azet a ine fora kazdy dava svoje udaje dobrovolne! (ale byvt musi!!!) a ked nechce tak ziadne dat a udaje daz nemusi!(ale byvt musi!!!) co sa tika firiem je riesenie jednoduche: hlavny manager nedostane 13-ty plat (ved precovnych mesiacov je len 12) a za tie penazi zabezpeci server a je po probleme! a co sa sukromnych osob tyka ?! tak ludom nieje luto posielat desiatky SMS na superstar,panelak a podobne hluposti ale na kvalitny antivirak a firewall je im luto dat peniaze! tak si ani nic ine nezasluzia! igigimu fendim nie preto co roby ale preto na co poukazuje ! Kazdy bere fora ako hracky ale v konecnom dosledku su to vazne veci ked tam davane osobne udaje! admini for sice slubuju ze zabespecia nase data ale to chce peniaze a perco minat zbytocne ked nejde o nich za par dni-tyzdnov vybehne nova tema a je po probleme IDEME DALEJ!
Rád bych podotkl že autor článku lže maličko sám sobě :) píše že igiho neobdivuje. Na mě osobně však článek zapůsobil tak, že igigimu jeho mediální slávu skrze atraktivní hacking a několika zajímavými “skalpy” poměrně závidí… A jiste si autor článku ještě více zazávidí při čtení přízpěvků právě typu “klobouk dolu igigi…”
Myslím že lupiče který by zveřejnil na netu osobní fotky tvého bytu by jsi z obdivu nepozval na tajný kafčo, ačkoliv právě o setkání s ním tolik toužíš ;-)
Existuje asi 10 sposobov ako sa da preniknut do internej serverovej databazy. Osobne si myslim, ze Konecne niekto uverejni ake prasaciny sa deju v skutocnosti a aspon trakto vyjdu najavo veci, ktore znicili psychicky cele rodiny a niesom sam. Preniknut kamkolvek nieje az taky problem.Nech sa uz ludia uvedomia konecne aky v skutocnosti su.
Good Luck
A ZAUJMA SE NEKDO O TO JAKE STRANKY BYLI HACKNUTE? VSIMLI JSTE SI I OBSAH? Souhlasim z bluej.Nektery jse musi poradne bat o sve udaje..Buhvi proc asi;)
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
Neni vsechno tak jak to media popisujou, podle mne treba uvazovat vlastni hlavou.
Prirovnanie k bytu a k zverejneniu sukromia nesedi. Atlas predsa nie je byt, do ktoreho mam pristup len ja majitel bytu, ale Atlas je banka dat, o ktore nie je postarane, ale veselo ich majitel Atlasu vyuziva na svoje podnikanie. Je to o zodpovednosti voci druhym a ta, ako ukazal igigi uplne absentuje na strane Atlasu i tych ostatnych. Treba si vsimnut zaujimavu paralelu odpovedi odhalenych podvodnikov: Nic sa nestalo (kto by priznal, ze ano, len ten co si cti pravdu), je len odhalena okrajova databaza (kto by nabral odvahu z managerov a priznal si svoju chybu). O tom to je, ti co klamu svojich zakaznikov a na svojom klamstve (dobre zabezpecene systemy, vase udaje su v bezpeci atd) profituju su odhaleni a je s podivom, ze najdu svojich obhajcov. V normalnom svete by sa taka banka po tomto odhaleni riadne zakyvala na burze. U nas nic. Trestny cin sa stal na strane odhalenych, nakolko si myslim, ze porusili zakon o ochrane osobnych udajov (co je vsak vzdy sporne) a oni by mali byt Vami pranierovani. Ked sa igigimu dokaze, ze takto ziskane udaje poskytol a tie boli zneuzite, potom sa da uvazovat o trestnom cine.
” ……….Ked sa igigimu dokaze, ze takto ziskane udaje poskytol a tie boli zneuzite, potom sa da uvazovat o trestnom cine………..”
http://igigi.baywords.com/azet-sk-passwords-fun/
staci? :)
Trochu jiný úhled pohledu:
http://www.mirecek.cz/536/hacker-igigi-a-osud-kradenych-dat
Podle všech příspěvků o subjektivním názoru Igigiho útočícího na systém jste usoudili že je jakým si zlodějem v elektronickém světě, teď si prosím položte ruku na srdce a všichni si vzpomeňte na dobu ať aktuální nebo minulou, kdy jste si jistě stáhli z netu nějaký warez materiál (mile bych vás upozornil že jste v tuto chvíli klasifikování jako pirát, tudíž také spadáváte do int. “zlodějské bandy zmrdů”) a osobně si myslím že to je dost objektivní problém. Dále je kladen důraz na problém, který je v
rukou administrátorů, často nesoucí na svých prstech horší objektivní poškození než-li igigiho útok. Byl jsem osobně svědkem toho co dokáží dělat administrátoři s daty a osobními informacemi, které jsou pod jejich ochranou rukou a není divu že za pomoci jejich ignorantských přístupů a často také svéhlavé pomoci ekonomického managera, snažícího se ušetřit peníze na zabezpečení je třeba dát tomuto problému hmatatelný a viditelný
důkaz v podobě zveřejnění tohoto bezhlavého jednání. Další věcí je to že nežijeme ve světě nějaké fantasy, či dobře natočeného scifi z USA, kdy démonova zlost troskotá na odvaze a často výjimečné schopnosti hrdiny, je to pouhý marketing a obchod jak pro Igigiho i postižené firmy.Lidé jako Igigi jsou skupinou hájící své (možná trochu radikálně) zájmy na internetu a tak to je, bude a bylo. Pro nás z toho plyne pouze stará známa a ohraná písnička o mazání medu kolem úst korporacemi o tom jak je vše allright, ale není. Každý máte jistě svůj názor, můj je že je to správně vymyšlené je takto vytrestat.
kokos ako to len moze robit … … … … … … … … … … … … … … … … … … … … … … .. .. . . .. .
This story is very useful. Really I like it. Thanks for sharing with us.*Air Jordans
Air Jordan 16 tall me why
Partnerská sekce pro IT profesionály:
Microsoft TechNet/MSDN
