Genre: Information/Explanation

VEČER: Pogovor z etičnim hekerjem <p/> 26. januar 2015 Gregor Grosman, Večer <p/> Boštjan Špehonja je po poklicu heker, vendar svojega znanje ne zlorablja za prizadejanje škode, temveč ga ponuja podjetjem v korist odkriti varnostne luknje in pomanjkljivosti. <p/> Hekanje poteka v dogovoru s podjetjem, ki tudi določi pravila kaj lahko heker počne in do kod lahko gre, pojasni Boštjan Špehonja, ki se je kot neodvisni strokovnjak udeležil Unistarjeve konference RoglIT '15. Pri izvajanju penetracijskih testov se etični heker izogiba temu, da bi kakorkoli škodoval, ukradel podatke ali namenoma onemogočil storitve, saj vemo, da obstajajo vrste napadov, ki zmorejo začasno onesposobiti spletno stran. <p/> Ranljivosti vsak dan več <p/> Dejstvo, da se število vdorov povečuje, pa še ne pomeni, da imajo tudi etični hekerji več dela. Špehonja pojasnjuje, da je tu še ena konstanta, saj se podjetja, tako velika, kot manjša, niti ne zavedajo še, kaj konkretno pomeni, kaj pomeni izguba podatkov. "Tukaj je potrebno narediti še velik korak, da bodo podjetja bolj osveščena. Ranljivosti je vsak dan več, in če administrator zaspi, sploh ni potrebno, da se kdo konkretno spravi na to podjetje. Obstajajo namreč Kitajci, pa Pakistanci, Nigerijci, ki avtomatsko cele dneve skenirajo internet, javne IP-je. Kakor hitro ugotovijo, da je določen sistem ranljiv, se v ozadju zažene avtomatika, ki izkoristi to ranljivost in povzroči da vaš sistem, uporabijo za nadaljnje napade, da se zakrije dejanski napadalec." <p/> Težava se skriva v prepričanju odgovornih v marsikaterem podjetju, ki velikokrat napačno sklepajo, da za napadalce njihovi podatki niso zanimivi. So pa zanimivi njihovi računalniki, ki jih hekerji kot bote nato izkoriščajo za nadaljnje napade, pojasni Špehonja, ki dodaja, da se varovanje sicer prične pri geslih, da pa je človeški faktor tisti, ki bi po njegovem mnenju moral biti bolje izobražen v računalniški varnosti. "Varna raba interneta se zdi nekako samoumevna. Otrokom v šoli in vrtcu zato dajajo premali poudarek na varno rabo interneta, trendi spletnih prevar in prevarantov pa se višajo," pojasni sogovornik in doda še, da lahko konec koncev dobimo en mail, kliknemo na povezavo, odpremo programček, in že smo okuženi ter smo lahko ob vse podatke ali v najhujšem primeru utrpimo celo finančno škodo. <p/> Ne uporabljajte ključkov najdenih na tleh <p/> Pri napadih večjih podjetij, kakršnim smo priča v zadnjem času, gre po mnenju strokovnjaka za dobro načrtovane napade, ki se jih načrtuje več mesecev, napadalci običajno pošljejo tudi kakšnega insajderja. Pogosto delo hekerjem olajša "človeški faktor", ali je to narobe konfigurirana požarna varnost, bodisi klikanje uporabnikov, pogosto hekerji na parkiriščih puščajo denimo tudi USB ključke, ki jih nato zaposleni najdejo in uporabljajo, čeprav kot pojasnjuje etični heker varnostna politika po standardu ISO 27001 pravi, da se ključkov, najdenih na tleh ne vstavlja v službene računalnike. "To so vse metode, ki jih napadalci preizkušajo in prej ko slej nekdo stori napako, ki odpre vrata v podjetje," zaključi Špehonja. <p/> Anonymous dobro plačani iz ozadja <p/> Ko etičnega hekerja povprašamo o delovanju skupine Anonymous, je mnenja, da gre za skupino, ki je dobro plačana in jo nekdo vodi, tako kot obstajajo razni virusi, ki se pišejo posebej za Bližnji vzhod, za katere se po sedmih letih ugotovi, da so bili financirani s strani določenih vlad. "Moje osebno mnenje je, da so glavni možje financirani z določene strani, da izvajajo določene napade. Seveda pa je to tudi nek trend med mladimi, biti Anonymous in si dati masko na Facebook. To je neka subkultura, ki jo izkoriščajo. Anonymous imajo cel kup nekih svojih programov, ampak tukaj gre tudi za dvorezni meč. Ti se odločiš kot najstnik, da boš član Anonymousa, uporabiš njihov program s katerim imaš res nekaj prednosti, saj te učijo kako določeno stvar "shekat", ki bi jo sicer prav tako dobil na internetu, ampak s tem postaviš še pod vprašaj svoj računalnik saj ne veš, ali je bil ta programček čist in ali je morda tvoj računalnik tačas že v pripravi na kak DDoS napad, ki ga izvajajo v ozadju," pojasni Špehonja. <p/> Hekerji v filmih in v realnosti <p/> Trenutno je v kinematografih aktualen film Heker. vizualizacija vdora je zmeraj posebno zahtevno opravilo, pogosto so uporabniški vmesniki ali grafično zelo dovršeni, ali pa gre za preprosto DOS okno, v katerem se nepregledno izpisuje programska koda ali izjemno hitro letijo kakšne številke. Kako daleč je to od resničnosti, pojasnjuje Špehonja, da: "tistim številkam, tistim kodam, ki tam letijo, se tisti, ki smo s tega področja, ponavadi smejemo." Hekanje IP-jev 352.612.x.x je nesmisel, saj številka večja od 255 ne obstaja. "Kar se tiče kritične infrastrukture, onesposodobitev vode, prometne infrastrukture, električne energije, ... Tukaj bi bil previden kaj reči, ampak tudi je možen napad. Seveda je možen, seveda pa je težje izvedljiv. Na tak napad bi se bilo seveda treba dalj časa pripravljati, ampak teoretične možnosti obstajajo. Konec koncev nekateri pravijo, da se da shekati vse. Nekateri se cele dneve ukvarjajo samo s tem, da pišejo programe, ki vdirajo v druge programe," doda etični heker, ki pa v filmskih prizorih vidi predvsem veliko pretiravanja.