Prienik hackerov do NBÚ – aké sú fakty

26.4.2006 11:19, bezpečnosť (38869)

Na undergroundovom serveri sa včera objavili informácie o tom, že bezpečnostné ochrany serverov Národného bezpečnostného úradu boli prelomené. Tieto informácie prebralo viacero médií, pričom vznikli rôzne šumy. V našom článku si môžete prečítať analýzu jednotlivých tvrdení hackerov.

V článku „Narodny Bezpecnostny Urad pwn3d“ boli zverejnené informácie o prieniku hackerov do serverov Národného bezpečnostného úradu Slovenskej republiky. Vďaka tomu bolo údajne odcudzených viac ako 20 gigabajtov e-mailov, interných dokumentov, smerníc, nariadení a rôznych iných tajných dokumentov.

Analýza problému
Je veľmi reálne, že k prieniku skutočne došlo. Ako prvotná vstupná brána fungoval webmail NBÚ SR, na ktorom bol použitý systém Horde. Staršia verzia tohto typu webmailu totiž obsahovala bezpečnostnú chybu, pomocou ktorej bolo možné čítať súbory na lokálnych pevných diskov. Do riadku s adresou teda stačilo zadať skomolenú adresu a bolo možné prečítať prístupové mená, ktoré sa nachádzajú v súbore /etc/passwd. Pripomíname, že v tomto súbore sa nachádzajú iba prístupové mená používateľov, heslá sú uložené v zašifrovanom stave a sú súčasťou súboru, ktorý pomocou chyby v Horde nebolo možné prečítať.

Nasledujúci krok popisovaný v pôvodnom článku je o niečo menej reálny, rozhodne však (v prípade nedostatočného zabezpečenia) mohol byť uskutočnený. Hackeri v článku tvrdia, že sa im podarilo získať heslo používateľa „nbusr“, ktoré znelo „nbusr123“ a tak mohli pomocou príkazového riadku a protokolu SSH pristupovať na vzdialený server. Ak administrátor skutočne zvolil takéto heslo, jeho krok nemožno označiť inak ako ohrozením bezpečnosti.

Následne sa útočníkovi podarilo získať administrátorský prístup – zadal príkaz „su“, ktorého úlohou je prepnutie používateľa do administrátorského režimu. Pravdivosť svojho tvrdenia dokladuje výpisom niekoľkých príkazov. V prípade, že výpisy neboli autorom pôvodného zdroja na blackhole.sk pozmenené, prvý riadok dokazuje, že sa mu naozaj podarilo získať administrátorský prístup. Výpisy z druhého riadku možno získať aj bez administrátorského konta.

V nasledujúcich riadkoch hacker tvrdí, že prenikol do ďalších serverov, ktoré však už neboli prístupné z internetu ale iba z lokálnej siete. Na jeden z nich opäť získal administrátorský prístup, zo zálohovacej utility získal heslo (123456) a skopíroval z neho databázu veľkosti 18 GB. V prípade, že administrátor servera bol bezpečnostný hazardér a naozaj použil rovnaké používateľské meno a heslo, je tento krok vcelku reálny. Táto podmienka platí aj v prípade, že heslo „123456“ by umožňovalo získanie administrátorského prístupu ku všetkým počítačom či switchom pripojených do lokálnej siete.

Pravdivosť ďalších riadkov, v ktorých autor tvrdí že sa mu podarilo získať tajné dokumenty, je však viac ako otázna. Ako nám potvrdili zdroje z prostredia NBÚ, všetky informácie s akýmkoľvek stupňom utajenia totiž nemohli byť týmto spôsobom získané. Všetky servery, ktoré sa používajú na posielanie či ukladanie tohto typu informácií, sú totiž fyzicky oddelené od zvyšku siete NBÚ. Laicky povedané – sieť s utajovanými informáciami nie je vôbec pripojená k akejkoľvek inej sieti. Jediný možný spôsob, ako z nich ukradnúť informácie, by teda bolo získanie fyzického prístupu do priestorov úradu.

Čo sa teda reálne mohlo stať? Človek, ktorý si hovorí „judash“ naozaj mohol získať administrátorský prístup k serveru či serverom NBÚ a odcudziť časť e-mailovej komunikácie či niektoré dokumenty. Je však potrebné uvedomiť si, že e-maily sú šírené pomocou protokolu SMTP, ktorý nie je nijako zabezpečený a správy tak môže odchytiť prakticky ktokoľvek, bez toho aby získal administrátorský prístup. E-mailovú komunikáciu teda vo všeobecnosti možno pokladať za verejne prístupnú a podobný charakter majú aj prakticky všetky informácie začlenené do siete, do ktorej prenikol.

Viacero zdrojov z prostredia NBÚ nám takisto potvrdilo, že v Úrade ešte pred týmto útokom platili veľmi prísne bezpečnostné predpisy a tak by ktokoľvek, kto by odoslal pomocou e-mailu akúkoľvek informáciu s charakterom „dôverná“ či nebodaj „tajná“, riskoval nielen okamžité prepustenie, ale aj žaloby za ohrozenie bezpečnosti.

Je teda viac ako pravdepodobné, že k úniku žiadneho druhu utajovaných informácií nemohlo dôjsť a tento problém je teda zbytočne nafúknutý.

O kroky, ktoré budú alebo už boli podniknuté i o doplňujúce informácie sme požiadali Národný bezpečnostný úrad. Po doručení ho okamžite zverejníme v tomto článku.

Zdroj: TS PCR

Diskusia - 89 príspevkov

[strana #1] « PREDCHÁDZAJÚCE PRÍSPEVKY | ĎALŠIE PRÍSPEVKY »

« predchádzajúca správa
Google razantne mení svoju marketingovú politiku - iba dočasne?

nasledujúca správa »
TeliaSonera v prvom kvartáli so ziskom EBITDA 7,82 mld. SEK