Eli siis, minulla on idea jolla voisin periaatteessa tehdä internetin kautta hyökkäyksen yksityisen henkilön tai yrityksen verkkopankkitiliä vastaan. Tuntemistani verkkopankeista kaikki ovat haavoittuvaisia tätä tekniikkaa vastaan, osa vähemmän haavoittuvaisia (murtautuminen kestää kauemmin), osa enemmän (automaattinen onnistuminen). Pahimmillaan tili voidaan tyhjentää täysin ja varmasti. Koordinoidusti ja pitkäkestoisesti toimimalla voitaisiin tilejä kaapata hyvin suuri määrä ja kokonaisuutena rahasummissa voitaisiin puhua miljoonista euroista.
Tekniikka on hyvin yksinkertainen ja se voidaan rakentaa toimivaksi järjestelmäksi erittäin nopeasti ja sitä voidaan muokata niin että suojaominaisuudet piilottavat järjestelmän käytön hyvin vaikeaksi havaita. Eli siis systeemiä voidaan ajaa niin ettei murtautumista huomata vaan se vain vakoilee ja tallentaa olennaisia tietoja.
Kysymykseni on:
A) Onko laillista keskustella tästä tekniikasta ja missä mittakaavassa, jos kirjoitan teknisen selostuksen miten homma hoidetaan niin voinko joutua jonkinlaiseen syytteeseen?
B) Jos rakennan oikean elämän esimerkin siitä että kyseinen tekniikka on mahdollinen, helppo ja sitä vastaan suojautuminen on hankalaa niin onko tämä esimerkkinä käytetty ohjelmisto laiton?
C) Ketä tämä kiinnostaa aidosti ja onko ideallani mahdollista poikia itselleen työpaikkaa, mieluiten lain oikealta puolelta.
Tekniikka on hyvin yksinkertainen ja se voidaan rakentaa toimivaksi järjestelmäksi erittäin nopeasti ja sitä voidaan muokata niin että suojaominaisuudet piilottavat järjestelmän käytön hyvin vaikeaksi havaita. Eli siis systeemiä voidaan ajaa niin ettei murtautumista huomata vaan se vain vakoilee ja tallentaa olennaisia tietoja.
Kysymykseni on:
A) Onko laillista keskustella tästä tekniikasta ja missä mittakaavassa, jos kirjoitan teknisen selostuksen miten homma hoidetaan niin voinko joutua jonkinlaiseen syytteeseen?
B) Jos rakennan oikean elämän esimerkin siitä että kyseinen tekniikka on mahdollinen, helppo ja sitä vastaan suojautuminen on hankalaa niin onko tämä esimerkkinä käytetty ohjelmisto laiton?
C) Ketä tämä kiinnostaa aidosti ja onko ideallani mahdollista poikia itselleen työpaikkaa, mieluiten lain oikealta puolelta.
Vastaukset 19
Vanhimmat
Tässä mm. linkki Princetonin ryhmän hakkerispeksistä (liittyy automaatteihin): http://www.cs.princeton.edu/~sudhakar/papers/memerr.pdf. Muutama pankki yritti estää ko. tutkimuksen julkaisun, mutta koulu pysyi tiukkana ja julkaisi tutkimuksen. Laita vaan juttusi jakeluun niin voit saada hyviäkin vinkkejä muilta.
Eli siis tahtoisin suomalaisen lainsäädännön vahvistuksen asialle. Ja sitten mielellään jonkinlaisen ennakkotapauksen tms. joka osoittaa että KRP ei tule potkimaan oviani sisään vaikken teknisesti ajatellen tee mitään laitonta...
Tiedän että kaikesta "harmaalla alueella" kulevasta - tai sellaisesta jonka voi harmaalla alueella olevan - on suomalaisilla viranomaisilla tyylinä hakata paskat pellolle ettei tarvi kuunnella osallisten itkua asian tiimoilta vaikka laki itsessään asian sallisikin. Eli mikähän taho voisi varmistaa että voin rauhassa tutkia ja kartoittaa ja keskustella asiasta laillisesti ilman pelkoa että joku tulee paskomaan elämääni?
Sitäpaitsi ideani ei ole mitenkään uusi. Luultavasti joku on jo soveltanut sitä toisaalla... minä vain ajattelin tuoda tämän tiedon (ehkä) julkiseksi oikein esimerkin kanssa.
sä oo jo päässy KRPn seurantaan tän kirjotuksen perusteella?
Minun nörtti kaverini savovat aina tässä vaiheessa,
siinä vaiheessa kun onnonnistunut jo oikeesti,
että tuolla nörtillä on varma työpaikka.
Tarkoittaa myös sitä, niitä oikeita neroja on hyvin vähän.
Eli en osaa neuvoa, pitäisikö ensin näyttää ne taidot, oikeesti.
Netissä niistä ei kannata kertoa.
olisi oikea henkilö vastaamaan.Jos ideasi on aukoton , työpaikka voisi löytyä F-Securesta.
Vinkki sulle, jo pankin järjestelmien porttiskannaus on Suomessa tulkittu rikokseksi.
Suomessa juuri pankkien järjestelmät ovat parhaiten suojattuja ja valvottuja. Kärähtäminen on enemmän kuin todennäköistä.
Juuri tuon takia minua epäilyttääkin kun noin vähästä voi tulla sanktiota.
Minä siis en koske millään "brutaalilla" tavalla pankin päähän, en yritä pankinpalveluissa olevien heikkouksien kautta sisään (...paitsi sen heikkouden joka tulee kokonaisuuden takia...) eli siis itse palvelua ei hakkeroida vaan palvelun käyttäjää - pankille päin palvelu toimii normaalisti eikä pankin järjestelmään kajota millään epämääräisellä tavalla.
Tosin tämäkin on määrittelykysymys. Kyseessä on tietenkin rikos jos tätä järjestelmää käytetään rikosvälineenä. Mutta se mitä tahtoisin tietää on että voinko saada syytteen jos teen systeemin vain demonstroidakseni tekniikkaa ja käytän pelkästään omia pankkitunnuksiani (tai vapaaehtoisen tunnuksia joka haluaa kokeilla järjestelmää) tavalla jolla niitä pankkitunnuksia normaalisti käytettäisiin?
A) Oikeat nörtit eivät käy Suomi24:n keskustelusivuilla.
B) Et voi siirtää varoja mihinkään jäämättä kiinni.
C) Ajatuksesi on sekä teoriassa että käytännössä mahdoton.
D) Suomi24:stä ei kannata ottaa vastaan juridista konsultaatiota.
Kaikki vastaukset ovat vääriä.
Luulosi ei ole tiedon värtti.
Minä ainakin olen saanut SUOMI 24 aivan kymmenien tuhansien eurojen neuvoja ja
ole myös Suomi 24 vuoksi rikastunut hyvin paljon.
Pitää vain ymmärtää luettu teksti ja oikeat vinkit.
C) Kaikkeen voi murtaantua, joka on verkkoyhteydessä. Suomessa ei ole mitenkään erinomaisen vaikea murtaantua verrattuna USA:han.
Suomi on vielä lapsen kengissä.
D) Suomi 24 vuoksi sain tänäkin vuonna 8000 euroa veronpalautusta, vaimoni 3000 euroa ja lisäksi saimme ym etua.
Vaikka on palomuuri minullakin, jo operaattorilla, toinen minulla kotona ja kaikki liikenne kulkee toisen tietokoneen kautta TÄHÄNKIN, silti murtautuminen on aivan mahdollista ja helppoa.
Ei tarvitse kuin tietää salasanat ja ohjelmat jota yhteys vaatii,
eli kun kone on verkossa siihen menoa ei voi estää, vain hidastaa.
Aivan samoin, ukkoselta ei voi verkkoon ja sähkövirtaan kytkettyä laitteistoa suojata, voi vaan vähentää iskujen määrää jne.
Minäkin teen ukkos-suojauksia joiden kustannukset ovat 20 000 € luokkaa laitteistoille joiden hinta on 5000 € luokkaa, aina en siinäkään onnistu.
Ei mikään ihme, että sait asiasi parempaan kuntoon kun et osaa edes kirjoittaa. Se ei kuitenkaan silti tarkoita että ne asiasi olisivat hyvin. Tällasia täällä kattokaas on...
A) Oikeat nörtit eivät käy Suomi24:n keskustelusivuilla.
- Eivät käykkään koska teknisestä puolesta on paljon fiksumpiakin sivuja. Mutta niillä ei puhutakaan tai tiedetä juridisesta puolesta mitään! Tämä on tarepeeksi yleinen ja laaja systeemi puhua tästä asiasta ja odottaa edes muutamaa fiksua vastausta.
B) Et voi siirtää varoja mihinkään jäämättä kiinni.
- Ehkä- mutta tarkoitukseni ei olekaan ryöstää ketään joten siitä kuinka rahat saisi ulos oikeasti en olekaan kiinnostunut. Minun "osuuteni" on osoittaa VAIN että käyttäjän tietämättä voidaan rahaa onkia vapaasti hänen tililtään verkkopankkiyhteyden avulla vapaasti - ei kehittää täydellistä rikosta. Vaikka arvatenkin tätä tekniikkaa voisi soveltaa hyvin pitkälle.
C) Ajatuksesi on sekä teoriassa että käytännössä mahdoton.
Se ettet näe ratkaisua tarkoittaa vain että olet joko tyhmempi kuin minä tai et vain ole pohtinut asiaa yhtä kauan kuin minä. Tosiasiassa tekniikka on ÄÄRIMMÄISEN toimiva ja itsestäänselvä ja sitä sovelletaan toisaalla jokaikinen päivä!
Me emme huijaa verkkopankkia vaan käyttäjää.
D) Suomi24:stä ei kannata ottaa vastaan juridista konsultaatiota.
- Jumalan sana se ei ole mutta antaa hyviä referenssejä.
Taidan tietää mikä on ideasi. Tarkoitat varmaan ns. pishing systeemiä, jossa käyttäjä ohjataan esim. sähköpostiin lähetetyllä viestillä vale-verkkopankkisivustoille, jotka ovat täysin oikean sivuston näköisiä. Sitten vain kopioidaan käyttäjän sivulle syöttämät tunnukset ja salasanat, jotta voidaan käydä tyhjentämässä tili oikean verkkopankin sivuilta? Tämä on jo vanha juttu... et ole ainenkaan mikään uutta luova nero.
Kyllä, siis periaatteessa. Mutta vähän eri tavalla...
Käyttäjälle ei näy mitään eri tavalla eikä hänen tarvi "langeta ansaan" - riittää että käyttää konetta aivan niinkuin ennenkin, Samoin mitään erillistä "itsenäistä" feikkisivua ei käytetä vaan sisältö proxytetään hyökkääjän kontrolloimalla koneella suoraan verkkopankista jolloin kaikki tapahtumat ovat ajan tasalla ja järjestelmä vaikuttaa täysin normaalilta ja jopa normaali verkkopankin sisällä tapahtuva surffailu on mahdollista (taidatkin jo hoksata miten tämä kaappaus on mahdollinen) Tietovirtaan voidaan ujutetaan maksuja jotka sensuroidaan luonnollisesti käyttäjälle näkyvältä sivulta, kuin myös saldot lasketaan uusiksi.
Pishing jonka kuvasit on huono koska se toimii vain kerran ja tietoturvaongelman huomaaminen ei ole vaikeaa esim. url-osoitteen takia... ja rahat tarvii taskuttaa välittömästi kun tunnusluku on saatu koska käyttäjä käyttää sen tunnusluvune ennenpitkää. Tämä ei olisi järkevää vaivaansa nähden.
Kutsuttakoon tekniikkaani Deep Pishingiksi. Se ei periaatteessa eroa Pishingistä muulla tavalla kuin paremmalla teknisellä puolella ja huomaamattomammalla, automaattisuudella sekä siten etteivät salasanat vanhene (koska niistä ei välitetä vaan hyödynnetään aina aktiivista istuntoa).
Fiksummat huomaa varmasti että tässä systeemissä on monta muttaa, en sano että tämä tekniikka olisi täydellinen rikosväline mutta se todellakin mahdollistaa verkkopankkiyhteyden täydellisen kaappaamisen ja hyväksikäytön ilman että käyttäjä huomaa mitään.
Muistatteko Myyrmannin pommiräjähdyksen? Pommimies Petri Gerdt oli Internetissä toimineen räjähteisiin erikoistuneen "kotikemia"-foorumin vakiokeskustelija. Siellä hän mietti "kavereidensa" kanssa pommin ainesosia.
Täällä taas Nörtti 1001 miettii täydellistä tietojärjestelmään murtautumista. Toivottavasti ei käy samalla tavalla kuin Petrille eli että "pommi räjähtää ennen aikojaan", tässä tapauksessa voi häkki heilahtaa jos jää kiinni..
Onnea yritykselle =)
Veikkauksena, tarkoitat varmaan DNS-hämäystä.
URL vaikuttaa oikealta, mutta IP onkin jotain
aivan muuta. Onhan se ihan näppärä tekniikka..
mutta vaatinee tarkkaa ajoitusta.
Olisi kyllä hyvä, jos näiden tärkeiden paikkojen
ei tarvitsisi ripustautua niin heikkoon protokollaan
kuin DNS. Ilmoittaisivat vaikka suoraan IP-numerot.
Tuskinpa kukaan näillä palstoilla näitä asioita miettisi, jos oikeasti aikoisi verkkopankkiin murtautua. Siinähän olisi heti supon miehet perässä. Oikeat kriminaalit miettivät näitä varmasti jossain muualla. Mielestäni on kuitenkin hyvä että myös joku nörtti miettii näitä avoimesti. Kannustan Nörtti 1001 nimimerkkiä tekemään "tieteellistä tutkimustaan", sillä miten ihmeessä pankit voisivat korjata tietoturvaongelmiaan ellei kukaan ensin osoita niitä? Ties vaikka pääsisit vielä pankkiin töihin, vastaamaan pankin tietoturvan kehityksestä?
Hyvä. Ajoituksella ei ole muuten väliä kun tietää miten DNS:aa käsittelee. Muutos on pysyvä. Käyttäjälle ei näy mitään tämän jälkeen kunhan proxy pysyy toiminnassa. Voidaan soveltaa useimmissa käyttiksissä...
Muuten vaadittaisiin jo fyysistä siltalaitetta pankin ja tietokoneen välillä joka feikkaa dns-pyynnöt. Se taas olisi verkkotopologisesti mahdotonta oikeastaan käytettäväksi missään järjellisessä yhteydessä.
"Ilmoittaisivat vaikka suoraan IP-numerot."
Aivan. Silloin tekniikkani muuttuisi täysin käyttökelvottomaksi.
Tietoturvaa lisäisi se että luotaisiin ip-järjestelmä jolle saa autentikoinnin fyysisesti pankilta itseltään esim cd:llä tulevan sertifikaatin muodossa... Tällöin "Deep Pishing" ei toimisi. Tälle kuitenkaan ei ole infrastuktuuria tai tukea selaimissa. Ja kyllähän sen voisi murtaa kun murtaa autentikointijärjestelmänkin... mutta se kyllä vaikeuttaisi toimia paljon.
Nörtti 1001: Onko tämä sinun tekemäsi (katso linkki) =)
http://www.digitoday.fi/showPage.php?page_id=14&news_id=48692
Mun systeemissä ei tule mitään typeriä ja huijauksen heti kättelyssä paljastavia sähköpostiviestejä. Tuollainen on varma tapa jäädä kiinni ennemmin kuin varma tapa saada tunnukset... Tuossa ei sovellettu missään mielessä esittämääni tekniikkaa (vaikka sukulaisuutta on tietenkin)
Mutta tosiaan, stressikäyrä nousi heti kun toi uutinen tuli, oli sen verran sopivasti ajallisesti toisissaan kiinni.