DDoS-hyökkäys .info-juurinimipalvelinta vastaan

Kielletä mitä? Käyttöönottoa troijalaisella? Käyttöä hyökkäyksiin? Se nyt ei yllättäen mitään auta.

Ja oikeasti jos tutkii, niin aika usein ne käyttöönotetut koneet on ihan muun kuin MS:n tekemiä, korkeintaan tyhmiä "lähetä paketteja tonne"-tyyppisiä viruksia/troijalaisia taitaa MS:n tuotteiden päällä pyöriä.

Mutta mielestäni ei olisi ollenkaan pahasta että kaikkien hyökkäykseen osallistuneiden koneiden ylläpitäjiä pidettäisi osasyyllisinä, on sitten kotikäyttäjiä tai yritysten admineja. Ei tietenkään mitään pahoja rangaistuksia, varsinkaan jos voi näyttää että tietoturvasta on jotenkin edes huolehdittu. Mutta jos on täysin tumpelo, ei pitäisi edes konettaan verkkoon noin vaan tunkea.

Monilta harmeilta olisi vältytty jos vaadittaisi ajokortti sen tietokoneen ajamisesta intternetskussakin...

Auttaako "mikroaaltouunia ei saa käyttää kotieläimien kuivaamiseen" tekstit? Ameriikan taivasmaa on asianajajien luvattu maa.

Varmasti auttavat. Ihmiset ovat tyhmiä. Väitätkö silti että on sama asia sanoa _käyttöohjeessa_ että "älä kuivata kissaasi täällä, kuin sanoa _lisenssissä_ että "älä käytä tätä väärin"? Samalla tavallahan varkaudetkin siis loppuisivat, laitetaan kauppoihin kyltit "älä varasta". Ai niin, siellähän on jo...

Kuinkas nyt lisenssit sotkit mukaan? Tarkoitin juuri tuota ohjelmiston (tässä tapauksessa Windowsin) käyttöohjetta, jossa ei erikseen kielletä jokaista mahdollista asiaa mitä ohjelmalla ei saisi tehdä - vaikka juuri jättää tunnuksia suojaamatta salasanalla ja käynnistelemättä palveluja joilla joku voi koneen ottaa valtaansa, ja aiheuttaa tuhoa muualle.

Monen muun tuotteen kohdalla voisi tässä tilanteessa nuo vahinkoasianajajat (vai mikä se nimitys näistä epämääräisistä juristeista olikaan) olla jo oikeustalon portailla paperit kourassaan.

Puhuit käyttöehdosta, eli lisenssistä. Käyttöohje on aivan eri asia. Siinä ei voida kieltää asioita sopimuksenmukaisesti. Siinä voitaisi kyllä ohjastaa, ja niin niissä ohjastetaankin yleensä.

Kuten vaikka autonvalmistajien kun tekevät lukkoja jotka voidaan murtaa ja joku voi ajaa sillä autolla jonkun yli? Kuten kirveenvalmistajien, kun eivät kirjoita tuotteisiinsa "älä käytä ihmisiin"? Asevalmistajien? Hackmannin paistinpannuissa ja leipäveitsissäkään ei lue "älä hakkaa nauloja tai ihmisiä", ei niitä silti haasteta oikeuteen jne. Ja maalaisjärki jo sanoo miksei.

Yhdysvaltain oikeuslaitos ei tunne käsitettä "maalaisjärki". Jos et usko, etsi huviksesi käsiin lista, jossa on mm. tämä mummo joka sai miljoonan tai enemmän mcdonaldsista kun kuuma kahvimuki polttikin syliin laitettuna ja niin edelleen.

Joo, näinhän se on. Kai tuossa on sitten jotain tekemistä sillä miten avoimeksi koneensa jättää (vrt. autossa avaimet virtalukossa).

Analogia hieman ontuu. Ei omistaja siltikään ole vastuussa vaikka autoon avaimet jättäisi ja voro sillä jonkun yli ajaisi.

100 Dos pyyntöä ? Näinhän se homma menee, että lähetetään paketteja osoitteeseen xxx.xxx.xxx.xxx ja siellä headerissa lukee "Hei olen Dos paketti". Esimerkki DoS hyökkäyksestä voisi olla, että 100 eri koneelta lähetetään täysin laillisia yhteyden muodostamisessa tarvittavia SYN ja ACK paketteja. Näitäkyn lähetetään tarpeeksi saadaan aikaiseksi denial of service eli suomeksi palvelun esto hyökkäys, eli kulutetaan esimerkiksi vaikkapa jonkin yksittäisen web palvelimen resurssit.

Ei ole aivan normaalia, että yhtäkkiä lähtee kauhea kasa SYN ja ACK paketteja yhteen koneeseen.

Tarkoittanet syn floodia? Tässä tapauksessa lähetetään kasa SYN packetteja (eikä mitään ACK:ia) jolloinka palvelimen initialize connection puskuri täyttyy eikä siten suostu enää hyväksymään uusia yhteyksiä.

Syn floodeja vastaan löytyy lukuisia tuotteita, ja valtaosa esim layer-4 kytkimistä osaavat suodattaa liiallisia SYN paketteja tietystä hostista, ja esim Checkpointin Firewall-1:ssa on SynDefender toiminto joka ainakin uusimissa versioissa toimii varsin tehokkaana suojana alkeellisia SYN floodeja vastaan.

Mutta milläs selvität kuka sen liittymän on ostanut? Tietääkseni niitä saa ostaa täysin nimettömasti.
Voidaanhan se sijainti määrittää aarin tarkkuudella, mutta mitä hyötyä siitä on jos yhteys on vain hetkellinen? Tuskin operaattori peilaa kokoajan kaikkia verkossa olevia puhelimia ja paikantaa niiden sijaintia logeihinsa.
Ei vaadi montaa minuttia laukaista ddos hyökkäystä valmistelluilta koneilta, katso http://lockdowncorp.com/bots/gallery.html kuvagalleria kuinka botnet toimii. Voit laskea kauanko kestää, kun laitat kännykän päälle, soitat nettiin, laukaiset hyökkäyksen jotain kohdetta vastaan, sammutat yhteyden ja kävelet pois laitteet kainalossa. Oletetaan että operaattori peilasi puhelimesi heti kun käynnistit sen, ja arvioidaan että aikaa sinulla meni noin 5-10 minuuttia kaiken em. tekemiseen, ja vertaat tuota aikaa esim poliisin vasteaikaan haja-asutusalueella. Operaattori soittaa poliisille, ja he lähettävät partion aarin kokoiselle alueelle(jos lähettävät). Ennenkuin partio paikantaa koordinaatit, aikaa on kulunut jo vähintään 15min-30min. Jos olit autolla liikkeellä, ehdit ajaa noin 3km päähän paikasta taajamanopeutta ajaen, kävellenkin ehdit jo yli puolen kilometrin päähän paikalta, ts. kauas pois silmistä.

Kännyköissä on IMEI-laitetunnus, ei MAC osoitetta(en tiedä varmaksi gprs puhelimista), ja molemmat ovat vaihdettavissa niin kännykkään kuin mihin tahansa verkkokorttiinkin netistä löytyvillä ohjelmilla, ja jos kännykkä on varastettu niin eihän sitä tarvitse päällä säilytellä, tai säilyttää ollenkaan, soittaa puhelun ja heittää luurin järveen

todennäköisempänä pitäisin kuitenkin zombie-koneiden luomista matojen(nimda,code red, jne) avulla, tehokkaasti leviävä mato joka hyödyntäisi tuntematonta turvallisuusaukkoa voisi helposti saastuttaa tuhansia koneita lyhyellä aikavälillä, eikä olisi suurta väliä minkätasoinen yhteys saastuneessa koneessa on jos koneita on tuhansia ellei jopa satoja tuhansia. Sadallatuhannella 56k modeemillakin voisi floodata nurin pienemmän reitittimen ja katkaista verkon kohtalaiselta alueelta

huono ylläpitäjä, tulisi selvittää miksi koneelle on päästy alunperin ja estettävä sen toistuminen
tämä vaikuttaa eniten pieniin palveluntarjoajiin.. keskenään tappelevat "dossaajat" voivat katkaista verkon jopa päiviksi -> haittaa liiketoimintaa jos esim webhotellia ylläpitävät ja pahimmassa tapauksessa menettävät asiakkaita
Tässä on oikea ylläpitäjä, joka ajattelee asiaa laajemmasta näkökulmasta. Tämänkaltaisia ylläpitäjiä pitäisi olla enemmän.
Jos huomaa "virheen" verkossa, siihen pitää puuttua. Sitä ei saa sysätä "maton alle" ja jättää jonkun toisen ongelmaksi. Jos virhe ei vaikuta omaan verkkoon saman tien, se voi vaikuttaa seuraavana tai sitä seuraavana päivänä.

Tuota tietoa tuskin saakaan kovin helposti selvitettyä. Pääseikka kuitenkin on se, että nykyaikainen maailma tallentaa eri puolille niin monenlaista tietoa, että siitä ei pysy kärryillä sitten millään.

Puhutaan mistä tiedosta tahansa, on todennäköisempää, että se tallentuu ainakin jollain tapaa kuin ei ollenkaan. Ja kun tietää tietojen olevan palautettavissa WTC:n keskellä olleesta kiintolevystä, voi hyvin päätellä, että tietoa on paitsi tallennettuna, myös saatavilla aika pohjattomasti.

Kaiken tiedon seulomiseen ja läpikäymiseen vain vaaditaan nykyisellään niin tolkuttomasti resursseja, että tapauksen pitää olla todella merkittävä että tosissaan edes yritettäisiin käydä kaikkia keinoja läpi. Kuka tuon aina vain madaltuvan kynnyksen ylittää, löytää itsensä tiilenpäitä lukemasta.

Hommanhan voi aloittaa kirjaimellisesti klikkauksella. Vaan siihen vaiheeseen päästäkseen jonkun on täytynyt tehdä huomattavasti työtä etukäteen, josta on myös jäänyt runsaasti jälkiä seurattavaksi.

Tapahtumien selvittäminen viekin sitten vähintään päiväkausia, eli kirjaimellinen karkuunjuoksu ei karkausmahdollisuuksiin vaikuta. Länsimaissa tarpeeksi pahat tapaukset jäljitetään tai ainakin voidaan jäljittää, minkä takia hommaan pitäisi myös panostaa. Mitä vaikeampaa ilkivalta on, sitä suurempi on kynnys sen tekemiseen.

Muualla päin maailmaa on sitten helppo ottaa oppia, kun siellä tullaan teknologisesti lähemmäs nykyistä länsimaailmaa ja voidaan suoraan apinoida toimivat mallit rikosten ehkäisemiseksi. Tietyt valtiot tuntien ei välttämättä täysin vapaaehtoisesti.

Kahta 56 kbps modeemia kohti ei ole varattu kuin max. 100 kbps kaistaa, ja noita tarvitsisi 200, jotta olisi edes 10 Mbps, ja silloinkin kyseessä olisi tehottomampi dosnet: pitäisi itse lähettää käskyjä 200-kertaiselle määrälle koneita.

Viisi 100 Mbps konetta taas olisi vastaavasti vaarallisempi kuin 10 000 modeemia. 100 Mbps -yhteyksiä löytyy Suomessa satamäärin opiskelijoilta - kaappaa yksi sellainen tai 2 000 modeemia.

Mainittu 100 000 kpl dial-up -yhteyksiä siis vastaisi siis noin viittäkymmentä 100 Mbps -palvelinta, mikä on sekin heikko eväs IRC-häiriköintiä tai parin webbisaitin tukkimista kummempaan tihutyöhön.

Menneenä vuosituhantena oli kovin yleistä, että irkkiteinit pistivät pystyyn botnetteja rootatuilta firmojen koneilta, joilla sitten pitivät kanavia. Sitten toinen teini dossasi kaikki nuo koneet alas ja valtasi kanavan, siirtäen hallussapidon omalle botnetilleen, joka sekin dossattiin...

Onneksi tuo on hellittänyt itsestään viime vuosina, kun "mirkkwarr-skene" on hiipunut harrastajien kasvettua. Mikäli IRCnetissä olisi jotain vastaavaa kuin SILCnetin founder-mode tai QuakeNetin chanserv, ei koko skeneä olisi varmaan syntynytkään. Monillahan homma lähti ihan Click Nukella sähläilystä: "Höhö, sain ton Windows-koneen katkaseen irkkiyhteyden, voiskohan seuraavaks tehä jotain viel siistimpää".

Kukapa rakentaisi dosnetiä, kun sillä ei voisi tehdä mitään ja "omistamisestakin" voisi päätyä linnaan?

Tämä ei ole hakkerin kannalta ongelma, jos käytettyä kännykkää, sijaintia tai aikaa ei voida liittää häneen henkilönä. Tyyppi pitäisi saada kiinni rysän päältä, että näyttökysymys saataisiin ratkaistua. Jos tyyppi ei toimi kotoaan käsin, on aika hankalaa osoittaa kuka touhun takana on. Kännykänkin voi aina tuhota vaikkapa viskaamalla suonsilmään.