Kirjaudu

Uutiskirje

Rekisteröidy Sektoriin ja tilaa itsellesi joko aamuisin tai iltaisin ilmestyvä uutiskirje sähköpostiisi.

Torstai, 28.2.2002

Tietomurto sai New York Timesin paikkaamaan verkkoaan

New York Times (NYT) heräsi korjaamaan intranetistään löytyneitä tietoturvareikiä 21-vuotiaan kräkkerin murtauduttua sisään yrityksen tietokantoihin. Tietoturvakonsultiksi itseään kutsuva kräkkeri Adrian Lamo käytti murtovälineenä tavallista nettiselainta. Aukko NYT:n verkossa löytyi Lamon mukaan aivan sattumalta hänen tutkiessaan useita sivustoja. Lamo pääsi NYT:n verkkoon välipalvelimen (proxy) kautta ja hänen onnistui saada käsiinsä mm. luettelot lehden tilaajista sekä työntekijöiden henkilötiedot sosiaaliturvatunnuksineen.

Lamo on jo aiemmin tunnettu muutamasta tietomurrosta, joissa hän ei kuitenkaan ole hyödyntänyt aukkoa mitenkään, vaan on ilmoittanut kohteelleen, miten verkko tulee korjata. Tälläkin kerralla Lamo otti murron jälkeen yhteyttä Security Focukseen ja pyysi apua tapauksen dokumentoinnissa. Julkisuuteen tapaus tuotiin vasta sen jälkeen, kun NYT oli paikannut Lamon löytämät reiät. "Minulla ei ole mitään motiivia teolleni. Ymmärrän, että monet pitävät tekoani lainvastaisena, moraalittomana tai vieläkin pahempana," sanoi Lamo.

Lue juttu K2, 28.2.2002 11:32. Lähde: Computerworld

Muita aiheeseen liittyviä uutisia

Rekisteröidy ja kirjaudu sisään, jos haluat kommentoida.

Kommentit ( 9 uutta / 9 )
pistettä.
Näytä vain kommentit joilla on vähintään
Lisätietoa
Anonyymi kommentoija, 28.2.2002 18:31:55		 Pisteet: +1
Tuosta allaolevasta osoitteesta löytyy jonkinmoista juttua kyseisestä henkilöstä.

http://www.securitytimes.com/index.php?option=news...
Lisätietoa
Anonyymi kommentoija, 28.2.2002 18:34:22		 Pisteet: +1
Ja tuossa hieman toisesta paikasta infoa...
http://online.securityfocus.com/news/296
Liiketoiminnan sabotoija
Anonyymi kommentoija, 1.3.2002 01:52:07		 Pisteet: +1
Yritysverkot ovat poikkeuksetta reikäjuustoja. Erilaisia järjestelmiä on yrityksissä jopa useita satoja. Ylläpitäjät eivät voi hallita ja seurata jokaisen konsernissa olevan tietojärjestelmän viimeisimpiä security hazardeja. Eikä se ole tarkoituksenmukaistakaan. Työpanoksesta valtaosa kuluu systeemin ohjaamiseen, muutostöihin ja liiketoiminnan tukemiseen eri muodoissaan mikä on tietohallinnon strateginen tehtävä. Joka on mukana hallinnoimassa niukoilla resursseilla suurta tietosysteemiä tietää mistä puhun.

Sitten joku jolla on liikaa aikaa etsii reikiä yrityksen verkoista, löytää ja julkistaa yrityksen nimen voitonriemuisesti. Pelkkä etsintä pitäisi mielestäni tuomita varkauden yrityksenä, vaaran aiheuttamisena liiketoiminnalle, liiketoiminnan sabotoimisena tms. Onnistuminen varkautena, törkeänä varkautena, yritysvakoiluna, henk.koht. tietojen joutuessa tulilinjalle yksityisyyden loukkaamisena asianomistajana jokainen altistunut yksilö. Tästähän on realistisesti kyse.

Kun tarjoan rappurallin naapurin Toyotan takalasista sisään, niin kaikki pitävät sitä rikoksena vaikka ymmärtävät ettei auton lasi pidättele osaavaa kriminaalia. Kun tunkeudun toimistorakennukseen sorkkaraudalla ja luen yrityksen mapit (tietokannat) niin kaikki pitävät sitä rikoksena vaikka tietävät ettei tavallinen toimistorakennuksen ovi pidättele sorkkarautaa. Kun vielä julkistan tehneeni tämän niin tietenkään siitä ei tule mitään seuraamuksia. Sehän oli (tieto)turva-aukko ko. järjestelmässä ja siten (tieto)murto oli oikeutettu. Oma moka, hei.

Tietoteknisiin rikoksiin on käsittämätön suhtautuminen oikeusjärjestelmässä. Jos tietosysteemi ei ole spedenpitävä, niin sen saa altistaa ja yrityksen luottamukselliset tiedot viedä. Tuomiot ovat naurettavia. Odotan viimeisimpien skriptipentujen tuomioita vesi kielellä (140000 järjestelmää murrettu, 300 altistettu). Onkohan verrannollinen mitä tulisi sorkkarautatoiminnassa. Tuskin tulee edes kovaa.

O tempora, o mores.

Vic - vastuussa miljardeista, pellejen armoilla
Datamike Siinä rajoilla
Datamike, 28.2.2002 14:01:04		 Pisteet: +1
MIelenkiintoinen persoona tämä Adrian Lamo. Tekee tietomurtoja selvittääkseen että miten hyvin firmat on suojautuneet. Sinänsähän hän ei tee pahojaan jos kerran ei käytä hyväkseen näitä reikiä ja ilmoittaa aina firmalle kyseisestä reiästä. Aika kaksi piippuinen juttu. En välttämättä haluaisi ihmisten kopeloivan mun intranet:ä mutta haluaisin mieluusti tietää mahdollisista tietoturva riskeistäkin. Se kyllä ihmetyttää että jos henkilö taitaa asiansa niin miksi ei hae töitä tietoturvakonsulttina ja tee sitä laillisesti.
"Given enough eyeballs, all bugs are shallow."
Re: Siinä rajoilla
Anonyymi kommentoija, 28.2.2002 16:10:33		 Pisteet: 0
Se kyllä ihmetyttää että jos henkilö taitaa asiansa niin miksi ei hae töitä tietoturvakonsulttina ja tee sitä laillisesti.>
Tämä on muutenkin vähän 'boheemi' tyyppi tämä Lamo. Eihän hän edes asu missään vakituisesti, tuttujen nurkissa välillä pyörii ja nettikahviloissa surffailee päivät pitkät.
Re: Siinä rajoilla
Anonyymi kommentoija, 28.2.2002 18:14:11		 Pisteet: 0
Se kyllä ihmetyttää että jos henkilö taitaa asiansa niin miksi ei hae töitä tietoturvakonsulttina ja tee sitä laillisesti.>
Tämä on muutenkin vähän 'boheemi' tyyppi tämä Lamo. Eihän hän edes asu missään vakituisesti, tuttujen nurkissa välillä pyörii ja nettikahviloissa surffailee päivät pitkät.
Saako jostain enemmänkin tietoa ko henkilöstä?
Pineapple Re: Siinä rajoilla
Pineapple, 1.3.2002 08:28:27		 Pisteet: 0
MIelenkiintoinen persoona tämä Adrian Lamo. Tekee tietomurtoja selvittääkseen että miten hyvin firmat on suojautuneet.
Tulee ihan mieleen elokuva Sneakers ( http://www.imdb.com/Title?0105435 ), IMO yksi kaikkienaikoijen parhaista hakkerileffoista.
Pineapple
Re: Siinä rajoilla
pitr_, 28.2.2002 17:28:05		 Pisteet: 0
(...) En välttämättä haluaisi ihmisten kopeloivan mun intranet:ä (...)

;-) kyllä portin 80 hiplaus aina teinibileet voittaa
Re: Siinä rajoilla
Anonyymi kommentoija, 1.3.2002 13:01:11		 Pisteet: 0
(...) En välttämättä haluaisi ihmisten kopeloivan mun intranet:ä (...) ;-) kyllä portin 80 hiplaus aina teinibileet voittaa

oot jokseenkin oikeessa :)))