bardóczi ákos @post.r

Két nappal ezelőtt hozta nyilvánosságra Ysrael Gurt, a Cynet kutatója azt a sebezhetőséget, amit kihasználva egy nagyon egyszerű trükkel bárki olvashatta másvalaki összes üzenetét, eddig, mivel a Facebook most végezte el a bugfixet. Arról már volt szó, hogy ne bízzunk egy szolgáltatásban csak azért, mert több száz millióan, jelen esetben pedig több, mint egy milliárdan bíznak benne, ami meg konkrétan a Facebookot illeti, a hiba még akkor is több, mint durva, ha figyelembe vesszük, hogy az üzenetküldőt messze nem bizalmas üzenetek továbbítására találták ki, majd írták át egy egyszerű XMMP-alapú chatmodulból. Nyugi, nem szedem elő ismét azt a rémesen nyomasztó jelenséget, hogy már sokan már a Messengert használják az email helyett annak ellenére, hogy mennyi elképesztő, Messengert érintő sebezhetőség jelent meg csak idén.

A mostani sebezhetőség lényege, hogy amikor csetelés vagy üzenetküldés közben a kliens XML HTTP kéréseket küld, közben egy Javascript folyamatosan ellenőrzi, hogy a kommunikáció valóban a kliens és a Facebook csetszervere közt történik-e, teszi mindezt a kérésekkel továbbítódó Access-Control-Allow-Origin és Access-Control-Allow-Credentials fejlécekkel dolgozva. A bökkenő csak az, hogy a Facebook egyedileg implementált, oldalon keresztüli kéréseket ellenőrző része megtéveszthető egy rosszindulatú, az áldozat által gyanutlanul lefuttatott Javascript-kóddal olyan módon, hogy az üzenetfolyam _bármilyen_ szerver, jelen esetben mondjuk a támadó szervere irányába menjen illetve legyen hozzáférhető. Az eredmény: a támadott felhasználó összes üzenete, annak minden csatolmányával, teljes egészében ellopható. A hiba természetesen minimum azóta rohad a Facebook üzenetküldőjében, mióta átálltak az XMMP-szerű rendszerről, azaz több éve.

A támadás kivitelezéséhez nem kell sztárhekkernek lenni, bárki kivitelezhette, aki jártas a webfejlesztésben.

A bejelentés egyszerűsített változata itt érhető el a műértők számára érdemes megnézni a teljes bugreportot itt. 

Az Originull-nak csúfolt sebezhetőség PoC-videója pedig itt tekinthető meg

Alighanem többen vannak, akiket a technikai részletek kevésbé érdekelnek, ezért írok egy kicsit arról is, hogy milyen, technikai problémán messze túlmutató hatása van annak, hogy világméretű szolgáltatások ilyen fájdalmas hibákat tartalmaznak. Ugyanis az este mutattam egy fejlesztő ismerősnek, aki eljópofizta a dolgot, amivel instant sikerült felidegesítenie.

A Gartner előrejelzése szerint 2020-ra a felhasználói információk átlagosan kétharmad-háromnegyed részben semmilyen módon nem lesznek megvédhetőek, ami ha valóban bekövetkezik, akkor egy eléggé vérfagyasztó szingularitás küszöbén állunk, ami a teljes civilizációra komolyabb hatással lesz, mint első blikkre tűnik. Mire gondolok konkrétan?

Egyrészt ismert, hogy mióta kialakult a mai értelembe vett emberi kommunikáció, megelőzve az írásbeliséget, ezzel egy időben jelent meg az emberben annak az igénye, hogy amit a másikkal közöl, bizonyos esetekben ne tudja mindenki. A civilizációk többségében ha négyszemközt mond az egyik fél valamit a másiknak, akkor azt nyilván azzal az elvárással teszi, hogy az az információ valóban köztük marad, hiszen számos esetben nagyon súlyos következménnyel is járhat az, ha valakitől vagy valakiktől széles körben elérhetővé válna olyan közlés, amit titokban kellene tartaniuk. És még csak nem is kell nagy dolgokra gondolni, teljesen köznapi esetekben is vannak ilyenek, hacsak valaki nem egy remete, mondott már el olyan a bizalmasainak, amik ha nyilvánosságra kerülnének, minimum vércikik lennének, de sanszos, hogy az illetőnek az egzisztenciája, melója, önbecsülése veszne oda.

Másrészt több modell igazolja, hogy a társadalmat stabilizáló egyik legfontosabb tényező az emberek egymás közti általános, egymásba fektetett bizalma, amit nyilván teljesen aláás az, ha semmit sem lehet mondani úgy senkinek, hogy ne kelljen attól tartani, hogy az a közlés bizony simán kikerülhet. Világos, hogy egy ilyen világban még a legidiótább, legnihilistább embertársunk sem élne szivesen.

Mindezek ellenére a felhasználók döntő része egyszerűen csak legyint az egészre, jön ezzel a „nekem nincs titkolni valóm” című őrülettel annak ellenére, hogy a kommunikációnk olyan mértékben a netre költözött, hogy nem nagyon tudok elképzelni olyan – csúnyán mondva - jelentéktelen embert, akinek ne lehetne okozni súlyos érdeksérelmet, ha csak úgy bele vájkálnának a netes magánéletébe és elkezdenék teregetni, amit találtak, mondjuk egy kirúgott ex.

Amit a tömeg egyszerűen nem ért meg, mi több, alighanem nem is gondolt rá soha, hogy nem csak azoknak az információknak a bizalmasságáért, sértetlenségéért felelős, amiket ő irkál másoknak, akár email, akár IM-üzenet, hanem minimum morális felelősséggel tartozik azért is, hogy megőrizze azoknak az adatoknak a bizalmasságát, amit neki küldött más annak tudatában, hogy azt csak a címzett olvassa majd, legalábbis más nem nagyon. Vegyük észre, hogy előállt egy olyan hülye paradox helyzet, hogy ma az emberek hallgatólagosan elvárják egymástól, hogy amit egymással magánüzenetben közölnek a neten, az bizalmasságát tekintve legyen olyan, mint egy négyszemközti beszélgetés, ugyanakkor egyáltalán nem szocializálódtak bele abba, hogy ennek a feltételeihez alkalmazkodniuk kell, hasonlóan ahhoz, amikor valakinek súgva mond valaki másnak valamit.

Messze nem lehetetlen, hogy konkrétan elszabaduljon a pokol, ha nem szokik hozzá egyszerűen mindenki ahhoz, hogy hogyan kommunikáljon magánban a neten ésszel, éberen, tudatosan. Miért mindenki? Azért, mert én hiába járok el a legnagyobb körültekintéssel, amikor valakinek üzenetet küldök, ha az illető nem veszi komolyan azokat az újonnan megjelenő játékszabályokat a kommunikációban, amik civilizációs léptékben a levelezés vagy könyvnyomtatás megjelenésével összemérhetőek, ilyen módon tőle kikerülhet az az információ is, amit én küldtem neki bizalmasan.

Ennél jobban komolyan nem tudom elmagyarázni, hogy én amolyan tüneti kezelésként miért kérek mindenkit, hogy emailt küldjön, hívjon fel vagy ha már nagyon szeret csetelni, legalább ne valamilyen hulladékot használjon, hanem olyan alkalmazást, amit sejthetően nem lehet csak úgy megroppantani, így például Telegramot, esetleg Signalt.

Többször volt már olyan, hogy valaki nekem valamilyen traumáját nem tudta szóban elmondani, ezért elküldte emailen. Na most akkor szépen képzeljük el, ha a feladó által elküldött levelet nem csak én olvashattam volna, hanem én, plusz a csajom, plusz a legjobb barátom, akikkel alighanem a másik nem osztott volna meg egy olyan többéves traumát, amit velem osztott meg először. Oké, ilyen jellegű levelet azért nem sokat kaptam, viszont olyat rendszeresen kapok, amit a szakmai tartalma miatt felelősségem megfelelően védeni.

Hogy milyen lesz a magánszféra szép új világa? Sejthetően egy rakás, a semmiből megjelenő, parasztvakító cég fog még megjelenni, miközben még a legelővigyázatosabb felhasználó is majd csak lesegethet, mint pocok a lisztben, ha egyetlen hülye levelezőpartnere miatt a teljes köztük lefolytatott levelezés vagy más üzenetküldés kikerül, esetleg felkerül a Pastebin-re vagy a szürke- vagy feketepiacon adják el HR-cégeknek vagy egészségbiztosítóknak, miközben a magánéletét közösségi weben rutinszerűen kiteregető birkanyáj ilyen-olyan kormányzati megfigyeléstől tart.

Nemrég jelent meg az Origó Tech rovaton egy egészen pazar kis cikk az UFÓ-elrablások történetével és lehetséges értelmezéseivel kapcsolatban.

Ami az idegen civilizációkat illeti, nagyon röviden a témával kapcsolatos véleményemet azzal a remek idézettel tudnám visszaadni, amivel találkoztam nemrég: az, hogy a Földök kívüli élet létezik, körülbelül annyira biztos, mint az, hogy soha nem fogunk találkozni földönkívüliekkel. Röviden: nincs okunk feltételezni, hogy lenne intelligens élet a Földön kívül, azt meg pláne nem, hogy ide járnának a kis szürke emberkék afterpartizni, na meg teheneket boncolni néha elborult texasi farmokon, persze szigorúan éjszakánként, mert nyilván akkor izgalmas.

Visszatérve az Origó-cikkre, remekül összefoglalja azt, hogy egész egyszerűen túl sokan számoltak már be nagyon hasonló módon arról, hogy elrabolták őket az idegenek ahhoz, hogy egy legyintéssel el lehessen intézni a dolgot azzal, hogy mindenki, aki azt állítja magáról, hogy elrabolták, kattant lenne vagy hasonló. Ezt a posztot meg konkrétan most azért írom, mert több ponton is megszólítva éreztem magam, miközben olvastam, másrészt lemaradt vagy elkerülte a figyelmem egy nagyon egyszerű és legalább annyira valószínű magyarázat azzal kapcsolatban, hogy miért annyira hasonlóak az UFÓ-elrablásos sztorikról szóló beszámolók szinte függetlenül attól, hogy egészséges emberektől származnak vagy olyanoktól, akiknek agyukra ment az X-akták.

Arról az idegen nyelvekkel foglalkozó posztomban már írtam, hogy a beszéd sosem volt az erősségem, de kompenzáltam azzal, hogy eléggé korán megtanultam olvasni. Ami viszont sokkal több kellemetlenséget okozott az életemben, hogy mióta az eszemet tudom, nagyon rosszul aludtam. Ahogy elkezdett érdekelni a jelenség oka, halomra olvastam az alvás fiziológiájával kapcsolatos könyveket, az érdeklődésemet pedig csak fokozta, hogy hébe-hóba nálunk aludt még régen egy barátom, aki éjszaka összefüggéstelenül elkezdett beszélni, majd persze spontán visszaaludt és egyáltalán nem emlékezett semmire. Ez persze gyerekkorban eléggé gyakori és általában spontán kinövi az ember, a szóban forgó spanom még 17-18 éves kora körül is rendszeresen karattyolt álmában, de nem ám egyszer-egyszer, hanem egyetlen éjszaka alatt 4-5 alkalommal is! Ennek persze már cca. 10 éve, akkor csőre töltöttem egy diktafont, ami hangra kapcsol be, viszont nem lettem okosabb attól, hogy meg tudtam állapítani, hogy az éjszaka mely részeiben kezd el beszélni álmában. Anno még nem voltak olyan felbontású, na meg pláne éjjel látó kamerák, mint ma, pontosabban persze, hogy voltak, csak éppenséggel nekem nem volt, de ha lett volna is, a rögzített motoros funkciók alapján sem tudtam volna meg sokkal többet, hiszen 20 éves koromra nyilván nem okosítottam ki magam neuropszichológussá vagy hasonló, csak egyszerűen érdekelt.

Ami a saját alvászavaromat illeti, a szüleim szerint kiskoromban rendszeresen felültem az ágyon, majd visszafeküdtem és egyáltalán nem emlékeztem rá, de ez spontán elmúlt, de ez gyerekkorban gyakori. Középiskolás koromtól pedig egész egyszerűen nagyon nehezen tudtam elaludni, függetlenül attól, hogy betartottam-e alaposan az alváshigiéniés szabályokat vagy sem. Az ilyen-olyan gyógynövények szart se érnek, a vényköteles altatók pedig nem hogy javítottak volna a helyzeten, hanem sokkal inkább rontottak, ami persze nem jelenti azt, hogy másnál nem lenne hatékony, csak azt, hogy nálam nem volt az. Pedig akkor még nem is voltak olyan visszatérő fájdalmaim, amik az alvást megzavarták volna. Végül úgy-ahogy olyan módon rendeződött a dolog, hogy kialakítottam egy pontos rituálét azzal kapcsolatban, hogy hogyan aludjak el, de az alvásom még mindig sokszor nagyon problémássá válik, amit azért élek meg szubjektív kevésbé kellemetlenként, mert megtanultam együtt élni vele, ami viszont hatalmas szerencsém, hogy 6-7 óra alatt tényleg teljesen ki tudom aludni magam, csak sokszor még ennyit sem könnyű összehozni egyhuzamban, természetesen még akkor sem, ha egyébként alhatnék többet.

Mi köze van ennek mégis az UFÓ-elrablásos sztorikhoz? Az, hogy bizonyos értelemben egyszer engem is elraboltak a földönkívüliek! Nem vicc, magyarázom is, hogy miről van szó. Máig pontosan fel tudom idézni részletekbe menően, hogy 4-5 éves lehettem, amikor az ágyam mellett kis, szürke lények jelentek meg, akik teljesen lebénítottak, nem tudtam megmozdulni, majd keresztülrepültem a lakáson, pont úgy, mint a filmekben, majd miután alaposan megvizsgáltak, visszatettek az ágyra. Féltem ugyan a sötétben, de nem jobban, mint a hasonló korú gyerekek, azt sem mondanám, hogy traumatizált volna, egyszerűen csak sehogy sem értettem. Aztán később találkoztam egy lehetséges – és legvalószínűbb – magyarázattal.

Mielőtt belecsapnék, a kis kísérletre kérném az olvasót! Ne gondolkozz a válaszon sokat és ne csapd be önmagad: gondolj egy gyümölcsre, most! Igen, amire gondoltál, az alma volt. De írok sokkal absztraktabbat: karácsony táján készítettem ezt a fotót és posztoltam valahova azzal a szöveggel, hogy „igen, neked is ugyanaz jutott eszedbe”.

Az apróról mindenkinek az első dolog, ami eszébe jutott a karácsonyi szezonban, a Reszkessetek betörők film „tartsd meg az aprót, te mocskos állat” örökbecsű idézete.

Közismert, hogy ha forróvíz fröccsen a valamelyik testrészünkre, egyszerűen elkapjuk, ami nettó reflex, semmi több! Az pedig már a gerinceseket megelőző gerinchúrosok törzsének fajainál is megfigyelhető, azaz nagyon ősi viselkedésforma. Egy stimulus, ami egy pontosan bejósolható reakciót vált ki. Viszont nem kell különösebben kiműveltnek lenni a neuropszichológia területén, hogy belássuk: sokkal magasabb rendű idegélettani folyamatokat, tudati és tudattalan működéseket állnak annak a hátterében, hogy arra a kérdésre, ami szerint melyik az első gyümölcs, ami eszünkbe jut, az alma legyen az, legalábbis a teljes európai és észak-amerikai populációban biztosan. Az alma tudati leképezése, ha úgy tetszik, mentális reprezentációja ráadásul egy relatív egyszerű eset ahhoz képest, hogy karácsony táján egy maréknyi apró képéről mindenkinek egy jól ismert film egy bugyuta idézete jusson eszébe!

Kicsit félelmetes belegondolni, hogy célzott stimulusok ismeretében mennyire pontosan befolyásolható lehet elvben az emberi viselkedés, ha úgy tetszik, azaz mennyire determinisztikus, amit gondolunk vagy érzékelünk egy-egy észlelés vagy a észlelést megelőző inger hatására!

Itt nagyjából el is érkeztem a lényeghez. Nem tudjuk, hogy egy-egy, apró, specifikus inger hatására kiváltódó gondolatsor bizonyos esetekben mennyire lehet részletgazdag, komplex, természetesen annak érzelmi töltésével együtt, de feltehetően nagyon. Az Origó cikkében is emlegetett alvásparalízis még annál is sokkal rémesebb állapot, amint amilyennek le van írva, ami azért fontos, hogy nem feltétlenül jár doxazmákkal [ez olyan állapot, amikor valaki nem csak hallucinál valamit, hanem el is hiszi, hogy amit tapasztal, a valóság része], érzéki csalódásokkal, hallucinációkkal és full egészséges emberben is előfordulhat.

Amikor először olvastam erről, összeállt a kép a saját ufós sztorimmal kapcsolatban, a magyarázat pedig alighanem sokkal egyszerűbb, mint ahol keresni szokás. Nyilván gyerekkoromban is kerülhettek a tévében elém mindenféle paráztatós ufós filmek, amik amellett, hogy egy kaptafára mennek, mindig úgy kezdődnek, hogy a filmbéli hős először egy vakító fényt lát.

A saját elrablásom magyarázata alighanem az lehetett, hogy éppen olyan alvási fázisban voltam, ami éppen kedvezett egy alvásparalízis-szerű állapothoz, amikor szüleim felkapcsolták a villanyt a másik szobában. Ha pedig így történt, az is előfordulhatott, hogy a hirtelen felvillanó fényt hiába szűrte ki a szemhéjam illetve a beszűkülő pupilla [aminek az izomzata természetesen működik alvás közben is, különben a fél világ levakult volna már például napozás közbeni elalváskor], mégis elvakító fényáradatként észleltem. Ekkor pedig a tudat a tapasztalt inger alapján meglévő, minimális információból megpróbálja felépíteni a legvalószínűbb racionális, a meglévő tudattartalmak keretei közé fogható magyarázatot, ami alvás közben nem éppen egyszerű. Pont ekkor tévesztett meg a tudatom, de eléggé durván. Hát persze, hogy ufó-elrablás, mi más lenne! Márpedig ha egy ilyen pályára terelődik az ember fantáziája, amit ugyebár nem tudunk kizárni, az éberség közben jellemző racionális útra terelni, mint éber állapotban, szépen lejátszódik az, amit a korábbi ismereteinkből építkező tapasztalati alapú emlékezet diktál – ami jelen esetben a paráztatós-ufós filmek voltak. Azaz a felvillantó fényt szükségszerűen követni fogják a kis szürke emberkék dög nagy légyszemekkel, az ágyból kiemelkedés érzete és így tovább. Alighanem velem is ilyesmi történhetett.

A földönkívüliekkel foglalkozó tévében megjelenő tartalmak érthető módon egyfajta kollektív kulturális tudat részévé válnak, amihez a jó ég tudja, hogy milyen mértékben, de még hozzácsapódik a Jung által feltételezett [ugyan IMHO tudományosan nem túl stabil lábakon álló] kollektív tudattalan rendszere is.

A magyarázat tehát könnyen lehet, hogy tényleg ennyire prózai és fél fokkal sem bonyolultabb! Más kérdés, hogy persze, vannak szép számmal, akiknek meggyőződése marad, hogy tényleg elrabolták a földönkívüliek, függően például attól, hogy mennyire hajlanak rá, hogy olyan magyarázatokat is elfogadjanak, amik egyébként teljesen életszerűtlenek. Magukról a repülő csészealjakról úgy szoktak beszélni, mint rendkívül fényes, ellipszis alakú testek az éjszakai égen, amik hirtelen jelennek meg és olyan hirtelenséggel tűnnek el, hogy az biztosan nem lehet például repülő. Igen ám, csakhogy tipikusan így látszódhatnak a műholdak egy jókora része is, amin éppen megtörik a fény.

Az élettudományok a legtöbb jelenségre olyan módon adtak magyarázatot a tudomány története során, hogy az egészséges működést megértve vált értelmezhetővé egy-egy szokatlan vagy kóros működés. A magatartástudomány esetén viszont számos esetben éppen a fordítottja történt, azaz a kóros állapotból következtettek arra, hogy hogyan működhet egy-egy életfolyamat egészséges módon. Ennek a legközismertebb esete, hogy a különböző agyi régiók szereposztását akkor kezdték el kapisgálni, amikor a különböző fejsérüléseket követően a kor orvosai dokumentálták, hogy bizonyos részeken bekövetkezett fejsérülések milyen viselkedésbeli változással vagy fogyatékossággal jártak együtt, így sikerült az elsők közt azonosítani a beszédért felelős agyi régiókat. Kicsit itt is hasonló a helyzet, csak gondolati sémák terén, amikor például férj és feleség meggyőzik egymást arról, hogy tényleg elrabolták egyiküket egy ufóval.

Olvastam olyat, amikor az egész család azt állította, hogy rohadt nagy óriáskígyók bóklásznak a lakásban, mire az anamnézis során kiderült, hogy csak egy családtag szenvedett olyan betegségben, ami ilyen típusú hallucinációt és ehhez makacsul kapcsolódó tévhitet eredményezett, viszont akkora szerepe volt a család életében, hogy egy idő után már az egészséges családtagok is meg voltak róla győződve, mi több, szintén látták az óriáskígyókat a lakásban.

Ennek megfelelően nagyon valószínűnek tűnik az a magyarázat, hogy egyetlen egészséges, de  markáns ufó-elrablásos élménnyel rendelkező családtag élménye gyakorlatilag „átragadt” a többi családtagra is, gyakorlatilag a téves élmény tényének fenntartása egy önmagát katalizáló folyamattá válik.

//gépház üzen: érdemes lesz követni a blogot, mert hamarosan jönnek a jobbnál jobb big datás és IT-s témák, ne maradj le, lájkold a blog FB-oldalát itt!

Viszonylag gyakran szokták mondani, hogy a tömegtájékoztatás feladata a minél pontosabb, gyorsabb és hiteles tájékoztatás, azaz egy-egy hír közzétételének esetleges következményei miatt már nem vonható felelősségre a hír előállítója. Személyes véleményem, hogy ez még akkor sem állná meg a helyét bizonyos esetekben, ha egy hírt teljesen objektíven közölnének.

1992. áprilisában Los Angelesben négy rendőr igazoltatott gyorshajtás miatt egy fekete sofőrt, aki ellenszegülni próbált a közúti ellenőrzés során, mire a négy – nem mellékesen fehér illetve hispán – rendőr alaposan helybenhagyta, amiről videófelvétel készült, majd megjelent a helyi televízióban. Ezt követően nem sokkal elszabadult a városban a pokol: szinte példátlan lázadás tört ki a városban, a keletkezett kárt egymilliárd dollárra becsülik, több, mint ötven fő életét vesztette, a rend helyreállításához többek közt a nemzeti gárdát kellett segítségül hívni. Ami külön érdekesség, hogy a példásan liberális amerikai sajtó történetében szinte példátlan módon bírósági végzés született azzal kapcsolatban, hogy a felvételt tilos a továbbiakban bárhol is közzétenni, persze már késő volt.

A sok-sok tanulság közül amit mindenképp kiemelnék, hogy a tömegtájékoztatásnak egészében igenis van felelőssége, másrészt akár egy-egy hír esetén is mérlegelni kell, hogy annak közzététele nem sért-e olyan mértékben közérdeket vagy társadalmi érdeket, hogy az már masszívan szembe megy azzal a társadalmi érdekkel, amit a sajtó hivatott szolgálni.

Bizonyos területeken a teljes sajtóhoz viszonyítva szokatlanul gyakran találkozni olyan információval, aminek az idő előtt történő közzététele súlyos érdeksérelemmel járna. Ez az oka annak, hogy ha a tesztelők, külső etikus hekkerek például a pénzintézeti adatbázisok de facto standardjának tekintett Oracle motorban találnak valamilyen sebezhetőséget egy adott bank esetén, akkor ennek a részleteit csak azt követően teszik közzé, miután az érintett bankot tájékoztatták és a hibát kijavították. A kutatók véleménye megoszlik azzal kapcsolatban, hogy melyik a legjobb reporting gyakorlat, az ún. partial disclosure, azaz amikor csak érzékeltetik egy-egy érintettel, hogy a rendszerében hiba van vagy esetleg a full disclosure, amikor a hibát teljes egészében, minden részletével együtt közzéteszik, így kényszerítve például az érintett pénzintézetet, hogy a hibát azonnal javítsa. Az utóbbi nyilván az a kockázatot hordozza magában, hogy a hibát kihasználhatja egy támadó még az előtt, mielőtt a szóban forgó hibát javítani tudnák.

Nemrég vettem részt egy kicsi, ámde kiváló szakmai rendezvényen, ahol az ország egyik legelismertebb etikus hekkere beszélt a Sony Entertainment elleni támadásról. A Sony elleni támadást a fősodrú média, ahogyan ez lenni szokott, úgy mutatta be, mintha egy igencsak kifinomult, nagy szakértelmet igénylő, nehezen kivédhető támadásról lett volna szó. A látványos breach-ekről olvasva rendszerint az olvasókban az a benyomás alakul ki, hogy itt aztán tényleg egy komoly technikai bravúrt hajtottak végre valamiféle guru csúcshekkerek.

És ez baj. Komoly baj.

Kisebb részben azért, az olvasókban torz benyomást alakítanak ki az információbiztonsággal foglalkozó közösséggel kapcsolatban, ha a prosztó módon, amatőr módszereket használó támadókat úgy kezeli a mainstream sajtó, mintha tényleg hekker guruk lennének. Egyrészt ez sérti azok önérzetét, aki tényleg értenek hozzá, másrészt a tömegekben össze fog kapcsolódni az információbiztonsággal kapcsolatos tevékenység a számítógépes bűnözéssel. Egyszerűbben fogalmazva: simán elképzelhető, hogy egy laza, de személyes ismerősömnek hozzáférnek valamilyen netes fiókjához, aztán azt fogja gondolni, hogy biztosan én voltam úgy szórakozásból, csak azért mert úgy gondolja, hogy én képes lehetek rá.

Mi a másik súlyos következménye annak, ha a hírekben megjelenő támadásokkal és támadókkal kapcsolatban téves kép él az emberek fejében? Ahogy a meetup előadója nagyon frappánsan megfogalmazta, egyfajta nihilisata hozzáállás felé sodorja a felhasználókat. Azaz aszerint a séma szerint fognak gondolkozni, hogy fölösleges odafigyelni az információbiztonságra, hiszen "úgyis van valaki", aki fel tudja törni a hozzáféréseit, ha nagyon akarja. Ennek a nihilista hozzáállásnak lehet következménye vagy ha úgy tetszik tünete, hogy manapság a gépek közel felén semmilyen antivírus szoftver nincs telepítve. De alighanem a jelenség része az is, hogy a végfelhasználók nem titkosítják az adataikat, holott ez mindössze néhány kattintás lenne már a Windows XP elterjedése óta, illetve már közhely emlegetni, hogy gyenge jelszavakat használnak, ráadásul több helyen azonosat. Korábban már részletesen taglaltam, hogy miért nem mondhatja senki azt a mai világban, hogy "az én adataimra senki sem kíváncsi".

Visszatérve az előadásra, a Sony elleni támadást valószínűleg nem az Észak-koreai kormány követte el, de ha már hírbe hozták őket, nyilván nem mondták azt, hogy nem ők voltak. Gondoljunk csak bele, ha történne egy olyan kísérleti atomrobbantás, amire felfigyel a fél világ, de csak hírbe hoznák Észak-Koreával, az fix, hogy nem tiltakozna kézzel-lábbal a diktatúra jóllakott napközis hülyegyereke Kim Jong Un személyében azzal, hogy nem ő voltak.

A Sony elleni támadás kivizsgálása során kiderült, hogy a cég éveken keresztül tömegesen kapott teljesen közönséges adathalász leveleket, így csak idő kérdése volt, hogy minél több alkalmazott hozzáférését tudják elhappolni. Ezen kívül természetesen a kutatók visszafejtették azoknak a kémprogramoknak a kódját, amiknek szerepet tulajdonítottak az adatlopásban, abból pedig kiderült, hogy ha nem is egy kontármunkáról van szó, több jel is arra utal, hogy a támadók igencsak béna módon hagytak nyomokat maguk után.

Nem merülnék technikai részletekbe, de lényeg, hogy a klasszikus vírusokat, rootkiteket, spyware-eket, a professzionális támadók úgy írják meg, hogy azok visszafejtése után ne lehessen következtetni a kilétükre illetve arra sem, hogy a rosszindulatú program milyen korábbi kártékony kód továbbfejlesztése lehet. Erre példa az első valódi informatikai fegyvernek tekintett, urándúsító üzembe bejuttatott Stuxnet és az abból származtatott, később azonosított csúcskártevők, amiknél nemcsak arra nem lehet következtetni, hogy melyik állam állhatott a létrehozásának hátterében, de sokszor még olyan részleteket is elhelyeznek ezekben a malware-ekben, amik megpróbálják félrevezetni a kutatókat!

Ehhez képest a bénább kártevők írói egy halom olyan jellegzetességet hagynak a kártevőjükben a programozásuk során, ami később könnyebben azonosíthatóvá teszi őket.

Az is szóba kerül, hogy az olyan rémes buzzwordök, mint a "nulladik napi sebezhetőség", vagy "szofisztikált támadás" eleve gyanakvásra adnak okot a figyelmes olvasókban.

Hatalmas hiba lenne figyelmen kívül hagyni, hogy a média mellett az IT biztonság is egyre meghatározóbb biznisz, így az bizonyos informatikai biztonsági megoldásokat kínáló cégek jórésze ki is fogja a szelet a vitorlából és a kommunikációjukat szándékosan úgy alakítják, hogy azzal maximalizálják a bevételüket azon keresztül, hogy eladnak olyan terméket is az ügyfeleiknek, amikre valójában nem is lenne szükségük vagy éppenséggel nem olyan módon. Nem is tudom már, hogy hol olvastam, de hatalmas igazság, hogy nem a biztonságot szavatoló technológiai megoldást kell eladni, hanem a biztonság érzetét. Ami nyilván sokkal könnyebb, ha bizonyos szintű félelemérzetet keltenek az ügyfelekben.

Ebben pedig a fősodrú média nagyon gyakran akaratlanul és tudattalanul partner, mi több, a jelenségnek már réges-régen neve is van: FUD, azaz fear, uncertainty, doubt.  

A FUD mögött gyakran könnyen felfedhető az üzleti érdek, ha magyar példát kell hoznom, alighanem nagyon sokan emlékeznek rá, amikor a szolgáltatók a mobiltelefonálás hőskorában azt állították, hogy a mobil függetlenítése olyan bűncselekmény, amiért börtön jár, holott, nem több, mint egy polgárjogi szerződésszegés a telkószolgáltató és az ügyfél közt, de ilyen miatt még az életbe nem indult per az országban. Az már más műfaj, amikor valaki tömegesen és pénzért halomra függetlenítette a mobilokat. Amikor a szolgáltatók látták, hogy ezzel nem lehet gátolni a folyamatot, később azt hangoztatták, hogy a függetlenítés károsítja a mobilt, ami a régi mobilok esetén szintén nem volt igaz.

De ha FUD-ról van szó, a legkomolyabb, leginkább autentikusnak nevezhető cégek is nyilatkoztak már olyan módon, hogy amögött az üzleti érdekek eléggé világon kivehetőek voltak. Például az Apple nem kevesebbet állított néhány évvel ezelőtt, mint hogy a jailbreakelt mobilok kinyírhatják a mobil adótornyokat, míg hivatalosan egy szó sem esett sokáig a jailbreakeléssel járó valós kockázatokról.

Átverések és visszaélések persze a net előtt is léteznek, – kultúrafüggően ugyan – sokszor addig nem szorultak vissza, amíg valaki a saját bőrén nem tapasztalta meg azt a kárt, amit azzal szenvedett el, hogy átverték olyan esetben, amikor tevőlegesen ő maga tette mindezt lehetővé. Az már látszik, hogy a netes közegben teljesen hasonló a helyzet, a kérdés csak az, hogy szervezeti szinten milyen módszerek lehetnek a leghatékonyabbak arra, hogy mintegy immunizáljuk az alkalmazottakat a tipikus átverésekkel szemben.

A social engineering élt, él és élni fog… A rendezvény végén több gondolatindító kérdés is felmerült azzal kapcsolatban, hogy a gyakori, nagy kockázattal járó és emberi gondatlanságból adódó incidenseket hogyan lehetne megelőzni figyelembe véve azt, hogy a céges hálózatokba érkező kártevők több, mint fele email csatolmányként érkezik, amit egyszerűen csak nem kellene megnyitni, nem is beszélve a klasszikus adathalász levelekről, amit egyre inkább személyre szabottan próbálnak eljuttatni egy-egy címzettnek. Ismétcsak úgy tűnik, hogy a technikai fejlődéssel és benne lévő kockázatokkal egyszerűen nem tudott lépést tartani kultúránk, nem tartom kizártnak, hogy ezt lényegesen siettetni nem is lehet. Azaz a technikai evolúciót utolérni sincs esélye a kulturális evolúciónak, ugyan előremutatónak tűnnek azok az ötletek, mint például az, hogy a biztonságtudatosságra egészen a kezdetektől kellene szocializálni mindenkit kisiskolás kortól.

Ha visszaélésekről van szó, világos, hogy mik nem jelentenek megoldást. Például a Magyarországon ezerszer módosított, információs önrendelkezésről szóló törvény a netes közeg vonatkozásában annyit nem ér, mint amennyi a papír, amire valaha is kinyomtatták: még évekkel ezelőtt a jól ismert fikaoldalak a jog betűjére teljesen fittyet hányva hordták fel a felhasználók közösségi webes szolgáltatásból származó fasztortás, bepiálós vagy más módon kínos fotóikat, a törvénynek semmiféle visszatartó ereje nem volt. Viszont eléggé világosan látszik, hogy a náluk néhány évvel fiatalabb és rugalmasabb, most 14-22 éves generáció már jóval elővigyázatosabb azzal kapcsolatban, hogy mit tesz közzé a neten, ha a nagy átlagot nézzük. Azaz a technológiai kockázat és az internet természete maga szankcionálta a felhasználót a saját hülyesége miatt, aminek a hatása néhány év alatt érezhető lett.

Egy munkahelyek ugyanakkor nem tűnik túl életszerű megoldásnak az, hogy a fertőző hivatkozásokra kattintó vagy Google Docs-ban érzékeny adatokat feltalicskázó alkalmazott felkerüljön mondjuk egy hülyetáblára és más szankcionálási formák is vélhetően inkább a szervezeten belüli feszültséget növelnék, mint a biztonságtudatosságot, éves, évtizedes beidegződések nem változtathatóak meg csak úgy.

Az Adecco IT Academyben különösen az tetszett, hogy különböző területről érkezett szakértők, érdeklődők oszthatták meg a tapasztalataikat, aminek hatalmas előnye, hogy ekkor olyan új következtetésekre juthat az érdeklődő, amire egy szűkebb körnek szóló szakmai rendezvényen alighanem kevésbé.

Igencsak tanulságos mini prankkel haknizott a Balabit IT Security a minap: Stockholmban és San Franciscoban szólítottak meg mobilozókat azzal, hogy kipróbálnának-e egy hordozható akkut, amit csak csatlakoztatni kell a mobilhoz és az akkut képes 5 perc alatt feltölteni. Vegyük észre, hogy eleve már csak azokat érdekelhette a dolog, akik nem voltak képben azzal kapcsolatban, hogy nem lehet feltölteni egy okosmobil akkuját 5 perc alatt, pláne olyan univerzális töltő nagyon valószínűtlen, ami erre képes lenne megbízható módon, hiszen eleve különböző mobilok akkumlátorai közt eléggé emberes eltérések vannak.

Később a srác megkérdezte az érintetteket, hogy nincs-e biztonsági szempontból aggályuk azzal kapcsolatban, hogy ismeretlen eszközt csatlakoztatnak kábellel a saját mobiljukhoz. Európában - legalábbis Stockholmban biztosan – láthatósan sokkal kevésbé illetve lassabban esett le, hogy mi ezzel az esetleges para.

A Facebook még a 2014-es F8 fejlesztői csúcson jelentett be több, Facebook-kisalkalmazást gyökeresen érintő változtatást. 

A módosítások április 30-ától hatályosak és azoknál az appleteknél lehetnek különösen feltűnőek, amik a felhasználó ismerőseinek körét használják egyik adatforrásként, egyébként pedig szinte mindnél.

Amikor egy Facebook appletet indít valaki, a FB illedelmesen rákérdez, hogy a szükséges engedélyeket megadja-e a felhasználó az alkalmazás számára, így például a születésnapot, az életkort, a profilkép lehívását, azt, hogy a felhasználó nevében posztolhat-e a falára, lényegében bármit, olyan információt is, ami egyébként minden ismerős elől rejtve van. A egység sugarú júzer pedig szokás szerint ekkor zsigerből kattint az engedélyezés gombra, az applet pedig lekérdezi a szükséges adatokat. Mindezt az alkalmazás az ún. Facebook API-n [application programming interface] keresztül teszi, aminek megvannak a maga játékszabályai, amik értelemszerűen időnként frissítésre szorulnak.

Alapvetően szinte az összes korábbi alkalmazásnak újra engedélyt kell kérnie a további működéshez az API 2.0-ás verziójának életbe lépése miatt, bizonyos alkalmazások egyáltalán nem lesznek működőképesek: eddig a függvénykönyvtár egy igencsak népszerű részét képezték azok a függvények, amik le tudták kérdezni a felhasználó ismerőseinek körét, sokszor az ismerősök ismerőseit, az ismerősökkel kapcsolatos cimkéket, hogy majd azzal kezdjenek valamit. Például az alkalmazás kiolvasta az ismerőseid, annak az ismerősi körét is a nevedben, majd mindebből rajzolt egy pofás kis gráfot, amiben vagy egyszerűen csak lehetett gyönyörködni, megint mások használhatták adathalászatra, a kutatók pedig természetesen a közösségek legkülönfélébb szempontú vizsgálatára.

Ez utóbbi műfajban az egyik kedvenc tudományos cikkem azzal foglalkozik, hogy egy jól irányzott kisalkalmazással még akkor is lekérdezhető, hogy az adott felhasználó kivel kavar, ha nincs is fenn az ismerősei közt az illető. Már volt róla szó, magyar nyelven ezzel a Precognox blogja foglalkozott A Facebook tudja kivel kavarsz - akkor is ha nem jelölöd a profilodon címmel. Amit azért fontos hozzátennem, ami úgy minden facebookos információra igaz, hogy itt sem maga a Facebook jelent kockázatot a felhasználó magánszférájára nézve, hanem az, ha a felhasználó mindenféle barom kisalkalmazásnak megad mindenféle engedélyt, aztán meg alaposan megfeledkezik róla. Ha történetesen adathalász alkalmazásról van szó, az alkalmazás készítője gyakorlatilag mindent láthatott a felhasználóról, az ismerősi körön keresztül például abból is adatbázist építhetetett a fejlesztő, hogy valaki mikor, kivel, hova checkolt be, teljesen észrevétlenül, egészen eddig akár évekig.

Az appok közül egyébként itt lehet kegyetlenül legyilkolni azonnal azt, amiről nem tudod azonnal, hogy micsoda, míg az Apps Others Use alatt azt szabályozhatod, hogy milyen adatokat tudjanak az appletek rólad lekérdezni. A Facebook Platform teljes kikapcsolása nem ajánlott.

Nem mennék bele abba a kérdésbe, hogy az előbb vázolt kockázat végülis a Facebook, a felhasználó vagy a rosszindulatú kisalkalmazások bűne, a mi szempontunkból a lényeg, hogy az API legújabb változatában az ilyen típusú kukkolásra csak sokkal körülményesebben van lehetőség, mivel kiherélték az ismerősök és velük kapcsolatos adatok lekérdezésével kapcsolatos függvénykönyvtár használhatóságát.

A F8 hivatalos bejelentésének leglényegesebb mondandóját ennél rövidebben aligha lehetne összefoglalni:

Any deprecated permissions will be removed from existing users, and won't be grantable by new users. This includes the friends_* permissions, xmpp_login or user_checkins.

A dokumentációban pedig az indoklás valahogy így néz ki:

To put people first. This update was in response to feedback from people who were uncomfortable knowing that a friend could share their information with an app. With Graph API v2.0, we wanted to make sure that people had more control over their information.

Na már most normális emberben felmerül a kérdés, hogy akkor eddig mégis miért nem eleve így volt? IMHO azért, mert a FB attól tartott, hogy a felhasználói élmény csökkent volna, ami miatt ugye eleve az egész Facebook lett volna valamivel kevésbé népszerű. A "To put people first" igaz, csak éppen nem abban az értelemben, ahogy a Facebook láttatni akarja: a felhasználók biztonsága nem érdekli őket jobban, mint korábban, egészen addig, amíg nem érkeznek olyan visszajelzések tömegesen, amiből arra következtetnek, hogy a felhasználók kevésbé érzik magukat biztonságban, ami nyilván nem azt jelentené, hogy a felhasználó ésszel él, aztán korlátozza a róla lekérdezhető adatokat illetve lelövi az általa futtatott, de ismeretlen, tisztázatlan működésű kisalkalmazásokat, hanem inkább kevésbé használja a FB-t. Emlékeztető: a felhasználók egy részének még így is túl bonyolult a felület!

Elsőre nem nagyon bonyolult dolgokra gondoljunk az ismerőskukkolda kapcsán! Láttam egy tucat olyan alkalmazást, ami persze pénzért figyeli, hogy ki törölt az ismerőseid közül, mindezt nyilván úgy, hogy periodikusan lekérdezi az ismerősök halmazát és összeveti a korábbival. Persze annak, hogy egy ismerős eltűnik, lehet oka az is, hogy az illető deaktiválja a profilját, törli magát a Facebookról vagy letiltja emberünket, azon a lényegi dolgon nem változtat, ami szerint a Facebook a hivatalos súgóban szavatolja, hogy nem jelzi, ha egy ismerős töröl a kontaktjai közül. Erre nyitott kiskaput néhány fizetős mobilapp a kezdetektől azok számára az egoista türhők számára, akik képesek voltak ezért még pénzt is kiadni, azzal kapcsolatban pedig most inkább nem mondanék véleményt, ha valakinek annyira gesztus értékű az, ha más törli ismerősei közül, hogy szükségesnek látja ezt kisalkalmazással figyeltetni, valamit az életben nagyon rosszul csinál...

Végülis amellett, hogy a Facebook - pontosabban ahogy tisztáztam, az API-ja – biztonságosabbá is vált, sajnos sok-sok kutató alaposan szívhatja a fogát, aki például szociometriai kutatásaihoz a Facebookot használta adatforrásként. Az ismeretségi kör továbbra is lekérdezhető bizonyos esetekben, így például, ha a másik, adatforrásként használt ismerős szintén használja ugyanazt az alkalmazást az összes szükséges permissionnel, de nyilván teljesen életszerűtlen, hogy egy alkalmazást az összes ismerősünk használjon, körülbelül annyira, mintha azt mondanád valakinek, hogy "lécci tedd már fel ezt az appletet, mert szeretném tudni, hogy mikor tiltasz le".

Ma amolyan fészezős napot tartok, hamarosan jön még egy poszt arról, hogy hogyan értesülhetsz általad meghatározott szabályok alapján SMS-ben vagy Google Talk üzenetben egy-egy facebookos történésről, a friss posztjaim követéséhez itt tessék csengetni a Követés gombra kattintással: https://www.facebook.com/bardoczi

kép forrása: http://qz.com/140357/what-your-facebook-friends-list-reveals-about-your-love-life/