bardóczi ákos @post.r

Microsoft OneDrive, Google Drive, MEGA, Yandex Disk, Apple iCloud vagy Dropbox? Nem, nem fogok írni sokak után egy ezer plusz egyedik cikket arról, hogy ezeket összehasonlítgassam, inkább írok arról, hogy milyen szempontok alapján érdemes fájlhoszting szolgáltatót választani személyes célra.

Sokakkal előfordult már, hogy otthon felejtettek egy fontos pendrive-ot, esetleg ellopták a gépét vagy más módon, de fontos adatokat vesztett el, amikről ugye a felhasználó sosem készít mentést, amíg először meg nem történik a baj. A cloud fájlhoszting szolgáltatók ugyan ezt a problémát gyakorlatilag egy az egyben ki tuják küszöbölni, használják is egyre többen, viszont nagyon nem mindegy, hogy melyiket, több szempontból sem.

Nagyon gyors felzárkóztatóként írom, hogy ezekhez a szolgáltatásoknak része egy gépre telepíthető kliensprogram, amivel ki lehet jelölni azokat a mappákat a gépen, amiket szeretnénk a saját gépünk mellett a felhőben is tárolni. Azaz ha egy ezen belüli fájlt módosítunk, a módosítás  szinte azonnal megtörténik a felhőben tárolt példányon is, hasonlóan minden  más fájlművelethez, azaz az egész olyan, mintha egy hálózati meghajtó lenne. Itt most a személyes használatra szánt szolgáltatásokkal fogok foglalkozni, főleg információbiztonsági és stabilitási szempontból, de emészthetően.

Ahhoz képest, hogy mennyi fájlhoszting szolgáltató van meglepően kevés az olyan, aminek a freemium változata szerintem megfelel az átlagos felhasználói igényeknek és azoknak a biztonsági követelményeknek, amiket ha mindenki követne, egy boldogabb világban élnénk.

Korábban már írtam róla, hogy a PRISM-para után számos semmiből előtűnő netes cég, legyen szó levelezésről, fájlhosztingról vagy csevegőprogramról, úgy fogta ki a szelet a vitorlából, hogy a felhasználók tájékozatlanságára építve olyan ostobaságokkal bizonygatta azt, hogy ők aztán tényleg a legbiztonságosabbak, mint például hogy a szervereik valamilyen egzotikus országban vannak, ahova nem ér el sem az EU sem az USA mocskos mancsa /*#LOL!*/, illetve egymást akarták túllicitálni azzal kapcsolatban, hogy a szervereiken milyen erősségű titkosítás mellett tárolják a felhasználóik adatait.

Nos, több tárhelyszolgáltató valóban megvalósította, hogy a felhasználó amikor adatot feltölt, azt kliensoldalon a kliensprogram vagy a böngésző titkosítja, eleve titkosítva tolja fel a szerverre, a szerver azt tárolja, amikor pedig a felhasználó letölt a tárhelyéről, letöltődik a szerverről az igencsak erősen titkosított adatmassza, amit a felhasználó a saját kulcsával, amit jelszó véd, szépen kibont. Eléggé gyorsan belátható, hogy ugyan ilyen esetben nyilván a szolgáltató sem látja, hogy milyen adatot is tárolnak nála ténylegesen, viszont egyrészt nagyban korlátozza a lehetséges kényelmi szolgáltatásokat, másrészt eszközfüggő ugyan, de a fájlok szinkronban tartását lassabban végzi. Harmadrészt pedig olyan kockázat ellen véd, aminek a bekövetkezési esélye meglehetősen kicsi, nevezetesen, hogy valaki közvetlenül a szerverhez férjen hozzá valamilyen módon, aztán arról emeljen le adatokat, amihez ugye eleve tudnia kellene, hogy egy sok(tíz)ezer gépből álló privát cloudban melyik gép is az, amelyiken az ellopni, hatóságok esetében pedig lefoglalni kívánt adat van. Nos, igen, a jó öreg MEGA-ra gondolok, amivel végfelhasználói szempontból a legnagyobb para látszólag paradox módon éppen az, hogy nincs lehetőség jelszóhelyreállításra vagy a fiók teljes törlésére, ha a felhasználó nem tud belépni. Az viszont igenis életszerű, hogy valaki az áldozat  MEGA-jelszavát egy keyloggerrel ellopja, belépés után megváltoztatja, a fiók tulajdonosa pedig nem tehet semmit.

A MEGA-t azért emeltem ki, mert a legbiztonságosabb szolgáltatónak tartják, elméletben az is, gyakorlatban viszont épphogy ezért nem.

Ha belegondolunk a jelszólopás rizikója miatt, a felhasználói név és jelszó páros egy-egy belépéshez mindenhol édeskevés, pláne abban az esetben, ha az összes dokumentumunk fenn tanyázik a fellegekben, ugyanakkor a többlépcsős hitelesítést aminek a legegyszerűbb megvalósítása, hogy a felhasználói néven és jelszón kívül egy SMS-ben érkező vagy mobilapp által generált, fél percig érvényes tokent is meg kell adni belépéskor, ha olyan eszközről lép be, amiről korábban nem lépett még be. Azaz az azonosítás kétlépcsős, 2-FA. Viszont egy kezemen meg tudom számolni, hogy hány normális fájlhoszting szolgáltató van, amelyik ezt lehetővé is tenné, legalábbis a freemium változataiban.

Nem teljesen mindegy, hogy szerveroldalon az adat mennyire titkosított abban az esetben, ha egy közönséges jelszólopással is elérhető mind a kliensoldalon keresztül? Na ugye! A saját fájljainkhoz tipikusan csak a saját eszközeinkkel szeretnénk hozzáférni, ugyanakkor a jól kialakított 2-FA lehetővé teszi, hogy ha idegen gépen kell belépnünk egy fájl eléréséhez, a munkamenet egyszeri legyen, azaz más gépén ne jegyezze meg a böngésző, mint saját eszközt. Tehát a 2-FA elemi feature kell, hogy legyen!

A MEGA-t még akkor kezdtem el használni, amikor nekem alkalmasabb még nem volt, nemrég az átköltözésnél pedig volt szerencsém kipróbálgatni a komolyan vehető alternatívákat, amikkel kapcsolatban azt tapasztaltam, hogy több téren éppen arra alkalmatlanok, amire kitalálták őket.

Szép dolog, ha nagy az ingyenesen használható tárhely, ez viszont teljesen mellékes, ha nem talicskával hordjuk fel a HD pornót, hogy ne a gépen foglalja a helyet, hanem valóban dokumentumokat, forráskódokat és fotókat tárolnánk rajta, ami pedig nyilván sok apró fájlt jelent, amit a szolgáltató esetleg egyszerűen nem tud kezelni. Márpedig tényleges felhasználói adatból átlagosan 10-20 GB-nál több aligha van, aminek folyamatosan frissnek is kell maradnia.  

Google szolgáltatást a Youtubeon kívül elvből nem használok ugye, viszont eleve titkosított fájlokat próbáltam feltolni a Google Drive-ba, aminek a kliensprogramja az első volt, amelyik egyszerűen megadta magát, mivel nem tudta kezelni a túl sok fájlt a feltöltésnél. Kiírta ugyan, hogy behalt, azt már nem, hogy milyen fájloktól dobta el az agyát. Viszont abban az esetben, ha valakit nem zavar, hogy a Google-felhőben tárolt adatok olyan infrastruktúrán működnek, aminek a kialakításánál a költséghatékonyság volt az egyik fő szempont, a Google semmiféle felelősséget nem vállal egy-egy adatvesztés miatt, hajrá! Ugyanakkor a Google Drive jól teljesít nagy méretű fájlok feltöltésénél, de itt különösen igaz, hogy a felhőbe eleve titkosítva kellene feltolni az adatot. A Google mezei és üzleti felhasználásra szánt Google Apps változata közt semmiféle lényegi különbség nincs.

A Google Drive szerveroldalon ugye nem titkosít. Hogy miért eleve titkosítva? Egy fél pillanatig se felejtsük el, hogy az adatok védelme elméletileg a Google európai leányvállalatának policyjától függ, gyakorlatilag meg ugye annak az államnak a jogbiztonságától, ahol az adott konkrét felhasználó adatait ideiglenesen vagy tartósan tároló szerverek vannak. A Google pedig stílusosan a felhasználó földrajzi helyéhez legközelebbi adatközpontba fogja az adatot lapátolni, nos, Magyarország meg nem egy olyan ország, ahol különösebb visszhangja lenne egy adatlopásnak.

Az Európában kevésbé ismert Yandex Disk kliensprogramja már lényegesen jobban teljesített sok apró fájl esetén, de alapvetően szintén megadta magát idővel, de nem ez volt benne a legirritálóbb, hanem az, hogy az én esetemben pont akkor nem működött a kliensprogram, amikor a 2-FA-t bekapcsoltam, innentől kezdve pedig felejtős a dolog, ugyan alighanem a hibát előbb-utóbb javítják. Webes felületen 2-FA mellett viszont problémamentesen működik, tökéletesen alkalmas olyan adatok tárolására, amiknek az elérésére, módosítására csak ritkábban van szükség.

A Microsoft OneDrive kliensprogramja szintén a sok apró fájlba döglött bele először, viszont ha ezeket a húzós tartalmú mappákat külön-külön töltöttem fel, problémamentesen működött. A OneDrive-val kapcsolatban többször emlegetett adatvédelmi aggály, hogy folyamatosan pásztázza a felhasználók által feltöltött tartalmakat, alapvetően illegális tartalmak után kutatva, például a nagy mennyiségű, szerzői jogvédelem alá eső, megosztott könyvek, na meg a visszaélésre esetlegesen alkalmas fotók miatt harap. Szép és jó, hol itt a probléma?
Természetesen mindezt egy mintázatfelismerő algoritmus végzi, az viszont ismétcsak nem világos, hogy ha az algó talál ilyet, akár falspozitívan gyilokpornóként azonosítva egy farsangi képet, azonnal szögre akasztja a felhasználót vagy éppenséggel bekerül egy nagy kalapba, ahol már emberi ellenőrzésen is átmegy a dokumentum. Természetesen az is előfordulhat, hogy egy leendő, még nem szabadalmaztatott gyógyszerhatóanyaggal kapcsolatos részletes dokumentumot tekint a nagyokos algoritmus valami drogos cuccnak, ami enyhén szóval nem szerencsés, ha egy teljesen kívülálló alkalmazott elé kerül ellenőrzésre. Ugyan lehet még olvasni az Onedrive-on szinkronizálható fájlok számát érintő 20000-es limitről, ezt nem tapasztaltam.

Fontos tudni, hogy ilyen tartalmi ellenőrzést végez az összes nagyobb cloud szolgáltató, amelyiknek van rálátása a felhasználói adatokra, egyetlen megoldásként ismétcsak az javasolható, hogy a különösen rázós doksikat eleve titkosítva töltsük fel.

Szintén lényeges, hogy ne bízzunk ezer százalékig a felhőben, legyen air gapped másolata is mindennek olyan pendriveon, amit csak akkor húzunk elő, amikor nagyon kell. Ugyanis hiába, hogy a fájlhoszting szolgáltatókat arra találták ki, hogy kényelmesebbé és egyszerűbbé tegyék a fájlok kezelését különböző eszközök közt, simán előfordulhat, hogy pont ez okoz adatvesztést.

Ugyan nem mentem bele részletekbe, de ha egy fájlt módosítunk a saját gépünkön mondjuk Windowsban és természetesen nem sokkal később az OSX-et futtató almás laptopunkkal szeretnénk elérni, a szinkronizáló kliensprogramnak nyilván meg kell oldania, hogy a fájl újabb verzióját érjük el. Hogy ezt melyik kliensapp hogyan csinálja, annak nem mentem utána nagyon, a MEGA például a fájlok korábbi verzióiról készít egy-egy példányt, ami alapértelmezés szerint a felhasználó elől el van rejtve, de előhúzható szükség esetén. Annak felismerése, hogy melyik fájl a legújabb és melyiket kell figyelembe vennie a szoftvernek, valószínűleg úgy történik, hogy a szoftver megvizsgálja egyrészt az utolsó módosítás pontos idejét időbélyeg  szerint vagy éppen nyilvántartja a fájlok kiszámított hash értékét ami azonnal megváltozik, ha a fájlban módosítás történik. Az időbélyeget vagy a hash-ellenőrzőösszeget pedig ügyesen tárolja és kezeli olyan sebességgel, hogy ebből a felhasználó semmit se vegyen észre.

Aki szinkronizált már életében bármit bármivel találkozhatott azzal a jelenséggel, amikor éppen ez a kényelmi funkció okoz adatvesztést. Például a hülye box.com cloud esetén, amiről még nem írtam, ha a szinkronizálás rosszul van beállítva – jobb családokban a felhasználónak eleve szinte semmit sem kell állítgatnia – olyan módon, hogy egy helyben tárolt üres mappát szinkronizáljon egy olyannal, ami a felhőben már megvan vagy éppen fordítva, a box.com képes és az üres mappához igazodik úgymond, azaz törli a teljes tartalmát, ráadásul úgy, hogy azt esetleg vissza sem lehet állítani.

A cloud tároló vállalati környezetben gyakorlatilag megkerülhetetlen, személyes használat esetén pedig könnyebbé teszi az életet, viszont érdemes figyelembe venni, hogy mi az, amire alkalmatlan valamilyen szempontból – például a darkwebről bizonyítékként lementett tartalmak tárolására nem a legalkalmasabb.

Egy nem is olyan régi hír szerint pedig a legkomolyabb versenyzők esetén sem szavatolható 100%-ig, hogy valaki valamilyen újfajta technikával ne lásson át a felhőkön: Man-in-the-Cloud

Az Al-Kaida ismét hadüzenetet küldött a fél világnak. Ilyen mondjuk előfordul máskor is, a mostanival kapcsolatban azért meg kellett várnom, amíg a hír leülepedik bennem. 

Ha esetleg valakinek kimaradt volna, a néhai bin Laden fia, Hamza bin Laden, akiről amúgy alig tudható valami pontosan a Wikileaks és a Wikipedia lapjain fellelhető információn túl. 

Ami több mint para, hogy a napokban hangüzenetben gyakorlatilag az összes USA-szimpatizáns ország megtámadására szólította fel az Al-Kaidát, európai nagyvárosokat kiemelve. Most ugorjunk is át azon a morbid részleten, hogy miért van az, hogy a harcokat, de akár a kivégzéseket egyaránt tudják venni full-HD-ben, gondolom én, GoPro-val, ami aztán gyakorlatilag azonnal a neten landol, míg a hangüzeneteik ugyanúgy recsegnek és kiadós késéssel kerülnek nyilvánosságra, mintha a 70-es években lennénk. 

Mivel nem értek hozzá, nem tudom megítélni, hogy a mostani ténylegesen mennyire jelent fenyegetést Európára nézve, felvet viszont egy fogós kérdést. 

Egész életszerű az az elmélet, hogy az öreg bin Ladent azért találták meg annyira nehezen, mert a CIA-nek egyszerűen nem volt elegendő, arabul eléggé jól beszélő, beépülni képes ügynöke, aztán végülis a terroristavezért az étkezési szokásai buktatták le - egyrészt köszönet big data, másrészt még egy ok, ami miatt nem tudok mit kezdeni azokkal, az USA tömeges megfigyelési gyakorlatát kifogásoló idiótákkal arcokkal, Snowden meg a szerethető hazaáruló ugye. Bin Laden lekapcsolásának a lényege az volt, hogy sem az egyén, sem egy terroristacsoport étkezési szokásai nem változnak jelentősen időben, ezt tudva pedig "csak" ki kellett szúrni, hogy honnan rendelnek mindig hasonló arányban ételalapanyagokat és kik, ahonnan már csak egy apró ugrás volt megtalálni a terroristacsoport séfjeit, na meg magukat a terroristákat. Ezzel arra utalok, hogy nem volt egy rutinművelet lekapcsolni az Al-Kaida akkori fejét, mivel a terroristák gyorsan tanulnak, a jövőben meg pláne nem lesz az. 

Amire viszont valahogy nem görcsöltek volna különösebben rá különösebben a hírszerző szervezetek, hogy a terroristacsemetéket illetően mi is legyen a protokoll. Az tudott, hogy Hamza bin Laden már tizenéves korában is vett részt terroristaakciókban, abban pedig ezer százalékig biztosak lehetünk, hogy ha őt is ki akarták volna lőni, az összes emberjogi szervezet azonnal habzó szájjal csinálta volna a parádét, hogy nem lőhető ki egy kiskorú, lényegében kisgyerek csak azért, mert a fater terrorista. Ahhoz pedig nem kellett sokat várni, hogy világossá váljon: a felcseperedő terroristafióka bőven okozhat még kellemetlen perceket a világnak. 

Szóval szabad lett volna-e a mini Ladent szintén előhúzni, amikor még lehetett, de kisfiú volt? Ez az a komplex kérdés, amire ugyan az etika és a fiolózófia minden bizonnyal tud sederíteni egy frappánst választ, de alighanem nem olyat, amit a biztonságpolitika azonnal be tud építeni a saját gyakorlatába és annak megfelelően eljárni. 

Vagy az etika ad túl ködös válaszokat kicsit is összetett kérdésekre vagy inkább arról van szó, hogy valahol megtorpan a kommunikáció, ahol olyan távoli területek szakértőinek kellene konszenzusra jutniuk egy-egy kérdéssel kapcsolatban, mint a fiolozófusok és a biztonságpolitika véleményvezérei, stratégái. Márpedig ha erről van szó, nem is lehetne találóbb az a gondolat, hogy a huszadik századi tudománynak annyira sikerült szétszedni a világról alkotott képet, egyre kisebb és kisebb területről tudnak a kutatók minél többet, hogy ezeket már harmonizálni, társadalmi szempontból hasznosíthatóvá tenni az igazi bravúr. 

Tudvalevő, hogy a mammutcégek előszeretettel alkalmaznak házi filozófusokat, kicsit mintha késve kezdte volna el gründolni a blölcsész staffot az NSA, mindenesetre a próbálkozás dícséretes, hogy próbálnak erősíteni bölcsészfronton. 

képek: nypost.com, blogs.oregonstate.edu

Mármint pina nevű wifi-hálózat. De miért érdekes mindez? Mi az a wardriving? A heti második OSINT gyorstalpaló posztból kiderül.  

kép nagyban

Egyre többször kerül szóba a wifi hálózatok biztonsága, egy-másfél éve meg is keresett egy kiadó, hogy a készülő kötetükbe lektoráljam a vezeték nélküli hálózatok biztonságával foglalkozó részt, amihez ha nem is vagyok hülye, mint a harangöntéshez, de messze nem értek hozzá annyira, hogy egy ilyen fejezetnek szaklektora legyek.

A wifi hálózatok népszerűsége túl sok szót nem érdemel, amiről alighanem szintén eddig is többen hallottak vagy használták már, hogy számos olyan, known sourcingen, azaz közösségi tudásmegosztásra alapuló szolgáltatás van már, amin meg lehet nézni, hogy egy idegen helyen hol találunk legközelebb wifi-hálózatot. Na de honnan tudják ezek a szolgáltatások, hogy hol van wifi, és még azt is, hogy éppenséggel nyitott vagy valamilyen jelszavas hozzáféréshez kötött, ráadásul nem ritkán a hálózati eszköz olyan adataival együtt, amit nem a legbölcsebb, ha elárul a wifi-hálózat tulajdonosa?

Kezdetben volt a klasszikus wardriving, amikor megszállott geekek erre kihegyezett, laptopra kapcsolt antennákkal bóklásztak, amik folyamatosan figyelték a terepet, majd ha láttak egy wifi hálózatot, feljegyezték annak nevét, azt, hogy jelszóval védett vagy sem valamint természetesen rögzítették hozzá a pontos GPS koordinátákat. Ebből még annyira nem gyűlt össze tengernyi adat, néhány kivételes esettől eltekintve, mint amilyenről múltkor írtam a helymeghatározás kapcsán és csak részben volt elérhető a nagyközönség számára. Aztán jöttek a wifi-képes okostelefonok és ahogy az várható volt, ezt is megváltozott. Több alkalmazás is van, amin a mobilunkon meg tudjuk nézni, hogy a világ különböző pontjain milyen feltérképezett wifi-hálózatok vannak, ezek egy részénél opcionálisan, más részénél gyakorlatilag a használat kezdetekor elfogadjuk azt a feltételt, hogy a szolgáltatás használatáért cserébe a mi mobilunk is folyamatosan figyel, ha úgy tetszik jegyzetel, aztán tölti is fel a szolgáltatás adatbázisába az újonnan talált hálózatokat vagy frissíti azok tulajdonságait. A világ wifi routereinek nevének, pontos helyének és MAC-azonosítójának összegyűjtése és közzététele nem az ördögtől való dolog, viszont azon túl, hogy wifit foghatunk olyan helyen, ahol egyébként nincs netelérés, de szükség lenne rá, természetesen számos más célra is használható.

A nyitott wifi nem játék. Nemrég történt, hogy valaki egy család nyitott wifijét használva egy fórumon trollkodott egyet, konkrétan azt írta, hogy tele van robbanóanyaggal és használja is, ha kell, a fórumozót pedig persze az netelőfizetése alapján próbálták azonosítani, ami alapján rá is találtak egy családi házra, az Illinois állambeli Evansville-ben, ahova a SWAT igencsak nagy erőkkel szállt ki:

Mire aztán kiderült, hogy valójában valaki az utcáról használta a wifit, ők konkrétan nem robbantottak volna semmit. Arról, hogy a betört ajtó javításának költségét megtérítették-e a hékek, már nem nagyon van hír.

Azoknál a szolgáltatóknál, ahol bevezették a Wi-Free nevű őrületet, aminek a lényege, hogy más netkapcsolata is használható, ha az adott szolgáltatónál mi magunknak is van előfizetésünk, van némi ok a parára. Nos, elvben bárkinek wifi kapcsolata használható, - aki kimondottan nem tiltatta le a Wi-Free opciót, - mivel annak használata elvben saját előfizetéshez és azonosításhoz kötött, viszont sosem lehetünk benne biztosak, hogy
-    másvalaki a free wifihez kapcsolódó azonosítóinkat más nem szerzi meg, esetleg kéri kölcsön
-    esetleg nem lopják ki magától a szolgáltatótól
-    az előző kettő egyike sem, viszont az authentikációt a router olyan protokollon keresztül végzi, amiről rég tudott, hogy szar – nem vagyok benne biztos, de talán az egyik legnagyobb magyar netszolgáltató a MS-CHAPv2-et használja ehhez, amiről a Buhera Blog is beszámolt
-    esetleg a protokollal nincs probléma, viszont egyszerűen rosszul van implementálva, azaz leprogramozva az adott hálózati eszközben
-    ha még csak nem is használunk Wi-Free csodát, magának a routernek az alapértelmezett beállításai olyanok, ami alapján simán csatlakozhat rá bárki – poszt egy hazai példán keresztül szintén a Buhera Blogról erre

Másrészt tudva levő, hogy az olcsó 2 in 1, szolgáltatótól kapott kábelmodemek, amik routerek is egyben, ha önmagukban nem lennének eléggé közveszélyesek, maga a szolgáltató azzá teheti őket azzal, hogy egy WAN management protokollon keresztül az ügyfél tájékoztatása nélkül beleturkálhat valamilyen távbeállítás miatt, esetleg nem csak a szolgáltató, hanem bárki más is, amilyenre ugye szintén volt már példa.

Ha megnézünk egyet, a legnépszerűbb, wifis eszközöket feltérképező oldalak közül, mint amilyen a Wigle.net, akkor látható, hogy egy-egy hálózat nevére rázoomolva sokszor látható annak ún. MAC-azonosítója is, amiből kiderül a hálózati eszköz gyártója és sokszor az is, hogy melyik szériába tartozik.

Ez azért minimum problémás, mert rendszeresen fedeznek fel sebezhetőségeket bizonyos gyártók adott szériába tartozó eszközeivel kapcsolatban, amit ha egy támadó is tud, azt esetlegesen kihasználva hozzáférést tud szerezni a routerhez anélkül, hogy ahhoz tudnia kellene a belépési adatokat.

A routerekben persze beállítható, hogy az a nevét, az ún. SSID-t ne boardcastolja, viszont még ekkor is láthat minimum annyit például a mobil, ami a feltérképezést végzi, hogy mi a router MAC-címe. Nos, azért, hogy a MAC-cím alapján ne legyen a router típusa azonosítható, azt természetesen át lehet írni gusztus szerint olyan esetben, amikor ez lehetséges. Ugyanis több kábelmodem – ami tipikusan egyben wifi router is - esetén ha a MAC-cím megváltozik, a szolgáltatóval nem képes felépíteni a netkapcsolatot. Olyan részletekbe most nem mennék bele, hogy bizonyos eszközökön külön MAC állítható be a net és a belső hálózat felé, ahogy abba sem, hogy mindenképp egészségesebb a szolgáltató által biztosított kábelmodem és a gépeink közé egy saját routert is betenni.

Ne felejtsük el, hogy ha valaki telepített egy wifi hálózatok térképezésére és egyben gyűjtésére használt alkalmazást, könnyen lehet, hogy a mobil akkor is figyel és küldi a látott hálózatokat a szolgáltatás felé, amikor emberünk nem is tud róla, csak a az alkalmazás a háttérben fut.

Nem mintha nagy távolságból ne lehetne a wifi hálózatokat figyelgetni, de alighanem ez történhetett a több olyan közhivatalban is, ahol ilyen-olyan jópofa nevű hálózatokat vagy azok MAC-címét láthatjuk. A Nemzetbiztonsági Szakszolgálat egyik pina nevű wifijéről tudható, hogy egy kis Cisco-Linksys router, míg egy másik, közelben lévő, szintén pina nevű wifi hálózat egy Technicolor. Még egyszer: abban az esetben, ha nem mókolták meg a MAC-címet. Ezen kívül pedig figyelembe kell venni, hogy az adatbázisban nem feltétlenül minden adat friss, viszont az évszámot mutató csúszkát átállítva lehet rá következtetni, hogy a wifi hálózat mikor került fel először közszemlére.

Az ilyen térképekről egyébként sokszor nem csak az olvasható le, hogy hol vették lazábbra a figurát a kelleténél, hanem – lévén, hogy a jelerősség is fel van tüntetve – az is, hogy merre szoktak mászkálni az alkalmazottak illetve nyilván, ha sűrűn vannak egymás mellett wifi spotok, akkor abból látható, hogy egy könnyebben megközelíthető helyről, például az ügyféltérről van szó. Ezen kívül azok a mobilok, amik wifi hotspotként is képesek működni, természetesen szintén felkerülhetnek az adatbázisba, aminek a MAC-címe alapján pedig a mobilteló típusa derül ki.

Az Országgyűlés Hivatalának és a Parlament épületének legendásan hülye wifi policyjáról amúgy az Instán is találni képet:

kép: https://instagram.com/p/fSV88zsyHV/

A rendszeresen átirkált, kilométeres jelszavak használata helyes, az már kevésbé, hogy a Parlament területén lévő, összes parliament néven boardcastolt hálózatról megállapítható, hogy melyik Cisco szériába tartozik. De kis keresgélés után találni alighanem otthonról becipelt routert is a Parlament vagy más kormányhivatal területén, amivel sejthetően nem az ajtót támasztják, hanem szintén a belső hálózatához kapcsolódnak, ami ismétcsak nem túl bölcs dolog.

Találni viszont olyan eszközöket is, például a Teve utcai Sünplázában, aminél a MAC-cím alapján nem azonosítható sem a gyártó, sem pedig a típus - a MAC-cím leolvasásához a zoomolásnál az egyszerű térkép nézetet érdemes választani a műhold helyett.

Kutatásra fel, kommentben lehet nevezni a nagy Wifi Hülyenév Versenyre, közben pedig akkor se lepődjön meg senki, ha a Google megkérdezi, hogy miért is vagy kíváncsi valamilyen adatra:

Hivatalos alkalmazásboltból lett letöltve, több százezer felhasználó által, akik 4+ pontosra osztályozták, legitim alkalmazásnak tűnik és a mobilplatform bármely mobilját érinti, nem csak a megbuheráltakat, mi az? Igen, androidos kémprogram, mi más.

Már ha egyáltalán hírértékű az Android-mezőnyben, hogy a Google Play Storeban azonosítottak néhány olyan alkalmazást, amit letöltöttek és kitűnőre értékeltek több százezren, és teljesen mindegy, hogy az adott mobil rootolva van vagy sincs, így is, úgy is viszi az egész házat, pofátlanul gyakorlatilag minden adatot, amit csak lát. Ne legyenek illúzióink, a válogatás nélkül, minden áldozattól kilopott és összegyűjtött információ minden bizonnyal megvehető a feketepiacon, akár konkrét adatmasszaként, akár csak belépéshez szükséges felhasználói név-jelszó párosként, alighanem a díler csak annyit kérdez, hogy dekára vagy tonnaszámra venné a vásárló. Ilyesmit tesz lehetővé az a heti házikedvenc is, amit az ESET azonosított nemrég.

Az Android manapság olyan, mint a Windows 98 és Windows Millenium volt sokáig: mindenki tudta, hogy ön- és közveszélyes, de azért továbbra is mindenki használta, olyan sebezhetőségek illetve malware-ek megjelenése pedig, amik eget rengető, na meg részvénycibáló hatással lennének más platformokra, az Androidnál épphogy hírértékűek.

Mi több, előfordul, hogy még csak nem is kell alkalmazást telepíteni az androidos mobilra, mivel a felhasználó eleve úgy veszi meg hivatalosan a szolgáltató üzletében, hogy az eszközre  előtelepített alkalmazások lopják a felhasználói adatokat, ahogy az történt egy magyar szolgáltató által értékesített telefonszériával is. A hírt most nem keresem meg, de írom  egyszerűsítve, hogy mi történik a mobillal, mielőtt kikerül a polcokra. Úgy kell elképzelni a dolgot, hogy amikor az adott szolgáltató megrendel raklap számra adott márkájú, adott típusú mobilt, ahogyan azt is be kell állítani, hogy a mobil csak egy adott hálózattal álljon szóba – amíg nem függetlenítik – legyen rajta egy előtelepített Android, előtelepített alkalmazásokkal, ezt pedig ott csinálják, ahol a legolcsóbb, mondjuk Kínában, hol máshol. Miután elvégezték az előtelepítést, megy mondjuk Magyarországra, aztán persze kutya sem ellenőrzi, hogy a mobil nem küld-e a kelleténél több felhasználói adatot bárkiknek, a felhasználó tudta nélkül. Olyan ez a téma, mint a globális klímaváltozás vagy az éhínség, nem lehetne dokumentumfilmet csinálni abból, hogy az Android mindössze azzal, hogy olcsó, a mobilszegmens egy részét valahol a pattintott őskorban tartja, ehhez képest ha találnak egy bugot az iOS, Windows Phone vagy Blackberry egy ezer éve nem frissített verziójában, bégethet a nyáj, ha kihasználható a bug, ha nem. Ami meg aztán már végképp érthetetlen, hogy ha a felhasználók otthon, na meg a cégnél használnak személyi tűzfalat, vírusirtót, miért vesznek olyan mobilokat, amiről konkrétan tudják, alighanem lopható róla az égvilágon minden?  

Nos, normális ember nem engedné, hogy egy teljesen ismereten személy kattintgasson a LinkedINjén, Facebookján, Google-fiókján, Tinderjén, turkáljon az SMS-ei közt, ráadásul mindent lementsen és bárkinek el is adja, aki fizet érte. Androidot bezzeg használ a fél világ. Hát így.

Ha eltűnnék több napra, túlságosan belemerültem az irracionális fogyasztói döntések kutatásába, eltűntem az óceánon, esetleg csak a Balatonba fulladtam bele.

A Linux Torvaldsnak tulajdonított idézet szerint „Talk is cheap. Show me the code.”, szóval mostantól majdnem minden poszthoz írok példakódot könyvajánlót is annak, akit behatóbban érdekelnek a témák.  

Android-alapú szoftverfejlesztés - Az Android rendszer programozásának bemutatása (Ekler Péter - Fehér Marcell - Forstner Bertalan - Kelényi Imre)

Kép: phandroid.com

Ugorjunk is át azon a témán, hogy a nyári szabad idő eltöltésekor a fesztiválozás, a koncertezés vagy éppenséggel a disco a legmenőbb, szerintem az utolsó. Ami tény, hogy akármilyen rendezvényről is szó van, nagyon gyakran alkalmazott módszer a tömeges beléptetésnél a karszalag, aminek a lényege, hogy egy rendezvényen való részvétel joga ne legyen átruházható, ennek megfelelően vannak kialakítva a karszalagok is: feltenni mindet nagyon egyszerű, viszont ha valaki leveszi valami miatt - magyarul letépi vagy levágja - az teljesen biztos, hogy még ha ismét összerakható is, a biztonsági őr egyszerűen kiszúrja és nem engedi a belépést később. Elképzelhető olyan szituáció, ami miatt mégis szükséges egy karszalag leszedése olyan módon, hogy az ne sérüljön meg és később simán vissza lehessen tenni: mondjuk ha egy egyébként meglehetősen értékes kedvezményekre jogosító, egész nyárra érvényes karszalagnak - valószínűleg a festékanyaga - az én bőrömön allergiás reakciót vált ki néhány óra után.

Ha karszalagokról van szó, a legegyszerűbb a mindenki által jól ismert papír karszalag, ennél erősebb, stabilabb kell a nagyobb fesztiválok résztvevőinek, ekkor a karszalag anyaga is erősebb, gondolom nehezebben hamisítható és egy plombaszerű izé zárja le olyan módon, hogy a vendég akár a szalagot vágja el, akár a plombát töri le, annak nyoma marad: a karszalag érvénytelenné válik. Biztos van még néhány típus, én tegnap ugrottam el egyik kedvenc magyarországi szórakozóhelyemre, amelyik az adott nap olyan karszalagot adott a vendégeinek, amik jelentős belépési kedvezményeket jelent a nyár további részében, ami pedig a lényeg, hogy olyan megoldást használtak, amilyet én még korábban nem láttam, a karszalagnak viszont a nyár végéig a vendég csuklóján kell lennie, ami nem feltétlenül kényelmes megoldás.

 Az elvi működést lehetővé tevő felépítés a következő: adott egy műszál alapú, talán nagyrészt poliészter szövet szalag, aminek az egyik oldala hófehér, a másik oldala pedig mintás, mindez pedig egy olyan lapított gyűrűbe fut bele, aminek a belsejében alulról és felülről 4-4, egy irányba döntött fog található, ami "harapja" a szalag szövetét. A gyűrűben tehát egyik irányban minden további nélkül elmozdulhat a szalag, viszont ezzel ellentétes irányba már nem, ez biztosítja azt a stabilitást, ami miatt kizárt, hogy véletlenül leesik miközben a kultúrafogyasztó plázabenszülött bemindenezve révül a legújabb AVICII-re a tánctéren és persze, ami miatt leszedni csak úgy lehet, hogy visszaapplikálni nyom nélkül már esélytelen. Azért annyira mégsem. Inkább mutatom fotókkal, a gyűrű az eredeti fehér, szalagként pedig az ott kapott, szinte azonos anyagtechnológiai tulajdonságokkal rendelkező fekete szalagot használtam a képek elkészítésénél a szemléletesség miatt.

Fogak a gyűrű belsejében

Ahogy az ki fog derülni, még azt sem lehet megjátszani, hogy a vendég nem húzatja olyan szorosra a karszalagot a hostessel, olyan logika mentén, hogy ekkor elvileg a kézfejen keresztül ki lehetne bújni belőle, majd feltenni, amikor ismét kell.
 

Nos, mivel nekem már pár óra után kezdett vörösödni a csuklóm - tudjuk be annak, hogy a karszalag festékére allergiás a bőröm - a parti után azon agyaltam, hogy hogyan lehetne mégis úgy leszedni okosba', hogy később visszatehető legyen. Kézügyességet igénylő dolgokat nem csináltam soha, az ördöglakatokhoz sosem volt elég türelmem, a lockpickinghez mindig hülye voltam, máig csak a legegyszerűbb zárakat tudom kinyitni kulcs nélkül, ami viszont a karszalagot illeti, az is motivált, hogy meg tudom-e csinálni, ráadásul egyedül, azaz egy szabad kézzel.

A kézenfekvőnek tűnő, de nyilván hülye ötletek elvetése után abból indultam ki, hogy ha a működés arra az elvre épül, hogy hogyan kapcsolódik egymáshoz egy alapvetően lágy anyag, azaz a szalag és egy teljesen rigid anyag, azaz a gyűrű a fogakkal, akkor ilyen irányba lenne érdemes keresni a megoldást. A megoldás még mindig nem adja magát, de azért már derenghet: törjem ki a fogakat? Nem lenne egyszerű, mivel eleve annyira a szalagnak is van  térkitöltése a gyűrűbe húzva, hogy egy vékony szög se nagyon férne hozzá, vastagabb pedig a szalagot roncsolná. A cél tehát, hogy a fogak valamilyen módon engedjék el a szalagot. 

 Ekkor kitaláltam, hogy éppen azt a sajátosságot lehetne kihasználni, - na még egyszer: a gyűrű csak a lágy anyagokat fogja meg, a rigideket nem, a működés lényege pedig egy teljesen rigid és hegyes és egy, mondjuk úgy beakadós anyag közti, tisztán fizikai kapcsolódás. Ezért fogtam egy egyszerű PE-palackot, abból kivágtam egy olyan szélességű csíkot, ami a szalaghoz hasonló szélességű. A PE-csíkot pedig egyszerűen befűztem a szalag és a gyűrű fogai közé a megfelelő menetirány felől (mivel ugye a fogak cca. 45 fokban döntöttek) és violá a fogak elváltak a szalagtól. A felső rész könnyen ment, de még mindig van alul is 4 fog, ami tartja a szalagot. Innentől jött egy adag bénázás, mivel alapvetően csak az egyik kezemet használhattam, másrészt a második PE-csíkot már eleve sokkal nehezebben sikerült becsúsztatni, mivel ekkorra már eléggé szorosan állt az egész a gyűrűben. Inkább mutatom, itt csak az egyik oldalra fűztem be a PE-csíkot:

Ennyike, minimális mozgatás után a PE-csík a fogakat elválasztja a szalagtól, vegyük észre, hogy a PE-csíkba pedig nem tud beleharapni a gyűrű foga a rigiditása miatt, elcsúszik rajta, maga a szalag pedig mindkét irányba húzható, legközelebb is fel tudom tenni, ha megyek. Minimális az esélye, de ha már legközelebb kidobnak ezen népi bölcsesség közzététele miatt, viszont, ha tudnak belőle meríteni a fesztiválozók, már megérte megírnom.

A technika pedig nyilván tovább finomítható. A következő használat előtt azért, hogy a gyűrű egyrészt eléggé szoros legyen, viszont kevésbé szoruljon rá az anyagra, így kevésbe „rágcsálja” azt, ennek kiküszöbölésére azt találtam ki, hogy a gyűrű belső fogait vagy alul vagy felül "kihúzom", azaz kitöröm, amikor még a szalag nincs benne. Ami annyira nem egyszerű, mert a szinte minden anyagon átmenni képes orvosi szikével nem férek hozzá, a körömollóval lehet próbálkozni, de csak részleges lesz, inkább csak a fogak tetjén koptatja egy picit. Egy felhevített tű nyilván leolvasztaná a fogakat, nem vagyok sem idegsebész, sem órásmester, mi több, a kézügyességem az átlaghoz képest kimondottan rossz, viszont ebben az esetben elég lenne egy egészen apró, nem kívánt elmozdulás a felhevített tűvel, aztán a gyűrű úgy sérülhetne meg, hogy arról már levágósabb lehet, hogy valaki megpróbálta meghekkelni.

Záró megjegyzésként írom, hogy hasonlóan sok más itteni blogposztban leírthoz, ez a módszer is egy elméleti lehetőséget mutat be, proof-of-concepttel, ami nem jelenti azt, hogy próbáld is ki otthon azért, hogy átadd a haverodnak egy fesztiválon mondjuk, ami nemes dolognak tűnik, viszont nyilván sérti a rendezvény szervezőinek az érdekeit, azokat a szabályokat is, amiket egy rendezvénnyel való részvételkor elfogadsz, röviden fogalmazva csalás leszedni egy karszalagot azért, hogy utána más is tudja használni, hiszen az átruházhatatlanság a lényeg.

Azért nem használtam végig technikai szakkifejezéseket, mert lövésem sincs a témához, viszont ha ezt technika tanárként, anyagtechnológusként, lockpickerként, fizikusként olvasod, szivesen veszem, ha írsz, akár kommentben, akár magánban.

Ja, amúgy ezer hálám az esztergomi gimnazista csávónak, aki megmutatta a gyakorlatban, hogy az ingyenpiáért hogyan lehet duplán sorba állni - mivel korlátlan italfogyasztás van ugyan, de olyan suttyó módon megoldva, hogy a pultos akkor sem fog kettőt adni egyszerre egy vendégnek, ha amúgy tudja, hogy mindenki 15-30 percet várakozhat arra a piára.

 Ilyesmiből ismerheted fel, ha esetleg allergiás lennél valamilyen festékanyagra, amik a karszalagokra kerülnek.