Skräckexemplet Webgate

Sedan den 8:e augusti i år har någon börjat läcka data från ett intrång hos Webgate, det 10:e största israeliska datacentret med cirka 8500 kunder och 6000+ israeliska domäner. Läckan sker på en sida som öppnade den 1:a augusti och säger sig finnas för att just läcka data från israeliska siter och organisationer. Det ska ses i ljuset av att Israels vice utrikesminister tidigare i år uttalade sig väldigt taggigt om att sådana cyberangrepp ansågs vara terrorism och skulle vedergällas oavsett var i världen personen som låg bakom det befann sig.

Efter läckan den 8:e augusti gick tydligen Webgate ut och förminskade angreppen och sa att det inte alls var så farligt, att angriparna bara hade kommit åt vissa delar eller något liknande. Dumt gjort... jag kommer ihåg då ett annat företag gjorde samma sak för fem år sedan. MediaDefender gick ut och sade att de hade haft intrång, men att det inte aaalls var så farligt intrång. Något som då ledde till en ännu större läcka, inklusive inspelade telefonsamtal där MediaDefenders vd pratade med åklagare om att de hade rensat upp intrånget, att det var begränsat, läget under kontroll o.s.v..

Men trogna läsare till den här bloggen vet ju om att när en angripare väl kommit in är det i princip omöjligt att kasta ut angriparen utan att installera om rubbet. Intrång måste tas på allvar och hanteras korrekt.

För Webgate så kom motsvarande konsekvenser i att samtliga virtuella servrar och online backuper plockades bort, och filmerna på när det gjordes publicerades. *ouch*

Än en gång blir vi alltså påminda om vikten av att ha offline backuper. Vare sig det är en teknisk brist som i fallet TietoEnator, ett administrativt misstag, eller en angripare som gör det med flit, så finns det flera lägen där offline backup är absolut nödvändigt.

I det här fallet är säkerhet enkelt: chansa aldrig, ta alltid offline backup. Konsekvensen är alltför stor ifall något händer, så det är bara att ta omaket som offline backup innebär.

T-Mobile utsatt för politiskt motiverat intrång

T-Mobiles webbplats har haft intrång. Inget nytt i det, men det är ännu ett i raden av politiskt motiverade angrepp.

“They are known to be supporting the Big Brother Patriot Act law. Any cell phone company doing so I would see as a target,” said one of the hackers.

“One of the main reasons for the hack is because they are corrupted, but we also wanted to show how weak their security is.”

Man ska nog ta påstående med en nypa salt, T-Mobile är nog inte handplockat som den enda man varit intresserad av. Men kanske är det så att man utgått från en lista.

Från min synvinkel är det intressant eftersom jag tycker mig se en tätare integration mellan vad som händer utanför cyberarenan (organisationers handlingar, politiska vindar) och vad som sedan drabbar organisationer på cyberarenan. Många företag har beteenden som är lätta att uppfatta som svinaktiga. Många politiska beslut har starka meningsmotståndare. Den arabiska våren, Anonymous och Occupy-rörelsen har visat ett annat politiskt klimat där de som känner sig representera folket vill ha en större påverkan.

Att åsamka skada i den fysiska världen kanske inte många tänker på då av flera anledningar, men inom cybervärlden är spelfältet ett annat. Jag förväntar mig att den här typen av angrepp kommer öka markant de kommande fem åren.

Steam databasen stulen - 35 miljoner gamerkonton påverkas

Just nu håller omfattning på intrånget mot Steam forums på att rulla upp. Intrånget på forumen konstaterades redan i söndags, men nu har Valve gått ut och sagt att hela Steam databasen har tagits av hackare.

We learned that intruders obtained access to a Steam database in addition to the forums. This database contained information including user names, hashed and salted passwords, game purchases, email addresses, billing addresses and encrypted credit card information. We do not have evidence that encrypted credit card numbers or personally identifying information were taken by the intruders, or that the protection on credit card numbers or passwords was cracked. We are still investigating.

We don’t have evidence of credit card misuse at this time. Nonetheless you should watch your credit card activity and statements closely.

Precis som i fallet med Sony's Playstation Network har formulering valts som att man säger att man inte hittat några tecken på... alltså inte "det är inte så" utan "vi har inte sett att det skulle vara så". Det gör det svårbedömt, för man kan undra vilken motivation Valve själva har till att hitta om det vore så.

Ett exempel på några andra som också formulerade sig på detta vis var DigiNotar, där det efter att ett andra extern forensicsteam varit inne uppdagades att omfattning var väldigt mycket större än vad man först upptäckt. DigiNotar lades efter det intrånget ner, eftersom förtroendet i och med intrånget var helt förbrukat och deras certifikat plockade bort från de stora webbläsarna.

Konsekvenserna i det här fallet kommer förstås inte vara lika allvarliga. Steam användare har ända sedan i mars kunnat använda sig av Steam Guard för att förhindra angrepp mot just deras konton. Steam har också sin sida med Account Security Recommendations. Men det här är förstås en stor händelse. Samtidigt kan man undra varför angriparna valde att defacea forumet, när de hade kunnat ta konton från databasen och sälja dem för upp till 1000 dollar styck. Lite märkligt...

Drönarna har fått virus - Incidenthantering the Wrong Way

USA har på senare tid använt sig allt flitigare av drönarflyg för att spana och angripa specifika mål. Dessa fjärrstyrs från bland annat ett litet ställe i Nevada. Fjärrstyrningen tycks ske bland annat med hjälp av VNC, och av allt att döma så kör systemen Microsoft Windows.


Obekräftade uppgifter hävdar nu att drönarna har hamnat i strid med ett virus, som DoD inte är riktigt säkra på varken var det kommer ifrån eller vad det gör. Och av rapporterna att döma inte heller hur det sprids. Faktum är att rapporteringen som kommit hittills gör att de framstår som amatörer i sin hantering av situationen. Eller vad sägs om följande "godbitar":

“We keep wiping it off, and it keeps coming back,” says a source familiar with the network infection, one of three that told Danger Room about the virus. “We think it’s benign. But we just don’t know.”

...

At first, they followed removal instructions posted on the website of the Kaspersky security firm. “But the virus kept coming back,” a source familiar with the infection says. Eventually, the technicians had to use a software tool called BCWipe to completely erase the GCS’ internal hard drives. “That meant rebuilding them from scratch” — a time-consuming effort.

Jag har tidigare skrivit om hur otroligt svårt det är att kasta ut malware, och framhållit de som rensar ordentligt som föredömen. Vad som verkar ske kring den här incidenten är att massor med saker som görs fel, inklusive informationsläckan som visar allt kaos. Att man har en period av osäkerhet då man inte vet hur viruset beter sig är normalt, men den perioden skall vara kort och hållas intern. Att man sedan plötsligt börjar rensa diskarna utan att ha kommit fram till VARFÖR viruset kommer tillbaka gång på gång är ... ineffektivt. Vad väntar de sig kommer hända när de ansluter den färskinstallerade datorn på nytt?

Jag tror att det inte är riktigt så illa som media framställer det. Jag tror de har något bättre koll än vad som kommit fram. Men det skapar knappast förtroende när debatten rasar vild om hur de här drönarna används - att de sedan inte är säkra nog och att incidenter hanteras på sättet det gör... inte så lyckat.

En twist på det är att det finns indikationer på att det här spridit sig genom informationsdelning mellan olika nätverk. Well, vad som mer hände i helgen var att president Obama har beordrat en ny organisation för att hantera "responsible sharing and safeguarding of classified information". Inga lätta frågor det inte...

Incidenthantering the Right Way - Kernel.org utsatta för intrång

Serien med intrång mot olika open source projekt fortsätter. För ett par dagar sedan upptäcktes ett angrepp mot kernel.org, Linuxkärnans hemvist. Sannolikt är motivationen att placera in bakdörrar i koden, eftersom man genom det skulle nå miljontals installationer världen över.

Och återigen, till skillnad från kommersiella och statliga organisationer så är open source organisationerna väldigt öppna med vad de vet och vad de gör. Väldigt värdefullt för oss andra som då får information avseende intrångsmetod, fungerande metoder för att upptäcka intrång samt hur det intrången hanteras när det väl upptäckts. Verklighetsanknytningen är min främsta anledning till att "samla" på dessa incidenter.

Så vad kan vi lära oss den här gången? Man kan plocka lite av varje, här är några av mina punkter:

1. Intrånget gick via en utvecklares personliga dator där inloggningsuppgifter stals. Angrepp behöver alltså inte ske direkt mot målsystemet, det kan gå via något annat system eller någon annan persons privata dator. Det här är i min erfarenhet något som många organisationer missar helt och hållet. Man satsar exempelvis på att en viss webapp ska vara säker, men missar att även miljön och all inloggning till appen behöver göras från minst lika säkra system.
2. Intrånget upptäcktes på grund av en avvikande loggrad - en komponent som inte var installerade loggade plötsligt ett felmeddelande. Logganalys fungerar och upptäckta avvikelser skall undersökas av någon som är väl förtrogen med systemet.
3. Att i smyg ändra på källkoden till Linux kärnan är ingen enkel grej. Säkerhetsarkitekturen kring kodens lagring och versionshanternig gör det väldigt lätt att upptäcka den typen av modifieringar. Det fungerar att tänka efter före och designa säkerhet i flera lager. Ibland måste man ta steget tillbaka och göra stora arkitekturella förändringar.
   

Kernel.org visar dessutom exemplarisk hantering på att städa upp. En inkräktare som en gång tagit sig in kan i regel hålla sig kvar även efter rensningsförsök såvida inte omfattande arbete görs. Sådant omfattande arbete görs nu av kernel.org - samtliga system tas ner, installeras om från grunden och samtliga användare behöver byta sina lösenord och ssh-nycklar.

Nice work, men oj vad nära angriparna var att komma undan oupptäckta :x

Huvudet i sanden? Hackad CA plockas bort från IE och FF

Ja, på tal om strutsreaktioner så har de senaste dagarna rullat upp en intressant story. Holländska CA:n DigiNotar har utnyttjats för att göra MITM-attacker i Iran. Ett wildcard-certifikat för *.google.com upptäcktes av en medborgare tack vare certifikatpinning, en feature som implementerades i Chrome för inte så länge sedan, som en reaktion på att flera CAs den senaste tiden uppvisat bristande säkerhet.


Certifikatet för *.google.com gavs ut den 10:e juli i år, men flera spår visar att DigiNotar har haft oupptäckta intrång av flera parter sedan åtminstone 2009. Reaktionerna från omvärlden har inte låtit vänta på sig; både Microsoft och Firefox har plockat bort DigiNotars rootcertifikat från sina webbläsare, vilket i praktiken gör att ingen kommer vilja köpa certifikat från dem längre eftersom webbläsaren ändå kommer ge varning. Att Google kommer göra detsamma med Chrome är väl knappast någon vild gissning. (UPDATE: Kanske, kanske inte. Enligt källkoden till Chrome så har Google nu invaliderat 247 certifikat från DigiNotar)

Så vad är DigiNotars ägares reaktion på det? Ja, för det första så tog det dem 1½ dag att över huvud taget kommentera från det att det blivit allmänt känt. De gjorde en utredning och drog tillbaka ett antal certifikat, men senare visade det sig att utredningen inte var komplett. De blev uppmärksammade på det av holländska GovCert, och upptäckte det alltså inte själva (intressant fakta: en majoritet av intrång som upptäcks rapporteras till offret av en tredje part, rätt så tänkvärt vad det betyder för andelen intrång som alls upptäcks...). Och responsen som kommer?

VASCO expects the impact of the breach of DigiNotar’s SSL and EVSSL business to be minimal

Verkligen? Ja, det beror förstås på vilket perspektiv man väljer. DigiNotar står inte för några stora inkomster i förhållande till VASCO i övrigt, vars största inkomst kommer från autentiseringsdosor för tvåfaktorsautentisering. Så jag håller nog med dem, och anser att VASCO hanterar det rätt ok. DigiNotar kanske försvinner, men VASCO kommer inte ta några större smällar. Men efter RSA-hacket så undrar nog många med mig om VASCO är så mycket pålitligare. Kan de mycket väl vara, men hela den här incidenten betraktar jag som "Strike 1".

800 000 dollar för att de inte orkade byta lösenord

Jag är ju en stor fan av incidenter som görs publika eftersom de så tydligt kan visa på vad som gått fel och vilka konsekvenserna varit. Man kan lära sig något från det, och det är lätt att visa andra en koppling mellan sårbarhet X och konsekvens Y.

När nu ytterligare ett av så många fall inträffat där person A som känner till alla adminlösenorden blir sparkad, kopplar upp sig mot systemen en tid senare och förstör (raderar filer, konfigurerar om, etc..), så kan man ju fråga sig vad som egentligen finns att lära av det. Det är inte direkt raketforskning att förstå det scenariot i förväg.

Jo, det vi kan lära oss om det handlar om den lathet som finns i vår natur. Även om vi förstår att det innebär en risk, så GÖR vi ändå inte något åt det om vi upplever att det är jobbigt/svårt och samtidigt ser sannolikheten(inte risken!) som liten. Vilket långsiktigt faktiskt är fair enough, det är trots allt något människan har utvecklats till de senaste miljoner åren. Right?

Problemet är att människans riskmodell är utvecklad just under väldigt lång tid, under de förutsättningar som funnits under denna långa tid. När det kommer nya tekniska språng - och för den delen nya "snabba" förändringar som fenomenet storstäder - så hinner inte den biologiska utvecklingen med.

Bruce Schneier har de senaste åren snöat in rätt hårt i psykologin kring risk och beskriver det som att det finns tre olika domäner; känsla, modell, verklighet. Vi kan ha en känsla av att det är säkert, oavsett hur verkligheten ser ut. Och i vårt intellekt, vårt förnuft... så kan vi bygga upp en modell av hur saker fungerar. Medan verkligheten i sig kan vara fristående från både vår känslomässiga och intellektuella förståelse. Och det tar en del tid innan de börjar närma sig varandra.

Stories som denna är utmärkt exempel på hur de skiljer sig åt, och hur långt bort vi är från att de sammanfaller när det kommer till informationssäkerhet. Vi är helt enkelt omogna på området.

Å andra sidan så har vi också väldigt svårt att över huvud taget agera på sådant som är rent abstrakt för oss. Även på den fronten spelar incidenter en mycket viktig roll för oss att så vi verkligen förstår insatserna. Här är mitt blogginlägg från 2009 om vad som till slut fick mig att skruva upp brandvarnarna där hemma, som jag inte gjorde förrän då, trots att människan levt med eld sedan tidernas begynnelse...

Citibank, 2.7 miljoner dollar stulna och PCI DSS

För ett par veckor sedan tillkännagav Citibank ett intrång i sina system där delar av 360 000 kunders information förlorades. Informationen som stals saknade viktiga detaljer så som CVV-kod och utgångsdatum för kortnummer, men har alltså trots det resulterat i att 2,7 miljoner dollar försvunnit från kundernas kort. Pengar som Citibank naturligtvis nu ersätter.


Det är inte första gången som Citibank råkat ut för intrång. Vad som gjorde mig förbluffad den här gången var dock sättet det gjordes på, och de senaste veckorna har många i min omgivning fått höra mig försöka komma till freds med att en bank ännu år 2011 kan ha såna rudimentära sårbarheter. Det där är liksom inte några avancerade buffer overflows vi pratar om, det är grejer som är så konceptuellt enkla och genomförbara att jag på 2 minuter kan lära min svärfar göra det!

Hur som helst, som min gamla kollega Stefan Pettersson sa så kanske bankerna har tjänat massor på att skita i att ta tag i såna här problem och istället ta eventuella kostnader i efterhand. Vi vet helt enkelt inte. Men det är i det här sammanhanget som kortbolagens sätt att hantera sin ekonomi på blir så intressant.

Sedan ett antal år tillbaka har kortbolagen ett gemensamt regelverk (PCI DSS) för hur informationssäkerheten runt kortnummer skall skötas. Att få alla spelare att leva upp till de kraven är en historia i sig, men för sakens skull kan vi säga att de påtryckningsmedel som används alla syftar till en och samma sak: att kortbolagen ska tjäna pengar och slippa kostnader eller uteblivna inkomster relaterade till dålig säkerhet kring korthantering. Det finns förstås diverse avtal runt ämnet också, och dessa utnyttjas både i förebyggande syfte, och i händelse av en incident.

Kortbolagen ser numera till att om en incident sker som skadar kortbolagen ekonomiskt, så kommer kortbolagen se till att skjuta ner den här kostnaden på den som hade kunnat förhindra incidenten. Genom det så eliminerar kortbolagen en externalitet.

Vad betyder det rent praktiskt för korthanterarnas approach till riskhantering? Jo, att även om det en gång i tiden varit lönsamt för dem att skita i säkerheten, så kommer det nu vara mindre lönsamt för dem om det kommer en incident. Frågan är vad som kommer vara Citibanks största kostnad när räkningen för den senaste incidenten summeras: utredningen, åtgärderna, de stulna pengarna, eller... kortbolagens "böter".

Det är fortfarande möjligt att det är ekonomiskt lönsamt för Citibank att fortsätta på samma väg som tidigare, och då är det något vi som samhälle skall omfamna för det kommer sannolikt vara den bästa vägen för samhället i stort. Det vi ska slå ner på är externaliteter, inte enskilda aktörers brist på säkerhet.

In it for the Lulz: Vilka bryr sig den här gången?

Den senaste tiden har vi sett flera uppmärksammade angrepp utförda av "Lulz Sec". Dit hör Fox News, Sony, PBS, Amerikanska senaten och nu senast CIA's hemsida.

För mig som är "old like the hills" triggar den senaste attacken förstås minnen av då CIA fick sin hemsida utbytt 1996. I samband med en rättegång mot medlemmar i Swedish Hacker Association defacades sidan som döptes om till Central Stupidity Agency och fick texten "Stop Lying Bo Skarinder" (åklagaren i målet). På den sidan av det glada 90-talet kom en allmän boom i hemside-defacements som sedan klingade av vid millenieskiftet.


Angrepp som detta görs för uppmärksamhetens skull och för att ge underhållning. Men vad som är tänkvärt är att det såhär 15 år senare görs samma sak. Vad kan vi lära oss av det? Förmodligen mycket beroende på vilken aspekt man väljer att titta på. Ett par saker som jag tänker på är att...

1. IT-säkerheten är fortfarande klart bristfällig överlag.
2. De som direkt drabbas idag kan få lida betydligt större ekonomiska konsekvenser än på 90-talet.
   

Punkt 2 är det som kan få punkt 1 att ändra sig. Länder som USA har numera lagar som tvingar fram ekonomiska konsekvenser av en helt annan dignitet än vad samma incident skulle resultera i om angreppet skett i exempelvis Sverige. All mediatäckning som det här ger, kombinerat med kännbara kostnader för de drabbade gör att läget kan förändras.

IMF utsatta för intrång, men har "förstärkt säkerheten" nu.

Internationella valutafonden (IMF) upptäckte i onsdags ett stort intrång i sitt nät ("very major breach"). TT-Reuters har rapporterat en kort notis om det som nu har dykt upp i svensk media, men vill man ha lite till gör man klokt i att googla eller gå till NY Times artikel.

TT-Reuters innehåller uppgifter från lördagen där IMF säger att man nu "förstärkt säkerheten". Yeah, right... Jag hänvisar till mitt tidigare inlägg om intrånget hos fastighetsbolaget i Motala - att signifikant höja säkerhetsnivån görs inte på en dag. Att de har patchat sina klienter så att angripare inte längre kommer in med 2 år gamla flash exploits imponerar inte.

Jag skulle någon gång vilja höra en ansvarig person säga något i stil med det här:

"Vi blev tagna på sängen av det här. Vi har inte spenderat så mycket tanke eller resurser på de här frågorna för vi har aldrig haft några problem med det tidigare. Men efter det här måste vi naturligtvis se över situationen, vi förstår att även vi kan utsättas för angrepp som i värsta fall slår ut våra möjligheter att bedriva en effektiv verksamhet. Vi ser mycket allvarligt på läget."

Det skulle öka mitt förtroende. Att låtsas som att det är något som går att göra på en dag... sänker det rätt rejält - har de verkligen varit så försummande att de utsatt sin verksamhet för så allvarliga risker när det bara tar en dag att fixa!?

Fedora utsatta för intrång

På tal om bakdörrar och tysta ägare. Fedora hade ett intrång den 22:a januari.

Intrånget upptäcktes genom att ägaren till ett konto fick ett mail om att hans uppgifter hade ändrats. Han gick i sin tur till Fedora Infrastructure Team, som tog det på allvar och undersökte vad som hade hänt.





Hittills tror de inte att något paket har komprometterats.

Som vid varje incident kan vi lära oss något. Eftersom sättet som intrånget skedde på fortfarande inte är fullt utrett kan vi hålla oss till det ack så värdefulla hur man ändå kom på och tog itu med det:

1. Bevakning över vissa systeminställningar (användarkonton i det här fallet), med ett mail som går iväg till en person som kan avgöra om ändringen är korrekt eller inte.
2. Personen som fick mailet visste vem han skulle kontakta när misstanke uppstod.
3. De han kontaktade tog informationen på allvar och utredde incidenten.

Oracle plockar hem 9 miljarder från SAP

Nu har domen kommit i rättegången där Oracle stämde SAP: 1,3 miljarder dollar, motsvarande cirka 9 miljarder kronor skall SAP betala till Oracle.

Bakgrunden är att SAP's TomorrowNow har laddat ner mängder av material från Oracles supportweb, och gjort så med konton som tillhör kunder som SAP tagit över från Oracle. SAP har inte bestridit att man brutit mot avtalet, men förstås hävdat att beloppet skulle varit lägre - max 40 miljoner dollar ville de gå med på.

Skall man analysera allt det här finns flera lärdomar:

• Oracle hänvisar sin upptäckt till "ovanligt många nedladdningar"
• Att din konkurrent kan ge sig på ditt företag elektroniskt är inte något som säkerhetsföretag bara säger att det kan hända - det händer på riktigt, och de ekonomiska konsekvenserna kan bli massiva.
• Oracle skyddade sitt material dåligt - i stämningen nämns flera gånger att de konton som SAP använt laddade ner material som kontona inte hade rätt att ladda ned (men ändå var det uppenbart tekniskt möjligt).

Vad jag finner extra intressant är upptäckten genom "ovanligt många nedladdningar". Det rimmar väldigt väl med uppfattningen att har man bra koll på hur ens IT-system används får man enkelt många säkerhetsfördelar på köpet.

Just i fallet Oracle så kanske det bara var något så enkelt som att bandbredden maxades i fyra dygn, det kom klagomål och Oracle utredde saken.

Visar även på vikten av att utreda incidenter - den enkla vägen är att bara strunta i det med bortförklaringar som "det gick över" eller "vi väntar & ser om det går över". Oavsett vad orsaken hade varit är det bra att ha mycket god kunskap om sina system. Även om man inte vinner mångmiljardbelopp på det på en gång kommer det garanterat att sänka din driftskostnad långsiktigt.