Cyberszantaº wobec home.pl? PDF Drukuj Email
Wpisa³: Iza   
10.04.2007.

Firma home.pl otrzyma? a 2 kwietnia informacj? od serwisu Hack.pl, w której redaktorzy tego serwisu zaproponowali firmie milczenie o wykrytej luce za... 200 tys. z? . Firma zareagowa? a przeprowadzeniem b? yskawicznego audytu bezpiecze? stwa i zapowiedzia? a w dzisiejszym komunikacie prasowym wyci? gni? cie prawnych konsekwencji.

Redaktorzy Hack.pl odkryli niedawno luk? w serwerach firmy home.pl. Luka ta umoºliwia? a przegl? danie pe? nych logów serwera kaºdego konta wirtualnego na home.pl. Oznacza to uzyskanie dost? pu do takich informacji, jak host oraz ip odwiedzaj? cego, dok? adny czas, poprzednio otwarta strona itd. Tak? luk? moºna teº wykorzysta? do wykrycia nazw plików czy folderów ukrytych przed ogólnym dost? pem.

W wielu podobnych sytuacjach firmy zajmuj? ce si? bezpiecze? stwem dzia? aj? wed? ug nast? puj? cych zasad: najpierw powiadamiaj? o luce odpowiedzialny za dan? us? ug? serwis lub producenta programu, daj? c im okre? lon? ilo? ? czasu na za? atanie. Informacja o b? ? dzie publikowana jest dopiero, gdy druga strona upora si? z problemem, lub gdy go zlekcewaºy i nie podejmie ºadnych dzia? a? w wyznaczonym przez odkrywc? czasie.

Redaktorzy Hack.pl post? pili nieco inaczej i - jak podaje serwis hacking.pl - wys? ali do home.pl list takiej tre? ci:

Szanowni Pa? stwo.

Znale¼li? my powaºn? luk? Pa? stwa serwerów. Ma ona charakter krytyczny. Jeste? my przekonani, ºe moºe by? wykorzystana na wiele sposobów przez ew. napastników.

Chcieli? my z góry zauwaºy? , ºe piszemy do Pa? stwa w celu informacyjnym i naszym zamiarem nie jest wykorzystanie tego b? ? du w sposób niezgodny z prawem.

Wst? pnie my? leli? my tylko o napisaniu o b? ? dzie na ? amach HACK.pl, a takºe o udost? pnieniu zacieniowanych dowodów, które jednak nie pozwoli? yby na wykorzystanie b? ? du.

Chcemy post? pi? maksymalnie przyja¼nie wobec home.pl, z naszego punktu widzenia, dobrze by? oby gdyby na ? amach HACK.pl pojawi? si? news dotycz? cy luki w home.pl, ale teº rozumiemy Pa? stwa sytuacj? .

Koszt informacji szacujemy wst? pnie na 200,000 z? otych, cena - oczywi? cie - podlega negocjacji. By? moºe byliby? my zainteresowani wspó? prac? z Wami na zasadach partnerskich, czy teº reklam? w home.pl.

Jeste? my otwarci na propozycje, oferujemy audyt bezpiecze? stwa. Mamy nadziej? , ºe wspólnie uda nam si? wyeliminowa? ten i podobne niedoci? gni? cia.


 Przedstawiciele home.pl twierdz? , ºe niezw? ocznie po otrzymaniu informacji przeprowadzono szczegó? owy audyt zabezpiecze? systemu hostingowego ich firmy. Wed? ug home.pl autorzy informacji prze? amali zabezpieczenie i uzyskali nieuprawniony dost? p do statystyk ogl? dalno? ci 6 serwisów internetowych ( zrzuty ekranów niektórych stron zosta? y kilka dni temu opublikowane na hack.pl) stosuj? c metod? brute-force, czyli losowego generowania ci? gów nazw katalogów ze statystykami.

Przeprowadzony audyt systemu hostingowego home.pl nie wykaza? - wed? ug przedstawicieli firmy - istnienia jakichkolwiek krytycznych luk. Firma poinformowa? a w? a? cicieli 6 serwisów internetowych o próbie uzyskania nieautoryzowanego dost? pu do ich tre? ci.

Teraz firma home.pl podj? ? a dzia? ania maj? ce na celu poci? gni? cie do odpowiedzialno? ci prawnej osób, które d? ºy? y do uzyskania dost? pu do danych uºytkowników us? ug hostingowych. Przedstawiciele firmy powiadomili juº Prokuratur? Rejonow? w Szczecinie o pope? nieniu przest? pstw okre? lonych w art. 191§1 i art. 267 kodeksu karnego, wnosz? c jednocze? nie o ? ciganie sprawców.

3 kwietnia Hack.pl opublikowa? na swoich stronach o? wiadczenie na temat ca? ej sytuacji, ale skupi? si? na kwestiach technicznych. Przedstawiciele serwisu uwaºaj? , ºe b? ? dem home.pl jest to, iº wszystkie logi, wraz ze statystykami serwisu utrzymywano w katalogu: nazwa_konta.home.pl/statsXXX , gdzie XXX to 3 cyfrowa liczba generowana losowo. W momencie dostania si? do katalogu, uºytkownik nie by? w ºaden sposób weryfikowany (poprzez np. wcze? niejsz? autoryzacj? zawart? w cookie).

Sam fakt testowania i prze? amywania zabezpiecze? bez wiedzy i zgody zainteresowanego wydaje si? by? kontrowersyjn? metod? dzia? ania. Z jednej strony wydaje si? by? usprawiedliwione, czy nawet korzystne, je? li ma s? uºy? jedynie zwróceniu uwagi lub nawet poprawieniu bezpiecze? stwa danego serwisu, czy programu. W ko? cu lepiej, by takie b? ? dy odkryli ludzie uczciwi, niº nieuczciwi, którzy je po cichu wykorzystaj? w celach niezgodnych z prawem.

Jednak kiedy testowanie takie odbywa si? bez wiedzy i zgody strony zainteresowanej, a nast? pnie proponuje si? jej op? at? w zamian za dostarczenie informacji o luce i nieujawnianiu tego b? ? du na forum publicznym, ocena takiej sytuacji jest juº bardziej z? oºona. Redaktorzy serwisu hack.pl zapewniaj? w swym o? wiadczeniu, ºe chcieli jedynie udzieli? pomocy, a nie dokonywa? szantaºu. Trudno powiedzie? jak potraktuje to wszystko prokuratura i s? d.

¦ród? o informacji: dziennikinternautow.pl
 
« poprzedni artyku³   nastêpny artyku³ »
WSTECZ





ID=761
Zegarki - Casio, Omega, Tissot, Orient, Citizen, Adriatrica

www.swiatpc.net
Wszystkie prawa zastrze¿one.