Paweł Goleń, blog - Formularz komentarzy "Czy słonia można zafortepianić?"

Paweł Goleń: Czy słonia można zafortepianić?

nospam@example.com (Paweł Goleń) — Wed, 12 Jan 2011 23:04:07 +0100

Dowody czego, że tak zapytam przewrotnie? Bo sam zauważyłeś, że interpretacja faktów między stronami jest zwykle skrajnie różna. A i na podstawie dowodów fakty można kreować różne ("to przełamał te zabezpieczenia, czy zabezpieczeń nie było").

i czasopisma: Czy słonia można zafortepianić?

nospam@example.com (i czasopisma) — Wed, 12 Jan 2011 17:00:40 +0100

Liczą się tylko dowody całą reszte można sobie interpretować jak się chce Wiadomo na przykład że dla prokuratora (dla którego swoją drogą wszystko jest grą) intencje oskarżonego są jasne Tak samo jak dla jego obrońcy a przepaść ich interpretacjami faktów jest jak stąd do Bangladeszu i dlatego potrzebne są twarde, nie zbite dowody a całą resztę i swoje prywatne odczucia zostawiamy przed wejściem na sale sądową :)

Paweł Goleń: Czy słonia można zafortepianić?

nospam@example.com (Paweł Goleń) — Tue, 11 Jan 2011 11:05:46 +0100

Obawiam się, że w przypadku prawa i prawników interpretacja znaczenia słów, spójników i znaków interpunkcyjnych miewa kluczowe znaczenie. Sporym problemem jest sprowadzenie języka różnych grup zawodowych/branżowych do wspólnego mianownika, tak by mówiąc o czymś wzajemnie się rozumieć. Zwracam jeszcze raz uwagę na uzasadnienie wyroku cytowane w przywoływanym wpisie (trzeba przy okazji pamiętać, że brzmienie tego paragrafu uległo w międzyczasie zmianie). Znaczna jego część koncentruje się na odpowiedzi na pytanie, czy nastąpiło "przełamanie zabezpieczeń". Mało tego, jest tam nawet odwołanie do słownikowej definicji "przełamywać"! Odnosząc się do fragmentu "co nie jest zabronione jest dozwolone" z innego komentarza - stosowanie tej zasady również może prowadzić do absurdu. Zamiast skupić się na tym, czego robić nie wolno, zbyt duża uwaga jest przywiązywana do zdefiniowania tego, JAK tego czegoś robić nie wolno. I teraz znowu wróćmy do wspomnianego uzasadnienia, np. fragment: "(...) Jeżeli "przechodzenie przez dziurę" nie wymaga od hackera ingerencji w zapis na komputerowym nośniku informacji lub korzystania ze specjalnego oprogramowania, zachowanie takie w ogóle nie jest karalne (...)" Dawno temu przygotowałem przykład/wyzwanie http://threats.pl/bezpieczenstwo-aplikacji-internetowych/wyzwanie Większość osób, które je przeszła, wykorzystała do tego skrypt (czy to już jest specjalne oprogramowanie?), ale była jedna osoba, która cały atak blind SQLi wykonała RĘCZNIE(!) przy pomocy przeglądarki: http://archive.mroczna-zaloga.org/archives/616-bootcamp-viii-wyzwanie-hint-iii.html#c1117 Mało tego, inna osoba nie wykorzystała blind SQLi: http://archive.mroczna-zaloga.org/archives/787-theres-more-than-one-way-to-skin-a-cat.html i ten atak też był trywialny do przeprowadzenia przy pomocy przeglądarki, a więc "przechodzenie przez dziurę" nie wymagało ingerencji w "komputerowy nośnik informacji" (co jest komputerowym nośnikiem informacji?), nie wymagało również wykorzystania "specjalnego oprogramowania". Ale w tym samym tekście można znaleźć fragment następujący: "(...) Przełamanie zabezpieczenia następuje wtedy, gdy sprawca niszczy, usuwa zabezpieczenia, lub kiedy oddziałując na zabezpieczenie chwilowo niweluje jego funkcję zabezpieczającą. (...)" W moim odczuciu atakujący oddziaływał na zabezpieczenie (mechanizm uwierzytelnienia) chwilowo niwelując jego funkcję zabezpieczającą. Zupełnie inna kwestia, że błąd należał do tych z kategorii "kretyńsko głupi" i w zasadzie równie dobrze można się było bronić "ale ja naprawdę mam hasło ' or 1=1 --, tylko w innym serwisie i tu po prostu się pomyliłem" :) Oczywiście te wywody i tak mają niewielkie znaczenie, bo od tego czasu prawo się zmieniło, a w obecnej wersji są inne pułapki. Poza tym ja wcale nie chcę wsadzić tego konkretnego "sprawcy" do więzienia :)

Piotr Konieczny: Czy słonia można zafortepianić?

nospam@example.com (Piotr Konieczny) — Tue, 11 Jan 2011 10:12:29 +0100

Moim zdaniem Pawle, Ty oraz inni komentujący reprezentujecie typowo informaty^Wtechniczne podejście. Interpretujecie znaczenie słów j. polskiego i rzutujecie je na architekturę webaplikacji. Wszystko to znajdowałoby uzasadnienie, gdyby w jakikolwiek język ludzki pozwalał na precyzyjne określenie/zdefiniowanie/opisanie relacji ludzkich z maszyną w kontekście prawa -- a jak wiemy, tak nie jest (i zapewne nigdy nie będzie, zwłaszcza na styku prawo-informatyka/nowe technologie). Rozwiązanie z punktu widzenia prawnika (a nie informatyka) jest zgoła inne -- oprócz suchych faktów i definicji, sprawę rozpatruje się także na poziomie intencji i motywów jakie kierowały podejrzanym. Chciał wyrządzić zło? Kierował się chęcią zarobienia na cudzej krzywdzie? etc... ;) Co prowadzi niekiedy do niewyobrażalnego dla informatyka wyroku: czyny wypełniają znamiona paragrafu X, powinna dostać 2 lata, ale wyrok mówi: jest niewinna. Podsumowując, osoby techniczne często popełniają ten błąd, że starają się wszystko zdefiniować, wsadzić w normy lub logicznie uzasadnić. W poruszanych przez Ciebie kwestiach, tego po prostu nie da się zrobić -- lub jak wolisz, trudność jest niezerowa ;)

Albert Ansztajn: Czy słonia można zafortepianić?

nospam@example.com (Albert Ansztajn) — Mon, 10 Jan 2011 22:27:51 +0100

Trudno żeby ci się podobało coś co właściwie dyskredytuje wszystko czym się zajmujesz Bo w kontekście aplikacji webowych nie ma w ogóle mowy o zabezpieczeniach a tego typu ataki to właściwie ficzer :D Oczywiście wyrok jest słuszny bo tak na prawdę nie da się odróżnić ataku SQLI od zwykłego odwiedzenia strony nie da się udowodnić że kolo rozmyślnie wpisał taki adres , i nie można karać człowieka za dostęp do danych które w żaden sposób nie są oznaczone jako prywatne zwłaszcza w sieci WWW Bo jeśli ma tak być to równie dobrze mógłbyś teraz powiedzieć że przełamałem twoje zabezpieczenia bo w twoich zamierzeniach ta podstrona miała być prywatna ;> Tylko problem w tym że ja nic o tym nie wiem No chyba że chcemy doprowadzić do sytuacji w której wszystko będziemy traktować w "publicznej sieci www" jako prywatne i np przed odwiedzeniem jakieś strony , kliknięciem w link tzreba będzie się skonsultować (najlepiej) z prawnikiem właściciela domeny , potem firmy hostingowej aby się upewnić czy przypadkiem nie łame jakiś zabezpieczeń Rozumie postawę człowieka który pracuje dla banków , jest penetesterem i orbituje wokół web apsów ,but wszystko co nie jest zabronione jest dozwolone i to jest normalne przynajmniej w kontekście www inaczej będziemy mieli jakiś skrajny absurd

Paweł Goleń: Czy słonia można zafortepianić?

nospam@example.com (Paweł Goleń) — Mon, 10 Jan 2011 15:14:21 +0100

Czy mrówka może negocjować ze słoniem? Próbować może :) W wypadku AC firmie ubezpieczeniowej zwykle nie opłaca się oferować "dostosowywanych" usług klientom, bo to więcej kosztów, niż zysku z tych kilku oszołomów, którzy chcą czegoś innego niż 80% społeczeństwa. We wpisie wyraźnie napisałem, że aplikacje muszą być tworzone z myślą o bezpieczeństwie. W niektórych kulturach tabu dotyczące jakiegoś tematu jest bardzo mocne, ale nie ma co liczyć, że bezpieczeństwo w tak globalnym środowisku jak Internet może opierać się na wierze w "prawość" pozostałych użytkowników. Podobnie naiwne jest oczekiwanie, że zabronienie czegoś (penalizacja) automatycznie problem rozwiązuje (patrz: dopalacze). Ostrożność to jedno, normy społeczne - drugie. A te w Internecie są naginane, moim zdaniem.

Amandi: Czy słonia można zafortepianić?

nospam@example.com (Amandi) — Mon, 10 Jan 2011 15:02:21 +0100

Co do AC, to życzę powodzenia w negocjacjach, przy jednoczesnym założeniu, że stawka opłat nie wzrośnie. I tak, to jest kara, nie trzeba tu żadnej analizy. ;) Owszem, nie upoważnia. Niemniej "niemyślenie" ofiar powinno być czynnikiem łagodzącym dla "myślących" atakujących (jakkolwiek to dziwnie brzmi). Ba! Można też w drugą stronę. Przestańmy interesować się kwestią zabezpieczeń (jakichkolwiek) w ogóle, toć będziemy usprawiedliwieni i chronieni przez prawo. To nie my będziemy odpowiadać za wynikające z tego tytułu szkody. Złapie się sprawcę i będzie gites.

Paweł Goleń: Czy słonia można zafortepianić?

nospam@example.com (Paweł Goleń) — Mon, 10 Jan 2011 15:01:24 +0100

Bo to trochę jest tak, że jedną sytuację można przedstawić na wiele różnych sposobów. Na dobrą sprawę "prawda obiektywna" nie istnieje. Ona zależy od tego, kto opowiada :)

Paweł Goleń: Czy słonia można zafortepianić?

nospam@example.com (Paweł Goleń) — Mon, 10 Jan 2011 14:35:08 +0100

Scenariusz z kluczem, który opisałeś, daje co najwyżej zabezpieczenie producentowi zamka Y przed ewentualnymi roszczeniami pana X związanymi ze sforsowania tego zamka przez włamywacza. W przypadku AC takie są warunki ubezpieczenia. Możesz negocjować z firmą inne warunki ubezpieczenia, tylko wówczas składka zostanie wyliczona w oparciu o założenie, że kradzież samochodu jest zdarzeniem pewnym i będzie bardzo zbliżona do wartości samochodu. To nie jest kara, tylko wynik analizy ryzyka. Zostawienie otwartych drzwi/okna/samochodu nie uprawnia kogokolwiek do wchodzenia do cudzego mieszkania/pojazdu. Podobnie fakt posiadania niezałatanej dziury w wykorzystywanym oprogramowaniu nie uprawnia nikogo do spenetrowania cudzego systemu. Oczywiście możemy również odwołać się do atawistycznych instynktów naszych jaskiniowych przodków, gdzie "ofiara" była sama sobie winna bo miała za małą maczugę, albo za mało członków plemienia do pomocy :)

Amandi: Czy słonia można zafortepianić?

nospam@example.com (Amandi) — Mon, 10 Jan 2011 14:24:26 +0100

Pan X otrzymuje od producenta zamka Y ulepszony "super-klucz", który eliminuje możliwość otwarcia drzwi wytrychem. Rzeczony X ma w poważaniu zalecenia producenta. Dalszy rozwój jak opisałeś. Nie twierdzę, że mamy uniewinniać włamywaczy, ale brać pod uwagę lekkomyślność bądź też niekompetencje "drugiej strony". A tego prawo nie przewiduje. P.s. Mając AC i straciwszy auto w wyniku kradzieży, to nadal będzie ścigane jako przestępstwo, ale firma ubezpieczeniowa nie odda Ci nawet grosza, jeśli w aucie zostawiłeś kluczyki. To jest kara za nie stosowanie się do podstawowych zaleceń w kwestii bezpieczeństwa.

Paweł Goleń: Czy słonia można zafortepianić?

nospam@example.com (Paweł Goleń) — Mon, 10 Jan 2011 13:53:57 +0100

Pan X montuje sobie w drzwiach zamek firmy Y. Okazuje się jednak, że zamek ten można otworzyć przy pomocy wytrycha. Korzystając z tego faktu pan Z otwiera drzwi do mieszkania pana X i wynosi jego telewizor. Pan Z ma pecha, bo zostaje złapany przez Policję, oskarżony i skazany za włamanie. Dlaczego nie został również skazany pan X za to, że nie kupił zamka firmy FooShmoo, którego tak łatwo wytrychem otworzyć nie można?

Amandi: Czy słonia można zafortepianić?

nospam@example.com (Amandi) — Mon, 10 Jan 2011 13:45:52 +0100

Pozwolę sobie wtrącić dwa słówka. W tego typu sprawach stosuje się często swego rodzaju uproszczenia, co by nie powiedzieć nadużycia. Choć te, trzeba przyznać, wynikają z polskiego prawa. A to jest jasne i klarowne (wbrew pozorom). Karzę się osoby za wszelkie próby "przełamania" zabezpieczeń aplikacji tudzież całościowo systemów informatycznych. Wyobraźmy sobie jednak aplikację ABC, którą administruje pan X. Aplikacja ABC w roku 2009 miała podatność XYZ; autor tejże tydzień po jej odkryciu wypuszcza poprawkę eliminującą błąd. Pan X nie stosuje się do zaleceń. Na początku 2010 roku pan Z "przełamuje" zabezpieczenia aplikacji ABC wykorzystując lukę XYZ. Pan Z zostaje złapany i oskarżony a w konsekwencji skazany. Zgodnie z logiką przedstawioną przez Pawła: wykorzystał brak zabezpieczenia (co nie upoważnia go do takowego zachowania - fakt bezsprzeczny) = kara, bo tak stanowi prawo. Słusznie. Pytam się jednak, dlaczego karę nałożono tylko na jednego sprawcę? Tak, jest ich dwóch! Tym drugim, według mnie jest także pan X. Przecież z logicznego i faktycznego punktu widzenia, to właśnie on doprowadził do całego zdarzenia (bo czy by miało ono miejsce, gdyby na czas nie zastosował się do zaleceń autora aplikacji?). Mało tego, często ów admin otrzymuje pochwałę/wyróżnienie/premię za "natychmiastową reakcję" na całe zdarzenie w postaci donosu do prokuratury/policji. Toć on zasługuje co najwyżej na zwolnienie dyscyplinarne... Niemniej tym złym, jest zawsze ten, który "przełamuje" a nie ten, który "dał" taką możliwość. P.s. Trochę się rozpisałem. Nie miej mi tego za złe. ;)

Borys Łącki: Czy słonia można zafortepianić?

nospam@example.com (Borys Łącki) — Mon, 10 Jan 2011 12:17:08 +0100

"Moim zdaniem w tej historii zabezpieczenie było. Był nim mechanizm uwierzytelnienia użytkownika." To jest bardzo trafne spostrzeżenie i ja podzielam tę opinię.

Paweł Goleń: Czy słonia można zafortepianić?

nospam@example.com (Paweł Goleń) — Mon, 10 Jan 2011 11:28:04 +0100

A jeszcze ciekawsze pytanie jest takie - czy orzecznictwo w takich sprawach byłoby spójne.

Gynvael Coldwind: Czy słonia można zafortepianić?

nospam@example.com (Gynvael Coldwind) — Mon, 10 Jan 2011 11:16:35 +0100

Zgadzam się całkowicie. Jestem bardzo ciekaw jaki byłby wyrok sądu w przypadku takiego "reflected attack".