Professor: FBI snapt geen snars van computerbeveiliging
Volgens Steven Bellovin, professor informatica, heeft de FBI bij het ontwikkelen van het omvangrijke afluistersysteem dat de inlichtingendienst gebruikt, geen enkele rekening met beveiliging gehouden. "Ik denk niet dat de FBI computerbeveiliging begrijpt. Hoewel er enkele afdelingen zijn waar dit niet het geval is, laat het ontwerp van het DCS-3000 systeem zien dat als het om het bouwen van een veilig besturingssysteem gaat, ze het gewoon niet snappen", aldus Bellovin.
Het meest schrijnende voorbeeld is het account management dat in het afluistersysteem aanwezig is. Er zijn namelijk geen userids zonder privileges. Sterker nog, er zijn helemaal geen individuele userids. Het systeem kent twee accounts, die elk andere rechten hebben. Elk account kan echter de ander aanpassen, om zo de ontbrekende eigenschappen te activeren.
Om te zien wie er inlogt, gebruikt de FBI log sheets. "Dit is misschien voldoende als iedereen de regels volgt. Het biedt geen bescherming tegen mensen die de regels breken." Het systeem heeft verder geen goede wachtwoordbeveiliging, wat meteen een volgend probleem weergeeft, en dat is het gebruik van wachtwoorden. "Waarom worden er geen smartcards gebruikt", vraagt Bellovin zich af.
account kan echter de ander aanpassen, om zo de ontbrekende
eigenschappen te activeren."
Hahaha geweldige constructie. Vraag me af wat er in de designer zijn
hoofd omging ;-)
password op alle machines)
2. Geen audit logs om activiteiten te kunnen zien op de machine
En het zou me bijna niets verbazen als de machines nog remote
benaderbaar zijn ook (zonder een locale tcp wrapper die access
controleerd)
Dat bij elkaar doet me zeer denken dat ze dit met opzet hebben zo
hebben ontworpen om de minder legale onderzoeken beter te kunnen
uitvoeren ....
computerbeveiliging
Natuurlijk niet. Maar deze professor begrijpt ook niets van
de FBI.
hoofd omging ;-)
Laat geen (paper) trail achter.
Regel 2 van de FBI:
Ontdek je een (paper) trail, probeer die dan te verhullen.
- Unomi -
computerbeveiliging
Natuurlijk niet. Maar deze professor begrijpt ook niets van
de FBI.
"Het systeem kent twee accounts, die elk andere rechten
hebben. Elk
account kan echter de ander aanpassen, om zo de ontbrekende
eigenschappen te activeren."
Hahaha geweldige constructie. Vraag me af wat er in de
designer zijn
hoofd omging ;-)
nog bij komen, maar dat de redactie en Bellovin dat niet
begrijpen is eigenlijk wel erg. Het doet mij deugd dat er
blijkbaar eindelijk organisaties zijn die inzien dat vrije
delegatie (POLA/capabilities) de 'enige' manier is om
'bruikbare' security te implementeren. Er bestaat nu eenmaal
geen oplossing voor het 'cooperating conspiritors' probleem.
Het probleem is dus alleen dat je veel sneller en
duidelijker ziet dat het CC probleem bestaat als je uitgaat
van het OC model, en een aantal mensen daardoor dus denken
dat het minder veilig zou zijn, terwijl de MAC oplossing
feitelijk het zelfde probleem vertoont. Het feit dat je dit
met MAC niet direct opmerkt maakt MAC in feite onveiliger
dan OC. OC is naast net zo (on)veilig als MAC, wel een heel
stuk bruikbaarder.
De 'angst' en in dit geval ook nog eens de onwetendheid van o.a
Bellovin tegenover vrije delegatie zijn enorme obstakels
voor de acceptatie van het OC model, en ik moet eerlijk
zeggen dat ik van mening ben dat hoe slecht de rest van de
beveiliging ook zou mogen zijn, dat deze 'constatering' van
Bellovin hem behoorlijk buiten spel zet in zijn rol als
'deskundige', ondanks het feit dat hij een leuke titel voor
z'n naam heeft staan.
laat je liever geen spoor van bewijs achter. Het lijkt me bij een organisatie
als de FBI eerder een bewuste keuze dan onwetendheid.
te verklaren. maar dat het allemaal zo onbeveiligd lijkt is
wellicht wat minder handig.
root en administrator zeker
Die professort snap het niet, als je ilegale afluisterpraktijken uitvoert, dan
laat je liever geen spoor van bewijs achter. Het lijkt me bij een organisatie
als de FBI eerder een bewuste keuze dan onwetendheid.
Precies wat ik dacht. Dit is geen flaw, dit is een bewust ontwerp.
in een heftige trip verzin je nog iets veiligers :P
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
