17-jarige hacker zet dodemansknop op FTP-server
Een 17-jarige Australische jongen die begin dit jaar de ontwikkelaarsnetwerken van Microsoft wist te hacken en daar informatie over de Xbox One spelcomputer buitmaakte, heeft een dodemanknops op zijn FTP-server gezet die afgaat als hij wordt opgepakt. De 17-jarige Dylan Wheeler, ook bekend onder het alias SuperDaE, werd dit jaar wereldnieuws.
De jongen had twee development kits van de nieuwe Xbox van Microsoft op eBay te koop aangeboden. Ook zou hij toegang tot het netwerk van de softwaregigant hebben gekregen, waar hij handleidingen en andere informatie aantrof.
Politie
Kort na het aanbieden van de ontwikkelkits kreeg Wheeler bezoek van een FBI-agent. Na maanden van onzekerheid verwachtte de tiener dat hij vandaag door de politie zou worden bezocht en aangeklaagd. In het geval de politie hem ook zou aanhouden en hij niet op zijn FTP-server inlogde, werd de dodemansknop actief.
In dat geval zouden de inloggegevens van de FTP-server op zijn Twitteraccount worden geplaatst, zodat de hele wereld toegang tot de gegevens op zijn server kon krijgen.
Explosief
Het zou om informatie gaan waarvan Microsoft niet wil dat het openbaar wordt. Wheeler werd vandaag inderdaad aangeklaagd, maar op borgtocht vrijgelaten. Hij zou echter niet wegens computergerelateerde misdrijven zijn aangeklaagd.
In Australië is de dag nu voorbij, maar de gegevens zijn nog niet online verschenen. Techblog Gizmodo kreeg een voorproefje van de bestandsnamen zonder de inhoud te zien. De website meldt dat het om zeer explosief materiaal lijkt te gaan.
Op Twitter laat Wheeler nu weten dat het publiek nog even zal moeten wachten. De dodemansknop is in ieder geval niet van de server verwijderd.
Ook een ftp server is goed te beveiligen, authenticatie kan bv. encrypted ipv plain text dan wordt 'kraken' al lastiger.
Daarnaast zal hij vast geen 'simpele' ftp server software gebruiken en zijn server zal vast ook beter beveiligd zijn als de gemiddelde server.
Maar ook dat zijn aannames...
Men hoeft de server niet te kraken. Men haalt de server gewoon offline met een gerechtelijk bevel. En daarna wordt de jongen opgepakt.
Authenticatie is dus irrelevant; vindbaarheid van de server is een ander verhaal (zeker als het bijvoorbeeld een TOR hidden service betreft, .onion domein).
"Daarnaast zal hij vast geen 'simpele' ftp server software gebruiken en zijn server zal vast ook beter beveiligd zijn als de gemiddelde server."
Hoe beveilig jij een server met behulp van 'ingewikkelde' ftp server software indien men de stekker eruit trekt, en de server in beslag neemt ?
Een FTP-server is niet per definitie onveilig, dat ligt helemaal aan de server software en de configuratie. Zoals RaceAap al aangeeft zijn er voldoende mogelijkheden om het te beveiligen ......
Het is alleen voor hem te hopen dat hij zijn geld op meerdere kaarten heeft gezet.... als hij daadwerkelijk gebruik maakt van één FTP-server dan heeft hij wel een soort van Sing Point Of Failure ingebouwd, waardoor de autoriteiten inpincipe eerste de FTP-server moeten uitschakelen al vorens ze hem willen inrekenen.....
Ik ben benieuwd hoe het verhaal gaat eindigen ;)
Het niveau is weer op peil hier merk ik :S ... niet zo gauw wat roepen :P
Nou geloof maar goed dat je een FTP server goed kan beveiligen. dit is niet meer het jaar 2000. En goede encrypted SSH File Transfer Protocol toepassen met wat key's. Dan ben je al ver....................
En die gast weet precies wat hij doet ;-)
Als de FTP server in beslag wordt genomen heb je niet meer...
Wanneer ze hem in het vizier hebben, dan hebben is het data verkeer ook afgetapt. Wanneer hij een jumphost heeft gebruikt, dan wordt het inderdaad lastiger. Maar dan moet hij het niet laten bij één jumphost. Maar afijn, een torrent lijkt mij makkelijker en het bestand ligt dan bij de geïnteresseerden thuis. Dat kunnen ze niet meer afpakken en wat mij beter lijkt. Waarom denk je da Wikileaks voor deze methode heeft gekozen.
Tor verkeer gaat altijd over meerdere hosts, encrypted. Maar ik geef toe dat een encrypted torrent inderdaad eenvoudiger werkt. In de scientology tijd, toen die sekte constant usenet discussie postings aan het wissen was waarvan ze dachten dat het hun "geheime" leer bevatte, heb ik het zelf ook zo gedaan: encrypted versie van die documenten gepost en 3 dagen later, als iedereen het al opgeslagen had, het password.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
