____ / \ ____ __ ____ \ /______/_ /_ ___/ /_ \ / _ / \ / _/ \/ __ \_/ __ / / / Nummer #1 / \ \ \ /__/__/__/ December 1995 \__/_______/ no shit! Throw your ipspoof.c in the air, and wave it around like you just don't care! BRAINSTORM N†gra v„l h„ngda ord 1.0 IRC ™verlevnadsguide f”r #hack.se 2.0 En W4ReZ d00d p† IRC 2.1 HACK Har Dataphone fixat alla sina s„kerhetsproblem nu? Jo, s„kert... 3.0 Basic Flaws in Internet Security and Commerce - Spoofing on the fly 3.1 WWW FITTA! Vad FAN „r det f”r fel p† den h„r sidan! 4.0 NYTT Blandade nyhetsklipp som rapporterar om hackertr„skat 5.0 Amat”rm„ssig girighet styr BSAS agerande 5.1 Microsoft jagar pirater i norden 5.2 Dags f”r BBS-dom - i elfte timmen 5.3 Hot Java ”ppnar bakd”rren till din dator 5.4 Jurist vill g”ra ol„sliga bevis straffbara 5.5 Den typiske IT-brottslingen finns inte 5.6 Befarad terrorv†g med elektroniska vapen 5.7 Superformattering blev f”r dyrt f”r 16-†ringen 5.8 F”rbjud kreditkortsk”p per telefon 5.9 Befarad terrorv†g med elektroinska vapen 5.10 Rysk hacker stal miljoner 5.11 SURF ˇr dina bokm„rken kompletta? 6.0 Sidor som mest best†r av l„nkar till andra sidor 6.1 Utilities 6.2 H†rdvara och liknande 6.3 (C)opyright? Nope. /* ------------------------------------------------------------- All information i !shit publiceras endast i studiesyfte och som underh†llning. En del saker vi beskriver „r olagliga, och vi f”ruts„tter att du inte „r s† korkad att du f”rs”ker g”ra n†gonting liknande sj„lv. ------------------------------------------------------------- */ ___ ___ __ __ __ _ __ ____ ___ ___ _ __ ___ | _)| )/ | | \ |( _|_ _) _ \ ) V | _____________________________ 1.0 |____)_)_\_|_|__|_\__|___)|__|\___/_)_\_v__| av Shellshock All tillg„nglig statistisk data talar f”r att detta f”rmodligen „r det sista numret av !shit. Det „r l„tt att ta fram en fet lista p† f”rsta numret av olika p/h/a/c/v-mags, men n„r man f”rs”ker hitta #2 s† har listan decimerats avsev„rt. Anledningen „r givetvis att det inte finns n†got andra nummer. Knulla statistiken - vi g”r ett f”rs”k att bryta trenden. Om du vill hj„lpa oss, skicka in fr†gor, uppslag p† artiklar, eller en hel j„vla phile om du k„nner f”r det. Den „dla tanken „r att vi ska f”rs”ka ha n†got f”r alla, oavsett f”rkunskaper. Det kommer givetvis aldrig bli mer „n en just en „del tanke, men man ska ha m†l i livet. I alla fall har jag f”r mig att v†r SYO sa n†got s†nt p† h”gstadiet... Skicka din skit till: shshock@alpha.c2.org __ ___ ___ ___ | | ) __) _____________________________________________________________ 2.0 |__|_)_\___) Hangin' on #hack.se Precis som alla channels s† suger #hack.se bigtime st”rre delen av tiden, men tack vare att fler och fler svala snubbar tittar in allt oftare s† kan det faktiskt vara v„rt att ge oss en chans. N†gra ledtr†dar f”r nyb”rjare: - Alla som kan n†gonting p† #hack.se har skaffat sig den kunskapen genom att HACKA. D„rf”r har vi inte tid att BARA sitta framf”r irc 12 timmar varje dygn. Idle „r f”r de upplysta. Vi g”r andra saker samtidigt, och om n†gon inte svarar, ta en toy, v„nta, eller †terkommer senare. - FATTA att du inte kan komma in och ”ppna med en fr†ga typ "HUr h4ckar man T3lia? Jag vill ha o2o-axxess!". I helvete jag kommer att ber„tta det f”r dig. Varf”r skulle jag? - Om du mot all f”rmodan skulle ha en BRA fr†ga, men „nd† inte f†r svar. Tjata INTE. Det „r okey om du inte kan s† mycket, ta det lugnt, var v„nlig och om du verkligen vill l„ra dig s† kommer du f† hj„lp. Men att vara odr„glig kommer bara att f† dig kickad.. Detta „r ett exempel fr†n h„romdagen p† #hack.se. Liknande h„ndelser ___ utspelar sig tyv„rr varje dag. 2.1 hej! testade dataphone... hej phoo Jahapp.. hur gick det da? men jag kommer inte f”rbi "password:" Jahapp.. =) sn„lla! s„g hur man g”r... du har v„l hackat dataphone? *Chaoz* ... En W4ReZ d00d... *** Signoff: blur (LiCe - Over 500 users can't be wrong.) hoho? :) *** pHOo has been kicked off channel #hack.se by shshock (shshock) *** pHOo (---@---.modem.umu.se) has joined channel #hack.se va faan! *** blur (---@---.---) has joined channel #hack.se chaoz: va fan h„nde? chaoz: har du ingen valid login till dataphone att ge mig? :) chaoz: pL3@z3... ;) *** pHOo has been kicked off channel #hack.se by Chaoz (Chaoz) _ __ __ ___ _ __ ___ | L |/ | _| / / _______________________________________________________ 3.0 |_||_|_|_|___|_|_\ Dataphone „r en isp som visar upp ett osunt m†tt av naivitet n„r det g„ller s„kerheten i deras system. S„kert brister det „ven i kompetensen, men om de haft n†gon respekt f”r sina kunder s† hade de skaffat sig hj„lp utifr†n att s„kra upp sina burkar. Kombinationen av att de inte skuggat passwd och samtidigt till†tit sina anv„ndare att ha hur enkla l”senord som helst, har som f”ljd att konton fr†n Dataphone senaste tiden varit - hur ska jag s„ga - *ganska* enkla att komma ”ver. Men till och med en ledtr†dsl”s admin p† Dataphone kan ana or†d n„r en av hans anv„ndare „r inloggad sju g†nger, via telnet-sessioner fr†n lika m†nga olika sites. D„rf”r har *en del* konton st„ngts av. Exempelvis Sandor Nilsson (password "master") nedan. Login: sandor Name: Sandor Nilsson Directory: /export/home/users/s/sandor Shell: /bin/cracked Last login Tue Dec 12 19:51 (MET) on ttyqd from legolas.mdh.se New mail received Mon Dec 11 18:17 1995 (MET) Unread since Thu Dec 7 11:10 1995 (MET) No Plan. Scriptet /bin/cracked „r enligt f”ljande: #!/bin/tcsh cat /etc/cracked.txt sleep 5 exit #END Och filen /etc/cracked.txt ser ut s† h„r: Your account has been found to be cracked and has been abused by others. Please contact us on 08-734 0606. I vanlig ordning s† kommer detta f”rmodligen att tystas ner, och jag tror inte att n†gon som varit of”rsiktig och loggat in via telnet direkt fr†n sin egen dator, beh”ver k„nna sig orolig f”r reprisaliser. Dataphone vill nog helst inte att datorpressen f†r nys om deras bristade s„kerhet. Men det enda de har gjort „r att st„nga ute n†gra warezpuppies som bytt till sig ett konto mot en zer0 d4y. De som fortfarande har access kommer f”rmodligen att sk”ta det hela lite snyggare, och DP kommer aldrig att m„rka att de „r d„r... Suckers. ______________________________________________________________________________ 3.1 H„r „r en intressant artikel skriven av fyra studenter p† Berkley, som f”rhoppningsvis ger upphov till en massa intressanta ideer. En kopia finns p† http://http.cs.berkeley.edu/~gauthier/endpoint-security.html Basic Flaws in Internet Security and Commerce We've gotten a bit of press on this so far... The NYT article seems to imply that we discovered these holes. We did not discover them, and we never claimed to have discovered them. We wrote the following document to an audience who we assumed also knew that these were not new security holes. We wanted to discuss them for the following reasons: * Many security products (Kerberos, AFS, NFS, Netscape, Microsoft) have ignored (for all practical purposes) the issue of trusting your executables. * To show how easy it is to mount attacks on the integrity of software (for example, via distributed file systems, NFS specifically) * Why there should be concern about endpoint attacks now more than ever (financial incentive for attacks, strong protocols forcing attention to the endpoints). * Discuss the details of the NFS exploit. We knew of no other actual implementation of this well known potential breach of security. The ease of the attack and the subtle variations possible were interesting. ---------------------------------------------------------------------------- We believe that the current focus on secure session-layer protocols and sufficient randomness have obscured more fundamental flaws in end-to-end security. In particular, secure end-to-end transactions require two parts: a secure protocol to communicate over untrusted channels, and trusted code at both endpoints. The latter problem has received less attention, but destroys security regardless of the quality of the protocols or of the random numbers. We have implemented a series of related attacks utilizing IP spoofing: * We can spoof NFS to patch binaries on the fly if we are on any subnet between the NFS client and NFS server. We used this to turn legitimate Netscape browsers into versions that used a fixed key (known only to us), thus invisibly eliminating security. * The same trick allows us to defeat Kerberos security by attacking kinit. * We can also spoof NFS file-handle lookups, so that we can replace any file (such as .login) with another file that runs with root access privileges (even if the requesting user cannot). These work because the trusted path to executables is really not trustworthy in most environments. Although we use on-the-wire patching to compromise executables, the client binaries can also be compromised during download, by on-the-wire patching of FTP or HTTP transfers. Trojan horses and viruses could also patch the client software after it's on the local disk, especially on systems like Windows 95 that do not provide access control for files. Given that these are realistic threats, we believe that these issues must be resolved before internet security and commerce are realistic. ---------------------------------------------------------------------------- We began to consider in more detail some fundamental weaknesses of common network security practices that would lead to trivial further attacks on Netscape as well as many other security tools like Kerberos. It was our goal to demonstrate that it is trivially possible to patch executables on-the-wire to completely compromise their security. In doing so, we hope to reinforce the point that security is an end-to-end problem that is far harder than getting the protocols correct. Strong, correct protocols only make more subtle endpoint attacks more likely, especially in light of the potential for financial gain as the amount of commerce on the Internet increases. Most of the attacks we discuss are suitable for the systematic exploitation of large groups of users: an entire organization, or even a large fraction of the user base of a particular piece of software. In many computing environments a pool of common executables, like the Netscape binary, are provided to clients by a fileserver. In such systems, including NFS, AFS and Windows NT, there is no authentication of the file contents sent between clients and servers. In these systems there are provisions for sophisticated access checks to determine file permissions, at open or handle lookup time. But the file contents that are read from the server are not authenticated in any secure way. The client has no way to determine if the bytes are indeed being sent by the server. Our first attack model is one in which the attacker has (promiscuous) network access to any machine on any ethernet subnet between the fileserver and the clients under attack. In under a day we produced software that can exploit the lack of authentication in NFS to patch the object code of any executable on-the-wire as it travels between the NFS server and the client machine. The technical details of the attack are rather simple. To retrieve data from the NFS server a client sends a short request message detailing which block from the file it is interested in (where a block is a range of bytes). The attack software is located on an ethernet segment between the client and the NFS server, so is able to snoop this traffic. The attack software snoops, waiting for any request for a particular block of a particular executable; for example, the block containing the session-key generation code in the Netscape executable. It is then able to forge a reply from the NFS server and transmit it to the client. If the forged packet reaches the client before the legitimate reply, it is accepted and the legitimate reply is discarded as a duplicate. There is obviously a race condition between the injection of the forged response and the true response. Since the attacking software is focused solely on this task, while the fileserver is certainly servicing requests from many clients, it stands a very good chance of winning the race. We have observed that the attacking software wins the race a large fraction of the time. Given this ability it becomes possible to compromise the security features of any executable loaded from the network. We have examined the Netscape v1.1N executable and located the code that selects the session key. By patching only 4 bytes we were able to cause the selection of a predictable session key every time the browser engages in the SSL protocol. It is then trivial to snoop and decrypt all traffic from the browser to secure servers, obtaining credit card numbers or other private information. Since this is really an attack on the client, it is not limited to the Netscape browser. On the contrary, it is extremely widely applicable. An appropriate patch to the Kerberos kinit executable makes possible the compromise of any passwords entered by users, and therefore all of the authentication facilities provided by Kerberos. In many environments, including our own here at UC Berkeley, all the Kerberos application binaries are served from an NFS server. This represents a major flaw in security as our attack demonstrates. Having authenticated file services (kerberized NFS or AFS) is useless if the integrity of the kinit executable cannot be ensured (most easily by obtaining it from local disk). However, making local copies of crucial binaries is not sufficient in the face of a more serious set of variants on the NFS spoofing attack. The spoofing software can be placed as before, in a position to snoop requests to the NFS server. As clients issue a lookup filehandle request the spoofing software can return the handle to a different executable and also forge its attributes. By tricking users into executing code that is setuid root, unlimited access to the client's workstation can be obtained easily. It is possible to mount NFS partitions so that setuid root executables will not be honored by the client. Still, the spoofing software can make arbitrary NFS filehandle lookup requests succeed, and substitute a trojan of some sort. The attacker could cause misspellings of commonly executed commands to appear to succeed, or could spoof other files that are trusted by the operating system. For example, the user's .login file is a natural and easy target from which to leverage further damage. This implies that it is unsafe to execute any program obtained via an insecure channel to an NFS server, no matter what the privilege level of the client user. Neither is it limited to NFS or file-serving protocols in particular. Protocols based on TCP, rather than UDP, are just as vulnerable. It is possible to hijack non-authenticated TCP connections, although it is somewhat more complicated. Attacks based on spoofing traffic coming from the distribution site of popular software packages is also possible. Berkeley, for example, is a mirror site for the Netscape browser. Any student with promiscuous network access on a machine between the ftp server and the main link to the larger Internet could have installed similar patching software to patch the huge number of copies of the binary that were retrieved from server.berkeley.edu. More mundane attacks based on trojan horses or viruses remain viable today. These attacks must exploit some other weakness in a system's security to infiltrate, but once in place they can perform patches to local binaries to fully compromise a system. Previously such attacks were mostly motived only by ego or malice; it is now more valuable to compromise a client invisibly, so that the user believes the system is secure. Thus, unlike traditional viruses, the new strains will aim to have no visible effect on the system, thus making them difficult to detect and easy to spread unintentionally. Our patch of Netscape has this flavor. We realize that it is impossible to eliminate all security holes; one can always question whether it is safe to trust the hardware, or whether outside channels used for communication of public keys or checksums are truly secure, etc. Fortunately, in practice it should suffice to handle far less than all of these risks. We hope to have demonstrated one gaping hole in practical security today, and to have highlighted the problem of the trusted endpoint. There is one simple step that we can suggest that would go a long way towards improving the security of endpoints. Increasing the practice of software providers widely publishing cryptographically secure checksums of their executables would be extremely helpful. A small amount of paranoia and care must be applied to securing the executables used in the verification process. A read-only floppy disk would be appropriate to hold the verification software, for example. We are concerned that security on users' workstations and PCs is currently insufficient. When real money is at stake, endpoint security must withstand greater scrutiny. In summary, protecting the communications channel doesn't help if the endpoints can be subverted. We implemented and discussed several related attacks that replace legitimate programs by compromised versions. Until we can trust every program that executes between the time we boot and the time we finish the secure protocol, we cannot reliably authenticate anything. Today there is no basis for this trust. Eric Brewer, brewer@cs.berkeley.edu Paul Gauthier, gauthier@cs.berkeley.edu Ian Goldberg, iang@cs.berkeley.edu David Wagner, daw@cs.berkeley.edu __ __ __ __ ___ \ \/\/ /\/\/ /\/\/ / _____________________________________________________ 4.0 \_/\_/\_/\_/\_/\_/ Kreativ HTML-kodning H„r „r en liten godbit som krashar alla k„nda versioner av Netscape, alla plattformar. Perfekt f”r att filtrera bort alla lamers fr†n din kewla hemsida. L„gg bara en ref till nedanst†ende med texten "The Hackers Handbook". Funkar varje g†ng. Och du ska inte tro att de ger upp efter f”rsta f”rs”ket...
__ _ _ _ ____ __ ___ | \ | ) |_ _) ) _______________________________________________________ 5.0 |_\__|_ |__|__| Nyhetsklipp fr†n oktober och november (___/ --------------------------------------------------------------------------- AMAT™RMˇSSIG GIRIGHET STYR BSAS AGERANDE 5.1 Datateknik, 95-11-30 --------------------------------------------------------------------------- Enligt BSA „r 59 procent av all programvara i Europa piratkopierad j„mf”rt med 35 procent i USA. De har r„knat ut att om den europeiska piratkopieringen skulle sjunka till amerikansk niv† s† skulle det i Sverige skapas 8000 nya jobb och skatteint„kter p† 1,8 miljarder kronor. BSA „r en internationell organisation som aktivt arbetar f”r att stopp p† st”ld av programvaror genom information, utbildning och r„ttsliga †tg„rder, med stark tonvikt p† det senare. Indignerat f”resl†r BSA kraftfulla †tg„rder i avskr„ckande syfte mot den tilltagande brottsligheten. De f”resl†r ett †tg„rdspaket med straffsatser i klass med knarkhandel. -Piratkopiering „r idag ett stort socialt och ekonomiskt problem, f”rfasar sig Robert Holleyman, BSAs h”gste chef i en pressrelease, och menar att den sociala v„lf„rden „r i fara. Egentligen „r de bara ute efter dina pengar. BSA agerar i sina medlemmars intresse och „r bara intresserat av pengar. I alla fall d„r BSA †talat n†gon f”r piratkopiering har de gjort upp i godo, dvs hellre tagit pengar, „n dragit fallet i domstol. Ist„llet f”r att komma tillr„tta med det grundl„ggande problemet, att det faktiskt stj„ls programvara, anv„nder BSA juridiska finter och cowboytaktik f”r att g”ra tvivelaktiga husrannsakningar hos de f”rmodade piraterna. Philippe Kahn, fd koncernchef i Borland, s„ger till Datateknik att problemet „r enkelt: -Jag har alltid trott p† att arbeta med kunderna. Jag tror inte p† att processa. Om det finns ett problem ska man s„tta sig runt ett bord och l”sa det. BSAs attityd „r att processa f”rst. Inte min stil. N„r ett program piratkopieras beror det helt enkelt p† att det „r f”r dyrt. I Japan piratkopieras det friskt, trots att Japan h”r till ett av de l„nder som har v„rldens l„gsta brottslighet. Kopieringen „r en f”ljd av att en japansk version av exempelvis Excel kostar 30 000 kronor. Skillnaden i antal piratkopierade program mellan Sverige och USA beror givetvis p† att programvara i genomsnitt „r 20 procent billigare i USA. Jag har inte r†d att betala tre tusen kronor f”r att ha Microsoft Word hemma. Allts† l†nar jag ett p† jobbet. Om det vore d”dsstraff p† att kopiera Word skulle jag anv„nda n†got annat program. Detta beteende ”kar andelen piratkopierade program i BSAs statistik, men det motsvarar inga som helst f”rlorade int„kter. All den programvara BSA anser vara piratkopierad skulle n„mligen aldrig ha s†lts. BSA tar inte h„nsyn till om jag bara vill anv„nda ett program n†gra enstaka g†nger. D„rf”r kopierar de flesta alla program till sin lokala PC f”r enkelhets skull. Jag har ett exemplar av redigeringens Photoshop p† min burk. BSA tar inte h„nsyn till att det „r betydligt l„ttare att l†na grannens program d† och d† f”r att utf”ra n†gon uppgift. Fick jag inte skulle jag be redigeringen, som har en legal kopia, att utf”ra uppgiften. BSA tar inte heller h„nsyn till om jag l†nar ett program av en kollega bara f”r att prova det. Kopplingen mellan en minskad pirat- kopiering, ”kade skatteint„kter och nya arbetstillf„llen „r ocks† rent nonsens. Vilka skatteint„kter skulle staten f†? ˇr det tull? Eller moms? De 1,8 miljarder kronor Svenska staten skulle f† i skatteint„kter motsvarar en och en halv miljon s†lda Officepaket, en orimlighet i sig. BSA redovisar aldrig hur 8000 nya arbetstillf„llen i Sverige skulle skapas. Kan det vara arbete i kopieringsfabriker? Eller distribution av Postens f”retagspaket? Om programvaruf”retagen kr„ver att jag ska vara fullst„ndigt moralisk, kr„ver jag att de ocks† ska agera moraliskt. Det g”r dom inte. Licensavtalen „r groteska. Microsoft exempelvis garanterar att programmet i allt v„sentligt fungerar under tre m†nader. F”r 5000 kronor f†r man allts† ett program som fungerar sis†d„r i 90 dagar. I hj„lpsystemet till Windows 95 st†r det 3413 ord om piratkopiering, men bara 153 ord om hur man kopierar en fil mellan tv† PC. Microsoft visade en vinst p† 11,6 miljarder kronor senaste boksluts†ret. F”retaget „r registrerat i den amerikanska delstaten Delaware f”r att slippa betala skatt. Det „r helt enkelt amat”rm„ssig girighet som styr BSAs agerande. --------------------------------------------------------------------------- MICROSOFT JAGAR PIRATER I NORDEN 5.2 Computer Sweden, 95-11-24 --------------------------------------------------------------------------- Microsoft tar i med allt h†rdare nypor mot piratkopierare. D„rf”r har Norvald Heidel p† Microsoft Norge utsetts till nordisk piratj„gare. Han ska arbeta ”ver hela den nordiska marknaden med att motverka och informera pressen om piratverksamhet. --------------------------------------------------------------------------- DAGS F™R BBS-DOM - I ELFTE TIMMEN 5.3 Datateknik, 95-11-16 --------------------------------------------------------------------------- N„sta vecka st†r den riksbekante BBS-piraten i Helsingborg till svars inf”r H”gsta domstolen. Hans fall har dragits i l†ngb„nk sedan v†ren 1992 och lagen han ska d”mas efter har b†de hunnit „ndras och bli f”r†ldrad igen. Helsingborgaren var den f”rste svenske BBS-„gare som sp†rades och polisanm„ldes av den internationella piratj„garorganisationen Business Software Alliance (BSA), d† relativt ny i Sverige. Det unika med fallet var att †klagaren med st”d av upphovsr„ttslagen s”kte f† fastslaget att BBS-„gare har ett juridiskt ansvar f”r inneh†llet i sina databaser. ¸talet f”ljde tv† huvudlinjer. Dels hade helsingborgaren redan genom att inr„tta sin BBS gjort sig medskyldig till den piratkopiering anv„ndarna kunde t„nkas utf”ra n„r de skickade in sina programfiler till basen, sammanlagt 136 olika kommersiella datorprogram, dels hade han tillhandah†llit dessa kopior till 80 betalande anv„ndare, vilket †klagaren ans†g st† i strid med lagens f”rbud mot utl†ning och uthyrning till allm„nheten. Under rannsakningen i domstolarna har †klagaren successivt tvingats banta †talet. I HD omfattar det endast spridning av kopior fr†n ett tjugotal program till cirka 40 anv„ndare. Ett brott som helsingborgaren friades fr†n i hovr„tten med h„nvisning till hans ej motbevisade inv„ndning att det bara varit v„nner och bekanta som haft tillg†ng till programmen. Det HD nu ska pr”va „r bland annat om dessa 40 anv„ndare kan anses utg”ra allm„nheten vilket h„vdas av Riks†klagaren, som nu ”vertagit m†let. M†nga viktiga fr†gor har inte f†tt n†gra svar hittills i processen. Somt har domstolarna inte tyckt sig beh”va ta st„llning till, annat har de slingrat sig f”rbi utan n„rmare analys. Till exempel: Vad „r kopior och vad „r exemplar n„r datorprogram skyfflas in och ut ur databaser? Vad inneb„r det n„r n†gon utf”r kopiering f”r sitt enskilda bruk? Vad menas med spridning, tillhandah†llande, uthyrning och utl†ning? Kan kopior fr†nolagliga kopior n†gonsin bli lagliga kopior? Kan man s„gas ha hyrt eller l†nat ut n†gonting, fast„n man i praktiken har det kvar? ˇven om landets h”gsta d”mande instans nu r„tar ut ett antal fr†getecken, kommer det en smula sent. Tv† statliga utredningar arbetar redan med att skriva nya lagar f”r BBSer och databaser. Nyligen h”lls hearing kring ett lagutkast som stipulerade s†v„l „garansvar som kontinuerlig sp†rning (loggning) av anv„ndarna. Men protesterna blev s† starka att utredningen nu beg„rt ett halv†r extra f”r att jobba om f”rslaget. Ocks† hos nya datalagsutredningen st†r BBSerna p† dagordningen. Ett prejudikat fr†n HD ”ver vad upphovsr„tten duger till i programleverant”rernas envisa kamp mot olovlig kopiering f†r med andra ord begr„nsad aktualitet. Det troliga „r dock att den kommande HD-domen f†r till effekt att lagstfitarna ”kar takten. --------------------------------------------------------------------------- HOT JAVA ™PPNAR BAKD™RREN TILL DIN DATOR 5.4 Datateknik, 95-11-16 --------------------------------------------------------------------------- Luckor i Hot Java, Sun Microsystems bl„ddrare f”r till„mpningar skrivna i programspr†ket Java, g”r Java till ett l„mpligt verktyg f”r vissa typer av dataintr†ng (cracking). Det skriver tv† forskare fr†n Princetonuniversitetet, Drew Dean och Dan Wallach, i en rapport. Forskarna har analyserat k„llkoden till den aktuella testversion, 1.0a3, av Hot Java och uppt„ckt flera tveksamheter. Till exempel kan ett Javaprogram „ndra inst„llningarna s† att en utomst†ende kan se (och „ndra i) all trafik till och fr†n anv„ndarens Hot Java-bl„ddrare. I datas„kerhetskretsar kallas det man in the middle-attack, allts† att placera sig mellan en dator man vill h†lla koll p† och omv„rlden. Java „r ett generellt programspr†k i stil med C++ men det har konstruerats i ett best„mt syfte: att skriva program som laddas ner fr†n en dator till en annan ”ver Internet och exekveras i m†ldatorn. Det „r inte det enda spr†ket med den egenskapen, Kaleidas ScriptX och General Magics Telescript har den ocks†, men det tycks ha st”rst chans att etablera sig som standard p† Internet. Bland annat d„rf”r att Netscape har licensierat Java och lagt in det i sin WWW-bl„ddrare. M”jligheten att ladda ner programkod g”r att det g†r att utveckla betydligt intressantare till„mpningar med Java „n med HTML, som anv„nder textfiler. ¸ andra sidan uppst†r det s„kerhetsproblem som inte finns i HTML, och det „r ett par s†dana problem som Dean och Wallach vill s„tta fingret p†. De skiljer p† s„kerhetsproblem som beror p† † ena sidan en d†lig implementation, † den andra fundamentala svagheter i spr†ket eller bl„dderprogrammets uppbyggnad. Man in the middle-attacken ovan „r av den f”rsta typen och kan relativt l„tt fixas till; enligt rapporten „r den r„ttad i den kod som Netscape har f†tt. Detsamma g„ller ett annat fel som till†ter ett Javaprogram som k”rs i Hot Java 1.0a3 f”r Windows att fylla skivminnet med data. En s†dan attack f”rst”r visserligen inte data som redan finns d„r, men datorn blir obrukbar tills skivminnet rensats. Denial of service kallas den typen av intr†ng. En „nnu enklare form av denial of service „r att skriva ett program som l„gger beslag p† 100 procent av CPU-tiden eller tillg„ngligt minne och tvingar anv„ndaren att starta om datorn. Inte heller det kan Hot Java gardera sig mot. Till kategorin fundamentala svagheter r„knar forskarna framf”r allt att ett Javaprogram kan ta reda p† relativt mycket information om den dator det k”rs p†, som till exempel datorns namn och IP-adress och under vilket namn anv„ndaren „r inloggad. I Unix g†r det ocks† att f† information om vilka program som „r installerade genom att l„sa vissa operativsystemvariabler. Visserligen f”rs”ker Hot Java t„ppa till luckan genom att dels begr„nsa den information som ett program kan l„sa, dels sp„rra s† att det inte kan skicka den vidare till n†gon annan dator. Men som Dean och Wallach visar g†r det inte att st„nga luckan helt utan att samtidigt ta bort en stor del av nyttan med Java. M†nga Javaprogram har till exempel ett legitimt behov av att kontakta den WWW-server de laddades ner fr†n f”r att h„mta mer data, och d† kan det samtidigt l„cka information. Likas† beh”ver Javaprogrammerarna tillg†ng till maskinn„ra data f”r att kunna skriva spel och andra tidsberoende program. Det faktum att Hot Java sj„lvt „r skrivet i Java och dess interna variabler d„rf”r †tkomliga fr†n spr†ket bidrar ocks† till os„kerheten, liksom att de s„kerhetskritiska funktionerna „r spridda ”ver hela programkoden ist„llet f”r att vara samlade p† ett st„lle. Dean och Wallach fick de f”rsta priserna, varsin t-tr”ja, i en nyutlyst t„vling,The Hack Java Promotion, som anordnas av samma organisation som tidigare haft t„vlingar i att kn„cka Netscape. Mer om t„vlingen kan man l„sa p† http://www.c2.org/hackjava, och d„r finns ocks† l„nkar till Deans och Wallachs arbete. --------------------------------------------------------------------------- JURIST VILL G™RA OLˇSLIGA BEVIS STRAFFBARA 5.5 Computer Sweden, 95-11-10 --------------------------------------------------------------------------- Dansk polis kan inte utreda ett hackerbrott, eftersom bevismaterialet „r krypterat. Den misst„nkte v„grar att ge polisen nyckeln till kryptot. Detta borde vara straffbart, anser en dansk juristprofessor, som i s†dana fall vill ha omv„nd bevisb”rda. F”rbud mot kryptering av datakommunikation „r meningsl”st och ogenomf”rbart. Det skriver danska teknologir†det i en f„rsk rapport. Att lagstifta om att anv„ndarna ska deponera sina nycklar, s† att polisen vid behov kan avlyssna och tolka krypterad datakommunikation tror teknologir†det inte heller p†. -F”r telefoni kan man skapa ett kryptosystem som ger polisen tillg†ng till nyckeln efter beslut om avlyssning i domstol. Men f”r data- kommunikation och diskar b”r man inte ge myndigheterna m”jlighet till avlyssning. Tv„rtom b”r systemen byggas upp s† att det ger maximal tro- v„rdighet, heter det i teknologir†det rapport. R†det tar ocks† upp ett f”rslag fr†n juristprofessorn Mads Bryde Andersens. Han vill ge domstolarna r„tt att d”ma en misst„nkt som v„grar att l„mna ut nyckeln till krypterat material, och d„rmed om”jligg”r utredning. Detta inneb„r i praktiken omv„nd bevisb”rda, allts† att den misst„nkte m†ste bevisa sin oskuld. Detta, anser teknologir†det, „r of”renligt med dansk r„ttstradition. Mads Bryde Andersen h„vdar att detta „r enda s„ttet att utreda s†dana brott. Att kn„cka meddelanden som krypterats med datorbaserade metoder kr„ver superdatorer. "Macronite", en dansk hackare som greps av polisen i Frederikshavn i v†ras, „r ett p†tagligt exempel. Strax innan han greps krypterade han sina h†rddiskar, och han v„grar att avsl”ja krypteringsnyckeln. Kriminalinspekt”r Carl Johan Andersen undrar om kostnaden skulle st† i proportion till nyttan f”r utredningen om polisen i Frederikshavn tillgrep den enda utv„gen, dekryptering med superdatorer. __________________________________________________________________ Kommentar: Vi har precis h”rt rykten om att ovanst†ende "incident" har satt ig†ng krafter inom v†rt eget land, som nu arbetar f”r ett lagf”rslag som ska g”ra det straffbart att inte l„mna ut sin krypteringsnyckel om r„tts- v„sendet kr„ver s†. Vi †terkommer i „rendet, var s† s„ker! --------------------------------------------------------------------------- DEN TYPISKE IT-BROTTSLINGEN FINNS INTE 5.6 Datateknik, 95-11-02 --------------------------------------------------------------------------- Leverant”rer av IT-s„kerhet som lejer Leif GW Persson till att prata f”r varan riskerar att binda ris †t hela aff„rsid`n. Redan GWs ”ppningsreplik s„nker det mesta av alla noga utmejslade s„ljargument f”r samlade s„kerhetstrategier. -Den typiske IT-brottslingen finns inte! ICLs seminarium f”rra veckan om ett nytt beh”righetssystem kunde d„rf”r lika g„rna ha blivit en bumerang. Hur ska man skydda sig, n„r inga tydliga hot finns? -Med annan brottslighet „r det tv„rtom. Majoriteten vanliga brott beg†s av en ytterst liten del av den manliga befolkningen. Den „r dessutom utseendem„ssigt mycket v„l definierad. -Vid grova v†ldsbrott „r sambanden „nnu starkare mellan den faktiska g„rningsmannen och den man f”rv„ntar sig. Som till exempel typfallet helt vanlig kvinna funnen m”rdad i skogsdunge. -I nio fall av tio „r m”rdaren hennes n„rmaste manlige bekant! -Det typiska n„r m”rdaren k„nner sitt offer „r n„mligen att han g”mmer kroppen f”r att hinna samla sig f”re det oundvikliga bes”ket av polisen. S† enkla samband har kriminologerna inte hittat f”r IT- -brottslingar. De senast publicerade siffrorna ”ver svensk datakriminalitet „r en kort tabell i en doktorsavhandling f”rra †ret. Systemvetaren Stewart Kowalskis fann att †ren 1987 till 1989 rapporterades 47 databrott. Uppdelade efter tillv„gag†ngss„tt hade datorn/datorprogrammet varit brottsverktyg i 19 fall och angreppsobjekt i 2 fall, det handlade om piratkopiering eller program„ndringar i 14 fall samt dataintr†ng i resterande12 fall. En sannolikt representativ statistik, gissar GW Persson. I sin egen forskarg„rning som professor i kriminologi vid polish”gskolan har GW hittat fyra personlighetstyper som beg†r IT-relaterade brott Hackern attackerar sj„lva datorsystemen, som regel bara f”r att f† access. Spionen letar efter information. Bedragaren „r ute efter pengar och Bror Duktig fr„mst efter „ra och ber”mmelse. Men enligt GW Persson „nd† r„tt alldagliga personer. Spionen luskar i kundregister och offerter, men „r ibland en annars of”rvitlig polisman som bara f†tt f”r sig att kolla upp v„nner och bekanta i polisregistret. Bedragaren „r som oftast en f”rskingrande bankkamrer. Och en riktig Bror Duktig avsl”jade sig f”r v„rlden i optionsm„klaren Nick Leeson n„r han bl†ste brittiska Barings Bank p† 14 miljarder kronor. Av presumtiva terrorister i datasystemen „r hackern den som sk„llts som farligast. Men bland GWs f”rbrytartyper „r han en r„tt s„llsynt huvudperson. Tv„rtom, i IT-sammanhang f†r kriminalg†torna ofta sin uppl”sning enligt samma mall som hos Agatha Christie. -I s„rklass vanligast n„r f”retag r†kat ut f”r IT-brott „r att g„rningsmannen finns bland personalen. Vilket avsev„rt f”rsv†rar kontrollen, till„gger GW med adress till alla systemadministrat”rer som ofta h„vdar att svaret ligger i b„ttre ”vervakningsteknik. -Ofta ligger lojalitetskonflikter med arbetsgivaren bakom, eller ekonomiska och andra privata problem. Arbetsgivaren kanske har †lagt sina anst„llda en tystnadsplikt som de p† grund av personliga egenskaper inte kan leva upp till. -K„nnetecknande f”r mycket kreativa personer „r att de „r ”ppna och gillar att ber„tta om sina jobb. Vilket med ”dets ironi enligt GW kan ge helt o”nskade resultat. -En l„kemedelsj„tte som tystar sina anst„llda med h†rda tystnadsplikter riskerar att sl† ihj„l kreativiteten. Enligt GW „r enda mot†tg„rden kontinuerlig personalkontroll, med b”rjan redan vid rekryteringen. -M”ter man sin kamrer p† Solvalla „r det ett varningstecken man b”r ta p† allvar. Till och med s„kerhetschefen sj„lv kan vara boven. -B„sta s„kerhetschefen „r en medel†lders kvinna som slutat med uteliv och h†ller sig med relativt begr„nsat umg„nge, lyder GWs rekommendation. -S† ser det knappast ut idag. Det normala ute p† f”retagen „r den s„kerhetsanvarige har mer muskler „n genomsnittet, och dessutom ett milit„rt f”rflutet. -Och det, vet man ju, „r en sort som ofta r†kar i trubbel. --------------------------------------------------------------------------- BEFARAD TERRORV¸G MED ELEKTRONISKA VAPEN 5.7 Computer Sweden, 95-10-20 --------------------------------------------------------------------------- De flesta f”retag har idag tillg†ng till de senaste s„kerhetsprogrammen: virusprogram, datakryptering och brandv„ggar i Internet. Men hur skyddar de sig mot HERF-kanoner och EMPT-bomber? Det „r namnet p† tv† av de senaste elektromagnetiska vapnen som nu diskuteras flitigt bland s„kerhetsansvariga. HERF-kanoner (High Energy Radio Frequency) och EMPT-bomber (Electromagnetic Pulse Transformer) „r vapen d„r elektromagnetisk str†lning riktas mot ett m†l - samma id` som mikrov†gsugnen. De finns med p† en lista ”ver de senaste hoten mot datas„kerhet som diskuterades p† en konferens om informationsst”lder (Information Warfare) i Montreal nyligen. De flesta systemansvariga bryr sig inte s† mycket om den ”kade m„ngden elektromagnetiska vapen. De tror inte att datorerna och kommunikationssystemen „r hotade av illvilliga infoterrorister med vapen som skulle kunna komma fr†n Stj„rnornas krig. Men s„kerhetsexperterna menar att det inte kommer att dr”ja l„nge innan n†gon missn”jd anst„lld, utpressare eller terrorist riktar vapnet mot datorn och f”rvandlar viktig information till digital soppa. - B†de tekniken och kunnandet finns redan. Vad man d„remot inte har t„nkt p† „r att dessa vapen kan anv„ndas f”r en massiv attack, s„ger Winn Schwartu som arbetar som datas„kerhetskonsult. Paul Strassman, f”re detta informationschef p† USAs f”rsvarsh”gkvarter Pentagon och numera f”rel„sare om informationskrig, menar att de flesta f”retag inte alls „r beredda p† den h„r sortens attacker. - De potentiella inkr„ktarna „r mycket mer kunniga „n de som b”r skydda sig. Ett litet antal infoterrorister kan utman”vrera p†kostade skydd helt och h†llet, menar han. I USA finns flera topphemliga elektroniska vapen och dessa anv„ndes med f”r”dande resultat i kriget mot Irak. Tyv„rr verkar det, enligt experterna, varken beh”vas vetenskapsm„n eller miljoner f”r att bygga otrevliga elektroniska vapen. Elektroniska vapen „r inte heller det enda hotet mot f”retagen. Undergroundtidningar och databaser „r fyllda med annonser f”r andra typer av vapen och verktyg, till exempel virusbibliotek, elektroniska l†dor f”r att lura telefonsystemet, l”senordssp†rare, spionutrustning och goda r†d till den blivande infoterroristen. - Utrustning f”r infoterrorister „r snart en j„ttemarknad och det „r ot„cka saker du kan k”pa. Du kan „ven hyra hackers om du vill f† saker utf”rda, s„ger Strassman. Schwartu har i sin bok "Information Warfare - Chaos on the Information Superhighway" beskrivit de olika verktygen och hur de anv„nds. Konferensdeltagarna hade delade meningar om hur allvarligt man ska ta hotet om informationsst”lder. - S„kerhets†tg„rderna i den egna dataavdelningen har st”rt datafl”det genom att st”rningar s„nts ut, s„ger John Pastore, chef vid ett amerikanskt finansf”retag. Det „r liten risk att n†got h„nder, men det kostar stora pengar att skydda sig. Om exempelvis kreditkortsbetalningarna p† hans f”retag gick ned en dag, skulle f”retaget aldrig kunna †terh„mta sig. - Man m†ste ta elektroniska vapen p† allvar, s„ger Pastore. De flesta deltagarna var dock skeptiska. - Det verkar inte g„lla oss. Jag oroar mig mer f”r st”ld av f”retagshemligheter, s„ger en deltagare. - Ja, vi har pratat om det, men det kommer inte upp p† varje styrelsem”te precis, menar en annan. M†nga f”retag ser cyberspace som en elektronisk guldgruva d„r man kan vara anonym och enkelt g”ra saker och f† l”n f”r m”dan. Hotet kommer inte fr†n hackers. Vissa f”retag kommer inte kunna l†ta bli att k”ra om sina konkurrenter genom att skada deras informationssystem. - Industrispionaget har ”kat ordentligt sedan det kalla kriget tog slut, menar Alan Pickering fr†n det kanadensiska f”rsvaret. Varf”r k”pa n†got n„r du kan stj„la det? FBI k„nner till 57 l„nder som har konstruerat program f”r att spionera p† f”retagen i Silicon Valley. --------------------------------------------------------------------------- SUPERFORMATTERING BLEV F™R DYRT F™R 16-¸RINGEN 5.8 Datateknik, 95-10-19 --------------------------------------------------------------------------- -1500 kronor! D† f†r ni hellre ta h†rddiskarna. Den 16-†rige yngling som gjort sig skyldig till upprepade dataintr†ng i Uppsala universitets datan„t blev av med sina tv† skivminnen, trots advokatens f”rs”k i sista stund att r„dda dem undan f”rverkande. Superformattering anv„ndes av Uppsalapolisen i samband med Teliar„tteg†ngen i v†ras. Huvudmannen i det unga hackerg„ng som d”mdes f”r att ha f”rfalskat Telias telefonkort erbj”ds att ist„llet f”r konfiskation av beslagtagna skivminnen f† den brottsliga informationen p† dem permanent raderad. -Men det blev v„ldigt dyrt f”r oss, konstaterar Rikspolisstyrelsens datatekniske expert Stefan Kronqvist. Notan gick l”s p† 11000 kronor, mycket beroende p† att RPS m†ste komplettera sin datautrustning f”r att klara uppgiften. Kostnader som polisen fick st† f”r. N„r 16-†ringens advokat vid huvudf”rhandlingen f”r halvannan m†nad sedan beg„rde samma behandling f”r sin klients del, uppstod fr†gan vem som skulle betala? M†lets avg”rande sk”ts fram n†gra veckor f”r att parterna skulle utreda saken, men nu har domen fallit. 16-†ringen d”ms till 70 dagsb”ter ” 30 kronor (totalt 2100 kr) f”r att han via l†nade anv„ndaridentiteter tog sig in p† universitetets datan„t vid ett stort antal tillf„llen. Hans enda syfte var att f† gratis tillg†ng till Internet och det kostade inte universitetet ett enda ”re. De tv† skivminnena med program, l”senord mm fr†n universitetsn„tet f”rklarades dock f”rverkande. -Vi skulle f† betala 1500 kronor f”r radering av diskarna och det tyckte vi inte det var v„rt, f”rklarar advokat Leif Ericksson. Betalningen avs†g konsultarvode till ett privatf”retag som kriminaltekniska anstalten i Link”ping (SKL) f”rut anlitat i liknande fall. Ett f”retag som ironiskt nog finns i Uppsala. SKL anser sig inte kompetent att sj„lv utf”ra raderingen, som g†r under ben„mningen superformattering. Exakt hur denna g†r till „r polisen f”rtegen om. Man fruktar att f”r m†nga detaljer kan kan ge vinkar om hur den raderade informationen kan †teruppv„ckas. Principen „r dock att man fyller skivminnet med nonsensinformation och formatterar om den, i flera omg†ngar. -Metoden „r absolut s„ker, h„vdar Stefan Kronqvist till f”rsvar mot den kritik som f”rekommit om att datakunniga bovar „nd† lyckats plocka upp sina gamla filer fr†n de omformatterade minnena. Alternativet till omformattering „r att skivminnen f”rverkas/ konfiskeras av staten, vilket i m†nga fall betyder att de blir liggande i n†gon k„llare hos polisen. Regelboken s„ger att de ska f”rst”ras, men det „r s„llan s† sker om inte det inte r”r ytterst k„nsliga data. I framtiden blir det allts† kostsamt f”r databrottslingar att beg„ra radering och †terl„mnande av skivminnen som ing†tt i brottsrekvisitan. I vissa fall kan de „nd† komma att d”mas att betala f”r en superformattering, n„mligen n„r stulen datorutrustning ska †terl„mnas till r„ttm„tig „gare. RPS ser det som en allvarlig s„kerhetsrisk att polisen inte sj„lv utf”r omformatteringen. K„nsliga uppgifter fr†n skivminnena kan g† tillbaka till bovarna via l„ckor i de anlitade konsultf”retagen. --------------------------------------------------------------------------- F™RBJUD KREDITKORTSK™P PER TELEFON 5.9 TT-Telegram, 95-10-03 --------------------------------------------------------------------------- Nu vill l„nspolism„staren i Malm” Hans Wranghult f”rbjuda kreditkortsk”p per telefon. Anledningen „r att det l„ttillg„ngligt p† datan„tet Internet finns uppgifter som g”r det m”jligt att utf”ra avancerade kontokortsbedr„gerier. Den som har ett rymligt samvete och „r datakunnig kan med ett falskt kontokortsnummer k”pa varor i till exempel TV-shop eller p† postorder, rapporterar Sveriges Radios Ekoredaktion. - Genom att f”rbjuda ink”p per telefon eller postorder d„r man anger att debiteringen f†r belasta ett visst angivet kreditkortsnummer f”rhindrar man ocks† m”jligheten att beg† brotten enligt modellen som Internetprogrammet tillhandah†ller, anser Hans Wranghult, som „r medlem i en grupp inom Interpol som arbetar med att f”rhindra databrottslighet. Mats Andersson p† rikskriminalens underr„ttelsetj„nst har studerat den h„r typen av brottslighet. - P† Internet finns det uppgifter om hur man kan generera nummer p† kontokort, s„ger Mats Andersson, rikskriminalens underr„ttelsetj„nst, till TT. - Vi „r ”vertygade om att det h„r ing†r i ett internationellt s„tt att arbeta bland brottslingar. Exakt samma typ av brottslighet har dykt upp i flera europeiska l„nder, „ven Sydafrika och p† andra st„llen runt om i v„rlden. Mats Andersson s„ger att det inte „r olagligt att sprida den h„r sortens information, inte med nuvarande lagstiftning. Han ber„ttar ocks† att kontokortsf”retagen arbetar h†rt f”r att ligga ett steg f”re databrottslingarna. Bakgrunden till den h„r typen av brottslighet finns i USA. D„r kn„ckte ett g„ng datahackers koden till kontokortsf”retagen nummerserier. Sedan lade de in informationen p† Internet. Det finns ocks† brottslingar som g†r steget l„ngre och fabricerar egna kontokort. Med kunskap om hur kontokortens serier „r uppbyggda kan de f”rse korten med "r„tt" nummer. En internationell liga som specialiserats sig p† den h„r sortens bedr„gerier greps i b”rjan av h”sten i Stockholm. Vill det sig riktigt illa finns redan numret och uttagen belastar en ovetande kontokortsinnehavare. Men d† har bankerna g†tt in och t„ckt f”rlusterna, enligt Mats Andersson. Beh”ver den som har ett bankomatkort eller ett Minutenkort vara orolig? Ingen har hittills klarat av att fiffla p† det h„r viset med dessa bankkort, enligt vad Mats Andersson k„nner till. ¸ andra sidan g†r tekniken fram†t och de datakunniga brottslingarna blir mer och mer avancerade, p†pekar han. --------------------------------------------------------------------------- HACKERS KNˇCKTE FRANSKA F™RSVARSHEMLIGHETER 5.10 TT-Telegram, 95-09-20 --------------------------------------------------------------------------- Datorhackers har tagit sig in i den franska marinens datorsystem och f†tt tillg†ng till franska och allierade f”rsvarshemligheter, skriver den satiriska franska tidningen Le Canard Enchain` p† onsdagen. Tidningen, var namn betyder den fj„ttrade ankan, specialiserar sig p† unders”kande journalistik. Den uppger att intr†nget gjort amerikanska och brittiska milit„rer fullst„ndigt rasande. Datorkn„ckarna gjorde sitt intr†ng i juli och lyckade d† plocka †t sig s† kallade akustiska profiler p† hundratals franska och allierade ”rlogsfartyg. Profilerna utg”rs av den f”r varje enskilt fartyg karakt„ristiska ljudbild som h”rs under vatten och som anv„nds av ub†tar f”r att skilja v„n och fiende †t. President Jacques Chirac uppges ha givit order om en st”rre utredning av saken. Det franska f”rsvaret vill inte kommentera historien men f”rsvarsminister Charles Millons kansli bekr„ftar den. Misstankarna riktas nu mot Ryssland. Men en del franska milit„rer misst„nker att det i sj„lva verket „r amerikansk milit„r som gjort intr†nget f”r att pr”va de franska kollegernas dators„kerhet. --------------------------------------------------------------------------- RYSK HACKER STAL MILJONER 5.11 Computer Sweden, 95-08-25 --------------------------------------------------------------------------- En 24-†rig rysk matematiker st†r †talad f”r att ha brutit sig in i Citibank New Yorks s„kerhetssystem p† Wall Street och flyttat bankkunders pengar till sitt eget konto. 2,8 miljoner dollar (20 miljoner kronor) lyckades hackern komma ”ver. R„tteg†ngen sker i London, men Citibank vill f† mannen utl„mnad till USA. Sj„lva brottet begicks fr†n mannens kontor i St Petersburg f”r ett †r sedan. Flera amerikanska storbanken har sedan dess diskuterat hur s„kerheten i systemen ska kunna bli b„ttre. __ _ _ ___ ___ ___ ( _| U | ) = __________________________________________________________ 6.0 ___)___)_)_\_| Den h„r listan „r mest f”r den mindre erfarna surfaren, eftersom den inte inneh†ller n†gra revolutionerande hemligheter. Den som redan scannat webben har s„kert redan hittat dessa sidor. Min f”rsta tanke var att dumpa alla mina bokm„rken, men jag m„rkte att det r„cker med att lista ett urval, eftersom de inneh†ller l„nkar till alla andra sidor. L„nkar ___ ------ 6.1 http://www.df.lth.se/~triad/Triad_Home.html http://pacificnet.net/~captnate/ http://www.spatz.com/pecos/hack.html http://www.defcon.org/ http://w3.gti.net/mod/ http://www.l0pht.com/ http://www.multiple.org/ http://www.2600.com/ http://www.fc.net/phrack.html http://underground.org/ http://www.paranoia.com/~coldfire/ Utils ___ ----- 6.2 http://www.first.org/tools/tools.htm http://wildsau.idv.uni-linz.ac.at/~klon/underground/underground.html H†rdvara ___ -------- 6.3 http://www.spystuff.com/ http://www.2020tech.com/maildrop/