Zbyněk Fiala
15. 7. 2015 Vaše věc
Kdo jinému jámu kopá, až si ucho natrhne. Marně hledám moudro, které by mi ujasnilo, jak přistoupit k policii, která si myslela, že to má na háku, než jí WikiLeaks háknuli Hacking Team, který měl pro policii nejrůznější napichovačky vyvíjet.
Skandál je to mezinárodní, ale dosáhl i k nám. WikiLeaks dokázaly stáhnout mailovou korespondenci technické divize tajných služeb, která vystupovala jako italská firma Hacking Team, a protože v těchto mailech najdeme i její klienty, odkopalo to taky hákující Českou policii.
Nic proti tomu, když policie honí lumpy.
Jak však zjistily Novinky.cz, „jen během letošního a minulého roku policisté poptávali u italských vývojářů možnost infikovat zařízení potencionálního návštěvníka mnoha dalších internetových stránek včetně velkých bank.
Na seznamu totiž figurují webové prezentace ČSOB, Unicredit Bank, Seznamu, Komerční banky nebo Raiffeisenbank. Detektivové měli zájem i o stránky energetické společnosti RWE nebo politické strany NS LEV 21, kterou dříve vedl někdejší premiér Jiří Paroubek.
Do hledáčku policistů z Útvaru zvláštních činností se dostaly i (…) i média, konkrétně stránky internetového deníku Parlamentní listy a spotřebitelského časopisu dTest …).“ http://www.novinky.cz/internet-a-pc/bezpecnost/374763-policie-si-objednavala-vyvoj-viru-na-miru-pro-spehovani-ve-velkem.html
Měli jsme větší čtenost, než si myslíme…
Prostředníka mezi Hacking Teamem a Českou policií dělala firma Bull, která nyní vystupuje pod jménem Atos IT Solutions and Services. Jsou to hlavně její maily, které umožňují sledovat, co se v Česku dělo.
V tomto policejním rodinném stříbru se můžete přehrabovat za pomoci odkazů, které na Lupě nabízí přehledně Daniel Dočekal.
http://www.lupa.cz/clanky/wikileaks-umoznuje-prohledavat-maily-unikle-z-hacking-team-vcetne-ceskych/
Je to dost odborné, raději zacituji:
„Pokud si chcete prostudovat komunikaci mezi Hacking Teamem a společností Bull, včetně řady zábavných požadavků na vytvoření exploitů (namátkou žádost o exploity na stránky Komerční banky, Seznam.cz, Otomoto.cz, Parlamentních listů, atd.), stačí jít na search.wikileaks.org/advanced, zaškrtnout pouze „Hacking Team“ v omezení hledání, a pak už jenom zkoušet a zkoušet. Případně hledat přímo pomocíwikileaks.org/hackingteam/emails/.
Pozor, je to hodně dlouhé čtení, které vám vystačí na hodně dlouhou dobu. Dozvíte se v něm řadu věcí, včetně toho, že české „vysoké školy“ vyvíjejí exploity a byl zájem je zahrnout do řešení od HT. Desítky e-mailů probírají cenu, dodací podmínky, školení „zákazníka“ v tom, jak konkrétně hackovat, jak do stránek vsouvat útočné kódy nebo jak uživateli zablokovat přehrávání YouTube, aby si stáhl falešný Flash.“
Co jsou exploity?
Je to způsob, jak ovládnout cizí počítač prostřednictvím skryté vsuvky sekvence příkazů do programu nebo souboru, který běžně používáte. Co všechno to dovede, najdete v databázi exploitů, kde jsou pro poslední týdny hned čtyři záznamy pro Flash Player, kterým si přehráváte třeba YouTobe.
Výrobci komerčních programů se děsí. Ti slušnější hlásí, že si jsou chyby vědomi a pracují na jejím odstranění. Třeba Adobe už oficiálně potvrdil zranitelnost svých programů Flash pro Windows, Mac i Linux, které jsou nainstalovány do miliardy počítačů. Ano, je tam bezpečnostní díra, pro kterou byl exploit ušit. Hotové řešení není po ruce, ale mělo by být co nejdřív. Úspěšné využití této díry může útočníkovi umožnit, aby ovládl váš systém, uvádí bez vytáček oficiální prohlášení.
O exploitu tedy víme, byl zveřejněn, ale s ním i postup, jak to udělat. Varování WikiLeaks nám umožnilo, abychom se začali nebezpečí bránit. Jenže vzhledem k tomu, že džina současně vypustilo z lahve, teď může kterýkoliv programátor zkusit něco podstrčit komukoliv, kdo příslušnou aplikaci používá.
Podle britského listu Independent už experti ukázali, jak lze touto cestou převzít kontrolu nad počítačem, spouštět jeho soubory a vykrádat informace – nebo je rovnou nemorálně či přímo nezákonně zneužít.
Hacking Team tvrdí, že to dokáže i zastavit. Prý má vypracovánu krizovou strategii, která obsahuje i zadní vrátka, a tak v případě potřeby může zasáhnout do počítačů těch, kdo požívají jeho software, a vypnout jej na dálku, tvrdí bezpečnostní analytik Bruce Schneier. Jak však dodává, zastavit už nejde zprávy o tom, kdo tento software používal a proti komu. Každá kopie tohoto softwaru má skryté identifikační označení, které umožňovalo Hacking Teamu – a teď už každému, kdo se k tomuto klíči dostal – zjistit, kdo s ním pracuje a na koho jej zaměřil.
https://www.schneier.com/blog/archives/2015/07/more_on_hacking_1.html
Bylo toto vkládání exploitů do cizích programů legální? Skutečně? Kdo se tím bude zabývat? Neodnese to hlavně ten, kdo si bude stěžovat?
Jak se dozvíme, že máme počítač čistý? A proč na to nepřišly služby, které si spousta uživatelů počítačů platí, tedy různé vyhledávače škodlivého softwaru, které svojí nepřetržitou činností sežerou polovinu kapacity procesoru?
A kdo všechno se stihl namočit? Koho spatříme, jak chodí kanálem? Spolupracující vysokoškolští experti, redakce, weby, seznam utěšeně narůstá.
Největší riziko svobody nespočívá v tom, že Babiš bude vědět, kolik měl kdo piv, jak varuje Kalousek při projednávání návrhu zákona o elektronické evidenci tržeb, ale v tom, že nevíme, zda nemáme dlouhodobě napíchnuté kde co, abychom se mohli po čase úspěšně stát sprostými podezřelými. Třeba jako David Rath. A to už bylo za Kalouska.
