(u potpunosti preuzeto s portala Banka Magazine, 24.07.2012. godine)

Od kiber raja do kiber rata

Kako je kiber prostor, s internetom kao najistaknutijom sastavnicom, umjesto prostora slobode i kreativnosti postao izlikom za proizvodnju neprestanog izvanrednog stanja, analizira Božo Kovačević

Analitičari stanja u kiber prostoru upozoravaju da se posljednjih godina, zahvaljujući kiber špijunaži i kiber kriminalu, dogodio besprecedentni transfer bogatstva iz tehnološki naprednih zemalja u one koje ih žele dostići. Petabajti informacija o poslovnim i državnim tajnama, koje su trebale biti dobro čuvane kao zalog trajne superiornost zapadnoga svijeta, postale su dostupne, pretpostavlja se, upravo njihovim najžešćim konkurentima za ekonomski i vojni primat u svijetu. Moguća posljedica takvih operacija je ubrzano smanjivanje razlika u stupnju tehnološkog razvitka između razvijenih zapadnih zemalja i ostatka svijeta.

Ako se prisjetimo argumenata kojima njegovi tvorci i najgorljiviji zagovornici obrazlažu nužnost održanja sustava liberalne hegemonije čiju osnovu čine Breton Woods institucije, uspostavljene poslije 2. svjetskog rata, politike afirmirane u eri Margareth Tatcher i Ronalda Reagana te zamisli o novom svjetskom poretku uobličene početkom devedesetih godina u Americi, onda bismo mogli pomisliti da bi oni moguće smanjivanje razlika u stupnju tehnološkog razvitka i društvenog bogatstva trebali pozdraviti kao ostvarivanje svojih deklariranih ciljeva. Glavno obećanje zagovornika svih liberalnih koncepcija za uređenje međunarodne političke ekonomije je win-win situacija, korist za sve koji prihvate globalna pravila igre. Umjesto zero sum game, igre u kojoj je dobitak jednoga uvijek gubitak za drugoga, koja je obilježila hladnoratovsko nadmetanje, unipolarni svijet liberalne hegemonije u uvjetima Fukuyamina kraja povijesti trebao je donositi absolute gain. Umjesto da budu zabrinuti mogućim smanjivanjem tehnološkog i ekonomskog jaza između razvijenih i nerazvijenih, zagovornici liberalne hegemonije bi se morali zapitati zbog kojeg njihovog propusta taj jaz još nije prevladan i zašto su nerazvijeni uopće posegnuli za kiber prečacem ako primjena globalnih pravila igre neizbježno vodi do dobrobiti za sve.

Zamisao o novom svjetskom poretku temeljila se na nizu izrečenih ili neizrečenih pretpostavki. Jedna od njih bila je da će američko shvaćanje demokracije, ljudskih prava i slobodnog tržišta biti s oduševljenjem prihvaćeno u cijelom svijetu. Druga je podrazumijevala redefiniranje značenja suverenosti država, odnosno implicirala je da su u punom smislu riječi suverene samo Sjedinjene Američke Države, a ostale zemlje uživaju veću ili manju autonomiju, ovisno o stupnju interiorizacije temeljnih načela slobodnog svijeta, i podložne su primjeni sankcija ako se pokažu kao nedovoljno dobre učenice ili kao protivnice novog svjetskog poretka. Primjer najblažeg oblika sankcija bio je ukor bivšeg američkog ministra obrane Rumsfelda zemljama “stare Europe” koje su bile suzdržane prema američkoj odluci da se protiv Iraka primijene najteže sankcije – vojna intervencija. Treće je bilo uvjerenje da će tehnološka superirornost, osigurana institucionalnim aranžmanima i međunarodnopravnim regulama o slobodnoj trgovini, intelektualnom vlasništvu i autorskim pravima, trajno jamčiti visoke tantijeme utemeljiteljima sustava liberalne hegemonije, ponajprije Sjedinjenim Američkim Državama. Četvrta je pretpostavka bila da su informacijske i kompjutorske tehnologije najprikladniji medij za promicanje i učvršćivanje novog svjetskog poretka budući da učinkovitije od ijednog drugog medija omogućuju protok informacija neovisno o bilo kakvim granicama.

Pokazalo se da provedba navedenih postulata nailazi na ozbiljne poteškoće. I ondje gdje su, između ostalog, zahvaljujući korištenju kiber prostora kao medija za propagandu i subverziju, srušene diktature i uspostavljene demokracije, nema jamstva da nove vlade neće biti izrazito loše učenice iz predmeta ljudska prava, ravnopravnost spolova i vladavina zakona. Kako se uvjerljivost hegemona smanjivala - zbog činjenice da su zahvaljujući posrtajima demokracije tijekom dvaju uzastopnih predsjedničkih izbora SAD prestale biti neupitan uzor, zbog očitih neuspjeha misija u Iraku i Afganistanu te, ponajviše, zbog izbijanja financijske krize 2008. godine – tako se povećavao broj oponenata koji se nisu podvrgavali prešutno uspostavljenoj hijerarhji u međunarodnim odnosima. Primjerice, na summitu NATO-a u Bukureštu 2008. godine nije prihvaćena odluka o dodjeljivanju statusa kandidata za članstvo Gruziji unatoč osobnom zauzimanju predsjednika Busha. Svi pak sastanci skupina G8 i G20 nakon 2008. godine mogli bi se opisati kao neuspješni pokušaji da SAD povrati prijašnji status hegemona. Pojava BRICS-a daljnji je pokazatelj otklona od onakvog svjetskog poretka kakav je projektiran u Americi početkom devedesetih godina. I naposljetku, čini se da je tehnološka i vojna superiornost Amerike dovedena u pitanje upravo zahvaljući akcijama u mediju koji se smatrao ključnim za uspjeh projekta uspostave novog svjetskog poretka, u kiber prostoru.

Primjena informacijskih i kompjutorskih tehnologija omogućila je povećanje konkurentnosti u mnogim sektorima biznisa i potaknula znatne promjene u načinu funkcioniranja država i u svakodnevnom životu pojedinaca. Moglo bi se reći da stupanj umreženosti građana i razina kompjutorizacije ekonomije, kritične infrastrukture i institucija uvelike određuje uspješnost marketinškog plasmana određene države kao cjeline. Po stupnju ovisnosti o sustavima kojima upravljaju kompjutori – od vladinih institucija, vojnih instalacija i zapovjedništava te vojne industrije do cjelokupne kritične infrastrukture koja uključuje dalekovode, vodovode, telekomunikacije, zdavstvo, bankarstvo i trgovinu – Amerika je na prvome mjestu. Time je ujedno i prva po stupnju ugroženosti od kiber napada. Uz relativno mala ulaganja hakeri mogu prodrijeti do informacija koje predstavljaju intelektualno vlasništvo i tehnološke tajne strateških industrija, do povjerljivih informacija o klijentima velikih kompanija i do zaporki bankovnih računa milijuna građana. Oni bi mogli izvesti takve kiber napade koji bi onesposobili kompjutorske sustave koji upravljaju cjelokupnom kritičnom infrastrukturom i vojnim postrojenjima, mogli bi onemogućiti bankarsko poslovanje, trgovinu, promet. Mogli bi izazvati ono što američki proroci kiber rata nazivaju cyber Pearl Harbor ili cyber Katrina, raspad kritične infrastrukture, onemogućavanje djelovanja institucija vlasti i socijalni kaos.

Prednost Amerike u konvencionalnom naoružanju, koja joj omogućuje prevagu na kopnu, na moru, u zraku i u svemiru, neupitna je. Ali prijetnje iz kiber prostora tu prednost mogu privremeno eliminirati onesposobljavanjem kompjutorskih sustava o kojima ovisi izvedba operacija u bilo kojoj od tih domena ratovanja. Isti tako, uspješnom kiber špijunažom neprijatelji mogu doći do tehnoloških tajni koje će im omogućiti da bez dugotrajnih i skupih ulaganja u razvoj i istraživanja dobiju gotova rješenja i da tako ubrzaju prevladavanje jaza koji ih trenutno čini inferiornima. Daljnja neprilika je u tomu da kiber napadi s dalekosežnim posljedicama mogu biti izvedeni s teritorija država koje su znatno manje ovisne o informacijskim i kompjutorskim tehnologijama pa je eventualnim uzvratom u kiber prostoru nemoguće prouzročiti jednaku štetu kakvu je napravio napadač. Za izvedbu takozvanih DDoS, distributed denial of servis, zasipanja servera milijunima poruka koje ih zagušuju i onemogućuju njihovo normalno funkcioniranje, moguće je koristiti zombije, kompjutore koji su bez znanja njihovih vlasnika iskorišteni u okviru napadačke mreže koja se naziva botnet. Ako su ti kompjutori na teritoriju SAD-a i u vlasništvu američkih državljana ili kompanija, protiv njih nije moguće provesti vojnu operaciju. Ako su izvan teritorija SAD-a, mogu biti na teritoriju savezničkih država što je, isto tako, prepreka za vojni uzvrat. Na koncu, eventualno otkrivanje i uništavanje svih zombija ne mora dovesti da pravog organizatora i naručitelja kiber napada.

Uspješnu kiber subverziju izvela je 2007. godine, pretpostavlja se, Ruska Federacija protiv Estonije primjenom DDoS koji je onesposobio vladine mreže i kompjutorske sustave banaka koje su morale privremeno ukinuti internetsko poslovanje i obustaviti sve transakcije s inozemstvom. Uvod u rusko-gruzijski oružani sukob u Južnoj Osetiji 2008. godine bio je DDoS protiv gruzijskih vladinih i vojnih mreža. Ti su događaji svakako predstavljali upozorenje da su neke države prepoznale kiber prostor kao novu domenu ratovanja.

Stupanj zabrinutosti zbog mogućih posljedica kiber napada protiv Amerike uvjetovan je i poznatim posljedicama kiber napada koje su izvele SAD ili njihovi saveznici. Primjenom kompjutorskog virusa Trojan u Sovjetskom Savezu je 1982. godine uspješno izvedena kiber sabotaža koja je rezultirala razornom eksplozijom interkontinentalnog plinovoda. Uspješnu kiber sabotažu izveo je 2007. godine Izrael protiv sirijskih nuklearnih postrojenja. 2009. godine Iran je bio žrtva američko-izraelske kiber sabotaže u okviru koje su uništene centrifuge za obogaćivanje urana. Ako bi neka složenija kiber operacija usmjerena protiv američke kritične infrastrukture bila jednako uspješna kao ti ograničeni kiber napadi, posljedice bi za Ameriku mogle biti katastrofalne.

Kiber prostor kojemu je namijenjena osobita uloga u promicanju liberalne hegemonije tako je postao prostor iz kojega dolaze najozbiljnije prijetnje nacionalnoj sigurnosti SAD-a. Prikladno orkestrirane kampanje visokih vojnih i obavještajnih dužnosnika, s jedne strane, i moćnog sektora ICT industrije, s druge, u Americi stvaraju atmosferu neposredne ugroženosti od izbijanja kiber rata za koju je najpouzdaniji odgovor povećavanja proračunskih izdvajanja za kiber sigurnost, osobito za njezinu vojnu komponentu. Tako je hladnoratovsku utrku u nuklearnom naoružavanju zamijenila suvremena utrka u kiber naoružavanju.

Logičan odgovor na utrku u naoružavanju je međunarodni sporazum kojim bi se definirale granice naoružavanja i pravila ponašanja u slučaju izbijanja kiber rata. SAD zasad izbjegavaju razgovore o vojnim aspektima međunarodne kiber sigurnosti. Unatoč znatnoj izloženosti Amerike kiber prijetnjama, kao zemlje koja je u velikom stupnju kompjutorizirana, SAD ne žele otvoriti mogućnost uspostave međunarodnih mehanizama koji bi na bilo koji način doveli u pitanje njihovu slobodu u izboru načina i trenutka primjene kiber oružja u obrambene ili napadačke svrhe. Cijena za to je inzistiranje na postojanju kiber prijetnji koje iziskuju neprestano jačanje kiber sigurnosti na svim razinama, od vlasnika osobnih računala do kompanija, vojske i države u cjelini. Tako je kiber prostor, s internetom kao najistaknutijom sastavnicom, umjesto prostora slobode i kreativnosti postao izlikom za proizvodnju neprestanog izvanrednog stanja.

25-godišnja studentica osuđena uvjetno

Splitska hakerica Marina pretjerala kada je pokušala provaliti u sustav MUP-a

Optužena se branila kako nije pričinjavala štetu, nego je samo proučavala sigurnosne sustave za potrebe studija računarstva

Uvjetna kazna zatvora od tri mjeseca uz rok kušnje od godinu dana prijeti Marini M.(25), studentici računarstva, prema optužnici koja je tereti za hakiranje niza internetskih adresa. Otkrivena je nakon što je u ljeto prošle godine pokušala upasti u zaštićeni dio web-stranice MUP-a, ali joj se ispriječio sigurnosni sustav.

Prema optužnici Općinskog državnog odvjetništva u Splitu, Marina M. je od sredine srpnja do sredine kolovoza 2011. godine u stanu u kojem živi sa svog računala koristila programe za skeniranje slabosti sigurnosnih postavki web-stranica. Nakon skeniranja slabosti obilazila je postavljene zaštitne mjere i pristupala računalnim sustavima. Na taj način upala je neovlašteno na 21 stranicu s kojih je iz baza podataka preuzimala privatne podatke o korisničkim imenima, lozinkama i e-mail adresama.

Skenirala sustav

Protiv nje je podnesena kaznena prijava u rujnu prošle godine. Tijekom ispitivanja u policiji, Marina M. je izjavila kako nije pokušala pristupiti web-stranicama MUP-a. Prema njezinim riječima, samo je skenirala njihov sustav tražeći ranjivosti koje omogućuju upad u sustav. Za ostale stranice je izjavila kako preuzeti podaci nisu bili zaštićeni, a dokaz za to je upravo činjenica što ih je uspjela preuzeti.

Što se tiče motiva, Marina M. je kazala policijskom istražitelju kako njezin motiv nije bio preuzimanje privatnih i zaštićenih podataka, nego je željela proučavati sigurnosne sustave raznih web-sadržaja za potrebe studija računarstva na koji je upisana. Unatoč takvoj obrani, tužiteljstvo je ustrajalo na kaznenom progonu, podiglo optužnicu i predložilo uvjetnu kaznu zatvora. Na Općinskom sudu u Splitu smatraju kako je takav zahtjev tužiteljstva opravdan jer je iz dokaznih radnji vidljivo korištenje namjenskih programa za neovlašteno preuzimanje sadržaja s web-stranica.

Što se tiče stranica MUP-a, za sud je bitno što iz loga datoteke proizlazi da je napad izvršen s IP adrese kojom se koristi Marina M. Također je bitno kako je njezino postupanje zaštitni mehanizam prepoznao kao napad na zaštićene podatke. Slijedom svega navedenog, sud je prihvatio zahtjev tužiteljstva i izrekao predloženu sankciju u kaznenom nalogu.

Ako se Marina M. ne bude žalila, odluka će postati pravomoćna, a u protivnom će se provesti suđenje. Osim uvjetne kazne zatvora, sud je odredio i da treba platiti 500 kuna sudskih troškova. Kazneni zakon propisuje da “tko ošteti, izmijeni, izbriše, uništi ili učini neuporabljivim tuđe automatski obrađene podatke ili računalne programe u namjeri da se oni uporabe kao pravi, kaznit će se novčanom kaznom ili kaznom zatvora do jedne godine”. Ovo kazneno djelo nije kod nas do sada bilo često procesuirano.

U slučaju glavne rasprave najbitniji dokaz bude nalaz sudskog vještaka za informatiku koji se izjasni o eventualnoj zloporabi i krađi zaštićenih informacija. Ako prihvati kazneni nalog, Marina M. će godinu dana strogo morati paziti kako koristi računalo.

‘Harala’ od Bocvane do Velike Britanije

Web-stranice s kojih je Marina M. neovlašteno preuzimala podatke bile su više nego raznolike. Među njih 21 ima stranica vlade Bocvane, zatim nacionalna statistika Velike Britanije, sveučilište Hartford, Armani, podaci o proizvođačima čokolade, proizvođači kuhinjskih elemenata, farma za uzgoj ptičje hrane, nutricionistička prehrana.

(preuzeto u potpunosti sa Internet stranica Slobodne Dalmacije dana 19.06.2012.)

U emisiji Nedjeljom u dva Zdravko Mamić upravo je pokazao računalne ispise policijskih dosjea.

Ostaje vidjeti hoće li se u javnosti postaviti pitanje odakle neovlaštenom građaninu RH ispisi iz računalnog sustava MUP RH.

NIJE VIŠE ZNANSTVENA FANTASTIKA

AMERIČKA NAJAVA DA ĆE RAČUNALNE NAPADE TRETIRATI KAO VOJNE, MIJENJA UOBIČAJENO POIMANJE RATOVANJA

Hrvatska nema znanje ni oružja za virtualnu borbu

Izmjena ugovora NATO saveza donosi opasnost da Hrvatska bude prisiljena objaviti rat zemlji koja na nju izvrši računalne napade, no domaće institucije ne obraćaju pozornost prema novom fenomenu

Danko RADALJAC

Budućnost je sve bliža, ono što se ne tako davno tek na filmovima moglo gledati već se lagano pretvara u stvarnost. Američka najava kako će cyber-napade tretirati kao klasične vojne, one koji su casus belli, odnosno zakoniti razlog za početak rata, tek je početak priče koja govori kako se bliži dan kad će se bitke voditi na Mreži svih mreža.

Američka najava cyber-ratovanja već je duže vrijeme aktualna i poznavateljima materije ovakva odluka uopće nije bila iznenađenje. Dapače, nije tajna niti da Amerikanci inzistiraju prema NATO-partnerima da se službeno odluči kako je moguće Članak 5. NATO-ugovora primijeniti i na cyber-napade. A Članak 5. je onaj famozni prema kojem napad na jednu državu znači napad na sve iz Saveza te je do sada primijenjen samo jedanput – nakon 11. rujna 2001. godine. U nekoj virtualnoj budućnosti, koja vjerojatno i nije tako udaljena, moguće je tako da Hrvatska zarati s nekim zbog napada preko računalne mreže.

Estonski slučaj

Ovakav scenarij prije samo desetak godina bi bio stavljen u sferu daleke znanstvene fantastike. Da se ne radi o ispraznoj priči, kojoj su skloni katastrofičari, svjedoči i nedavni sastanak NATO Parlamentarnih odbora u Varni. Cyber sigurnost i cyber ratovanje bili su jedna od glavnih tema.

Rat u virtualnom prostoru jedna je potpuna novina, što ne čudi s obzirom na to da internet kakav danas poznajemo ove godine slavi tek 20 godinu postojanja (može se definitivno kazati da je pojava World wide weba 1991. godine bila prekretnica koja će internet dovesti do današnjih obima). Pored toga, taj vid virtualnog života tek se posljednjih godina u potpunosti ukomponirao u stvarni život. Internet-bankarstvo, social-networking, telekonferencije – sve se to ekspanzivno razvilo tek u zadnjih pet-šest godina. Jedan detalj – Google, pretraživač koji je postao osnova informiranja danas, postoji tek nešto više od deset godina. S povećanjem utjecaja virtualnog života na stvarni, raste i mogućnost da se cyber-napadom ozbiljno našteti nekome.

Iako će brojni analitičari kao prvi globalni cyber-napad izvući priču iz 2001. godine i velike DDoS napade na američke institucije najvjerojatnije od strane kineskih hakera, prava prekretnica odigrala se 2007. godine.

Povod je bio lagano bizaran – Estonci su se odlučili maknuti kip Brončanog vojnika iz Tallina, koji je bio simbol uspjeha Crvene armije u Drugom svjetskom ratu. To je izazvalo žestoke reakcije službene Moskve, brojne ruske zajednice u Estoniji, a nakon samo par dana uslijedili su žestoki cyber-napadi. Radilo se ponovno o najrudimentarnijem obliku napada na virtualne mreže, DDoS udaru, koji u osnovi brojnim zahtjevima za vezu prema nekoj stranici ruši pristup istoj. Brojne stranice estonskih institucija i medija su bile nedostupne 27. travnja te godine, ali je prava poteškoća nastala kada su se na udaru našle i dvije najveće estonske banke. Naime, Estonci su specifičan narod, koji preko 90 posto bankovnih poslova obavljaju internetom. E, pa tog 27. travnja nisu bili u mogućnosti iz topline doma obaviti potrebne transakcije.

Iako će se službena Moskva ogradi ti od tih napada, i iako će se pokazati da su u njima sasvim sigurno sudjelovali pojedini ruski hakeri, koji to nisu niti krili, ostalo je uvriježeno mišljenje da ruska administracija nije imala ništa protiv udara, čak i ako ih nisu potpomagali.

Virtualni crv

Od udara na Estoniju cyber-ratovanje se počelo ozbiljnije doživljavati. Nakon toga su se odigrala još dva događaja koja će dovesti do današnjeg poimanja opasnosti virtualnih napada. Krajem te 2007. godine izraelska vojska bombardirala je sirijsku nuklearnu elektranu za koju su vjerovali da stvara i nuklearni materijal za bombe. No, direktnom udaru prema izvještajima američkih obavještajnih službi prethodio je cyber-udar na sirijske protuzračne sustave uz granicu s Izraelom. Prema tim izvještajima, Izraelci su »oslijepili« sirijske radare ubačenim virusom na tek par minuta, no to je bilo dovoljno da izraelski avioni bez otpora dođu do nuklearne elektrane.

Ipak, najveću famu u specijaliziranim vojnim, sigurnosnim i informatičkim krugovima digao je Stuxnet, do tada neviđen virusni program. Njega će se u potpunosti razotkriti 2010. godine, iako je ponajveću štetu počinio godinu dana kasnije. Radi se o jednom obliku worma, crva, koji napada informatičke sustave upravljačkih programa Siemensa za turbinske pogone. A najveću štetu napravio je u iranskoj nuklearnoj elektrani Natanz, koja je mjesecima bila isključivana zbog pogreški upravljačkog sustava, a u jednom je trenutku, prema medijskim navodima, došlo i do direktnog kvara koji je gotovo uzrokovao nuklearnu havariju.

Kako je cilj napada očigledno bio Iran, brojni su analitičari zaključili da iza nastanka crva stoje izraelske i američke sigurnosne službe. Kaspersky, možda ponajjača tvrtka na području antivirusne zaštite, službeno je ustvrdio kako razvoj ovakvog programa ne bi bio moguć bez podrške službenih institucija, a zanimljivo je kako je ustanovljeno i da je virus bio napravljen tako da napada samo određene subjekte, a ne neselektivno. Kao da su tvorci pokušali što više pripaziti da ne nastradaju nedužni sustavi. Kako je zbog Stuxneta umalo odletjela nuklearna elektrana u zrak, postalo je jasno da cyber-napadi mogu izazvati i fizičke posljedice jako slične klasičnom ratnom djelovanju.

Ulaganje u sigurnost

Nakon slučaja Stuxnet američka administracija počinje ozbiljnije promišljati o cyber-ratovanju, što dovodi do nedavne odluke o mogućnosti primjene izravne akcije u slučaju sličnog napada. Stuxnet je otvorio i još jedno pitanje i dilemu. Naime, niti Irancima gotovo godinu dana nije bilo jasno da su pod hakerskim udarom, a čitav svijet uopće postojanje virusa detektira gotovo godinu i pol dana nakon što je on najvjerojatnije nastao. Worm je bio tako podešen da radi dvije stvari – s jedne strane je sabotirao turbinske procese, s druge strane je hakirao sigurnosne sustave koji su čitavo vrijeme dojavljivali da je sve u redu. Gotovo da se može kazati da se radilo o diverzantskom hakerskom napadu. Ta mogućnost da se bude napadnut, a da se te činjenice uopće nije svjesno, jednostavno utjeruje strah u kosti sigurnosnim stručnjacima. Zbog toga se u ozbiljnim zemljama sve više ulaže u informatičku sigurnost, pa tako britanski mediji navode da je njihova Vlada samo ove godine odobrila oko 500 milijuna funti za to područje.

U Hrvatskoj se pak ovom relativno novom fenomenu ne obraća gotovo nikakva pozornost. Stoga je i moguće da nekoliko ljudi bez problema za vrijeme ovozimskih antivladinih protesta na nekoliko sati sruši Vladine službene stranice DDoS napadom. Domaćoj administraciji nikada nije palo na pamet da plati dodatno osiguranje u vidu, primjerice, više servera koji bi se onda u takvoj situaciji mogli rotirati. A odjeli u sigurnosnim službama, koliko se može saznati, su otužni, dapače, u posljednjih nekoliko godina su se riješili nekolicine stručnjaka koji su bili i sposobni za nešto.

Bitka nultog dana – noćna mora informatičara i sigurnosti

Zero-Day Battle, odnosno Bitka nultog dana, noćna je mora svakoga tko se bavi informatičkom i sigurnošću uopće. Radi se o konceptu probijanja upravljačkog koda pojedinih softverskih proizvoda, a kao glavne mete uvijek se ponajprije ističu operativni sustavi, prije svih MS Windows. Naime, u potencijalnom katastrofičnom scenariju (a neki vjeruju da su Kinezi već danas spremni za Zero-Day Battle), »napadač« preuzima sva računala s probijenim operativnim sustavom. Kako su računala danas neizostavan i možda ključan dio svih integriranih sustava obrane, kao i financijskih, političkih, obrazovnih i inih ustanova, jasno je da bi nastupio potpuni kolaps. Da stvar bude gora, postoji scenarij prema kojem napadnuti ne bi bili niti svjesni da su meta smišljene strategije.
Dio analitičara smatra kako je strategija Zero-Day Battlea već bila primijenjena i to u slučaju Stuxneta. Naime, prema dijelu antivirusnih stručnjaka, ovakav se worm nikada ne bi mogao napraviti da tvorci nisu imali djelove izvornog zaštićenog Microsoftovog koda. Treba napomenuti, Stuxnet je napadao samo Siemesnove sustave zasnovane na Microsoftovom operativnom sistemu.

Glavni način obrane za sada se zasniva na softverskim rješenjima u kojima operativni sustavi reagiraju na nepredviđenu upotrebu memorije na računalu, nakon čega se blokira rad. Problem nastaje ukoliko su tvorci napada pokrili takvu mogućnost, što se primjerice na neki način dogodilo u Iranu sa Stuxnetom. Pučki kazano, operativni sustav je zbog dobro programiranog virusa non-stop dobivao podatke da se ništa izvanredno ne događa
.
Kina ima znanje da preuzme nadzor nad svim računalima u svijetu
Zapadne sigurnosne službe izuzetno su zabrinute zbog mogućnosti da je Kina godinama ispred ostatka svijeta kada je virtualna borba u pitanju. Nedavna okapanja Kineza i Googla, koji je informatički dovoljno moćan da ga se može usporediti sa snažnim državama, samo je manja prezentacija kineske moći. Kenneth Geers, informatički stručnjak iz američke mornaričke kontraobavještajne službe novinarima će tijekom zasjedanja NATO Parlamentarnih odbora kazati kako se pretpostavlja da je Kina dvije generacije ispred ostatka svijeta samo kad je Internet Protocol (IP) u pitanju. Za pojašnjenje, IP je sustav koji omogućuje da se uopće komunicira putem interneta, a često se koristi i kratica TCP/IP (Transmission Control Protocol). Većina svijeta je danas na IP verziji 4, koja je zapravo prva globalna verzija IP-a. Svjetski komunikacijski divovi i institucije trenutno rade na IP verzije 6, a vjeruje se kako Kinezi u unutarnjim internet prometu tu verziju kao glavnu koriste već neko vrijeme. I stoga, pojašnjavao je Geers novinarima, Kina je možda i glavni igrač kad je cyber-ratovanje danas u pitanju. S jedne strane, internet pristup prema njima je izuzetno zatvoren, a oni sami su krajnje informatički razvijeni. K tome, zapravo se i jako malo zna o njihovim mogućnostima, a neznanje je u informatičkoj eri možda i ponajveća slabost. Iz obajveštajnih krugova širi se još jedan zabrinjavajući navod. Prema njemu, Kina je uspjela »razvaliti« sigurnosni ulaz u kodove i upravljačke procese Windowsa. Time postoji strah da u slučaju potrebe Kina preuzme nadzor nad svim računalima na svijetu koji su pokretani MS Windowsima. Radi se o takozvanoj »bitki nultog dana«.

Globalni svjetski napad na protivnike Wikileaksa

Wikileaks i reakcija službenih institucija, koje su nastojale po svaku cijenu blokirati taj projekt, doveli su do novog fenomena. Heterogena skupina Anonymous, koju je teško klasično dočarati kao skupinu, pokrenula je Operaciju »Payback«, globalni svjetski napad na protivnike Wikileaksa.

Klasičnim DDoS udarima tjednima su rušene stranice raznih državnih institucija, ali i novčanih kuća koje nisu dopuštale donacije na račun Wikileaksa. Problem s obranom je bio jednostavan – napad je bio asimetričan, iz svih dijelova svijeta, bez jasne hijerarhije napadača, i sve sigurnosne pretpostavke su pale u vodu. Državne institucije na Zapadu žestoko su se okomile na ovaj vid građanskog neposluha, jer ga je teško kontrolirati, spriječiti i prekinuti, a u isto vrijeme, toliko je asimetričan da se u krivca ne može uprijeti prstom. Neki će analitičari danas kazati kako je čitavo događanja oko Wikileaksa nakon objave diplomatskih izvješća zapravo bio Prvi svjetski cyber-rat. Proamerički sustavi su napadali Wikileaksove servere, a Anonymous je uzvratio po institucijama. Na sreću, koliko je poznato, broj ljudskih žrtava u ovom ratu je – nula.

Anonymous i Operacija Payback dala je do znanja da će u eri cyber-ratovanja i običan računalni korisnik biti važan i da će postojati oblici izuzetno efikasne gerilske virtualne borbe. Da se parafraziraju neki filmovi – Payback is a bitch. Heterogenost interneta na kraju bi mogla biti opasna za nenamjerne tvorce Mreže svih mreža – američku vojnu administraciju.

(preneseno u cijelosti iz Novog lista, 09.06.2011.)

…možete provjeriti na ovoj poveznici.

Prema McAfee-ju, trenutačno najopasniji pojam za pretraživanje na Internetu je - “Cameron Diaz”. Drugi najopasniji pojam je “Julia Roberts”. U slučaju pretraživanja pojma “Cameron Diaz”, statistički imate 10 % vjerojatnosti da ćete naići na zaraženi site koji može nanijeti šetu Vašem računalu. Cijeli tekst možete pročitati na ovoj poveznici.

Izvršni direktor Googlea: Anonimnost na internetu ne postoji!

GOOGLE zna što gledate, što pretražujete, čak i tko su vam prijatelji.

Strani mediji ovdje u čudu podižu obrve i pitaju se koji je stav izvršnog direktora Googlea Erica Schmidta o privatnosti na internetu. Detalje pogledajte u video snimci.

Schmidt je na konferenciji ranije ovoga mjeseca izjavio da je anonimnost na internetu ugrožena. “U svijetu s tolikim prijetnjama je jednostavno preopasno da ne postoji neki način identifikacije”, rekao je.

Anonimnost treba razlikovati od privatnosti

Izvršni direktor Googlea je objasnio da bi vlade zemalja uskoro mogle stati na kraj anonimnosti na internetu. “Trebamo (provjerenu) bazu imena. Vlade će je tražiti”.

“Privatnost je neizmjerno važna i ne treba je miješati s anonimnošću. Vrlo je važno da Google i svi ostali poštuju privatnost drugih na mreži. Ljudi imaju pravo na privatnost, to je prirodno i normalno”, objasnio je svoj stav u jednom kasnijem intervjuu.

Međutim, i tu postoje granice, kaže on. “Ako pokušavate počiniti užasan zločin, očito da vam za to ne treba biti pružena mogućnost potpune anonimnosti. Nema sustava u našem društvu koji bi to dopustio, suci inzistiraju na otkrivanju počinitelja. Potpuna anonimnost bi mogla dovesti do vrlo teških odluka za vlade te naše društvo u cjelini i mislim da to također ne bismo htjeli”, završio je Schmidt.

(preuzeto u cijelosti s Index.HR)

Ovih dana u javnosti pojavila se informacija da je WPA2 protokol probijen, odnosno da ima inherentnu pogrešku (”flaw”) koja omogućuje onima koji se inicijalno mogu opravdano autenticirati izvođenje Man In The Middle napada. To znači da su ovom ranjivošću pogođeni prvenstveno korporativni klijenti - s druge strane, upravo oni su u najvećoj opasnosti jer je poznato da najviše napada na računalne sustave dolazi upravo “iznutra”.

Tekst o tome prenesen s prenosi se u cijelosti s Darkneta.

WPA2 Vulnerability Discovered – “Hole 196″ – A Flaw In GTK (Group Temporal Key)

Well as it tends to be, when something is scrutinized for long enough and with enough depth flaws will be uncovered. This time the victim is WPA2 – the strongest protection for your Wi-fi network which is standardized.

WEP fell long ago and there’s a myriad of WEP Cracking tools available. In 2008 it was reported flaws had been found in WPA and it was partially cracked.

These factors of course shifted a lot of people to WPA2, which has now been found to have certain flaws.

Perhaps it was only a matter of time. But wireless security researchers say they have uncovered a vulnerability in the WPA2 security protocol, which is the strongest form of Wi-Fi encryption and authentication currently standardized and available.

Malicious insiders can exploit the vulnerability, named “Hole 196″ by the researcher who discovered it at wireless security company AirTight Networks. The moniker refers to the page of the IEEE 802.11 Standard (Revision, 2007) on which the vulnerability is buried. Hole 196 lends itself to man-in-the-middle-style exploits, whereby an internal, authorized Wi-Fi user can decrypt, over the air, the private data of others, inject malicious traffic into the network and compromise other authorized devices using open source software, according to AirTight.

The researcher who discovered Hole 196, Md Sohail Ahmad, AirTight technology manager, intends to demonstrate it at two conferences taking place in Las Vegas next week: Black Hat Arsenal and DEF CON 18.

It’s a pretty interesting attack and leverages a man-in-the-middle style exploit to decrypt data from the wire and inject malicious packets onto the network.

The researched Md Sohail Ahmad is going to demo the exploit at 2 upcoming conferences (Black Hat and DEF CON 18) so I’ll be looking out for the slides and videos on that. We’ll have to wait and see if this is another ‘mostly theoretical‘ attack – or something that can actually be implemented in the wild.

The Advanced Encryption Standard (AES) derivative on which WPA2 is based has not been cracked and no brute force is required to exploit the vulnerability, Ahmad says. Rather, a stipulation in the standard that allows all clients to receive broadcast traffic from an access point (AP) using a common shared key creates the vulnerability when an authorized user uses the common key in reverse and sends spoofed packets encrypted using the shared group key.

Ahmad explains it this way:

WPA2 uses two types of keys: 1) Pairwise Transient Key (PTK), which is unique to each client, for protecting unicast traffic; and 2) Group Temporal Key (GTK) to protect broadcast data sent to multiple clients in a network. PTKs can detect address spoofing and data forgery. “GTKs do not have this property,” according to page 196 of the IEEE 802.11 standard.

These six words comprise the loophole, Ahmad says.

The upside is that the attack is limited to people who can genuinely authenticate to the network first, the downside that means large organizations using WPA2 in trouble – as generally most damage comes from the inside.

It’s also something to think about when connecting to ISP/public Wi-fi hotspots using WPA2 encryption.

I’m sure there will be more news about this soon.

Apple the new world leader in software insecurity

By Peter Bright |

Apple has displaced Oracle as the company with the most security vulnerabilities in its software, according to security company Secunia. Over the first half of 2010, Apple had more reported flaws than any other vendor. Microsoft retains its third-place spot. Secunia has tracked security vulnerabilities and issues advisories since 2002, producing periodic reports on the state of software. Together, the top ten vendors account for some 38% of all flaws reported.

Though this does not necessarily mean that Apple’s software is the most insecure in practice—the report takes no consideration of the severity of the flaws—it points at a growing trend in the world of security flaws: the role of third-party software. Many of Apple’s flaws are not in its operating system, Mac OS X, but rather in software like Safari, QuickTime, and iTunes. Vendors like Adobe (with Flash and Adobe Reader) and Oracle (with Java) are similarly responsible for many of the flaws being reported.

To illustrate this point, the report includes cumulative figures for the number of vulnerabilities found on a Windows PC with the 50 most widely-used programs. Five years ago, there were more first-party flaws (in Windows and Microsoft’s other software) than third-party. Since about 2007, the balance shifted towards third-party programs. This year, third-party flaws are predicted to outnumber first-party flaws by two-to-one.

Secunia also makes a case that effectively updating this third-party software is much harder to do; whereas Microsoft’s Windows Update and Microsoft Update systems will provide protection for around 35% of reported vulnerabilities, patching the remainder requires the use of 13 or more updating systems. Some vendors—Apple, Mozilla, and Google, for example—do have decent automatic update systems, but others require manual intervention by the user.

(preuzeto u cijelosti s Internet portala, 22.07.2010.)

Članak je u cijelosti preuzet s Metro Portal.HR

UPOZORENJE

7 stvari koje ne bismo trebali raditi na Facebooku

Uložite nekoliko minuta i posložite profil koji će jamčiti maksimalnu sigurnost vas i vaše djece

Časopis “Consumer Reports Magazine” izdao je svojevrsno upozorenje svim korisnicima Facebooka s popisom stvari koje nikako ne bismo smjeli raditi na toj društvenoj mreži:

1. Koristiti lošu lozinku

Izbjegavajte jednostavna imena i pojmove, čak i ako na kraju lozinke koristite brojeve. Umjesto toga, stvorite kombinaciju velikih i malih slova, brojeva i simbola. Dobra lozinka ima najmanje osam znakova. Preporučljivo je koristiti brojeve i simbole u sredini riječi, kao na primjer hO27usEs

2. Ostaviti puni datum rođenja

Datum rođenja može biti važna informacija lopovima da vam isprazne bankovni račun ili prikupe informacije o mogućim PIN-ovima ili lozinkama pošto većina ljudi u njih uključuje brojeve iz vlastitog datuma rođenja. Možete postaviti da vam se prikazuju samo dan i mjesec rođenja ili pak potpuno izostaviti navedenu informaciju s profila.

3. Zanemarivati postavke privatnosti

Za gotovo sve informacije na Facebooku možete kontrolirati što želite dijeliti, a što zadržati za sebe. Uložite nekoliko minuta i podesite postavke privatnosti onako kako vam najbolje odgovaraju.

4. Objaviti imena djece

Ne koristite imena vlastite djece prilikom tegiranja slika te u profilima. Djeca imaju pravo na privatnost i pravo da jednog dana samostalno odluče u kojoj mjeri se žele eksponirati na internetu..

5. Spominjati da niste kod kuće

Status da odlazite na putovanje lopovu je jednak statusu: “Nema me doma, opljačkaj me!”. Doživljaje s putovanja radije podijelite s prijateljima kad ponovno stignete kući.

6. Dopustiti da vas tražilice pronađu

Spriječite nepoznate osobe da pronađu vaš profil. Među postavkama privatnosti odaberite “Only friends” u odgovarajućoj kućici koja se odnosi na tražilice.

7. Dopustiti djeci da bez nadzora koriste Facebook

Iako Facebook ne smiju koristiti djeca mlađa od 13 godina, činjenica je da postoje i mlađi korisnici. Postanite njihovi prijatelji te diskretno nadgledajte njihove aktivnosti. Ono što se djeci čini bezazlenim, može se pretvoriti u potencijalno opasne podatke poput statusa: “Mama se uskoro vraća kući, moram oprati suđe.”

Signal mobitela nitko nema pravo blokirati. Kazna je milijun kuna

(preuzeto s Internet stranica Jutarnjeg lista).

Ranko Šuvar/CROPIX
Autor: Tomislav Kukec

Rudarsko-geološki naftni fakultet kupio je uređaj za ometanje signala

ZAGREB - Rudarsko-geološki naftni fakultet odmah mora prestati koristiti uređaj za ometanje radijskih frekvencija, odnosno signala mobitela, jer je Zakonom o elektroničkim komunikacijama za to predviđena kazna od 100.000 do čak milijun kuna - zaprijetila je zagrebačkom Sveučilištu Hrvatska agencija za poštu i elektroničke komunikacije (HAKOM).

Rektoru Aleksi Bjelišu agencija je prije deset dana uputila takav dopis, upozoravajući ga na zakon. Sve je počelo kad je jedan teleoperater prijavio Fakultet, nakon čega je Agencija obavila nadzor.

Tele2 i HT tvrde da nisu prijavili slučaj Agenciji, a VIP se u ponedjeljak nije izjasnio. Agencija je ustanovila da je u predavaonici fakulteta doista postavljen uređaj koji ometa mobitelski signal. Imali su velikih problema s prepisivanjem; studenti su odgovore na ispitima slali SMS-om, pa su tome odlučili doskočiti postavljanjem ilegalnog uređaja.

- Razumijemo motiv za postavljanje uređaja, ali Zakon ne dopušta njegovu uporabu. Kršenje etičkih kodeksa fakulteta riješite na drukčiji način - rekao je ravnatelj HAKOM-a Dražen Lučić.

Do 2008. u Hrvatskoj nije bilo zabranjeno ometati signal, ali kad je donesena izmjena Zakona o elektroničkim komunikacijama, njegov članak 88. to je pitanje jasno definirao.

U dvije godine postojanja zakonske odredbe Agencija je sada prvi put reagirala, provela nadzor i, relativno blago, samo upozorila prekršitelje.

- Zakon dopušta uporabu takvih uređaja jedino u slučajevima kada to zahtijevaju interesi obrane ili nacionalne sigurnosti - rekli su u Agenciji. Glavni razlog za zabranu ometanja signala, istaknuli su u HAKOM-u, je to što se tako onemogućavaju i pozivi u hitnim slučajevima ili pozivi prema hitnim službama.

Gubitak za operatere

Sličan uređaj 2006. je uveo i Hrvatski sabor, no novinari koji prate rad Sabora kažu da se on ne koristi već oko pola godine. Kada bi ga se ranije uključilo, u saborskoj zgradi i oko nje nitko nije mogao telefonirati. U Saboru nam u ponedjeljak nisu mogli potvrditi ili demantirati te navode. Govorilo se i o postojanju uređaja u zagrebačkoj katedrali, no u Tiskovnom uredu Zagrebačke nadbiskupije poručili su nam samo da “uređaj nije u funkciji”.

Ravnatelj Agencije Dražen Lučić ima saznanja kako su i drugi fakulteti namjeravali instalirati slične uređaje u svojim predavaonicama, pa i njih upozorava da je to protuzakonito. Osim toga, za takav tip uređaja ne postoji odobrenje za uvoz ili puštanje na hrvatsko tržište, što znači da svi oni koji ga posjeduju, to čine ilegalno.

Treće, očito se radi o značajnom gubitku koji u prihodima imaju teleoperateri, s obzirom da su baš oni prijavili Agenciji kako fakultet krši zakon.

Ometanje bez kontrole

Konkretno, radi se o prekršaju iz članka 88. Zakona o elektroničkim komunikacijama, koji propisuje da iznimno HAKOM može izdati odobrenje za korištenje uređaja za ometanje radijskih frekvencija, i to isključivo na zahtjev tijela državne vlasti, sigurnosno-obavještajne agencije ili kada to zahtijevaju interesi obrane i nacionalne sigurnosti. Rektor zagrebačkog Sveučilišta Aleksa Bjeliš rekao je kako je zaprimio dopis HAKOM-a koji se odnosi na korištenje uređaja, te da ga u ponedjeljak proslijedio svim čelnicima fakulteta i akademija u sastavu zagrebačkog Sveučilišta.

Biljana Kovačević-Zelić, dekanica Rudarskog fakulteta, u ponedjeljak nam nije mogla komentirati HAKOM-ovo upozorenje. Kada smo ju zamolili da nam omogući fotografiranje spornog uređaja, a za koji je Agencija nadzorom ustanovila da postoji, rekla nam je kako oni “uostalom ni nemaju takav uređaj”.

Nejasna ekipa s Rudarskog

Dekan Fakulteta elektrotehnike i računarstva Vedran Mornar istaknuo je da im tako nešto ne bi ni palo na pamet.

- Pogotovo zbog toga jer se radi o uređaju iz naše struke, pa dobro znamo propise. Iskreno, nije mi jasna ekipa s Rudarskog fakulteta koja se upustila u tako nešto. Problem s tim uređajima je u tome što oni ne ometaju signal samo u predavaonici, nego i s druge strane zida, odnosno čitav prostor okolo fakulteta, a ometaju i pozive prema hitnim službama, što može postati veliki problem - kratko nam je rekao Mornar.

S njime se slaže i dekan Fakulteta strojarstva i brodogradnje prof. Izvor Grubišić.

- Nemamo uređaj, niti smo ga namjeravali instalirati, jer znamo zakon. Voljeli bismo kada bismo mogli postaviti jedan takav uređaj da spriječimo komunikaciju među studentima za vrijeme ispita, ali pojavljuje se problem što nama u predavaonicama treba bežična mreža, pa ne znam kako bismo blokirali signal mobitela, a vlastitu mrežu ne - rekao je Grubišić.

Agencija za znanost i visoko obrazovanje naglasila je da ih fakultet nije obavijestio o ilegalnom korištenju uređaja.

- Agencija podržava postupak Hrvatske agencije za poštu i elektroničke komunikacije, kao i činjenicu da je potrebno poduzeti sve daljnje zakonske radnje vezano za navedeni događaj - rekli su nam u AZVO-u.

Studenti: Znamo da se na ispitima varalo pomoću mobitela

Desetak studenata Rudarsko-geološko-naftnog fakulteta u ponedjeljak je u prijepodnevnim satima polagalo usmene ispite. Iako nam je većina njih potvrdila da se studenti povremeno koriste mobilnim uređajima tijekom pismenih ispita, pa iz tog razloga čak i podržavaju postavljanje spornog uređaja, nitko nam od njih nije potvrdio da je primijetio ometanje signala i na hodnicima fakulteta.

- Nisam upoznata s postavljanjem tog uređaja, ne znam gdje bi mogao biti, a nisam uočila ni ništa neobično s mobitelom, na fakultetu ga normalno koristim i imam pun signal. Tijekom ispita ne vadim mobitel iz torbe, tako da ne znam je li bilo problema, a nitko mi se od kolega nije požalio na to - rekla je Jasmina Tolj, 20-godišnja studentica druge godine Rudarsko-geološko-naftnog fakulteta. ( J. Ko.)

Dozvolu za ometanje mogu dobiti tajne službe

Prema Wikipediji, u zapadnom je svijetu ometanje signala za mobitel ilegalno, s iznimkom Italije, gdje se ta praksa primjenjuje u bolnicama, crkvama, kinima, kazalištima. Francuska je, primjerice, 2004. dopustila ometanje signala u kinima i kazalištima, ali se od toga odustalo zbog nemogućnosti poziva hitnim službama, dok su u Irskoj ilegalnost takve prakse potvrdili i sudovi. Neke zemlje, poput Irske ili Novog Zelanda, dopuštaju blokiranje signala u zatvorima, druge, poput Njemačke ili Britanije, takve prijedloge tek razmatraju.

Blokiranje signala dopušteno je u kineskim školama, gdje ga ministarstvo obrazovanja može koristiti kako bi spriječilo prepisivanje. Pakistan blokira signal u bankama, ali i knjižnicama.

Odredba hrvatskog zakona mogla je biti i jasnija jer se ne zabranjuje uporaba uređaja nego se samo definira kome će Agencija izdati pojedinačnu dozvolu. To može dovesti do zabune. Zakon nije korektno napisan, smatraju pravnici s kojima smo kontaktirali, dodajući da je teško definirati pojmove “nacionalna sigurnost” i “interesi obrane”. Sabor bi, primjerice, trebao pokrenuti čitav proces dobivanja odobrenja HAKOM-a prije stavljanja uređaja u upotrebu. U članku 88. Zakona o elektroničkim komunikacijama stoji:

Na temelju podnesenog zahtjeva nadležnog tijela državne vlasti ili nadležne sigurnosno-obavještajne agencije, kada to zahtijevaju interesi obrane ili nacionalne sigurnosti, Agencija će izdati pojedinačnu dozvolu za uporabu uređaja za ometanje radijskih frekvencija javnih elektroničkih komunikacijskih mreža na određenom prostoru ili području. ( N. Šajn, T. Kukec)

Zanimljiva prezentacija o ranjivosti sustava temeljenim na GPS tehnologiji.

Gps Vulnerability

5000 tajnih spisa putuje bez zaštite iz Haaga do Zagreba

- Ne mogu to razumjeti, suočen sam s odbijanjem Vlade RH u pružanju potrebne pomoći obranama pri prijevozu povjerljivih(zaštićenih) dokumenata ih Haaga u Zagreb, upozorava u svojoj izjavi za Večernji list Božidar Kovačić.

(preuzeto u cijelosti s portala Večernji.HR, 02.06.2010. godine)

Dok budete čitali ovaj tekst u Večernjaku, kombi pun hrvatskih državnih, vojnih i tajni Tribunala, bez ikakve zaštite i bez statusa posebne, diplomatske pošiljke, vozit će putem od Haaga do Zagreba. Trebao bi stići u srijedu u kasnim poslijepodnevnim satima. Pitanje je hoće li doći nedirnut jer prolazi kroz četiri europske države.

Požurili vratiti materijal

- Ne mogu to razumjeti, suočen sam s odbijanjem Vlade RH (Ministarstva vanjskih poslova) u pružanju potrebne pomoći obranama pri prijevozu povjerljivih (zaštićenih) dokumenata ih Haaga u Zagreb, upozorava u svojoj izjavi za Večernji list Božidar Kovačić, odvjetnik u Haagu optuženog generala Slobodana Praljka.

Obrane su, naime, dovršile svoje dokazivanje u procesu “Prlić i ostali” (suđenje šestorici Hrvata iz BiH) pa je Kovačić požurio iz Haaga evakuirati “vrući kesten”, kako on naziva tisuće zaštićenih dokumenata kojima se obrana koristila u suđenju. Obrane Praljka i djelomično Prlića unajmile su kombi i napunile ga s oko 20.000 dokumenata koje treba prevesti na zaštićeno mjesto u Hrvatskoj.

– Procjenjujem da u toj golemoj arhivi ima i najmanje 5000 dokumenata haaškog suda koji imaju status “povjerljivo”, te oko 5000 dokumenata hrvatske države koji su također zaštićeni i mogli su se rabiti samo u ovom haaškom procesu. Dakle, riječ je o državnim i vojnim tajnama RH – kaže Kovačić.

Podsjeća da je 2006. Vlada RH odobrila zahtjev obrane te je istovjetni kombi pun državnih tajni na putu od Zagreba do Haaga dobio pečat i status diplomatske pošiljke. Ti su tajni dokumenti potom četiri godine bili smješteni u posebno osiguranom uredu Praljkove obrane u Haagu.

“Pečat bi bio nezakonit”

Iz MVP-a Večernjaku stiže informacija kako kombi nije mogao dobiti diplomatsku zaštitu kao 2006. jer je u međuvremenu promijenjen pravilnik o diplomatskim pošiljkama pa ovakav “privatni” kombi više ne može dobiti državni pečat i imunitet.

– Bili bismo u izuzetno neugodnoj situaciji da smo nezakonito pečatirali ovu pošiljku i dali joj status koji joj ne možemo osigurati – kažu izvori bliski MVP-u.

Bez obzira na formalnosti, skandalozno je da kombi pun državnih i tajni Suda u Haagu vozi Europom kao “kombi s cipelama i pokućstvom”. Hoće li uopće stići na odredište?

Je li itko pomislio što bi se moglo dogoditi da ova dokumentacija putem završi u rukama neovlaštenih osoba, pita se Kovačić. Dodaje da Tribunal može i njega kazniti dogodi li se dokumentima što nepredviđeno. U uredu pri Ministarstvu pravosuđa za suradnju s Tribunalom kažu da su Kovačićev zahtjev proslijedili u MVP i ne znaju zašto ministarstvo nije odobrilo diplomatsku zaštitu te da je trebao probati tražiti da dokumentaciju preveze “državni” kombi. U MVP-u pak drže da je taj posao bio na Ministarstvu pravosuđa.

Konspirativna teorija ili teorija zavjere je pokušaj da se objasni krajnji razlog nekog događaja (obično političkog, socijalnog ili historijskog događaja) kao tajan i obično zavaravajući plan tajnog udruženja moćnih osoba (često opisanih kao “moćna elita”) te negira da je događaj rezultat direktne aktivnosti ili pak prirodni događaj.

Iako u povijesti nerijetko postoje kriminalna djela koja su počinili grupe ljudi (konspiratori) izraz “konspirativna teorija” se obično koristi u akademskim krugovima i u popularnoj kulturi da se opišu vrsta folklora sličnim urbanim legendama. Konspirativne teorije imaju određene ispravne oblike u svojoj naraciji ali su obično iste nastale kroz naivne metodološke greške. Termin se također koristi u negativnim konotacijama kad se želi objasniti i odbaciti neispravan, paranoičan i nevjerojatan trač. Većina ljudi koji nazivaju svoje teorije konspiratornim obično odbijaju da se teorija može svrstati u takvu vrstu negativnih konotacija. (izvor: Wikipedia)

Budući da sam uočio kako se u medijima oko slučajeva koji se tiču otkrivanja službene tajne vrlo često pojavljuju netočne, neprecizne ili nesuvisle informacije, dozvolite mi kratki osvrt na cjelokupnu situaciju.

1. Kazneni zakon kao i cjelokupno hrvatsko zakonodavstvo tretira “službenu tajnu” na vrlo “elastičan” način, tako da je posve nejasno da li se službena tajna odnosi isključivo na službene osobe, ili pak službenu tajnu može odati i osoba koja nije trenutačno ili nije bila službena osoba koju bi čuvanje službene tajne obvezivalo. Ovu činjenicu može se laički komentirati na razne načine, no sudovi su u pravilu također u vrlo velikoj dilemi po pitanju čuvanja službene tajne jer moraju tumačiti zakon koji im ne daje točne smjernice u vezi toga tko je obvezatan čuvati službenu tajnu, te stoga zasigurno njihov posao po ovom pitanju nije jednostavan niti rutinski.

2. Činjenica iz točke 1. dovodi do pitanja - da li je Registar branitelja kao zbirka podataka označen oznakom službene ili vojne tajne? Ukoliko jeste, a Registru branitelja pristup imaju mnogi (npr. skrbnik Fonda hrvatskih branitelja, ali kažu i - strane države, pošto navodno neke države koje imaju vizni režim s RH znaju vojnu povijest svakog hrvatskog državljana), da li po svojoj prirodi može biti tajna nešto što se ne štiti a nalazi se u raznim oblicima na više lokacija uključujući državna tijela stranih država? Radi li se o nečemu što se može smatrati jedinstvenom zbirkom podataka?

3. Nastavno, pozivam Vas da proučite Uredbu o mjerama informacijske sigurnosti od 18.04.2008. godine. Prema njoj, obveznici su sva državna tijela, tijela jedinica lokalne i područne (regionalne) samouprave, te pravne osobe s javnim ovlastima, koje u svom djelokrugu koriste klasificirane i neklasificirane podatke, dakle, koje općenito koriste podatke u svom radu! Savjetnik za informacijsku sigurnost trebao bi, u najširem smislu, biti zaposlen ili imenovan praktično u SVAKOJ općini u Republici Hrvatskoj, počevši od one najmanje, te sva državna tijela uključujući ona najviše razine! Iako je Uredba zamišljena vrlo ambiciozno i naslanja se na ISO 27001 standard, bilo bi zanimljivo vidjeti provode li se mjere koje su njom vrlo detaljno određene, postoje li savjetnici/rukovoditelji informacijskom sigurnošću u državnoj upravi i, općenito, da li je moguće, ukoliko se ova Odredba ne provodi, uopće sustavno regulirati informacijsku sigurnost u državnim tijelima RH, ili se pak ona provodi ad hoc, nesustavno, od slučaja do slučaja? Tko su savjetnici za informacijsku sigurnost za hrvatske općine i sva državna tijela? Ukoliko ih nema, zašto se ne poštuju zakonske odredbe, zašto se sustavno ne provode mjere informacijske sigurnosti i tko je za to odgovoran?

4. Prema Zakonu o zaštiti osobnih podataka, svako tijelo koje obrađuje osobne podatke mora Agenciji za zaštitu osobnih podataka podnijeti obavijest o namjeri uspostavljanja zbirke osobnih podataka, te o namjeri obrade, i to prije nego što se s istom započelo. Moguću štetu snosi ona organizacija koja podatke obrađuje u slučaju nesukladnosti a kazne su do 40.000 Kn! Da li su takve obavijesti poslane Agenciji za sve postojeće instance (kopije) Registra branitelja?

5. Sve navedeno dovodi do činjenice koja u medijima uopće nije bila obrađivana, a to je nepobitno stanje stvari da je informacijska sigurnost u državnim tijelima RH na vrlo niskoj razini, u korporativnoj sferi je situacija nešto bolja (osobito kod većih poduzeća te onih koje se bave high-techom) a najbolja u sektoru koji je pod nadzorom HNB-a (financijski sektor). Nadalje, u konkretnom slučaju, ne samo da se nisu primjenjivale osnovne mjere informacijske sigurnosti nad konkretnim podacima, nego nisu bili štićeni niti komunikacijski kanali jer je očito kako su se izrađivale razne parcijalne baze koje su voluntaristički tretirane prema nečijim potrebama. Opet, radi li se uopće kod Registra branitelja o jednoj, jedinstvenoj zbirci podataka?

6. Moje osobno mišljenje je da je policija RH vrlo osposobljena za inicijalnu pretragu računalne opreme a istražni suci također dobro informirani o osnovnoj metodologiji koja prethodi računalnoj forenzici i nužnim tehničkim postupcima. Bez ulaženja u konkretan slučaj, što mi nalaže profesionalna etika, htio bih reći da je vrlo vjerojatno osumnjičenom oduzeta računalna oprema za koju se sumnja da je možda korištena u počinjenju kaznenog (?) djela. Već u toj točki može biti angažiran sudski vještak, ali je više vjerojatno da će inicijalnu pretragu vršiti policijski djelatnici (inspektori). Nakon toga, moguće je da istražni sudac naloži vještaku informatičke struke vještačenje koje se obavezno čini u skladu sa zadatkom vještačenja. U toj točki, vještak izuzima dokazni materijal identificiran po policijskim istražiteljima, zadužuje ga i ako se radi o tvrdim diskovima, vrši njihovo kloniranje i analizu kopija te daje svoje mišljenje. aDSL router se oduzima između ostalog zato što se putem njega mogu dokazati korisničko ime i lozinka koji su korišteni za pristup na Internet, osobito ako je u router a ne bridge modu gdje bi se takvi tragovi mogli naći na poveznici za spajanje na računalu. Vještak mora u roku (obično 30 dana) odgovoriti na zadatak vješačenja, ukoliko se radi o vrlo kompleksnom slučaju, može surađivati i s policijom, i s vanjskim institucijama (npr. fakulteti) ili drugim stručnjacima, no o tome mora obavijestiti suca koji je naložio vještačenje i o svakom koraku se dogovoriti s njim.

7. Pitanje je da li u RH kod nadležnih tijela postoji svijest o tome da je posljednja linija obrane države u današnje doba postao **informacijski suverenitet**, a to najbolje iz prakse zna korporativni sektor kod kojega se može “u nulama” izraziti korist od čuvanja vlastitih informacija.

Jasno je kako je ovo pitanje primarno političko, no sa stajališta struke, radi se vjerojatno o krajnjem nemaru po pitanju temeljnih pravila informacijske sigurnosti koji svoje korijene vuče u biti od prvog dana kada je takva zbirka oformljena, odnosno od dana kada su se na nju počeli (ne!) primjenjivati zakonski propisi koji se odnose na područje informacijske sigurnosti.

Pet neugodnih istina o upotrebi novih tehnologija

(preuzeto s Lider Press, 05.04.2010. godine)

U vremenu u kojem pojedinca okružuje tehnologija, mnogi ljudi ne vode računa o onim neugodnim istinama i činjenicama vezanima za tehnologije koje koriste, dok još veći broj njih zapravo za njih niti ne zna. Za one, pak, koji ipak brinu o svojoj privatnosti evo izbor pet neugodnih istina o svakodnevnoj tehnologiji i rješenja kako se s njima nositi.

Recimo, privatno surfanje, opcija koju nude svi relevantni pretraživači interneta, poput Firefoxa, Internet Explorera ili Chromeavrlo je pogodna za svakog tko želi spriječiti druge korisnike nekog računala da vide gdje je bio i što je radio, no u širem spektru stvari uopće ne pomaže ostvarivanju anonimnosti na internetu. Svatko tko poželi zabilježiti korisnikovu IP adresu, to može bez problema učiniti neovisno o modu u kojem korisnik pretražuje internet. Dapače, davatelji internetske usluge mogu pratiti i zabilježiti sve što korisnik radi na internetu, a koliko te podatke čuvaju, varira od operatera do operatera. Rješenje: Ako zaista želite surfati anonimno, koristite proxy uslugu (posredničku uslugu) poput Anonymiz-era ili Tora.

Drugi vrlo raširen primjer je internetski gigant Google. Ono što ova kompanija o vama zna ovisi o tome koliko se vi uzdajete u njihove usluge. Informacije koje Google može prikupiti i sačuvati mogu uključivati stranice koje ste posjetili, pretrage koje ste koristili, karte koje ste gledali, vaše kontakte i kalendar, e-mail poruke, povijest chata itd. Vlasti, uz sudski nalog, mogu pristupiti svakome od tih podataka, ali drugi problem predstavlja mogućnost krađe identiteta putem Googlea, kojemu je jedini štit vaše korisničko ime i šifra. Zainteresirani koji to provale, mogu nesmetano koristiti sve ostale Google usluge i vrlo lako preuzeti vaš identitet. Rješenje: Koristite Google Dashboard kako bi vidjeli koje točno informacije dijelite i prilagodite postavke shodno svom strahu od vlade i internetskih zlikovaca. Ojačajte svoju šifru i mijenjajte je svako malo, a u slučaju da vam je hakiran ili ukraden račun, moguće je putem Googleove account recovery usluge vratiti ga. Pored toga, nije loše rizik umanjiti korištenjem nekoliko različitih davatelja ovakvih usluga.

Sljedeća neugodna istina je da sigurnosni softver nije toliko siguran koliko ljudi misle. Stručnjaci kažu kako antivirusni softver i ostali oblici softverske zaštite zapravo ‘uhvate’ samo one manje prijetnje. Sve veći broj grešaka i rupa kod inicijalnog puštanja softvera u optjecaj, u kombinaciji sa sporom reakcijom proizvođača i davatelja usluga, znači da i najbolji i najažuriraniji sigurnosni programi zaostaju za internetskim zlikovcima. Rješenje: Bez sigurnosnog softvera se jednostavno ne može, ali je uputno zato poduzeti dodatne korake za zaštitu, poput čuvanja podataka na šifriranim diskovima i instaliranja VMwarea, ili sličnog softvera koji omogućuje stvaranje virtualnih strojeva i bacanje istih ako postanu inficirani.

Komunikacija putem web kamera postala je u posljednje vrijeme iznimno popularna, ali je i vrlo nesigurna. Slučajeva u kojima se na daljinu pali web kamera bez vlasnikovog znanja ili dopuštenja je bezbroj. Kao i gotovo sve u svijetu informatike, preuzimanje kontrole nad nečijom kamerom prilično je lak posao za nekog tko zna što radi, no, srećom, i riješenje je jednostavno. Rješenje: Ako imate eksternu kameru ištekajte je kad je ne koristite. Ako je pak, ugrađena, što je čest slučaj s laptopima, jednostavno prekrijte leću.

Vjerojatno najvažnija činjenica koju svi informatički osviješteni ljudi trebaju imati u vidu je da ‘internet nikad ne zaboravlja’. Neugodnost na ulici ili općenito u stvarnom životu lako se, i relativno brzo može zabo-raviti, no s internetom je priča nešto drugačija. Stvari koje ste pisali u mailovima, objavljivali na društvenim mrežama ili radili na kameri mogu ostati zauvijek negdje zabilježene i progoniti vas ostatak života. Naime, premještanjem velike količine podataka s tvrdih diskova korisnika na internetski oblak, dakle na servere negdje tamo daleko, korisnik je izgubio mogućnost nadzora nad njima. Rješenje: Vrlo interesantno, nalik špijunskim parodijama. Softver imena Vanish ugrađuje mehanizam za samouništenje u podatke. Iako je softver još u testnoj fazi, moguće je skinuti open-source Firefox plug-in na internetu.

Naravno ovo je tek manji dio istina o tehnologiji, ali zato dovoljno indikativan za svakog tko vodi više računa o svojoj privatnosti u tehnološkom dobu. S druge strane, tolika izloženost tehnologiji znači i da čovjek usprkos mogućim mjerama opreza nikada zapravo ne može biti zaštićen u potpunosti od zloporaba. Ipak, vođenje računa može pomoći smanjivanju neugodnosti i opasnosti. (Vanja Figenwald)
5.4.2010 09:15

Većina ljudi u ne-poslovnim okruženjima koristi osobna računala kao administrator što često može uzrokovati zaraze računalnim virusima i trojancima jer omogućava nevoljno pokretanje malicioznih izvršnih datoteka. U praksi, ljudi se čude kako je moguće da usprkos firewallu, antivirusnoj zaštiti i antispyware programu dolazi do uništenja podataka na računalu.

Šest godina prisutan utility DropMyRights najbolji je alat za prevenciju ove neželjene pojave, ukoliko se računalo već koristi pod korisničkim računom administratora, osobito za rad na Internetu.

Autor alata je Microsoftov inženjer Michael Howard a teoretska razmatranja istog mogu se naći ovdje, dok se ovdje alat može skinuti za korištenje na lokalnom računalu. Program je posve besplatan.

Osim uobicajenog, vidljivog adresnog prostora Interneta kojemu korisnici svakodnevno pristupaju, postoji i drugi, “tamni” Internet, koji je više desetaka puta veći od javno dostupnog Interneta… više o tome u članku The Guardiana.