Pod poprzed­nią notką (pisaną jesz­cze przed pro­gra­mem) roz­go­rzała zacięta dys­ku­sja na temat facho­wo­ści eks­per­tów i tego, że wszy­scy im zazdro­ścimy. Dla­tego obej­rza­łem rze­czony pro­gram kilka razy w Sieci (tele­wi­zora nie posia­dam) i poni­żej przed­sta­wiam bar­dziej lub mniej obiek­tywną analizę.

Teraz My… wiemy lepiej

Pro­gram ide­al­nie pasuje w ramy typo­wego pro­gramu o Hake­rach. Celowo pisane z namasz­cze­niem, bo w środo­wi­sku infor­ma­tycz­nym hake­rami tytu­łuje się nie wła­my­wa­czy, a ludzi o wyjąt­ko­wych zdol­no­ściach. Podob­nie, jak można zostać hake­rem wśród modelarzy.

Redak­to­rzy wyka­zali się wyjąt­ko­wym bra­kiem przy­go­to­wa­nia mery­to­rycz­nego do tematu. Kto to widział, żeby na hasło hosting robić zdzi­wioną minę i pytać, co to za trudne słowo (ale­go­ria)? Wyda­rzony redak­tor powi­nien w tym miej­scu się odwró­cić i powie­dzieć: sza­nowni pań­stwo, spie­szę wyja­śnić, że cho­dzi o kom­pu­ter, który umoż­li­wia umiesz­cze­nie strony inter­ne­to­wej w Sieci tak, żeby inni ludzie mogli z niej korzy­stać za pośred­nic­twem Internetu.

Zdaje się, że w pew­nym momen­cie zorien­to­wali się w swoim braku zorien­to­wa­nia, bo przez drugą połowę pro­gramu wciąż czy­tali z kartki jedno i to samo hasło: jak to moż­liwe, że tajne dane nie są chro­nione? Nie zwra­cali przy tym uwagi na to, że przed­sta­wi­ciele poli­cji usil­nie pró­bo­wali ich napro­wa­dzić na wła­ściwy trop — naj­pierw grzecz­nie i okręż­nie, potem tłu­ma­cząc wprost, że to nie jest prawda.

Rów­nie sła­bym zagra­niem było roz­po­czę­cie roz­mowy od zapy­ta­nia jed­nego z gości, co myśli o dru­gim gościu. Bio­rąc pod uwagę, że przed­sta­wi­ciel poli­cji wyglą­dał na dobrze wycho­wa­nego, nie mam poję­cia, jakiej odpo­wie­dzi ocze­ki­wała sza­nowna redak­cja. Szcze­rze, to powiem, że pierw­szy raz gościa na oczy widzę, szu­ka­li­śmy go tro­chę w Google, ale tra­fi­li­śmy tylko na stronę na Wiki­pe­dii, którą sam sobie zało­żył i jego bloga, gdzie sam tytu­łuje się ekspertem?

Ekspert

Pierw­szy kon­takt z panem Paw­łem mie­li­śmy (z czego zda­łem sobie sprawę dopiero wczo­raj) nieco ponad dwa lata temu, kiedy to we wrze­śniu gro­ził Mariu­szowi Mazu­rowi pobi­ciem za kry­tykę jego zdol­no­ści językowych.

23:12:46 <gorion> jesli chciales we mnie wroga to ci sie udalo.
23:25:02 <gorion> co takiego boli cie w tej stronie?
23:25:33 <gorion> ze postanowiles sobie zalatwic wpierdol ;]

Powyż­sza roz­mowa nie jest teraz publicz­nie dostępna, mma­zur zde­cy­do­wał się ją zdjąć na prośbę Pawła na tydzień równo dwa tygo­dnie przed pro­gra­mem. Czyżby dba­nie o wize­ru­nek, gdyby ktoś zechciał zwe­ry­fi­ko­wać jego toż­sa­mość w Sieci? Na to wygląda, bo…

Nie uchro­niła się też Wiki­pe­dia — inter­ne­towa ency­klo­pe­dia. Na mie­siąc przed pro­gra­mem, Paweł posta­no­wił napi­sać tam arty­kuł poświę­cony samemu sobie, w któ­rym pod­kre­ślał swoje umie­jęt­no­ści i osiągnięcia.

Komen­ta­rze na temat usu­nię­cia strony z zaso­bów Wiki­pe­dii wyja­śniają też kon­takty ze sceną haker­ską, któ­rymi Paweł chwa­lił się tak w Sieci, jak w samym pro­gra­mie. Otóż arty­kuł z Wiki­pe­dii usu­nął nie kto inny, jak sam Michał Zalew­ski, znany w środo­wi­sku infor­ma­ty­ków jako lcam­tuf.

Analiza włamania

W samym pro­gra­mie nie zostało poka­zane prak­tycz­nie nic. Kilka efek­ciar­skich prze­jaz­dów kamerą po ter­mi­nalu z listą pli­ków w bie­żą­cym kata­logu (jakość nagra­nia w Inter­ne­cie nie pozwala na prze­czy­ta­nie zawar­to­ści; podobny efekt można uzy­skać, wpi­su­jąc dir w Wier­szu pole­ceń MS-DOS, dostar­cza­nym z każdą kopią sys­temu Win­dows), parę ekra­nów z prze­glą­darki Opera i wła­ści­wie na tym się skończyło.

Paweł w swo­ich wypo­wie­dziach upar­cie twier­dził, że uzy­skał dostęp do ser­wera katowice.kwp.gov.pl (ser­wis inter­ne­towy Komendy Woje­wódz­kiej Poli­cji w Kato­wi­cach), skąd wykradł dane poli­cjan­tów, a następ­nie uru­cho­mił auto­ma­tyczne kopio­wa­nie przy­cho­dzą­cej poczty na wła­sną skrzynkę e-mail.

Szybko oka­zało się jed­nak, że tylko to ostat­nie jest prawdą, bo wykra­dzione dane sta­no­wią publicz­nie dostępną listę dziel­ni­co­wych wraz z danymi kon­tak­to­wymi do nich. Zanim zostanę wyśmiany jako zazdro­sny laik, pozwolę sobie zacy­to­wać kolegę.

Bła­żej Miga (7 lat admi­ni­stra­cji sys­te­mów, 8 lat w bez­pie­czeń­stwie IT, były poli­cjant pra­cow­nik poli­cji, mię­dzy innymi brał udział we wdro­że­niu sys­temu auto­ry­za­cji pra­cow­ni­ków za pomocą kart cyfrowych):

Przez kilka lat pra­co­wa­łem w Poli­cji, więc tema­tyka zabez­pie­czeń ser­we­rów w KWP nie jest mi obca. Od kilku lat jestem moja praca jest zwią­zana z bez­pie­czeń­stwem kom­pu­te­ro­wym, dla­tego pozwo­li­łem sobie na kilka wła­snych uwag do wczo­raj­szego programu.

  1. Pro­gram był kiep­ski — redak­to­rzy na siłę pró­bo­wali wyszu­kać skan­dalu. Brawo dla Andrzeja Mach­na­cza, który jako jedyny posia­dał odpo­wied­nią wie­dzę z tematyki :)
  2. Lista danych oso­bo­wych — lito­ści p. Paweł poka­zał w pro­gra­mie listę kon­tak­tową do dziel­ni­co­wych. Na liscie tej zawarte są adresy zamiesz­ka­nia + numery kon­tak­towe do tych dziel­ni­co­wych. Słusz­nie, że takie dane znaj­dują się na stro­nach inter­ne­to­wych — w jaki spo­sób spo­łe­czeń­stwo ma zgła­szać swoje pro­blemy jak nie do dziel­ni­co­wych. Szkoda tylko, że pan rzecz­nik pra­sowy kgp zapo­mniał o tym. :(
  3. Dane ksi­powe. Na każ­dej stro­nie inter­ne­to­wej kwp umiesz­czone są dane o co cie­kaw­szych zda­rze­niach. Dane te są póź­niej prze­dru­ko­wy­wane w lokal­nych cza­so­pi­smach. Pro­blem w tym, że w danych tych nie ma infor­ma­cji o danych oso­bo­wych, bo dane te są po pro­stu wycięte.
  4. Dla­czego p. Paweł nie poka­zał for­matki logu­ją­cej do KSIP’u? Skoro mówił że ist­nieje moż­li­wość pod­łą­cze­nia się do KSIP, to dla­czego tego nie zro­bił? Sprawa jest pro­sta — nie mógł tego zro­bić bo ten sys­tem działa w odse­pa­ro­wa­nej sieci i bez pod­łą­cze­nia do PSTD (poli­cyjny intra­net) nie ma moż­li­wo­ści zalo­go­wa­nia do systemu.
  5. Czy prze­stępcy są zain­te­re­so­wani wła­ma­niami do ser­we­rów poli­cyj­nych? Odpo­wiedź brzmi nie. Dla­czego mie­liby pła­cić setki tysięcy zł hake­rom za wykra­da­nie danych, skoro mogą dać poli­cjan­towi, który zara­bia 1000zł, łapówkę za którą otrzyma te same dane :). Z tego co wiem, naj­bar­dziej inte­re­su­jące dane prze­stępcy uzy­skują za pomocą metod siło­wych, więc nie wiem czy są zain­te­re­so­wani pła­ce­niem za dane które mogą otrzy­mać za darmo :).
  6. W jakim celu p. Paweł poka­zał wła­ma­nie go NFZ? Co ma wła­ma­nie do NFZ w pro­gra­mie o sła­bo­ści zabez­pie­czeń ser­wera KWP w Katowicach?

Tragiczny poziom zabezpieczeń serwerów rządowych

Być może będzie to zasko­cze­nie nawet dla naszego eks­perta, ale wystar­czy poświę­cić kilka sekund, żeby wpi­sać poniż­sze dwa polecenia:

[patrys@meaw ~]$ host katowice.kwp.gov.pl
katowice.kwp.gov.pl has address 81.219.17.16
katowice.kwp.gov.pl mail is handled by 10 post.katowice.kwp.gov.pl.
[patrys@meaw ~]$ host 81.219.17.16
16.17.219.81.in-addr.arpa domain name pointer www16.srvs.futuro.pl.

Spie­szę z wyja­śnie­niami — pierw­sze pole­ce­nie spraw­dza inter­ne­towy adres ser­wera katowice.kwp.gov.pl, dru­gie zaś spraw­dza, do jakiego kom­pu­tera ten adres jest przy­pi­sany. W tym przy­padku jest to www16.srvs.futuro.pl.

Wbrew temu, co powie­dział w pro­gra­mie Paweł, nie jest to ser­wer nale­żący do kato­wic­kiej poli­cji, a tym bar­dziej nie znaj­duje się on w tej samej sieci, w któ­rej kom­pu­tery pra­cow­ni­ków komendy. Jest to tak zwany ser­wer wir­tu­alny, wyku­piony przez pra­cow­ni­ków komendy w fir­mie Pro Futuro, w ramach usługi Flexo Part­ner. Ciężko zatem o dostęp do sta­cji robo­czych poli­cjan­tów z Kato­wic za pośred­nic­twem ser­wera, który znaj­duje się w War­sza­wie, czyż nie?

Podsumowując

Jeśli coś udo­wod­niono, to tylko tyle, że klienci firmy Pro Futuro powinni się powoli zacząć roz­glą­dać za innym hostin­giem dla swo­ich ser­wi­sów. Poja­wiła się też druga kwe­stia, poczta elek­tro­niczna w Inte­rii działa skan­da­licz­nie wolno.

Sieć poli­cyjna i dane w niej są bez­pieczne i odporne na tego typu wła­ma­nia z pro­za­icz­nego powodu — nie ist­nieje kabe­lek, który ficzy­nie łączyłby poli­cyjne reje­stry z Internetem.

Update: mamy i ofi­cjalną odpo­wiedź na powyż­szy post spod ręki samego eksperta.

Koń­cząc niniej­szy wpis, chciał­bym ser­decz­nie podzię­ko­wać wszyst­kim za e-maile, wia­do­mo­ści i komen­ta­rze. Wszyst­kie z nich — a są ich setki oka­zały się wyra­zem życz­li­wo­ści, gra­tu­la­cji i ofert współ­pracy. Nikt z ludzi zawist­nych nie napi­sał na pocztę, gdyż oczy­wi­ście naj­le­piej czują się na blo­gach i w komen­ta­rzach, gdzie ano­ni­mo­wość pozwala ulżyć ich kompleksom.

Widocz­nie zmę­czony sławą po pro­gra­mie, prze­oczył imiona i nazwi­ska ludzi z branży…