.htaccess je textový súbor, ktorý umožňuje zmeniť niektoré (záleží od nastavenia) vlastnosti webového servera (ako napríklad Apache) bez priameho ovplyvnenia hlavného konfiguračného súboru. To znamená, že je možné nastavovať rôzne správanie rôznych projektov, ktoré však využívajú ten istý webový server.

Prístup k týmto súborom by nemal byť povolený, pretože môžu obsahovať informácie, ktoré by mohli ohroziť bezpečnosť webu, či priamo webového servera. Väčšinou, ak je prístupný súbor .htaccess býva prístupný aj súbor .htpasswd (ak je vytvorený), ktorý obsahuje prístupy pre tzv. basic authentification (základnú autentifikáciu). Prístupové údaje sú v tomto taktiež textovom súbore uložené v tvare meno_uzivatela:hash_hesla. Ak útočník získa prístup k takémuto súboru, je pravdepodobné, že sa dostane do zabezpečenej časti webu, kam ste ho nemali v úmysle pustiť. Na získanie hesla je možné použiť napríklad známy softvér John the Ripper.

Oba tieto súbory by mali byť chránené pred prístupom z vonku. Napríklad Apache vo svojej štandardnej konfigurácii obsahuje aj tieto riadky (v súbore httpd.conf).

<FilesMatch "^\.ht">
    Order allow,deny
    Deny from all
    Satisfy All
</FilesMatch>

Vďaka nim je prístup k týmto súborom zakázaný a výsledkom je chybová hláška so statusom 403 Forbidden, ako napríklad tu. Stáva sa však, že prístup k týmto súborom je povolený a teda si môže ktokoľvek prečítať jeho obsah.

Na slovensku bolo v dobe písania článku zaregistrovaných 197 818 domén, z čoho je väčšina funkčných (v zmysle že sú na nich zobrazované webstránky). Z nich viac ako “300″ umožňuje načítať súbor .htaccess. Nie všetky domény v zozname sú slovenské, no presmerovávajú na ne slovenské domény a tak som ich zo zoznamu nevyhadzoval. Rovnako som neskúšal subdomény a ani priečinky jednotlivých domén, takže zoznam určite nie je konečný.

Tu je ich zoznam:
1tatranskaspravcovska.sk, 1ts.sk, 4metal.sk, aaa-auto-banskabystrica.sk, aaa-auto-bratislava.sk, aaa-auto-kosice.sk, aaa-auto-lucenec.sk, aaa-auto-nitra.sk, aaa-auto-poprad.sk, aaa-auto-presov.sk, aaa-auto-prievidza.sk, aaa-auto-ruzomberok.sk, aaa-auto-trencin.sk, aaa-auto-zilina.sk, aaapremiumauto.sk, adresar.sk, airtoy.cz, airtoy.sk, ake.kz, aktualnezlavy.sk, alegraprint.sk, alpine.sk, alusolid.sk, archon.sk, armaturex.sk, asanista.sk, aspi.sk, audi-auto.sk, audiotechnika.sk, australiastudium.sk, australia-studium.sk, auto-bmw.sk, badpiestany.com, ber.sk, betaol.cz, betterplace.org, bevito.sk, bigfutbal.sk, bkonline.sk, bkteam.sk, blanar.sk, brusky.sk, buginy.sk, burningmedia.sk, ceramicasantagostino.sk, citroen-levne.sk, comexim.sk, crdesign.cz, csko.sk, cub.sk, cyklotour.sk, cyprian.sk, danovesluzby.sk, d-box.sk, ddp.sk, decormaison.cz, delta-kolo.cz, demontservis.sk, denniksport.sk, deweb.sk, divoke-kmene.sk, divokekmeny.sk, domov.sk, donauchem.cz, doplnkystravy.sk, dopravnik.sk, dotmac.sk, e107.sk, efmuk.sk, ekonomickysoftware.sk, eletechnik.sk, eny.sk, erotikdating.sk, esthetic.sk, etngroup.sk, euroinformacie.sk, evidencia.sk, exedra.sk, exedrafit.sk, expocom.sk, f-h.sk, fiat-auto.sk, financial.sk, firmyasluzby.sk, fischbacher.sk, flashdev.sk, ford-auto.sk, friendlyhouses.sk, funeral.sk, fun-online.sk, games.sk, granit.sk, graniti.sk, hako.sk, healthspa.sk, hokejportal.sk, honda-auto.sk, hromozvody.sk, hry24.sk, chatamatus.sk, chatanakoncikorne.sk, chatnet.sk, chudnete.sk, i-katalog.sk, imapy.sk, immocap.sk, impregnacia.sk, imprint.sk, inprost.sk, inqb.sk, internship.sk, investhouse.sk, iserver.sk, istrofinal.sk, iura.sk, jabbim.sk, jakota.sk, jazvy.sk, jobmania.sk, juj.sk, jurajblanar.sk, karatesk.sk, katalogcrv.sk, katalogokien.sk, knihyezop.sk, kontakt.sk, koragroup.sk, kostal.sk, kozmetickachirurgia.sk, kreditnakarta.sk, kto.sk, kupelepiestany.sk, lba.sk, lepsiezdravie.sk, letbalonom.sk, maesw.sk, mamtalent.sk, manipulatory.sk, marianske-lazne.sk, mayertransport.sk, mazda-auto.sk, mercedes-auto.sk, mesacnikpodnikanie.sk, mesta.sk, metavium.sk, metooradio.sk, metootv.sk, microtherm.cz, mladezvakcii.sk, mojemesto.sk, mortality.sk, motivacia.sk, mrmaros.sk, msrk.sk, musicstar.sk, nabytokbeba.sk, najlacnejsie-knihy.sk, napojove-prepravky.sk, naspirale.cz, nautila.sk, navigacnesystemy.sk, navigacnysystem.sk, neira.sk, netfinity.sk, netster.sk, nike-shop.sk, nissan-auto.sk, noemi.sk, obcianskypreukaz.sk, obtulowicz.sk, olympiady.sk, onaaauto.sk, onlineslovnik.sk, onlineuctovnictvo.sk, opel-auto.sk, oravskevesele.sk, owayo.com, pages.sk, parkoviska.sk, party.sk, paxz.nl, personalfabric.sk, peugeot-auto.sk, pizzamicio.sk, planovac.sk, plastickachirurgia.sk, plastove-kontajnery.sk, plastove-palety.sk, plastove-prepravky.sk, pohodafestival.sk, pomahameliecit.sk, poradenskesluzby.sk, porges.sk, porno-sex-erotika.sk, porno-videa-sex-tv.sk, povinnavybava.sk, povolenie.sk, ppc-pay-per-click-cpc.sk, praca.in, pracadoma.sk, prazdroj.sk, privateli.sk, profilex.sk, promotive.sk, protezy.sk, prvatatranskaspravcovska.sk, pyrostop-ba.sk, ranajkujzdravo.sk, reality123.sk, redflower.sk, regulacnatechnika.sk, rekuperacia.sk, rekuperator.sk, relaxacnecentrum.sk, renault-auto.sk, retrofutbal.sk, rkvin.sk, rogeriana.sk, rozhanovce.sk, salaty.sk, sanitarnatechnika.sk, santagostino.sk, seat-auto.sk, semania.mobilmania.cz, severskelisty.sk, shops.sk, signal.sk, siklienka.sk, sina.sk, skateobchod.sk, skate-obchod.sk, skg.sk, skladacie-kontajnery.sk, skladovatechnika.sk, sklenarstvo.sk, slovakdomains.sk, slovakiaguide.sk, smo.sk, smolnik.sk, smspoistenie.sk, sms-poistenie.sk, snickers.sk, spapiestany.sk, sponzorovaneodkazy.sk, sponzorovane-odkazy.sk, sportfinal.sk, sport-mix.sk, sportpodlahy.sk, sport-podlahy.sk, sport-povrchy.sk, sportpress.sk, sprchy.sk, ssjr.sk, stavebnesluzby.sk, stefanbackor.sk, stickfish.com, stranky.sk, stupido.sk, sunflowers.sk, sustruhy.sk, swat.sk, tattoo-spray.sk, tectus.sk, thermia.sk, thermiahotel.sk, thermiapalace.sk, thermiapiestany.sk, tommeetippee.sk, top-office.sk, toyota-auto.sk, tpa-horwath.sk, tracker.sk, tvarnenie.sk, tzbinfo.sk, tzb-info.sk, uctovnesluzby.sk, uctovnictvoonline.sk, ulozto.sk, unidekor.sk, unimpex-bratislava.sk, union.sk, unionprihlaska.sk, unionzdravotnapoistovna.sk, unionzp.sk, union-zp.sk, upratovaciservis.sk, usporne-cerpadla.sk, uspornedomy.sk, uverypozicky.sk, uzp.sk, velkeveci.sk, vodicskypreukaz.sk, vw-auto.sk, vynosy.sk, vyznamenanie.sk, wareznet.sk, web.analytics.yahoo.com, webkraft.sk, webzabava.sk, wsia.sk, ymca-nesvady.sk, zabes.sk, zahradnenabytky.sk, zakonysr.sk, zariadenie-predajni.sk, zizdravo.sk

Pred niekoľkými mesiacmi sa podobná chyba objavila aj na populárnom Twitteri.

#SetEnvIf User-Agent .*R6_Feed.* robot
Order allow,deny
Allow from all
Deny from env=robot
Deny from 72.47.254.135 70.74.201.136 129.128.99.97 213.186.116.115 69.31.45.178
217.20.175.128 77.222.42.34 217.16.16.225 217.16.16.202 83.222.23.240 85.21.154.98
83.222.23.222 212.193.228.118 213.251.189.203 62.149.130.16 151.56.63.169 64.72.112.19
67.228.15.148 194.85.93.194 77.221.130.5 80.91.176.143 81.177.4.224 68.178.174.65
80.245.112.5 193.178.144.158 193.178.144.158 151.56.103.207 193.178.144.117
193.178.144.158 193.178.144.62 193.178.144.8 193.178.144.9 193.178.145.111
193.178.145.185 193.178.145.235 193.178.145.245 193.178.146.237 194.135.22.221
194.54.90.182 194.85.90.193 194.85.90.253 194.85.93.194 195.245.118.44 195.248.190.145
208.109.206.50 212.193.228.118 213.172.16.3 213.186.114.74 213.186.116.231
213.186.126.2 213.186.192.131 213.186.192.164 213.188.130.113 213.248.54.68
216.119.125.140 217.112.35.22 217.112.35.28 217.112.37.47 217.112.42.64 217.16.16.201
217.16.16.202 217.16.16.220 217.20.175.128 62.149.0.175 62.149.0.46 62.149.130.16
62.149.130.37 62.149.18.31 62.149.18.4 62.80.178.142 63.247.74.34 64.202.165.131
64.202.165.132 64.202.165.133 64.202.165.201 64.40.144.166 66.118.138.196 67.222.1.136
67.228.15.148 68.178.174.65 69.31.45.178 69.50.162.178 69.72.149.27 72.233.48.174 
72.36.239.90 74.208.16.18 74.52.59.226 77.221.130.13 77.221.130.5 77.222.40.141
77.222.40.151 77.222.40.206 77.222.40.43 77.222.40.63 77.222.40.78 77.222.42.34
77.234.201.70 77.47.129.39 77.87.192.13 77.87.192.14 77.87.192.7 78.108.81.161
78.110.50.106 80.245.112.5 80.78.36.201 80.82.45.89 80.91.176.143 80.91.176.175
80.91.189.44 80.93.49.112 80.93.56.169 80.93.62.112 80.93.62.69 81.176.226.50
81.176.76.66 81.177.16.111 81.177.19.5 81.177.4.224 81.177.9.35 82.146.41.76
83.222.23.222 83.222.23.231 83.222.23.240 83.222.23.242 84.19.188.193 85.21.154.98
87.242.74.39 87.242.77.34 88.198.54.120 89.108.66.231 89.111.176.20 91.186.4.115
91.195.214.132 202.190.77.19 208.113.171.20 62.178.2.49 206.251.244.15
 
# General Apache options
#AddHandler fastcgi-script .fcgi
AddHandler cgi-script .cgi
Options +FollowSymLinks +ExecCGI
 
# If you don't want Rails to look in certain directories,
# use the following rewrite rules so that Apache won't rewrite certain requests
# 
# Example:
#   RewriteCond %{REQUEST_URI} ^/notrails.*
#   RewriteRule .* - [L]
 
# Redirect all requests not available on the filesystem to Rails
# By default the cgi dispatcher is used which is very slow
# 
# For better performance replace the dispatcher with the fastcgi one
#
# Example:
#   RewriteRule ^(.*)$ dispatch.fcgi [QSA,L]
RewriteEngine On
 
# If your Rails application is accessed via an Alias directive,
# then you MUST also set the RewriteBase in this htaccess file.
#
# Example:
#   Alias /myrailsapp /path/to/myrailsapp/public
#   RewriteBase /myrailsapp
 
RewriteRule ^$ index.html [QSA]
RewriteRule ^([^.]+)$ $1.html [QSA]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteRule ^(.*)$ dispatch.fcgi [QSA,L]
 
# In case Rails experiences terminal errors
# Instead of displaying this message you can supply a file here which will 
# be rendered instead
# 
# Example:
#   ErrorDocument 500 /500.html
 
ErrorDocument 500 "<h2>Application error</h2>Rails application failed to start properly"

Záver

Aj napriek tomu, že zobrazenie obsahu .htaccess súboru nevedie k možnosti ovládnuť server, či inak priamo ohroziť bezpečnosť samotného webu, môže obsahovať veľmi zaujimavé informácie, ktoré môžu dopomôcť útočníkovi k objaveniu bezpečnostnej zraniteľnosti. Často sa v súbore objavujú absolútne cesty k priečinkom, odkiaľ je spúšťaný web, samozrejme pravidlá na vytváranie tzv. COOL URI, linky, cestu do administrátorského prostredia, atď. Preto je určite viac než rozumné tieto súbory chrániť a znemožniť prístup k nim.

Toľko k snom, poďme k problémom.

Okamžite po zverejnení tejto informácie sa ozvali negatívne hlasy, ktoré sa obávajú o bezpečnosť a teda zneužiteľnosť systému. Pravdou je, že identifikovať možné bezpečnostné riziká systému sa dajú bez bližšej analýzy pomerne jednoducho. Samotný návrh už teraz obsahuje pasáže, ktoré sú v najjemnejšom slova zmysle problematické a vyvolávajú dojem veľkého brata.

Pri prechádzaní komentárov, ktoré sa vyjadrovali na túto tému (ako napríklad komentár Lukáša Filu) som si všimol jednu celkom zaujímavú a potešujúcu vec. Komentátori, ktorí nepatria priamo do odbornej verejnosti, nezabudli upozorniť na prípad okolo NBÚ, ktorý je dnes už takou malou slovenskou legendou. Keby teda táto kauza nikdy nevznikla, pravdepodobne by sa ani neboli objavovali otázky na tému bezpečnosti EZK, resp. by sa obmedzili len na odbornú komunitu.

Obavy neplynú len z možných bezpečnostných rizík tejto veľmi kritickej aplikácie, ale samozrejme aj z procesu obstarávania a následného vyhotovenia, ktoré môže značne zvýšiť už tak vysoké riziko bezpečnostných problémov systému.

Návrh pre EZK, resp. EZKO (elektronická zdravotná knižka občana), si môžete prečítať tu (doc), alebo v dokumente zobrazenom nižšie.

Podľa návrhu majú byť informácie šifrované a prístupné len na povolenie samotného majiteľa, čo je väčšinou pacient (v určitých prípadoch ho totižto zastupujú iné osoby). Šifrovanie je samozrejme veľmi podstatné, no bohužiaľ som sa v praxi stretol s viac než dosť prípadmi, kedy aj napriek využívaniu veľmi silného kryptovacieho algoritmu sa využívali slabé kľúče, resp. sa dal získať prístup k privátnemu kľúču, atď. Výsledkom je potom absolútne nulová účinnosť šifrovania. Problémom pri šifrovaní je aj správne zvolenie privátneho kľúča a taktiež správca a miesto uloženia kľúčov.

Ďaleko závažnejšia informácia je, že zo systému sa nedá vystúpiť! Podľa návrhu:

Vystúpenie zo systému (Opt-out) spočíva v odoprení súhlasu k prístupu k informáciám EZKO iným osobám. Toto vystúpenie zo systému umožňuje opätovný vstup do systému (Opt-in) bez straty relevantných zdravotných informácií, čo je dôležité najmä závažných zdravotných stavoch, keď tieto informácie sú veľmi relevantné pre poskytnutie ZS a hodnotový systém pacienta sa mení tak, že poskytnutie lepšej zdravotnej starostlivosti je vyššou hodnotou ako riziko súvisiace so sprístupnením jeho zdravotnej dokumentácie PZS.

Tento odsek jasne hovorí o tom, že zo systému sa vystúpiť nedá a v prípade rizikového prípadu sa bude dať získať prístup do dokumentácie aj bez povolenia jej majiteľa. Ľudovo povedané, niekto rozhodne o tom, že niekto iný dostane prístup do dokumentácie pacienta bez jeho vedomia. Na akom základe sa tak udeje, ako to bude kontrolované, aké sú prípadne postihy však už známe nie je. Podľa doterajších skúseností to bude v procese rozhodovania hrať veľkú úlohu hod mincou.

S týmto systémom kategoricky nesúhlasím a to hlavne z dôvodu, že

EZKO nenahrádza primárnu zdravotnú dokumentáciu vedenú príslušnými PZS v zmysle platnej legislatívy, ale je sekundárnou zdravotnou dokumentáciou …

Teda, v prípade skutočne rizikového prípadu je možné získať dokumentáciu priamo u lekára, ktorý ju aktuálne spravuje a je teda aj zodpovedný za jej bezpečnosť.

Podľa návrhu sú všetky EZK centralizované u “Národného operátora eHealth”, čo dáva tušiť, že vždy budú existovať osoby, ktoré budú mať 100% prístup ku všetkým informáciám. Pri výške platov v štátnej správe si nie je problém domyslieť, koľko by stálo odkúpenie takejto databázy pre poisťovňu, alebo kohokoľvek iného.

Samotné poisťovne určite tento návrh vítajú s nadšením. Ak by sa poisťovňa totižto dostala k lekárskym záznamom všetkých občanov, poľahky by na základe dataminingu dokázala určiť skupinu najmenej rizikových občanov, ktorých by s nadšením prijala pričom najrizikovejšiu skupinu by mohla veľmi jednoducho vylúčiť a prenechať inej poisťovni, ktoré takéto informácie nemá.
Nakoľko je táto teória pritiahnutá za vlasy nechám na vás. Skúsenosti so súkromným sektorom však hovoria, že ten vždy uprednostňuje zisk (nie že by to predstavitelia nášho štátu robili nebodaj nejak inak) pred blahom kohokoľvek.

Keď si pozriete návrh obsahu EZKO (xls), uvidíte tam plno veľmi zaujímavých informácií, ktoré budú uchovávané o každom pacientovi.

Overenie majiteľa dokumentácie bude podľa návrhu prebiehať na základe “minimálne dvoch autentizačných mechanizmov (napr. vlastníctvo – token a vedomosť – PIN, a / alebo biometrika)”, pričom “záznamy do EZKO nevyžadujú zaručený elektronický podpis”.
Napriek výzve Ministerstva financií SR “Národný projekt: Elektronická identifikačná karta” (elektronický občiansky preukaz), bude musieť každý majiteľ EZKO poznať PIN kód, nosiť so sebou kalkulačku pre výpočet pasívneho, či dokonca aktívneho tokenu, alebo odovzdať dobrovoľne všetky otlačky prstov, či iné biometrické identifikačné údaje. Ja viem, že už dnes sa odovzdávajú biometrické údaje pre nové doklady, no i tam som zásadne proti.

Netreba zabúdať aj na samotných zdravotných pracovníkov. Podľa návrhu, dáva majiteľ EZK prístup lekárovi, alebo inej osobe k jednotlivým častiam. Lekár tak získa prístup a určité práva k dokumentácii pacienta. Otázka je, na ako dlho získava tento prístup, ako bude prístup monitorovaní, ako bude môcť pacient zakázať prípadne prístup k svojej dokumentácii, atď. Otázok sa naskytá viac než dosť.
Stačí si predstaviť ktoréhokoľvek počítačového analfabeta, ako striktne obmedzuje prístup lekárovi do celej zdravotnej dokumentácie, alebo ako lekár bude prosiť pacienta o prístup do jednotlivých častí samostatne. Výsledkom bude, že systém ostane časom otvorený a prístupný pre celý zdravotný personál, lebo je to tak ľahšie pre všetkých.

Tu je zoznam bodov, ktoré považujem za problematické z pohľadu bezpečnosti celého systému:

• Informácie sú centralizované na jednom mieste a teda bude existovať minimálne jedna osoba s plným prístupom k týmto informáciám
• Nie je určený spôsob monitorovania prístupu k dátam rovnako ani kontrolný orgán, ktorý by dokázal odhaliť neautorizovaný prístup k informáciám
• Z EZKO sa nedá vystúpiť, karta je len zablokovaná pre prístup “z vonku”
• Existuje osoba, ktorá môže nariadiť prístup k EZK bez vedomia jej majiteľa
• Na autentifikáciu osoby je vyžadovaná dvojstupňová autentifikácia na základe PINu, Tokenov, resp. biometrických údajov. Tento spôsob autentifikácie nijakým spôsobom nezabraňuje MITM (Man-in-the-Middle) útokom
• Na autentifikáciu osoby nie je využívaný ZEP (zaručený elektronický podpis)
• K dátam bude mať pravdepodobne prístup aj dodávateľ (je veľmi nepravdepodobné, že vznikne umelo vygenerovaná vzorka testovacích dát, nad ktorými by dodávateľ vytvoril samotnú aplikáciu)
• Nie je určená zodpovednosť dodávateľa za prípade zlyhanie systému a to vrátane bezpečnosti
• Nie sú určené potrebné audity aplikácie, záťažové testy, atď., ktoré by aplikáciu dokázali relatívne presne otestovať a predísť tak prípadným problémom
• Nie je určený spôsob zálohovania dát (v UK sa pravidelne objavujú prenosové médiá plné citlivých dát, u nás sa tiež už parkrát našli)
• Nie je jasné, ako presne budú limitovaní zdravotní pracovníci, ktorí budú mať prístup k EZK

Zoznam problematických miest určite nie je konečný. Ten by sa dalo vytvoriť až po skutočne hlbokej analýze a mesiacoch diskusie s odborníkmi, ktorých sa systém priamo, či nepriamo dotýka.

Záver

Je potrebné si uvedomiť, že EZK je jedna z najkritickejších aplikácií, aké možno vytvoriť. Ani stav finančného konta nie je dôležitejší ako informácie o zdravotnom stave pacienta. Ak by sa napríklad súdený vrah dozvedel o smrteľnej alergii sudcu na oriešky, aké by to malo následky? Prípady, kedy policajti nemali problém predať informácie mafii sme na Slovensku už mali a určite je ich plno, o ktorých nevieme. Zdravie pacienta sa síce vyvíja, ale jeho história sa nemení. Preto sa môže v nepravých rukách stať smrteľnou zbraňou, či výborným marketingovým nástrojom. Je nesmierne dôležité celý systém navrhnúť čo najprecíznejšie za pomoci odbornej ale i laickej verejnosti. A to je presne to, čoho sa tu vôbec nedočkáme. Preto považujem tento nápad za absolútne tragický a na dôsledky asi dlho čakať nebudeme.

Ešte zaujímavé bude sledovať, kto sa prihlási do výberového konania. Ja už mám troch svojich favoritov a čo vy?

Práve na tomto prípade by som rád upozornil na jeden veľmi dôležitý fakt, na ktorý sa nemyslí a možno len pozabúda. Ak mal hacker dostatok času a motivácie, prechádzal emaily, nastavenia systému, spoznával návyky zamestnancov, hlavne teda administrátorov, potom s takýmito znalosťami je obrovský problém dostať ho preč zo systému.

Čo všetko môže hacker vedieť po niekoľkých dňoch strávených “kopaním” v systéme?

• Administrátorov a ich úlohy
• Zamestnancov
• Password policy (teda podľa akých pravidiel sa nastavajú heslá)
• Programy, ktoré sa používajú (minimálne na kompromitovanom serveri)
• Históriu spoločnosti (hlavne teda rôzne zabudnuté dokumenty, atď.)
• Zoznam zákazníkov a obchodných partnerov
• Skupiny vrámci spoločnosti
• Ako funguje intranet spoločnosti
• Aký softvér používajú zamestnanci
• Emaily spoločnosti
• Interné dokumenty, faktúry, atď.

Tento zoznam by mohol byť obsiahly skoro ako telefónny. Čim dlhšie dokáže hacker operovať vo vnútri spoločnosti, tým viac sa o nej dokáže naučiť.

Rovnako to bolo aj v prípade tejto spoločnosti, kedy sa dotyčný vždy prihlásil pod niektorým so zamestnancov na jeho osobnom emaili a prečítal si, aké zmeny boli urobené. Nech sa dialo čokoľvek, vždy veľmi rýchlo získal prístup. Samozrejme, chybou boli jednotné heslá do rozličných služieb, ale to nie je žiadna výnimka. Dnes, dovolím si tvrdiť, nadpolovičná väčšina používa svoje heslo k osobnému emailu u minimálne jednej ďalšej služby, ktorá nie je spojená s poskytovaním emailu (napríklad google, kde jedno heslo funguje neprieč všetkými systémami).

Emailové konto sa dá dnes považovať za asi najdôležitejšie miesto, ktoré treba čo najviac chrániť. Email sa dnes využíva ako styčný bod medzi službou a užívateľom. Často je vďaka emailu možnosť zresetovať heslo, čím hacker získa plný prístup do ďalších a ďalších služieb, vrátane PayPalu, Facebooku, atď. Drvivá väčšina služieb je bezradná, ak hacker kontroluje email obete.

Spoločnosť kvôli tomu musela donútiť zmeniť všetky prístupové heslá všetkých zamestnancov na všetkých ich dôležitých kontách, aj mimo spoločnosti. Po tomto kroku bolo zaznamenaných mnoho pokusov o prienik, vrátane osobných kont naprieč rôznymi službami, ale ako sa zdá, zatiaľ spoločnosť odoláva. Podarilo sa odstrániť aj väčšinu závažných problémov webovej aplikácie, aktualizoval sa softvér, atď.

Je preto nevyhnutné monitorovať akúkoľvek aktivitu na serveri/och a v prípade akéhokoľvek prieniku okamžite konať. Každá minúta je drahá a môže vás stať mesiace utrpenia a stratu dôležitých dát, možno dokonca aj poškodenie dobrého mena spoločnosti a iné problémy.

Prednáška bude pozostávať z týchto častí:

• História platobných kariet
• Základné pojmy, typy a druhy kariet, popis technológie, princíp fungovania
• Biznis model v kocke
• Postupy odcudzenia kariet
• Čierny trh
• Organizované skupiny verzus jednotlivci
• Spracovanie kariet zlodejmi
• Využitie kariet zlodejmi (carding, dumping ..)
• Moderné formy kradnutia platobných kariet
• Zhrnutie a otázky

Prednáška je zameraná pre znalých ale hlavne neznalých účastníkov. Dúfam, že si v nej každý nájde niečo, ale samozrejme rád uvítam aj tých, ktorí téme rozumejú a majú k nej čo povedať. Rád si obohatím svoje vedomosti, resp. podiskutujem o tejto problematike.

Prednáška bude trvať v čistom čase bez otázok 60 minút, čo je čas, do ktorého ju potrebujem upraviť pre najbližšiu konferenciu. Po skončení bude dosť času na otázky a samozrejme aj diskusiu o tom, čo vás bude zaujímať. I keď som pôvodne zvažoval aj živú ukážku niektorých techník a zariadení, rozhodol som sa ju vynechať z bezpečnostných dôvodov po odporúčaní niekoľkých priateľov, preto sa budem snažiť ukazovať čo najviac obrázkov a videí.

Dátum konania: Bratislava 19.09.2009, 18:00 – 1:00
Miesto konania: Reštaurácia Michaela (mapa)
Kontakt: meetup@synopsi.com
Facebook: Stretnutie na Facebooku
Reštaurácia ponúka aj kvasinkové pivo

Poprosím každého, kto bude mať záujem sa na stretnutí záväzne ukázať, nech sa prihlási na Facebooku, alebo nech mi pošle email, aby nevznikli problémy v reštaurácii a ja nedostal od majiteľa poza uši :).

Pri tejto príležitosti sa môžete stať fanúšikmi tohoto blogu na Facebooku.

Ak budete mať akékoľvek otázky, pokojne mi napíšte či už do komentárov, alebo do mailu.

Teším sa na stretnutie.

Jedna takáto štúdia sa objavila začiatkom tohoto týždňa a zameriava sa na flashové cookies, o ktorých existencii nevie drvivá väčšina tých, ktorý tento softvér používajú (čo podľa štatistík predstavuje až 98% všetkých návštevníkov internetu). Ako sa zdá, štúdia dopadla na úrodnú pôdu a posledné dni odborná, ale i laická verejnosť živo diskutuje nielen o cookies, ktoré sú uchovávané mimo dosahu prehliadača a teda sú takmer na 100% zachovávané na všetkých počítačoch, ktoré majú nainštalované Flash, ale aj iných metódach, ktorými majitelia webov sledujú svojich návštevníkov.

Ale späť k samotným Flashovým cookies. Spoločnosť Adobe pred časom pridala cookies ako možnosť permanentne uchovať určité informácie na hard-disku návštevníka a to až do veľkosti 100Kb. Pre porovnanie, webové prehliadače umožňujú v cookies uchovať pre každú doménu len 4Kb dát a limitovaný je aj ich počet. Flash je v tomto omnoho benevolentnejší, no čo horšie, samotný prehliadač nemá priamy prístup k týmto záznamom a teda ich ani nemaže spolu s vlastnými cookies, ktoré si uchováva. Ak teda pravidelne tieto záznamy čistíte, budete zrejme prekvapení množstvom, ktoré sa nachádza vo vašom počítači.

Ak ste náhodou používateľmi populárneho rozšírenia No-Script vedzte, že ani to nezabraňuje uchovaniu Flashových cookies na vašom disku v prípade, že máte odblokovaný, resp. ste odblokovali prístup k flashu. Ten si bez vášho vedomia vytvorí akékoľvek záznamy, ktoré vám uchová do počítača a ktoré následne používa vždy, keď sa k danému webu prihlásite. Aby ste si však nemysleli, že flashové cookies sú využívané len na sledovanie užívateľov, mnoho webov do nich ukladá rôzne nastavenia, ako napríklad nastavenie hlasitosti pri videu (youtube, iné), nastavenie pri hrách (napr. dnes populárne flashové hry na Facebooku), atď. No i tieto weby často pridajú citlivé informácie o užívateľovi, ktoré sa snažia majitelia webov monitorovať a vyhodnocovať.

Flashové cookies používajú takmer všetky weby zaoberajúce sa predajom kontextovej reklamy, aplikácie zaoberajúce sa vyhodnocovaním správania webových návštevníkov, weby streamujúce video, ale aj iné, ako napríklad paypal.com, nike.com, blogger.com, gmail.com, či sme.sk. Nie všetky uchovávajú citlivé dáta o užívateľovi, no poniektorí to tak robia a len málokto si bude študovať, čo dané cookies obsahujú.

Ak vás zaujíma, čo si jednotlivé weby o vás uchovávajú, môžete si to sami prečítať a to napríklad cez .sol editor, alebo SoIVE. Poprípade pre operačný systém Windows môžete využiť mnou naprogramovaný jednoduchý programček, ktorý vám tieto cookies nájde a zobrazí, či uloží do súboru. Stiahnuť si ho môžete tu a upozorňujem, že sa jedná o konzolovú aplikáciu, teda ju musíte spúšťať cez konzolu (cmd). Po spustení sa vám zobrazí postup, ako program môžete použiť.

Ešte predtým však musíte tieto cookies lokalizovať na vašom disku. Samozrejme, lokácia je odlišná v jednotlivých OS. Podľa článku na wikipedii ich môžete hľadať tu:

• Windows XP and Vista

For Web sites: %APPDATA%\Macromedia\Flash Player\#SharedObjects\<random code>\<domain>\<path>\<object name>.sol
For AIR Applications, %APPDATA%\<AIR Application Reverse Domain Name>\Local Store\#SharedObjects\<flash filename>.swf\<object name>.sol

• Mac OS X

For Web sites, ~/Library/Preferences/Macromedia/Flash Player/#SharedObjects/<random code>/<domain>/<path from webserver>/<object name>.sol
For AIR Applications, ~/Library/Preferences/<AIR Application Name>/Local Store/#SharedObjects/<flash filename>.swf/<object name>.sol

• Linux/Unix

~/.macromedia/Flash_Player/#SharedObjects/<random id>/<domain>/<path>/<flash filename>.swf/<object name>.sol

Ak si aj vy neželáte, aby si jednotlivé weby ukladali cookies cez flash na váš disk, máte niekoľko možností. Najjednoduchšou je zmazať všetky aktuálne cookies priamo na disku a zakázať zapisovanie do tohoto priečinku. Ale pozor! Pripravíte sa aj o cookies, ktoré by ste eventuálne mohli chcieť, ako napríklad nastavenia flashových hier, alebo prehrávačov. Lepšiu možnosť majú používatelia prehliadača firefox. Tí si môžu nainštalovať rozšírenie BetterPrivacy, ktoré dokáže sledovať tieto cookies v určitom intervale, mazať ich, no zároveň ochrániť tie, ktoré zmazať nechcete. Využiť môžete aj bezplatný softvér CCleaner, ktorý medzi iným čistí aj ďalšie miesta a prehliadače. No a poslednou možnosťou pre všetkých je využiť flash manažéra priamo od spoločnosti Adobe, v ktorom je možné dané cookies zmazať. V ňom však obsah cookies neuvidíte, rovnako chýba prípadne filtrovanie.

Flash však nie je sám, kto umožňuje uchovávať dáta na vašom disku. Podobnú funkcionalitu má implementovaný aj SilverLight, ktorý tieto cookies nazýva Isolated Storage (ďalej už len IS). SilverLight samotné cookies prenecháva prehliadaču, ktorý ich však môže blokovať, či jednoducho mazať. Preto je SilverLight priniesol IS, ktorý umožňuje ukladať až 1MB informácií pre každú aplikáciu! Nepoznám presne celý bezpečnostný model IS, ale ak je limit 1MB pre aplikáciu a nie doménu, výsledkom môže byť relatívne ľahko zahltený disk návštevníka.

To, že flash a silverlight umožňujú uložiť dáta na váš disk bez vašeho vedomia má v skutočnosti ďaleko väčšie následky, ako by sa mohlo zdať. Oba totižto obchádzajú mód prehliadača, ktorý sa nazýva Private Browsing (teda volá sa tak pre firefox, pre iné prehliadače sa môže volať inak). Dôležitejšie je, že v tomto móde nie sú ukladané žiadne dáta o používateľovej aktivite, vrátane cookies. Výsledkom teda je, že v skutočnosti ak aj využívate tento mód, flash či silverlight aplikácie si môžu o vás vytvárať dodatočné informácie, ktoré si samozrejme vedia pri každej návšteve aj overiť.

Na to, či by mal flash a silverlight ukladať takéto dáta a kto by sa mal starať o ich likvidáciu, panujú rôzne dohady. Časť odborníkov tvrdí, že by sa mal o odstránenie postarať samotný prehliadač, ktorý by mal získať aj kontrolu nad týmito cookies a umožniť používateľovi zasahovať do nastavení, filtrácie ako aj samotných cookies. Ako to však v budúcnosti bude, na to si asi ešte všetci počkáme.

PS: Ak chcete vedieť, aká služba vás sleduje na akom webe a ste používateľom firefoxu, môžete k tomuto účelu využiť celkom pekné rozšírenie Ghostery.

Vlastní analýza probíhá v následujících krocích:

• Identifikace aktiv

cílem je identifikovat cenná aktiva (data), která je třeba chránit před narušením důvěrnosti, integrity a dostupnosti.

• Popis architektury

cílem je popsat, jak aplikace funguje a znázornit ve formě diagramu vztahy mezi jejími jednotlivými částmi.

• Dekompozice aplikace

cílem je popsat, jak je řešena autentizace, autorizace, session management, auditing atd.

• Identifikace hrozeb

k identifikaci hrozeb ve vztahu k aktivům slouží STRIDE model.

• Dokumentace hrozeb

popis hrozby, způsob zneužití této hrozby a vhodná opatření

• Ohodnocení hrozeb

cílem je provést ohodnocení hrozeb podle metodiky DREAD.

Jako aktiva v této metodice vystupuje samotná aplikace, aplikační, webový a databázový server a samozřejmě operační systém a síťová infrastruktura.

Co se týká hrozeb, Microsoft je rozděluje do šesti kategorií podle cíle útoku. Tento způsob dělení označuje jako STRIDE. Název je vytvořen z počátečních písmen jednotlivých cílů útoků, kterými jsou:

• Spoofing
• Tampering
• Repudiation
• Information disclosure
• Denial of service
• Elevetion of privilege

V článku Kategorizace hrozeb si múžete prečíst, co je to hrozba a jaké je základní dělení hrozeb. Pro stanovení pravděpodobnosti hrozby a potenciální škody nám Microsoft předkládá sadu následujících pěti otázek.

• Damage potential (potenciální škoda)

Jak velká by byla potenciální škoda, když by byla zranitelnost zneužita?

• Reproducibility (reprodukovatelnost)

Je možné útok provést kdykoliv nebo musí být splněny určité podmínky?

• Exploitability (zneužitelnost)

Jaké jsou požadavky na úroveň znalostí útočníka, aby mohl být útok proveden?

• Affected users (zasažení uživatelé)

Kolik procent uživatelů bude hrozbou zasaženo?

• Discoverability (odhalitelnost)

Jak snadné je v systému přítomnost zranitelnosti odhalit?

Všimněte si, že počáteční písmena anglických termínů opět tvoří název této metodiky. U každé hrozby bychom si měli položit výše uvedených pět otázek a odpovědět, zda se jedná o hrozbu nízkou (1), střední (2) nebo vysokou (3). Hodnotu jednotlivých odpovědí pak sečteme a získáme výslednou hodnotu, která vyjadřuje pravděpodobnost dané hrozby. Vzhledem k tomu, že se jedná o sadu 5 otázek a 3 možných odpovědí, může pravděpodobnost hrozby nabývat pouze hodnot z intervalu <5,15>. Hodnota 5 vyjde, pokud na všech 5 otázek odpovíme, že pravděpodobnost hrozby je nízká 5*1=5. Hodnota 15 vyjde, pokud na všech 5 otázek odpovíme, že pravděpodobnost hrozby je vysoká 5*3=15.

Ač tato metodika vysvětluje, jak stanovit pravděpodobnost hrozby, aniž by uvedla jak stanovit velikost potenciální škody, hovoří o nízkém <5,7>, středním <8,11> a vysokém <12,15> riziku. Microsoft uživatele této metodiky trochu mate, když píše, že otázky slouží ke stanovení pravděpodobnosti hrozby. Nicméně to není podstatné, když se totiž hlouběji zamyslíme nad zněním výše uvedených pěti otázek, zjistíme, že první a čtvrtá otázka v pořadí nemá s určením pravděpodobnosti hrozby vůbec nic společného, a že se naopak jedná o stanovení hodnoty dopadu. Tím se vysvětluje, proč je možné po sečtení hodnot jednotlivých odpovědí hovořit o riziku.

Dovoluji si tvrdit, že v okamžiku, kdy by rizika byla řízena v průběhu celého životního cyklu vývoje software a je jedno zda za použití této nebo jiné metodiky, výrazně by poklesl i počet útoků využívající známé triviální chyby, jakými jsou např. neošetřené vstupy umožňující útoky typu XSS, SQL injection apod.

Zdroj: MSDN

Ivan Ristić, autor populárneho WAF (web application firewall) pre Apache, ModSecurity, dnes sprístupnil službu, ktorou je možné online otestovať SSL certifikát vybraného webu a zistiť tak jeho kvalitu ako aj nastavenia samotného servera. Výsledkom je hodnotenie ako v americkej škole, teda najlepšou známkou je A, najhoršou F, a celé je to skombinované s bodovým hodnotením, ktoré je rovnaké ako percentuálne. Ristić celý systém bodovania podrobne vysvetlil v dokumente, ktorý je možné voľne stiahnuť (pdf).
Aby bolo jasné, táto služba nepredstavuje žiadnu novinku. Existuje tisíc rovnakých riešení, či už v podobe testovacích aplikácií, alebo webových služieb, no väčšinou sú spoplatňované.

Nielen samotný certifikát ale aj nastavenie servera ovplyvňuje kvalitu šifrovanej komunikácie. Veľký pozor si je potrebné dávať na certifikáty, ktoré používajú slabý kľúč, slabé šifrovanie, MD5 hash, alebo podporujú komunikáciu SSL vo verzii 2. Takáto komunikácia môže byť dešifrovaná a tým narušená bezpečnosť servera/klienta. U bánk je samozrejme dôležitá aj spoločnosť, ktorá certifikát vystavila, ako aj typ certifikátu, ktorý používa. Banka, ako dnes jedna z najnapádanejších inštitúcií na internete, by mala brať bezpečnosť veľmi vážne a nešetriť ani na certifikátoch.
Bohužiaľ, ja som ilúziu o bezpečnosti slovenských a českých bánk dávno stratil, no i tak pevne verím, že banky, ktoré v teste dopadli zle sa postarajú o okamžitú nápravu.

Slovenské banky

Zoznam slovenských bánk som čerpal tu. Nebral som do úvahy všetky banky, len tie najznámejšie, zvyšné si môžete otestovať sami.

Zoradené podľa výsledkov od najlepšieho po najhorší

• Tatra banka A [85]
  Využíva rozšírený EV SSL certifikát od spoločnosti VeriSign
• Dexia A [84]
  Využíva rozšírený EV SSL certifikát od spoločnosti VeriSign
• Mbank A [81]
  Využíva rozšírený EV SSL certifikát od spoločnosti VeriSign
• Citibank B [69]
  Využíva štandardný certifikát od spoločnosti VeriSign
• Poštová banka B [69]
  Využíva rozšírený EV SSL certifikát od spoločnosti VeriSign
• VOLKSBANK B [69]
  Využíva štandardný certifikát od spoločnosti VeriSign
• UniCredit Bank C [64]
  Využíva štandardný certifikát od spoločnosti VeriSign
• Slovenská sporiteľňa C [60]
  Využíva rozšírený EV SSL certifikát od spoločnosti VeriSign
• VÚB C [60]
  Využíva štandardný certifikát od spoločnosti Entrust.net
• ČSOB F [Zero]
  Využíva štandardný certifikát spoločnosti I.CA

Certifikáty OTP banky a Komerční banky otestovať nešli, kvôli problému s pripojením testovacieho servera.
Ako môžete sami vidieť, len tri banky získali najlepšie hodnotenie, pričom presná polovica z testovaných bánk používa najvyšší možný certifikát EV SSL.

České banky

Zoznam českých bánk som čerpal tu. Opäť som vyberal banky podľa dôležitosti, zvyšné si v prípade záujmu môžete otestovať sami.

• HSBC A [85]
  Využíva certifikát tretej triedy od spoločnosti VeriSign
• Komerční banka A [84]
  Využíva rozšírený EV SSL certifikát od spoločnosti VeriSign
• mBank A [81]
  Využíva rozšírený EV SSL certifikát od spoločnosti VeriSign
• Citibank A [81]
  Využíva štandardný certifikát od spoločnosti VeriSign
• Raiffeisenbank A [81]
  Využíva štandardný certifikát od spoločnosti VeriSign
• Česká spořitelna * A [81]
  Využíva štandardný certifikát od spoločnosti VeriSign
• GE Money Bank B [67]
  Využíva rozšírený EV SSL certifikát od spoločnosti VeriSign
• Volksbank C [64]
  Využíva štandardný certifikát od spoločnosti VeriSign
• UniCredit Bank C [64]
  Využíva štandardný certifikát od spoločnosti VeriSign
• ČSOB F [Zero]
  Využíva štandardný certifikát spoločnosti I.CA

* pri hodnotení došlo k chybe identifikácie vydavateľa certifikátu, výsledok je odvodený od ostatných testov

Až šesť bánk dosiahlo výborné hodnotenie, čo je oproti slovenským bankám dvojnásobok, pričom len 3 z 10 testovaných bánk používa rozšírený, EV SSL certifikát.

Záver

Výsledok testu vôbec neprekvapil, no určite moc nepotešil. I keď výber českých bánk bol na tom pomerne lepšie ako výber slovenských bánk, je veľmi nepríjemné, že inštitúcie, ktorým by malo primárne záležať na bezpečnosti ju často krát podceňujú a tak degradujú zmysel iných bezpečnostných prvkov, ktoré sú nasadené v kombinácií na ochranu klientov banky. Ešte horší výsledok je pri testovaní bánk na ochranu proti ClickJackingu, kedy len jediná slovneská a tri české banky (strana 18) majú (ku dňu 22.03.2009) ochranu proti tomuto útoku.

Inštalácia Win 7 a kryptované disky

Ale spať k Win 7. Po predchádzajúcich veľmi zlých skúsenostiach s inštaláciou Visty, pri ktorom som už tri krát prišiel o dáta na inom, kryptovanom disku, som odpojil všetky ostatné disky a nechal zapojenú len DVD-rom, disk s pôvodným OS Vistou a nový disk, kam som chcel Win 7 nainštalovať. Nabootovanie inštalácie prebehlo v poriadku, inicializácia v poriadku, až po výber konečného disku, kam chcem nový Windows umiestniť. V tabuľke sa totiž objavila informácia, že môj pôvodný disk, kde je síce nainštalovaná Vista, ale je zakryptovaný a tak inštalačka nemôže vedieť, že tam niečo je, obsahuje Windows. Myslel som, že sa jedná len o chybu a tak som tomu nevenoval pozornosť. Jednoducho som vybral prázdny disk a nechal Windows nainštalovať. Po spustení bolo všetko v najlepšom poriadku, stiahol som TrueCrypt a chcel moutnuť pôvodný disk. TrueCrypt na to tvrdil že na tom disku zaručene nie je zakryptovaná partícia a hotovo. Nebudem tu opisovať môj niekoľkohodinový boj, dôležitý je výsledok.

Windows sa stáva každou verziou agresívnejší a rovnako ako Vista si aj Win 7 ukladá niektoré súbory inam. U Visty sa jednalo len o mnou nikdy neidentifikované súbory, ktoré strkal na prvé voľné miesto ktoré uvidel, u Win 7 sa však jedná o celý bootovací strom, teda všetky súbory potrebné pre správny štart systému. Aj Vista aj Win 7 si to riešia po svojom. Ak zbadajú niekde ďalší prázdny disk, nič im nestojí v ceste ho jednoducho využiť. Dôvodom je asi to, že na zakryptovaných diskoch nevidno žiadnu partíciu a teda sa tvária ako keby boli práve donesené z obchodu. Aké bolo moje prekvapenie keď som zistil, že moje dáta sú nenávratne fuč (viď screenshot vpravo) a keď som práve dokaličený disk odpojil, nešiel samozrejme ani Win 7, keďže nemal svoju bootovaciu partíciu.

Moja rada znie. Ak kryptujete disky, zaručene pred inštaláciou všetky odpojte, vyhnete sa tak strate dát.

Toto zistenie ma stálo nemalo nervov a vnútorného hnevu, straty plno dôležitých dát vrátane pracovných, mailov, atď.

Správa diskov

Aby to však nebol koniec, keď som konečne všetko sfunkčnil a oželel dáta, ktoré sú nenávratne preč, začal som pripájať disk po disku, čím vybrakoval som takmer polovicu písmenok z abecedy. Logicky viedli moje kroky do správy počítača a tam do správy diskov, aby som mohol jednotlivé disky poukladať tak, ako som zvyknutý. Asi pred rokom som začal kryptovať disky tak, že už nevytváram partície, ale priamo zakryptujem disk ako je (viď screenshot vpravo). Potom sa vo Win nehlási pod ďalším písmenkom prázdny disk a ten ho furt nechce formátovať. S týmto spôsobom som veľmi spokojný, mam tak zakryptovaných 5 zo 7 diskov. Bohužiaľ to nejde u systemového a druhý je externý a k tomu v Raid 0. V správe diskov teda nastal druhý problém, pretože Windows silou-mocou chcel zmeniť MBR u Disku 1 (viď screenshot vpravo), aby k nemu mohol pristupovať. V domnienke, že chce urobiť nejaký zásah do prázdneho disku, ktorý je len naformátovaný a nie je zakryptovaný, alebo že chce zmeniť niečo na systémov disku, som to bohužiaľ potvrdil. Keď sa hláška zopakovala, spozornel som a zrušil som ju. Disky si prehádzal ako som chcel a začal opäť mountovať disky.

A zas ma nemilo prekvapil TC, ktorý opäť na jednom disku nevidel svoju partíciu. Už mi bolo jasné, že Win na ňom prepísal MBR, čím odstránil TC potrebné dáta k spusteniu. Bohužiaľ, nepomohla ani obnova hlavičiek, disk sa jednoducho nedal zachrániť a tak som prišiel o ďalšie dáta. Aj toto zistenie ma stálo veľa, no snáď to pomôže niekomu z vás.

Zakryptovanie systémového disku

No a nakoniec tretia situácia, spojená s TC. Win 7, pokiaľ nevidí nikde na blízku prázdny disk, vytvorí na vašom primárnom disku, teda tom, kde ho chcete nainštalovať skrytú partíciu o veľkosti asi 200 MB, do ktorej si napchá svoje bootovacie dáta. To samozrejme vadí TC pri kryptovaní OS disku, keďže on potrebuje mať bootovacie dáta na jednom miesto, aby ich mohol následne spustiť. A tak vám OS disk zakryptovať neumožní, podľa tvorcov až do vydania oficiálnej, teda nie RC, verzie a to je až niekedy v jeseni. Ak ani vy nechcete čakať, sú dve možnosti ako sa tomuto vyhnúť.

Tou prvou je dôsledná príprava pred inštaláciou.

• Neinštalujte Win 7 na disk, na ktorom nie je vytvorená partícia!
  Windows potom bez varovania vytvorí skrytú partíciu o veľkosti 200 MB bez toho, aby vás informoval.
• Vytvorte jednu veľkú partíciu, ktorá bude zaberať plné miesto, resp. viac partícií, ktoré budete chcieť do budúcnosti využívať a nezabudnite ich naformátovať (ak sa nejednalo o nový disk)
• Ak sa jedná o úplne nový, čistý disk, zvoľte rozšírenú (advanced) inštaláciu, a cez nástroj vytvorte opäť jednu, alebo viac partícií, ktoré bude chcieť používať. Nenechajte však voľné miesto, kde by si Win 7 mohol vytvoriť svoju skrytú partíciu.
• Windows sa možno pokúsi vytvoriť dodatočne svoju skrytú partíciu, čo vám dá na známosť hlásením “To ensure that all Windows features work correctly, Windows might create additional partitions for system files“. Kliknite na Cancel a Win 7 by sa mal plne nainštalovať na vybranú partíciu.

Ak už však systém je nainštalovaný, Fredrik Poller odporúča využiť ktorékoľvek Linux Live CD a presunúť obsah tejto partície ku zvyšku. Je to trošku riskantnejší postup, už mi písali dvaja ľudia, ktorí aj tak nakoniec museli preinštalovať celý systém.

Záver

Pevne verím, že sa vďaka tomuto článku vyvarujete podobným problémom. Ak by ste náhodou poznali inú situáciu, pri ktorej je potrebné byť obozretný, podeľte sa o ňu s nami v komentároch pod článkom.

Okrem tohoto mám skúsenosti s Win 7 relatívne dobré. Až na niekoľko výstrelkov je skutočne oveľa stabilnejší, rýchlejší, prispôsobivejší, intuitívnejší a aj pohľadnejší ako jeho predchodcovia. Dôležitá je spätná kompatibilita, ktorá je vyriešená výborne a tak sa mi po rokoch podarilo nainštalovať tlačiareň, ktorá nešla už ani vo Win XP.

Cesta nám trvala len asi hodinu a pol (z Bratislavy trvá cca 3 hodiny) pokojnou jazdou. Mestečko Wisla je relatívne nový turistický raj, ktorý postupne budujú pre letnú aj zimnú rekreáciu. Nachádza v kotlinke obklopenej horami. Samotná cesta vedie cez tieto hory. Nás zachytila odstávka cesty, ktorá priamo viedla do mesta a tak sme museli ísť niekoľko kilometrov dookola. Tam som si všimol veľmi zaujímavú vec. Keďže cesta neslúži bežnej premávke, ale len ako prístup k veľmi luxusným zámočkom (pred časom sa tam stretli predstavitelia V4), rozšírili ju za pomoci malých mačacích hláv po krajoch, čím umožnili autám, aby sa pri vzájomnom stretnutí dokázali jednoducho vyhnúť. Veľmi príjemné a jednoduché opatrenie, ktoré by som privítal na mnohých cestách aj na Slovensku. Mestečko Wisla nesie svoj názov podľa najdlhšej poľskej rieky, ktorá tu vyviera. Za komunistov tu bolo vybudovaných mnoho rekreačných stredísk, ozdravovní a papalášskych hotelov, kde sa stretávali špičky vtedajšej politiky. Wisla po revolúcii spustla a jej pôvodný punc rekreačného raja priniesol jediný hotel.

Hotel Golebiewski prilákal prvých turistov spolu s peniazmi, ktoré rozhýbali ďalšie investície do vybudovania zjazdoviek, ďalších hotelov, rančov a iných atrakcií, ktoré turisti vyhľadávajú. Hotel je umiestnený na kopci a je z neho nádherný výhľad (hlavne keď sedíte vo vírivke a pozeráte sa z okna).
Hotel samotný je zameraný na Wellness a Spa, pričom ponúka turistom výlety po okolí a rozmanitý program. Hotel disponuje 564 izbami, ktoré sú zariadené veľmi vkusne a moderne. Samozrejmosťou sú plne automatizované parkoviská pre všetkých hostí.
Najväčšou atrakciou je však vodný park, ktorý je umiestnený v útrobách hotela. K dispozícií je plavecký bazén, bazén kde sa každú pol hodinu spúšťajú umelé vlny, vonkajší bazén, tobogany vrátane “cibule” (tobogan, ktorý ústi do lievika), detského bazénu, ôsmych veľkokapacitných víriviek (asi pre 15-20 osôb), pričom každá vírivka je iná (morská soľ, eukalypt, atď.), niekoľko rôznorodých sáun vrátane ľadovej (-30 °C), soľná jaskyňa pre oddych, oddychový kútik, kde sa dajú hrať šachy, alebo čítať si, a moderne zariadená posilňovňa. Keďže je celý komplex bazénov vo vnútri hotela, je ho možné využívať v ktoromkoľvek počasí, či ročnom období. Nám napríklad pršalo väčšinu pobytu. Bonusom sú veľmi dobre vybavené šatne, kde máte k dispozícií aj veľmi dobré fény na vlasy, čo ocenia hlavne ľudia s dlhými vlasmi, prezliekárne a plne automatizovaný systém skriniek a turniketov pre vstup a odchod z parku. K dispozícií je aj moderné Spa, ktoré je však samostatne platené. Priestory sú moderné a personál šikovný, ceny nižšie ako u nás v kaderníctve, no celo-telová masáž spolu so zábalom stojí viac ako deň pobytu v hoteli.

V cene hotela je aj polpenzia v podobe raňajok (od 07:00 – 11:00) a obeda (11:30 – 16:30), večeru si môžete dopriať v luxusnej reštaurácii, ktorá sa cenami približuje (ale nedobieha) reštauráciám v Bratislave. Jedlo je veľmi chutné, pekne vyzerá a je podávané formou švédskych stolov, kde si skutočne môže vybrať každý. K dispozícii sú dva bary, lobby kde si môžete v pokoji posedieť, bezplatné WiFi (vďaka bohu nie na izbách), veľká diskotéková miestnosť, herňa s množstvom hracích automatov, bowlingom, biliardom, či vzdušným hokejom. Na diskotéke sa môžete blázniť až do rána každý deň. Ak máte radi pokoj ako ja, je dobré požiadať o ubytovanie na vyššom poschodí v zadnej časti, inak budete mať diskotéku aj v izbe (duní to niekoľko poschodí, pretože diskotéka je umiestnená v “pivnici” pod veľkou časťou hotela).

Viac vám prezradia samotné fotografie, ktoré sme nafotili.
Wisla

Hotel Golebiewski

Hotel je vhodný aj pre rodiny s malými deťmi (tých tam bolo požehnane, resp. veľkú skladbu hostí tvorili tehotné, čerstvé mamičky a rodiny s deťmi). Pre tie je v bazéne pripravený plavecký kurz každé ráno od 9. a k dispozícií rozsiahli detský kútik, ktorý je plne vybavený pre detské radovánky a kde idú non-stop rozprávky (v poľštine).

Dôvodov, prečo sme si hotel zamilovali je skutočne veľa, no jeden zásadný, ktorý je veľmi dôležitý pre väčšinu dovolenkárov, je samozrejme cena. Pre jednu osobu vychádza pobyt vrátane stravy a bezplatného prístupu do vodného parku asi 50 euro za noc. Táto suma záleží od mnohých vecí, pričom cenník uvádza cca. 80 euro. K tejto sume sa však zakaždým napočíta priehrštie zliav, ktoré výslednú cenu dokážu rapídne stiahnuť. Samozrejmosťou je ubytovanie detí do 4 rokov zdarma spolu s rodičmi, veľké zľavy pre deti do 15 rokov, skupinové zľavy, atď. Hotel disponuje niekoľkými veľkými kongresovými sálami vhodnými pre biznis stretnutie (aktívne sa tu stretávajú napríklad zástupcovia spoločnosti Avon). Pre bližší výpočet ceny je lepšie kontaktovať recepciu hotela, kde vám vypočítajú presnú sumu, ktorá je závislá aj na dĺžke pobytu.

Čo sa týka samotného personálu, ten bol vždy úctivý, milý a vždy veľmi ochotný. S angličtinou či nemčinou tu moc nepochodíte, za to slovenčina alebo čeština tu funguje dokonale. Síce dostanete odpoveď v poľštine, ale na moje prekvapenie sme rozumeli na 90% a nemali sme väčšie problémy.

Aj napriek tomu, že návšteva Wisly nemusí byť pre každého splnením svojho sna, verím že bude veľmi príjemným oddychom pre vás a možno aj vašu rodinu. My sme si našu prvú, no určite nie poslednú návštevu dokonale užili a zaručene sa tam vrátime ešte tento rok. Ja osobne by som rád vyskúšal zjazdovky, ktoré majú niekoľko kilometrov, pričom celodenný lístok sa pohybuje v cenách 10 zjazdov u nás.

Zaujímavosti

Golebiewski je v skutočnosti sieť hotelov, ktorú založil Tadeusz Gołębiewski, majiteľ asi najznámejšej cukrovinkárskej spoločnosti v Poľsku, Tago. Každý hotel je v skutočnosti nazvaný po ňom a treba ich rozlišovať len podľa lokality. Najluxusnejším a najlepším hotelom z tejto trojice je hotel v Mikolajkách. K dispozícií je 18 jamkové golfové ihrisko, kone, vodné športy, člny, lode, horko-vzdušné balóny, obrovský aqua park, kasíno a mnoho iného. Nevýhodou hotela je, že je asi 900 km vzdialený od Bratislavy, čo predstavuje relatívne zdĺhavú cestu. Jediný rýchlejší spôsob dopravy je letecky do Varšavy a potom vrtuľníkom do hotela, no to je len pre tých, čo nevedia čo s peniazmi. K dispozícií je aj tretí hotel, Bialystok, kde som však ani ja, ani nik blízky nebol, takže viac o ňom povedať neviem.

Nielsenová úvaha nezasahuje do použiteľnosti a bezpečnosti samotnej ochrany. Nielsen v článku kritizuje tzv. hviezdičkovanie hesla, ktoré podľa jeho slov “nezvyšuje úroveň bezpečnosti, zato vás stojí biznis vďaka chybám pri prihlásení”. Skôr ako sa pustíte do zvyšku tohoto článku si prosím prečítajte Nielsenov článok, nebudem sa moc vracať k jeho úvahám.

Názor

Je mi jasné, že mnohým čitateľom sa už pri nadpise zakrvavil pohľad a teraz všetko čítajú cez tento filter. Skúste však na chvíľku odložiť emócie. Nielsen má v jednej veci pravdu. Hviezdičkovanie hesla prináša problémy aj tým, ktorí sú schopní písať na klávesnici bez toho, aby sa na ňu museli pozerať. Táto technická zručnosť vyžaduje dokonalú memorizáciu všetkých kláves klávesnice, čo trvá nejaký ten čas (a tisícky hodín napísaných textov). Drvivá väčšina bežných užívateľov túto zručnosť nemá. Mnohí teda píšu heslo na niekoľkokrát (empiricky overené), alebo ho napíšu niekam inam a potom prekopírujú do políčka pre heslo. Niektoré weby však toto neumožňujú (JavaScript) a tak sa užívateľ trápi. Tieto problémy sa stávajú zriedkavejšími s narastajúcou zručnosťou užívateľa v písaní na klávesnici, nezmiznú však úplne. Občas sa aj majster tesár utne. Určite ste sami už žiadali o zresetovanie hesla z dôvodu, že ste ho nevedeli a ak web poslal aktuálne heslo (čo fakt niektoré robia), tak ste boli prekvapení, že ste mali chybu v písmenku, či dvoch.

Pre

Nielsen navrhuje, aby políčka pre heslo boli nahrádzané bežným políčkom, do akého vypisujete prihlasovacie meno. Tento krok podporuje tvrdením, že hviezdičkovanie vzniklo ako ochrana pred zlodejom, ktorý vám pozerá cez rameno. Nielsen tvrdí, že ak by zlodej chcel, môže vám jednoducho pozerať na prsty.

Na toto vyhlásenie zareagovalo mnoho ľudí, pričom najčastejšie tvrdili, že “heslo píšem tak rýchlo, že by som ho ani sám nedokázal odsledovať”. Bohužiaľ, Nielsen nijak nerozviedol svoje argumenty a tak to skúsim ja. Michal Zalewski, odborník na bezpečnosť, ktorého si veľmi vážim (dnes zamestnanec Googlu), napísal pred niekoľkými rokmi článok, ktorý nazval “Cracking safes with thermal imaging“. Michalov server odišiel do večných vôd Arpanetu a tak je odkaz už len na Google Cache, kde bohužiaľ nie sú obrázky, ktoré krásne ilustrovali tento útok. Pri útoku sa používa kamera, ktorá dokáže snímať termálne teplo, ktoré človek zanecháva pri stlačení jednotlivých kláves. Pri tejto forme útoku vám nepomôže ani rýchlosť, kamera bez problémov zaznamená každé stlačenie klávesy. Kameru je možné zakúpiť jednoducho a aj relatívne lacno napríklad aj tu. Ďalšou možnosťou je tento rok predstavená technika útoku, ktorá umožňuje snímanie kláves za pomoci laseru.

Proti

Som si vedomý, že nie každý zlodej bude mať “po ruke” takéto zariadenie. Faktom je, že odhviezdičkovanie hesla by prinieslo niekoľko situácií, ktoré by mohli ohroziť užívateľovu bezpečnosť. Napríklad bezpečnostné kamery. Je síce pravda, že väčšina týchto kamier má katastrofálny obraz, ale niektoré dokážu zo seba vymačkať už slušnú kvalitu.
Ďalšia problematická situácia môže byť, ak sa za vás niekto postaví, alebo prezentujete a potrebujete živú ukážku v ktorej sa budete prihlasovať, alebo vám zazvoní súrne telefón v polovici hesla a vy budete musieť opustiť počítať (heslá bývajú väčšinou logické slová [málokto má doma psa xf32Zsa7] takže ich nie je problém dokončiť).
Ďalším problémom môže byť malware, ktorý robí screenshoty pri písaní (zameriava sa na bankové weby, ktoré prišli s virtuálnou klávesnicou, pričom malware neustále sníma obraz pri každom kliknutí, či stlačení písmenka).
V neposlednom rade môže spôsobiť problém aj cache (pamäť) prehliadačov, ktoré si pamätajú texty zadávané do formulárov. S tým je samozrejme spojené aj predvyplňovanie formulárov, ktoré je síce možné zakázať aj na strane serveru aj na strane užívateľa, no ruku na srdce. Koľkí to tak doma máte nastavené a koľkí to tak nastavajú na samotnom webe?
Každopádne sa predvyplňovanie formulárov dá vypnúť cez parameter AUTOCOMPLETE ako v tomto príklade.

<FORM AUTOCOMPLETE="off">
<input type=text AUTOCOMPLETE="off">

Zmeny a možnosti

Na oboch stranách existujú argumenty, ktoré potvrdzujú a aj vyvracajú tento návrh. Preto je podľa mňa potrebné hľadať kompromis. Nielsen ho vidí v poskytnutí checkboxu (zaškrtávací štvorček), ktorý by za pomoci JavaScriptu zmenil typ políčka a tým ho za/odhviezdičkoval. Štandardne by však podľa Nielsena malo byť políčko bez hviezdičiek a na požiadanie by si ho užívateľ zahviezdičkoval, i keď pripúšťa prípady, kedy by mohlo byť políčko zahviezdičkované už od začiatku, ako napríklad prihlasovací formulár do banky.

Ja si nemyslím, že by však užívatelia boli veľmi schopní posúdiť prípadne riziko. Dnes je veľmi veľa portálov previazaných a tak strata hesla k jednému môže viesť k problémom u ďalších. Netreba zabúdať aj na to, že množstvo užívateľov používa rovnaké heslá, často len jedno či dve pre celý internet. Vtedy môže byť strata hesla veľmi kritická, i keď ste oň prišli na relatívne nepodstatnom webe.

Úplne vylúčenie hviezdičkovania podľa mňa reálne nie je. Príkladom môže byť PIN kód v bankomate, alebo dôležitosťou podobné údaje, ktoré by si asi nik neželal zobrazovať v čitateľnej forme. Ak niekto chce, môže si heslo odhviezdičkovať za pomoci rôznych nástrojov či doplnkov a to nielen pre prehliadač, ale aj pre samotný systém. Pre prehliadač Firefox môžete využiť rozšírenie Unhide Passwords, ktoré vám umožní zobraziť zahviezdičkované heslo. Ostatne, sám som kedysi písal na túto tému článok.

Ja vidím riešenie v zobrazovaní posledného napísaného písmenka po dobu napríklad 1s. Aj mne by sa občas takáto vymoženosť hodila. Princíp je jednoduchý. Pri písaní vidíte vždy posledné písmenko po dobu 1s, potom sa zmení na hviezdičku. Ak sa nemýlim, tento princíp je aplikovaný v iPhonoch. Podľa mňa je to jedno z najlepších riešení, ktoré je možné aplikovať na túto formu autentifikácie užívateľa.

Príklad:
a
*s
**c
***d
****g
*****

Ak vás nebaví stále vypĺňať formuláre ručne, je možné používať rôzne automatizované riešenia, ako napríklad KeePass, PassPack, alebo môj obľúbený, ale bohužiaľ platený, Roboform. Tieto nástroje vám umožnia rýchlo a jednoducho spravovať tisícky hesiel pre rôzne weby, čím nielen odstránia potrebu používať jedno, či dve heslá pre jeden web, ale zároveň vám umožnia používať veľmi komplikované, predgenerované heslá, ktoré si ani sami nezapamätáte (a ani nemusíte). Tie môžete ukladať online a využívať ich kdekoľvek sa nachádzate. Aj tu sú samozrejme riziká, ktoré si je potrebné uvedomiť, ale o tých zase inokedy.

Záver

Doteraz som sa držal len prvej časti Nielsenovho článku, ktorý sa týkal hviezdičkovania hesla. V druhej časti kritizoval používanie RESET tlačítka, ktoré podľa neho dnes už nemá (a malo vôbec niekedy?) opodstatnenie. Ja s ním musím len súhlasiť. Občas sa mi v niektorých formulároch, ktoré obsahujú toto nechutné tlačítko stane, že namiesto odoslať stlačím RESET. Väčšinou za to môže zle poradie tlačítok, kedy RESET reaguje ako prvý na akciu vyvolanú stlačením klávesy ENTER. To u mňa vždy vyvolá riadnu zúrivosť a preto som si napísal skript pre Greasemonkey, ktorý tlačítko RESET vždy z webu odstráni.

A na úplný záver. Samotný Bruce Schneier súhlasí s Nielsenom. Pod jeho článkom nájdete momentálne 133 komentárov, kde sa dajú nájsť aj zaujímavé názory (ale musíte sa najskôr obrniť proti fakt hlúpym komentárom).