ברוכים הבאים לגיליון מאי. אחרי הפסקה של חודש - אנחנו שמחים להגיש לכם את הגיליון ה-41 של Digital Whisper!
כאמור, גיליון 41 מגיע באיחור של חודש, כי אין מה לעשות, גם לנו יש חיים :) (כן, אה…) וכמו לכולם, גם לנו בתקופת החגים יש תוכניות אישיות. אז מי שציפה להתנצלות - שיישכח מזה ;)
אז מה הפעם? אחרי שמדינת ישראל, הממשלה, הבנקים, ספקיות האינטרנט ובעלי אתרי האינטרנט הישראלים הצליחו לשרוד את “אחת ממתקפות הסייבר המתוחכמות ביותר כנגד מדינת ישראל” (יש לי כל כך הרבה מילים להגיד את כל מילה במשפט הדבילי הזה) שבוצעה על ידי אנונימוס אפשר להמשיך לנשום ולחזור לשגרה הקיברנטית הישראלית…
ובנוסף, רצינו לאחל לניר מזל טוב, החודש הוא חגג יום-הולדת: אז ניר, תשאר גב-גבר בדיוק כמו שאתה, ושתזכה ללפחות עוד 120 שנים של אוכל וארוחות! יום הולדת שמח! :)
הגיליון, הפעם, כולל שישה מאמרים בנושאים מעניינים ביותר, וכמובן, לפני שנציג את התוכן, נרצה להגיד תודה לכל החבר’ה היקרים שהשקיעו מזמנם וכתבו לנו מאמרים ובזכותם הגיליון ה-41 פורסם:
תודה רבה לשחר גייגר מאור! תודה רבה ליובל סיני! תודה רבה לדודו ברודה! תודה רבה למשה פרבר ותודה רבה לרועי חי! בנוסף, תודה רבה לשילה שילה ספרה מלר ולאריק יונאי על העזרה בעריכת המאמרים!
החודש, הגליון כולל את המאמרים הבאים:
UPnP - דברים שאתה מציע חינם לתוקפים אותך ולעולם לא תדע - (נכתב ע”י אפיק קסטיאל / cp77fk4r):
במהלך השנים האחרונות, עולם ה-Networking הביתי התפתח מאוד. אם פעם, ציוד התקשורת היחידי שהיה ניתן למצוא בבתים פרטיים היה המודם, כיום ניתן למצוא כמעט בכל בית לפחות Router אחד, רכיב Wireless אחד, וכבר לא נדיר כל כך למצוא רכיבי Media Center, רכיבי Streaming, התקני Bluetooth ועוד. אך עם זאת, רב המשתמשים היום הם אינם טכנולוגים ובדיוק לשם כך נכתב פרוטוקול ה-UPnP .UPnP הינו פרוטוקול אוניברסלי, שנועד לאפשר לרכיבי רשת שונים להתממשק אחד לשני מבלי הצורך במגע אדם. הרעיון הוא שאם יש לי נתב שתומך ב-UPnP ותוכנה הפועלת בארכיטקטורת Peer 2 Peer הדורשת פורט ממופה על הנתב - היא תדע לעשות זאת באופן השקוף למשתמש. נשמע יעיל לא? בהחלט, אך עם כל היעילות שבדבר, הפרוטוקול הנ”ל מהווה חוליה חלשה מאוד בכל הנוגע לאבטחת הרשת אליה הוא מחובר, ועל מנת להבין לעומק את חומרת הבעיה, נסקור במהלך המאמר הנ”ל את עולם ה-UPnP. נבצע זאת דווקא מהצד של הגורמים המזיקים - אלו שמעוניינים לפגוע בנו, נראה כיצד ניתן לאתר רכיבי UPnP בתוך הרשת, כיצד ניתן לגלות אילו ממשקים הם מייצרים, ומה ניתן לעשות על מנת לחבל רשת באמצעותם.
תקני אבטחת מידע במחשוב ענן - (נכתב ע”י שחר גייגר מאור):
מחשוב ענן הוגדר בשנת 2009 באופן הבא: “סוג של מחשוב, שבו טכנולוגיית מידע בעלת יכולת גידול וגמישות, ניתנת כשירות לפי דרישה להרבה לקוחות על בסיס תשתית האינטרנט”, ציטוט זה מסתיר מאחוריו את אחד הקשיים הגדולים שאיתם מתמודדים אנשי מקצוע: העדר הגדרה רשמית ומדויקת למחשוב ענן. במאמר זה מציג שחר את עולם הענן וההזדמנויות שהוא נותן, ובנוסף גם את האיומים שבאים בעקבותיו. בנוסף, שחר את מרחיב ומציג את תקני אבטחת המידע הקשורים לטכנולוגיות ענן, גופים והסמכות שתפקידם נועד לעזור לגופים השונים להתמודד עם העדר ההגדרה בנושא.
שיטות אימות מתקדמות - (נכתב ע”י יובל סיני):
ארגונים רבים משתמשים כיום בשיטות אימות קונבנציונליות, אשר מסתמכות בין השאר על שימוש בשם משתמש וסיסמה, ולעיתים בטכנולוגית סיסמה חד פעמית (OTP - One Time Password). לצד החסרונות הרבים אשר קיימים בעת שימוש בשיטות אימות קונבנציונליות, ניתן למנות עוד מספר חסמים עיקריים אשר מנעו עד כה מארגונים רבים להטמיע שיטות אימות מתקדמות, חסמים כגון העדר מתודולוגיה, בעיות תאימות ועוד. במאמר הבא, מציג יובל מספק סקירה כללית של שיטות אימות מתקדמות אשר זמינות כיום לארגונים, תוך הצגת החסמים אשר עכבו את מימוש שיטות האימות המתקדמות בארגונים. כמו כן, המאמר מציג מספר שיטות אימות הנחשבות בעיני רבים כמתקדמות וכמאובטחות, למרות שבפועל אין כך הדבר.
הדרך הארוכה להסמכת CISSP - (נכתב ע”י דודו ברודה):
המאמר הבא הינו מקבץ של פוסטים אשר פורסמו במגרת הבלוג של דודו. פוסטים אלו נכתבו לאחר שדודו עבר בהצלחה את הסמכת ה-CISSP ומטרתם הם לספק סקירה כללית על תהליך קבלת ההסמכה ודרכי הכנה למבחן, בעיקר במידה ומחליטים להתכונן לבד (ללא קורס הכנה). במסגרת המאמר מציג דודו את הסמכת ה-CISSP, מסביר למי היא מתאימה ולמה היא משמשת, מציג את דרכי ושיטות הלימוד בהם הוא נקט, עקרונות ומקורות לימוד ומספר המלצות לגבי הבחינה עצמה.
על סוגיות מתקדמות בענן - (נכתב ע”י משה פרבר):
חברת אמזון עמדה בפני סוגיה עסקית וטכנולוגית באמצע העשור הראשון של שנות האלפיים: העסקים היו מאוד עונתיים וכך גם הדרישה למשאבי מחשוב. כך לדוגמה לקראת בהלת הקניות של חג המולד היה נדרש כוח מחשוב רב עוצמה, אך בשאר ימות השנה משאבי מחשוב אלה נותרו לא מנוצלים. האגדה מספרת כי הפתרון שיצרו אמזון לסוגיה זו יצרה פעילות המכניסה לאמזון, על פי ההערכות כמיליארד וחצי דולר בשנה. מהלך זה הפך אותה למובילת שוק התשתית כשירות (IaaS) וספקית של שירותי מחשוב למאות אלפי לקוחות. זו הייתה תחילת דרכו של מחשוב הענן בצורתו הנוכחית כפי שאנו מכירים היום. כמובן שענן היה קיים לפני אמזון וכנראה היה מתפתח גם בלעדיה, אבל לא צריך להרוס סיפור טוב, גם אם אף פעם לא קיבל אישור רשמי של בכירי אמזון. מטרתו של מאמר זה הינה לסקור את הסוגיות החדשניות כיום בנושא מחשוב הענן מכמה זוויות: סוגיות משפטיות, שאלות העוסקות בממשל ורגולציה, וכמובן אתגרים טכנולוגיים וכל זאת מבלי לגרוע מיכולתה של טכנולוגיית הענן לשנות את הדרך בה אנו צורכים את שירותי המחשוב שלנו.
Android DNS poisoning: Randomness gone bad - (נכתב ע”י רועי חי):
DNS הוא פרוטוקול שעובד בדרך כלל מעל UDP. אופן הפעולה של התוקף ב-Blind DNS poisoning הוא לאלץ name server או Resolver מסויים לשלוח בקשה, ולהחזיר תשובה זדונית כ-name server אליו הוא פונה, לפני שמגיעה התשובה המקורית. אחד ממנגנוני ההגנה בפרוטוקול ה-DNS הינו מזהה בקשה ייחודי (“nonce”) אותו התוקף חייב לשלוח עם הבקשה המזוייפת על מנת לעבור את הליך אימות הבקשה בשרת ה-DNS. גודלו של ה-nonce הינו 32 ביט, מספר שאינו ניתן לניחוש. במאמר זה מציג רועי חי חולשה שגילה במנגנוני ה-DNS של מערכת ההפעלה אנדרואיד 4.0.4 (ותוקנה על ידי גוגל, בעקבות פנייתנו של רועי, בגרסא 4.1.1) שבעזרתה ניתן לנחש ביתר קלות את המספר הנ”ל ובשל כך לבצע מתקפות שונות על בקשות ה-DNS של המכשיר.
קריאה מהנה!
ניר אדר ואפיק קסטיאל.