אפשר גם וגם

מיכאל האפרתי Michael Haephrati

לפני מספר חודשים נחשפה פעילות ה"האקר הסעודי" והיקפה, אשר התבטאה בין השאר בגנבת פרטי אזרחים ישראלים לרבות מספרי כרטיסי אשראי שלהם ומספרי תעודות זהות, וכן פרטי חשבונות מייל ואינטרנט שונים שהם מחזיקים (שם משתמש וסיסמה). פעילות ההאקר הסעודי וחבורתו לא נפסקה וניתן לקרוא עליה ולהתעדכן בבלוג הבא.

אחד הכשלים שנחשפים מהפרשה נוגע לעובדה שפרטי מידע רגישים כגון מספרי כרטיסי אשראי ותעודות זהות, נשמרים על ידי אתרים רבים, ויש בכך פירצה הקוראת לגנב.

ביום ראשון האחרון הודיע משרד המשפטים כי הוא בכוונתו לאסור על אתרי אינטרנט לאסוף מספרי זהות של משתמשים ללא הצדקה ממשית. משמעות הדבר היא שאתרים יעברו להשתמש במספר לקוח שהם ייצרו לכל לקוח ולקוח. מספר הלקוח ישמש כמזהה חד ערכי לכל אחד מלקוחות האתר באופן שיאפשר להבדיל בין לקוחות הנושאים, לדוגמה, את אותו שם, וכך משה כהן מתל אביב הנושא מספר לקוח X יזוהה כלקוח שונה ממשה כהן מתל אביב הנושא מספר…

View original post 428 מילים נוספות

מודעות פרסומת

איך סגרתי להאקר הסעודי את החשבון

ההאקר הסעודי שכינויו 0xOmar, התראיין מספר פעמים לכלי תקשורת ישראלים, על פי רוב, בדרך של החלפת שאלות ותשובות דרך כתובת המייל שמשמשת אותו: 0xOmar@mail.ru. כך למשל ראיון ב-Ynet, ראיון באתר Gawker ותרגום שלו פורסם ב- Rotter, או ראיון עם כתב The Marker , כולם נעשו דרך המייל.

אני מצטער להודיע שבפעם הבאה שכלי תקשורת כזה או אחר ירצה לקיים ראיון עם 0xOmar, (ומן הסתם בהיעדר אפשרות לקבוע עם הבחור בבית קפה…), הוא יגלה שכתובת המייל ששימשה את ההאקר להפצת ההודעות השונות ובכלל לקיום קשריו עם העולם החיצון, לרבות קיום ראיונות מסוג זה, אינה קיימת עוד.

הבוקר הבאתי לסגירתה.

ב-5.12 לא התעצלתי ושלחתי מכתב תלונה. שלחתי עותק למחלקת ה-PR של החברה וגם לכתובת abuse@mail.ru. בכל נושא של הטרדה, חשד לעבירה או לשימוש לא חוקי / תקין, ניתן וצריך לפנות לabuse@ של ספק השירות.

חברת mail.ru, אשר כתובתה :

Mail.Ru Inc.

5F, 47-2-2, Leningradsky prospect

Moscow, 125167,

RUSSIAN FEDERATION|

רשומה באיי הבתולה הבריטיים (איך לא?).  היא מתהדרת ב-1833 עובדים, 9000 שרתים, וכמעט 29 מיליון כניסות בחודש. מנכ"ל החברה, Matthew Hammond, ניתן להשגה בטלפון  00-971-4434-8422 (באיחוד האמירויות ?!), או במייל: ir@corp.mail.ru.

וכך כתבתי…

From: Michael Haephrati
Sent: Thursday, January 05, 2012 9:05 PM
To: 'pr@corp.mail.ru'
Cc: 'abuse@mail.ru'
Subject: 0xOmar

Dear Mail.ru,

A Saudi hacker, named 0xOmar, is using a "mail.ru" email address to conduct illegal activity, including stealing hundred thousand of credit card numbers from databases, taking advantage of security vulnerability in these web sites.

See: http://www.ynetnews.com/articles/0,7340,L-4171932,00.html

http://www.capitalfm.co.ke/news/2012/01/saudi-hacker-publishes-israeli-credit-card-details-online/

He is using the following mail box:

0xOmar@mail.ru

Please advise.

Thanks,

Michael Haephrati

Israel

 התגובה האוטומטית, לא איחרה לבוא… פתחו לי תלונה מספר:  Ticket#2012010521061577.

—–Original Message—–
From: Support Mail.ru [mailto:support@corp.mail.ru]
Sent: Thursday, January 05, 2012 9:08 PM
To: Michael
Subject: [Ticket#2012010521061577] 0xOmar

*** Это письмо сформировано автоматически, отвечать на него не нужно ***

Ваша заявка «0xOmar» получена.

Дата: 05.01.2012 23:08.

Ей присвоен номер 2012010521061577. Просьба при ответах не изменять тему письма и присвоенный заявке номер.

В ближайшее время мы свяжемся с Вами.

Обработка Вашей заявки может занять до 5 дней.

Спасибо за понимание.

——————————–

С уважением,

Cлужба поддержки почтовой системы Mail.ru

***This message was created automatically by mail-delivery software. Do not reply to this message.***

You request was received at 05.01.2012 23:08.  It was assigned the following ID: «0xOmar»

Please, do not change the subject and your request ID in your replies to this message.

It takes up to 5 days to process your request. We will contact you as soon as possible.

Thank you!

——————————–

Sincerely,

mail support service

Mail.ru

והבוקר הגיעה התשובה – החשבון נסגר!

הודעה על סגירת חשבון המייל של ההאקר הסעודי, בתגובה לפניית מיכאל האפרתי

הודעה על סגירת חשבון המייל של ההאקר הסעודי, בתגובה לפניית מיכאל האפרתי

לא הסתפקתי בכך ועשיתי מה שנקרא "וידוא הריגה". שלחתי מייל לידידינו עם הצעה לקיים ראיון…

מייל להאקר הסעודי - רק ליתר בטחון

עשיתי וידוא הריגה - רק ליתר בטחון...

ואכן החשבון לא קיים יותר…

התגובה - אין אפשרות להעביר מייל לחשבון זה

התגובה - אין אפשרות להעביר מייל לחשבון זה

לידיעת מי שמעוניין לפתוח חשבון מייל בMail.ru, זה דף הרישום. ברם למי שעשוי לחשוב (כמוני) שעכשיו, כשהכתובת התפנתה, למה לא לתפוס עליה בעלות, אענה שמאחר והחשבון נחסם, לא ניתן לפתוח כתובת מייל בשם זה. ניסיתי…

אם עומר לא יכול לקבל את הכתובת הזו, אף אחד לא יכול...

אם עומר לא יכול לקבל את הכתובת הזו, אף אחד לא יכול...

כפי שאתם רואים, הופיעה רשימה של שמות חליפיים.

אם בכל זאת ירצה עומר להמשיך להשתמש בשירותי המייל של הספק הרוסי Mail.ru, מן הסתם תופענה לו רשימת השמות שהופיע לי כשניסיתי, ואולי כדאי לשים עין על רשימה זו למקרה שהוא יבחר באחד השְמות בפעם הבאה שיעשה שָמות…

אני לא משלה את עצמי… בזמן שכתבתי מאמר זה הוא יכל להספיק לפתוח תיבה חדשה, ומן הסתם גם עשה זאת כשגילה שהמייל שלו חתום, ועם זאת, נקודת המוצא שלי הייתה אותם ראיונות שהוא העניק באמצעות המייל, לאחר שפרסם כתובת זו לצד הצהרותיו. אין זה דבר שבשגרה שכלי תקשורת מקיימים ראיון במדיום זה, משום שקשה לאמת את זהות המרואיין. מכאן שאם עכשיו יפתח כתובת חדשה,  יהיה לו קשה יותר לטעון שזה באמת הוא (כל אחד יכול לפתוח כתובת בשם 0xOmar@gmail.com וכד') ולקבל במה להפצת המסרים שלו ומידע כזה או אחר.

מיכאל האפרתי

haephrati@gmail.com

איך מתודת Two Factor Authenrication יכלה למנוע שימוש לא מורשה בכרטיסי אשראי

(פוסט זה נבחר ל"נבחרי השבוע 6.1.2012 בNewsGeek).

פרשת גניבת מספרי כרטיסי האשראי יצרה בהלה רבה והותירה רבים בתחושה של היעדר ביטחון בדבר שעד כה נחשב בטוח, והוא רכישה מקוונת בכרטיס אשראי.

חקירה מעמיקה יותר העלתה שהמחדל היה במספר אתרים אשר בניגוד לכל הכללים והנהלים, שמרו מספרי כרטיסי אשראי מלאים בצירוף פרטים מזהים נוספים באופן לא מוצפן ולא מאובטח. ההאקרים אינם ממש האקרים אלא עוברי אורח שעברו באתרים אלה. ראו אור ודלת פתוחה (בעוד שאיש אינו בבית), ופשוט נכנסו ולקחו. לא צריך מומחיות מיוחדת על מנת לעשות את מה שהם עשו.

הבעיתיות באופן הרכישה המקוונת כיום

על מנת להציע פתרון לבעיה, יש לתת את הדעת לאופן שבו מתבצעות רכישות באינטרנט. כיום, וברוב החנויות או האתרים, די בכרטיס אשראי תקף על פרטיו (מספר, תוקף ו-3 ספרות מאחור) על מנת לבצע רכישה. כאן טמונה הבעיה. נכון שלו נמנעו אותם אתרים מלהחזיק מספרי כרטיס אשראי של לקוחות, או דאגו להצפין אותם בהצפנה העומדת בתקן, לא ניתן היה להשיג את פרטיהם, ברם אם יתבצע מעבר לאימות מורכב יותר, לא תהיה כלל פירצה הקוראת לגנב.

מתודת Two Factor Authenticaiton

Two Factor Authentication – אימות באמצעות שני אופנים, הנו מושג באבטחת מידע שפירושו אימות אשר מתבצע על ידי שני אמצעים, האחד, פיסי (או בג'רגון המקצועי – Something you have), והשני, מידע (או something you know).

עכשיו, קחו מושג זה צעד קדימה ובהנחה שאופן ביצוע רכישות מקוונות ישתנה ויתבסס על צורת אימות זו, והנה ונגנב מספר כרטיס האשראי שלך, הרי שהמספר נופל תחת הקטגוריה – something you know, בעוד שהמרכיב הנוסף, שהנו פיסי, לא יהיה בידי ההאקר, ומכאן שלא יגרם כל נזק.

מתיאוריה לפרקטיקה

הפרקטיקה הנדרשת כאן יכולה להתממש בדרך כל אביזר שכל בעל כרטיס יקבל. האביזר יציג מספר אקראי אשר יאומת על ידי אתר הרכישה כאותנטי, וללא הקלדת מספר זה (המשתנה בכל לחיצה על כפתור ההפעלה של האביזר) לא ניתן יהיה לבצע רכישה. למרות שחברות אשראי, במיוחד ביפן, נותנות לכל לקוח אביזר כזה, והשימוש בשיטה זו הפך שם לסטנדרט, יש שיטות נוספות ליישום המתודה. למשל, קבלת מסרון ובו מספר בן 4 ספרות, שונה בכל פעם. מאחורי שיטה זו עומד הרעיון שמספר הכרטיס הוא המידע שידוע (something you know), בעוד שמכשיר הטלפון והימצאותו ברשות המשתמש הנו (something you have).

כיוונים נוספים

ניתן לפתח שיטות נוספות על בסיס השילוב בין פרטי כרטיס לכתובת IP או מידע חד ערכי המשוייך למחשב נייד או טלפון נייד, ברמה של MAC Address או HardwareID המיוצר באופן אחר, ועל ידי כך להבטיח הגנה מקסימלית נגד שימוש לא מורשה בכרטיס אשראי.