Hakin9 - 05/2005

V prílohe Hakin9 nájdeme prirodzene CD s obsahom kvalitného, rovnako prevažne na tému bezpečnosti zameraného softvéru. Podrobnejšie informácie nájdeme na jednej z prvých strán magazínu. CD sa používa sa ako Live- distribúcia. Jeho ťahákom je podľa redakcie Safeboot. Zaujímavé sú tiež napríklad ike-scan, skener VPN siete, najznámejšie multimediálne aplikácie: XMMS, MPlayer, viac nástrojov na poútokovú analýzu (Autopsy a spol.), no veľmi zaujímavým programom je nepochybne aj Enlightenment DR 0.17, teda vývojová verzia tohto čoraz populárnejšieho grafického prostredia. Celok dopĺňajú rôzne druhy dokumentácie. Od viacerých zaujímavých tutoriálov (pričom sa predpokladá spustenie CD ako distribúcia hakin9.live), cez nepublikované články až po materiály vo formáte PDF. Tutoriály určite stoja za bližšiu pozornosť. Prevedú nás krok za krokom názornou ukážkou danej problematiky, napríklad aj jedným z typov Pharmingových útokov.

Po typickej časti zo sveta správ súvisiacich s tematikou časopisu, nasleduje predstavenie dvoch šikovných nástrojov: PortSentry, nástroj ktorý slúži na zabránenie skenovania nášho systému a zablokovanie IP adresy počítača, z ktorého sken prebieha.

Tor je pre zmenu nástroj, ktorý umožňuje aplikáciám využívajúcim SOCKS4 nadväzovať anonymné pripojenie. Pri oboch nástrojoch nájdeme postup inštalácie na rôzne OS i návod na ich základné využitie.

V úvode sme spomínali, že témou čísla je Pharming, momentálne dosť aktuálna téma, prejavujúca v plnom svetle slabosti DNS. Mariusz Tomaszevski túto tému opísal veľmi dôkladne v rovnomennej časti magazínu. Na úvod samozrejme nahliadneme do jeho histórie, ktorá (možno neuveríte) začala pred 10 rokmi prvými phishingovými útokmi. A rozvíja sa do súčasnosti, kde momentálne poznáme tri hlavné typy útokov DNS cache poisoning. Všetky sú autorom opísané do najmenších podrobností. Nezabudol ani na také podrobnosti, ako je pravdepodobnosť úspešného útoku, zaujímavé skripty na ich vytvorenie; a napokon diagramy a obrázky dokresľujúce preberanú tematiku. A to tak, aby bola zrozumiteľná nielen profesionálom v tejto oblasti. V článku nájdeme možné spôsoby ochrany pred týmto typom útoku pre všetky dotknuté skupiny užívateľov prichádzajúcich do styku s DNS. Určite bude zaujímavá aj krátka charakteristika najpoužívanejších DNS serverov, ich slabín a výhod. Rovnako aj ich budúcnosti, kde autor predpokladá nástup DNSSEC protokolu. Tento článok sa mi naozaj veľmi páčil:-)

Telefonovanie cez internet, presnejšie VoIP, je zaujímavý a moderný prostriedok komunikácie. A keby nebolo protokolov SIP a RTP, bol by pravdepodobne aj relatívne bezpečný. Lenže nie je... Prečo to tak je, kde je problém, ako prebiehajú útoky, spôsoby znepríjemňovania života pomocou telefonického "spamu" a veľmi veľa ďalšieho sa dozvieme v sekcii "novinky", konkrétne v článku "Bezpečnost VoIP- protokoly SIP a RTP" od T. Glemsera a R. Lorenza. Rovnako pekný článok. Len škoda, že s takým pesimistickým koncom...

V sekcii "Praxe" nájdeme opäť zaujímavý návod na to, ako si vytvoriť "Elektronický podpis bez poplatků". Pekne a dôkladne spracovaná tematika, tentoraz od Andrzeja Soińskeho. Vyzerá to jednoducho a efektne, nie je to však plnohodnotný kvalifikovaný certifikát. Za ten si stále budeme musieť zaplatiť. No je možné, že našim "neoficiálnym" potrebám celkom postačí aj tento. V tomto článku nájdeme nielen presný návod na vytvorenie certifikátu, ale aj vysvetlenie rôznych súvisiacich pojmov, princípy šifrovania jeho pomocou, vplyv ľudského faktora a na záver moderné využitie certifikátov pomocou Gmailu.

V sekcii "Techniky" nájdeme pre zmenu techniky, ktorými sa dá dokázať, že Java VM nie je taká bezpečná ako by sa nám, nezasväteným, mohlo zdať. Teda aspoň Tomasz Rybicki ma o tom vo svojom článku o tom presvedčil. Presvedčí aj vás?

V rovnakej sekcii nájdeme aj popis niekoľkých účinných spôsobov útokov na syntax dopytu SQL, na logiku SQL, iné triky SQL injection, no samozrejme aj spôsoby obrany. A tie sa, paradoxne, autorovi (Mike Shema), zmestili do necelých dvoch stĺpcov. Žeby to naozaj bolo také jednoduché?

Do sekcie "Programování" vstúpime rovno štýlom stále rozšíreného skriptovania v shelle. Autor, Michal Piotrowski, ukazuje, ako sa dá obyčajný skriptík upraviť a zmenšiť pomocou assamblera. Celý článok je samozrejme doplnený príslušnými kódmi. Takéto informácie sú naozaj plné inšpirácie...

Nadväzujúc na hlavnú tému magazínu, sa v sekcii "Rozhovor" Roman Polesek pýta Dana J. Bernsteina na jeho názory na problémy s DNS, DNSSEC a dotknú sa samozrejme dbjns. No nie len to. Dozvieme sa tiež, akým štýlom sa uberá vývoj softvéru pod jeho patronátom, o jeho názoroch o vplyve GPL na bezpečnosť programov a mnoho iného.

Na záver si redakcia nechala fejtón, ktorý by sa však podľa mňa mal nazývať skôr úvahou.

Časopis je vytlačený kvalitne, no všimol som si niekoľko stôp po "tlačiarenských škriatkoch". A cena ... No, škoda sa opakovať, je dosť vysoká (359 Sk). Na druhej strane, informačná hodnota, ale aj praktický význam na CD prítomných (napríklad) tutoriálov je minimálne rovnako vysoká. Ale ak má človek IT bezpečnosť v popise práce, je ešte oveľa vyššia.