Információbiztonság a másik oldalról: hackerek Magyarországon (egy szubjektív előadás…)

1. Információbiztonság a másik oldalról: hackerek Magyarországon (egy szubjektív előadás…) Krasznay Csaba kancellár.hu Kft.

2. Kik a hackerek? • Erre a kérdésre csak elvileg egyszerű válaszolni. • A netes világban egyértelműen pozitív megítélésű „csibészek”, a média és hatóságok szemében negatív megítélésű „kiberterroristák”. • Saját szavaimmal: • Olyan szabályokat, határokat el nem fogadó, • jó programozási tudással rendelkező, • tinédzser vagy fiatal felnőtt, • aki jobbító szándékkal vagy a saját maga és társai szórakoztatására • informatikai rendszerekbe hatol be. • Jómagam is csibésznek tartom őket, és élesen elkülöníteném az ilyen fiatalokat a crackerektől, ipari kémektől, stb., akik folyamatosan komoly veszélyt jelentenek az internetezők millióira.

3. A hacker etika • A számítógépekhez való hozzáférésnek – és bárminek, ami megtaníthat valamit arról, hogy a világ hogyan működik – korlátlannak és totálisnak kellene lennie. • Minden információnak hozzáférhetőnek kellene lennie. • Ne bízz a hatóságban – támogasd a decentralizációt! • A hackereket az általuk elkövetett tettek alapján kellene megítélni, nem pedig iskolai végzettség, kor, faj, vagy pozíció alapján. • Művészetet és szépséget kreálhatsz a számítógépeden. • A számítógépek jobbá tehetik az életedet.

4. Hackerek a médiában • Az informatikai bűnözés, a hackerek világának ábrázolása nagyon gyakori hírekben és fikciós világban is. • A hírfogyasztók számára ez még mindig egy eléggé misztikus világ. • Jelentősebb filmek: • Háborús játékok  • Adatrablók  • A rendszer ellensége  • Komputerkémek  • Die Hard 4.0  • Bízd a hackerre!  • Mátrix  • Kardhal  • A hálózat csapdájában 

5. Hackerek (?) a nagyvilágban • A legkomolyabb hacker csoportok Oroszországban, Kínában és Romániában vannak. Ők többnyire a rossz oldalon állnak, rengeteg pusztító támadást intéznek állami és magán rendszerek ellen. • Természetesen az USA-ban is tovább él a kultusz, de mióta „terroristaként” kezelik őket, tevékenységük visszaszorult. • Egyre kevésbé jellemző, hogy hírnévért tör fel valaki egy rendszert. • Előtérbe került az anyagi motiváció, sokan élnek meg abból, hogy tudásukat ipari kémkedésre, vagy botnetek üzemeltetésére használják. • Külföldön komoly csábításnak vannak kitéve azok a fiatalok, akikből jó hacker lehetne, mert könnyen bekerülhetnek a szervezett informatikai bűnözésbe!!! • Példa erre Kevin Mitnick: A legendás hacker 2. című könyvének 2. fejezete, melynek címe: Amikor terroristának hívnak…

6. Pénz vagy dicsőség? • Nem feltétlenül igaz már az a régi út sem, hogy a kiöregedett hacker alapít egy saját tanácsadó céget, és abból szépen eléldegél. • A mai világban a hacker előtt három út áll: • Megfásult programozó lesz, akiben forr az elégedetlenség, • Belekerül a szervezett alvilágba, ahonnan nem nagyon van kitörés. • Biztonsági tanácsadó lesz, ami viszont a legtöbb (magyar) hackernek nem adatik meg lehetőség és tudás hiányában. • Mindenkinek a harmadik megoldás lenne a legjobb, ehhez viszont sokkal komolyabb közösségek kellenének.

7. Hackerek a szociológus szemével • Magyarországon eddig egyetlen alapos tanulmány készült a hackerek világáról. • Flammich Mariann „Hackerek” című tanulmánya 2002-ben jelent meg a Médiakutató című újságban. • Annak ellenére, hogy a szerző nem él benne ebben a szubkultúrában, nagyon érdekes és hiánypótló ez a mű. • http://www.mediakutato.hu/cikk/2002_03_osz/01_hackerek/01.html • További kötelező olvasmány Steven Levy: Hackers című alapműve.

8. Hackerek a szociológus szemével • A szerző akkori kutatása szerint a magyar hackerek általában • 15-24 év közöttiek; • Középiskolások, főiskolások, egyetemisták; • Értelmiségi szülők gyermekei; • Többnyire Budapesten laknak. • Az „igazi” hackerek számát 10-20-ra teszi, a téma iránt érdeklődők száma 200 körüli lehet.

9. A magyar hacker szubkultúra • Flammich Mariann becslése nagyjából helytálló. • Jelenleg nem lehet magyar hacker társadalomról beszélni, hiszen nagyon kevesen foglalkoznak életvitelszerűen hackeléssel. • A fő gond az, hogy a társaság kevéssé szervezett. • Vannak, akikről nem is tudunk, ők feltehetőleg külföldi klubokba tartoznak. • Van egy elit klub, akik már Flammich kutatása idején is ezt a csoportot alkották, de ők már 5 évvel idősebbek. • Gyakorlatilag nincs utánpótlás, aki érdeklődne a téma iránt, nem találhat olyan fórumot, ahol bekerülhetne ebbe a szubkultúrába. • A tehetséges fiatalok nagyon könnyen elkallódnak. • Vagy feladják a próbálkozást, vagy rossz kezekbe kerülnek. • Amennyiben igaz, hogy rablóból lesz a legjobb pandúr, komoly bajban vagyunk…

10. A Hacktivity konferencia tapasztalatai • Magyarországon jelenleg egyetlen olyan rendezvény van, ahol a hacker szubkultúra iránt érdeklődők szabadon találkozhatnak. • 2007-ben negyedszer rendezték meg a Hacktivity konferenciát. • Kb. 300 érdeklődőt vonzott az esemény, akik között vegyesen voltak hackerek és főállású biztonsági szakemberek. • Az látszik, hogy mindkét csoport érdeklődik a másik iránt, de gyakorlatilag nincs átjárás közöttük. • A Hacktivity szervezői nagyon fontosnak tartják egy olyan fórum létrehozását, ahol a hasonló érdeklődésű emberek megismerhetik egymást.

11. Biztonsági oktatás a magyar felsőoktatásban • Interjú az origo.hu-n Dr. Kovács Lászlóval: • „Két éve a Rendőrtiszti Főiskolán végeztem. Szó sem esett ilyesmiről 3 év alatt! Felső körökben nem tervezik, hogy ezt a témát alapképzés keretében oktassák?” • Sajnos az információbiztonsági oktatás ott is rengeteget veszített a megszerzett pozícióiból, ahol érdemben foglalkoztak vele. • Az országban két helyen van külön szakirány az információbiztonságnak, máshol jó, ha egy félévet szánnak ennek a témának.

12. Budapesti Műszaki és Gazdaságtudományi Egyetem • Eddig: • 7. félév: • Számítógépes biztonságtechnológia • Hálózatbiztonsági protokollok • Számítógépek és hálózatok biztonsága laboratórium • 8. félév: • Hibatűrő hálózati architektúrák és modellezésük • Infokommunikációs szolgáltatások biztonsága • Szolgáltatások biztonsága laboratórium • 9. félév: • A biztonságos elektronikus kereskedelem alapjai • Elektronikus kereskedelem biztonsága laboratórium

13. Budapesti Műszaki és Gazdaságtudományi Egyetem • Ezután: • Médiainformatika és –biztonság szakirány: Kiszolgálója: HIT, TMIT. • Tantárgyak: • Médiatechnológiák (HIT) • Tartalomkezelési technológiák (TMIT) • Információbiztonság (HIT és TMIT felváltva) • Ágazatok: • Médiainformatika (TMIT), Korábban: Médiainformatika szakirány • Médiatechnológiák (HIT), Korábban: Infokommunikációs rendszerek biztonsága szakirány • Koordinátor: TMIT

14. Budapesti Műszaki Főiskola

15. Gábor Dénes Főiskola • „A Noreg Kft. és a Gábor Dénes Főiskola együttműködési megállapodást kötött, így az ez évben indult BSc (Bachelor of Science) képzés keretében, a mérnök informatikus szakon az "Informatikai rendszerek biztonsága és üzemeltetése" sáv 2008/2009-es tanévvel kezdődő beindítását a Noreg Kft., az információbiztonsági technológiák egyik hazai szakértője támogatja. Az együttműködés révén az elméleti képzésen túl a diákok gyakorlati lehetőséghez is juthatnak, részt vehetnek kutatás-fejlesztés projektekben és a Noreg Kft. gyakorlati lehetőséget is biztosít a hallgatók részére.” • További információkért forduljanak Muha Lajoshoz!

16. Eötvös Loránd Tudományegyetem • Korábban: Kincses Zoli security specije • Jelenleg: Kovács Attila tárgya, a kancellár.hu Kft. támogatásával. • Jövőre: talán egy posztgraduális képzés? • Egyébként sehol semmi… • Tanulság: lehet, hogy csak én tartom kiemelten fontosnak a területet, az egyetemek vezetése nem? • Szóljon mellettem az IVSZ egyik feladata: ICT biztonsági és inf. hadviselés oktatás / képzés feltérképezése, ajánlások kidolgozása, Hirsch Gábor (+ Tarján Gábor + Sík Zoltán) • Nem fog sokáig tartani ez a feladatuk… • Egyébként az FP7 ICT programján belül a Challenge 1 címe Pervasive and trusted network and service infrastructures…

17. Jó az, ha minél több hackerünk van? • A válaszom határozottan: IGEN! • Az informatikai rendszerek a hétköznapjaink részévé váltak. • Minden fontos információ megszerezhető a vállalati vagy állami információs rendszerekből, amiket ezért folyamatosan támadnak, és támadni is fognak. • Szakemberek kellenek, akik tudják, hogyan lehet megvédeni a rendszereket. • Hiszem, hogy a rablóból lesz a legjobb pandúr. • Viszont a mi rablóink a mi felsőoktatásunkban nagyon kicsi eséllyel juthatnak el oda, hogy pandúrokká válhassanak. • Akik pedig hivatásos pandúroknak tanulnak, nagyon kicsi eséllyel tanulhatnak meg bármit is azokból a támadásokból, amiket ki kell védeniük. • Egy adat: jelenleg 20-30 IT biztonsági állásra várnak jelentkezőket…

18. Magyar hackerek a nagyvilágban • Láthattuk, hogy Magyarországon nincs hacker társadalom. • Ennek megfelelően nincs olyan underground szakmai élet, tevékenység, amire a (szak)sajtó felkapná a fejét. • Nagyon kevés olyan esetet tudnék felhozni, ami miatt Magyarország bekerült az IT biztonsági hírek közé. • Jöjjön néhány eset!

19. A török deface támadás • Magyarországot is többször elérte a török támadócsoportok deface hulláma. • 2003, 2006 és 2007 is hozott jónéhány feltört magyar oldalt. • Ezek a valószínűleg automatikus, portálmotorok gyengeségét kihasználó támadások inkább kellemetlenek és látványosak, mint veszélyesek. • Felhívják azonban a figyelmet arra, hogy mennyire alacsony szinten van a magyar domének alatti szerverek biztonsági szintje. • Jellemző, hogy nem volt visszavágó ezért a támadásért, pedig ez nem ritka.

20. Az Ericsson-zsarolás • Richter Csabát 3 év börtönre ítélték 2005-ben azért, mert feltörte az Ericsson informatikai rendszerét, és az onnan ellopott információkat pénzért akarta eladni a cégnek. • A svéd titkosszolgálat tartóztatta le, mert annyira bizalmas adatokhoz fért hozzá, hogy • Saját bevallása szerint hozzáfért telefon-szoftverek forráskódjához, radar förmverekhez, a Gripenek radarrendszerének rajzához, valamint adminisztrátori jogosultságot szerzett több rendszerben. • Idézet az önéletrajzából: „BME - Budapest University of Technology: Some courses completed. Not finished because of lack of interest and low quality of the courses”

21. A Zafi vírus • 2004. áprilisában söpört végig Magyarországon, azután Európában is a Zafi névre keresztelt vírus. • Hosszú hónapokig a legfertőzőbb kártevők között volt. • Nevét erősen politikai töltetű tartalma miatt a Hazafi szóból kapta. • A vírus törzse szerint a pécsi SNAF Team készítette a kódot. • Én konkrétan egy igen ismert magyar bloggerre gyanakszom…

22. Egyedüli büszkeségünk: a Balabit • Az ideális persze az lenne, ha lennének olyan hackereink, akik megkomolyodnak, és nemzetközi karriert csinálnak. • A Balabit alapítóinak hacker múltjáról ugyan nem tudok, de ők az egyetlenek, akik Magyarországról egy olyan IT biztonsági céget csináltak, akiknek a termékeit a világ minden részén használják. • A teljes magyar informatikai élet szempontjából fontos lenne minél több ilyen cég. • Erre azonban egyre kisebb esélyt látok.

23. Összefoglalás • A világ, így Magyarország informatikai rendszereit folyamatosan támadások érik, de ezek döntően nem Magyarországról jönnek. • Az igazi, szó szerint vett hackerek jót tennének országunk informatikai piacának és biztonságának is. • Nagyon meg kéne becsülnünk azokat a fiatalokat, akik ennyi energiát fektetnek bele a rendszerek megismerésébe. • A felsőoktatásnak mindent meg kéne tennie annak érdekében, hogy a lehető legtöbbet tanulják az egyetemeken, amit aztán az üzleti életben hasznosítani tudnak. • A legfontosabb azonban az, hogy meg kell ismerni őket, a nyelvüket, a gondolkodásukat. • Egyébként nem jutunk tovább a jelenlegi frusztrált, kiaknázatlan embereknél, és nehezen védhetjük meg magunkat a külső támadásoktól…

24. Köszönöm szépen! krasznay.csaba@kancellar.hu Cégünk honlapja: www.kancellar.hu Saját honlapom: www.krasznay.hu