SZPIEGOSTWO KOMPUTEROWE (rowniez telefoniczne)

[Jans✩ 5 320]

No , coz . Jestem przeciwny uzywaniu dosadnych okreslen ale czasami nie mozna inaczej.

Tutaj bedziemy sie dzielili swoimi informacjami ktore rowniez i nas dotycza.

Tak wiec prosze o info z pewnych sprawdzonach zrodel.

Kto by pomyslal , ze kupujac nowy dysk twardy do komputera albo nowy caly komputer , najczesciej juz sformatowany przez producenta i nawet gotowy do pracy otrzymujemy dodatkowo zaszyty w nim program szpiegowski ktorego nie wykryje zaden program antyvirusowy lub inny ??? Tutaj dalsze informacje :

 

NSA "zaszywała" oprogramowanie szpiegowskie w dyskach twardych znanych firm

Agencja Bezpieczeństwa Narodowego USA (NSA) znalazła sposób na to, jak ukryć oprogramowanie szpiegowskie w dyskach twardych produkowanych przez Western Digital, Seagate, Toshiba, a także innych znanych producentów - informuje Reuters.

NSA mogła dzięki temu prowadzić inwigilację na większości komputerów na świecie - podkreśla Reuters.

Oprogramowanie zostało odnalezione przez firmę zajmującą się cyberbezpieczeństwem Kaspersky Lab. Komputery z szpiegowskim oprogramowaniem zostały namierzone w 30 krajach. Między innymi w Iranie, Rosji, Pakistanie, Afganistanie, Chinach, Mali, Syrii. Jemenie i Algierii. Celem miały być instytucje rządowe, wojskowe, firmy telekomunikacyjne, banki, firmy energetyczne, media i islamscy aktywiści.

Informacje te potwierdził Reutersowi były pracownik NSA, który twierdzi, że analizy Kaspersky’ego są trafne. Rzeczniczka NSA przekazała, że raportu firmy nie będzie komentować publicznie.

Ujawnione informacje uderzają w zdolność prowadzenia inwigilacji przez NSA, która już wcześniej ucierpiała na skutek działań Edwarda Snowdena.

Ucierpieć może też reputacja producentów sprzętu elektronicznego, który był podatny na instalację oprogramowania szpiegowskiego.

W dostępie do dysków twardych agencji miało pomóc posiadanie informacji o kodach źródłowych urządzeń. W ten sposób bez problemu NSA mogła "głęboko" zaszyć oprogramowanie - podaje Reuters.

Nie wiadomo jednak, w jaki sposób agencja vweszła w posiadanie informacji o kodach. Rzecznik Western Digital Steve Shattuck powiedział, że jego firma nie przekazywała kodów źródłowych żadnym agencjom rządowym.

Autor: pp / Źródło: Reuters

[misio✩ 1 758]

Inną ciekawostką z tematu jest przypadek TrueCrypta.

Kiedyś czytałem, że są problemy z wpuszczeniem do US komputerów, które miały zaszyfrowane tym softem dyski, gdyż NSA nie była w stanie odszyfrować ich zawartości. Ta bardzo stara informacja nabrała nowego znaczenia pod koniec maja 2014, gdy nagle strona tego projektu przestała działać w dotychczasowej formie.

Zamieszczona treść sugeruje (po dziś dzień), przejscie na Bitlockera.

Terorii spiskowych bylo wiele. Jednakże konkluzja była taka, że agencja ubiła ten projekt, gdyż nie dało się tam wcisnąć backdora.

Rekomendowanie przejścia na Bitlockera jest conajmniej dyskusyjne.

Nie od dziś wiadomo, żeby w US oficjalnie wydać jakikolwiek soft do enkrypcji, trzeba w nim zaimplementować wtyczkę dla odpowiednich służb.

Bitlocker (obecny w droższych werjach M$ Windows) jest dobry do ochrony przed złodziejem, ale przed różnego rodzaju kilkuznakowymi tworami stoi otworem.

Jak by ktoś chciał się zabezpieczyć to TrueCrypt w wersji 7.1a jest nadal uznawany za bezpieczne rozwiazanie.

[Jans✩ 5 320]

No to tutaj ciag dalszy "niespodzianek " :

 

Microsoft _NSAKEY – Promis razy tysiąc?

W sierpniu 1999r. pracujący w korporacji Cryptonym informatyk Andrew Fernandez odkrył, że w oprogramowaniu Microsoft Windows NT oprócz standardowego klucza do szyfrów (oznaczonego KEY) znajduje się drugi klucz oznaczony jako NSAKEY. Oznacza to, że NSA może mieć bardzo ułatwiony dostęp do danych szyfrowanych w systemie Windows jak również ułatwione włamywanie się do komputerów z zainstalowanym systemem Windows.

Microsoft szybko zaprzeczył wszystkim oskarżeniom oznajmiając, że ,,ten klucz to klucz Microsoftu. Jest on obsługiwany i strzeżony przez Microsoft i nie dzieliliśmy go z żadną inną stroną.” Klucz miał się nazywać NSAKEY, gdyż NSA jest instytucją upoważnioną do przeglądu technicznego kontroli eksportu, więc wspomnienie NSA w nazwie klucza oznacza, że jest on zgodny z kryteriami amerykańskiego eksportu. Klucz ten ma być poza tym tylko dodatkowym kluczem na wypadek utraty klucza głównego (_KEY). Inni specjaliści jednakże wskazują, że istnieją lepsze sposoby zabezpieczenia się przed utratą klucza głównego niż stworzenie dwóch kluczy.

{mospagebreak} 

We wrześniu 1999 r. brytyjski dziennikarz Duncan Campbell napisał, że NSA uzgodniła z Microsoftem umieszczanie specjalnych kluczy w we wszystkich wersjach Windowsów począwszy od 95-OSR2. Umieszczenie w najpopularniejszym systemie operacyjnym świata ,,bocznych drzwi” w ogromny sposób ułatwia NSA inwigilowanie zarówno obywateli jak i firm z wszystkich rozwiniętych państw świata i ma to kolosalne znaczenie dla bezpieczeństwa ekonomicznego.

W lutym 2000 r. wyszło na jaw, że francuski wywiad wojskowy przygotował w 1999 r. raport, w którym poruszono kwestię _NSAKEY. W raporcie tym stwierdzono, że NSA umieściło sekretne programy w oprogramowaniu Microsoftu. Raport stwierdzał, że ,,wygląda na to, że stworzenie Microsoftu było w ogromnym stopniu wspomagane, przynajmniej finansowo, przez NSA i że IBM został skłoniony do zaakceptowania systemu MS-DOS przez tą samą administrację.” Według francuskiego opracowania, wśród personelu Gatesa znajdują się agenci NSA. Pentagon jest rzekomo największym klientem Microsoftu na świecie.

Carnivore

”Carnivore” („Mięsożerca”) jest stworzonym przez FBI systemem przechwytywania e-maili. Prace nad nim trwały prawdopodobnie od roku 1996, ale oficjalnej inauguracji systemu dokonano w lutym 1997 r. Wówczas nosił on nazwę „Omnivore” („Wszystkożerca”). Wzbudził jednakże wielkie kontrowersje wśród opinii publicznej, więc postanowiono w czerwcu 1999 r. zmienić nazwę i ograniczyć zakres e-maili przechwytywanych przez system. Krytyka jednak nie ustała, więc zmieniono nazwę na DCS1000. W lutym 20005r. wobec groźby dochodzenia Kongresu USA, FBI przestała używać „Carnivore” przerzucając się na podobne, komercyjne systemy. /

 

FBI nie potwierdza ani nie zaprzeczała jakimkolwiek doniesieniom o budowie technicznej „Carnivore’a”, ale oponenci systemu wymusili na niej ujawnienie informacji technicznych – z wyjątkiem kodu źródłowego. Wiadomo, że program „Carnivore” był instalowany u dostawców usług internetowych i działał na zasadzie sniffera, czyli programu monitorującego przepływ informacji w Internecie wychwytującego poszukiwane słowa czy adresy e-mailowe.

Przedstawiciele FBI zapewniali, że program nie może być użyty bez zgody providera usług internetowych i odróżnia komunikację otwartą od poufnej (transakcje finansowe, zakupy w Internecie), jednakże krytycy wskazywali, że system ten nie posiada wystarczających zabezpieczeń przed nadużyciami.
Eksperci z Illinois Institute of Technology Research odkryli, że „Carnivore” nie posiada narzędzia wymagającego autoryzacji sądu dla prowadzonego podsłuchu. W listopadzie 2001 r. odkryto istnienie programu o nazwie ,,Magic Latern” będącego ,,dodatkiem” do „Carnivore’a” stworzonym w ramach projektu ,, Enhanced Carnivore Project Plan”. ,,Magic Latern” jest programem, który odtwarza uderzenia przycisków klawiatury danego komputera. Niektóre firmy produkujące programy antywirusowe zawarły umowy z FBI, na mocy których zobowiązywały się one do tego, że ich produkty nie będą wykrywały ,,Magicznej Latarni”. W powiązaniu z nim miała powstać baza danych o nazwie ,,Cyber Knight”, która zbierałaby dane uzyskane poprzez monitoring e-maili, chatroomów, wiadomości z komunikatorów i połączeń z telefonów internetowych. Miałaby ona również zbierać wszelkie klucze do kodów.

Szpiegostwo elektroniczne – prywatyzacja i kapitalizm polityczny

Wraz z rozwojem technologii wzrasta rola działalności szpiegowskiej prowadzonej przez prywatnych przedsiębiorców. Państwo tym samym traci monopol na inwigilację. Według firmy Ernst & Young LLP, 39 procent szpiegostwa przemysłowego dokonywane jest przez konkurentów, 19 procent przez klientów, 9 procent przez dostawców i tylko 7 procent przez służby specjalne. Tendencję te potwierdza raport STOA Parlamentu Europejskiego. Według niego wzrasta liczba firm prywatnych zajmujących się szpiegostwem – wiele z nich jest zakładanych przez byłych pracowników służb specjalnych. Często wielkie firmy zatrudniają byłych szpiegów zarówno w celu wzmocnienia bezpieczeństwa własnych przedsiębiorstw, uzyskania kontaktów (często o charakterze korupcyjnym) ze światem polityki, wojska i służb specjalnych oraz zorganizowania działalności szpiegowskiej na rzecz firmy.

Jednakże wraz z postępującą globalizacją pojawiają się też ze strony państw próby zapanowania nad ,,niewidzialną ręką rynku” i uporządkowania światowych trendów. Jest to zrozumiałe, gdyż rząd powinien angażować się w obronę interesów obywateli z ramienia których sprawuje władzę. Stąd też wynikła owa - tak widoczna w przypadku systemu Echelon – specyficzna symbioza pomiędzy służbami specjalnymi a biznesem. Państwo korzysta na tym, że krajowy kapitał odnosi sukcesy na rynkach zagranicznych. Korzysta z podatków płaconych przez wielkie firmy i popiera tworzony przez nie rozwój technologiczny. Jest zadowolone z nowych miejsc pracy tworzonych przez sektor prywatny i popularyzacji krajowej marki zagranicą.

Firmy korzystają chętnie z pomocy państwa w eliminacji konkurencji i pomocy przy załatwianiu wielkich zagranicznych kontraktów. Chętnie wykorzystują wykradzioną przez szpiegów obcą technologię. Odwdzięczają się wspomagając swą technologią kompleks militarno – wywiadowczo - przemysłowy, finansując niektóre operacje wywiadowcze i zatrudniając później u siebie byłych szpiegów, wojskowych i polityków. Często te ,,kazirodcze związki” mają charakter korupcyjny, ale trudno je wyeliminować, gdyż dla obu stron przynoszą ogromne korzyści. Także w przypadku wykorzystywania państwowych systemów inwigilacji dla celów prywatnego biznesu.

Bibliografia:

Ari Ben-Menashe ,,Profits of war”, Sydney 1992

William Blum, ,,Państwo zła”, Warszawa 2003

Jelle van Buuren ,,Echelon in Holland”, heise.de 11 IV 2000 r.

Duncan Campbell ,,Somebody’s listening”, ,,New Statesmen” 12 VIII 1988 r.

Duncan Campbell ,,Inside Echelon”, heise.de 25 VII 2000 r.

Duncan Campbell, Paul Lashmar ,,US Spy Agencies Now Probing British & Euro Industry”, ,,Independent” 3 VII 2000 r.

DEVELOPMENT OF SURVEILLANCE TECHNOLOGY AND RISK OF ABUSE OF ECONOMIC INFORMATION, European Parliament (Scientific and Technical Options Assessment), XII 1999 r.

Robert Dreyfuss, “Company Spies”, Mother Jones, maj/czerwiec 1994

“ECHELON spying on John Paul II?” ETWN 1 III 2000r.

,,Faktor X“ nr 13

Final Report on the existence of a global system for the interception of private and commercial communications (ECHELON interception system), European Parliament Temporary Committee on the ECHELON Interception System, zatwierdzony 5 IX 2001r.

,,Spy agencies listened in on Diana” ,,London Times” 27 II 2000r.

Timothy W. Maier ,,Did Clinton bug conclave for Cash” ,,Insight” 15 IX 1997 r.

Timothy W. Maier, “Snoops, Sex and Videotape”, Insight, 29 IX1997 r.

Patrick S. Poole ,,Echelon: America’s Secret Global Surveillence System” http://fly.hiwaay.net/~pspoole/echelon.html

Michael C. Ruppert, ,,Promis”, ,, Nexus” nr 4/2002

,,US secret agents work at Microsoft: French intelligence”, ,,The Age” 19 II 2000 r.

Gordon Thomas ,,Polskie krety KGB”, ,,Wprost” 21 III 2004 r.

Gordon Thomas ,,Ucho generała”, ,,Wprost” 11 III 2004 r.

Strony internetowe:

www.bezpieczenstwoekonomiczne.pl

cryptome.org

http://duncan.gn.apc.org/echelon-dc.htm

en.wikipedia.org

www.fas.org

http://fly.hiwaay.net/~pspoole/echres.html(bogaty zbiór linków)

heise.de

news.bbc.co.uk

http://www.secoqc.net/

[Żona_uległego 474]

Mogę na to odpowiedzieć jednym słowem łał.

[Jans✩ 5 320]

 

Mogę na to odpowiedzieć jednym słowem łał.

 

To dopiero wstep. Dla fachowcow to dobrze znane realia.

Dla laikow niewyobrazalny problem. Bo kto wie , ze wszedzie zostawiamy swoje slady w sieci ? Nawet zwykly "lajk" nie jest neutralny tylko ostemplowany adresem IP czyli adresem nadawcy .

A kazda komorka to najbardziej wyrafinowany szpieg.

Mozna nia slyszec i widziec na odleglosc.

[nietypowy30 353]

Jans, a wiesz coś może na temat bezpieczeństwa mało popularnych w naszym kraju telefonów spod marki "jeżynki" (blackberry)

[Jans✩ 5 320]

Jans, a wiesz coś może na temat bezpieczeństwa mało popularnych w naszym kraju telefonów spod marki "jeżynki" (blackberry)

 

 

Tak, sytuacja wyglada nastepujaco.

Blackberry (Kanada) po aferze podsluchowej zwrocil na siebie uwage. W pierwszym rzedzie przeanalizowane zostaly przez uzytkownikow na calym swiecie struktury przekazu danych , tutaj schemat :

 

 

okazalo sie , ze pieta achillesowa systemu jest wlasnie taka struktura. W ostatnich latach z tego powodu Blackberry stracil duzo pieniedzy ale jeszcze nie pozycje na rynku. Pamietajmy , ze Blackberry nadal jest dopuszczony do uzytkou w wojsku (NATO) i polityce (Rzad USA i EU).

Nowy Blackberry 10 i BES OS10 zaczyna powoli odrabiac straty. Zostal zakwalifikowany do oficjalnego uzytku urzedow.

 

Inne systemy nie sa w zakresie bezpieczenstwa na razie konkurencyjne:

 

Microsoft jest dopiero w przedszkolu

Android (KNOX???) jest zakwalifikowany jako niebezpieczny

APPLE jest chyba najdalej zaawansowany nawet jesli "Enterprise Security" tylko bardzo ciezko osiagalne

 

Pozostaje jeszcze softwearowe rozwiazanie typu GOOD (Sandbox) ktore jest jednak ryzykowne ze wzgledu na zaleznosc od platformy.

 

Tak wiec w obecnej chwili Blackberry stanowi w swojej najnowszej wersji OS10 najlepsze zabezpieczenie dla wrazliwych danych.

 

Tutaj dla uzupelnienia podaje wartosciowe informacje :

 

http://www.computerworld.com/article/2486214/mobile-security/jokes-aside--some-it-managers-say-there-s-no-option-other-than-blackberry-for-securi.html

[nietypowy30 353]

To dotyczy BES a wiesz jak jest z BIS ?

[Jans✩ 5 320]

 

To dotyczy BES a wiesz jak jest z BIS ?

 

Tak , bo pytales o BES a z BIS 

 

http://support.bell.ca/Mobility/Smartphones_and_mobile_internet/How_to_set_up_my_BlackBerry_Internet_Service#displayStep

 

to sprawa pochodna .

[Jans✩ 5 320]

Dla specjalistow na tym Forum zajmujacych sie bezpieczenstwem danych w IT podaje ,

ze amerykanski standart bezpieczenstwa FIPS 140-2 jako jeden z najbardziej rozpowszechnionych protokolow podaje 4 stopnie bezpieczenstwa.

Te stopnie dotycza wszystkich elementow przekazywania danych.

Okazuje sie , ze Blackberry nie podal jaki stopien bezpieczenstwa osiaga a APPLE wspominal tylko cos o stopniu 2.

W rezultacie wrazliwe dane sa w dalszym stopniu narazone na  niebezpieczenstwo utraty ich tajnosci niezaleznie od tego jakiej komorki uzywamy.

Blackberry ma jednak duze doswiadczenie i duze zobowiazania zapewnienia panstwowym organom najwyzszego stopnia zabezpieczenia.

Jak na razie Blackberry z tego zobowiazania sie nie wywiazal.

Niemcy dla swojej pani kanclerz opracowali specjalne wlasne rozwiazanie ale go nie opublikowali. Wiadomo tylko , ze nie ma tam zastosowania wyzej pokazany NOCS i BES 10.

 

 

 

 

Tutaj zalaczam w oryginalnym tekscie uzupelnienie do mojej wypowiedzi.

 

The Federal Information Processing Standard (FIPS) Publication 140-2, (FIPS PUB 140-2),^[1][2] is a U.S. government computer security standard used to accredit cryptographic modules. The title is Security Requirements for Cryptographic Modules. Initial publication was on May 25, 2001 and was last updated December 3, 2002.

Security Levels

FIPS 140-2 defines four levels of security, simply named "Level 1" to "Level 4". It does not specify in detail what level of security is required by any particular application.

Level 1

Security Level 1 provides the lowest level of security. Basic security requirements are specified for a cryptographic module (e.g., at least one Approved algorithm or Approved security function shall be used). No specific physical security mechanisms are required in a Security Level 1 cryptographic module beyond the basic requirement for production-grade components. An example of a Security Level 1 cryptographic module is a personal computer (PC) encryption board.

Level 2

Security Level 2 improves upon the physical security mechanisms of a Security Level 1 cryptographic module by requiring features that show evidence of tampering, including tamper-evident coatings or seals that must be broken to attain physical access to the plaintext cryptographic keys and critical security parameters (CSPs) within the module, or pick-resistant locks on covers or doors to protect against unauthorized physical access.

Level 3

In addition to the tamper-evident physical security mechanisms required at Security Level 2, Security Level 3 attempts to prevent the intruder from gaining access to CSPs held within the cryptographic module. Physical security mechanisms required at Security Level 3 are intended to have a high probability of detecting and responding to attempts at physical access, use or modification of the cryptographic module. The physical security mechanisms may include the use of strong enclosures and tamper detection/response circuitry that zeroes all plain text CSPs when the removable covers/doors of the cryptographic module are opened.

Level 4

Security Level 4 provides the highest level of security.

At this security level, the physical security mechanisms provide a complete envelope of protection around the cryptographic module with the intent of detecting and responding to all unauthorized attempts at physical access.

Penetration of the cryptographic module enclosure from any direction has a very high probability of being detected, resulting in the immediate zeroization of all plaintext CSPs.

Security Level 4 cryptographic modules are useful for operation in physically unprotected environments. Security Level 4 also protects a cryptographic module against a security compromise due to environmental conditions or fluctuations outside of the module's normal operating ranges for voltage and temperature. Intentional excursions beyond the normal operating ranges may be used by an attacker to thwart a cryptographic module's defenses. A cryptographic module is required to either include special environmental protection features designed to detect fluctuations and zeroize CSPs, or to undergo rigorous environmental failure testing to provide a reasonable assurance that the module will not be affected by fluctuations outside of the normal operating range in a manner that can compromise the security of the module.