Heb je ooit stilgestaan bij de veiligheid van computers? Iedereen van ons heeft al wel eens een vertrouwelijk document, of bvb. iets dat onder “beroepsgeheim” valt opgeslagen op diskette of harde schijf. Of met een PC op het internet ingelogd, terwijl er zulk een bestand op de harde schijf stond. Ik wil het niet zo ver drijven dat je begint op te letten voor personen die van op afstanden tot 1 km met radio/radar-apparatuur kunnen meelezen wat op je scherm staat, hoewel dat met vrij eenvoudige middelen kan - zelf door muren heen.
Maar wist je dat:
Hoe kan dat allemaal? In het kort gezegd: als een computer iets kan doen, dan kan dat ook misbruikt worden. Hoe meer mogelijkheden een programma of besturingssysteem biedt, hoe meer zwakheden en achterpoorten er zijn. Misschien is je computer pas echt veilig als hij in een zware brandkast zit. Maar omdat we er mee moeten werken, is er per definitie een veiligheidsprobleem.
Overigens zijn “crackers” steeds vindingrijker. Voor een Novell-netwerk bestaan er programma’s die de gebruikers een probleem met de netwerkconnectie melden (of een paswoord dat te oud is), en opnieuw om de login-naam en paswoord vragen. Het schermpje hiervoor is identiek aan het echte Novell login-scherm. In de praktijk toegepast, blijkt dit in enkele minuten van het ganse netwerk vrijwel alle namen en paswoorden te onderscheppen, en door te sturen aan de “inbreker”. Wie minder wil opvallen, vindt ook programma’s die op zoek gaan naar het paswoord-bestand, en dit met vergelijking via woordenboek of “brute force” ontcijferen. Overigens ben ik er van overtuigd dat de netwerken uitpuilen van onveilige paswoorden (zeg maar, in 80 % van de gevallen: naam / roepnaam van zichzelf, partner, kind, huisdier, nummerplaat van de wagen, gemakkelijk te raden dingen dus). Het “verplicht wijzigen van het paswoord om de zoveel tijd” is vragen om dergelijke toestanden. Iedereen kiest dan voor eenvoudig te onthouden zaken. Ik probeer het niet, maar ik ben er zeker van dat ik zonder veel zoeken kan “inloggen als” 50 % van het personeel van bedrijven waar men zelf het paswoord kiest. Diegene die het verstand heeft om een paswoord te kiezen als “2@&z” loopt dit risico niet (Ok, dit paswoord is kort, maar ‘slim’. Zelfs een brute-force programma heeft moeilijkheden om de volledige ascii tabel af te lopen. Uiteraard zijn er systemen die niet-alfabetische karakters niet toelaten). Wie enkel alfabetische karakters gebruikt, laat staan de naam van moeder de vrouw, stelt zich erg zwak op.
Eigenlijk is sniffing op zich een woordje uitleg waard. In een ethernet-netwerk worden alle data-pakketjes van elke aangesloten computer op de hele kabel gestuurd (in theorie dus te onderscheppen door iedereen op datzelfde netwerk). In de “gewone” praktijk zal elke computer enkel de pakketjes binnenhalen die voor hem bestemd zijn. In de hacker-praktijk bestaan er programma’s als ‘gobbler’ of ‘ethload’ (werkt al op ‘gewone’ Dos). Deze speeltjes zetten de netwerkkaart in “overspelige” modus: de kaart luistert naar alle pakketjes, en slaat de eerste zoveel bytes van elk pakket op in een bestand. Indien ik dit zou starten op een station op het netwerk op het werk om 0730 uur, en laten lopen tot 0900 uur, zou mij dat een mooi aantal paswoorden opleveren, overigens zonder op te vallen (je kan onmogelijk merken dat je ‘gesnift’ wordt). En het paswoord van de systeembeheerder is mooi meegenomen, tenzij die zijn krant leest tot na 0900 uur (Hint?). Voor diegenen die met een kabelmodem surfen: iedereen in de straat, zelfs in de gehele wijk, kan je paswoord onderscheppen, inclusief chat-sessies en e-mail. Er zijn gelukkig ethernet kaarten die hardwarematig niet in “promiscuous mode” kunnen gezet worden. En als je daar, als doorgewinterde hacker toch in lukt (EPROM benaderen), schreeuwen de kaarten uit dat ze naar alles luisteren. Als de intenet-provider naar deze schreeuw luistert en reageert, is dat prima. Maar ik zou er niet op vertrouwen zonder mij daarover in te lichten bij de provider.
Enkele maanden geleden was er een bank die aan alle United Callers klanten een mail stuurde voor “veilig bankieren via internet”. Een giller gewoon. De doorsnee internet-gebruiker start zijn browser zoals die werd geleverd, zonder iets te wijzigen. Mét Java en Active-X actief. Dikwijls een onveilige versie, zoals Microsoft Internet Explorer 3.0 of 3.01. Overigens was de eerste “4.0” - versie al even onbetrouwbaar.
Moraal van het verhaal: volg veiligheid op de voet. Ook in de ‘echte’ wereld doe je ‘s nachts je achterdeur slotvast. Encrypteer en/of overschrijf werkelijk geheime dokumenten, en defragmenteer je harde schijf daarna (terugzetten met ‘undelete’ werkt dan niet meer). Gebruik een stand-alone computer om op het internet te gaan, en zet er geen “geheimen” op. Zet Java en Active-X af - tot hier toe heb ik slechts een tiental sites tegengekomen waar Java absoluut moest opstaan, en één van deze starte een verdachte applicatie. Gebruik een veilige browser, en bewaak de netwerkpoorten van je verbinding. Een programma als ‘nukenabber’ is perfect in staat om je te waarschuwen als iemand je poorten afzoekt. Een mailtje, en ik stuur het je op.
