بایگانی برچسب: s

Information security, or sometimes Information Systems Security (INFOSEC), deals with several different “trust” aspects of information and its protection.

گسترش بازار Tanium

نوشته شده در توسط

پیشرفت شرکت Tanium در طول چند سال گذشته و به خصوص در چند ماه گذشته بسیار قابل توجه بوده است. شرکت Tanium از سال ۲۰۰۷ شروع به کار کرده است و در سال‌های اخیر نزدیک به سیصد میلیون دلار جذب سرمایه انجام داده است. ارزش‌گذاری این شرکت به تازگی از ۳٫۷۵ میلیارد دلار فراتر رفته است و با نزدیک شدن به زمان عرضه اولیه‌ی سهام احتمالا به ارزش ۴ میلیارد دلار خواهد رسید.

رشد روزافزون بدافزارها و مشکلات امنیتی باعث شده است تا شرکت‌های امنیتی که در ارایه خدمات و مدیریت End Pointها تمرکز دارند، اقبال بیشتری از شرکت‌های ارایه دهنده‌ی نرم‌افزارهایی مانند ضدویروس‌ها داشته باشند. یکی از رقبای محصولات خانواده تانیوم، گروه IBM BigFix است که از سال ۲۰۱۰ به تملک شرکت IBM درآمده است.

در اویل سال ۲۰۱۷، بلومبرگ گزارشی در خصوص مشکلات مدیریتی هنداوی پسر انجام داد. پاسخی که اوریون هنداوی در این خصوص داشت جالب بود. تانیوم یک شرکت بغلی نیست.

بی‌استفاده بودن انگشت‌نگاری سنتی

نوشته شده در توسط

قبلا در نوشته شفافیت حکومتی در زیرساخت‌ها در مورد گزارش‌های Daily Open Source Infrastructure گفته بودم. تغییراتی که ۱۱ سپتامبر در زیرساخت دولتی آمریکا (خارج از حکومت حزبی جاری) در طول ۳ دوره گذشته داشته، به نظر من برای خیلی از کشورها (و حتی سازمان ها) می تواند اثر بخش باشد.

امروز (همزمان با استفاده از سیستم اضطراری اطلاع رسانی بی‌سیم بر روی همان لیست پستی ایمیل دیگری ارسال شد با محتوای نقص در سیستم انگشت نگاری فدرال و استفاده ۸۵۸ نفر از این نقصان امنیتی و ورود به آمریکا بعد از اینکه برخی از آن ها با هویت دیگر دیپورت شده بودند. باز هم نکته ای که برای من جالب بود ارایه اطلاعات تقریبا کامل، بیان علت مشکل و ذکر راه حل در نظر گرفته شده برای کم کردن خسارت بود.

کلیات داستان این بوده که بخش زیادی از انگشت نگاری هایی که به صورت سنتی (کاغذی) پیش از سال ۲۰۰۸ اسکن شده بودند به خوبی دیجیتالی نشده بودند و در نتیجه توانایی پیدا کردن افراد رو نداشتند. البته این روزها خوب اثر انگشت خیلی بهتر در آیفون‌ها ذخیره می شود :)) بعدا باید در مورد پروژه پر سر و صدای Next Generation Identification بنویسم.

دوست داشتید بخونید: Potentially Ineligible Individuals Have Been Granted U.S. Citizenship Because of Incomplete Fingerprint Records

rcmp-c216-c-fingerprinting-example

داده‌های منتشر شده از vDOS

نوشته شده در توسط

سرویس های که vDOS در وب سایت های زیر زمینی و بسیاری از فروم های اینتنرتی مدت ها در حال تبلیغ بود در دو هفته گذشته خبرهای زیادی درست کرده است. درآمد حداقلی ۶۰۰هزار دلاری در دو سال گذشته (از آب کره گرفته) و احتمالا خیلی بیشتر از این (سرویس از سال ۲۰۱۱ در حال خرابکاری بوده است.) باعث اعتماد به نفس صاحبان سرویس شده بود و بعد از اینکه در خصوص روش های DDOS مقاله ای منتشر کردند باعث شروع ردیابی و بعد هم دستگیری اولیه برای خودشون شدند. هفته گذشته Krebs on Security مطلبی در این خصوص منتشر کرد و با حمایت Cloudflare بخشی از لاگ فایل های این سایت رو نیز منتشر کرد. این لاگ فایل ها برای ۴ ۵ ماه گذشته است و نام کاربری سفارش دهنده، زمان سفارش و آدرس ارسال ترافیک رو در این فایل می تونید پیدا کنید.

متاسفانه این مطلب به روش عجیبی در یک بلاگ فارسی به روشی عجیب بیان شده است و بدون تحلیل کافی فقط چند نام در آن استفاده شده است. خیلی مهمه که توی این مدل افشای اطلاعات بیشتر به دلایل تجاری این کارها فکر کنید (دقت کنید فقط موضوع kiddo بازی نبوده) و مراقب سو استفاده رسانه های خبری هم باشید.

آدرس‌ها و زمان اجرا نیاز به بررسی خیلی دقیق‌تری داره، ولی شاید لازم باشه به جز احتمال حمله و خرابکاری، هدایت ترافیک رو هم در نظر گرفت. به عنوان یک نمونه یک ارتباط غیرقابل اثبات رو حداقل در تاریخ ها میشه دید:

1

نظارت کاربران موبایل و IMSI Catcher

نوشته شده در توسط

بعد از نوشته جاسوسی همه جانبه به نظرم رسید، در خصوص تکنولوژی‌ها، قوانین و محدودیت‌های مرتبط با جاسوسی و جمع‌آوری اطلاعات بیشتر بنویسم. در این سری نوشته‌ها ابتدا از زیرساخت‌های قانونی و بعد هم در خصوص تکنولوژی‌های مورد استفاده صحبت خواهم کرد. لازم به ذکر است این نوشته‌ها به صورت شخصی و برای آشنایی با زیرساخت‌های امنیت اطلاعات نگارش می‌شوند و غیر قابل استناد، استفاده و تحلیل می‌باشند. اولین بخش با عنوان زیرساخت‌ رهگیری قانونی بود. نوشته دوم با عنوان هزینه‌ی نظارت را در ادامه می‌توانید مطالعه کنید.

هزینه‌ی نظارت

مجله‌ی حقوق آنلاین ییل، به تازگی مقاله‌ای در مورد هزینه‌های نظارت و مکان‌یابی افراد منتشر کرده است.  مقاله‌ی Tiny Constables and the Cost of Surveillance: MakingCents Out of United States v. Jones در ادامه حکم چند دادگاه آمریکایی در مخالفت با ردیایی طولانی مدت افراد و نقض حریم خصوصی‌ آن‌ها نگارش شده است.  در این مقاله با بررسی چند روش نظارت افراد مانند تعقیب با ماشین، تعقیب با پای پیاده، استفاده از GPS Tracker ها و یا استفاده از تلفن‌های همراه هزینه‌های حدودی هر یک از این روش‌ها به همراه سربارهای رایج پیش‌بینی شده است.

ادامه‌ی خواندن→

CALEA و رهگیری و شنود قانونی

نوشته شده در توسط

بعد از نوشته جاسوسی همه جانبه به نظرم رسید، در خصوص تکنولوژی‌ها، قوانین و محدودیت‌های مرتبط با جاسوسی و جمع‌آوری اطلاعات بیشتر بنویسم. در این سری نوشته‌ها ابتدا از زیرساخت‌های قانونی و بعد هم در خصوص تکنولوژی‌های مورد استفاده صحبت خواهم کرد. لازم به ذکر است این نوشته‌ها به صورت شخصی و برای آشنایی با زیرساخت‌های امنیت اطلاعات نگارش می‌شوند و غیر قابل استناد، استفاده و تحلیل می‌باشند. اولین بخش با عنوان زیرساخت‌ رهگیری قانونی را در ادامه می‌توانید مطالعه کنید.

زیرساخت رهگیری قانونی

در دهه‌های ۸۰ و ۹۰ میلادی، دولت آمریکا برای کنترل، تسلط و پیگیری از قدرت اطلاعاتی در شبکه‌های تلفنی (که در آن زمان شبکه‌های مبتنی بر سوییچ‌های مخابراتی بودند) قوانین متعددی ایجاد کرد. این قوانین پس از تغییرات و آزمون و خطاهای بسیاری به تصویب قانون تسهیلات ارتباطی برای اعمال قانون، تبدیل شد. در سال ۱۹۹۴ با تصویب Communications Assistance for Law Enforcement Act کلیه‌ی شرکت‌های مخابراتی و فراهم‌کننده‌ی خدمات دسترسی (بدون هیچ استثنایی)  موظف شدند، روش‌هایی برای امکان ایجاد دسترسی به اطلاعات مشتریان و کاربران به مقصود اعمال قانون و یا دلایل دیگر اقدام کنند. با اینکه این قانون به صورت خاص برای استفاده در ایالات متحده‌ی آمریکا تدوین شده است، اما بیشتر کشورها تقریبا از مفادی شبیه به همین قانون استفاده می‌کنند. همچنین با توجه به استفاده‌ی گسترده از محصولات شرکت‌های آمریکایی و همچنین درخواست شرکت‌ها برای عرضه‌ی محصولات در سطح آمریکا، پشتیبانی از CALEA به یک عادت گسترده در سطح دنیا تبدیل شده است.  CALEA این موضوع را در متن قانون به این صورت بیان می‌کند:

To amend title 18, United States Code, to make clear a telecommunications carrier’s duty to cooperate in the interception of communications for Law Enforcement purposes, and for other purposes.

نکته‌ای که CALEA را به موضوع مهمی تبدیل می‌کند، استفاده از دو عبارت است:

  • carrier’s duty اشاره‌ای دارد به وظیفه‌ی شرکت‌ها، اپراتورها، فراهم‌کننده‌های سرویس‌های مخابراتی و دیتا و هر سازمان دیگری که ارتباطات را فراهم می‌کند، برای ایجاد دسترسی. به عبارت دیگر، دولت آمریکا، سازمان‌های جاسوسی،  FBI و یا هر دادگاهی که به این اطلاعات نیاز داشته باشد، دخالتی در روش جمع‌آوری این اطلاعات نخواهد داشت و فقط دسترسی به اطلاعات را نیاز خواهد داشت. باز هم به عبارت دیگر این وظیفه‌ی شرکت‌هاست تا به روش مطمئنی امکان ایجاد دسترسی را فراهم کنند.
  • other purposes امکان هر استفاده‌ای در جهت نیاز کشور آمریکا (نه تنها دولت آمریکا) را فراهم می‌کند. این نیاز می‌تواند لزوما به دلیل اعمال قانون نباشد.

ادامه‌ی خواندن→

جاسوسی همه جانبه

نوشته شده در توسط

خبرهای مختلفی در مورد ابعاد و شنود اطلاعاتی که NSA از گروه‌ها و کشورهای مختلفی انجام داده است در حال انتشار است. مانند بسیاری از اخبار  مرتبط با حوزه امنیت اطلاعات، بخش زیادی از این اخبار زیاده‌گویی‌ها و شانتاژهای رسانه‌ای است که به زودی فروکش خواهند کرد.

49قسمت اندکی نیز، با قبول این واقعیت که دولت‌ها (به خصوص دولت فدرال آمریکا) سال‌هاست در حال جمع‌آوری اطلاعات هستند، در خصوص نحوه جمع‌آوری و حقوق متقابل دولت‌ها و شهروندان، در حال انتشار مطلب هستند. ماجراهای اسنودن بهانه‌ای شده است تا افراد زیادی در خصوص مطالبی که مدت‌هاست کمتر صحبت کرده‌اند، با خیال راحت‌تری صحبت کنند.

واقعیتی که پیشتر در نوشته‌های مورد عجیب اسنودن و همچنین واحد عملیاتی ۸۲۰۰ به آن‌ها اشاره کردم، در سطح عمومی جامعه هنوز به صورت مشخصی قبول نشده است. تمامی دولت‌ها چه به صورت مستقل و چه به صورت گروهی در حال جاسوسی ممتد از شهروندان و همچنین یکدیگر هستند. آقای اوباما به صورت رسمی پس از مشکلات علنی شدن جاسوسی از دولت آلمان این جمله را ذکر کرده است: تمام دولت‌ها از یکدیگر جاسوسی می‌کنند. این احتمالا اولین بار است که یک مقام حکومتی واقعیتی که سال‌هاست در حال رخ دادن است را در سطح عمومی بیان می‌کند.

در نمودار زیر، سعی کردم روش‌های مختلفی که برای جمع‌آوری اطلاعات مورد استفاده قرار داده می‌شود را نمایش دهم:

Intelligence

امنیت برای یک دولتمرد اجتماعی

نوشته شده در توسط

شبکه‌های اجتماعی و به خصوص فیسبوک به سرعت تبدیل به یکی از جذاب‌ترین روش‌های برقراری تعامل مستقیم با مخاطبان در گروه‌های مختلفی شده است. مخاطبان چه در دسته مشتریان تجاری و چه مردم عادی باشند در بسیاری از موارد آنچه می‌بینند را به عنوان یک واقعیت قبول می‌کنند و حس تعامل دوطرفه بدون قیچی بر جذابیت این موضوع افزده است. هر چند حفظ ایمنی در شبکه‌های اجتماعی یک موضوع قراردادی است و نه تولیدکننده محتوا و نه مصرف‌کننده کنترل دقیقی بر حفظ امنیت ندارند، اما شاید تولیدکنندگان محتوا در شبکه‌های اجتماعی بتوانند در آگاهی بخشی بر این موضوع نقشی داشته باشند.

استفاده از شبکه‌های اجتماعی و به خصوص فیسبوک در دولت دهم، نوید بخش درک اهمیت تعامل شفاف با مردم از سوی دولتمردان (که البته خانم‌های کابینه‌ را هم شامل می‌شود.) است. ادامه این مطلب، اشاره به برخی موارد امنیتی در این خصوص دارد.

  • اگر موقعیت حساس و کلیدی دارید (مثلا وزیر هستید) لازم است بدانید قوانین شبکه‌های اجتماعی هیچ تفاوتی میان شما و من قرار نمی‌دهد، مگر اینکه صفحه و پروفایل شما تایید شده باشد. مطمئن هستم طرفداران زیادی برای اینکه صفحات رسمی کابینه تبدیل به Verified Page شوند، می‌توانند به کابینه اجتماعی دولت دهم یاری رسانند.
  • اگر وزیر خارجه محبوبی هستید که در توییتر هم فعالیت می‌کنید، شما هم می‌توانید Verified Twitter Account دریافت کنید. شاید به این روش مخاطبان شما با خیال راحت‌تری مطالب شما را دنبال کنند و فالس‌نیوزی‌ها کمتر بهانه‌ داشته باشند.
  • هر چند دولتمرد اجتماعی می‌تواند از دیوارهای قیچی عبور کند، اما در هر صورت و شاید هم بیشتر شامل اثرات تحریم خواهد بود. این مشکلی است که من برای آن راه‌حلی ندارم، به جز اینکه دولتمردهای اجتماعی بتوانند حق دسترسی برابر به اطلاعات را برای مردم ایران نیز فراهم کنند.
  • به احتمال زیاد، دولتمردهای اجتماعی روشی مانند مردم عادی برای استفاده از فیسبوک استفاده می‌کنند. توصیه می‌کنم اگر از همان روش مردم عادی استفاده می‌کنید، کمی آن را امن‌تر و حداقل اختصاصی‌تر کنید. احتمالا دولتمردهای اجتماعی تمایلی به دسترسی‌های غیر مجاز به حساب‌های کاربریشان ندارند.
  • معمولا عکاسان حرفه‌ای و خبری در عکاسی از اماکن دولتی و حساس، شیوه‌های ابتدایی را رعایت می‌کنند تا تصاویر آن‌ها شامل اطلاعاتی که عمومی نیست نباشد. بد نیست تمام دولتمردهای اجتماعی نیز در این خصوص حساسیت کافی به خرج دهند و مثلا مراقب کاغذها و دست‌نوشته‌های روی میز آقای وزیر باشند.
  • تصاویر و فایل‌هایی که در شبکه‌های اجتماعی منتشر می‌شوند، برخی اوقات شامل اطلاعات اضافی مانند EXIF‌تصاویر و داده‌های مربوط به موقیعت (Location) تصاویر است. امیدوارم کابینه اجتماعی آگاهی رسانه‌ای اولیه‌ای برای دولتمردهای اجتماعی داشته باشد.
  • داده‌های مکانی که عموما تحت نام Location Service در شبکه‌های اجتماعی استفاده می‌شوند، می‌توانند حساس باشند. امیدوارم کابینه اجتماعی آگاهی رسانه‌ای اولیه‌ای برای دولتمردهای اجتماعی در این خصوص هم داشته باشد.
  • فیسبوک، توییتر و هر محصولی که قسمتی از آن دارایی مستقیم و یا غیر مستقیم ایالات متحده آمریکاست، به صورت قانونی (و نه توهم بر انگیز) می‌تواند شامل هر تفسیری بر اساس USA PATRIOT Act قرار گرفته شود.  لطفا پیش از انتشار هر مطلب و فعالیتی به این موضوع توجه کنید و حداقل مخاطبان خود را نیز از این موضوع آگاه فرمایید. نگرانی عمده من شاید پیام‌های مستقیمی است که احتمالا هزاران فرد عادی برای دولتمردهای اجتماعی ارسال می‌کنند.
  • شاید ایرانی‌ها نیز بتوانند از مزایای Information for Law Enforcement Authorities استفاده کنند. باز هم توانمدی دولتمردهای اجتماعی برای برقراری حق دسترسی برابر به اطلاعات مطرح می‌شود.

امیدوارم دولتمردهای اجتماعی روشی پیشه کنند تا تمامی مردم ایران، بتوانند مطالب آنان در شبکه‌های اجتماعی را دنبال کنند. به نظر شخصی من، عدالت حکم می‌کند تا اگر فردی نمی‌تواند و یا نمی‌خواهد از قیچی عبور کند نیز بتواند مطالب دولتمردهای اجتماعی را ببیند و بخواند.

پهپاد کشون

نوشته شده در توسط

رابطه‌ی بسیار نزدیکی بین پهپادها و دنیای امنیت اطلاعات وجود دارد. علاوه بر سرگرمی‌های بسیار زیادی که پرنده‌های بدون سرنشین برای علاقه‌مندان به تکنولوژی دارند، عملیات شناسایی و تجسس بوسیله پهپادها به صورت گسترده‌ای بر ساختارهای مدیریت امنیت اطلاعات و ارتباطات وابسته است. سیستم‌عامل‌های بلادرنگ، مسیرهای ارتباطای مخابراتی و دیتا، و همچنین نیاز به رمزنگاری‌های مختلف پهپادها را سوژه‌ی مناسبی برای هک‌های مختلف کرده است. در دو سال اخیر، مرزهای هوایی ایران، شاید بیشتر از هر کشور مستقل دیگری تردد چنین پرنده‌هایی را تجربه کرده است.

من تمامی این موارد را همانند نوشته‌ای که پیش‌تر تحت عنوان تردید در ساختارهای امنیت اطلاعات منتشر کرده‌ام، به علت ناکار‌آمدی نظام‌های اطلاعاتی فعلی می‌دانم. این حملات، ریسک‌ها و آسیب‌پذیری‌ها چه خوب و چه بد، نشانه‌های واقعی و خطرناکی هستند از اینکه ما در میانه حملات ترکیبی نظامی، الکترونیکی و سایبری هستیم. چه تصور کنیم این حرف‌ها اغراق آمیز است و چه فکر کنیم برخی از این موارد توهمات سیاسی و دولتی است، باید به حریم شخصی و آسیب‌های سایبری که هر روز بیشتر امکان پذیر می‌شوند، بیشتر فکر کنیم.