____________________________________________________________________________ ____________________________________________________________________________ -uXu- DEN SVENSKA RAPPORTEN -uXu- Information F”r Entusiaster Nr. 05 (del 3 av 3) Sl„ppt Maj 31, 1992 Inneh†ll: Ed's Ord Press Stop F”r H”g S„kerhet kan vara Lika Illa som F”r L†g S„kerhet -Vi Har Inga Uppdragsgivare! Hans Iwan Bratt, LKD, Uppr”rd ™ver DN's Artiklar Statskontorets S„kerhetsexpert: -S„kerhet En Kostnadsfr†ga Polisrazzior ™ver Hela Landet _____________________________________________________________ av The Chief, Editor Den Svenska Rapporten ____________________________________________________________________________ ____________________________________________________________________________ ED'S ORD: DSR Den Svenska Rapporten accepterar utomst†ende k„llor „nnu. Vem som helst kan skriva f”r/l„mna information till DSR. Skribenten/L„mnaren blir adderad som informations-l„mnare, eller f”rfattare till artikeln. Full diskretion om f”rfattaren/l„mnaren s† ”nskar. Artiklar/Information kan l„mnas p† de system som finns listade i slutet av varje nummer av DSR. The Chief, DSR Editor ____________________________________________________________________________ ____________________________________________________________________________ PRESS STOP: DSR (5/92) Bakgrund och kommentarer till intr†nget i Televerkets och Diab Datas Datorer. Datas„kerhet var temat f”r f”rra numret av Diagonalen. Ingen kunde d† ana att „mnet skulle bli s† aktuellt som det blev under p†sken och dagarna d„refter. -Det „r lite av ”dets ironi att Diab Data med sin stora kompetens inom datas„kerhet skulle r†ka ut f”r detta, s„ger bland annat Leif L”winder, s„kerhetsexpert p† statskontoret. -Vi tog oss aldrig in hos n†gon av Diab Datas kunder, s„ger representanter f”r hackarna som diagonalen tr„ffat. Intr†nget i Diab Datas datorer belyses p† sidorna 8-9. :::: Information L„mnad av Pylon X & Mr Mac :::: ____________________________________________________________________________ ____________________________________________________________________________ F™R H™G SŽKERHET KAN VARA LIKA ILLA SOM F™R LŹG SŽKERHET: DSR (5/92) Balanserad s„kerhetsniv† „r m†let -Intr†nget i v†ra datorer har ”kat intresset f”r datas„kerheten generellt sett, s„ger Ingvar Glim„lv, s„kerhetschef p† Diab Data. -Och det ser vi som positivt med tanke p† v†r stora kompetens inom detta omr†de Vi redovisar d„rf”r i denna artikel vad som faktiskt h„nde och vad vi vidtog f”r †tg„rder. Intr†nget b”rjade med att hackern,troligen i b”rjan p† mars, gjorde ett olagligt intr†ng i Televerkets VAX-datorer som anv„nds f”r kommunikation p† det v„rlds-omsp„nnande datan„tet TIPNET. D„rifr†n gjorde man sedan via TIPNET intr†ng i ett antal olika datorer hos olika f”retag kopplade till TIPNET. Diab Data hade tidigare ej haft n†gon f”rbindelse uppkopplad mot TIPNET och planerade av s„kerhetssk„l s„tta in en gateway-dator mellan TIPNET och ”vriga datorer p† f”retaget. F”r att testa f”rbindelsen har Diab Data vid olika tillf„llen utf”rt tester mot TIPNET fr†n en utvecklings- dator. M„nskligt Misstag Denna utvecklingsdator var av misstag inkopplad d† testerna inte p†gick vilket gjorde att hackern kunde koppla upp sig mot datasystemet hos Diab Data. Fortfarande beh”vdes dock l”senord kn„ckas f”r att komma †t information. Diab Data har 22 datorer i sitt n„tverk. Hackern anv„nde sig i detta l„ge av ett s† kallat crack-program som automatiskt testar en stor m„ngd enkelt konstruerade password. Crack-programmet l”ste tv† l”senord och hackern kunde d„rmed ta sig in i tv† datorer d„r dessa l”senord gav access. Tips fr†n Televerket Den 23 mars fick Diab Data ett tips fr†n Televerket om obeh”rig trafik mot en dator p† Diab Data. Vi b”rjade d† direkt g† igenom samtliga loggar f”r att se vad som gjorts p† respektive dator. V†ra loggar avsl”jade nedanst†ende intr†ng. H„r redovisar vi ocks† vilka †tg„rder som vidtogs. F”ljande intr†ng har loggats: V†ra †tg„rder under perioden 24 Mars - 23 April 5 Mars 24 Mars Intr†ng. Inget utbyte. Samtliga anv„ndare p† Diab Data be- ordras byta l”senord. TIPNET-f”rbin- 19 Mars delse kopplas ner kl 17.10 Intr†ng. Utbyte passordsfil. 25 Mars 21 Mars Samtliga loggar i Diab Datas datorer Intr†ng hos dator f”r kundst”d. 311 g†s igenom i detalj. Intr†ng konstateras byte togs ut,motsvarar 3 rader p† ett A4-papper. 9 April Frilansjournalisten H†kan Borgstr”m 22 Mars p† vetenskapsjournalisterna ringer till Intr†ng under natten i en dator. Uttag Diab Data. Journalisten ber„ttade att 700 Kbyte; Text till en teknisk bilaga, f”r han hade tillg†ng till en en offert f”r rikspolisstyrelsen, modemlista fr†n Diab Data. intern elektronisk post, m”tesprotokoll Samtliga modem med ytterv„rlden samt brev fr†n kunder kopplas ner. 23 Mars 10 April Intr†ng i dator p† kundst”d. utbyte Diab Data skickar ett brev till de kun- lista med modemnummer till kunder. der vars modemnummer „r k„nda f”r Diab Data, m†nga kunder har hemliga 24 Mars modemnummer, med uppmaning att Tv† intr†ngsf”rs”k p† kv„llen. Inget byta password och modemnummer. utbyte. Vidare beskrevs ett antal †tg„rder l„mpliga att vidta f”r att ytterligare 26 Mars h”ja s„kerheten Misslyckat intr†ngsf”rs”k. 11 April 29 Mars Diab Data b”rjar systematiskt t”mma Misslyckat intr†ngsf”rs”k. dator efter dator p† all programvara och lagrad information. D„refter †ter- startas varje dator med ny programvara. 23 April Ett brev skickades till samtliga kunder med erbjudande om genomg†ng av datasystemen och dess loggar samt erbjudande om mer information kring kompletterande datas„kerhetsprodukter. Detta utan kostnad f”r kunderna. :::: Information L„mnad av Pylon X & Mr Mac :::: ____________________________________________________________________________ ____________________________________________________________________________ -VI HAR INGA UPPDRAGSGIVARE!: DSR (5/92) Diagonalen tr„ffade Thomas och Lasse, tv† representanter f”r SHA, Swedish Hackers Organisation: M†nga tidningar anv„nder ordet unga datorentusiaster n„r de talar om hackare. Hur ser ni sj„lva p† er verksamhet? -Vi „r definitivt inga spioner. Och n†gra bakomliggande uppdragsgivare finns det inte heller. I sj„lva verket gillar vi bara att utnyttja datorn s† l†ngt det g†r. Varf”r valde ni Diab Data? -Det „r inget speciellt med Diab Data. Det kunde ha h„nt vilket annat dataf”retag som helt. Efter att ha g†tt in i Televerkets datorer har vi via internet varit inne i m†nga f”retags datorer Tog ni er in i n†gon av Diab Datas kunders datorer under den tiden ni hade chansen? -Nej, vi tog oss inte in i n†gon av Diab Datas kunders datorer. N†gra intr†ng kommer inte heller att g”ras av SHA i framtiden. Massmedia vrider och v„nder p† sanningen. Media ”verexploaterar naturligtvis h„ndelser f”r att artiklarna skall bli interessantare. Smaskigast blir det om hackare framst„lls som kriminella och dataf”retagen som slarviga med s„kerheten. Tycker ni att man skall j„mst„lla hackare med traditionella brottslingar? -Nej, vi „r inga brottslingar. Om ingen p†pekar att det „r brister i systemen, s† blir bristerna inte heller †tg„rdade. Om vi tog oss in s† kan i princip andra l„nder ocks† ta sig in. Man kan t ex aldrig utesluta att andra l„nders s„kerhetstj„nster anv„nder Internet f”r s†dana „ndam†l. Vi vill egentligen inte att det skrivs i media om oss. En seri”s diskussion om datas„kerhet „r bra men media „r s„llan interesserade av detta. Var det enkelt att ta sig in? -Nej, det „r ett tungt och l†ngsamt arbete som p†g†tt i flera m†nader. Diab Datas datorer „r dessutom inte p† n†got s„tt enkla att ta sig in i, det „r det som „r utmaningen. Arbetar ni till vardags p† dataf”retag? -Ja. PS. Namnen „r fingerade DS :::: Information L„mnad av Pylon X & Mr Mac :::: ____________________________________________________________________________ ____________________________________________________________________________ HANS IWAN BRATT, LKD, UPPR™RD ™VER DN's ARTIKLAR: DSR (5/92) Brottslingar ska inte g”ras till hj„ltar! -I DN:s artikel framst„lls hackers som "unga dataentusiaster". Brottslig verksamhet „r alltid brottslig verksamhet, „ven om det kr„vs en viss intelligens och kunskap f”r att utf”ra dessa g„rningar, s„ger Hans Iwan Bratt, VD p† dataf”retagens branchf”rening LKD. LKD arbetar mycket med att informera sina medlemmar om bland annat utvecklingen inom datas„kerhet. -Ja, debatten blir ibland v„ldigt snedvriden. Man m†ste t ex inse att m†let „r att uppn† balanserad s„kerhet. Med det menas att topphemligheter ska skyddas maximalt, medan publika n„t f”r t ex elektronisk post bygger p† att det ska vara enkelt att komma in i systemen. I detta fall „r det den m„nskliga faktorn hos Diab Data som gjort intr†nget m”jligt. Men f”r att komma in i Diab Datas dator beh”vde hackern f”rst ta sig in i det internationella publika n„tet TIPNET. Och det ska inte vara s„rskilt sv†rt. Diab Data „r ett av de f”retag som har st”rst kunskap om just datas„kerhet. Vi hoppas nu att h„ndelsen ”kar intresset f”r datas„kerhet, framf”rallt hos dataf”retagens kunder. -Tyv„rr ser man ofta ocks† en tendens att betrakta databrottslighet som n†got artspecifikt och som d„rf”r ska omg„rdas med extra h”ga krav p† s„kerhet. I sj„lva verket „r det ingen skillnad mot annan brottslighet som inriktar sig mot f”retag. Vi skulle ”nska att f”retag h”jer s„kerheten p† t ex skriven information p† papper som cirkulerar, till den niv† som datas„kerheten normalt „r p†. Polisamnm„l alltid -Vi hade g„rna sett att Diab Data hade reagerat snabbare med information till sina kunder om de f”rsta intr†ngen. Annars har Diab Data hanterat h„ndelsen bra. Polisanm„lan ska t ex alltid enligt v†r mening g”ras vid intr†ngsf”rs”k. Det ligger i hela databranchens intresse att dessa h„ndelser kommer upp till ytan, avslutar Hans Iwan Bratt. :::: Information L„mnad av Pylon X & Mr Mac :::: ____________________________________________________________________________ ____________________________________________________________________________ STATSKONTORETS SŽKERHETSEXPERT: -SŽKERHET EN KOSTNADSFRŹGA: DSR (5/92) -Alla myndigheter och f”retag kan uts„ttas f”r intr†ngsf”rs”k. Diab Data „r ett exempel p† ett intr†ng som blivit offentligt. Det finns m†nga bra s„tt att hindra intr†ng. Jag hoppas att denna h„ndelse ger alla f”retag och myndigheter en anledning att satsa mer pengar p† datas„kerhet. S„kerhet „r till stor del en kostnadsfr†ga, konstaterar Leif L”winder, ansvarig f”r Statskontorets arbete med ADB-s„kerhetsfr†gor. Statskontort har ett centralt samordningsansvar f”r upphandlingar av ADB-utrustning inom myndigheter och f”rvaltningar. -Vi ser sj„lvklart allvarligt p† det intr„ffade. Samtidigt fokuseras f”rst†s intresset p† datas„kerhetsfr†gorna, vilket „r bra. Vi kommer nu att st„lla h”gre krav p† leverant”rerna bland annat vad g„ller s„ker hantering av kundregister och s„ker hantering vid anv„ndning av s k fj„rrf”rbindelser. -Bra s„kerhet handlar framf”rallt om r„tt administration och strikt kontroll av att de beh”righetssystem man anv„nder ocks† sk”ts p† ett r„tt s„tt. Samtidigt finns det ett antal generella r†d vi vill ge som enkelt kan ”ka s„kerheten, forts„tter Leif L”winder. 1. Anv„nd motringningssystem. De kostar mer men ger kraftigt ”kad s„kerhet. 2. Byt nummer till de modem du redan har. M†nga moderna telefon- v„xlar klarar detta med n†gra knapptryckningar. 3. Utnyttja till„ggstj„nsterna f”r ”kad s„kerhet som finns i de publika datan„ten Datel,Datapak och Datex 4. Anv„nd krypteringsutrustning. Den kan anv„ndas f”r b†de sj„lva ”ver- f”ringen mellan t ex ett f”retags lokalt utspridda datorer, och f”r information lagrad i databaser. En hacker som efter ett intr†ng uppt„cker att datan dessutom „r krypterad f†r stora problem. 5. Titta n„rmare p† datas„kerhetsskydd som kan kategorisera informa- tionen och d„rmed ge ett balanserat skydd. Dessa produkter finns p† marknaden men anv„nds lite, troligen av kostnadssk„l. 6. Datorisera inte allt. K„nslig information kan lagras p† maskin- skrivna papper i kassask†p. -De som idag blir uppr”rda ”ver s k d†lig datas„kerhet b”r b”rja skydda sig sj„lva genom att budgetera mer pengar f”r datas„kerhetsprodukter. P† s„tt och vis „r det ”dets ironi att Diab Data som har stor kompetens inom data- s„kerhet r†kar ut f”r detta, avslutar Leif L”winder. Rita Gars p† Regeringskansliet: -VŹRA LOGGAR VISAR ATT INGET INTRŹNG GJORTS -Direkt n„r vi fick reda p† att det varit ett olagligt intr†ng hos Diab Data kontrollerade vi v†ra loggar f”r v†r administrativa DIAB-dator. Loggarna visade att inget intr†ng gjorts. Anders Ringaby, Sabbatsbergs Sjukhus: -NU ANVŽNDER VI MOTRINGNING Anders Ringaby, som arbetar med datas„kerheten p† Sabbatsbergs sjukhus, ber„ttar att de vidtagit en rad †tg„rder: -Vi har bytt l”senord p† samtliga datorer, tagit bort n†gra on”diga loginkonton, bytt telefonnummer till modemen, inf”rt motringning samt lagt in l”senord „ven i modemen. Detta ”kar s„kerheten betydligt. :::: Information L„mnad av Pylon X & Mr Mac :::: ____________________________________________________________________________ ____________________________________________________________________________ POLISRAZZIOR ™VER HELA LANDET: DSR (5/92) Panik bland BBSer Bild: 1/3 sida av DN S”ndag 19 April 1992, Sida C6 Text: En av artiklarna i Dagens Nyheter om Swedish Hacker Association. Men redan innan Dagens Nyheter ber„ttade om hackergruppen hade Rikskriminalens Databyr† startat en utredning. Och fallet med SHA „r bara en av m†nga polisutredningar som nu satt skr„ck hos landets BBSer. Full panik har utbrutit bland svenska BBSer efter polisens olika tillslag mot hackergrupper och pirater de senaste m†naderna. -Jag l„gger av nu s„ger en av de ansvariga f”r en stor pirat-BBS. Det „r f”r farligt att forts„tta. Bland sysopar (den person som sk”ter en BBS) och BBS-anv„ndare g†r det nu vilda rykten om nya polisrazzior och v„ntade tillslag. Ingen vet riktigt vad som h„nt eller varf”r polisen har blivit s† intreserad av deras aktiviteter. Men reaktionen bland pirater och vanliga BBS-anv„ndare „r n„stan panikartad. En del baser har st„ngt helt, s†lt utrustningen och sagt upp telefonabonnemanget. Pirat-BBS Det hela b”rjade i februari d† Helsingborgspolisen slog till mot tv† stora pirat-BBSer i Helsingborg. D„r g„llde det misstankar om piratkopiering. Hundratals personer som haft konto hos dessa BBSer kan r„kna med ett samtal fr†n polisen. Sedan seglade historien om Swedish Hackers Association (SHA) upp i dagspressen. Dagens Nyheter kunde i slutet av april p† helsidor avsl”ja hur en liten svensk grupp av dator-intresserade ungdomar kommit ”ver l”senord till datorer hos myndigheter och f”retag. Och hur dessa ungdomar tagit sig in i datorer hos Telesoft, Kommundata, Pentagon, Asea Brown Boveri med fler. En 17-†rig Stockholmsyngling, medlem i SHA, greps kort efter†t av Rikskriminalens Databyr†. Ynglingen „r misst„nkt f”r dataintr†ng och sabotage. Stor utredning -Vi hade redan varit ig†ng med utredningen mot SHA ett bra tag n„r Dagens Nyheter tog upp fallet, s„ger Stefan Kronqvist, kriminalkommisarie p† Databyr†n. Men det „r en stor och komplicerad utredning som kommer att ta tid. Vi utreder inte gruppen utan tar individ f”r individ och vilka brott var och en gjort sig skyldig till. N„r sedan polisen f”r n†gra veckor sedan slog till mot tv† BBSer i G”teborg och tre BBSer i Stockholm, trodde m†nga felaktigt att det var en forts„ttning p† Helsingborgs-utredningen. Men nu handlar det om en helt ny polisutredning av st”ldgods. Det hela b”rjade med att G”teborgspolisen genomf”rde en husrannsakan mot tv† ungdomar som var misst„nkta f”r st”lder p† byggarbetsplatser. Hemma hos ynglingarna fanns polisen ett par BBS:er med speciella k”p/s„lj-areor. D„r kunde man k”pa AK4:or, falska bensinkort och stulna datorer! Datorserat h„leri -Det var en ny datoriserad form av h„leri, s„ger chefen f”r G”teborgs- polisens st”ldrotel Bertil Svensson. Vi uppt„ckte ocks† att den hade f”rgreningar till Stockholm. -Det „r korrekt, s„ger Lena Tysk hos Jakobsbergspolisen. Vi har h”rt n†gra ungdomar i 19-†rs†ldern som drev BBSer d„r det f”rmedlades st”ldgods. -Dessutom hittade vi stulna datorer och stereoanl„ggningar i deras bost„der. Nya beslag v„ntar Anv„ndare av dessa datoriserade "h„lericentraler" l”per nu stor risk att f† en p†h„lsning av polisen. Utredningen g†r nu vidare med att f”rs”ka kart- l„gga omfattningen av verksamheten. Totalt omfattar utredningen ett 20-tal personer i dagsl„get. ____________________________________________________________________________ ____________________________________________________________________________ DSR tar g„rna emot nya sponsor/support System. Om du har speciellt intresse f”r Rapporten, och vill st”dja DSR -- L„mna ditt BBS nummer -- och annan information p† THE STASH Bulletin Board System. ____________________________________________________________________________ ____________________________________________________________________________ Anonymous :: +45-###-##### -------- Sedes Diaboli :: +46-###-##### 16.8 kbps DSR DK 2400 bps DSR Information THE STASH - Svenska Rapporten Support BBS - Den Svenska Rapporten #1 Node 14.4k bps, 170+ Megs, Dygnet Runt ____________________________________________________________________________ ____________________________________________________________________________ Detta Avslutar Detta DSR Numret Nr. 05 (del 3 av 3) Sl„ppt Maj 31, 1992 av The Chief Editor av Den Svenska Rapporten ____________________________________________________________________________ ____________________________________________________________________________