Das Märchen von Ali Baba in einer modernen Interpretation
 Das Märchen von Ali Baba in einer modernen Interpretation |
Das Märchen von Ali Baba in einer modernen Interpretation
Ali Baba und vierzig Cyberbedrohungen. Es stellt sich heraus, dass das Märchen über Ali Baba eine Sammlung von Geschichten über Cyberbedrohungen ist, die für das alte Persien relevant waren.
Wie wir nicht müde werden zu wiederholen, sind Märchen eigentlich verschleierte Artikel zur Informationssicherheit. Und nicht nur europäische Geschichtenerzähler versuchten, die Nachkommen vor Cyberbedrohungen zu warnen — im Osten wurde dies nicht weniger beachtet. Zum Beispiel führte die bekannte Scheherazade tatsächlich einen täglichen IB-Blog mit Video-Podcasts. Es gab jedoch eine hässliche Geschichte mit Motivation…
Aber heute wollten wir die Fälle zerlegen, die dem Scheherazade-Blog viel später, im 18. Jahrhundert, hinzugefügt wurden. Mit anderen Worten, es handelt sich um das Märchen «Ali Baba und die vierzig Räuber». Selbst diejenigen, die sich absolut nicht daran erinnern, was genau in dieser Geschichte passiert ist, sagen nach dem Namen «Ali Baba»: «Ah, ah, sim-sim, öffne dich!»
Und tatsächlich ist die gesamte Handlung dieses Märchens um die Idee des Schutzes vor unbefugtem Zugriff mit einem Passwort herum aufgebaut. Aber das ist bei weitem nicht das einzige Beispiel aus dem Bereich der Informationssicherheit, das im Märchen beschrieben wird, sondern einfach das offensichtlichste!
Passwortübertragung über einen ungeschützten Kanal. Also lasst uns durch die Handlung gehen. Die Räuber verstecken das Gestohlene in einer Höhle, die nur mit dem Passwort «Sim-sim» zugänglich ist. Es gibt jedoch einige schwerwiegende Fehler in diesem Schutzmechanismus.
Zu Beginn des Märchens schreit der Räuberhauptmann vor der Tür laut: "Sim-sim, mach auf!» Hier werden eine ganze Reihe von Fehlern gezeigt. Erstens ist das verwendete Passwort zu einfach. Zweitens ist kein zweiter Authentifizierungsfaktor vorgesehen. Streng genommen wird dort nicht einmal nach einem Login gefragt!
Aber das Schlimmste ist nicht — das Passwort wird über einen offenen Kanal übertragen! Ali Baba, der in der Nähe Reisig sammelt, hört den Ataman gut. Auch wenn er zunächst keine böse Absicht hat, gibt er aus reiner Neugier ein Passwort ein, betritt die Höhle und enteignet einen Teil des im Inneren entdeckten Eigentums.
Spyware-Modul. Nach seiner Rückkehr nach Hause übergibt Ali Baba das mitgebrachte Gold an seine Frau Zeynab zur Buchhaltung. Sie versucht, es von Hand zu zählen, aber da es viel Gold gibt, wird sie bald abgeschossen und beschließt, ein Werkzeug (ein Maß) zu verwenden, das sie Fatima, der Frau von Ali Babas Bruder, Kasym, leiht.
Einige Übersetzungen enthalten Skalen, aber das ist kein so wichtiges Detail. Wichtig ist, dass die neugierige Fatima den Boden des Maßes mit Honig schmiert, um festzustellen, warum ein Verwandter plötzlich ein Werkzeug benötigte. Und als Merka zurückkehrt, stellt sich heraus, dass ein goldener Dinar an den Honig am Boden klebte — was bedeutet, dass Zeynab das Maß für Gold hielt!
Selbst für Kinder ist es offensichtlich, dass dies eine direkte Beschreibung des in ein legitimes Produkt integrierten Spyware-Moduls ist. Fatima stellt ein Messgerät zur Verfügung (nach dem Modell Merca-as-a-Service) und spioniert die Handlungen des Kunden aus. Die Moral ist also hier - Sie sollten Werkzeuge nur aus verifizierten Quellen verwenden und sie auf Schwachstellen und schädliche Implantate überprüfen.
Vergessene Passwörter. Was als nächstes passiert, sieht meiner Meinung nach etwas künstlich aus. Ali Baba gesteht seinem Bruder Kasym alles zu und teilt ihm das Passwort mit. Er geht in die Höhle, vergisst das Passwort im Inneren, kann nicht nach draußen kommen, und als Ergebnis schneidet ihm der zurückgekehrte Ataman den Kopf ab. Hier ist eindeutig eine grobe Marketing-Botschaft eingebettet: "Vergiss das Passwort — du wirst deinen Kopf verlieren!»
Ich vermute, dass dieser Teil des Textes in der Antike eine Kerbe für ein Passwort-Speicherprodukt hatte, aber da er in der Zeit der Sassaniden an Relevanz verlor, wurde seine Erwähnung allmählich durch Nacherzählungen gelöscht. Auf der anderen Seite, um das gleiche Gute nicht zu verlieren, legen wir unser eigenes ein. Wir haben Kaspersky Password Manager, mit dem Sie Passwörter und andere vertrauliche Informationen sicher speichern können!
Das Passwort ist nicht änderbar. Aber zurück zur Handlung. Nachdem Kasim nicht nach Hause zurückkehrt, organisieren Verwandte eine Such- und Rettungsexpedition. Ali Baba kehrt in die Höhle zurück, findet dort eine Leiche und nimmt sie mit nach Hause, um sie zu begraben.
Im Prozess wird dem Leser ein weiteres Beispiel für eine ekelhafte Passwortrichtlinie gezeigt - Räuber ändern das Passwort nach einem Vorfall nicht. Es ist nicht genau bekannt, was der Grund ist: Es kann sowohl eine Nachlässigkeit als auch eine ursprünglich nicht durchdachte Architektur des Authentifizierungssystems sein.
Andererseits ist es möglich, dass sie einfach keine Administratorrechte haben — wenn sie die Höhle erobert haben, was sehr wahrscheinlich ist, besitzen sie vielleicht nur das Passwort des Benutzers und die Administratoranmeldeinformationen wurden vom echten Besitzer mit ins Grab genommen.
Social Engineering. Die Räuber versuchen, ein Leck von Informationen zu finden, für das sie einen Agenten auf den Markt schicken. Im Großen und Ganzen hat der Agent nur Fetzen von Informationen. Er weiß Folgendes:
der vom Häuptling enthauptete Fremde war nach seiner Kleidung nicht arm; er starb - daher sollte eine Beerdigung stattfinden; sein Körper wurde von jemandem aus der Höhle genommen.
Deshalb kommt er zum ersten Stammgast des Marktes und schreibt Geschichte: «Ich bin ein Fremder in deiner Stadt. Hier wohnte mein Bruder, ein reicher Kaufmann. Ich kam aus fernen Ländern zu ihm, um ihn zu sehen, und als ich mich der Stadt näherte, hörte ich, dass er tot im Wald gefunden wurde. Jetzt weiß ich nicht, wie ich seine Verwandten finden soll, um mit ihnen um ihn zu weinen.»
Dies ist ein Beispiel für den erfolgreichen Einsatz von Social Engineering. Усыпив Wachsamkeit Gesprächspartner Salsola der verfügbaren Fakten, Angreifer вызнает Adresse des Opfers, ohne dass Ihre kriminellen Absichten.
Honeynet. Der Agent markiert das Tor des Kasym-Hauses, in dem Ali Baba jetzt lebt, mit einem Kreuz und folgt seinen Mitstreitern, um einen massiven Angriff zu organisieren. Aber die schlaue Magd Marjana sieht das Zeichen und legt genau das gleiche auf das Tor aller anderen Häuser auf der Straße. Und das vereitelt den Angriff der Angreifer.
Im Großen und Ganzen verwandelt Marjana ihre Straße in eine Art Netzwerk von Hanipots — Fallen für Hacker. Theoretisch sollte dies wie folgt funktionieren: Angreifer, die ins Netz kommen, nehmen einen der Hanipots als Ziel an, beginnen ihn anzugreifen und geben damit ihre Absichten und Methoden aus. Während sie erkennen, dass das Ziel falsch ist, werden sich Experten aus Regierungsreaktionsteams an die Verteidigung anschließen und der Angriff kann gestoppt werden.
Es bleibt nur die Frage, wie ethisch es ist, die Häuser friedlicher Nutzer als solche zu nutzen. Wie dem auch sei, es kommt nicht zu einem echten Schaden: Die Räuber bemerken den Haken rechtzeitig und stoppen den Angriff.
Containerisierung. Hassan Einäugig, der Räuberataman, beschließt, die Organisation des Angriffs persönlich zu übernehmen. Er erwirbt 40 riesige Krüge, von denen zwei mit Öl gefüllt sind und der Rest leer ist. Ölkrüge können für den Fall einer oberflächlichen Überprüfung nützlich sein, und in leeren Krügen verstecken sich Räuber.
Mit dieser Ladung wird er als Gast ins Ali-Baba-Haus gebracht. Der Plan ist: Hassan ist ein Kaufmann, der Öl zum Verkauf gebracht hat, bittet um eine Nacht bei Ali Baba zu verbringen, und wird nachts die Räuber freilassen und die Besitzer angreifen.
Im Großen und Ganzen wird hier ein Angriffsschema für die Infrastruktur durch in Containern versteckte Malware beschrieben. Durch die Verwendung von Scannern am Eingang, die den Inhalt der Container nicht überprüfen, überbrücken die Bedrohungen den Schutzbereich. Und dann aktiviert Insider Hassan die Schädlinge.
Aber die schlaue Marjana schafft es, den Räuber zu hören, der sich im Krug versteckt. Sie geht zu jedem Behälter, findet heraus, in welchen sich die Banditen verstecken, und füllt sie dann mit kochendem Öl, wodurch die Bedrohung zerstört wird. Mit anderen Worten, sie hatte schon damals Technologien, mit denen sie den Inhalt von Containern scannen konnte. Unsere Lösung Kaspersky Hybrid Cloud Security wurde erst nach anderthalb tausend Jahren mit einer ähnlichen Technologie ausgestattet.
Und es endet gut. Hassan wird getötet, Marjan heiratet Ali Babas Sohn, der am Ende des Märchens aus dem Nichts erscheint, und Ali Baba selbst bleibt die einzige Person, die das Passwort der Schatzhöhle kennt.
Moral. Achten Sie bei der Entwicklung eines Authentifizierungssystems auf Sicherheit. Das über einen unverschlüsselten Kanal übertragene Passwort und das Fehlen einer Multi—Faktor-Authentifizierung ist ein sicheres, wenn auch zum Scheitern verurteiltes Passwort. Wählen Sie Lieferanten sorgfältig aus. Überprüfen Sie die Tools und Dienste, die sie Ihnen zur Verfügung stellen, nach Möglichkeit auf Schwachstellen und bösartige Lesezeichen. Es ist hilfreich, sich daran zu erinnern, dass bösartiger Code von einem kompromittierten Repository in Ihr Projekt gelangen kann. Verwenden Sie daher eine Schutzlösung, die den Inhalt von Containern beim Laden scannen kann. Führen Sie Schulungen zur Informationssicherheit durch. Stellen Sie ihnen insbesondere ein Phänomen wie Social Engineering vor.