Bezpečnost - jak vyděsit uživatele
Tento zápisek věnuji tomu, abych se rozepsal o tom, jak redakční systém Joomla u některých uživatelů pozbyl důvěry. Na druhou stranu uvidíte, jak nevinně k tomu může dojít a jak málo stačí.
Máme redakční systém Joomla. Docela dost lidí jej používá. Tu a tam se ve fóru vyskytne jedinec, který začne líčit své problémy s hacknutými stránkami. Jako třeba tenhle :
Už se vám stalo že vám hacknul někdo joomlu? Mě se to dnes stalo podruhé a proto raději přejdu na jiný RS, protože joomla! obsahuje velké množství chyb, jak to tak vidím. A nepomůže ani používat nejstabilnější verzi!
A proto se schválně ptám: Už vám někdo někdy hacknul joomlu?
Takže začnete zjišťovat, co se vlastně stalo a zjistíte, že dotyčný prostě jen nainstaloval Joomlu, ale pak už neprovedl nějaké další zabezpečovací kroky (třeba aktivace .htaccess, nastavení přístupových práv atd.) Navíc jsme dále zjistili, že napadení nebylo vedeno přes vlastní jádro Joomly, ale přes doplněk, který je navíc znám tím, že jej autor moc „v cajku“ neudržuje. Ale vysvětlujte to. Může za to Joomla a konec.
Vůbec je to v posledních dnech takové, na dvě věci. Všechno začalo tím, že se celkem rychle po vydání verze 1.5.5 objevila naprosto neplánovaně nová verze 1.5.6. Dle vyjádření vývojářů byla daná chyba opravena asi 3 hodiny od nahlášení. Samozřejmě s příslušným popisem toho, co je špatně a co je třeba kde změnit. Dle mého názoru se na základě této informace a toho, že chyba je přítomna ve všech nižších verzích a navíc ještě i z důvodu celkem masového rozšíření tohoto redakčního systému spustila lavina hacků různých webů. Lidé se začali ozývat, a hacků přibývalo.
Nedělo se celkem nic až do jednoho kritického momentu. Ve čtvrtek ráno byly spuštěny nové stránky Joomly. K překvapení uživatelů se však odpoledne našeho času podařilo tyto nové stránky hacknout též. A v tu chvíli zavládla docela panika, i když byl hack odstraněn za pár minut. Vysvětlujte lidem či zákazníkům, že jejich redakční systém je bezpečný! Navíc se i v průběhu minulého týdne vyrojil celkem odfláknutý a nic neříkající článek, který říká něco o tom, že v počtu objevených chyb vede Apple nad Microsoftem a že je Joomla druhá. A ta panika byla docela velká, protože se objevilo několik vysvětlujících článků, které výsledky oné analýzy překládaly do srozumitelného jazyka. Už jen ten nadpis říká vše – Security reports : don't panic! Vyjádření se objevilo na blogu firmy, která do ní vyvíjí speciální doplňky na testování zabezpečení. Má docela prestiž a tak si myslím že má její vyjádření u uživatelů docela velkou váhu.
Netrpělivě jsme čekali, k čemu vlastně na oficiálních stránkách došlo. Oficiální vyjádření se objevilo záhy. V mé interpretaci z něj vyplývá, že tým na bezpečnost tak trochu kašlal a dostal lekci. Při upgrade zapomněli na jeden web, přes který se útočníci dostali tam, kam potřebovali. Vyjádření končí tím, že tým říká něco ve smyslu, teď už víme, že je hrozba reálná (jak se Joomla stává masovou záležitostí) a proto si dáme pozor při tom, jak budeme aplikovat bezpečnostní aktualizace. A to stejné doporučujeme i vám, podívejte, jak jsme dopadli my.
Když se vrátím k oné studii, kde se Joomla objevila na druhém místě – ta mluví o tom, kolik chyb, které byly objeveny, bylo spojeno s konkrétním produktem. Nic už však neříká o tom, jak byly chyby opraveny a jak dlouhou dobu k tomu výrobci potřebovali. To je její největší chyba, ale spíše za to mohou špatné interpretace novinářů. Je v ní však jedna velmi zajímavá věc. Autor se v ní zamýšlí nad tím, jestli je vůbec vhodné zveřejňovat mechanismus chyby. Jak je vidět v tomto případě, obvykle se to obrací proti produktu jako takovému. Když totiž někdo zveřejní zprávu o tom, že ten a ten produkt obsahuje bezpečnostní díru, která funguje tak a tak, obvykle se najde někdo, kdo se pokusí ji nějak využít. Pokud je děravý produkt dostatečně rozšířen a uživatelé prostě ihned neaktualizují, má útočník pole působnosti široké. To se děje právě teď. A dle mne je to právě z toho důvodu, že ví, na co se zaměřit a jak to provést.
Pro uživatele z toho plyne jediné poučení – záplatovat. Pokud to neuděláte, máte problém. Vždy se totiž najde někdo, kdo to bude zkoušet. Ale na druhé straně by mohli jednotliví výrobci zveřejňovat popis chyby třeba s nějakým zpožděním. Je sice fajn, že záplata se objevila za 3 hodiny od nahlášení, ale zároveň se tři hodiny od nahlášení objevil popis chyby na internetu. Pokud o ní nevíte, dozvíte se o ní, až vám hacker natropí nepříjemnosti. A v mnoha případech to bylo opravdu velmi rychlé. V tomto případě si myslím, že to ani nebylo nespchopností uživatelů, ti prostě neměli čas záplatovat. Útočníci věděli o chybě dříve, než drtivá většina uživatelů vůbec mohla stačit cokoliv udělat…
-
Související články na blogu Tady je Svaťasovo - den za dnem v IT
-
Ani bezpečný, ani nebezpečný 3. 7. 2015 7:48
-
Android kouše do jablka - díl 0 : Jak to všechno začalo 31. 7. 2012 9:03
-
Pozor na ně! 2. 6. 2011 12:18
-
Mámo, táto přesvědč mě, že jezdíme bezpečně 27. 4. 2010 8:47
-
Banánový hack dostává mediální tvář 8. 2. 2010 12:33
-
Jak dostat tatínka do polepšovny 29. 1. 2010 9:21
-
-
Související články na ostatních blozích
-
WordPress zranitelnost v REST API je aktivně exploitována 7. 2. 2017 14:48
-
Top-10 bezpečnostních incidentů v srpnu 2016 2. 9. 2016 14:08
-
Odcizení přihlašovacích údajů k Windows jen pomocí webové stránky 4. 8. 2016 14:29
-
Top 10 bezpečnostních incidentů v červenci 2016 3. 8. 2016 13:41
-
Top-10 bezpečnostních incidentů v červnu 2016 1. 7. 2016 13:59
-
UK: ztracené peníze z Vašeho bankovního účtu? No, je to vaše vina 27. 5. 2016 16:02
-
-
Boris (neregistrovaný)
skusim sa zamysliet: stranky ako milw0rm a podobne poskytuju dostatok navodov, exploitov, ktore su zverejnovane vacsinou v den objavenia chyby. Mysliet si, ze ked producent nezverejni popis chyby, ze budu ludia v bezpeci, je naivne. Mozno by bolo vhodne vyriesit architekturu tak, aby security fixy boli kontrolovane a instalovane povedzme kazdu hodinu (tak ako u antivirov na serveroch). Ze to bude predpokladat dodatocne naklady na infrastrukturu je jasne a je jasne aj to, ze sa budu musiet odrazit v cene (napr. moznost aktualizovat bez subscription bude len manualna, v ramci subscription bude kazdych 60min). Pokial aktualizacie nechate na ludi, nikdy to nedopadne dobre, aj ked mate akokolvek dobre definovane procesy.
-
... (neregistrovaný)
Joomla je hnusny bastl, uroven zdrojovych kodu ma horsi nez wordpress, ktery mimochodem take zatracuji. Nejvetsi chyby jak v Joomla tak ve WordPress jsou v designu. Je videt, ze se banda amateru bezhlave vrhla na kodovani html pomoci echo v php a bez jakekoli struktury z toho nakonec vznikl odporny slepenec, plny chaotickeho kodu, ktery psali zejmena tupi koderi, aniz by u toho premysleli. Neni nic horsiho, nez obrovsky projekt postradajici strukturu, pravidla, jednotne api, oddelenou business logiku od jadra, databazi od php, atd. Doufam ze za vasi debilitu budete vsichni hacknuti detmi z Arabska
-
danaketh (neregistrovaný)
Nj, panika je na internetu normální jev. Lidi mají potřebu žít v představě, že je někdo "hackne" :) Mají tak pocit, že jsou důležití, ikdyž na ně každý kašle ;)
K článku na idnes.cz - nemůžete od takových webů čekat kvalitní zprávy. I Blesk má serióznější články než idnes.cz nebo novinky.cz! Jim stačí na netu něco najít, prohnat to translatorem, upravit aby se to dalo alespoň trochu přečíst a pak šup s tím ven :)
-
emil (neregistrovaný)
Rozumnější mi přijde dělat mezi uživateli osvětu typu: "Rozhodli jste se používat Joomlu, protože k tomu máte své důvody. Ale POZOR, používáte potencionálně nebezpečný nástroj, proto dodržujte vyjmenovaná bezpečnostní opatření a pokud je uvolněn bezpečnostní update, neprodleně jej aplikujte."
A ne bagatelizovat článek, který informuje o výsledku bezpečnostního vyhodnocení IBM X-force.
Co se týká hacknutí oficiálního webu Joomla, situace se opakuje. Před rokem byla rovněž hacknuta celá rodina oficiálních Joomla webů, bylo to rovněž vysvětleno neznalostí obsluhy, viz http://forum.joomla.org/viewtopic.php?t=203290 Takže poučení Joomla týmu se nedostavilo, tady je co kritizovat.
Jinak se ukazuje jako docela slušný můj odhad, že Joomla 1.5 bude použitelná nejdříve koncem tohoto roku. Joomla tým ve snaze urychlit vývoj, vydal betu, kterou přejmenoval za release, což vývojáři ani netajili. Takže zvýšený výskyt chyb nepřekvapuje. Druhým faktorem, který brzdí nasazení, je absence doplňků pro Joomla 1.5.
-
Robert Ševčik (Robajz) (neregistrovaný)
[2] [5] [7]
Ahoj,
Doporučit se dá textpattern http://textpattern.com/
nebo těžší kalibr Xaraya http://www.xaraya.com/Ale těch možností je xxx. za vše mluví http://opensourcecms.com/
pa
-
Miloslav Ponkrác (neregistrovaný)
[8] Tedy aniž bych se chtěl jakkoli vyjadřovat k Joomle, argumentovat tím, že komerčních soft nemůže vyvíjet banda amatérů mě rozesmál. Vzhledem k tomu, co dnes má za znalosti 99% komerčních programátorů, tak to může být po implmenetační stránce amatéřina klidně nejhrubšího zrna. Zvláště, pokud se tlačilo na termíny a mladý dynamický kolektiv považuje jako obvykle návrh architektury sw za zbytečnou neproduktivní činnost, která je zbytečná.
P.S.: Autor příspěvku se téměř 20 let pohybuje v komerčních vodách jako programátor a databázista - většinou aby zachránil co se dá po špatných projektech dnešních vývojářů. Zná tedy prostředí.
-
Michal Ciasnocha (neregistrovaný)
Za prvé, extrahardware.cz beží na Drupalu, žádná Joomla.
Tím je i zodpovězena otázka, který RS místo Joomly - Drupal. Je pravda, že je to systém složitější na pochopení. Na druhou stranu kdo ho pochopí, nemusí se zabývat ničím jiným, co se redakčních systémů týče. Problém může nastat i se spoustou webhostingů, které mají zakázány spousty funkcí, které Drupal vyžaduje.
Největší předností je ale bezpečnost. Neslyšel jsem o případu, kdy byl napaden server, na kterém je provozován Drupal.
Takže závěr - od Joomly ruce pryč a alespoň si vyzkoušet Drupal. -
svatas (neregistrovaný)
[12] Váš příspěvek je přesně ten typ informace, kterou uživatel nasává jako houba a slyší na něj. Když to zkrátím - použij Drupal, je bezpečný. Joomla fůůj. Znám lidí, kteří říkají opak. Troufám, si tvrdit, že žádný CMS není bezpečný sám o sobě a jen tak, že jej nainstalujete a případně doinstalováváte aktualizace. To je falešná víra.
Vše se dá relativně jednoduše zabezpečit, ale musí se vědět jak a nějakou péči tomu musíte věnovat, bez toho to nejde. Také je jasné, že pokud se nějaký CMS používá tak masově jako velká trojka Joomla, Drupal, Wordpress, bude na ně provedeno asi více pokusů o prolomení, než na jiné. A v tom to, Joomla právě prolomila psychologickou bariéru a stala se světoznámou a zajímavou pro hackery. Ale pokud prostudujete jednotlivé případy napadení tak zjistíte, že za to Joomla obvykle skutečně nemůže. Přes jádro se do ní hacker nedostal...
Ale to stejné platí i o Drupalu.Prostě když víte jak na to, zabezpečíte z velké části všechno. A není to zase tak velké "čarování"
-
Heron (neregistrovaný)
[13] Joomlu neznám (nikdy jsem nepoužíval), ale už je to co slyším o hackutých webech týkajících se právě joomly mi stačí.
Netvrdím, že Drupal je nenapadnutelný, ale má dobrý systém updatů a aktualizací. Všechny moduly i drupal samotný si umí ověřit, jestli není nová verse - automaticky několikrát denně. Zrovna dneska mi přišel z hostignu email, že je ke stažení nová verse cck. Dokonce kontroluje externí nástroje, jednou jsem byl upozorněn na "nevhodnou" versi gd.
-
Michal Ciasnocha (neregistrovaný)
[13] Pravda je, že jádro zůstává nedotčeno. Zato o modulech určených pro Joomlu se to říci nedá. Jeden příklad - nedávno jsme měli na našem serveru, kde byla provozovaná Joomla, návštěvu z Turecka (Ottoman Empire). Vše bylo započato zjištěním loginu administrátora přes XSS.
Podle mně je dalším problémem udělování nepřiměřeného množství práv pro soubory a adresáře s instalací. Například modul Docman vyžaduje práva zápisu po nahrání souboru přes administraci do konfiguračních souborů. Celkem jsem napočítal cca 20 adresářů, kterým je potřeba změnit práva. Kdežto u Drupalu je potřeba nastavit práva pouze jednomu adresáři.
Nechci nijak znehodnocovat RS Joomla a propagovat Drupal. Jen mám s Drupalem lepší zkušenosti než s Joomlou. -
CandySan (neregistrovaný)
Zastance joomly asi popudi prohlaseni o jeji slabe bezpecnosti, ale faktem je, ze problemy s ni jsou velike. Pokud je potreba znat prilis mnoho detailu a sam si vse overovat (aplikace userovi v tom moc nepomaha), pak se zvysuje riziko, ze neco opomene zkontrolovat a hned ho navstivi turek. Modul pro joomlu je joomla samotna - v ocich usera.
Je to stejne jako s windowsama - pry jsou dokonale bezpecne, nemaji zadny problem a user se nema ceho bat - pokud nastane problem, pak je vina na strane vadne aplikace, nebo viru samotneho. Sice byl poskozen ci znefunkcnen system, ale jeho vina to neni, tak "riziko nehrozi".
Stejne je to s joomlou - sice se vratka do systemu oteviraji i slabsim pruvanem, ale "je to zpusobeno spatnym uzivanim, modulem tretich stran atd... takze riziko nehrozi a je desne bezpecna".
Nechci hazet spinu zbytecne, netesi me to, ale argumenty z tohoto zapisku povazuju za zavadejici.
Naproti tomu si sice muzeme drupal strcit nekam, ale faktem je, ze s bezpecnosti z daleka takove potize nema i presto, ze moduly take patlaji ruzne treti strany a i presto, ze jeho uzivatele nejsou zas o tolik vice haklivi na bezpecnostni proverky...
A kdyz uz jsme u toho, ze vyvojari drupalu sice nemaji kinderstube, ale zase se na oplatku nepisou cesty natvrdo do databaze (takze presuny byvaji snazsi - tedy standardne proveditelne) a vubec abstrakce je na daleko vyssi urovni. Ma to samozrejme nevyhodu v tom, ze kdyz neco nejezdi (nejde rozbehat), tak se clovek musi pidit ve zdrojaku aby objevil pricinu (obvzlast patrne kdyz clovek pouziva pg namisto mysql), ale zdrojaky joomly take nejsou nikterak lepe citelne (ty drupalovske jsou dle meho soudu uplne v pohode).Nakonec Joomla! ma psi hlavu a kdo vi zda pravem ci ne (ja bych prisahal ze pravem, ale muj nazor neni dulezity). Nakonec kazdy si ma vybrat to co mu vic chutna, ale argumenty z tohoto zapisku jsou stejne zavadejici jako argumenty windows bezpecnostnich expertu. Je zde vlastne receno, ze udrzet bezpecnost joomly vyzaduje velkou peci, ale zamlcuje se, ze vetsi nez u jinych podobnych systemu.
-
Michal Ciasnocha (neregistrovaný)
Nelze zpochybňovat vyjádření nezávislých zdrojů, které se týkají bezpečnosti systému Joomla. Tento systém je na tom podobně, ne-li stejně jako OS Windows, jak píše SonnY.
I když moduly do Joomly podle vás pocházejí od třetí strany, je to každopádně její vizitka. Proč tomu tak není u jiných redakčních systémů, které jsou také vyvíjeny třetí stranou? Nabízí se opět srovnání systémů rodin Windows a Linux. -
svatas (neregistrovaný)
18. 08. 2008, 21:02 Michal Ciasnocha
Nezpochybňuji nezávislou studii, zpochybňuji vyznění článku na Živě, který bohužel říká něco úplně jiného, než je ve zmiňované studii.
V oficiálním repozitáři je obsaženo více než 3500 různých doplňků. Bohužel Joomla není Linux a tak tyto doplňky neprocházejí žádným testováním nebo ověřováním kvality, zůstává to na uživatelích. Existuje ovšem oficiální seznam "děravých" rozšíření. Opravdu každý může udělat doplněk a nainstalovat jej do Joomly s jakýmykoliv "prasárnami" v kódu. A pokud si jej pak nainstalujete vy na své stránky, může to být problém.
Momentálně se však dostáváme do stavu, kdy je snadné napadnout neaktualizovanou Joomlu a protože se opravdu masivně používá, je o napadeních slyšet více a více. Postup, jak Joomlu napadnout je k dispozici a je docela dobře popsán. Každý trochu šikovný tak může hackovat. Pokud na tu hrozbu nezareagujete, hacker bude úspěšný.
Lidé také podléhají falešné iluzi, že stačí jen nainstalovat, občas aktualizovat a pak už je vše OK. A není to pravda. Stále si stojím za tím, že za většinou útoků není Joomla, je to souhra mnoha chyb a nedorozumění a že jsou na tom všcehny podobné projekty stejně. Proč se např. ve výše jmenovaných článcích nehovoří o tom, že redakční systémy byly do studie nově zařazeny (Joomla, Drupal a Wordpress) a že se všechny vešly do první desítky?
-
SonnY (neregistrovaný)
"Bohužel Joomla není Linux a tak tyto doplňky neprocházejí žádným testováním nebo ověřováním kvality, zůstává to na uživatelích."
V tom priapde su na vine pouzivatelia Joomli, ze je to taky deravy system, ked pouzivatelia Drupalu nemaju problem udrziavat moduly bezpecne.
Cize rovnaky princip niekde funguje a niekde nie. Z toho jasne vyplyva ze pouzivatelia Joomli su na dost nizkej programatorskej urovni a skor sa radia do kategorie BFU, kdezto pri Drupale je to skor kategoria geek/programator/power user. Z tohto zaveru teda vyplyva, ze ak programuje BFU, tak to tak aj potom vyzera. Lenze tu to ma dopad na cely system(Joomla), namiesto jednej jeho casti.
Okrem Drupalu uz nic ine nesledujem, takze nevie mako je na tom Joomla, ale uz len to, ze Drupal ma programatorske standardy svedci o niecom. Pokial vas modul tieto standardy nesplna, mozete zabudnut na uverejnenie v zozname modulov na ofic. stranke.
-
svatas (neregistrovaný)
19. 08. 2008, 07:48 Michal Kára
Je to docela jednoduché. Protože doplněk třetí strany může obsahovat libovolný kód a může jej napsat kdokoliv, děje se tak a programátorská úroveň je různá. Pokud ovšem takový modul napíše někdo, kdo nemá o bezpečnostních postupech ani páru, bude jeho kód napadnutelný třeba pomocí metody SQL injection nebo XSS(http://www.security-portal.cz/clanky/xss-cross-site-scripting-hacking.html) či pomocí jiné metody, kterou se dá PHP kód napadat. Nebo může jít i o chybu přímo v kódu, která se po patřičném útoku dá zneužít. Něco najdete třeba na http://www.security-portal.cz/clanky/php---bezpecne-programovani.html a pokud se autor těchto tipů nedrží, může to být problém.
Pokud mluvíme o jádru Joomly říkáme, že kód s napsanou funkčností se pokouší být v maximální možné míře nenapadnutelný a tudíž proti technikám popsaným třeba v tom článku výše být imunní.
Nevýhodou ovšem je, že s Joomlou se pak může spouštět i "neprověřený" kód, který už ty zásady nemusí ctít (a v mnoha případech nectí), je tudíž zneužitelný. proto je na uživatelích nést to riziko, že pokud doinstalovávám cokoliv, co není součástí Joomly, může to někdo napadnout. Pokud např. je jedním z nejpoužívanějších doplňků Community Builder, který chyb obsahuje docela dost a autor chyby neopravuje (nebo velmi zvolna), i když se o nich ví, těžko po útoku můžete nadávat na Joomlu. Nejde prostě bezhlavě instalovat cokoliv. Ale ve výsledku všichni říkají, že je Joomla děravá. Musíte říct konkrétně - mám Joomlu s doplňkěm Community Builder a přes ten se mi na stránky dostali. Jenže to nikdo neřekne. Spíše uslyšíte - mám Joomlu a hackli mi ji.
Problém je v tom, že existují nějaká pravidla, jak se zabezpečit, ale spousta lidí si s tím neláme hlavu. Obvykle se o to začnou zajímat až tehdy, pokud je někdo hackne. Pak teprve zjistí, kolik kroků ještě neprovedli a co všechno zanedbali.
A teď ruku na srdce - je to chyba Joomly nebo uživatele? Bohužel nikdy jsme na portále neříkali, že je Joomla jednoduchá a doporučitelná pro naprosté začátečníky. Jenže ona se tak tváří, ale jinak je to docela těžké se tomu pověnovat. Chce tomu opravdu věnovat nějaký čas. Rozšířený mýtus říká, že stačí Joomlu jen sem tam aktualizovat. Ale také musíte aktualizovat doplňky a neustále monitorovat, co se na stránkách děje. Joomla prostě není bezúdržbová (a troufám si tvrdit, že žádný redakční systém). To jen uživatelé si myslí, že to tak je. -
Michal Kára (neregistrovaný)
Takze do doplnky typicky prebiraji data od ctenaru webu, ne jen od administratoru, pochopil jsem to spravne?
Je to chyba Joomly minimalne ze dvou duvodu:
1) Nemela si vybrat PHP kde je potreba pomerne prisna disciplina pri kodovani (jakkoli mam ten jazyk rad)
2) Mela by poskytnout rozhrani ktere by moduly pouzivaly a ktere by podobne chyby omezovalo.
A ted ruku na srdce - kdyz nekdo v nejake debate napise "Joomla neumi tohle", odpovite mu "Ano to neumi, museli byste si nainstalovat modul X a ten neni tak provereny jako Joomla.", nebo "To umi, staci jenom nainstalovat modul X"?
-
svatas (neregistrovaný)
19. 08. 2008, 09:50 Michal Kára
Problém je v tom, že na jednu funkci existuje více doplňků. Existují i prověření programátoři. Ale chce to studovat, co, kde jak.Troufám si tvrdit, že po nedávných excesech se někteří lidé na celý problém začnou dívat jinak. Smysl všech těch zpráv je pro mne jediný - vše je relativní a všichni jsme napadnutelní, ale v zásadě všichni stejně.
-
Air Jordan shoes (neregistrovaný)
"K" is for "knowledge". Knowledge is strength. Air Jordan shoes.
ČLÁNKY DO MAILU