Confessions Of A Dangerous Mind

למי שאינו מכיר , SECUNIA הינה ארגון אשר מחזיק באחד מאתרי מעקב אחר בעיות אבטחת המידע , מהגדולים , אם לא הגדול והמקיף ביותר בתחומו, עם מאות ואלפי ארגונים וחברות אבטחת מידע אשר תורמים לתוכן שלו.

SECUNIA מפתח אפליקציה ארגונית אשר נקראת SNSI שהינו Secunia Network Security Inspector אשר מטרתו לבדוק את האפלקציות המתוקנות בארגון,  ולספק מידע אודות גרסאות פגיעות , עדכוני אבטחת וכדומה , אשר רלווניים לארגון.

לאחרונה פיתחה כלי חדש בשם PSI , שהינו כלי דומה - אך מיועד למשתמש הפרטי הביתי - ובחינם !

מטרת הכלי הוא שוב  -לסרוק את המחשב האישי שלכם , לחפש מפגעים ופגיעויות ( מעין VA מתחכם ) ולהצליב מול המאגר האדיר של SECUNIA - ואז לדווח לכם על פגיעוית אפלקטיביות , ולכמובן להציע עדכוני אבטחה בהתאם. האפליקציה משתמשת בשיטת הניקוד של Secunia בשביל לבצע חישובים לגבי רמת העדכון , והאבטחה של המערכת.

אחת התכונות החשובות של האפליקציה היא להסביר עבור גרסה מסויימת - מדוע יש להסיר אותה, מה הפגיעות שהתגלתה , המלצות יצרן והוראות מפורטות ביותר לגבי המשך הפעילות. אחד היתרונות שמצאתי בכלי זה , הוא שגם אם התקנו עדכון , אבל גרסה ישנה עדיין נשמרה במערכת - נקבל חיווי על כך עם הסברים כיצד להסדיר את הבעיה.

קישור לתוכנה : כאן כמובן

Labels: gadget, managment, news, service, software, vulnerability

Posted by barry at 7:29 AM | Link | Comments

אני יודע , רציתי לתת לפוסט הקודם לשקוע כמה ימים לפני שאני מפרסם - אבל את הידיעה הזו אני לא יכול לדחות ואפילו לא בשעה. הIPHONE ידידיי , נפרץ!.

[ פוסט זה הינו למטרת לימוד בלבד , המידע המצוין בו נלקח ונאסף ממקורות מידע חיצוניים , אין כל כוונה לפגוע בזכות יוצרים או קניין וכדומה ... בקיצור - הכל למטרת ידיעה ולימוד בלבד , כמו כן מטרת הכתיבה היא להביא את המידע לציבור קוראי העברית ]

המשמעות היא פשוטה מאוד - משתמש בארץ יכול לקנות IPHONE באתר של APPLE , להרכיב עליו את העברית שפותחה לו ( נסו למשל בhandy.co.il ) ואז באמצעות כלים חובבניים לייצר SIM אשר מחקה את הSIM של AT&T וליצור את מה שמכונה SuperSIM שהוא בעצם SIM צרוב על גבי Silvercard אשר מכיל את פרטי הCarrier שלכם ( למשל סלקום או אורנג' ) יחד עם הפרטים המזהים של IMEI יחד עם KI של רשתות הסלולר.

מה שהופך את התהליך למורכב הוא - שמדובר בכתיבת SIM תוצרת בית , ולא הפעלה של CRACK על המכשיר כפי שכולם קיוו שיהיה ( אולי זה עוד יגיע ) ולכן לא מתאים לביצוע כל אחד - אבל אני מניח שבשבועות הקרובים , נוכל כבר למצוא כל מיני אושיות שיבצעו תמורת תשלום סמלי את הפריצה. אגב , מעניין איך יגיבו הספקיות הישראליות לכך.

בגדול ומאוד בHIGHLEVEL מדריך פריצה :
( שימו לב , לצרכי לימוד בלבד וכ POC ! ובנוסף עיברתתי ממדריך קיים שנמצא כאן )

דרישות קדם :
1. קנו IPHONE [ ותקנו גם לי אחד ] :-)
2. לפי הנתונים שהצלחתי לגרד - נכון להיום צריך שהSIM של הספקית יהיה מסוג COMP128V1 ( לא בדקתי אם אנחנו עומדים בזה בארץ )
3. מכשיר לצריבת SIM ( יש בשפע באינטרנט - אחד הטובים יותר הוא Infinity USB Unlimited )4. SilverCard שהוא בעצם SIM ריק לצריבה
5. יש להוריד את הקבצים הבאים : SIM_EMU_6.01_CFG_v2.1.zip wst109_865.rar SIM_EMU_6.01_iphone_u1.rar

הוצאת פרטים מהSIM של הספקית
1. הכנס את הSIM של הספקית למכשיר הצריבה
2. הפעל את WoronScan ( הקובץ השני שהורדת )
3. בצע פעולות "IMSI select" וגם את "ICC select" ורשום את המספרים בצד
4. בצע פעולת "Ki search" ( חשוב לדעת שפעולה זו עשויה לארוך חצי שעה ויותר )

הוצאת פרטים מהSIM של AT&T
1. הכנס את הSIM שקיבלת עם המכשיר
2. בצע פעולת "IMSI select"

כעת יש ברשותינו כל המידע הנחוץ בכדי להכין את הSuperSIM

הכנת הSUPESIM
1. פרוש את קובץ ה "SIM_EMU_6.01_iphone_u1.rar" שהורדת
2. הכנס את הSilverCard לצורב הSIM.
3. הפעל את SIM-EMU 6.01 Configurator v2.1 ועבור לטאב Configure
4. לחץ Read From Disk
5. עבור לתיקיה אליה הורדו הקבצים ( ונפרשו ) בסדר הבא :
- הקובץ SIM_EMU_6.01_iphone_u1.HEX
- הקובץ SIM_EMU_6.01_iphone_u1_EP.HEX
6. בחרו בPosition 0 והכניסו את המידע מהSIM של הספקית שרשמתם קודם בצד
תחת ADN/SMS/FDN# יש לסמן - 161,15,4 ( ארבע אחרון ) ותחת SMS Centre את כתובת
ספקית הSMS ממכשיר קיים שלכם אצל הספקית ( בנוקיה קל מאוד להוציא את המידע )
7. בחרו בPosition 9 והכניסו את הIMSI מתוך הSIM של AT&T, וכמובן PIN1,PUK1 כפי
שנרשם בPosition 0 ( ושום דבר אחר ! )
8. תחת Config Mode בחרו Files
9. לחצו על Write To Disk ( תישאלו האם לייצר SuperSim ) , שימרו לדיסק.הע
10. צירבו באמצעות צורב הSIM את הכרטיס החדש שלכם.

לינקים חשובים
1. המדריך המקורי שתרגמתי ( שימו לב , שווה להתעדכן - בטוח יהיו שינויים )
2. מדריך חתיכת SIM
3. מדריך הפעלה דרך WINDOWS
4. המדריך המעודכן והמדוייק ביותר עד כה נמצא כאן

אגב , החברה Infinity USB מוכרת את מכשיר הצריבה תמורת 70 יורו , וכל כרטיס SILVERSIM תמורת 10 יורו נוספים ... כך שיש עלות לא שולית כאן של כ600 שקלים עבור ציוד שלא בטוח שתצטרכו יותר לאחר ביצוע הפעולה הנ"ל ( אלא אם כן אתם מפתחים מערכות רלוונטיות ).

אגב , אם אתם רוצים "לראות בעיניים" יש את הסרטון החביב הבא בYouTube .

Labels: gadget, hacking

Posted by barry at 10:24 PM | Link | Comments

בואו נגיד שאתם כמוני , ובואו נגיד שלהיות כמוני זה אומר להזיל ריר על מכשור מהפכני עד שהוא מגיע לידיים שלכם , זה אומר שאתם בניגוד אליי , כבר מיובשים . למה בניגוד אליי ? כי אני חוויתי סוף כל סוף את המכשיר המדהים הזה!. ותודה וסליחה לדייויד ממן. למה תודה - כי הוא נתן לי להשתמש בפלא הזה , למה סליחה ? כי אני מתכוון לשדוד אותו באישון לילה בלי להסתכל אחורה בכלל. המכשיר מדהים.

טוב אחרי שנתתי פתיחה קלה ... היום בשעות הבוקר השתתפתי באירוע הדרכה במשרדי חברת TREKIT המצויינים. ההדרכה , שאני מניח שהייתה רלוונטית לחלק גדול מהנוכחים , לא הייתה העניין הגדול מבחינתי - העניין היה כמובן לבוא ולפגוש חברים טובים - כמו יניב ברזילי , מנכ"ל TREKIT, דייויד ממן חברי הטוב ומהנדס המערכות הבכיר של FORTINET בארץ , ועוד מספר אנשים חשובים. ( אגב , גיא מזרחי מתחבא מתחת לאייפון ). בערך כצי שעה אחרי שהגעתי ועוד לפני שהגיעו הרבה אנשים , אמר לי דייויד - רוצה להתאוורר ? קח משהו לדרך ... ושלף את הצעצוע הכסוף-שחור הזה. חברים - התמכרתי.

בכל שנותיי כאיש מחשבים , כאיש תוכנה וכטכנולוג , לא ראיתי מוצר כלכך מדהים ששובר את כל המוסכמות לגבי מכשור נייד. ובשל כך שהמכשיר עדין לא עובד בארץ בגלל חסימת הSIM , יכולתי לבדוק אותו רק כנגן מדיה וכPDA. ולא סתם PDA - הPDA המושלם ! ולמה אני אומר את זה ...

1. למכשיר יש את המסך הכי טוב שראיתי למכשיר נייד , וזה כולל את המחשב הנייד שלי שיש לו מסך מדהים , וכולל לדעתי את מסך הLCD שיש לי בבית.
2. שליטה חסרת תקדים של זיהוי יותר מאצבע אחת על המסך , ובידוד מגע ועל ידי כך יצירת מקלדת מגע מושלמת ללא צורך במצביע כגון STYLUS על סוגיהם.
3. קישוריות אלחוטית מעולה ופשוטה אשר מתממשקת לכלל המערכות ולכן רלוונטית לכל ווידג'ט שניתן להתקין על המערכת.
4. במכשיר יש ג'ירוסקופ שמזהה זווית עבודה ולכן משנה תצוגה בהתאם לסיבוב המכשיר בצורה פיזית. נראה אתכם נוקיה.
5. נגן הMP3 המושלם , באמת המושלם - אין לי שום דרך אחרת להגדיר.
6. מערכת ניהול יומן , סנכרון דרך ACTIVESYNC למערכות הדואר ותמיכה בכל סטנדרט מקובל הופכים את המכשיר הזה לPDA המושלם.

בואו ניגש אל מול כל הטענות. מיקרוסופט , לאחר שנים רבות ומספר רב של גרסאות לWINDOWS MOBILE , עדיין מספקים סחורה נחותה יחסית אשר אינה מתקרבת לסביבה האמיתית שלהם. לעומתם - APPLE בגרסה ראשונה - בום ! פשוט עושים מהפכה , מערכת ההפעלה שרצה לכם על הMAC ממש רצה על הסלולרי , באיכות וזריזות מדהימה , רזולוציה מושלמת. מה עוד שלעומת כל מכשיר אחר המאפשר גלישה - פה יש לנו ממש PORT של הדפדפן המעולה SAFARI של אפלי שמאפשר צפיה במכשיר בדפים ממש כמו במכשיר רגיל.

מה שמעניין הוא שבגלל העיצוב הנקי והדק של המכשיר , ממש קל להתרגל אליו , לגלוש בו , לקרוא חומר ממסך ארוך ( בזמן ההרצאה הספקתי לקרוא מיילים בGMAIL מהמכשיר ) ולכן יש לנו עכשיו חלופה אמיתית למחשב נייד , ולאיש העסקים אשר נדרש לגישה לאינטרנט מכלמקום , אבל לא ממש צריך כלים מתקדמים יותר , למרות שאני בטוח שגם הם יהיו שם בהמשך - בנתיים יש את הכלים של גוגל - שבעיני מספקים לסביבה הפשוטה.

פשוט חוויה מתקנת , אני רוצה כזה , לוריד , ועכשיו ! חכו להמשך , אני אעשה עכשיו הכל בכדי להשים ידיים על צעצוע כזה .

קצת על התמונה למעלה - אני משחק עם הIPHONE בזמן שהגורו שלי - דייויד ממן - מרצה על גרסה MR5 של מוצר אבטחת המידע - הFORTINET FORTIOS 3.0. והנה הקשר של הפוסט הזה לאבטחת מידע. התמונה צולמה עם מכשיר הנוקיה 6280 שלי שכפי שהבנתם - לא יחיה אצלי עוד הרבה.

Labels: conference, gadget

Posted by barry at 7:15 PM | Link | Comments

למי שמכיר את דייויד ממן , אחד מהכרישים הבולטים בתחום אבטחת המידע בארץ ובאירופה , ובנימה אישית - הטכנולוג הכי טוב שאני מכיר.. יודע שהיה זה רק עניין של זמן עד שהמכשיר המדהים הזה ינחת אצלו בידיים. נותר לי רק לקנא ולקוות שאנשים טובים יהפכו אותו לSIM-Free בקרוב, כי עליי זה גדול.

זה מדהים איך אנשים טכנולוגיים פשוט מוקסמים מהמכשיר הזה , אני אישית עדיין לא מקושר לBUZZ הזה , כי עוד לא יצא לי להחזיק אחד בידיים - אבל החברים שיש להם \ שיחקו ... פשוט לא מוכנים לגעת בשום מכשיר אחר - חודש אחרי ההשקה וההיסטריה עוד בעיצומה.

ובכלל ובלי קשר , כיף לראות את הבלוג שלי על מסך של אחד המכשירים הנחשבים והמהפכניים ביותר בשוק, מניין איך הצעצוע הזה בתור PDA.

Labels: gadget

Posted by barry at 1:59 PM | Link | Comments

במשך החודשיים האחרונים , התאפקתי מלקנות באופן פרטי את מכשיר הN95 הנכסף של נוקיה , ואפילו הייתי מוכן לחכות בגל שרצית שיפתרו את הבאגים ושלא יהיו לי צרות עם המכשיר מבחינת תאימות לרשתות ישראליות וכדומה.

היום סוף סוף נכנסתי בבוקר לאתר סלקום - והמכשיר נמצא שם. מייד התקשרתי לשירות הלקוחות והתשובה שקיבלתי היא כדלקמן :
"סלקום הזמינה רק 100 מכשירים והם אזלו".

האם יש בארץ רק מספר מאות בודד של אנשים אשר טכנולוגיה היא חייהם ? אר מחלפיפים מכשירים כמו גרביים ומוכנים לתת הכל כדי לשים ידיהם על טכנולוגיה חדשנית ? האם זה מה שהשיווק הסלקום סבור ? איך יכול להיות שבאותו יום שהמכשיר מושק ברשת סלקום , כל המכשירים אוזלים

יותר גרוע - איך יכול להיות שהזמינו רק 100 ? קשה לי עם זה , אני לקוח מרוצה של סלקום כבר מספר שנים , ועכשיו לראשונה - שוקל מהפך ולו בגלל העובדה שאני אוהב לעבוד עם חברות אשר אני יודע מה אני מקבל מהם כשאני קורא את הפרסום.

מה שכן , יש הרבה פרטים על מחירים של סלקום , והעלות היא גבוהה , אך ככה זה עם טכנולוגיה חדשה... הביקורת שלי היא יותר לשירות המפות של סלקום

במכשיר הN95 יש מכשיר GPS מובנה פנימי , ולכן אן צורך בתקשורת עם העולם לצורך ניווט - מה גם שיש תוכנות קניינות אשר מאפשרות ניווט מלא ( בקרוב אפילו יוצא דסטינייטור לסימביאן ואז הכל סגור ) אך סלקום מתעקשת לגבות דמי מנוי חודשיים על שירות הNAVIGATOR , ואני שואל את עצמי ... למה אני משלם לכם תשלום קבוע אם אני לא משתמש ברשת שלכם לטובת ניווט? אין לי בעיה , קחו תשלום שנתי לעדכון מפות ... אבל צאו לי מהארנק כשזה לא רלוונטי.

אגב , לפי מיטב הבנת , באורנג' המצב דומה , אבל לא בדקתי לא שמעתי אז לא אגיב

הרסו לי ציפיה של חודשים למכשיר...

Labels: cellular, gadget

Posted by barry at 11:01 AM | Link | Comments

כאשר חברת Apple מוציאה מוצר חדש לשוק , תמיד ישנה הרגשה של "Geeks Of The World Unite!" ובדרך כלל ההרגששה צודקת , כי מי חוץ מהגיק הממוצע יכול להבין למה בעצם הIPHONE הוא מהפיכה בתחום הסלולר.

כמו ילד טוב , ביצעתי אתמול ( או היום ) Reload בשעה 3AM , שמקביל ל 6PM PDT בארה"ב רק כדי לראות את הטירוף מתחיל , וזה היה מדליק , עשרות ואולי מאות של אנשים שפשוט חיכו יום שלם או יותר לרכוש מוצר שאפילו לא ידוע על טיבו מאומה.

אני לא רוצה לקטול , אבל למה יוצא מוצר כלכך מדליק וכלכך גאדג'טי ובלי GPS מובנה ועם מצלמת 5MPX , הרי שהתגובה הראשונה שלי הייתה - אבל ... אבל ... N95 ...למה ... שכחתם ? ובכן זה עדיין לא משנה את התמונה - יש מלך חדש בתחום הסלולר.

וכמובן בואו וניגש לתחום האבטחה בנושא :

המוצר המדובר הינו מוצר אשר אומנם מתבסס על איזשהו Portion של MAC OSX . ומביא אותו לסביבה חלונאית לחלוטין באמצעות קישור בiTunes , מה שגורם לתהות , האם הגלישה הסלולרית לא תביא איתה פשוט מזיקים , אשר אינם יכולים לפגוע בOSX ( למרות שלא ברור אם מתחת למעטפת הנוצצת אכן מדובר בOSX ) ויועברו עלידי סנכרון למחשב ..

בנוסף , אני רואה את המנכ"לים השונים שרוצים להסתובב עם מכשירים קצת יותר נוצצים , פונים למנהלי הIT שלהם ואומרים - "תעשה שזה יעבוד עם היומן שלי והמייל שלי" , ואותו מנהל IT אשר יקבל כהכתבה החלטה שכזו - יאלץ לפתוח פורטים במערכת לעולם לא ידוע , יאלץ לתת למכשיר עליו אין הוא אוכף מדיניות GPO כלשהי לבצע גישה למערכת הנתונים הארגונית ( שימו לב - הiPhone תומך בExchange לחלוטין - דרך רישוי של Apple עם ActiveSync )
בהיעדר כלי רגולציה ( אני מדבר על כלים לאכיפת מדיניות על יישומי ומשאבי מערכת ) מדובר על חפץ זר בארגון אשר אובדנו או חשיפתו לעיניים לא רצויות עלול להביא לצרות אמיתיות

בנוסף , העובדה שהמכשיר תומך בערך בכל דרך התממשקות שאנחנו מכירים היום , פרט אולי לRFID, מאפשר בפוטנציאל לגנוב מידע שסונכרן מול מחשב ברשת הארגונית , לתוך הWIFI\EDGE\BT או מה שרק נרצה . האם יכול להיות שאנחנו מדברים פה על עולם חדש של DLP שצריך לקום ?

Apple לצערי , למרות היותה חברה מדהימה מבחינת חזות ואופי לקוחותיה , לא טרחה לפרסם יותר מידי אודות אבטחת המידע של המוצר , או דרכי ההגנה על המוצר , וחבל , כי אני למשל באם אשאל , נכון להיום אמליץ שלא לאשר את המוצר לשימוש ארגוני עד שיוכח לי אחרת ושיתנו לי את הכלים להתגונן.

בכל מקרה , אני רוצה אחד :-) .


[ הנה לינק לחוברת הפעלה | אולי תמצאו משהו מעניין שפספסתי עד כה ]

Labels: gadget

Posted by barry at 7:36 AM | Link | Comments