Совсем недавно, набрел случайно , смотрел доклад о суде за кражу каких-то коммерческих данных. Точнее о схеме кражи и как доказывали. Ссылку уже не найти, поэтому в двух словах. Некого гражданина, поймали на краже данных. Случайно. Попался видимо на продаже, после чего нашли, доказали и осудили. На реальный срок. Вся фишка была в четких решениях вопросов безопасности, вроде как дарующих цифровое благополучие. А чувак скачал данные на первый комп, заархивировал многотомник с паролем и расширением мр4, аля кино. Перетаскал файлы ещё через два ПК с защитами. А на четвертом слил на флешку. Собственно, эта статья о личных наблюдениях и стороннем взгляде на современную ИТ безопасность.
В жизни так бывает. Имея достаточно глубокие знания в области цифровых технологий, на жизнь зарабатываю, расскладывая товары по полкам, в крупнейшем продуктовом ретейле России.
Надо отдать должное. При всей бажности и отсутствии эргономичности продуктов и решений, разработанных ИТ подразделением этой компании, они достаточно гибки и оперативны в устранении недочётов. Возможно, это связанно с ограниченность временем и отсутствием в команде людей имеющих реальное представление о ситуации на местах. А объем работы выполненный за трехлетний период, я вам скажу сумасшедший. Кстати блог этой команды есть на Хабре X5Group.
Моя же история такова, пока учили держать паяльник, другим глазом учил программирование. Паралельно впитывал знания из областей администрирования и использования софта. Уже не важно на сколько глубоки были эти знания. Стало не важно, когда выйдя с дипломом радиоинженера из технаря!, понимаешь, радиопромышленности нет, диплом ничто, да и за паяльник нехочись. На вышку денег нет и а кушать хочется. И выход нашелся.
Пока был на практике у ремонтников ЧПУ одного из авиазаводов, на меня вышел начальник бюро инфобезопасности из секретного отдела. Им нужен был человек знакомый с радиотехникой и знающий ПК изнутри. Особенно софт часть. В общем голод победил и за смешную зарплату в 8к, когда коллеги имели с производства имели оклад по 50к, согласился.
Не буду рассказывать о нудных расчетах эффективности постановки помех и другой рутинной работе инженера отдела технической безопасности информации. Начну первое повествование.
На то время, на заводе, действовало три объекта с АРМ, для работы с секреткой. И мой приход был ознаменован временным прекращением работы этих объектов и переполохом начальников. А все дело в пресловутых требованиях к рабочей среде на этих ПК, то время, на них был установлен 98Win. Так вот, операционка эта, в комплексе с популярным тогда Алладином, бывшая ФСТЭК подведомство знаменитого ФСБ, одобряла, при условии что не будет интернета, даже не проверяя на закладки. Так объекты действовали несколько лет. Пока не появился я...
Одним из требований жестко предъявляемых к таким объектам, отсутствие в системе средств отладки. Просто и лаконично. Но мало кто знает, что в стандартных средствах 95х систем, есть волшебная команда -debug. Эта софтинка, по сути и есть тот самый отладчик. Не знаю, что уж там можно в ней отладить в защищённой среде запуска винды, но кодить в реале на асме она позволяла. В том числе вызывать дисковые прерывания. Покривили рожи, но ситуацию быстро разрулили. Админам дали задания подчистить этот отладчик. Написали распоряжения на будущее, мне дали премию. А ситуация, кто далёк от секретки, была патовая. АРМ по сути не соответствовала требованиям, но на ней обрабатывалась секретка. Посадить бы не посадили, но штрафы были бы не хилые. И моим шефам в первую очередь. Нарушение толи первой толи третьей категории.
Главное в этой истории другое. В то время у мин атома требования были жёстче. Им проверка на закладки требовалась. Поэтому они через пень колоду, выудили себе в распоряжение копию NT4.0, жуткая гадость кто в курсе. Насколько я знаю в стандартном конфиге debug вроде как имелся. Но вот был ли в той сборке он, вопрос любопытный? Задать его, как вы поняли мне не дали :) а вот искать дыры оказалось столь интересным занятием. Тем более раздолбайства никто не отменял.
Вот с этим столкнулся я и в нынешней работе. Порой дурость людей, за клавиатурой пользователя, бьёт все рекорды. Представляете удивление бывшего инфобезопасника, пусть и не высокого полета, пришедшего в компанию, где серьезно поставлена работа как СБ так и ИТ отделов, и при этом в элементарном откровенный бардак.
Во многих компаниях выручка, является конфиденциальной информацией. Тем более сменная. Об этом сотрудники подписывали соглашение. Об этом указано в договоре конфиденциалки. Это нежилые затраты компании. Думается вся ИТ система софта ориентирована на безопасность этих сведений в том числе. А по факту? А по факту каждый вечер руководство магазинов, шлёт друг другу и в группы ежедневную выручку. По ватсап. И самое смешное руководители СБ на местах и местные директоры региона в курсе. И всем чхать, что это увольнение, по статье. Они бы сразу в инсту выкладывали бы скрины. Хотя, я не факт, что смартфон этого уже не сделали, синхронизировав фото с аккаунтом Гугла. Кто знает что эта фича автоматическая в новом Андроиде.
Дальше веселее. Пришли новые терминалы сбора данных(ТСД в обиходе). Под ос Андроид. Классные игрушки. Весь софт собственный, разработки ИТ Х5. Установить левый невозможно. Сеть только вифи, о ней позже, доступа во внешку нет. Левый софт вкорячить не получится, как бы. И тут ситуация, коллеги днём сделали фото на ТСД. Вечером взялись грузить фото в приложение, и выясняется. Фото весом 2гб, а допустимо только 1гб. Варианта два, жать или перефотывать из приложения с другими настройками. Повторное фото сделать геморрой, нужно много времени. А его то как раз нет. Нужно до закрытие магазина все отправить. Ждали меня, с их слов, как бога :).
Задача оказалась на сообразительность. В ТСД небыло ничего, чем сжать фото. Первая мысль, отконнектить местный вайфай, и примонтировать точку доступа со своего смарта. Поставить программу, сжать, потом подчистить приложения. И пока думал понял, что нашел две хорошие дыры в безопасности.
Побоялся отключать вайвай местный, так как используется цисковское оборудование, с аутентификацией логин/пароль директора. Эту связка у меня уже имелась, но не был уверен, что она подойдёт. Решение проблемы оказалось проще. Открыл блютус. Скинул себе фото. Так как для фото, у меня тоже стандартные средства, тоесть жать нечем, просто переслал его из аккаунта в аккаунт по ватсапу. Фишка ксиоми. Оно сжалось до 166мб. Вернул по зубу обратно и благополучно загрузили фото в приложение.
Теперь собственно про дыры. Как вы поняли, первая дыра на ТСД, это блютус. Тоесть можно спокойно перебрасывать любые данные, и софт и фото и много чего тырить, просто коннектясь средствами андроид.
Вторая дыра. Это все тот же человеческий фактор. Хранение паролей. Для доступа в сеть, по мануалу от ТСД, требуется пароль директора, от внутреннего аккаунта привязанного к личному кабинету. Вы скажете это же личная информация. Ага. Поэтому почти все пароли сотрудников магазина можно посмотреть в кэше паролей хрома на рабочем компьютере.
Все бы ничего. Но. Это уже дыра поинтереснее. Для работы используются, я так понял ПК в режиме терминала. Пароли для запуска на бумажке у директора, и все на всякий случай знают где они лежат. Пароль, для доступа в местную сеть есть. В лучшем случае, после грубого увольнения, нечестный сотрудник, подъедет вечером с ноутом к магазину, зайдет в сеть, откроет терминал и спишет весь товар в неликвиды. Пока поймут что и как, магазин весь день не работает.
Надесь, не все так просто, как я нарисовал. За админской панелью не новички. Возможно загрузка терминалов привязана к маку. Но тестить нет желания, если честно. За то прикольно смотреть на лица техников и программеров, которые приезжают иногда в магазин, и когда продавец, лузер в их понимании, вдруг показывает знания которыми не каждый профессионал обладает.
В итоге хочу сказать несбывшимися коллегам. За рутинной работой, ковыряя роли и права, закупая дорогой софт и аппаратуру, часто так глубоко лезут в дебри, что не замечают элементарного. И как сказал один препод на спецкурсах в НГТУ: "У любой информации есть цена. Она измеряется финансовыми потерями, которые понесет владелец в случае проблем с ней. И защита, не должна превышать эту стоимость. Иногда стоит подумать, что выгоднее, платить миллионы за защиты от дурака или нанять профессионала, платя достойную зарплату за его верность." А бывший коллега особист перефразировал бы: "Что бы спереть из кабинета директора папочку с секретными документами, дешевле (мыжским органом) и цветами завербовать секретаршу, которая сопрет все тихо, чем нанять воров с монтировками, и они бы полезли через взвод охраны и гору сигнализаций и не факт что смогли бы"
