Asiantuntija: Sonyn palvelimilla ei ollut edes palomuuria
5.5.2011
Jukka O.
Aihealueet: PC, PlayStation 3, PSP, Internet
Tietoturva-asiantuntija Gene Spafford on viitannut Sonyyn Yhdysvaltain kongressille pitämässään tietoturva-esitelmässä, joka käsitteli kuluttajiin kohdistuvaa tieto- ja identiteettivarkauksien uhkaa. Spaffordin käsittelyssä Sony saa tietoturvastaan surkean arvosanan.
Spaffordin mukaan Sonyn palvelimet käyttivät paitsi vanhentuneita versioita Apache-palvelinkäyttöjärjestelmästä, eikä niille oltu edes asennettu palomuuriohjelmistoja.
Ja kuten toissapäivänä kerroimme,
Trixterin mukaan Sonyn PlayStation Network -palvelun osaset pyörivät toisistaan erillisinä järjestelminä, jotka olivat kaikki suorassa yhteydessä internetiin. Muun muassa PlayStation-konsolien autentikointijärjestelmä, ladattavan sisällön hallinta, kuvien tallennuspalvelu ja muut järjestelmät toimivat vanhentuneilla Apache-palvelinkoneilla, joiden välistä kommunikointia ei oltu edes salata. Saati piilotettu avointa internetiä tarvitsemattomia palveluja.
”En koskaan nähnyt yhdelläkään koneella ajanmukaista Apachea”, Trixter tylyttää.
”Jos hyökkääjät pääsivät Apachen sisään, he olivat luultavasti kiinni Sonyn mailipalvelimessa, DNS-palvelimen sisäpuolella. He pääsivät luultavasti kaikkialle.”
Spaffordin mukaan haavoittuvuuksista oli keskusteltu Sonyn keskustelufoorumilla jo useita kuukausia ennen hyökkäyksiä.
Kaiken taustalla on PlayStation Networkin suunnitteluprosessi. Pitkän linjan PlayStation-toimittajan tietojen mukaan koko verkkoratkaisu kasattiin alusta asti ongelmallisesti. Sonyn Japanin toimisto tilaili yleensä verkkopelejä duunaavalta Sony Online Entertainmentilta pieniä palasia yksi kerrallaan ja ilman mitään suurta visiota. Yksi palikka saattoi hoitaa kaverilistan, toinen taas vaikka viestien lähettelyn ja kolmas PSN-kaupan. Tästä johtuen koko kauppa oli pitkään pelkkä WWW-sivu, johon PlayStation 3 otti selaimellaan yhteyden. Ja tästä alkavat myös ongelmat.
PlayStation 3:n ja PlayStation Networkin välillä liikkuvia paketteja tutkineet hakkerit huomasivat jo alkukeväästä, että PlayStation 3 lähetti kauppaan kaikki luottokorttiisi liittyvät tiedot pitkässä HTTP-litaniassa. Viesti toki lähetettiin salattuna, joten matkalta sitä oli vaikea napata, mutta samaiset hakkerit epäilivät, että nämä todella arkaluontoiset HTTP-viestit päätyivät Sonyn servereillä samoihin logeihin kuin kaikki muutkin HTTP-viestisi. Mikäli näin on, kuka tahansa voisi logit nappaamalla päästä käsiksi lukemattomien luottokorttien tietoihin.
Lähde: Security Expert: Sony Knew Its Software Was Obsolete Months Before PSN Breach
Lisää aiheesta
”He pääsivät kaikkialle”, hakkeri arvioi Sony-hyökkäyksestä
Myös Sony Online hakkerien kohteena: 25 miljoonan käyttäjän tiedot varastettiin
Sony: 10 miljoonan luottokortit ehkä varastettu
YLE: PlayStation Network -murrossa vietiin 70 000 suomalaisen luottokortit
Viestintävirasto varoittaa: PlayStation Network -käyttäjien tietoja varastettu
Huhupartio: PSN:n tietoturva on kuin teini-Erkin koodaama
Sony tunnustaa: hakkerit varastivat PlayStation Networkin kaikki käyttäjätiedot
Jukka O. Kauppinen
- 1.
-
Nyt odotellaan innolla Legenday Wowianin uusinta kommenttia.
- 2.
-
Ja typotin sitten senkin…
:(
- 3.
-
Virheistä oppii
- 4.
-
Sony on vaarallinen esimekki yrityksestä, joka haluaa kerätä käyttöönsä kaikki sinun tietosi.
- 5.
-
Apache ei ole käyttöjärjestelmä vaan HTTP palvelin jolla PSN mitä ilmeisimmin pöyri
- 6.
-
Nonii! Eli ihme jos sinne serverille ole työnnetty paljon muutakin sinnekuulumatonta.
Olisi vain kiva jo teitää, että koska psn taas lähtee hyrskyttämään.
- 7.
-
Mites se nyt näin pääs käymään.
- 8.
-
typerää spekulaatiota
- 9.
-
Helppohan sitä on näin jälkikäteen kritisoida.
- 10.
-
Jos kaverin kone hakkeroidaan sen takia että sillä ole firewalia.. niin menetkä taputtamaan selkään ja sanomaan.. ethän sinä voinut tietää..
- 11.
-
Jos nyt oikein ymmärsin niin jutussa puhuttiin palomuurista palvelimella? Palvelimella nyt ei välttämättä käytetä softapohjaista palomuuriohjelmistoa jos verkossa on olemassa rautamuuri jonka kautta kaikki liikenne kulkee. Se nyt menee aika huonosti jos Sonylla ei tällaistakaan ollut mikä estäisi ulkomaailmasta hyökkäyksien tulemisen. Jutusta en ainakaan hokassut mainintaa, että palvelimet olisivat suoraan ulkomaailmaan kytketty.
Ja ei ajanmukainen versio Apachesta voisi selittyä sillä, että oma tuotos ei uudemmalla toimi.
En nyt yritä puolustella Sonya, mutta nämä uutiset nyt on mitä on eikä anna minulle oikein selvää kuvaa. Ja toiseksi en ole koskaan luottanut näihin ”tohtoreihin”.
- 12.
-
PSN:n perustukset ovat olleet hieman hataralla pohjalla, mutta mitäs tässä valittelemeen kun ilmaiseksi tarjoavat parasta.
- 13.
-
Lähteenä olevassa PDF tiedostossa ei mainita Apachesta mitään, eikä liiemmin palomuureista. Lähinnä spekuloidaan valtion ja yksityisten yritysten tietoturvan tasoa yleisellä tasolla.
Ei siinä etteikö Sonyllä olisi jotain vikaa ollut, mutta vähän sensaationhakuiselta vaikuttaa vaihteeksi lähteenä käytetty artikkeli, jonka oman toimittajan kommenttia käytetään myös lainauksena.Spekuloida saa, mutta käytetään oikeita lähteitä jookosta.
- 14.
-
@13 Ttrolololloo
katsoppa uutista tarkemmin, asiantuntuja johon linkki on, puhuu apachesta muunmuassa (sonyyn viitaten).
PDF on linkissä olevassa linkissä, eli lähteen lähteenä, ei tämän uutisen lähteenä vaan uutisessa käytetyn lähteen lähteenä.
Nuo lainaukset taasen, kannattaa lukea hieman paremmin sillä kyseessa on ”lainattu” vanhasta uutista sellaisenaan pätkä terästämään tätä uutista, ei mikään uusi juttu mediassa.
spekulointia on siis tapahtunut vain sinun osallasi, olet nimittäin spekuloinut tämän uutisen olevan ankka.
Kommentit
Keskustelut
Facebook