Hoofdcategorieën
Device Settings

[RSS] [quick] Index » Nieuws » Pro » Internet » Aanvallen op supercomputers leiden tot veiligheidsvragen

Aanvallen op supercomputers leiden tot veiligheidsvragen

Door Remy Bergsma, donderdag 15 april 2004 13:29
Bron: InfoWorld, views: 12.037

Begin deze maand is er ingebroken in een aantal supercomputers van universiteiten en onderzoeksinstellingen, zo laat InfoWorld weten. De supercomputers draaien de OS'en Linux en Sun's Solaris, en de hackers misbruikten een paar eerder bekend geworden zwakke plekken in de systemen om zo in te breken. De supercomputers waar het om gaat zijn onder andere die van Stanford University en Chicago University, die weer onderdeel zijn van TeraGrid, wat het grote rekennetwerk is van het National Science Foundation. De aanvallen werden door middel van rootkits gemaskerd, waarbij de hackers gebruik maakten van gestolen passwords die ze van onveilig verkeer (zoals Telnet) en uit bestanden van gekraakte systemen hadden gehaald.

De Information and Technology Systems and Services (ITSS) van Stanford University heeft verschillende waarschuwingen uitgebracht, en adviseerde om verschillende systemen van de grond af weer op te bouwen met de nieuwste beveiligingspatches. Volgens het artikel op InfoWorld zijn universiteiten een 'makkelijk' slachtoffer vanwege het open karakter van het onderzoek dat er gepleegd wordt. Een aantal universiteiten heeft bovendien vanwege het feit dat veel mensen vanuit het buitenland toegang moeten hebben tot hun netwerk, delen van hun netwerken niet zo sterk afgeschermd als zou moeten. De vraag is nu of de hackers na de wederopbouw van de systemen niet nog steeds toegang zullen hebben, door de 'onzichtbare' technieken die ze gebruiken om beveiligingen te omzeilen.

Supercomputer Stanford University
De Silicon Graphics Orgin 3800 supercomputer van Stanford University.
Volgende 13:40 Matrox binnenkort met nieuwe versies Parhelia
Vorige 13:23 Constructie AMD Fab 36 in Dresden ligt op schema
Advertentie

Categorieën

Gerelateerde content

Reacties

Flat modeFlat mode Sorteer aflopendSorteer aflopend Moderatie FAQModfaq
Niveaufilter: -1 Ongewenst: 67 reacties zichtbaar670 Off-topic / Irrelevant: 65 reacties zichtbaar65+1 On-topic: 48 reacties zichtbaar48+2 Informatief: 22 reacties zichtbaar22+3 Spotlight: 6 reacties zichtbaar6
«  1  2  3  »

Door Ferdy_O, donderdag 15 april 2004 13:33

Score: 0
'een paar eerder bekend geworden zwakke plekken in de systemen' :? erg dom natuurlijk.

Door Paradise, donderdag 15 april 2004 13:35

Score: 2
En dit is natuurlijk ook niet wat 't wezen moet:
waarbij de hackers gebruik maakten van gestolen passwords die ze van onveilig verkeer (zoals Telnet)
Het allereerste wat je leert bij remote beheer is toch dat je SSH moet gebruiken ipv Telnet, dacht ik zo. Zeker bij het gebruik van zulke grote machines. Beetje rare gang van zaken. :)

Door Aetje, donderdag 15 april 2004 13:48

Score: 2
Helemaal mee eens...

Dat er op dit soort systemen nog telnet gebruikt wordt is meer een voorbeeld van wanbeheer dan van onveiligheid van het systeem... imho.

Door RetepV, donderdag 15 april 2004 14:43

Score: 0
Ik denk eerder dat het een voorbeeld is van hoe universiteiten te weinig geld hebben voor systeembeheer.

De machines worden vaak gesponsord door het bedrijfsleven, maar het beheer moet de universiteit dan weer zelf regelen. En aangezien universiteiten geen geld hebben voor complete systeembeheerafdelingen wordt het beheer meestal gedaan door studenten of leraren die het 'er bij' doen.

Er is simpelweg geen budget vrij. Een universiteit draait niet met een winstoogmerk. In feite zou het bedrijfsleven daar iets aan moeten doen. Tenslotte heeft het bedrijfsleven net zo goed voordeel aan die supercomputers. Sterker nog, de meeste mensen uit het bedrijfsleven KOMEN van een universiteit, die hebben hun carriere aan die universiteiten te danken.

Je zou dus best wat meer dankbaarheid uit het bedrijfsleven verwachten. Maar alla, De Nederlander doet niet aan dankbaarheid, hé. De meeste Nederlanders hebben net zo veel moeite met het zeggen van 'dank je wel' als met het zeggen van 'het spijt me'.

Door GA!S, donderdag 15 april 2004 15:38

Score: 3
En aangezien universiteiten geen geld hebben voor complete systeembeheerafdelingen wordt het beheer meestal gedaan door studenten of leraren die het 'er bij' doen.
Sorry, maar dit slaat werkelijk nergens op. Alle universiteiten, en zeker die met dat soort supercomputers, beschikken over een volwaardige IT afdeling welke zich enkel met dat soort zaken bezig houdt.

Door mjtdevries, donderdag 15 april 2004 16:17

Score: 1
Het soort systeembeheerders op universiteiten zijn inderdaad vaak mensen die het "er bij" doen. Meestal zijn het "tweakers" zoals je die hier vindt.

Ze roepen wel allemaal om het hardst dat Linux zo makkelijk en veilig is en veel daarom veel beter dan windows, maar hiermee blijkt dan weer dat de ervaring met hun thuis-pctje niet voldoende is om zo'n systeem goed te beheren. Hard roepen is toch weer wat anders dan het zelf in de praktijk ook netjes doen.

En daarnaast heb je stapels mensen die steeds horen en roepen dat Linux zo veilig is, maar daadwerkelijk niet weten dat telnet zo vreselijk onveilig is.
Inderdaad is het eerste dat je leert bij remote beheer dat je SSH moet gebruiken ipv Telnet, maar daarbij ga je er dan vanuit dat het iemand is die het vak geleerd heeft gekregen, ipv met thuis hobbyen zijn ervaring heeft opgedaan.

Aan de andere kant verwacht je bij zulke dure hardware toch wel beter opgeleide mensen. Tenzij de aparatuur voor de universiteit zelf niet zo vreselijk duur was. Sponsoring van bedrijfsleven gaat in de VS volgens mij een stuk verder dan in Nederland. Wat dat betreft verwacht ik zoiets dan ook minder snel in Nederland.

Door KRIS FRANSSENS, donderdag 15 april 2004 13:44

Score: 2
idd. Erg dom. Maar wat moet men doen? Veiligheidslekken melden zou verplicht moeten zijn. Van de andere kant, wanneer er een lek aan het licht komt en er is geen onmiddelijke oplossing voor handen zijn dergelijke toestanden mogelijk.
Ik zou me in beide gevallen bekocht voelen. In geval A omdat ik met een vals veiligheidsgevoel leef. In geval B omdat de softwarefabrikant een lek openbaar maakt en dus de zwakke punten van systemen aanwijst.
In geval A voel ik me bekocht maar het kan minder kwaad....

Door Taennyn, donderdag 15 april 2004 13:49

Score: 2
Tja, het moet ook verplicht worden om bij sexueel expliciete mails een tag in de subject te zetten, maar de spammers trekken zich hier toch niets van aan.

Dit is ongeveer hetzelfde. Degenen die met kennis van een bug zitten en hier rottigheid mee uithalen, zullen echt niet hun speeltje weggeven door het vertellen van de aanwezigheid er van, zelfs al is dit tegen regels.

Door KRIS FRANSSENS, donderdag 15 april 2004 14:11

Score: 2
Dat is niet wat ik bedoel. Meer iets in de stijl van : als Red Hat, Novell, Apple, Microsoft, Sun,.... lekken ontdekken.
Het feit dat Microsoft lekken verzwijgt tot ze zijn opgelost heeft zelfs in de Nederlandse regering een kleine rel teweeg gebracht. Terwijl de strategie om "beter onwetende de klanten dan wetende criminelen" te handhaven in een dergelijk geval misschien verstandiger is.

Door _JGC_, donderdag 15 april 2004 16:09

Score: 2
Als redhat een lek ontdekt (of welke andere distrobakker dan ook, vaak zijn het redhat en suse die met de kernel bugfixes komen, die hebben daar een heel team voor), geven ze tegelijk met de melding een fix of een workaround uit.

Probleem is de beheerder die er niets mee doet. Ik beheer zelf een aantal debian systemen, en ik heb mezelf geabonneerd op de debian security mailinglist. Ik kreeg afgelopen dagen een report over een lekke 2.4.18 kernel die ook van toepassing waren op 2.4.25 die ik draaide, evenals een stel mysql bugs. Eventjes actie ondernemen en tis weer klaar.

Bij ons op school weet ik van de redhat beheerders dat ze compleet op cron en up2date vertrouwen. Ze lezen de security mailinglist niet eens en kijken of up2date wel iets doet doen ze al helemaal niet.
Tijd geleden moesten we een redhat server van ze installeren met debian, eerst backup trekken, shit, geen root access, wel een normaal account.
Even kijken, goh, up2date heeft een nieuwe kernel geinstalleerd, maar ze hebben die bak nooit gereboot. Jammer maar helaas, je systeem up2date, maar niet effectief gemaakt. Helaas pindakaas voor de security waren vrijwel meteen root user op dat systeem en konden we backups trekken alvorens de hele zooi te lozen.

Door John_Smith, donderdag 15 april 2004 16:22

Score: 1
Bedenk wel dat het updaten van zo'n supercomputer wel ff iets heel anders is dan een standaard Linux installatie updaten. Normaalgesproken worden er speciale aangepaste kernels gebruikt die overweg kunnen met de specifieke supercomputer hardware.

Door VisionMaster, donderdag 15 april 2004 16:36

Score: 1
Dan heb je dus speciale compilers, de rest is erg triviaal om je Super te updaten.
Je moet het wel intensiever testen dan op een normale workstation, maari k zie de extreemheid er niet in.

Door _JGC_, donderdag 15 april 2004 17:13

Score: 1
Als debian een fix uit 2.4.26 kan backporten in 2.4.18, kan een supercomputer-linuxdistrobakker dat ook.

Door us1111, donderdag 15 april 2004 13:34

Score: 0
Dit soort ellende wordt zolangzamerhand meer regel dan uitzondering. Ik vind dat er naast de straffen die er aan de hackers worden gegeven ook een soort boete op dit soort zaken moet komen. Beveilig je spul of krijg als verantwoordelijke een boete.

Verder vind ik dat ze die hackers/virusmakers en ander tuig moeten opsporen en er (veel) zwaardere straffen moeten geven dan dat ze nu doen.

Veel bedrijfen ondervinden zo onderhand zoveel last van dit soort zaken, dat het niet alleen op de analoge snelweg een puinhoop is, maar nu ook op de digitale, daar zijn ook veel teveel aso's!

Door vso, donderdag 15 april 2004 13:47

Score: 0
ja dat je de hackers moet straffen das de vraag, je zou eerder de verantwoordelijke moeten straffen inderdaad.

maar ja dit is net zoals alle andere strafbare zaken de dader meot je straffen maar ja als je zelf de deur open laat staan (van je huis) dan vraag je er ook om.

en wanneer laat je de deur openstaan. ga jij eens je netwerk verkeer sniffen dan schrik je je helemaal dood dat je de meeste e-mails en wachtworoden van buren c.q collega's etc gewoon kan lezen zonder al te veel moeite

Door Troy_BP, donderdag 15 april 2004 13:54

Score: 3
net zon domme stelling als zeggen dat een mooie meid die uitdagend gekleed is erom vraagt om verkracht te worden.
Die mooie meid maakt je geil en toch moet je dr afblijven.

of je mooie breedbeeld staat voor het raam en je voordeur staat wagenwijd open......

moet ik nog meer voorbeelden geven.

slechte beveiliging of niet het slachtoffer is NOOIT verantwoordelijk

Door RetepV, donderdag 15 april 2004 14:52

Score: 0
Je kunt geen boete opleggen als je niet ook voor informatie zorgt. Je kunt moeilijk iemand straffen voor dingen die hij niet gedaan heeft als niemand hem heeft vertelt dat er ueberhaupt iets gedaan moest worden.

In feite zou er een centrale repository moeten komen waar veiligheidslekken *direkt* gepost worden als ze bekend zijn. Dat levert wel weer andere problemen op (hackers weten de lekken dan ook binnen de kortste keren), maar je kunt dan wel:

* Bedrijven aansprakelijk stellen als ze te lang doen over een fix voor het lek.
* Mensen zelf aansprakelijk stellen als ze de fix niet snel genoeg hebben geimplementeerd nadat hij uitgekomen was.
* Algemene bulletins rondsturen zodat iedereen altijd weet wat de status is.

Plus dat er cijfers bekend worden over de veiligheid van bepaalde merken en types software.

Dit zou vanuit overheidswege gedaan moeten worden omdat het Internet niet van bepaalde groeperingen is maar van iedereen. Het zou dus een nutsinstelling moeten zijn, een instelling ter algemeen nut.

In de jaren '80 en '90 is er van alles geprivatiseerd. Ik weet niet wat het idee daar achter was, maar het privatiseren van veel van die instellingen is een goed idee geweest (niet van alle :+). Maar blijkbaar is er niet over nagedacht dat een nutsinstelling wel degelijk iets is dat een samenleving vooruit helpt, want ze hebben het blijkbaar afgeschaft. In dit geval vind ik dat het best wel weer tot leven gewekt mag worden...

Door Buddha, donderdag 15 april 2004 19:50

Score: 1
wat een onzin, jij krijgt toch ook geen boete als er bij je ingebroken wordt omdat er niet genoeg sloten op je voordeur zitten? Een bank krijgt ook geen bekeuring als hun kluis gekraakt wordt. Ik ben het met je eens dat security wel eens wat meer aandacht mag krijgen bij sommige instituten, maar een boete is imho juridisch onhaalbaar en bovendien onzinnig.

Door Dual Infinity, donderdag 15 april 2004 22:39

Score: 1
helemaal gelijk, maar die bank moet wel de schade dekken. Analoog daaraan kun je dus de serverbeheerders voor de veiligheid van je onderzoeksgegevens verantwoordelijk stellen.
Boetes zijn dan aan de orde in de vorm van het van schadevergoedingen. Niet als publieke boetes, aangezien de maatschappij er niet echt onder te lijden heeft gehad dat de server niet helemaal dicht stond.

Door Legolas_1973, donderdag 15 april 2004 13:35

Score: 2
tja je kan geen enkel systeem hackproof maken...

het totaal opnieuw opzetten van de servers met als doel de hoogst mogelijke veiligheid en nieuwe passwords is dan ook het enige wat ze kunnen doen. denk ook dat als ze het goed doen (en daar heb ik wel vertrouwen in) dat ook heel moeilijk wordt om te hacken...

hoop wel dat ze dan ook wat maatregelen nemen tegen het mogelijke lekken van passwords & inlognamen, B.V. SSH ipv telnet (of denk ik dan te makkelijk?)

* 786562 Legolas_1973
edit: en ze moeten uiteraard lekken en security issues ASAP fixen!

Door Mick, donderdag 15 april 2004 14:06

Score: 3
hoop wel dat ze dan ook wat maatregelen nemen tegen het mogelijke lekken van passwords & inlognamen, B.V. SSH ipv telnet (of denk ik dan te makkelijk?)
Nee hoor. :) Dat is nou een zwak punt wat relatief makkelijk te versterken is. SSH ipv. Telnet maakt het een heel stuk lastiger passwords te stelen (de verbinding wordt immers versleuteld). Gestolen passwords waren een belangrijk middel bij de reeks aanvallen uit het bericht.

Op de wiskunde & informatica faculteit van de UvA is deze policy in ieder geval al ingevoerd: Met Telnet en FTP kom je d'r sinds vorige maand niet meer op, je wordt nu verplicht om SSH en SCP gebruiken. Volkomen terecht.
tja je kan geen enkel systeem hackproof maken...
Maar je kan de boel wel goed versleutelen en het daarmee een stuk lastiger maken (een paar honderd jaar rekenwerk ;)).

Door mjtdevries, donderdag 15 april 2004 16:25

Score: 1
Het is mooi dat je er met Telnet en FTP niet meer op komt, maar is "sinds vorige maand" eigenlijk niet heel triest?

Al jarenlang klaagt iedereen over de slechte security in windows, maar ondertussen kon je tot vorige maand bij wiskunde & informatica gewoon met telnet op de servers komen?

Juist bij die faculteit zouden mensen moeten zitten die snappen hoe onveilig dat is. Als die mensen dat al die vele jaren al niet eens fixen, waarom zijn we dan eigenlijk nog zo aan het klagen over MS systemen?

Door Meneer Dik, donderdag 15 april 2004 19:38

Score: 2
Al jarenlang klaagt iedereen over de slechte security in windows
Let even op wat je zegt. Je passwords te grabbel gooien is een platform onafhankelijke actie. Dit heeft niets met slechte security van het OS in kwestie te maken.

Supercomputers die ik ken (allen Linux operated trouwens) kan ik alleen via SSH bereiken, en dan ook nog eens alleen vanaf bepaalde trusted IP adressen. En zo hoor je dat te doen, als je je er tenminste aan stoort wanneer mensen op je systeem inbreken.

Door mjtdevries, vrijdag 16 april 2004 10:13

Score: 1
Je password te grabbel gooien is in principe inderdaad een platform onafhankelijke actie.
Het te grabbel gooien mbv Telnet is wel een typische linux actie (eigenlijk unix actie)

Met een windows systeem zul je zelden tot nooit iemand telnet zien gebruiken, maar bij linux gebruikers zie ik ontstellend vaak telnet en ftp gebruikt worden. Dan ga je je toch afvragen of het OS het niet aanmoedigt, ook al heeft dat OS uitstekende alternatieven.
Maar misschien moet ik zeggen dat het te grabbel gooien mbv telnet een typische "linux-gebruikers" actie is. Dat maakt het dan duidelijker dat het niet aan het OS ligt.

Door El_Muerte_[TDS]541, donderdag 15 april 2004 13:35

Score: 0
Een super computer zonder encryptie... moet ik nog meer zeggen?

Door Herby, donderdag 15 april 2004 13:36

Score: 2
Wat voor versie van deze OS zijn dit dan? Want het lijkt me dat dit soort computers met een stabiele versie zonder fouten moet draaien? En waarom wordt er eigelijk telnet gebruikt op dit soort systemen, aangezien het toch wel algemeen bekend is dat dit een onveile manier is voor div. sessies.

Door digital_mayham, donderdag 15 april 2004 14:12

Score: 2
Voor Linux zou ik het niet weten eerlijk gezegd. Solaris kom standaard niet eens met een sshd (voor zover ik weet). Da's extra package....

Door ToBe, donderdag 15 april 2004 13:36

Score: 2
Erg jammer, maar met toegang via telnet toestaan is het natuurlijk vragen om problemen. Hele vervelende situatie. Ik hoop niet dat de onderzoeken waar ze voor gebruikt worden al te veel vertraging oplopen.

Met het opnieuw opbouwen en het toepassen van alle beveiligingstechnieken moet het wel weer goed dicht komen te zitten lijkt me. Ik snap niet waarom de "hackers" straks nog steeds toegang zullen hebben.

Door Ferdy_O, donderdag 15 april 2004 13:37

Score: 0
idd, eigenlijk zal er een strakkere wet moeten komen die (grote) bredrijven verplicht een bepaald beleid van beveliging door te voeren. Ze hebben hier wel te maken met persoonsgegevens, die niet openbaar mogen komen.

Door mjtdevries, donderdag 15 april 2004 16:26

Score: 1
Denk niet dat er op die supercomputer veel persoonsgegevens stonden.

Door Legolas_1973, donderdag 15 april 2004 13:37

Score: 0
ze draaien op linux, sun en solaris dus die URL van jou is vrij zinloos :Z

Door stok, donderdag 15 april 2004 13:57

Score: 1
Humor is een taal op zich geloof ik

Door esky, donderdag 15 april 2004 13:38

Score: 3
De vraag is nu of de hackers na de wederopbouw van de systemen niet nog steeds toegang zullen hebben, door de 'onzichtbare' technieken die ze gebruiken om beveiligingen te omzeilen.
antwoord: nee, of ze moeten er telnet op zetten of ftp met dezelfde username/password combo's als shell accounts...
Maar aangezien er zoveel mensen gebruik van maken zijn er altijd een paar die of met een post-it het password op hun monitor plakken of dat op een digitaal even veilige manier opslaan.....
«  1  2  3  »

Op dit item kan niet meer gereageerd worden.

Volgende 13:40 Matrox binnenkort met nieuwe versies Parhelia
Vorige 13:23 Constructie AMD Fab 36 in Dresden ligt op schema
VNU Media logo Hosted by True

© 1998 - 2012 Tweakers.net B.V. - Alle rechten voorbehouden - Contact - Jouw privacy - Algemene Voorwaarden

Uitgever van:

Website van het jaar 2011