Skanowanie portów - czy znamy jakieś polskie przypadki?

a skad mamy wiedziec czy mamy uprawnienia czy nie jesli nie ma weryfikacji?
w pelni otwarty port to drzwi ktore nie sa nawet przymkniete wiec nikt nie moze roscic pretencji ze ktos przez nie przeszedl...

a co mam zrobic jesli np ktos sie proboje zalogowac (na moim serwerze) na konto administratora 10 razy na sekunde?
ciezko nazwac cos takiego przypadkiem czy pomylka - jest to celowa proba przelamania zabezpieczen...

Nie spotkałem się jeszcze (w swej bardzo krótkiej karierze) z penalizowaniem samego skanowania. Samo wykrywanie skanowania, z tego co zauważyłem, jest stosowane raczej jako środek zapobiegawczy (ktoś skanuje mój serwer, trzeba przygotować się do wycięcia tego kogoś na firewallu i zacząć dokładniej monitorować pracę serwera) lub pomocniczy w analizie powypadkowej (większe routery i switche mogą logować takie anomalie). Wynik skanowania zależy tylko i wyłącznie od administratorów serwera, w zależności od ustawień firewalla widać różne rzeczy (z fałszywymi otwartymi portami włącznie, możliwe jest przekierowane na honeypot, pozwala w jakimś stopniu ustalić intencje skanującego).

Do tego dochodzi problem braku innych środków do odkrywania usług. Prawie każdy internauta sam przeprowadzał skanowanie. Na przykład przez wpisywanie różnych adresów do przeglądarki internetowej nie będąc pewnym, czy nazwa domenowa kończyła się na com.pl, org.pl, .pl (skanujemy port 80 na różnych serwerach).

Nie jestem prawnikiem, ale chyba nie ma żadnych podstaw prawnych do postawienia oskarżeń, chyba że podczas skanowania część usług była niedostępna w wyniku przeciążenia.

Oprogramowanie to urządzenie? Nie znam się na przepisach, nie jestem prawnikiem, ale takie założenie wydaje mi się podejrzane.

Z drugiej strony, za urządzenie można by uznać komputer wraz z oprogramowaniem, a zainstalowanie nmap-a -- za akt przeróbki na nim dokonany w celu przystosowania go do popełnienia przestępstwa.

Tylko z tego co mi wiadomo, to różnorodne oprogramowanie służące do szeroko pojętej diagnostyki sieci jest "domyślnie" instalowane w wielu dystrybucjach systemów operacyjnych, zatem o celowej przeróbce chyba nie może tu być mowy, a tym bardziej o "specjalności" urządzenia -- choć muszę przyznać, że wyczuwam tutaj "specyficzne prawnicze znaczenie" tego określenia.

Z drugiej strony nie od dziś wiadomo, że "opukiwanie" jest często wstępem do dalszej działalności, niekoniecznie niewinnej. Jak widzimy na klatce schodowej człowieka chodzącego od drzwi do rzwi i szarpiącego kolejno wszystkie klamki, to raczej spokojnie nie stoimy, prawda?

"Skanowanie portów to działanie polegające na wysyłaniu pakietów ICMP ...

W protokole ICMP nie ma pojęcia "port" więc nie można mówić o skanowaniu portów za pomocą protokołu ICMP.
Cytowanie Wikipedii to nie jest zbyt dobry pomysł.

Pojęcie portu w protokole TCP oznacza identyfikator aplikacji (typu aplikacji) na zadanym adresie IP. Aplikacja taka udostępnia usługi sieciowe poprzez wymianę pakietów protokołu TCP z danymi.

Otwarcie portu oznacza udostępnienie usługi.
Dostęp do usługi można ograniczać na wielu poziomach:
- firewall - software'owe lub hardware'owe filtry pakietów, które umożliwiają kontrolę ruchu IP, TCP/IP,..
- zabezpieczenia kryptograficzne na poziomie protokołu IP takie jak IPSEC oraz zabezpieczenia w warstwie aplikacji takie jak SSL.
- mechanizmy uwierzytelniania - software'owe zabezpieczenie na w warstwie aplikacji udosŧępnianego serwisu - aplikacja po prostu jest tak skonstruowana, że aby uzyskać do niej dostęp należy przedstawić dane umożliwiające uwierzytelnianie (hasło, response w protokole challenge-response + certyfikat, ...)

Ten kto otwiera port, udostępnia serwis. Jeśli serwis nie powinien być dostępny, należy zastosować jedno z w.w. zabezpieczeń. Skanowanie portów to jedynie odkrywanie udostępnionych na danym hoście serwisów.

Jeśli urząd publiczny udostępnia port bazy danych, to należy zastanowić się nad przemyśleniem architektury rozwiązania informatycznego w urzędzie i wyciągnięciu konsekwencji wobec jej pracowników technicznych. Zastanawianie się w takim momencie nad zmianą prawa to próba przerzucenia odpowiedzialności z osób administrujących na użytkowników.

Cały problem polega na tym, że bardzo łatwo w sposób nieświadomy zacząć wysyłać pakiety na różne porty innej maszyny ("skanować porty") poprzez na przykład wpisanie nieprawidłowych adresów w jakiegoś klienta p2p lub instant message. Takie oprogramowanie może podejmować próby wielokrotnego łączenia się na różne porty w zadanym zakresie na różnych hostach.

To mi trochę przypomina wytaczanie procesu domowi handlowemu za to że złamałem sobie nogę na ich marmurowej podłodze w czasie zakupów.
Przerzucanie odpowiedzialności to zjawisko istniejące w głowie każdego człowieka i całych instytucji - niestety.

Temat był już przerabiany wielokrotnie przy okazji różnych wyczynów mniej lub bardziej pomysłowych misiaczków.

Po pierwsze za pomocą skanera portów nie da się wykryć tego typu luki. Skaner portów może poinformować nas o otwartych portach, rodzaju systemu operacyjnego (i wersji) oraz o wersjach oprogramowania działającego na poszczególnych portach. Żeby stwierdzić istnienie luki (jak opisał autor maila) trzeba by przynajmniej spróbować się zalogować do tej bazy. Sam fakt, że otwarty jest port przykładowo 3306 (MySQL) może świadczyć jedynie o kiepskich praktykach bezpieczeństwa, a nie o samej podatności. Jeśli autor maila domniemuje, że luka istnieje (np. porównał wersję z CVE), a nie próbował jej zweryfikować, to raczej nie ma się czego obawiać.

Przez ostatnie dwa lata miałem okazje pracować z zespołem PIONIER CERT i nie przypominam sobie jakiegokolwiek przypadku, żeby ścigano kogoś za skanowanie portów.

Ważniejszą kwestią jest działalność polegająca na szukaniu dziur w cudzych serwisach i późniejsze zgłaszanie jej właścicielom. O ile dobra praktyka (i moje doświadczenie) mówi, że właściciel powinien podziękować, wyrazić uznanie (nie, wcale nie w sposób materialny) i dziurę załatać, to czasami jednak zdarza się, że sprawa trafia do sądu. Ponieważ nie mamy chyba żadnego spójnego orzecznictwa, więc w tym przypadku wszytko zależy od sądu i biegłego sądowego.

Zainteresowanym polecam ten wątek, a w szczególności wypowiedzi lcamtufa, który jest prawdziwym głosem rozsądku :].

c.

Informacja uzyskana dzięki przeskanowaniu portów może być cenniejsza niż posiadany przez hakera słownik haseł - to fakt nie podważalny.

Nie jestem informatykiem więc nie wiem jak można zabezpieczyć przed niepowołanymi osobami informację o otwartych portach. Z punktu widzenia art. 267 to jest ważny problem, bo gdy coś jest publicznie dostępne to czy mogę popełnić przestępstwo? Chyba nie. Czytelnik - autor listu chyba skanując porty nie uzyskał zaszyfrowanej lub w inny sposób zabezpieczonej informacji. Więc jak czytam instrukcję wejścia do jakiegoś komputera wywieszoną obok rozkładu jazdy mpk czy jest to przestępstwo?

Owszem na gruncie pierwszego zdania w tym poście można pomyśleć, że wynik skanowania to i tak cenna informacja, ale czy wystarczająco zabezpieczona aby mogła podlegać ochronie prawnokarnej. Niech wypowiedzą się technicy.

Paragraf drugi art. 267, według komentarzy doktryny odpada bowiem dotyczy przede wszystkim rzeczy - kamer, mikrofonów itd. Ustawa posługuje się pojęciem urządzenia, za takie trudno uznać program komputerowy. Problem nazywania programów komputerowych rzeczami szeroko jest omawiany w literaturze dotyczącej prawa autorskiego. Choć jak wiadomo są wyjątki w doktrynie np. Prof. Adamski uważa, że użycie słowa narzędzia może być wykorzystane dla narzędzi komputerowych więc skoro włącza do katalogu narzędzi password sniffery to pewnie byłby bliski skanerom portów.

Przepis art. 269b jest niejako uzupełnieniem innych przestępstw bowiem wskazuje, iż pewna forma przygotowania do ich popełniania jest już samym przestępstwem. O przestępczości czynu w postaci wytworzenia oprogramowania do skanowania portów będzie decydować nie tylko przeznaczenie programu, ale i umiejętność jego praktycznego użycia i cel działania.

Z przedstawionego w artykule powyżej stanu faktycznego nie wynika konieczność odwołania sie do art. 269b w celu oceny karalności czynu, ale można wspomnieć na marginesie że pominięcie zarówno art. 267 par. 1 i 2 w znamionach 269b jest nieporozumieniem.

2 lata temu jak przygotowywałem pracę mgr o art. 267 KK to nie było na ten temat za dużo literatury. To co było dotyczyło abstrakcyjnych teoretycznych rozważań nie popartych wnioskami z praktyki w szczególności żadnym orzecznictwem. Może praktyka przychyli się do potrzeb świata elektroniki, szczególnie po zmianach art. 267 które są w komisji kodyfikacyjnej w ramach ministerstwa sprawiedliwości przygotowywane.

Jeszcze krótko o statystykach. Próżno szukać statystyk przestępczości na bazie art. 267. Kiedyś na stronie internetowej komendy głównej policji można było wyczytać kilka cyferek, ale bez żadnej analizy i rozbicia na szczegóły np. jaka z tego część dotyczy otwierania tradycyjnej korespondencji, a jaka hackingu sensu stricto. Trzeba by było obejrzeć akta postępowań karnych aby móc mówić o jakiejś utrzymującej się tendencji na najniższym szczeblu (stawianiu zarzutów czy akty oskarżenia, metody wykrywcze i przypadki umorzeń postępowania bądź wręcz odmowy wszczęcia). Bo Sąd Najwyższy się na ten temat chyba jeszcze nie wypowiadał.

Niestety nie śledzę już tych zmian, choć to czym się zajmuję obecnie zawodowo nie jest na szczęście odcięte od prawa komputerowego :)

Swoją drogą autor serwisu to pewnie bardzo zajęty człowiek bo już trzeci dzień czekam na założenie konta, szkoda że trzeba pisać jako osoba anonimowa i czekać z komentarzem aż temat nieco straci wobec wysypu kilku nowych. jak na razie otrzymałem mejla z informacją o wysłanej prośbie do autora strony i od tej pory cisza... Przy czym mój podpis posta nie jest tożsamy z nickiem i nazwą konta.

Witam,

Przyłączając się do dyskusji nasuwa mi się jedno pytanie. Otóż, skanując porty otrzymuje się informacje o otwartych, filtrowanych i zamkniętych portach. Nie jest to wiedza, za którą grożą jakieś sankcje. Ale, co jeśli osoba podejmuje dalsze kroki. Np, port 3306 - czyli mysql jest otwarty. Następuje próba zalogowania się do serwera. Jedno z kont ma standardowe hasło, lub brak tego hasła. Taka osoba dostając się do serwera, przegląda dane do jakich się dostał. Następnie wyciąga jakieś rekordy w celu zdobycia dowodu :).

Czy w takiej sytuacji sprawcy danego czynu grożą jakieś konsekwencje? Jeżeli jest to karalne, to z urzędu czy trzeba poinformować osobiście odpowiednie organy ścigania? I czy w takim przypadku są różnice między rozpatrywanie sytuacji w Agencji rządowej, jak to określił autor listu, a firmą prywatną?

Jak słusznie Pan pisze skanowanie portów nie wypełnia hipotezy żadnego z obu paragrafów. Skanowanie portów to - jakby próbować być ścisłym - uzyskiwanie metainformacji (informacji o tym jaka usługa informatyczna jest dostępna na danym hoście, a dokładniej - czy na danym porcie jest jakaś usługa dostępna w standardowy sposób). To tak, jakby chodził Pan po klatce schodowej i łapał za kolejne klamki sprawdzając, które drzwi są otwarte a które zamknięte (i tylko tyle, jeśli byłyby otwarte, grzecznie szedłby Pan dalej do drzwi następnego mieszkania). Trudno to uznać za "próbę włamania" (a nawet obejścia). Natomiast istnieją zabezpieczenia oparte o niestandardowy sposób dostępu do portu (tzw. port knocking), co polega - mówiąc obrazowo - na tym, że drzwi się otworzą, jeśli się np za klamkę pociągnie raz długo i dwa razy krótko a potem jeszcze przy użyciu pogrzebacza pociągnie za klamkę u sąsiadów (kombinacja znana wtajemniczonym), więc teoretycznie można sobie wyobrazić narzędzie, które próbowałoby takie zabezpieczenia łamać (szarpiąc za klamki, tj skanując porty, losowo albo według jakichś wymyślnych schematów). Ale to czysta teoria. Nie widzi mi się żeby tradycyjne skanowanie portów jakiś sąd potraktował to jako czynność przygotowawczą do przestępstwa (chyba że za takową uznać również np fakt założenia butów przez przestępcę przed wyjściem z domu albo wejście do banku, który zamierzał obrabować). Ale jak wiadomo sądy robią różne rzeczy... Coś mi się majaczy, że w niektórych krajach były jakieś przepisy zabraniające skanowania portów, ale szczegółów nie pamiętam.

Witam,

Nie pisząc zbyt dużo i zbyt wylewnie, umyka z całej tej dyskusji jeden bardzo wątek, a mianowicie fakt że skanowanie było wykonane z sieci innej jednostki administracji państwowej a nie np. z Azerbejdżanu, skanowania dokonał inny administrator jednostki administracji państwowej, poinformował o tym odpowiednich ludzi w miejscu gdzie znaleziono lukę. Tracimy z całości dyskusji intencje!

Jeżeli chodzi o pracowników technicznych u których wykryto lukę to wygląda to tak że po prostu mają za dużo dumy żeby powiedzieć dziękujemy już zamknięte.

Jeżeli chodzi o analogie to tak jakby komuś zagrozić zgłoszeniem na policje za to że nam powiedział że mamy otwarte drzwi w samochodzie.

Po co robi się taki rzeczy jak skanowanie sieci w administracji państwowej przez innych admin-ów w administracji państwowej? Ano po to, aby nie zrobił z tego użytku na przykład jakiś młodziak który potem na chat-cie wp.pl wrzuci 2000 rekordów z bazy danych osobowych i po to, aby ktoś inny nie napisał o tym w gazetach jak to źle są zabezpieczone serwery, chociażby po to. Jeżeli chodzi o prace na stanowisku administratora sieci to ktoś kiedyś mi powiedział jak coś źle zrobiłem na serwerze - "Jak nie potrafisz nie pchaj się na afisz - to nie jest zabawka"