Cyberwereld in paniek na de grootste datalekken ooit.

[reservespeler]

https://www.hbvl.be/cnt/dmf20211211_96697061

HBVL 11-12-2021
Cyberwereld in paniek door één van de grootste datalekken ooit: “Het internet staat in brand”
Er heerst paniek in de IT-wereld nadat een ernstig lek is aangetroffen in de veelgebruikte Log4j 2-tool die gebruikt wordt voor het loggen van Java-applicaties. Sommige experts spreken van het grootste lek ooit en zeggen dat geen enkel bedrijf gerust mag zijn dat er straks niet wordt ingebroken op hun systemen.


Tja, we moeten steeds meer online doen.
Mensen beseffen niet dat daar ook risico's aan verbonden zijn.


Wat vinden jullie? Zijn die risico's aanvaardbaar? Of moeten we toch bepaalde dingen doen op de oude manier? Zo ja, welke?
Ik ken er te weinig van en zou er graag meer over weten.


HBVL 11-12-2021
Log4j is een veel gebruikte open source bibliotheek die vooral door ontwikkelaars wordt gebruikt om vast te leggen of er problemen in een applicatie voorkomen. Het grote lek, dat de naam Log4Shell kreeg en op 24 november voor het eerst gemeld werd door de Chinese techgigant Alibaba, zorgt nu voor paniek wereldwijd. De programmeertaal Java wordt immers gebruikt door 80 tot 90 procent van de bedrijven. “Dit zal binnen een paar weken voor een nieuwe golf van cyberaanvallen zorgen”, vrezen experts.

Door het lek zijn ook de inlogdiensten van grote bedrijven als Apple, Google, Amazon momenteel kwetsbaar voor misbruik.

[Rudy]

Bescherm in de eerste plaats jezelf. Uw pc of smartphone dus;

Daarnaast heb ik toch liever wat meer technische uitleg. Een krant zoals HBVl kan nogal wat opkloppen. Sensatie heet dat.
Relativeren is de kunst.

ik zie dit eerder als iets voor "fact checking".

[kelt]

Daar gaan we weer...

https://arstechnica.com/information-...loud-services/


Het intypen van iets in een username-box zou niet zomaar mogen leiden tot externe netwerk-connecties.
In screenshots in het stukje in bijlage wordt getoond hoe verschillende-,(en niet van de kleinste-) cloudgebaseerde diensten op die
ongeoorloofde wijze wl toegang lijken te geven naar de buitenwereld,hetgeen zou bewijzen dat ze Log4Shell zelf gebruiken als gereedschap
en er wordt nu de gevolgtrekking gedaan dat die Cloud-services tot nader order kwestbaar zijn..


Die grote cloudservices gaan wel binnen de week de boel dichttimmeren,maar duizenden andere organisaties,en daar kunnen en zullen wel
ziekenhuizen en scholen tussen zitten,hebben ook steeds uitgebreider IT-netwerken ,beetje hybride ondertussen,deel op servers,deel in de cloud,en ,het is al genoeg bewezen,hebben niet de mensen en
de (financiele-) middelen om steeds maar die "kwetsbaarheden" ,meerdere per jaar al,dicht te tapen.


De Cloud betekent beslist een aanzienlijke vereenvoudiging voor oraganisaties die zich zelf geen "beheerders" wensen te veroorloven.
Geen eigen serverpark = geen zorgen,en amper IT personeel meer(die zijn toch al vrijwel onvindbaar en zeker onhoudbaar)..

Wel,de hackers knutselen reeds in de cloud....

[Het Verzet]

[reservespeler]

Oorspronkelijk geplaatst door Het Verzet

Daar snap ik niets van.

[Het Verzet]

Oorspronkelijk geplaatst door reservespeler

Daar snap ik niets van.

Software is grotendeels opgebouwd uit modules.
Je gaat echt niet alles zelf schrijven (vb hoe een client zich zou authenticeren aan een server), maar gebruikt bestaande modules.
Sommige modules zijn al een tijd ingebakken in een taak.
Dit zit ondertussen ingebouwd in java.
Dit zit overal inverwoven.

[Zucht]

Het meest onbegrijpelijke is dat die bibliotheek overal zit,maar dat de exploit eerst ontdekt en ge(mis)bruikt werd door Minecraft kiddies om hun spel op te waarderen.
Een logger die via een bepaalde logstring een commando prompt oproept waarmee je om het even wat kan doen is er wel iets over. Wie steekt dat daar nu in ?

https://www.youtube.com/watch?v=5-GkpxbZ9Zw

[kelt]

We lezen hoe de aanvallen gebaseerd op die vermelde kwetsbaarheid al begonnen zijn ...

Kronos,een cloud-speler voor aanwezigheidsregistraties,loonberekeningen en andere bedrijfsgerelateerde diensten is geblokkeerd....Het heeft hoogstwaarschijnlijk te maken met dat Log4shell euvel...

Pijnlijk dat dit gebeurt precies in het tijdsframe dat de loonadministraties de kerst- en eindejaarspremies aan het verwerken zijn...

Het is te begrijpen dat ransomware-aanvallers ook hun premie willen ...

Tevens gaan een nog onbekend aantal bedrijven hun aanwezigheidsregistraties weer op een of andere "old school" methode moeten doen....

https://community.kronos.com/s/feed/...language=en_US

[Libro]

Oorspronkelijk geplaatst door Het Verzet

Software is grotendeels opgebouwd uit modules.
Je gaat echt niet alles zelf schrijven (vb hoe een client zich zou authenticeren aan een server), maar gebruikt bestaande modules.
Sommige modules zijn al een tijd ingebakken in een taak.
Dit zit ondertussen ingebouwd in java.
Dit zit overal inverwoven.

En als er dan één zondagsprogrammeur tussenzit die tussen twee trekken weed een bit verkeerd zet in een update van zijn applicatietje van 17 jaar oud...

[Herr Flick]

Oorspronkelijk geplaatst door Het Verzet

Yep, dat is het wel ongeveer....

[Herr Flick]

Oorspronkelijk geplaatst door Zucht

Het meest onbegrijpelijke is dat die bibliotheek overal zit,maar dat de exploit eerst ontdekt en ge(mis)bruikt werd door Minecraft kiddies om hun spel op te waarderen.
Een logger die via een bepaalde logstring een commando prompt oproept waarmee je om het even wat kan doen is er wel iets over. Wie steekt dat daar nu in ?

https://www.youtube.com/watch?v=5-GkpxbZ9Zw

Wel, ...

A handig toch ?

B de wetgever in de US of A wil dat er een sleutel is, om erin te kunnen, dus je gaat zo nog honderden gaten moeten dicht stoppen.

[kelt]

Dat probleem met die log4J ,een blijkbaar zeer zeer algemeen gebruikte "logging-utility" in cloud services moet al LANG bekend zijn in bepaalde milieus...

Want we vernemen dat reeds een paar "patchen" die uitgebracht zijn vrijwel prompt "doorbroken" zijn.

https://arstechnica.com/information-...under-exploit/

Dat kan er op wijzen dat hackers hierover al lang nagedacht hebben en zelf de gereedschapjes klaar liggen hebben voor een scala aan scenario's...

Men kan zich afvragen in hoeverre de drang van "de staat" om zich overal in te bemoeien(en we WETEN dat mensen die voor de overheid werken ook wel eens elders of voor zichzelf beginnen hé) niet mee debet is aan zulke ongelukken......

Hoe KOM je er tenslotte op om in die miljoenen en miljoenen lijnen kode,van soms 20 jaar ver, toch de kwetsbare stukjes er uit te vissen en inbraakgereedschapjes te koderen tenzij iemand (de overheid bvb) ondertussen uw boterhammen met kaas betaalt hé?

Het is niet steeds de maffia vermoed ik zo....

[kelt]

Er zouden al in de ordegrootte van 840000 aanvallen zijn geweest gebaseerd op die fout in log4J die hackers van op afstand toegang heeft op
schijnbaar beveiligde servers...(waardoor die allerlei leuke dingen kunnen doen...)

https://arstechnica.com/information-...gh-log4j-flaw/

De bron van de kwetsbaarheid ligt blijkbaar hij wat stukjes kode die ooit door vrijwilligers van de Apache-Foundation gemaakt zijn
en in vele andere "open-source" projecten zitten ...Log4J is vele miljoenen maken in gebruik genomen en de kwestbaarheid betreft vele honderden miljoenen apparaten.

(bestudeer even het prentje dat een medeforummer een tijdje geleden in dit draadje gepost heeft)


Overigens,voor wie zulke zaken wil gebruiken als kritiek op het "open source" gebeuren kan aangemaand worden eens de REDEN VAN BESTAAN van "open source" projecten te bestuderen.De zogenaamde "veilige" "closed source" commerciele projecten van toendertijd kwamen er niet zo best af(niet vooruit te branden ,duur,en bovendien "digitale gevangenissen" eens je gekozen had voor deze of gene leverancier......Het is eigenlijk zelfs maar de vraag of "het internet" ,maar evengoed de toegang tot data (correcte en vals,al gelijk)zoals we dat kennen en waar we meestal van houden wel zou BESTAAN in de toch performante, betaalbare en soepel inzetbare vorm die we nu kennen.

Overigens hebben grote organisaties (Amazon etc...) zich ongetwijfeld al ferm dichtgetimmerd en getaped.....Maar de aanvallen (sommigen succesvol) op kleinere - en trage organisaties kunnen nog maanden verder gaan...

[Erw]

Het begin van het probleem is dat tekst wordt geinterpreteerd als code.
Op een bepaald moment in de evolutie van internet, besloten enkele dat pagina's "dynamisch" moesten kunnen zijn. Als een statische pagina werd geladen, bleef die zoals ze was, tot de gebruiker op iets klikte. Die afhankelijkheid van gebruiker paste niet in reklaam en andere leuke doeleinden, en dus staken ze een codetaal in, "javascripting".
En toen gebruikers die begonnen uit te schakelen, om van de storende rommel af te zijn, begonnen ze de wèl gewilde functionaliteit pas te bezorgen op voorwaarde dat de ongewenste rommel werd geaccepteerd.
En zo steeds verregaander, tot de dag van vandaag.

Over dezelfde tijd, contradictorisch, begonnen ze gebruikers tot steeds meer "veiligheid" te dwingen, door standaard instellingen en door lastig tot onmogelijk te maken, om minder/niet gerestricteerd te worden.

Een beetje de digitale versie van wat in de algemene wereld gebeurde.

Eigenlijk een cirkeltje dus. Zelf onveiligheid veroorzaken, om die dan als excuus te hanteren voor Veiligheids Maatregelen.

[Het Verzet]

Oorspronkelijk geplaatst door Erw

Het begin van het probleem is dat tekst wordt geinterpreteerd als code.
Op een bepaald moment in de evolutie van internet, besloten enkele dat pagina's "dynamisch" moesten kunnen zijn. Als een statische pagina werd geladen, bleef die zoals ze was, tot de gebruiker op iets klikte. Die afhankelijkheid van gebruiker paste niet in reklaam en andere leuke doeleinden, en dus staken ze een codetaal in, "javascripting".
En toen gebruikers die begonnen uit te schakelen, om van de storende rommel af te zijn, begonnen ze de wèl gewilde functionaliteit pas te bezorgen op voorwaarde dat de ongewenste rommel werd geaccepteerd.
En zo steeds verregaander, tot de dag van vandaag.

Over dezelfde tijd, contradictorisch, begonnen ze gebruikers tot steeds meer "veiligheid" te dwingen, door standaard instellingen en door lastig tot onmogelijk te maken, om minder/niet gerestricteerd te worden.

Een beetje de digitale versie van wat in de algemene wereld gebeurde.

Eigenlijk een cirkeltje dus. Zelf onveiligheid veroorzaken, om die dan als excuus te hanteren voor Veiligheids Maatregelen.

Tof.
Maar dat heeft hier allemaal weinig tot niks mee te maken.
Java is geen Javascript.