{"id":12972,"date":"2016-04-15T07:57:13","date_gmt":"2016-04-15T07:57:13","guid":{"rendered":"http:\/\/eibz.educacion.navarra.es\/blogak\/liburutegia\/?p=12972"},"modified":"2016-04-15T07:57:13","modified_gmt":"2016-04-15T07:57:13","slug":"nola-crackeatu-eta-lortu-ziren-panamako-paperak","status":"publish","type":"post","link":"https:\/\/eibz.educacion.navarra.es\/blogak\/liburutegia\/2016\/04\/nola-crackeatu-eta-lortu-ziren-panamako-paperak\/","title":{"rendered":"Nola crackeatu eta lortu ziren Panamako paperak?"},"content":{"rendered":"<p><a href=\"http:\/\/sustatu.eus\/1460531620\" target=\"_blank\">Sustatu.eus \/ 2016-04-14 \/ 668 hitz<\/a><\/p>\n<p><em><a href=\"https:\/\/panamapapers.icij.org\/\">Mossack Fonseca-ko datuen filtrazioa<\/a> denon ahotan dago azken egunotan, izan ere, kazetaritzan inoiz izan den filtraziorik handiena izan da. Kontuan izan, besteak beste, ia 5 milioi eposta filtratu direla eta baita milioika dokumentu ere. Guztira hainbat eta hainbat Gigabyte-tako\u00a0informazioa. Baina nola lortu dute kazetariek informazio guzti hori? Ba, Internet bidez abokatuen zerbitzarietara sartuta, horretarako <a href=\"http:\/\/www.mossfon.com\/\">euren webguneak<\/a> zeukan segurtasun-zulo bat aprobetxatuta, eta behin &#8220;barruan&#8221;, zerbitzariko informazio guztia kopiatuta (informazio guztia zerbitzari berean baitzeukaten, eta Intraneteko zerbitzarian ere beste segurtasun-zulo bat baitzegoen). Cracker trebatu batentzat lan erraz samarra (cracker hobetsi dugu kasu honetan, eta ez hacker; ikus amaieran). Hauxe da orain arte zabaldu den\u00a0azalpena.<\/em><\/p>\n<p><!--more--><\/p>\n<p>Panamako Paperen\u00a0artean lortu den informazio kopurua izugarria da.\u00a0Izan ere, orain arte\u00a011 miloi dokumentu filtratu dira, testu dokumentuetatik aparte, baita datu-base osoak, pdf-ak eta irudiak ere. Guztira 2.6 Terabyte informazio lortu omen dituzte kazetariek. Hauxe laburpena:\u00a04,8 milioi email,\u00a02,1 milioi PDF, 1,2 milioi irudi eta 320.000 testu-dokumentu.<\/p>\n<p>Baina nola izan daiteke maila horretako informazio kritikoa duen enpresa baten zerbitzarietan sartu eta informazio guzti hori lortzea? Oraingoz teoriak baino ez daude, baina argi dago segurtasun neurri oinarrizkoenak ere ez zituztela hartu Mossack Fonseca bulegoko arduradunek. Hauek dira egiaztatuta dauden datuak:<\/p>\n<ul>\n<li>Zerbitzari bakarra erabiltzen zuten beraien zerbitzu guztientzako (hasi webgune publikotik, segi eposta kontuetara, eta baita informazio kritikoena gordetzeko Intranetera ere).<\/li>\n<li>Bulnerabilitate ezagunak zituen WordPressen Plugin bat eguneratu gabe zuten beraien webgune korporatiboan, eta zulo hori aprobetxatu zuten crackerrek bulegoko zerbitzarira sartzeko.<\/li>\n<li>Segurtasun arazo\u00a0anitz dituen Drupal bertsio bat erabiltzen zuten beraien bezeroen dokumentazioa gordetzeko erabiltzen zuten Intranetean.<\/li>\n<\/ul>\n<p>Bigarren eta hirugarren puntuetan zentratuko gara, eta horixe da arazo eta akats handiena: euren\u00a0webgune korporatiboa zein\u00a0intraneta eguneratu eta babestu gabe zituzten.<\/p>\n<h2>WordPress eta Drupal tresnetan zuloak<\/h2>\n<p><a href=\"http:\/\/www.mossfon.com\/\">Bufetearen webgune publikoa<\/a> garatzeko WordPress plataforma ezaguna erabiltzen zuen bulegoak, eta webgune horren irudiak kudeatzeko <a href=\"http:\/\/codecanyon.net\/item\/slider-revolution-responsive-wordpress-plugin\/2751380\" target=\"_blank\">Slider Revolution<\/a> plugin baten bertsio zahar bat erabiltzen zuten. Ezagunak ziren bertsio horren bulnerabilitateak eta erasotzaile batek erraz erabili zitzakeen zerbitzarian sartzeko. Horrela sartu ziren, hortaz, crackerrak Mossack Fonseka bulegoaren zerbitzarira, euren webgune publikoan zegoen &#8220;zulo&#8221; horretatik.<\/p>\n<p>Behin zerbitzari barruan, eta eposta zerbitzaria ere eskuragarri izanda (bi zerbitzariak konektatuta zeuden), bulegoko langileen epostak lortzea baino ez zen gelditzen. Langileen posta-kontuetara sartu, eta <a href=\"http:\/\/www.microsiervos.com\/archivo\/seguridad\/contrasenas-phising.html\">phising<\/a> bidez euren pasahitzak lortu behar ziren.<\/p>\n<p>Beste alde batetik, berain bezeroen informazio pribatua kudeatzeko (hau da, egunotan hedabideetan publikatzen ari diren informazio guztia: dokumentuak, PDFak, sinadurak, eta abar),\u00a0Drupal CMSarekin garatutako intraneta erabiltzen zuten bufetean. Oraingoan ere, segurtasun neurri txikienak ere hartu gabe: erabiltzen zuten bertsioak <a href=\"https:\/\/www.cvedetails.com\/version\/156577\/Drupal-Drupal-7.23.html\" target=\"_blank\">23 bulnerabilitate<\/a> ezagun baino gehiago zituen, eta 2014ean <a href=\"https:\/\/www.drupal.org\/project\/drupalgeddon\" target=\"_blank\">\u201cDrupalgeddon\u201d<\/a>\u00a0izenarekin ezagutu zen eraso masiboaren erruduna izan zen. Hau ere, <a href=\"https:\/\/www.wordfence.com\/blog\/2016\/04\/mossack-fonseca-breach-vulnerable-slider-revolution\/\">lan erraz samarra omen cracker batentzat<\/a>.<\/p>\n<p>Hortik aurrerakoa erraza zen, denbora besterik ez zen behar: zerbitzarietan zeuden dokumentu guztiak kopiatzen jarri, eta itxaron. Horrela jaitsi zituzten Giga guzti horiek, milioika eta milioika dokumentu.<\/p>\n<p>Azalpen sakon eta teknikoagoak nahi badituzu, <a href=\"https:\/\/www.wordfence.com\/blog\/2016\/04\/panama-papers-wordpress-email-connection\/\">Wordfence webgunean dituzu<\/a>, besteak beste.<\/p>\n<h2>Kazetariek segurtasun handiagoa<\/h2>\n<p>Ikerketa honetan <a href=\"https:\/\/panamapapers.icij.org\/\">80 herrialdeko 400 kazetari<\/a> inguru (ICIJ, <em>The International Consortium of Investigative Journalists<\/em>) ibili omen dira lanean.\u00a0Badirudi, kasu honetan, kazetariak askoz zuhurrago ibili zirela informazio guztia modu seguruan gorde eta antolatzeko orduan. Amazonek eskaintzen dituen zerbitzariak erabili zituen\u00a0dokumentuak gorde eta prozesatzeko orduan, baina <a href=\"http:\/\/www.pgpi.org\/\">PGP<\/a>\/<a href=\"https:\/\/www.gnupg.org\/\">GPG<\/a>\u00a0erabili zuten korreoak zifratzeko, eta\u00a0<a href=\"https:\/\/whispersystems.org\/\">Signal<\/a>\u00a0mezularitzarako,\u00a0biak ere segurtasun-maila altukoak.<\/p>\n<h2>Cracker, eta ez hacker<\/h2>\n<p><em><strong>Cracker eta hacker<\/strong><\/em> terminoak nolabait antzekoak diren arren, bada bien artean oinarrizko ezberdintasuna. Wikipediak horrela definitzen du <a href=\"https:\/\/eu.wikipedia.org\/wiki\/Cracker\">zer den Cracker bat<\/a>: Cracker bat sistema informatiko baten segurtasuna urratu nahi duen pertsona da, <a href=\"https:\/\/eu.wikipedia.org\/wiki\/Hacker\">hacker<\/a> baten antzera, baina hauek ez bezala, onura pertsonalak edota sistema mintzea dute helburu. Hitza &#8220;criminal hacker&#8221;-etik dator eta hacker-en defentsa bezala <a href=\"https:\/\/eu.wikipedia.org\/wiki\/1985\">1985an<\/a> sortu zen hitza, jendearen erabilpen ezegokia zela eta. Cracker hauek egiten dituzten ekintzak mingarriak eta legez kanpokoak izan ohi dira.<\/p>\n<p><a href=\"https:\/\/eu.wikipedia.org\/wiki\/Hacker\">Hacker terminoak<\/a>, berriz, bi definizio izan ditzake, bata positiboa eta bestea negatiboa. Erabilpen orokorrean eta komunikabideetan, gehienetan, hackerrak ordenagailuetara sartzen diren pertsona arrotz eta kriminalekin erlazionatzen dira. <a href=\"https:\/\/eu.wikipedia.org\/wiki\/Informatika\">Informatika<\/a> alorrean, ordea, programatzaile edo teknikari trebea definitzeko erabiltzen da. <a href=\"https:\/\/eu.wikipedia.org\/wiki\/Linus_Torvalds\">Linus Torvalds<\/a> edo <a href=\"https:\/\/eu.wikipedia.org\/wiki\/Richard_Stallman\">Richard Stallman<\/a>, esaterako, hacker bikainak izan direla esan ohi da, beti ere hitzaren adiera positiboan.<\/p>\n<p>Azken egunotan hedabideetan Hacker entzun dugu gehienbat. Guk, aldiz, cracker terminoa hobetsi dugu artikulu honetan.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Sustatu.eus \/ 2016-04-14 \/ 668 hitz Mossack Fonseca-ko datuen filtrazioa denon ahotan dago azken egunotan, izan ere, kazetaritzan inoiz izan den filtraziorik handiena izan da. Kontuan izan, besteak beste, ia 5 milioi eposta filtratu direla eta baita milioika dokumentu ere. &hellip; <a href=\"https:\/\/eibz.educacion.navarra.es\/blogak\/liburutegia\/2016\/04\/nola-crackeatu-eta-lortu-ziren-panamako-paperak\/\">Jarraitu irakurtzen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":6,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[5514,5718,5505,5493,6631,5626,28],"tags":[7036,7035,6991,6993,7037],"featured_image_src":null,"featured_image_src_square":null,"author_info":{"display_name":"liburutegia","author_link":"https:\/\/eibz.educacion.navarra.es\/blogak\/liburutegia\/author\/liburutegia\/"},"_links":{"self":[{"href":"https:\/\/eibz.educacion.navarra.es\/blogak\/liburutegia\/wp-json\/wp\/v2\/posts\/12972"}],"collection":[{"href":"https:\/\/eibz.educacion.navarra.es\/blogak\/liburutegia\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/eibz.educacion.navarra.es\/blogak\/liburutegia\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/eibz.educacion.navarra.es\/blogak\/liburutegia\/wp-json\/wp\/v2\/users\/6"}],"replies":[{"embeddable":true,"href":"https:\/\/eibz.educacion.navarra.es\/blogak\/liburutegia\/wp-json\/wp\/v2\/comments?post=12972"}],"version-history":[{"count":1,"href":"https:\/\/eibz.educacion.navarra.es\/blogak\/liburutegia\/wp-json\/wp\/v2\/posts\/12972\/revisions"}],"predecessor-version":[{"id":12973,"href":"https:\/\/eibz.educacion.navarra.es\/blogak\/liburutegia\/wp-json\/wp\/v2\/posts\/12972\/revisions\/12973"}],"wp:attachment":[{"href":"https:\/\/eibz.educacion.navarra.es\/blogak\/liburutegia\/wp-json\/wp\/v2\/media?parent=12972"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/eibz.educacion.navarra.es\/blogak\/liburutegia\/wp-json\/wp\/v2\/categories?post=12972"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/eibz.educacion.navarra.es\/blogak\/liburutegia\/wp-json\/wp\/v2\/tags?post=12972"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}