Vojislav Šešelj, preko "Radikalske informativne službe" došao je u posed "obaveštenja" o stranim državljanima "špijunima" koji su boravili u Beogradu. Oni su, citiram "Neprijatelji srpske države koji rade o glavi našoj državi i koji potpomažu unutrašnje izdajničke snage u njihovim nasrtajima na ustavni poredak".
Takođe je tu "Radikalsku informativnu službu" nazvao i "Lis Laufer", nekakav "Laufer" je još 2012. bio poznat kao "Neimenovani doušnik iz srpskog bezbednosnog bratstva s kodnim imenom „Laufer“ u članku Laufer se ponovo javlja
Šešelj je koristio retoriku koju koristi od devedesetih do danas da pljuje navodne "špijune". Čitao je sa mobilnog i sa nekakvog papira dok ga je voditelj pustio da se snađe uz neprijatnu tišinu kada se pogubio. Šešelj je takođe obelodanio hotel u kome jedan odseda, time direktno ugrozivši njegovu bezbednost. Kao i navodni sastanak nekih aktera u drugom hotelu.
Takođe je prikazao njihove pasoše ili lične karte. Tu su državljani Hrvatske, Sjedinjenih Američkih Država, Irske, Velike Britanije, itd.
U noći 13-14.01 došlo je do napada na Pravnom fakultetu...
Quote:Sedmoro studenata koji blokiraju Pravni fakultet u Beogradu povređeno je tokom noći između 13. i 14. januara u tri incidenta koja su izazvale nepoznate osobe, saopšteno je na Instagram nalogu Studenti u blokadi.https://www.glasamerike.net/a/studenti-b...36040.html
MUP je izvršio uviđaj i tokom uviđaja inspektor MUP-a je napravio snimak ekrana sa nadzornih kamera:
Isti snimak je procureo u Informer
Arhiviran link članka iz Informera: https://archive.is/MvTfk
Originalni link: informer .rs/politika/vesti/980581/snimak-tuca-pravni-fakultet
Saopštenje studenata povodom curenja snimka:
Quote:ОДАКЛЕ ТАБЛОИДИМА СНИМАК СА НАДЗОРНИХ КАМЕРА НА ПРАВНОМ ФАКУЛТЕТУ?https://www.instagram.com/p/DE44oofihLO/
Дневни лист „Информер” је јуче објавио видео-снимке са надзорних камера на нашем факултету као доказ да је напад на наше студенте у ствари био интерни сукоб изазван конзумацијом алкохола.
На страну што снимци уопште не доказују поменуту тврдњу, напад на наше студенте је предмет актуелне истраге, те су нас зато припадници МУП замолили да не објављујемо никакве снимке тог догађаја. Ми смо договор испоштовали.
Међутим, истог дана су се у „Информеру” појавили снимци са надзорних камера, а направио их је ни мање ни више него полицијски инспектор ког смо, супротно лажима министра Дачића, у доброј вери пустили да уђе у зграду факултета како би прегледао снимке.
Постављамо питање: да ли је ово полиција којој треба да верујемо? Да ли је она ту да нас штити од насиља или да прикупља пропагандни материјал за „медиј” који је познат по кршењу свих могућих етичких и правних норми?
Vest o curenju snimka i saopštenju studenata: https://nova.rs/vesti/hronika/studenti-p...li-dacica/
Posted by: milos_rs
01-16-2025, 12:58 PM
Forum: Odgovor na incidente i svest o bezbednosti
- No Replies
01-16-2025, 12:58 PM
Forum: Odgovor na incidente i svest o bezbednosti
- No Replies
https://www.youtube.com/watch?v=wW_UoCrHJRY
Quote:U ovoj epizodi TeleSrbija podkasta fokusiramo se na sveprisutan i sve ozbiljniji problem – SMS phishing. Šta je tačno SMS phishing, kako funkcioniše i kako se može prepoznati?
U svetu gde su mobilni telefoni postali glavni alat za komunikaciju, ova vrsta napada predstavlja ozbiljnu pretnju za naše lične podatke i finansijsku sigurnost.
Razgovaramo o tome kako napadači koriste SMS poruke za prevare, a često se predstavljaju kao banke, telekomunikacione kompanije ili druge ugledne institucije. Kroz primere stvarnih situacija, prikazujemo kako se phishing poruke mogu skrivati iza privlačnih ponuda, urgentnih zahteva za akciju ili lažnih upozorenja o bezbednosti.
Takođe, objašnjavamo ključne korake koje možete preduzeti kako biste se zaštitili od ovih napada. Kako prepoznati sumnjive poruke? Koje informacije nikada ne treba deliti putem SMS-a?
Pridružite nam se u ovoj informativnoj epizodi kako bismo zajedno naučili kako da se odbranimo od SMS phishinga i zaštitimo svoje podatke!
važi i za kod nas dosta rasprostranjene slične prevare
Upozoravamo građane kako smo na društvenoj mreži Facebook otkrili povećan broj oglasa koji reklamiraju lažne rasprodaje!
Ovo su koraci prijevare:
- Napadač napravi Facebook stranicu sličnog imena kao neka legitimna stranica
- Ukrade slike s legitimne stranice i postavi ih na svoju
- Putem lažne stranice napravi oglas za lažnu rasprodaju
– koriste skraćene poveznice kako bi prikrili adresu web stranice (kako provjeriti skraćene poveznice)
– Oglasi imaju lažne komentare kako bi izgledali uvjerljivo
- Ako kliknete na oglas, odvest će vas na lažnu stranicu
Cilj ove prevare je krađa podataka bankovne kartice!
U našem primjeru zlonamjerna stranica ima nekoliko koraka kako bi žrtva pomislila da je uhvatila odličnu priliku i osvojila proizvod po super cijeni!
- Na stranici morate odgovoriti na par pitanja
- Obavijeste vas kako imaju proizvod koji baš vama treba
- Obavijeste vas kako imaju proizvod koji baš vama treba
- Zatim imate tri pokušaja da kliknete pravu kutiju i osvojite nagradni popust!
- Uvijek osvojite nagradu iz trećeg pokušaja!
- Uvijek osvojite nagradu iz trećeg pokušaja!
- Zatim vas vode na stranicu za krađu podataka
- Stranica za „naplatu“ traži unos osobnih podataka
- Stranica za „naplatu“ traži unos osobnih podataka
- ZADNJA STRANICA TRAŽI UNOS PODATAKA BANKOVNE KARTICE!
- Broj kartice
- Datum isteka valjanosti
- Ime i prezime vlasnika kartice
- CVV (kontrolni broj kartice)
- Broj kartice
Na Facebook-u se pojavljuju oglasi za navodnu Decathlon rasprodaju:
Postoji više lažnih Decathlon stranica:
Code:
https://www.facebook.com/profile.php?id=61571787240205
https://www.facebook.com/profile.php?id=61571703604623
https://www.facebook.com/profile.php?id=61571526434132
https://www.facebook.com/profile.php?id=61571940262351
https://www.facebook.com/profile.php?id=61572167243572
https://www.facebook.com/profile.php?id=61571536691584
https://www.facebook.com/profile.php?id=61571554842446sve sam ih prijavio i očekujem da facebook neće ništa uraditi, po običaju
Na jednoj od ovih ima objava poput ove:
Na jednoj stranici sam našao aktivne oglase:
link sa objava na svim lažnim Decathlon stranicama je joyboxgifts .pro ili luckyrafflezone.store, na desktopu prikazuju bezazleni blog post, klasičan način da se prevarant sakrije od istražitelja i automatizovanih načina blokade ovakvih stvari.
na mobilnom redirektuje na budgetdealsonline .world/c/VRNWnYzQ7K0ainN1xaCrs :
Kad se popune podaci prebaci na :
Code:
myholidayfinds .com/l/HXJedQKOP6MCt6UUixIugMBl0cDd/confirm?token=eyJpdiI6IkxFUmpTcnBaQUhrQ1R1NjdxTm12Ync9PSIsInZhbHVlIjoiVWxCVlFLbUlubTdncVlyMGl6a2tyWTdSOEpwQlcvUi9kS29vK0RnbFl0ND0iLCJtYWMiOiJmYmNlNTkzOTljOGUxNmVlMGFjZTA2MjgzYzYyNTIyMTM2ZmFlNDAwM2ZhYTIzMjlhYzIwMGIxNTg4NTcyNjM3IiwidGFnIjoiIn0%3D&_sid=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 izgleda ovako:
na dnu stranice postoji kao ime firme sa kipra, firma zapravo postoji
sajt myholidayfinds.com takođe postoji i "deluje" legitimno
plaćanje koliko vidim ide preko eu-prod .oppwa.com koji je možda legitiman payment procesor
"plaćanje" nije prošlo:
ali ipak izgled legitimnosti vara:
Jutros vidim na linkedinu ovu objavu:
Dakle neki maliciozan je preko nepoznatog propusta pokupio konfiguracije i VPN šifre sa 15,400 Fortigate firewalla po celom svetu i objavio za besplatno skidanje. Po ovoj objavi deluje da su malo stariji podaci u pitanju.
Maliciozni akter nudi podatke potpuno besplatno, može se računati da trenutno razni drugi pokušavaju da iskoriste ove podatke...
Ako koristite Fortigate uređaje na ivici mreže iz predostrožnosti ODMAH promenite sve šifre... administratorske, VPN šifre pod obavezno, WiFi šifre su takođe u konfig fajlovima tako da bolje i njih. Jeste da su šifre SHA256 hešovane ali bolje promeniti
Od Ex-yu zemalja među konfiguracijama prisutni su i u zagradama koliko puta uključujući i duplikate jer ih ima : BA (47) MK (2) RS (31) SI (13)
Podeliću zanimljivosti za Srbiju...
Zastupljene IP adrese tj. provajderi. Nemojte se osećati lagodno ako vam se IP adresa menja, u konfiguracijama je konfigurisan DDNS i svako ko ima fajl može da dođe do trenutne IP adrese vašeg rutera...
Zastupljeni uređaji i verzije:
Code:
FG200E-7.0.2-FW-build0234-211019:opmode=0:vdom=0:user=Local_Process_Access
FGT80F-7.0.5-FW-build0304-220208:opmode=0:vdom=0:user=Local_Process_Access
FGT40F-7.2.0-FW-build1157-220331:opmode=0:vdom=0:user=Local_Process_Access
FGT60F-7.2.1-FW-build1254-220803:opmode=0:vdom=0:user=Local_Process_Access
FGT60F-7.2.1-FW-build1254-220803:opmode=0:vdom=0:user=Local_Process_Access
FG200E-7.0.2-FW-build0234-211019:opmode=0:vdom=0:user=Local_Process_Access
FGT80F-7.0.6-FW-build0366-220606:opmode=0:vdom=0:user=Local_Process_Access
FG100F-7.2.0-FW-build1157-220331:opmode=0:vdom=0:user=Local_Process_Access
FGT80F-7.0.5-FW-build0304-220208:opmode=0:vdom=0:user=Local_Process_Access
FGT80F-7.2.0-FW-build1157-220331:opmode=0:vdom=0:user=Local_Process_Access
FGT80F-7.2.1-FW-build1254-220803:opmode=0:vdom=0:user=Local_Process_Access
FGT40F-7.2.1-FW-build1254-220803:opmode=0:vdom=0:user=Local_Process_Access
FGT60F-7.0.1-FW-build0157-210714:opmode=0:vdom=0:user=Local_Process_Access
FGT60E-7.2.0-FW-build1157-220331:opmode=0:vdom=1:user=Local_Process_Access
FGT40F-7.2.0-FW-build1157-220331:opmode=0:vdom=0:user=Local_Process_Access
FG100F-7.2.1-FW-build1254-220803:opmode=0:vdom=1:user=Local_Process_Access
FG100E-7.2.0-FW-build1157-220331:opmode=0:vdom=0:user=Local_Process_Access
FGT61F-7.2.0-FW-build1157-220331:opmode=0:vdom=0:user=Local_Process_Access
FGT40F-7.2.0-FW-build1157-220331:opmode=0:vdom=0:user=Local_Process_Access
FG100E-7.0.1-FW-build0157-210714:opmode=0:vdom=0:user=Local_Process_Access
FG80FP-7.2.1-FW-build1254-220803:opmode=0:vdom=0:user=Local_Process_Access
FG100F-7.2.0-FW-build1157-220331:opmode=0:vdom=0:user=Local_Process_Access
FG100F-7.0.5-FW-build0304-220208:opmode=0:vdom=0:user=Local_Process_Access
FGT40F-7.2.0-FW-build1157-220331:opmode=0:vdom=0:user=Local_Process_Access
FGT60F-7.0.1-FW-build0157-210714:opmode=0:vdom=0:user=Local_Process_Access
FG100F-7.0.5-FW-build0304-220208:opmode=0:vdom=0:user=Local_Process_Access
FG200F-7.2.0-FW-build1157-220331:opmode=0:vdom=0:user=Local_Process_Access
FGT40F-7.2.0-FW-build1157-220331:opmode=0:vdom=0:user=Local_Process_Access
FGT61F-7.2.1-FW-build1254-220803:opmode=0:vdom=0:user=Local_Process_Access
FGT60E-7.0.3-FW-build0237-211207:opmode=0:vdom=0:user=Local_Process_Access
FG100F-7.2.0-FW-build1157-220331:opmode=0:vdom=0:user=Local_Process_AccessZbog osetljivosti i rizika neću spominjati imena korisnika rutera ali moram da napravim neka zapažanja među podacima:
- Ruter koji pripada firmi koja proizvodi i prodaje peciva. Među VPN šiframa na čak 4 naloga je šifra "Comtrade123#". Te pretpostavljam da im je Comtrade radio mrežu, veoma neodgovorno postavljanje šifara.
- Ruter od jedne outsourcing IT firme iz Beograda, čak 8 VPN naloga sa korisničkim imenima lakih za pogađanje imao je šifru "stacemodajedemo"
- Ruter od jedne sportske organizacije u Beogradu, korisnička imena su "Ime" a šifre su sve "123Ime456"
- Firma iz Novog Sada koja nudi usluge vođenja poslovanja i u sklopu toga nudi i Fortinet uređaje, među VPN šiframa su "stagod1, stagod2, stagod3" itd, kao i šifre "vpnsifra123, vpnsifra321, sifrazavpn123...". A i ostale šifre su podjednako loše.
- Jedna medicinska laboratorija sa gomilom ispostava po celoj Srbiji... VPN šifre izuzetno loše, ističe se kao šifra "L031nka"
Razumem ja da je potrebno dostaviti klijentu početne šifre, to i sam redovno radim, ali valjda mogu i one biti sigurne, jer kao što je opšte poznato korisnici neće promeniti šifre ako ne moraju. Da ne bude da samo kritikujem, ima i onih sa dobrim šiframa koje se na primer kod jednog rutera sastoje od 9 random karaktera malih i velikih slova kao i broje, jedinstvenih za svakog korisnika.
ne uspevam da otvorim sajt ali tu je nešto...
mts-mojnalog.com has address 91.229.239.94
Creation Date: 2025-01-08T10:00:50Z
"Moj nalog" prevare nisu ništa novo, koristile su se i za netflix: Netflix prevara
Iz Hrvatske undercover priča o onim telefonskim pozivima koji su i nama u Srbiji sigurno poznati gde nude nekakve besplatne zdravstvene preglede za penzionere i ostale...
Quote:Nazivaju ljude i nude besplatne preglede u vrijednosti stotinu eura. I to u sklopu "dana prevencije srčanog i moždanog udara"! Sponzor je tvrtka za koju nitko nije čuo. Novinarka Provjerenog Barbara Majstorović Ivezić odazvala se pozivu i tajno snimila lažni pregled.
https://www.youtube.com/watch?v=pftrbcKGzHw
Quote:Baza Monstata hakovana je sredinom novembra prošle godine, što su jedno vrijeme prikrivali iz te ustanove, ali su istražitelji operativnim saznanjima došli do informacije koja je, izvjesno, čuvana u strogoj tajnosti u nadi da će izgubljene podatke povratiti bez pomoći stručnjaka za borbu protiv sajber kriminala.POBJEDA SAZNAJE: Istražitelji pokušavaju da otključaju dokumenta Uprave za statistiku koja su „zarobljena“ prije skoro dva mjeseca - Hakovani podaci Monstata, traže otkup za otključavanje
Kako nam je saopšteno iz više izvora, baza Monstata hakovana je sredinom novembra prošle godine, što se jedno vrijeme prikrivalo iz te ustanove, ali su istražitelji operativnim saznanjima došli do informacije koja se, izvjesno, čuvala u strogoj tajnosti u nadi da će do izgubljenih podataka uspjeti da dođu bez pomoći stručnjaka za borbu protiv sajber kriminala.
Prema saznanjima Pobjede, istražitelji tvrde da je riječ o klasičnom ransomwaru, aplikaciji ili kodu koji sajber kriminalci koriste da ograniče pristup, izmijene, unište ili ukradu najosetljivije podatke i sisteme.
Kako nam je nezvanično saopšteno, Monstatu su hakeri ponudili da otključaju podatke, ali uz određenu cijenu.
Izvori iz bezbjednosnog sektora sa kojim smo kontaktirali, sinoć je naveo da su hakeri zaključali mejl adrese zaposlenih i statistička istraživanja.
Quote:- Incident je identifikovan kao ransomware napad (medusa locker) i isti je shodno Zakonu o informacionoj bezbjednosti prijavljen nadležnim organima koji vode postupak o istom u okvirima svoje nadležnosti. Dakle, nije tačna informacija da je Uprava za statistiku skrivala da se desio sajber incident, već je istoga dana obavijestila relevantne nadležne organe u cilju sagledavanja činjenica i dobijanja konačnih nalaza o incidentu. Nadasve, Uprava za statistiku nije pretrpjela štetu navedenim sajber incidentom i nesmetano obavlja sve poslove zakonom propisan - stoji u saopštenju Monstata.Iz Uprave za statistiku (Monstat) potvrdili pisanje "Pobjede" da su im hakeri upali u sistem - Tvrde da su podaci popisa “izolovani i bezbjedni”
Svi podaci su, tvrde oni, sačuvani, sistem je revitalizovan iz backupa i nakon par dana vraćen u punu funkciju.
- Takođe, svi aktivni serveri i računari u mreži su skenirani zadnjom verzijom koorporativnog antivirusa, dok su inficirane mašine izolovane i ugašene i neće se koristiti dok se ne završi forenzika od strane nadležnih organa. Uprava za statistiku sprovodi sve mjere informacione bezbjednosti u svom informacionom sistemu u cilju bezbjednosti podataka. Shodno internim procedurama koje se odnose na sajber bezbjednost i postupanje u slučaju incidenata, Uprava za statistiku radi dnevne i nedjeljne backup-e baza podataka kako na serverima tako i na eksternim memorijama (offline backup) koje se čuvaju na propisan način - saopštili su.
Računarska mreža koja se koristi za obradu podataka Popisa 2023 i pripadajuće baze podataka nisu bili, dodaju iz Monstata, predmet napada i nalaze se u izolovanom sistemu, pa ne postoji mogućnost ovakve vrste incidenata.
Pošto sam na linkedinu ovde video objavu koja dovodi u pitanje korišćenje eksternih resursa na admin stranici Zdravitas portala, rešio sam da malo dublje pogledam Zdravitas priču i iznesem neko svoje mišljenje i vidim šta se još može otkriti...
kratki sažetak Zdravitas-a iz medija:
- „Portal Zdravitas predstavlja elektronsko vođenje evidencije o postignućima učenika u okviru nastavnog predmeta Fizičko i zdravstveno vaspitanje kroz osam merenja (šest testova i merenje visine i mase tela), koji su i do sada bili evidentirani u pedagoškoj dokumentaciji i pratili fizički razvoj i motoričke sposobnosti učenika.
- Dve privatne firme su pobedile na tenderu, jedna SAGA d.o.o, druga PortalMasters Solutions registrovana 9.4.2024, direktor Marko Petrović ima 60 odsto udela u vlasništvu, a Filip Furtula poseduje 40 odsto.
- Javni poziv za prikupljanje ponuda je objavljen 10.05.2024, samo mesec dana posle osnivanja firme PortalMaster Solutions. Tender je okončan 28.06.2024
- Iznos tendera je 42.000.000RSD ili oko 350.000eur
- Prema odluci o dodeli ugovora iz tenderske dokumentacije, vrednost ili procenat dela koji će izvršavati podeljen je ovako: Portal Master Solutions (48,3 odsto), Fakultet sporta i fizičkog vaspitanja (39 odsto), Kompanija Saga (7,4 odsto) i Fakultet organizacionih nauka (5,3 odsto).
- "podaci se ne dele sa trećim licima i biće čuvani u Državnom data centru, neće se iznositi iz Republike Srbije niti prenositi u drugu državu ili međunarodnu organizaciju."
Mislim da je svima očigledno da je firma PortalMaster znala da će dobiti ovaj tender i da je sve unapred dogovoreno. Ne bi me čudilo i da su krenuli da prave platformu pre nego je tender uopšte okončan. Možda imam ovde dokaze zašto se to tako i desilo, jer pre PortalMastera imali smo TestMaster...
Da li je firma PortalMaster zaista radila na ovom projektu?
Čudi me da mediji nisu povezali drugu firmu Marka Petrovića i Filipa Furtule sa ovim projektom. Naime oni su takođe vlasnici firme Testmaster Solutions (testmastersolutions.com) i prema APR-u imaju istu vlasničku strukturu kao i PortalMaster, iste kontakt podatke, a registrovani su na istoj adresi. Firma Testmaster Solutions takođe ima istoriju rada na javnim projektima.
Testmaster Solutions ima svoj proizvod zvani Testmaster za "softversko i organizaciono rešenje za realizaciju testiranja kandidata". Rešenje je razvijeno (valjda) 2020. na Fakultetu organizacionih nauka, pod rukovodstvom Doc. dr Marka Petrovića i u saradnji sa Vladom Republike Srbije, Ministarstvom prosvete i Kancelarijom za IT i eUpravu. Zasniva se na aplikacijama koje se instaliraju na fizičkim računarima u školama, postoji i online komponenta koja se zove "javni portal za kandidate".
Pitam se zašto je softversko rešenje koje je razvijeno javnim novcem na državnom fakultetu sada u rukama privatne firme TestMaster d.o.o. koja profitira od njega? Pošto se ne razumem u to ko polaže intelektualno pravo nad nečim razvijenim u okviru državnog fakulteta niti znam pod kojim okolnostima je to razvijano na fakultetu, ostavljam drugome da to istraži i pojasni i/ili novinarima da saznaju kroz zahtev za pristup informacijama od javnog značaja.
Firma TestMaster je registrovana 1.11.2022 a 30.01.2023 je već dobila prvi ugovor, slična priča kao i portalmaster :
Firma je odlično profitirala u kratkom roku što je razumljivo kada su već imali gotov proizvod koji je razvijan javnim sredstvima na FON-u još 2020. godine :
Ali čemu sve ovo i kakve veze ima TestMaster sa Zdravitasom?????
U samom kôdu admin portala Zdravitasa imali smo jedan mali detalj:
Code:
<meta content="TestMaster Solutions" name="author">Dakle, u metapodatku u kome se upisuje autor sajta navodi se kao autor "TestMaster Solutions", tj. navodio se jer je promenjeno (više o tome kasnije). Ovo je bilo prisutno u kôdu glavne stranice Zdravitas admin portala do 03.12.2024. Špekulišem da su jednostavno klonirali kôd sa nekog dela TestMaster portala i napravili Zdravitas.
Koliko je javno vidljivo, iskustvo firme TestMaster je u razvijanju desktop aplikacije koja ima drastično drugačije sigurnosne zahteve od javnog online portala, te moram imati sumnju u njihovo iskustvo u osiguranju takvog visokorizičnog javnog portala.
Iz ovoga se postavljaju pitanja:
Ko je tačno napravio Zdravitas i da li je Zdravitas samo klonirana i modifikovana platforma Testmaster?
Ko ima pristup podacima dece i roditelja ako je iz izloženog moguće da firma Portalmaster Solutions nije radila na samom portalu, nego je to radila firma Testmaster Solutions?
Ok ovo je očigledno jedna te ista firma a verovatno i zaposleni ali poenta mi je da ilustrujem kako ovo izaziva sumnju jer nije transparentno šta se tačno radi i ko tačno radi i ko tačno ima pristup čemu?
Problem eksternih resursa na sajtu
Problem izveden iz kôda je to što su koristili eksterne resurse u obliku biblioteka za korisnički interfejs i prikaz sajta. Ovo znači da ti eksterni resursi koji se nalaze na javnom internetu i van naše kontrole imaju pristup IP adresama koje pristupaju Zdravitas portalu, takođe može doći do problema ako ti eksterni resursi budu nedostupni ili dođe do njihove kompromitacije. Sa aspekta privatnosti nije idealno, sa aspekta sigurnosti takođe jer bi državni portal koji barata osetljivim podacima trebao da bude zatvorena kutija sa strogo kontrolisam ulazima i izlazima podataka.
Problem potencijalnog tajnog logina
Još jedan problem izveden iz kôda sajta je daleko veći sa aspekta bezbednosti i poverenja u platformu. Naime, na sajtu je od osnivanja pa do 03.12.2024 stajalo ovo parče kôda:
Po onome što sam uspeo da vidim ovo je potencijalno nekakav "tajni" login koji se aktivira kada se tri puta klikne na određeno dugme na stranici. Da li je ikada bilo moguće koristiti ga, za koju svrhu i pod kojim tačno okolnostima nije mi poznato jer kad sam saznao za postojanje ovog kôda sajt je već bio izmenjen i sporni kôd uklonjen te nisam bio u prilici da isprobam.
Prepustio sam analizu ovog kôda ChatGPT-u, moguće je naravno da negde greši, ali sam proverio i neke stavke u dokumentaciji i potvrdio deo za tri klika jer mi je bilo toliko suludo da se koristi takva "sigurnost kroz opskurnost". A evo šta je sve imao da kaže ChatGPT :
Code:
Q. explain to me in simple terms what the following code snippet accomplishes
This JavaScript code snippet contains three main functionalities. Here's a simple explanation:
---
### 1. **Tooltip Setup Using `tippy.js`:**
```javascript
tippy('#btn-eid', {
content: 'Пријава преко јединственог државног система за електронску идентификацију грађана',
theme: 'light',
animation: 'scale'
});
```
- **Purpose:** Adds a tooltip to an HTML element with the ID `btn-eid`.
- **What Happens:** When a user hovers over `#btn-eid`, a tooltip with the specified message (in Serbian, explaining something about an electronic identification system) will appear. The tooltip uses a "light" theme and a "scale" animation.
---
### 2. **Triple-Click Modal Trigger:**
```javascript
$("#loginText").on("click", function (event) {
var isProdEnv = $("#isProdEnv").val();
if (isProdEnv === "True") {
return;
}
if (event.detail === 3) {
$("#myModal").modal('show');
}
});
```
- **Purpose:** Opens a modal (`#myModal`) when the user triple-clicks an element with the ID `loginText`.
- **How It Works:**
- Checks if the `#isProdEnv` value is `"True"` (indicating a production environment). If true, it stops execution.
- If in a non-production environment and the element is clicked three times (`event.detail === 3`), it shows the modal.
---
### 3. **Test Login Button Functionality:**
```javascript
$("#test-login-btn").on("click", function (e) {
e.preventDefault();
var isProdEnv = $("#isProdEnv").val();
if (isProdEnv === "True") {
return;
}
var obj = JSON.stringify({
username: $("#username").val(),
password: $("#psw").val()
});
$.ajax({
url: "/Auth/TestLogin",
type: "POST",
contentType: 'application/json; charset=utf-8',
data: obj,
success: function (xhr) {
console.log("aaaa");
location.replace('/Home/Index')
},
error: function (xhr) {
alert("Погрешно корисничко име или шифра");
}
});
});
```
- **Purpose:** Simulates a login action for testing purposes when the button with ID `test-login-btn` is clicked.
- **How It Works:**
1. **Prevent Default Behavior:** Stops the default button behavior (like form submission).
2. **Check Production Environment:** If the `#isProdEnv` value is `"True"`, it stops execution.
3. **Send Login Data:** Creates a JSON object containing the entered username (`#username`) and password (`#psw`) values, then sends it to `/Auth/TestLogin` using an AJAX `POST` request.
4. **Handle Server Response:**
- If the request succeeds: Redirects the user to `/Home/Index`.
- If it fails: Displays an alert saying "Погрешно корисничко име или шифра" (Serbian for "Incorrect username or password").
---
### Summary:
- Adds a tooltip to `#btn-eid`.
- Opens a modal on triple-click of `#loginText` in non-production.
- Simulates a test login by sending user credentials to the server and handles success or failure accordingly.
Let me know if you'd like further clarification!
Q. could this code be used to include a secret login into the system used only by those who know to triple click on the element with ID loginText?
Yes, this code could be used to create a secret login mechanism, but it depends on how the system is designed and how the triple-click feature is tied to actual authentication. Here's why and how this might work:
---
### How It Might Work as a Secret Login:
1. **Triple-Click Opens the Modal:**
- The element with ID `#loginText` is programmed to show a modal (`#myModal`) if triple-clicked.
- This behavior only occurs in a non-production environment (when `#isProdEnv` is not `"True"`).
2. **Test Login Process:**
- Once the modal is open, the user could enter credentials in the modal's input fields (e.g., `#username` and `#psw`).
- Clicking the "Test Login" button (`#test-login-btn`) sends the credentials to `/Auth/TestLogin`.
- If valid credentials are provided, the server redirects the user to the home page (`/Home/Index`).
---
### Secret Nature:
- **Obscurity of Trigger Mechanism:**
- The triple-click requirement makes this feature non-obvious to casual users.
- Only users who know about the triple-click functionality would be able to access this path.
- **Environment-Specific Behavior:**
- The code is designed to work only in non-production environments. However, if this check were disabled or the code were deployed in production without modification, the triple-click functionality could become available to all users who discover it.
---
### Potential Security Risks:
1. **Reliance on Obscurity:** Security-through-obscurity is not a robust strategy. If someone discovers the triple-click mechanism (e.g., by inspecting the code), they can easily exploit it.
2. **Server-Side Vulnerabilities:**
- If the server endpoint (`/Auth/TestLogin`) lacks proper security measures (e.g., rate limiting, input validation, strong authentication), it could be abused.
3. **Insecure Deployment:**
- If the code is mistakenly deployed in production without disabling this feature, it could allow unauthorized access to the system.
---
### Recommendations:
- **Disable in Production:** Ensure that the `isProdEnv` check is enforced rigorously, and consider removing this feature entirely in production environments.
- **Use Proper Authentication:** Any login mechanism (even for testing) should rely on secure, well-implemented authentication practices, not hidden UI interactions.
- **Audit Code:** Regularly review code to identify and eliminate potential backdoors or unintended functionalities.
While the code could function as a "secret login" mechanism, relying on such hidden interactions is risky and not recommended for secure systems. Let me know if you need help improving its security!
Q. could another potential security risk be that isProdEnv can be edited on the client side by a malicious actor in order to trigger the "secret login"?
Absolutely, **manipulating the `isProdEnv` value on the client side** is a significant security risk in this implementation. Since the value is presumably being stored on the client (likely as a hidden input field or JavaScript variable), a malicious actor could easily modify it to bypass the environment check. Here's how and why this is a concern:
---
### Why It's a Risk:
1. **Client-Side Control:**
- The `isProdEnv` variable is read directly from the DOM using `$("#isProdEnv").val()`.
- A malicious user can open the browser's developer tools and modify the value of `#isProdEnv` (or inject a new element with the desired value).
2. **Bypassing the Environment Check:**
- If the attacker changes `#isProdEnv` to a value other than `"True"`, they could activate the triple-click or test-login functionality, even in a production environment.
3. **No Server-Side Enforcement:**
- If the server does not independently validate the environment or enforce authentication restrictions, this client-side manipulation could provide unauthorized access.
---
### Real-World Exploitation:
Here’s how an attacker could exploit this:
1. Open developer tools in their browser.
2. Locate the `#isProdEnv` input field or the JavaScript variable controlling the environment.
3. Change its value to something other than `"True"` (e.g., `"False"` or delete the input altogether).
4. Perform the triple-click or use the test login feature to trigger the secret login functionality.
---
### Mitigation Strategies:
1. **Server-Side Enforcement:**
- Validate the environment on the server, not the client. For example, the `/Auth/TestLogin` endpoint should reject all requests in production, regardless of the client-side environment variable.
- Never rely solely on client-side logic for critical security decisions.
2. **Remove Client-Side Environment Logic:**
- Avoid exposing environment-dependent behavior to the client. This information should remain server-side and not be modifiable by users.
3. **Secure the Modal Trigger:**
- Use server-side authorization to ensure that only authenticated and authorized users can access sensitive features, such as the modal or test login endpoint.
4. **Audit and Pen-Test:**
- Perform regular security audits and penetration testing to identify vulnerabilities like this before deployment.
---
### Summary:
Yes, the `isProdEnv` client-side check introduces a serious security risk because it can be manipulated by an attacker. This highlights the critical principle of **never trusting client-side data** for security decisions. Ensure all environment checks and sensitive functionality are enforced on the server side to mitigate this risk. Let me know if you'd like help refactoring this!
what does this code accomplish:
<input type="hidden" id="isProdEnv" value="value">
The code snippet below creates an **HTML hidden input field**:
```html
<input type="hidden" id="isProdEnv" value="value">
```
### What It Does:
1. **Hidden Field:**
- The `type="hidden"` attribute makes this input invisible in the browser's UI. It does not appear on the webpage but is still present in the DOM (Document Object Model).
2. **ID Attribute:**
- The `id="isProdEnv"` attribute assigns a unique identifier to the input field. This allows JavaScript or other client-side scripts to locate and interact with it.
3. **Value Attribute:**
- The `value="value"` attribute holds a value (in this case, `"value"`) that can be used programmatically. In practice, this would often be replaced dynamically with `"True"`, `"False"`, or some other context-specific value.
### Purpose:
Hidden inputs like this are typically used to store data that needs to be available to scripts but does not need to be displayed to the user. For example:
- Passing data between forms or pages without showing it to the user.
- Storing application state or configuration details for client-side use.
In this specific example, it likely stores a flag (`isProdEnv`) that indicates whether the application is running in a production or non-production environment.
---
### Security Implications:
Hidden fields are **not secure** because:
- They are still accessible in the browser's developer tools.
- A malicious user can easily modify the value of the field.
If the application relies on the value of `isProdEnv` for critical decisions (like enabling or disabling features), this creates a security risk. All sensitive decisions (e.g., environment checks) should be validated on the **server-side** rather than trusting the client.
Let me know if you'd like to dive deeper into its use cases or security considerations!Pošto je ID dugmeta nazvan "test-login-btn" moguće je da su test sajt pustili u produkciju. Ovo ne uliva poverenje u sajt i tvorce istog obzirom da je takav kôd stajao na sajtu najmanje 2 meseca bez da ga iko primeti i ukloni. I da nije uopšte tajni login i da je potpuno bezazleno parče koda opet predstavlja problem jer mu nije mesto na sajtu u produkciji i oslikava propust programera i postavlja pitanje kakvih još propusta ima?
Ovi tehnički problemi, dakle eksterni sadržaj i "tajni" login su bili prisutni na sajtu od kada je postao dostupan negde krajem septembra pa do 03.12 kada su izmenili stranicu i izbacili obe sporne stavke. Ne znam da li su primetili na osnovu Linkedin objave gde sam i ja primetio a koji je objavljen baš 03.12.2024 kada je sajt i izmenjen. Znamo da je neko iz SAGA d.o.o. pročitao tu Linkedin objavu i ostavio reakciju tj. lajk.
I čisto da uspostavimo nekakav vremenski okvir:
- najranija verzija za koju znam da je imala ove nedostatke:
Верзија портала: Prod - 0.1.0.5 | 26.09.2024. 16:00
- poslednja verzija sa nedostacima:
Верзија портала: Prod - 0.1.4.7 | 02.12.2024. 20:00
- sređena verzija:
Верзија портала: Prod - 0.1.4.9 | 03.12.2024. 21:00
Poverenik
Zanimljivo je da je Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti "izvršio vanredni terenski inspekcijski nadzor nad primenom Zakona o zaštiti podataka o ličnosti povodom obrade podataka maloletnih lica u okviru portala „Zdravitas“ od strane Ministarstva prosvete kao Rukovaoca." Gde je izdato [/url][url=https://www.poverenik.rs/sr-yu/saopstenja/4275-%D1%81%D0%B0%D0%BE%D0%BF%D1%88%D1%82%D0%B5%D1%9A%D0%B5-%D0%B7%D0%B4%D1%80%D0%B0%D0%B2%D0%B8%D1%82%D0%B0%D1%81.html]Saopštenje Poverenika: „Zdravitas“
u Saopštenju se spominje:
Quote:Projekat je pokrenut na osnovu Sporazuma o saradnji u vezi sa uspostavljanjem platforme... Navedenim sporazumom bliže su uređeni... da obezbedi neophodne integracije sistema „Zdravitas“ sa jedinstvenom prijavom (single sign-on sistem dostupan na eid.gov.rs)
takođe:
Quote:Administrativnom delu portala pristup podacima pored administratora ima isključivo autorizovani korisnik odnosno direktor škole, zaposleni u školi – ovlašćeno lice od strane direktora škole, odeljenjski starešina, nastavnik razredne nastave i nastavnik fizičkog i zdravstvenog vaspitanja za učenike za koje su nadležni.
Po ovome vidimo da je inspekcijski nadzor samo gledao dokumentaciju i utvrdio da je na papiru sve u redu, što je možda i njihova nadležnost. To što postoji potencijalni zaobilazak za eid.gov.rs preko tajnog logina nikom ništa, ne očekujem da imaju kadar koji bi to otkrio pa im ne zameram previše, znamo već da su nam institucije beskorisne, jednostavno ne možemo imati poverenje u Poverenika kada samo gleda dokumentaciju a ne realno stanje na terenu.
Ovo je otprilike isti način na koji je Srbija "svrstana u sam vrh globalne i regionalne liste" globalnog indeksa informacione bezbednosti jer je ocena na indeksu zasnovana na self-reporting upitniku, tj. na papirima a ne na realnom stanju na terenu. Ako vas zanima o tome možete više pročitati na https://bezbedanbalkan.net/thread-1626.html
Kopiranje prethodno napravljenog kôda u novi projekat nije retka pojava i nije samo po sebi sporno. Ali ovde se to krije od javnosti, krije se da je Zdravitas portal potencijalno nekim delom ili u celosti zapravo prepravljen Testmaster portal koji je naizgled napravljen javnim sredstvima. Da li Zdravitas onda košta koliko je plaćen? I ako se već prepravlja nešto postojeće zašto se nije prepravio eDnevnik da ugosti i podatke koje prikuplja Zdravitas kako su mnogi iz IT sfere i van nje preporučili kao logičnije rešenje od ove potpuno nove, skupe i nepoznate platforme?
Za sada toliko, kada bude dostupan deo portala koji je za roditelje biće moguće uraditi detaljniju analizu jer će sigurno među roditeljima biti ljudi iz IT bezbednosne sfere koji će pogledati malo kako stvari u pozadini funkcionišu.
Korišćeni medijski izvori:
Država potrošila 360.000 evra na kontroverzni projekat “Zdravitas”, a prosvetari odbijaju da ga koriste: U posao uključene i 2 privatne firme
https://nova.rs/vesti/drustvo/drzava-pot...zdravitas/
Podaci o đacima onlajn - šta je "Zdravitas" i zašto su niški roditelji, pravnici i prosvetari protiv
https://www.juznevesti.com/Drushtvo/Poda...iv.sr.html
Portal Zdravitas: pravni aspekti obrade podataka o deci, prosvetnim radnicima i roditeljima
https://www.youtube.com/watch?v=1dB2Wkpe6Sk
(Ne)sporan dopis ministarstva o projektu Zdravitas upućen roditeljima
https://prviprvinaskali.com/clanci/dom/r...ljima.html
Ministarstvo prosvete objavilo koje tačno podatke prikuplja Zdravitas i gde se čuvaju
https://zelenaucionica.com/ministarstvo-...script=lat
Решење развијено на ФОН-у и ове године успешно примењено за тестирање ученика на малој матури
https://oldfon.fon.bg.ac.rs/blog/2023/06...oj-maturi/