Informatikai Biztonság Napja (ITBN) rendezvény

Szeptember 28-29-én került megrendezésre az Informatikai Biztonság Napja (ITBN). Kialakult bennem pár gondolat a rendezvénnyel kapcsolatban, amit most beleszórok a bitfelhőbe.

Az alábbi témakörökben voltak előadások:

• Hálózatok, virtualizáció, cloud computing
• Compliance, naplóadatok elemzése
• Adatvédelem: DLP
• Azonosság, jogosultság, titkosítás
• Alkalmazások és a WEB 2 biztonsága
• Vírusok, spam-ek elleni védelem, mentés
• Hacking és új fenyegetettségek

Ezen szekciók közül engem az első kettő és az utolsó érdekelt leginkább.

A hacking kivételével sajnos igaz volt, hogy termékbemutatóról szólt az előadások 90%. Az egyik barátom szavaival élve: értem, csak nem értem meg. Értem, mert ezek a cégek támogatásával jött/jön létre ez a konferencia. Értem, mert a cégek el akarják adni a termékeiket. "Jó volt hallani", hogy 2-3 éve a biztonsági szakértők által felvetett problémákra már van megoldás, "jó volt látni", hogy minden cég terméke/megoldása a "legjobb" a világon. Igen ezekre is szükség van, de sokkal kevesebb időben.

Viszont nem értem meg, mert szerintem nem ez lenne az elsődleges feladata ennek a rendezvénynek. A Hacking szekció szólt leginkább arról, amiről a rendezvénynek szólnia kellene, igaz az első előadás ott is kicsit termékbemutatóra sikeredett. Szóval ebben a szekcióban valósult meg elsődlegesen az, hogy a mai informatikai és információ biztonsággal kapcsolatos problémákról volt szó. Nem véletlen, hogy ez az előadássorozat volt az egyik legnézettebb. Sajnos elkövették azt a hibát a rendezők, hogy viszonylag kis terembe rakták, így elég zsúfolt volt.

Ami tetszett a rendezvény szervezésében még a reggeli plenáris kerekasztal beszélgetések.

Mindkét nap voltak workshop szekciók, ahol egy-egy órában a gyakorlatban is meg lehetett nézni néhány termék/megoldás működését. Nem tudom eldönteni, hogy sajnos-e vagy sem, de ezek közül egyiket sem volt időm megnézni.

A Hacking szekció több szempontból is roppant érdekes volt számomra. Egyrészt az előadások érdekesek voltak, megtalálhatóak voltak bennük a mai informatika/információ biztonság problémája.  Másrészt minden szekció végén volt egy  20-30 perces "Szekció diskurzus", ahol az előadóknak kérdéseket lehetett feltenni. Ez volt az egyetlen hely, ahol viszonylagos parázs vita alakult ki az előadók között. Az egyik kedvencem a "hogyan hívjuk az Etikus Hackereket?" polemizálás volt. Volt aki inkább Legal Hackerek megnevezést szereti, volt aki az Etikus Hacker megnevezést. Mindkettőt szépen magyarázták is:

Legal Hacker: legálisan próbálom "feltörni" a megrendelő rendszerét, megtalálni a sérülékenységeket, ezt egy jelentésben leírom, útmutatást adok a hibák javítására.

Etikus Hacker: azért végzem el az etikus hack-et (a megbízáson túl), mert a rendszer biztonságát akarom javítani az eredményből adódó javítások, változtatások elvégzésével. Amennyiben ez azért történik, hogy adott személy eltávolítható legyen a pozíciójából, akkor nem vállalom a munkát el. Tehát etikusan járok el.

Az előadók között volt egy igazi hacker is. Ő nagyon csendben volt ekkor és értem is miért. Az előadásának egy mondatát hoznám fel. Beszélt arról is néhány mondatot, hogy nagyon felkapott lett az etikus hacking és fél év, egy év alatt Etikus Hacker vizsgát tett emberek rontják a valódi, 5-10 éves szakmai tapasztalattal rendelkező igazi hacker-ek renoméját, ugyanis azok az emberek valójában nem hacker-ek. Itt volt egy mondata, ami szerintem az ITBN legjobb mondata volt (nagyjából szó szerint): "Köpök egyet és három etikus hacker jön ki alóla".

Értem az álláspontját, mert az informatika és mérnök területen én is átéltem hasonlókat már. Ugyanúgy hívják, mégsem ugyanaz a tudás van mögötte. Az információ biztonságban (is) két irány létezik. Az egyik a valós szakmai tudással rendelkező, hacker-nek nevezhető ember, aki képes biztonsági rések megtalálására, azokat kihasználó teszt kódok előállítására és a megfelelő helyen a megfelelő szakmai színvonalon azokat bejelenteni, esetleg már a kód javítással együtt. Ezek az emberek nemcsak ismerik azokat a fogalmakat mint debug, gépi kód, assembler stb. hanem használni is tudják őket készség szinten. A másik faj, aki tudja, hogy milyen folyamatokat kell futtatni pl. egy etikus hack során, tisztában van az információ biztonság fogalmával, érti azt és használni is tudja, DE nem képes új sérülékenységeket felfedezni.

Szerintem mindkét típusra szükség van, csak az egyik hacker a másik meg biztonsági szakember. A biztonsággal kapcsolatos vizsgáknak is két halmaza van:

• tanulható és lerakható gyakorlati tudás nélkül, akár egy év alatt is: pl.: CISA, CISSP, CEH
• csak sok-sok gyakorlással és gyakorlati tapasztalattal rakható le: pl.: OSCP, OSCE

Ez természetesen nem azt jelenti, hogy az első halmazban található vizsgák mögött nincs tudás, inkább azt jelenti, hogy nincs feltétlenül gyakorlati tudás és tapasztalat mögötte.

Ezért gondolom azt, hogy mind az etikus hacker, mind a legal hecker kifejezés az esetek többségében nem helytálló és teljesen jogosan sérti az igazi hacker-ek önérzetét. Én inkább valami információ biztonsági auditáló-nak nevezném. Igaz ez nem hangzik marketing szempontból olyan jól, mint az etikus hacker :)

Összefoglalva látszik, hogy sok munka van a rendezvény mögött én szeretném, ha kevesebb marketing és több szakma lenne jelen.

Garanciális fallabdaütőm története

Szeretek sportolni főleg kosárlabdázni. 6 évvel ezelőtt kipróbáltam a fallabdát és nagyon megszerettem. Ráadásul két embernek könnyebb összejönni és mozogni, mint tíznek.

Tavaly nyáron vettem egy új fallabda ütőt, mert a régi eltört 5 év használat után. Az egyik sportboltban már több dolgot is vásároltam, az eladók minden esetben kedvesek, segítőkészek voltak. Úgy gondoltam náluk veszem meg az új ütőmet is. Ez a bolt volt a Vadon Sport.

4-5 hónap használat után eltört az ütőm. Hetente egyszer, egy órát járok fallabdázni, tehát max. 20-25 alkalommal használtam. Úgy gondoltam, hogy ez nem normális és a törés oka az ütő anyaghibája.

Novemberben vissza is vittem az ütőt, hogy eltört és szerintem ezt ki kell cserélni. A boltban azt mondták, hogy a nagyker (Hefa Sport Kft.) fogja megmondani, hogy a cserekérelem jogos vagy sem. Nagyjából 2-3 hét múlva került vissza az ütő hozzám, hogy a nagyker szerint ez nem garanciális hiba. Gondoltam, hogy ezt megbeszélem a nagykerrel is, nem akartam annyiban hagyni a dolgot. A Vadon Sport eladója készséggel megadta a nagyker telefonszámát.

December közepe volt ekkor, tehát karácsonyi előkészületek, év vége, majd januárban mentünk síelni, tehát nem volt vele időm foglalkozni nagyjából egy, másfél hónapot. Január vége felé felhívtam a nagykert, ahol azt mondták, hogy náluk nem volt ez az ütő, mert akkor lenne róla írásos szakvélemény, maximum telefonon egyeztették a garanciális dolgot. Azt mondta a nagyker alkalmazottja, hogy vigyem vissza a boltba az ütőt és kérjek írásos szakvéleményt.

Február elején vagy közepén bevittem az ütőt a boltba és elmondtam, hogy mit kért a nagyker. A Vadon Sport átvette az ütőt és mondta, hogy szólnak amint megvan a szakvélemény.

Türelmes ember vagyok, gondoltam nem zaklatom a boltot állandóan, hogy mi újság az ütőmmel. Március közepe felé elfogyott a türelmem és bementem megkérdezni, mi újság. Ők felhívták a nagykert, majd az egyik eladó vagy tulajdonos beszélgetett a nagykerrel. Nekem azt mondta, hogy a nagyker már nekem egyszer megmondta, hogy nem garanciális. Én mondtam, hogy Ők  mondták, hogy kérjek írásos szakvéleményt. Azt ígérték, hogy szakvéleménnyel együtt fogják visszaküldeni a fallabda ütőt.

Ezután gondoltam sínen van a dolog, hamarosan kapok egy rendes szakvéleményt, viszont nagy valószínűséggel nem fogják kicserélni az ütőt. A hamarosan újabb 1 hónap volt, számomra nem derült ki, hogy a nagyker vagy a bolt miatt. Mondjuk ez nem is nagyon érdekelt.

Viszont kezdem elveszteni türelmemet, és amikor megláttam a szakvéleményt, akkor teljesen elborult az agyam. Mondtam is, hogy amit kaptam nem szakvélemény, hanem valami lerázós papír és ezt már végig fogom csinálni, amíg nem járok a végére.

Van egy barátom, akinek a barátnője eléggé otthonosan mozog az ilyen garanciális problémákban, ráadásul az elejétől tudott a problémáról, hiszen vele fallabdázom. Felajánlotta, hogy kikérdezi a barátnőjét és segítenek a probléma megoldásában. Ennek meg is lett az eredménye. Megtudtam, hogy a bolt köteles saját költségén KERMI vizsgálat alá vetetni az ütőt, ha én azt kérem és erre még egy formanyomtatvány is van.

Ezzel a formanyomtatvánnyal vittem vissza az ütőmet. Persze tudták miről van szó a boltban, de még bepróbálkoztak azzal, hogy fél éven túl nem kötelességük. Mondtam nekik, hogy ez a történet már korábban kezdődött és nincs ilyen szabály. Az ütőt elvették és mondták értesítenek, ha megvan az eredmény.

Egy hónap múlva még nem volt eredmény ezért bementem érdeklődni. Annyi bibi volt a dologban, hogy közben megszűnt az a boltjuk, ami útba esett és teljesen máshova kellett menni. Az ottani alkalmazott nem tudott semmit, természetesen a tulajdonost nem érte el. Elkérte a telefonszámom és megígérte, hogy felhív amint megkapja az információkat.

Két hét várakozás után megint bementem érdeklődni, mert természetesen nem hívtak vissza. A tulajt megint nem tudta elérni, ezért elkértem a telefonszámát és mondtam, ha két hétig nem kapok választ, akkor a Fogyasztóvédelemhez fogok fordulni, mert már minden türelmem elfogyott.

Két hét elteltével nem kaptam továbbra sem információt az ütőmről, ezért gondoltam utolsó esélyként megpróbálok beszélni a tulajjal. Megpróbáltam kétszer felhívni, de nem vette fel. Írtam neki egy e-mailt, amiben három lehetőséget vázoltam fel:

• kicserélik az ütőmet
• visszakapom a KERMI vizsgálat eredményével a régi ütőmet
• Fogyasztóvédelemhez fordulok

Rövid határidőt adtam neki, 2-3 napot. A harmadik napon kaptam egy válaszlevelet, amiben az állt, hogy kicserélik az ütőmet. Itt megint volt egy-két marketing szöveg: szerinte továbbra sem jogos a garanciális csere, de a bolt jó híre miatt megteszi.

Bennem csak az a kérdés fogalmazódik meg, hogy ha a Vadon Sport teljesen biztos volt benne, hogy nem anyaghiba miatt tört el az ütőm, akkor neki miért nem érte meg a KERMI vizsgálatot megcsináltatni 6-7ezer forintért? Az ütőm 23ezer forintba került. Csak egy magyarázat van rá: úgy gondolták, hogy megpróbálnak lepattintani, mert az a legolcsóbb. Különben még abba is belementem volna, ha azt mondják már novemberben, csináltatnak KERMI vizsgálatot, ha anyaghibás volt az ütő, akkor kicserélik, ha nem akkor fizessem ki a vizsgálat díját.

Másnap elmentem a boltba egy új ütőért. Persze megérdemelték volna, hogy a csere ütő és a törött ütőm közötti különbözetet nem fizetem ki, de nem lenyúlni akartam Őket, hanem jogos követelésemet érvényesíteni.

Szóval 10 hónap után tudtam érvényesíteni jogomat. Nekem nem az volt az elsődleges akaratom, hogy az ütőt minden áron kicseréljem, hanem a valóság megismerése: az ütő azért tört el, mert anyaghibás vagy azért mert ilyen gyenge minőségű ütőt csinál a gyártó.

Egy dolgot elért ezzel a bolt: soha többet nem vásárlok náluk és minden fórumon elmondom, ahol csak tudom. Sikerült az üzletük jó hírét lerontani.