Pierwszy tegoroczny numer Hakingu oferuje czytelnikom 9 artykułów, z których zdecydowana większość, bo aż 5 przypisana została do działu Atak. Pozostałe cztery stanowią za to swoistą zbieraninę - bo każdy należy do innego działu. Mamy zatem jeden artykuł w Początkach, jeden w Obronie, jeden w Praktyce i jeden w Bezpiecznej firmie. Czyli od przysłowiowego sasa do lasa. Jednak pomimo takiej pstrokacizny, numer 1/2010 nie jest numerem nieudanym. Tak naprawdę można w nim narzekać tylko na dwa artykuły. Pierwszy z tych które należałoby omijać szerokim łukiem to napisane w stylu kolorowych pisemek komputerowych, długaśne, opowiadanie o cloud computing. Drugi artykuł który również na dobrą sprawę zasłużył na czerwoną kartkę to opracowanie dotyczące tunelowania połączeń. Temat sam w sobie ciekawy i gdyby autor trzymał tylko większą dyscyplinę w pisaniu, opracowanie to zapewne uzyskało by całkiem wysoką ocenę. A tak jest tylko dla zainteresowanych. Na koniec uwaga pod adresem redakcji. Z bliżej nieokreślonego powodu redakcyjna ocena poziomu trudności poszczególnych opracowań w jaskrawy sposób odbiega od rzeczywistej. Doliczyliśmy się aż czterech artykułów przy których redakcyjne kosteczki mają się nijak do rzeczywistego poziomu trudności zaprezentowanego materiału...

Odzyskiwanie danych z twardego dysku
Artur Skrouba

Odzyskiwanie danych z twardego dysku to temat, który już kilkakrotnie zawitał na łamy Hakin9-u. Jednak po raz pierwszy znalazł swoje miejsce w dziale początki, co było dla nas o tyle zaskakujące, że za odzyskiwanie danych nie powinny się raczej brać osoby początkujące w tym temacie. Szybko jednak okazało się, iż opracowanie posiada po prostu niezbyt adekwatny do treści tytuł . Autor - pracownik jednej z firm zajmujących się właśnie odzyskiwaniem danych skupia się bowiem po pierwsze na tym - co może stać się naszemu "twardzielowi", a następnie obszernie omawia, które objawy świadczą o jakim rodzaju uszkodzenia. wreszcie, niemal pod koniec artykułu otrzymujemy garść tytułowych informacji na temat odzyskiwania danych, przy czym autor wielokrotnie podkreśla, że nieumiejętnie przeprowadzone próby odzyskiwania danych mogą dać skutek wręcz odwrotny do zamierzonego - czyli uszkodzić nasze dane. Nie odmawiając autorowi wiedzy i dobrych chęci, można jednak odnieść wrażenie, iż cały czas otrzymujemy od niego przekaz "zostaw te rzeczy fachowcom".

Nasza ocena:
Dla zainteresowanych

Poziom trudności:
Dział: Początki

Hakowanie Windows 7
Wojciech Smol

Hakowanie Windows 7 to temat wydawałoby się całkowicie nowy, bądź co bądź dotyczy najnowszego "dziecka" Microsoftu, którego oficjalna premiera miała miejsce w październiku 2009r. Tymczasem W7, jak popularnie nazywa się ten system, uznawany jest przez specjalistów za... dopracowaną Vistę. Jeśli zatem jakiś problem z bezpieczeństwem występuje w Viście - niemal na pewno znajdziemy go i w W7. W omawianym artykule Wojciech skoncentrował się jednak na zaledwie kilku z licznych kłopotów z bezpieczeństwem jakie znajdziemy w tych systemach. Są to: łamanie haseł użytkowników lokalnych, wykorzystywanie błędów UAC (User Accont Control), problemy jakie sprawiają błedy aplikacji pracujące pod kontrolą systemu operacyjnego oraz zagadnienie bootkitów czyli oprogramowanie przejmujące kontrolę nad systemem już na etapie bootowania systemu. Artykuł przemyślany, a co za tym idzie dobrze skonstruowany, napisany ładnym językiem, bardzo przyjazny dla czytelnika, między innymi także dlatego, że autor uniknął przysłowiowego lania wody. Jedno z najbardziej udanych opracowań tego numeru.

Nasza ocena:
Warto przeczytać

Poziom trudności:
Dział: Atak

Cloud Computing
Marcin Kosedowski

Przetwarzanie w chmurze, jeden z najnowszych i najbardziej nagłośnionych trendów ostatnich czasów zawitał także i na łamy Hakingu. Pomyli się jednak ten, kto zerkając na tytuł opracowania i pamiętając jakie czasopismo czyta, spodziewał się znaleźć w tym artykule rozważania na temat tego w jaki sposób nowy rodzaj usługi może być wykorzystywany do ataku na zasoby informatyczne firm, czy jakiejkolwiek analizy usługi cloud computing w odniesieniu do bezpieczeństwa danych. Niestety, nic z tych rzeczy. Zamiast tego na 8 stronach (!) dostajemy coś na kształt opracowania któremu można niemalże nadać tytuł "co każdy uczeń o cloud computing wiedzieć powinien". Czyli popularyzatorskie to i owo o tym trendzie. Artykuł napisany bardzo dobrze, tyle tylko, że będący jednym wielkim nieporozumieniem. Nieporozumienie pierwsze i największe - co taki materiał robi w Hakin9-u, który... jest przypomnijmy Hard core IT security magazine?! Nieporozumienie drugie - dlaczego znalazł się w dziale atak, skoro domniemanym atakom autor poświęca na oko około 4 kolumn z 8 stronicowego "dzieła"? Nieporozumienie trzecie - jakim cudem opracowanie, które nie wymaga tak naprawdę posiadania wiedzy technicznej, a jedynie umiejętności czytania ze zrozumieniem uzyskało ocenę poziomu trudności 2?!

Nasza ocena:
Nie polecamy

Poziom trudności:
Dział: Atak

Błędy typu NULL Pointer Dereference
Damian Osienicki

Świetnie napisany, choć trudny artykuł, wymagający od czytelników znajomości podstaw asemblera i co najmniej średniej znajomości języka C. W opracowaniu autor omawia możliwości zapisania pamięci będącej pod wskaźnikiem 0x0 (null) i wykorzystania błędów w typowych funkcjach C. Komendy, które są pod wskaźnikami null - jeśli rzecz jasna zostaną wykonane - otrzymają takie same przywileje jak jądro systemu. Normalnie nic takiego nie powinno się wydarzyć. Ale się zdarza i to wcale nie tak znowu rzadko. W swoim opracowaniu Damian pokazuje bardzo konkretne luki w oprogramowaniu na których można wykorzystać tą technikę ataku ( np. błąd w funkcji sock_sendpage), oraz krok po kroku przeprowadza czytelnika, przez taki atak. Warto także zwrócić uwagę na fakt, iż opisywane przez autora luki są bardzo świeże, a niektóre z nich zostały dopiero niedawno załatane. Jedynym "minusem" tego artykułu (o ile można w ogóle o czymś takim w tym przypadku mówić) stanowi konieczność przebijania się przez długie i skomplikowane listingi. Biorąc pod uwagę wszystkie wymienione w tej recenzji elementy, uważamy, że artykuł zasługuje na wyższy niż nadany przez redakcję poziom trudności.

Nasza ocena:
Koniecznie przeczytać

Poziom trudności:
Dział: Atak

Jak zostać władcą portów
Norbert Kozłowski

Po przeczytaniu opracowania Norberta, czytelnik ma ochotę zadać autorowi pytanie: "ale o co chodzi?". W pierwszych bowiem zdaniach artykułu dowiadujemy się, będzie w nim mowa o różnych sposobach przekierowywania portów, oraz że techniki te są łatwe w implementacji. Jeśli jednak czytelnik rzuci okiem na podsumowanie artykułu dowie się, że "artykuł ukazuje, jak ciężko jest zaprojektowanie prawidłowo działającej sieci lokalnej opartej na prostym firewallu".
Zdezorientowanym czytelnikom wyjaśniamy - artykuł jest tak naprawdę o tunelowaniu. I zapewne gdyby nie chaotyczność w przedstawianiu tematu byłby to całkiem dobry artykuł. A tak jest to opracowanie dla bardzo zdeterminowanych czytelników, gotowych ścierpieć bałagan w opisie, kiepską manierę pisarską autora i mimo wszystko coś z tego opracowania dla siebie wydobyć.

Nasza ocena:
Dla zainteresowanych

Poziom trudności:
Dział: Atak

Maskowanie - robisz to źle!
Marcin Kosedowski

Po lekturze poprzedniego artykułu Marcina zamieszonego w tym numerze czasopisma, do lektury kolejnego przystępowaliśmy pełni obaw i najgorszych przeczyć. Jak się okazało zupełnie niepotrzebnie. Co prawda autor momentami znów popada w irytującą manierę taniej sensacji, ale poza tym mankamentem artykuł można spokojnie określić mianem całkiem przyzwoitego i napisanego na temat opracowania. Marcin zajął się w nim hasłami maskowanymi stosowanym przez polskie banki ( w materiale omówiono cztery z nich : ING, WBK, BPH oraz Milenium ).Autor uprzytamnia czytelnikom, że metody stosowane przez banki do maskowania haseł nie są wcale wolne od błędów, czasami nawet bardzo poważnych ( koronny przykład - stosowanie zbyt długiej maski pozwalającej napastnikowi na zdobycie całego hasła w przeciągu praktycznie trzech sesji). Generlanie artykuł ciekawy, dobrze skonstruowany i poza wspomnianą manierą pozbawiony błędów.

Nasza ocena:
Dla zainteresowanych

Poziom trudności:
Dział: Atak

Hartowanie jądra Linuksa
Sylwester Zdanowski

Hartowanie systemu (znane także pod angielską nazwą hardenig, lub mniej udanymi polskimi określeniami: hardenowanie oraz utwardzanie) to w największym skrócie czynności mające na celu podniesienie ogólnego poziomu bezpieczeństwa, m.in. poprzez wyeliminowanie najczęściej występujących luk oraz słabości konfiguracyjnych obecnych w większości domyślnych instalacji. Temat ten pojawił się już kiedyś na łamach Hakin9-u - dotyczył jednak systemu operacyjnego Windows. Tym razem dostajemy opracowanie skupiające się na eliminacji jednego z zagrożeń jakie może pojawić się w Linuksie, jeśli pozostawimy mu "standardowe", niełatane jądro. A dokładniej, chodzi o rozszerzenie modelu bezpieczeństwa systemu plików na poziomie jądra systemu. W swoim opracowaniu autor skupił się na zagadnieniu ograniczenia dostępu do plików, na podstawie roli użytkowników. Mówiąc bardziej przystępnym językiem chodzi o takie ustawienie poziomu uprawnień, aby użytkownik należący do określonej grupy nie był w stanie skorzystać z uprawnień innej grupy. Ograniczona jest również możliwość dokonywania akcji potencjalnie niebezpiecznych dla systemu plików, na przykład korzystanie z dowiązań symbolicznych. Sylwester, to autor, który dał już poznać się czytelnikom Hakingu z jak najlepszej strony. Jego opracowania znane są z dokładności oraz rzetelnej wiedzy. Nie inaczej jest i tym razem. Artykuł jest przemyślany, zawiera rzetelną wiedzę i wbrew poziomowi trudności jaki nadała temu opracowaniu redakcja wymaga od czytelnika pewnego poziomu wiedzy jak chociażby znajomości procesu kompilacji i konfiguracji jądra.

Nasza ocena:
Koniecznie przeczytać

Poziom trudności:
Dział: Obrona

RTIR - nie trać czasu na papierkową robotę
Marcin Teodorczyk

W dziale praktyka tym razem mamy szansę zapoznać się bliżej z narzędziem,a dokładniej systemem RTIP, który pozwala osobie, lub zespołowi odpowiedzialnemu za reagowanie na incydenty zorganizować pracę, obsłużyć zaistniałe incydenty w sposób sprawny i pozwalający na poprawną i szybką identyfikację zgłaszającego, rodzaju incydentu oraz wszelkich danych niezbędnych w późniejszym okresie do wykonania raportu incydentu. Jak przystało na artykuł z działu Praktyka, znajdziemy w tym opracowaniu zarówno szczegółowy opis instalacji i konfiguracji systemu, a także przykłady jego zastosowania.

Nasza ocena:
Warto przeczytać

Poziom trudności:
Dział: Praktyka

Bezpieczeństwo Informacji
Andrzej Guzik

Na zakończenie numeru otrzymujemy artykuł, o którym tak naprawdę bardzo trudno coś napisać. Jest to bowiem kolejne opracowanie omawiające niełatwe kwestie bezpieczeństwa informacji, w jej najbardziej żmudnej czyli teoretyczno - papierkowej wersji. Po raz kolejny zatem zagłębiamy się w świat norm starających się opisać wszelkie aspekty zabezpieczania informacji - od bezpieczeństwa IT poczynając na na bezpieczeństwie pomieszczeń i osobowym kończąc. Opracowania, które od dłuższego już czasu serwuje czytelnikom czasopisma Andrzej są ba dobrym poziomie merytorycznym i mogą stać się nieocenioną pomocą dla wszystkich tych, którzy z tych lub innych przyczyn zmuszeni są zagłębić się w tematykę.

Nasza ocena:
Dla zainteresowanych

Poziom trudności:
Dział: Bezpieczna firma