Povijesni događaj neviđenih razmjera koji će stručnjake zaokupljati još mnogo mjeseci: ove informacije nisu izašle iz mainstream medija niti su došle do šire javnosti.
“Log4j” nije poznat nikome izvan krugova programera. A mnogi koji koriste ovaj dio računalnog koda nisu ni svjesni njegove ranjivosti. Za računala, pametne telefone, igraće konzole i internetske objekte općenito, jedan je od najčešće korištenih programa na svijetu s do milijardu preuzimanja godišnje. Zbog svoje ozbiljnosti, ranjivost Log4j dobila je vlastito ime. Zove se “Log4Shell”.
Prije nekih 25 godina Ceki Gülcü, koji sada posjeduje vlastitu tvrtku za savjetovanje u softveru, napisao je svoj magistarski rad iz kriptografije u IBM-ovom istraživačkom laboratoriju u blizini Züricha u Švicarskoj. Nakon studija ostao je zaposlen u IBM timu koji se bavio sigurnošću podataka.
Softver koji je razvio piše što se događa kada koristite softver i Log4j verzija 1 je stvorena. Ceki Gülcü je objasnio funkcionalnost Log4ja na primjeru crne kutije u zrakoplovu koja bilježi razgovore pilota, brzinu, visinu i sve tehničke aspekte koji su programirani za praćenje i kontrolu leta.
Softver Log4j je otvorenog koda, tj. softver koji je dostupan široj javnosti besplatno. Takav softver slovi kao općenito siguran upravo zbog svoje transparentnosti. Pretpostavlja se da mnoge oči osiguravaju da se mogući problemi prepoznaju i riješe.
2000. godine program je službeno predan zakladi otvorenog koda Apache. Ovu neprofitnu zakladu čine programeri i suradnici volonteri. Godine 2006. Ceki Gülcü je napustio projekt i razvio vlastiti softver poput SLF4J ili LogBack, koji su danas dobro poznati i popularni.
Godine 2012. Zaklada Apache započela je potpunu reviziju pod imenom Log4j Verzija 2. Uvedena je posebna funkcija: Log4j 2 analizira i interpretira vanjske programe prije nego što se njihov sadržaj dalje koristi.
A upravo je tu ranjivost otkrivena prije više od mjesec dana: Napadač može poslati posebno izrađenu datoteku koju Log4j lažno prihvaća. To znači da se može izvršiti bilo koji kod iz vanjskih izvora. Druga je mogućnost jednostavno zamrznuti ugroženo računalo, a zatim zatražiti otkupninu.
Otkrivanje ranjivosti čini se kao neki triler. Chen Zhaojun, član Alibaba Cloud Security tima, je otkrio ranjivost. Obavijestio je Apache Foundation i zajedno s njima objavio ranjivost 9. prosinca 2021., dajući programerima dovoljno vremena da riješe problem. Nakon curenja na kineskoj platformi za bloganje neposredno prije objave, došlo je do rasprava o detaljima ranjivosti. Hakeri nisu čekali: prvi napadi uočeni su u prvih nekoliko dana nakon otkrića.
Maksimalna šteta
Poznato je da divovi poput NASA-e, Twittera, Oraclea i Applea koriste programe u kojima je prisutna ranjivost Log4j. Na primjer, iCloud, Appleova usluga za pohranu na mreži, mogao je biti hakiran putem ove ranjivosti. U teoriji, mali helikopter koji je NASA poslala na Mars također je ranjiv, jer su neki od programa koji se koriste za komunikaciju s njim sa Zemlje temeljeni na Log4j. Pogođeni su i mala i srednja poduzeća, vladine agencije, pa čak i pojedinci s privatnim poslužiteljima kod kuće, a proći će neko vrijeme prije nego što se sazna koliki je jaz.
Nadalje, jasno je da je belgijsko Ministarstvo obrane bila prva poznata žrtva napada Log4Shella. Poduzete su spektakularne mjere opreza, na primjer u Kanadi s preventivnim gašenjem državnih poslužitelja ili u Njemačkoj s divovskom tvrtkom Bosch, koja također proizvodi povezane objekte i priznala je da je pogođena, ali bez daljnjih detalja.
Zapravo, hakeri su ovu ranjivost možda otkrili i iskoristili mnogo prije, a da to nitko nije primijetio. Podsjetimo, verzija 2 objavljena je 2012. Stoga nije nemoguće da su kriminalci mogli prokrijumčariti zlonamjerne programe u računalne sustave. Nekim akterima je pristupanje povjerljivim informacijama privlačnije nego biti plaćeno za to. Strahuje se da je prvi val napada bio samo početni potres prije tsunamija većih napada.
Kako bi trebala izgledati digitalna budućnost?
Činjenica je da ni društvo ni vlade danas nisu spremni za ubrzanu digitalizaciju.
Prije nego što se vlade nastave zalagati za elektroničko glasovanje i automatiziranu razmjenu medicinskih podataka, društva bi trebala razgovarati o vrsti budućnosti koju žele. To uključuje javnu raspravu o pravnim aspektima, sigurnosti i zaštiti podataka, infrastrukturi, otvorenom kodu, nadzoru, suverenitetu nad našim podacima, demokraciji, kulturi, autorskim pravima. I naravno, cenzura također mora biti uključena u rasprave. A sudjelovanje javnosti je neophodno jer se tranzicija tiče svih nas – hitno moramo preuzeti digitalnu odgovornost.
Ova “računalna apokalipsa” postavlja pitanje važnosti našeg digitalnog svijeta. Trebalo bi uspostaviti planove za izvanredne situacije jer same tehničke mjere nisu dovoljne. Zemlje i tvrtke moraju se pripremiti za nastavak rada u slučaju većeg kvara mreže. Osim toga, potrebno je planirati infrastrukturu krizne komunikacije.
Svaka je osoba odgovorna za sigurnost vlastitog računalnog sustava i pazi da poznaje osnove kućne privatnosti: Svi osjetljivi podaci trebaju se čuvati u području odvojenom od interneta. Redovito mijenjajte lozinke, kao i lozinku za WLAN i instalirajte lozinku na bilo koji tvrdi disk.
24 komentara
Budemo svi nazad na zemlju mnjam mnjam krompiri i pipipi kokosi…ovaj, eggs…
Mladi krompirici, mladi luk i teletina ispod saca – koga briga za Log4j.
Nikoga kralju
Nikoga normalnoga
znaci hebat ce nas digitalno,a ovi manijaci i daje zagovaraju nema kesa ,nema banaka sve na internetu ,, nema dokumenata samo cipovi ….. ukratko idemo svi zajedno u quac
U svim verzijama Windowsa se vuče stara rupa iz 1995. godine koja omogućuje potpunu kontrolu nad kompjuterom.
Iako razni programeri od Microsofta uporno traže da zakrpaju tu rupu, ovi to namjerno ignoriraju već 26-27 godina.
Ma lako je za internet.naš glavni problem je što su mozgovi Alvina i vjeverica iz Stožera odavno hakirani..
Bilo bi pristojno da ste naveli izvor ovog ovog teksta (Free West Media). Ovako izgleda da je g. R.Marić autor, a nije.
I za software postoji cjepvo, i ja ga cijepim redovno, a postoji i 100%tna zaštita, izključiš, bateriju van i u šetnju.
Hajte logicno.com ne plasite ljude ako zelite hackirati , znajte da se sve moze hackirati ali tad nastupa veci problem za hackera , kako se iz svega izvuci a ne ostaviti traga za sobom tim prije jer svaki hacker koristi svoje alate I ponavlja vlastiti modus operandi dok ne padne a svi su do sada popadali sem onih sto rade za vladine sustave jer njih stite maticne drzave .Ostali u prosjeku do 20,godina robije pa vi vidite da li se ta zajebancija uopce isplati . Inace za vasu informaciju , hacker , kada krijene u hack hunt , mora skinuti sve vlastite sisteme zastite jer alati , koji se koriste u pravilu su pisani sa sadrzaateljem malicioznog koda , tako bi ga vlastiti sistemi zastite blokirali to jest ako ga sa druge strane nanjusi , kolega , hacker , znace kako da uzvrati a onda vam ostaje nesto manje od 120 sec za samo jedno . BJEZI KOLIKO TE NOGE NOSE !!!!!!
Ne pretjerujte, samo ćete naštetiti svom ugledu.
log4j je programska biblioteka sa funkcijama za pisanje tehničkih protokola. Koriste ju neke serverske aplikacije pisane u Java jeziku. To je postranja biblioteka koju neke aplikacije koriste i koja je zamjenjiva, a može se i korigirati tj. osigurati.
Temeljne Internetske funkcije uključujući rutere, domene (DNS), e-mail, web servere, to NE koriste.
Tocno kolega , ljepo I jasno napisano .
pjur bulšit
Ima rupe kolko hoćeš, glavno umišljeno ostavljene, u hardveru, u softveru, da ne govorim i da sami operativni sistem Windows, Aple, Android su jedan instrument za špijuniranje.
Dajem primer skuplji ruteri HP, one koji koriste vlade, armija, NATO, glavi uzli, imaju deo adresa izvan oficijelnih. Kakvi to admin softver da koristiš za taj ruter, taj transfer je nevidljiv.
Drugi primer, amerika zabranjuje kineskih LAN kartica, navodno su mogli direktno da čitaju od hard diska, bez učešće operativnog sistema…
treći primer, starih mobilnih telefona, neki zahtevi da rade po točno takav način, ne samo mit o tihom SMS-u, to je obično pingvane centrale da ga redovno ili prinudno locira, imam u previd, da bez ikakvih sleda aktivira mikrofon…
Za softver je isto, neko nađe staru rupu, oni je zakrpe, ali pri novih verzija ima novih, deo slučajnih, deo umišljeno.
Primer SSH enkripciju algoritam, uvideli su da nakon optimizacije algoritma, kriptira ali ključevi nisu toliko mnogo, jedan moćni računar za brzo vreme moze da razbije kod. to kreme kada je taj Bug nije bio poznat, dali je neko dekriptirao razne stvari ? I Linuks nije kao ranije, i tamo su globalisti, mešano otvoren i zatvoreni kod, lično radim pod Linuks, ali sve više liči na Windows. A i sam kod je toliko narastao da mali ekip se teško snađe da nešto proverava, tako da se ti novi slučajni ili namerni bugovi se teško pronalaze. A na dva tri meseca svi predlaže neke Updates, to treba cela armija da proverava taj novi kod.
Ne znam .Veliki sam fan Linuxa . Toliko da sam svoj Getac S – 410 sto mi skoro pristigao sa onim UZASOM od Windows 10 X64 ( ne znam samo komu je IDIOTU to uopce moglo past na pamet ) a koji je sam po sebi spyware , dakle UNORMALIO , poslije full erase , putem DoDa na nacin da sam from scratch instalirao Astra Linux Oryol ( paid version – jedva sam dosao do nje ) verzija 5.10 .Uh .Bilo je tu , dobra 4 dana posla , trke za driverima posebice za eksterne uredjaje te onda trka za izvesne plugins – no sve je posle puno znoja 100 % fit , running smooth & safe . Skoro mi je stigao , prijeko Finske I tablet sa dvije kartica MIG T10 sa preistaliranom Astra Linuxom . Sada jos cekam I smartphone na Astri pa da se mogu , konacno otkaciti od ovoga Applea. Ugodan dan vam zelim .
Nije bitno sto je necitljivo, i sto zato clanak nema nikakvog smisla. “Autor” je obavio svoje. Cemu uopce sluze ovakve redikulozni clanci? Da netko’ zaradi’ placu? E, pa, nije ju zaradio.
O, da, a tek Fiki-Fiki poseban Tajlandski softver?
Ja sam zadivljen, kako si ti samo upucen. Pa, sto takav talenat ovdje gubi vrijeme?
Mene zanima , hvala gospodinu. Ti redikulice preskoci ako ti se ne sviđa
Kakva mrtva apokalipsa? Flashati BIOS je znanost? Provjeriti ima li rootkita na sustavu? Radije brinite što vam je u modemima i istražite njihov firmware.
A tko još koristi windoze spojene na net, sam si je kriv 🙂
Misliš na ove adsl+LTE hibridne modeme? Kad ugase 4G, vjerojatno će ponuditi 5G verziju. Onima na optici se ništa neće promijeniti.
Mene nervira što nitko ne prosvjeduje zbog spačke stare koliko i uvođenje adsl-a- vječni leasing modema. Otplatiš ga deset puta, a još uvijek je u leasingu T-coma.
Zašto korisnik ne može kupiti modem po svom izboru i onda unijeti podatke za spajanje?
(ZTE su zapravo pristojni modemi:) Ful konfigurabilni. Vjerojatno zato više ne šalju zakrpe- pasivno prisiljavanje na Huawei)
opet ne prolazi post zbog linka. (na redditu-> (r)eddit.com/r/Lenovo/comments/ndn05a/how_do_i_update_bios_without_windows/)
fwupdate paket i u njemu fwupdmgr
Makedonac je kompetentniji od prevoditelja ovog članka.
Pozdrav i tebi 🙂 Ako posumnjaš da ti je BIOS kompromitiran, lemilicu u ruke, novi BIOS čip za tvoju matičnu je oko 15 dolara (na ebayu -> /itm/114879785876).
@ Legendarni Grk, o kom propustu se tačno radi ?? Hvala
Možda misli na syskey-anje. To sad nešto pokušavaju “srediti” sa obaveznim TPM 2.0 modulom na matičnoj za buduće verzije win, što je…pa, glupo je i uzrokovat će troškove nepotrebne zamjene hardvera čim ode neki ljuti sistemac iz firme haha
Grče, javi se, i mene zanima što je to nepokrpano od ’95.
Inače, evo aktivna list ranjivosti za win10:
cvedetails(točka)com/vulnerability-list/vendor_id-26/product_id-32238/Microsoft-Windows-10.html
(zamijeni (točka) sa “.”, jel)
Usput, nisu sve ranjivosti iskoristive (ono što zovemo exploit). Problem su ove sa rezultatom (score stupac) višim od 7. Ali to je subjektivno. Meni su problematične i neke sa rezultatom >6.
Sve ovisi o tome što radiš, na čemu radiš, za koga radiš…npr., mislim da nema IDE-a bez moguće iskoristivog malwarea zbog prirode posla developera.
Ali zato imamo virtualne mašine koje možemo “snimiti” kad jednom instaliramo što nam treba za neku konfiguraciju, pa ako dođe do rusvaja, samo pokrenemo tu snimku (tzv. snapshot).
Počnite koristiti virtualke ljudi, stvarno više nisu egzotične. Možete imati više (relativno) izoliranih sustava, pa ak zeznete jedan, imate drugi (npr. jedan za poso, drugi za privatne stvari, treći za stvaaarno privatne stvari, četvrti za eksperimentiranje, peti kao “izlog novih funkcionalnosti” i slično).