VELEUČILIŠTE VELIKA GORICA

IVICA ČUČEK

DRUŠTVENE MREŽE KAO VEKTORI NAPADA ZA CILJANE NAPADE

DIPLOMSKI RAD

Velika Gorica, 2016.

VELEUČILIŠTE VELIKA GORICA

Informacijski sustavi

DRUŠTVENE MREŽE KAO VEKTORI NAPADA ZA CILJANE NAPADE

DIPLOMSKI RAD

Mentor: Student:mr.sc. Marinko Žagar Ivica Čuček, 77130628

Velika Gorica, 2016.

VELEUČILIŠTE VELIKA GORICA

Velika Gorica,

ZADATAK DIPLOMSKOG RADA

Pristupnik: Ivica Čuček

Matični broj: 77130677130628 27

Studij: Informacijski sustavi

Naslov rada: Društvene mreže kao vektori napada za ciljane napade

Znanstveno područje: tehničke znanosti Znanstveno

polje: računarstvo

Teze rada ili opis zadatka:

1. Društvene mreže 21 stoljeća - opis društvenih mreža, tehnologija koju koriste2. Prijetnje na društvenim mrežama kao vektor napad na ciljane napade - opisati prijetnje na društvenim mrežama za korisnike i za poslovne subjekte3. Sigurnost na društvenim mrežama u cilju ostvarivanja sigurnosti na ostalim komercijalnim servisima - opisati načine na koji se način može podići sigurnost na društvenim mrežama, opisati pojedine slučajeve i objasniti ih, te na koji način je društvena mreža podigla sigurnost korisnika, isto tako na koji način su komercijalni servisi podigli sigurnost, poput, banaka, Gmail, Amazon i sl.4. Napadi i sigurnost u praksi- pokazati primjerom na koji način je moguće izvesti napad na društvenu mrežu i/ili komercijalni servis ili tvrtku putem SQL injection i/ili xxs napada

Mentor: Pročelnik studija:

Komentor: (ako je određen)

Datum uručenja zadatka: Datum predaje završnog rada:

Voditelj Odsjeka za studentska pitanja:

Društvene mreže kao vektori napada za ciljane napade

VELEUČILIŠTE VELIKA GORICA

Sažetak

U ovom diplomskom radu opisane su popularne društvene mreže u 21. stoljeću, koje

se svakodnevno koriste. Isto tako opisane su sve prijetnje na društvenim mrežama s kojima

se korisnici svakodnevno susreću. Opisan je popularni „Honan hack“, na koji način su hakeri

iskoristili sigurnosne propuste u komercijalnim servisima, kako bi preuzeli kontrolu nad

Twitter računom samog novinara Honan-a. Isto tako analiziran je sam proces hakiranja, tako

da se utvrde sami razlozi hakiranja, način na koji su hakeri iskoristili sigurnosne propuste u

komercijalnim servisima i kako su se ti propusti prelili na druge komercijalne servise, a koji su

bili lančano vezani jedni s drugim. Opisane su mogućnosti hakiranja poput „Honan hack-a“ u

kojem mogu hakeri napraviti puno veće štete, pa čak koristiti u terorističke svrhe. Opisana je

tehnika SQL injection, s kojim hakeri mogu napasti samu web aplikaciju društvene mreže,

odnosno komercijalnog servisa, na način da iskoriste propust u projektiranju i kodiranju same

web aplikacije, odnosno direktno napadati bazu podataka u kojoj su pohranjeni svi podaci

vezani uz samo web aplikaciju.

Ključne riječi

Društvene mreže, Internet, Hakiranje, SQL injection, Web aplikacije, Baza podataka,

Facebook.

Social networks as vectors of attack for targeted attacks

Abstract

This thesis describes the popular social network in the 21st century, which are used

daily. Also described are all threats to the social networks with which users face every day.

Described the popular "Honan hack," how hackers take advantage of vulnerabilities in

commercial services, in order to take control of the Twitter account only journalists Honan's.

Also analyzed is the very process of hacking, so to determine the reasons for the hacking,

the way in which hackers take advantage of vulnerabilities in commercial services and that

these omissions spilled over to other commercial services, which were chained linked with

each other. It describes the possibilities of hacking like "Honan hack" in which hackers can

do a lot more damage, and even used in terrorist attacks. The described technique is SQL

injection, with which hackers can attack the very web application social networks or

commercial services, so as to take advantage of a flaw in the design and coding web

applications themselves, or directly attack a database that stores all data related to the web

application.

KEY words

Social networks, Internet, Hacking, SQL injection, Web applications, Databases,

Facebook.

SADRŽAJ

1. Uvod..................................................................................................................................12. Društvene mreže 21. stoljeća...........................................................................................2

2.1. Povijest društvenih mreža..........................................................................................22.2. Popularne društvene mreže danas.............................................................................5

2.2.1. MySpace.................................................................................................................52.2.2. LinkedIn...................................................................................................................62.2.3. Facebook................................................................................................................72.2.4. Twitter...................................................................................................................10

3. Prijetnje na društvenim mrežama kao vektor napad na ciljane napade..........................113.1. Kategorije prijetnji na društvenim mrežama.............................................................13

3.1.1. Računalni crvi na društvenim mrežama................................................................133.1.2. „Phishing“..............................................................................................................143.1.3. Trojanski konji.......................................................................................................153.1.4. Curenje podataka..................................................................................................153.1.5. Skraćivanje linkova...............................................................................................153.1.6. Botnet-s.................................................................................................................163.1.7. Advanced persistent threat...................................................................................163.1.8. Lažno predstavljanje.............................................................................................173.1.9. Povjerenje.............................................................................................................183.1.10. Ransomware.......................................................................................................18

4. Sigurnost na društvenim mrežama u cilju ostvarivanja sigurnosti na ostalim komercijalnim servisima..........................................................................................................19

4.1. „Honan Hack“...........................................................................................................204.1.1. Analiza „Honan Hack“...........................................................................................24

4.2. Opasnosti „Etičkog hakiranja“...................................................................................264.3. Sigurnost društvenih mreža i komercijalnih servisa u Republici Hrvatskoj...............27

5. Napadi i sigurnost u praksi..............................................................................................305.1. SQL injection............................................................................................................31

5.1.1. Napadi SQL injection............................................................................................325.1.2. Metode napada.....................................................................................................345.1.3. "Sljepi" SQL injection............................................................................................35

5.2. Metode za prevenciju SQL injection.........................................................................365.2.1. Provjera unesenih podataka.................................................................................365.2.2. Statički upiti...........................................................................................................375.2.3. Najniže privelegije.................................................................................................375.2.4. Provjera koda........................................................................................................385.2.5. Web aplication gateway........................................................................................385.2.6. SQL driver proxy...................................................................................................385.2.7. MISC metoda........................................................................................................38

6. Zaključak.........................................................................................................................397. Literatura.........................................................................................................................418. Skraćenice......................................................................................................................439. Popis slika.......................................................................................................................44

1. Uvod

U vremenu kojem živimo veliku ulogu u svakodnevnom životu imaju društvene mreže.

Društvene mreže nesvjesno koristimo u svakodnevnoj komunikaciji, s prijateljima,

poznanicima, poslovnim partnerima, ljudima koje ni ne poznajemo, ljudima koji su na drugoj

strani planete, pa čak i s onima koji sjede svega čak samo jedan metar od nas. Društvene

mreže nisu samo komunikacija na verbalnoj razini, odnosno putem dopisivanja, već to je i

indirektna komunikacija izražavanja vlastitih stavova, misli, dijeljenja događaja, trenutaka u

životu koji nam se događaju, putovanja koja putujemo i sl.

Kako su društvene mreže neosporno dio našeg svakodnevnog života, te nas prate na

gotovo na svakom koraku. Moramo upoznati same društvene mreže, na koji način utječu na

naše živote. Društvene mreže u velikoj količini zaokupljuju naše vrijeme, te postoji bojazan

da ta navika postaje ovisnost pojedinih korisnika. Tema ovog diplomskog rada neće biti ta

opasnost od stvaranja ovisnosti o društvenim mrežama. Sam diplomski rad će se fokusirati

na ostale opasnosti, kojima se izlažu sami korisnici koji koriste društvene mreže. To su

opasnosti koje vrebaju na društvenim mrežama na same podatke korisnika, odnosno

korištenje tih podataka radi provođenja hakerskih napada, i nanošenja štete samom

korisniku, kao i ostalim komercijalnim servisima koje sam korisnik koristi. Ta prijetnja na

društvenim mrežama je stvarna i realna, stoga je potrebno istražiti koje su to sve opasnosti i

na koji način vrebaju samog korisnika. Istraživanjem takvih opasnosti važno je kako bi se

podignula sama sigurnost na društvenim mrežama, kao i na ostalim komercijalnim servisima

koje korisnici koriste. Isto tako na taj način podiže se svijest samih korisnika, koji svojim

svijesnijim načinom korištenja mogu zaštiti svoj identitet na društvenim mrežama, kao i

povjerljive podatke. Isto tako važno je da samim istraživanjem opasnosti podigne se svijest i

samih komercijalnih servisa, da sigurnosne propuste u što kraćem vremenu isprave. Kako

zlonamjerni napadači – hakeri u što manjoj mjeri mogu napraviti štetu samim korisnicima, a i

komercijalnim servisima. Idealno bi bilo da se te prijetnje otklone i prije nego je bilo kakva

šteta nanesena.

1

2. Društvene mreže 21. stoljeća

2.1. Povijest društvenih mrežaPovijest društvenih mreža počinje s godinom kada se stvorila potreba povezivanja

računala u mrežu, tj. kada su korisnici na računalima po prvi puta počeli međusobno

komunicirati, razmjenjivali podatke i sl. Tako je davane 1969 godine stvorena mreža

ARPANET1 (Advanced Research Projects Agency Network) koja je bila preteča današnjeg

interneta. ARPANET je razvila Američko Ministarstvo Obrane s osnovnim ciljem da se

povežu računala sveučilišta i istraživačkih centra. Prvo uspješna poslana poruka putem

ARPANET-a poslana je 22:30 on 29. listopada 1969, iako je poruka bila samo text „login“. ,

možemo smatrati da je to prvi pokušaj komunikacije, tj. nečega što će kasnijim razvojem

stvoriti sve uvjete za stvaranje društvenih mreža. Pa tako, godine 1971 god poslan je i prvi e-

mail, 1973 god. poslana je prva datoteka FTP (File Transfer Protocol) protokolom, a 1977

godine pomoću NVP (Network Voice Protocol) protokola uspostavljena je glasovna

komunikacija. Godine 1980. pojavljuje se USENET kojim se omogućava korisnicima putem

tematskih grupa da otvoreno sudjeluju u raspravama o različitim temama , iznose svoje misli,

znanja i ideja. Pojavom WWW (Worldwide Web) 1990 godine u Ženevi stvara se zadnja

pretpostavka za stvaranje društvenih mreža kakve danas poznajemo, s pojavom WWW-a

stvara se mogućnost da se informacijama pristupa s pomoću miša, tj. kliktanjem linkova.

Tako godine 1995 nastaje Classmates.com na kojoj se moglo potražiti svoje bivše školske

kolege i s njima uspostaviti kontakt.

Prva prava društvena mreža, na kojoj se osim pretraživanja i komuniciranja, dodavati

prijatelje, pripadnike obitelji pojavljuje se 1997 godine SixDegrees.com2. SixDegrees.com je

samo ime dobila po teoriji o „Six degrees of separation“3, koja govori o šest stupnjevima

razdvojenosti tj. da se do svih ljudi na svijetu može doći u šest koraka. Npr. Jedan čovjek

može poznavati 100 ljudi, a svaki od tih 100 ljudi može poznavati još 100 ljudi, pa taku u šest

koraka možemo doći do svih ljudi na svijetu. Iako je mreža povezivala 3,5 milijuna korisnika,

ona je propala zbog velikih troškova poslovanja, skupih servera i činjenice da se ta mreža

jednostavno prerano pojavila. Nažalost, širokopojasni brzi internet nije pratio brzi napredak

mreže, pa je ovako glomazan sustav učinilo jako sporim, a i malo tko je imao digitalni

fotoaparat, pa uz mnoge profile nije postojala slika.1 https://en.wikipedia.org/wiki/ARPANET2 https://en.wikipedia.org/wiki/SixDegrees.com3 https://en.wikipedia.org/wiki/Six_degrees_of_separation

2

Iako samim početkom 21. stoljeća jedna od pionira društvenih mreža se ugasila,

samo dvije godine kasnije, odnosno 2003 god. dolazi do pravog buma društvenih mreža. Pa

tako jedna i danas popularnih društvenih mreža pojavljuje se Myspace.com4, koja je svoju

najveću popularnost dostiže od 2005 do 2008 godine. Ali sredinom 2008 godine po broju

korisnika prestiže je Facebook, i nadalje mreža bilježi pad popularnosti. Danas Myspace.com

jako je popularna među glazbenicima, gdje glazbenici mogu besplatno objavljivati svoj rad, i

komunicirati i pratiti tko su im fanovi.

Slika 1. Facebook prestiže MySpace5 po broju korisnika

Te iste 2003 godine, lansirana je LinkedIn6 društvena mreža, koja je svoju publiku

našla u poslovnim korisnicima. LinkedIn je društvena mreža kojoj je osnovni cilj da spaja

poslovne korisnike. Na taj način korisnici objavljuju svoje životopise, ostvaraju kontakte s

ostalim korisnicima prema zajedničkim poslovnim vještinama, poznanstvima i sl. Isto tako

korisnici ostvaruju kontakte s mogućim poslodavcima, kontakte s znanstveno istraživačkim

ustanovama radi doškolovanja i/ili certificiranja i sl.. Isto tako poslodavci mogu ostvarivati

kontakte s mogućim zaposlenicima, pretraživati bazu životopisa, oglašavati za slobodna

radna mjesta i sl. Danas, LinkedIn je najpopularnija platforma za pretraživanje poslovnih

korisnika koji nude ili traže posao, certificiranje u poslovnom svijetu.

4 https://en.wikipedia.org/wiki/Myspace5 https://tctechcrunch2011.files.wordpress.com/2008/10/facebook-myspace-sept.png6 https://en.wikipedia.org/wiki/LinkedIn

3

Godini dana kasnije, tj. 2004 godine pojavljuje se danas najpopularnija i najveća

društvena mreža Facebook7, koja je brojila u travnju 2016 godine 1.650.000.0008 aktivnih

korisnika. Društvenu mrežu Facebook osnovao je student Havarda, Mark Zuckerberg. U

početku mreža je bila dostupna i namijenjena samo studentima Havarda, kasnije društvenu

mrežu Facebook koriste ostala sveučilišta u Americi, a nakon toga društvena mreža

Facebook postaje dostupna svima. Broj korisnika društvene mreže sljedećih godina stalno je

u rastu, pa tako 2005 imaju 5,5 milijuna korisnika, 5 godina kasnije 2010 godine ta brojka se

penje na 500 milijuna, sve do današnjih 1,65 milijardi korisnika. Facebook je danas

društvena mreža koja služi svim dobnim skupinama, od školarcima, studenata, mladih,

korisnika srednje dobi pa do djeda i baka. Facebook je platforma koja služi za dopisivanje,

druženje, oglašavanje, prodaju, video komunikaciju i još mnog drugih mogućnosti. Facebook

je dostupan ne samo na osobnim računalima, već i na pametnim telefonima, tako da korisnici

u bilo kojem trenutku mogu pristupiti informacijama, dopisivanju gotovo svugdje i bilo kada.

Nije neuobičajena pojava da mnogi poslovni subjekti svojim zaposlenicima zabranjuju za

vrijeme radnog vremena pristup društvenoj mreži Facebook.

Godine 2006 pojavljuje se još jedna danas jako popularna društvena mreža, Twitter.

Društvena mreža Twitter inspirirana je velikom popularnošću SMS-a9 (Short Message

Service) na GSM telefonima, kojim se moglo poslati 160 znakova. Tako, Twitter je društvena

mreža za mikro-bloging tj. namjena je za slanje kratkih poruka do 140 znakova, koji su

prema imenu mreže nazvani tweet-owima. Društvena mreža zbog svoje specifične

mogućnosti, slanja samo 140 znakova, pomoću kojih se šalje kratka i jasna poruka, jako je

popularna među mlađom generacijom. Godine 2016, Twitter ima oko 332 milijuna aktivnih

korisnika.

7 https://hr.wikipedia.org/wiki/Facebook8 https://en.wikipedia.org/wiki/Facebook9 https://hr.wikipedia.org/wiki/SMS

4

2.2. Popularne društvene mreže danas

2.2.1. MySpaceMySpace je jedna od najpopularnijih društvenih mreža današnjice, koja okuplja oko

50 milijuna aktivnih korisnika. To je društvena mreža koja se specijalizirana u pogledu

umrežavanja glazbenika, umjetnika i sl., koji je koriste za predstavljanje svojih pjesama,

umjetničkih djela, i umrežavanje s njihovom publikom. Na taj način se umjetnici mogu

predstaviti svojoj publici, a i proširiti samu publiku. Tako na društvenoj mreži nalazi se oko

14.2 milijuna10 umjetnika, koji dijele oko 53 milijuna pjesama.

MySpace za svoj pogon koristi Microsoft platformu11, i to:

Windows operacijski sustav Windows server 2003

IIS web poslužitelj

ASP.NET 2.0 platformu

SQL server

Da bi društvena mreža MySpace funkcionirala u pogonu ima 4500+ web servera Windows 2003/IIS 6.0/APS.NET.,

1200+ cache servera koje pogone 64-bit Windows 2003 s

500+ servera s bazom podataka koje pogoni 64-bit Windows i SQL Server 2005.

Na taj načina MySpace procesuira oko 1,5 bilijuna pregleda stranica, odnosno obradi

2,3 milijuna korisnika istovremeno tijekom dana.

10 http://expandedramblings.com/index.php/myspace-stats-then-now/2/11 http://highscalability.com/myspace-architecture

5

2.2.2. LinkedInLinkedIn je još jedna društvena mreža, posebno dizajnirana za poslovnu zajednicu.

Osnovni misija LinkedIn društvene mreže je uspostava kontakata s korisnicima koje

poznavanju poslovno, svakodnevno u profesionalnom životu, i stvaranje novih kontakata s

korisnicima iz istog ili sličnog poslovnog interesa. Danas LinkedIn ima preko 400 milijuna

korisnika u preko 200 zemalja, sjedište LinkedIn-a je u Mountain View, Californija.

LinkedIn je društvena mreža koja nije u potpunosti besplatna. Osnovno članstvo omogućuje

korisnicima uspostavu kontakata samo s korisnicima s kojima ste radili, poznajete

profesionalno ili ste zajedno školovali u istoj obrazovnoj ustanovi. Premium članstvo LinkedIn

društvene mreže omogućuje puno veće mogućnosti, pa tako i pristup svim kontaktima u

LinkedIn bazi, što omogućava pretraživanja dostupnih talenata, pretraživanja dostupnih

poslova i sl.

LinkedIn društvena mreža za svoj pogon koristi12:

Solaris operacijski sustav (pokreće ga Sun x86 platforma i Sparc)

Tomcat and Jett aplikaijski serveri

Oracle i My SQL baze podataka

Lucene za pretraživanje

Java i c++

LinkedIn društvena mreža koristi „Cloud“ server koji cashira cjelokupni graf LinkedIn

mreže u memoriji. Sam cache je implementiran s c++ programskim jezikom, kojemu se

pristupa pomoću JNI. LinkedIn se odlučio za korištenje c++ programskog jezika umjesto

Jave u tom slučaju iz razloga jer se na taj način koristi minimalno moguće RAM memorije.

Cloud cashira cjelokupnu LinkedIn mrežu, ali svaki korisnik mora vidjeti tu mrežu s svog

gledišta. Jako je računalski skupo to računati stalno, stoga je LinkedIn računa jednom za

svaki put kada korisnik započne svoju sesiju i drži ju cachirano u memoriji za svakog

korisnika.

12 http://hurvitz.org/blog/2008/06/linkedin-architecture

6

2.2.3. FacebookIako je Facebook društvena mreža započela svoj život kao društvena mreža

namijenjena studentima Sveučilišta Harvard-a, ona se danas proširila izvan sveučilišta, izvan

Amerike i prisutna je doslovno u cijelome svijetu. Društvena mreža Facebook je danas

najveća društvena mreža s najviše korisnika. Facebook nije društvena mreža koja se

specijalizirala za specifične korisnike ili određene interese poput MySpace-a i LinkedIn-a,

ona je jednostavno društvena mreža za sve korisnike i za sve uzraste. I doista, Facebook

danas koriste svi uzrasti od baki i djedova, tata i mama, do studenata i djece starije od 13

godina. Danas Facebook broji preko 1,65 milijardi korisnika što je više od 22% cjelokupne

populacije ljudi na planeti Zemlja.

Facebook je u potpunosti besplatna društvena mreža, i ono što je potrebno da bi se

registrirali je e-mail adresa i da ste stariji od 13 godina. Jednom registrirani možete uređivati

svoj profil, dodavanjem slika, informacije, poput gdje radite, statusa veze, omiljenih filmova,

knjiga, hobija i još mnogo više. Na taj način korisnici se povezuju s ljudima u svojoj okolici

koje poznaju, i naravno stvaraju se nova poznanstva. Korisnici putem Facebook mreže mogu

komunicirati slanjem poruka, video poziva, dijeljenjem sadržaja treće strane poput članaka iz

novina. Slati pozivnice prijateljima za određene društvene događaje, stvarati javne ili privatne

interesne grupe, igranje igara, igranje društvenih igara i sl.. Glavna prednost Facebook su

brojne aplikacije koje se mogu dodavati u profile, tako je moguće imati virtualne kućne

ljubimce, darivati prijatelje s virtualnim darovima, slati virtualne zagrljaje, čestitke, djelati

fotografije, video uratke i još mnogo toga. Možemo reći da je Facebook gotovo svemoguć,

pogotovo u tom virtualnom druženju, u virtualnim aktivnostima koje nas zakupljuju i

zadržavaju ispred ekrana računala, laptopa ili telefona.

7

Društvena mreža Facebook za svoj pogon koristi sljedeću tehnologiju13, u osnovi to je

LAMP14. LAMP se sastoji od:

Linux15 operacijskog sustava, to je operacijski sustav sličan Unix-u, s Linux

kernelom. Osnovna značajka Linux operacijskog sustava je što dolazi pod GPL3

licencom što omogućava slobodno i besplatno korištenje samog operacijskog

sustava. Linux omogućava i slobodu razvoja i nadogradnje samog Linux

operacijskog sustava od strane Facebook-a.

Apache je najčešće korišteni web poslužitelj na internetu, s udjelom od 60%16.

Poput Linuxa, Apache je besplatan i slobodan web poslužitelj, kojeg može svako

koristiti, razvijati i distribuirati ali pod Apache Licencom17.

My SQL je besplatna, otvorenog koda relacijska baza podataka, bazirana na SQL

programskom jeziku

PHP je programski jezik namijenjen za programiranje dinamičnih web stranica.

PHP isto tako je besplatan i slobodna za korištenje i distribuciju.

Osim LAMP-a kao osnove za pogon Facebook-a, Facebook kako najveća web stranica na

svijetu koristi i sljedeće:

Memcached – tehnologija koju koriste velike web stranice, a služi kao memorijski

sloj između web stranice i My SQL baze podataka, kako bi se ubrzao pristup bazi

podataka

Big Pipe – modul koji je zadužen za parcijalno isporučivanje web stranica

Varnish – http akcelerator koji služi za učitavanje profilnih slika

Thrift – je taj koji povezuje programske jezike kroz svoj framework, te omogućuje

Facebook razvojnom timu da koristite uz PHP i C++ i Javu.

HIPHOP FOR PHP – služi za konverziju PHP koda u C++ koji se kompajlera radi

postizanje boljih performansi.

Hystack – razvio ga je Facebook za pohranu i dohvaćanje objekta, najčešće je

korišten za dohvat fotografija

Cassandra – je distributivni sustav za pohranu bez prekida, a koristi se za

pretraživanje poruka.

Scribe – je jako fleksibilan loging sustav

13 https://www.neuralab.net/facebook-lajka-svoje-servere-i-tehnologiju-cloud-review/14 https://en.wikipedia.org/wiki/LAMP_(software_bundle)15 https://hr.wikipedia.org/wiki/Linux16 https://hr.wikipedia.org/wiki/Apache_HTTP_poslu%C5%BEitelj17 https://en.wikipedia.org/wiki/Apache_License

8

Hadoop & Hive – je implementacija s kojom Facebook obrađuje veliki broj

kalkulacija i obradu sirovih podataka. Hadoop je zadužen da na temelju vaših

klikova u stream vijesti pojavljuju bliski prijatelji. Hive je zadužen za dohvaćanje

obrađenih podataka u SQL stilu. Hadop & Hive su projekti otvorenog koda, koje

koriste i ostala velika web sjedišta poput Twitter-a i Yahoo-a.

GateKeeper – je sustav kojeg Facebook koristi za implementaciju određenih

promjena određenim korisnicima, A/B testiranja, testiranja promjena preko

zaposlenika. „Crna lansiranja“ koja se rade na način da se određene

implementacije puštaju u rad bez promjene na korisničkom sučelju. Na taj način

se otkivaju graške u kodu na razini aplikacije ili same baze podataka.

XHProf – služi za sam monitoring svake funkcije u PHP-u, ukoliko se otkriju

određene graške dijelovi Facebook-a se mogu staviti izvan funkcije, a sve kako bi

korisnici mogli pristupiti osnovnim funkcionalnostima Facebook-a.

9

2.2.4. TwitterTwitter je društvena mreža koja je svoju popularnost stekla specifičnim slanjem

kratkih poruka do 140 znakova, i dijeljenim među ostalim korisnicima na društvenoj mreži

unutar iste sfere interesa. Registrirani korisnici na društvenoj mreži mogu slati i čitati tweet-

ove, dok neregistrirani korisnici mogu samo čitati poruke.

Društvena mreža Twitter svoje poslovanje oslanja na tehnologiju otvorenog koda. U

početku je Twitter koristio Ruby on Rails Framework za web sučelje, a za bazu podataka

koristila se My SQL baza podataka. Kako je broj tweet-ova rastao postalo je problem čitanja i

pisanja iz baza podataka. Postalo je jasno da će biti potrebno redizajnirati cijeli sustav. Tako

je Twitter u 2011 godini prešao sa Ruby on Rails na Javu. Sam prijelaz na Javu i korištenje

JVM-a društvenoj mreži Twitter povećale su se performanse s nekakvih 200 – 300 zahtjeva

po hostanom računalu po sekundi na 10 000 – 20 000 zahtjeva po hostanom računalu po

sekundi. Svaki tweet registriran je pod jedinstvenom ID-u, za tu zadaću Twitter koristi

Snowflake. Isto tako svaki tweet dodaju se Geo lokacijski podaci s kojeg mjesta je poslan

pomoću Rockdove-a. Slanjem tweet-a prije spremanja u bazu podataka provjerava se dali je

tweet spam, ako nije t.co skraćuje URL, sprema se u bazu podataka koristeći Gizzard, i

korisnik dobiva informaciju o uspješnom slanju svoga tweeta-a. Tako spremljeni tweet u bazu

podataka šalje se u pretraživač preko Firehose API-a.

10

3. Prijetnje na društvenim mrežama kao vektor napad na ciljane napadeDruštvene mreže dizajnirane su s ciljem da okupljaju ljude da se druže, komuniciraju,

razmjenjuju informaciju u nekom virtualnom svijetu, bez potrebe za fizičkim kontaktom, i bez

potrebe za premošćivanjem vremenskih razlika, savladavanjem udaljenosti među gradovima

pa čak među kontinentima. Sve te prednosti, omogućile su brži, jednostavniji i jeftiniji prijenos

informacija, omogućile su razvitak društva, pojedinaca i još mnogobrojne prednosti. Svaki

izum, svaka nova tehnologija ili tehničko unapređenje unaprjeđuje samo društvo, potaknuti

na razvitak i boljitak pojedinca, društva i samog čovječanstva, tako je moguće i svaki izum,

novu tehnologiju i tehničko unapređenje koristiti i u ne časne svrhe. Iz povijesti možemo

izvući primjere u kojima je čovjek u nastojanju da unaprijedi čovječanstvo novim izumom,

tehnologijom ili tehničkim unapređenjem, taj isti izum, tehnologija ili tehničko unapređenje

korišteni su osim za ono što su napravljeni, korišteni su baš u suprotne svrhe od onih kojih je

izumljeni, napravljeni. Društvene mreže kao takve nisu iznimka, upravo društvene mreže

zbog svoje specifičnosti su pogodno tlo za one koji namjeravaju napraviti neku nečasnu

radnju, poput krađe, stvaranja štete i sličnih radnji. Korisnici na društvenim mrežama

objavljuju informacije o sebi, poput datuma rođenja, slike svojih ljubimaca, svojim omiljenim

stvarima, jelima, o svojim trenutnim radnjama, poput ljetovanja na kojem se nalaze, poslu

koji rade i sl.. Sve te informacije koje su na prvi pogled bezazleno objavljene, mogu poslužiti

napadačima da prikupe informacije koje je moguće poslužiti za daljni napad. Tako je moguće

iz jedne objavljene slike zaključiti da ste na ljetovanju i da vam je kuća ili stan prazan, to

omogućava provalnicima da mogu lagodno u bilo koje doba dana da Vam opljačkaju stan,

ukradu neke vrijedne predmete poput novca, dragulja, zlata i sl., ili ukradu službeni laptop

koji koristite za posao. Iz Vašeg obavljenog profila na društvenim mrežama koji je uredno

popunjen s svim informacijama, poput datuma rođenja, mjesta rođenja, završene škole,

omiljenog hobija i sl., da napadači kombinacijom tih informacija dođu do Vaše lozinke. Kako

su „sigurne“ lozinke poput „M1a5!/1a8r3“ kombinacija malih i velikih slova, brojeva i znakova

dosta teško pamte, korisnici obično koriste jednostavnije lozinke koje su njima lako pamtljive

poput „josip2510“. Takva lozinka je vrlo lako pamtljiva jer sadrži ime korisnika i njegov datum

rođenja, ali isto tako lako je takvu lozinku rekonstruirati iz podataka koji su dostupni na

Vašem profilu. I kad Vi odmarate na zasluženom odmoru, kradljivci koji su opljačkali vaš dom

i među ostalim stvarima ukrali Vaš službeni laptop, mogu s službenog laptopa skinuti

svakakve informacije o Vašoj firmi, o bankovnim računima, i sl. Često tvrtke koriste VPN18

(Virtual Private Network) pomoću čega se računalom vežete na privatnu mrežu tvrtke gdje

imate direktan pristup svim podacima, ovisno o dozvolama i poslu koje radite, tako kradljivac

18 https://hr.wikipedia.org/wiki/VPN

11

Vašeg laptopa ima pristup mreži i podacima tvrtke u kojoj radite. Pa je moguće da napravi

štetu u vidu brisanja podataka u Vašoj tvrtki u kojoj radite, krađa podataka vrijednih za posao

tvrtke, ili nanošenje štete krađom pristupa bankovnim računima i prebacivanja novčanih

sredstava s bankovnog računa tvrtke.

12

3.1. Kategorije prijetnji na društvenim mrežamaPrijetnje na društvenim mrežama možemo svrstati u nekoliko kategorija, s obzirom na

prijetnju.

3.1.1. Računalni crvi na društvenim mrežamaDanas u IT svijetu postoji trend da se aplikacije „sele“ iz personalnog računala u tzv.

„oblak“, na taj način svakome u svakom trenutku dostupna je aplikacija putem weba, bez da

ju je potrebno instalirati na lokalno računalo. Dodatna prednost kod takvih aplikacija je, da

nije potrebno kupovati cijelu aplikaciju i istu instalirati na lokalno računalo, i brinuti kroz

nekoliko godina o nadogradnji na najnoviju verziju, već se plaća vrijeme korištenja takve

aplikacije u „oblaku“, a o nadogradnji i drugim rizicima poput instalacije sigurnosnih grešaka,

propusta i sl. brine sam proizvođač aplikacije. Isto tako takve aplikacije nisu vezane samo na

jednu platformu, poput MS Windowsa, Gnu/Linuxa ili Mac operacijskog sustava, već se

izvode unutar internetskog preglednika i rade na svim operacijskim sustavima. Nažalost,

osim aplikacije koje svakodnevno koristimo u svrhu produktivnog rada, tako su se pojavile

aplikacije koje nanose štetu, a posebno dobar medij za širenje koriste društvene mreže.

Tako jedna grupa aplikacija koja koristi društvene mreže za širenje su računalni crvi,

značajka računalnih crva je u tome da se samostalno umnožavaju u cilju širenja na druga

računala putem mreže. Jedan takav poznati računalni crv je Koobface19 koji je napadao MS

Windows, OS X i Linux operacijske sustave, a za svoje širenje koristio je korisnike na

društvenim mrežama poput Facebook-a, MySpace, Twitter, ali i ostalih servisa poput Skype-

a, Gmail-a, Yahoo Mail-a i sl.

Koobface se širio putem društvenih mreža slanjem poruke na Facebook-u od

korisnika na kojem je računalo bilo zaraženo ostalim korisnicima s liste prijatelja. Poruka je

sadržavala naslova poput „Pogledaj ovu skrivenu kameru“, a sadržavala je link koji je bio

maskiran kao nadogradnja za Adobe Flash, a koji je potreban za pokretanje istog videa. Ako

je korisnik tu nadogradnju skinuo i pokrenuo zapravo se instalirao računalni crv Koobface.

Koobface nakon uspješne instalacije, odnosno nakon što je zarazio računalo na isti način se

je dalje širio s zaraženog računala. Glavna uloga Koobface računalnog crva bila je skupljanje

informacije na zaraženom računalu, posebno korisničkih informacije poput korisničkog imena

i lozinka za Facebook, Skype i ostale platforme društvenim mreža. Osim toga skupljao je

ostale osjetljive podatke, poput financijskih izvještaja, brojeva bankovnih računa i sl..

19 https://en.wikipedia.org/wiki/Koobface

13

3.1.2. „Phishing“„Phishing“20 dolazi od engleske riječi "fishing" koja znači „pecanje“. Sama riječ

„Phishing“ imala bi značenje „pecanje informacija o korisniku na društvenim mrežama s

mamcem“. „Phishing“ je prijetnja na društvenim mrežama koja se širi putem elektronske

pošte, odnosno putem instant poruka na društvenim mrežama, a zapravo se radi o tome da

se korisniku putem poruke pošalje link koji sliči na internetski servis koji svakodnevno koristi.

Otvaranjem toga linka otvara se web stranica koja ima slični URL, web stranica je identična

internetskom servisu, ali zapravo uopće nema nikakve veze s stvarnim servisom. Takva web

stranica traži identifikaciju korisnika putem korisničkog imena i lozinke, ukucavanjem

korisničkog imena i lozinke zapravo događa se krađa identiteta korisnika. Krađom identiteta

korisnika na društvenoj mreži, potencijalni napadač dobiva pristup korisničkom računu, s

obzirom da korisnički račun na društvenim mrežama sadržava e-mail adresu kao korisničko

ime, i kako je praksa korisnika da koriste iste lozinke za više internetskih servisa, na taj način

potencijalni napadač ima pristup i servisu elektronske pošte poput Gmail-a. Pristupom

servisu Gmail-a potencijalni napadač stječe pristup svim ostalim servisima koji koriste tu e-

mail adresu, koristeći istu lozinku ili kroz proceduru resetiranja lozinke.

Slika 2. Primjer „Phishing-a“ Facebook stranice

20 https://en.wikipedia.org/wiki/Phishing

14

3.1.3. Trojanski konjiTrojanski konji su još jedna prijetnja na društvenim mrežama, to su mali računalni

programi koji se instaliraju na računalo na način da prevare korisnika o svojoj namjeni. Npr.

Korisnik misli da je to neki računalni program za uređivanje slika ili nešto slično, a zapravo se

radi o trojanskom konju. Trojanski konji21 dobili su od tuda i naziv, prema trojanskom konju u

kojem su bili skriveni vojnici kako bi osvojili drevni grčki grad Troju.

Zeus - je popularni trojanski konji koji je svoj novi život baš uz pomoć društvenih

mreža. Zeus-ova glavna uloga je bila pohrana korisničkih imena, lozinki, brojeva računa i

ostalih podataka za pristup online bankovnim računima. Te povjerljive informacije Zeus je

slao hakerima koji su pomoću tih podataka neovlašteno prenosili novčana sredstva s računa

žrtava. Zeus trojanski konj širio se jednako među individualnim korisnicima kao i poslovnim

korisnicima.

3.1.4. Curenje podatakaDruštvene mreže su stvorene kako bi korisnici na društvenim mrežama u virtualnom

svijetu dijelili podatke o sebi, pogotovo podatke koji su osjetljive prirode za pojedinca, poput

statusu veze i sl. Ali neki korisnici dijele previše podataka o sebi, pogotovo podataka koji se

tiču svog posla koji rade. Pa tako dijele informacije o svojoj organizaciji, a da pritom ne

pomišljaju o riziku za svoju organizaciju. Korisnici dijele informacije o projektima na kojima

rade, o novim proizvodima, financijskim transakcijama i sl. Svaka takvo dijeljenje takvih

informacije, ma koliko ona se činila nedužnima mogu dovesti do velikih šteta za organizaciju,

kako financijskih tako i ugleda same organizacije na tržištu.

3.1.5. Skraćivanje linkovaKorisnici na društvenim mrežama kao i same društvene mreže za dijeljenje linkova

koji vode do neke vijesti na informativnom portalu ili slično koriste servise za skraćivanje

takvih linkova. Uobičajeno je da takvi linkovi na informativnim portalima su dosta dugački i

nepregledni, stoga je zgodno skratiti ih tako da je takvim linkovima lakše manipulirati,

pogotovo na društvenoj mreži Twitter na kojoj je postavljanje postova ograničeno s brojem

znakova. Korisnici za skraćivanje takvih linkova koriste servise poput bit.ly, goo.gl ili slično.

Npr. tako skraćeni linkovi se sastoje od osnovice „goo.gl“ i dodatka od 6 na više znakova

engleske abecede, te je nemoguće korisniku pretpostaviti na koji portal će ga taj link odvesti.

Stoga je lako moguće da se iza takvog linka krije poveznica koja vodi do prijetnje poput

računalnog crva ili slično.

21 https://en.wikipedia.org/wiki/Trojan_horse_(computing)

15

3.1.6. Botnet-sBotnet-s22 je mreža računala međusobno povezana na internetu koja međusobno

komuniciraju i međusobno koordiniraju zajedničke akcije. Takva mreža računala koriste

napadači u svrhu slanja mnoštva neželjene pošte (spam), ili DDOS napada. Mnoga takva

računala u Botnet-s mreži su tzv. zombi računala, to su računala na koja je instalirana

aplikacije bez znanja i dozvole vlasnika, takve aplikacije na zombi računalima instalirane su

pomoću trojanski konja, virusa ili sličnih neželjenih aplikacije. Standardna komunikacija i

upravljanje takvim računalima je pomoću IRC kanala ili ostalih aplikacija poput P2P. Ali u

novije vrijeme napadači koriste korisničke račune društvenih mreža, poput Twitter-a. Twitter

intenzivno radi na zatvaranju takvih korisničkih računa, ali zbog lakoće pristupa takva praksa

će se zasigurno nastaviti.

3.1.7. Advanced persistent threatAdvanced persistent threat23 je skup tajnih i neprekidnih procesa računalnih hakiranja.

Advanced persistent threat često za ciljeve za napade koriste organizacije i nacije radi

poslovnih i političkih motiva. Advanced persistent threat je proces hakiranja koji koristi

softicirane tehnike pomoću zlonamjernih programa za iskorištavanje ranjivosti mete, zahtjeva

visoki stupanj pokrivenosti odabrane mete tijekom dužeg vremenskog perioda, kontinuirano

praćenje i skupljanje bitnih podataka.

Advanced persistent threat je proces koji prolazi kroz ove korake: Definiranje cilja napada

Pronalaženje i organiziranje pomagača u procesu

Izgradnja potrebnih alata

Istraživanje infrastrukture i zaposlenika cilja

Testiranje nedostataka

Deployment

Početni upadi

Uspostava vanjskih konekcija

Poširivanje pristupa i dobivanje kredibiliteta

Jačanje uporišta

Izvlačenje podataka

Skrivanje traga i ostati neotriven

22 https://en.wikipedia.org/wiki/Botnet23 https://en.wikipedia.org/wiki/Advanced_persistent_threat

16

Društvene mreže pružaju prijetnji Advanced persistent threat-u ogroman izvor

podataka. Pomoću društvenih mreža napadači skupljaju podatake koje korisnici samostalno i

samovoljno dijele, a da pri tome uopće na pomišljaju na rizik kojemu su izloženi. To je rizik

kojemu su izloženi kao pojedinci, da se njima direktno nanese šteta. Isto tako to je rizik da

kao pojedinac koji je član neke organizacije da bude nesvjesno prijetnja cijeloj organizaciji.

Tj. da nesvjesno djeleći podatke o sebi, ili poslu koji radi na društvenim mrežama postane

meta, kako bi se naštetilo cijeloj organizaciji. Na taj način, preko pojedinca potencijalni

napadači dolaze do svog glavnog cilja, a to je sama organizacija u svrhu da se njoj nanese

šteta, krađom podataka, pristupa osjetljivim informacijama, pristup financijama ili šteta

uništenja informacijskog sustava, koji je ključan za funkcioniranje organizacije. Takve štete

mogu napraviti nepopravljivu štetu za organizaciju, pa tako pojedine organizacije prestaju s

radom. Osim materijalne štete, krađa podataka, uništenje informacijskog sustava, nastaje i

nematerijalna šeta poput gubitka povjerenja klijenata.

3.1.8. Lažno predstavljanjeDruštvene mreže su virtualni svijet u kojem korisnici virtualno razmjenjuju informacije,

međusobno komuniciraju i sl., stoga je vrlo lako se lažno predstavljati. Lažno se predstavljati

za neku drugu osobu ili organizaciju, dijeliti lažne informacije, slike i sl., a sve u cilju

prikupljanja većeg broja prijatelja ili sljedbenika. Vrlo je lako predstavljati se za neku

popularnu osobu, poput pjevača, glumca ili sl., i skupljati puno like-ova, sljedbenika, prijatelja

i sl.. Vrlo je popularno da i sami obožavatelji popularne osobe, glumca ili sl. naprave profil o

toj osobi na društvenoj mreži u cilju da komuniciranja s ostalim obožavateljima, objavljujući

slike, pjesme i sl., stoga korisnik na društvenoj mreži je čak i svjestan da se ta osoba lažno

predstavlja, ali svejedno postaje pratitelj i prijatelj s takvim profilom. Stoga zlonamjerni

napadači vrlo lako mogu dobiti povjerenje korisnika društvenih mreža, pogotovo kad se radi

o popularnom pjevaču ili se organizira potpora pojedinom događaju ili osobi. Odnosno takvi

profili često su i meta takvih zlonamjernih napadača da preuzmu takve profile. Cilj

zlonamjernih napadača je da se skupi što više sljedbenika i prijatelja, kako bi se stvorio što

veći krug korisnika društvenih mreža. Takvi profili služe za prikupljanje informacija o

korisnicima društvenih mreža radi preuzimanje njihovih profila, a sve u svrhu nanošenja šteta

samim korisnicima društvenih mreža ili trećoj strani, a to su organizacije. Pomoću takvih

profila zlonamjerni napadači šire zlonamjerne aplikacije poput, računalnih crva, trojanskih

konja, ili Phishing-a.

17

3.1.9. PovjerenjeZajednička značajka svim navedenim prijetnjama je ogromno, neograničeno

povjerenje korisnika prema društvenim mreža, prema svojim prijateljima i sljedbenicima. U

stvarnom svijetu čovjek je socijalno biće, i u njegovoj naravi je da se druži i da stječe

poznanstva i prijatelje. Pravi prijatelji su ti koji će ti pomoći u teškim situacijama kada ti je

neophodna pomoć poput teške bolesti, prirodnim nepogodama poput poplave, požara i sl.

Društvene mreže su virtualni svijet u kojem korisnici društvenih mreža imaju prijatelje iz

stvarnog svijeta, ali i stječu prijatelje s obzirom na zajednički interes, poput zajedničkog

hobija ili sporta. Stoga korisnici na društvenim mrežama svojim prijateljima imaju ogromno

povjerenje, te vjeruju prijateljima na svaku poruku, sliku ili link koji se dijeli pomoću

društvenih mreža. Sam korisnik nema spoznaje dali je profil prijatelja hakiran, te dali je neko

drugi preuzeo upravljanje tim profilom i šalje poruke, slike i linkove s zlonamjernim

aplikacijama. Ili je prijatelj samo proslijedio takvu poruku ili link od svog prijatelja ne znajući

stvaran sadržaj u toj poruci ili link-u.

3.1.10. RansomwareRansomware24 je još jedna prijetnji na društvenim mrežama. To je specifična prijetnja

koja je našla pogodno tlo na društvenim mrežama za širenje. Ransomware je zlonamjerni

kod koji šifrira korisničke podatke na korisničkom računalu ili jednostavno zaključava

korisničko računalo, a sve u svrhu kako korisnik ne bi imao pristup računalu ili ga ne bi

mogao koristit. Sama riječ Ransomware sastoji se od dvije komponente Ransom koji znači

otkupnina i Malware što znači zlonamjerni program. I upravo je u toj prvoj riječi opisana

specifičnost Ransomware prijetnje, jer kada se zlonamjerni program zaključa računalo ili

šifrira podatke, isti zlonamjerni program traži od korisnika da otkupi pristup svom računalu ili

podacima. Visina otkupnine nisu relativno velike, kreću se od cca 5-200$, odnosno česta je

uporaba i virtualnih valuta poput Bitcoin-a. Stoga korisniku kojem su kriptirani podaci ili

zaključano računalo u čestim slučajevima itekako je voljan platiti kako bi dobio pristup svojim

podacima ili svojem računalo. Najčešće žrtve su privatni korisnici i male tvrtke, koje svoje

podatke imaju spremljene na lokalnom računalu, i ne rade sigurnosne kopije podataka. U

većim tvrtkama to je toliki slučaj, jer većinu svojih podataka drže na serverima, i dodatno

rade se sigurnosne kopije, iako ni one nisu potpuno isključene. Jedan od uspješnih

Ransomware-a je CryptoWall koji se je pojavio 2014 godine, prema podacima FBI-a iz 2015

god. iznos koji je ukraden iznosi 18 miljuna $.

24 https://en.wikipedia.org/wiki/Ransomware

18

4. Sigurnost na društvenim mrežama u cilju ostvarivanja sigurnosti na ostalim komercijalnim servisima

Kako su društvene mreže postale svakodnevnica u životima milijuna ljudi, koji ih

svakodnevno koriste, kojima su društvene mreže postale dio digitalnog života. Digitalnog

života jer na društvenim mrežama imamo pohranjene sve one informacije iz svakodnevnog

života, slike, poruke i neke ostale informacije, a koje mogu biti povjerljive. To su informacije

koje sadrže osjetljive podatke o našoj privatnosti, informacije o brojevima računa i sl. Kako

na društvenim mrežama postoji veliki broj prijetnji, stoga je vrlo važno da do takvih

informacija na društvenim mrežama ne može bilo tko imati uvid. Odnosno potrebno je brinuti

o sigurnosti korisnika na društvenim mrežama. Sigurnost samih korisnika na društvenim

mrežama potrebno je podignuti kroz edukaciju samih korisnika, tj. potrebno je korisnike

educirati i dati mogućnost da vlastite objave i informacije dijele na odgovoran način, da

pojedine informacije ne budu podijeljene svima javno i svima dostupne. Potrebno je educirati

korisnike na način da prijateljstva na društvenim mrežama o ostalim korisnicima uzimaju

ozbiljno s obzirom na povjerljivost. To je prvi vektor sigurnosti koju društvene mreže moraju

provoditi radi sigurnosti svojih korisnika, drugi vektor sigurnosti je da korisnici imaju dovoljno

pouzdane korisničke podatke i pristupne lozinke za pristup svojim računima na društvenim

mrežama. Isto tako potrebno je korisnicima društvenih mreža osigurati da ukoliko svoje

korisničke podatke poput korisničkog imena i lozinke u slučaju da su zaboravljene, da postoji

pouzdan mehanizam za oporavak i povrat tih korisničkih podataka. Za pristup društvenih

mreža potrebna je valjana elektronička pošta. Ukoliko je zlonamjernom napadaču uspjelo da

provali u elektroničku poštu, onda je narušena i sigurnost društvene mreže kroz mehanizam

oporavka i povratka korisničkih podataka na društvenih mrežama.

19

4.1. „Honan Hack“Novinar Honan bio je žrtva hakiranja hakera pomoću društvenih mreža, odnosno

glavni cilj hakera bilo je preuzimanje Twitter računa kojim se je koristio novinar. Namjera

hakera je bila preuzimanje Twitter računa i nanošenje štete ugleda novinaru, šaljući

rasističke poruke putem Twitter računa novinara.

Na Twitter profilu novinara hakeri su pronašli elektronsku poštu s kojim je novinar

prijavljen na društvenoj mreži Twitter. To je elektronska pošta Google usluge G-mail. Imajući

taj podatak hakeri su prišli radnji probijanja G-mail elektronske pošte. Kroz mehanizam

povrata i obnove korisničkih podataka G-mail servisa hakeri su saznali da elektronska pošta

za slanje kopija pošte je .me elektronska pošta. Podatak da je Elektronska pošta .me servisa

tvrtke Apple postavljena kao elektronska pošta za slanje kopija elektronske pošte, pristup

mehanizmu povrata i obnove korisničkih podataka za taj servis potrebno je samo zadnja

četiri broja kreditne kartice i adresa na koju se šalju računi.

Kako bi dobili zadnja četiri broja kreditne kartice novinara, hakeri su izveli

doista jednostavno smiješan napad na amazon.com servis, koji služi za prodaju artikala

putem web trgovine. Hakeri su nazvali korisničku službu i dodali novu kreditnu karticu na

profil novinara na amazon.com web trgovine, predstavljajući se kao novinar, identificirajući se

njegovim imenom i adresom na koju se šalju računi. Kako je broj lažne kreditne kartice

dodan na račun novinara na amazon.com, hakeri su sljedećim pozivom dodali novu adresu

elektronske pošte identificirajući se putem broja lažne kreditne kartice, a koju su hakeri u

prijašnjem pozivu dodali na račun novinara na amazon.com servisu. Kako je račun novinara

na web trgovini amazon.com bio već u velikoj mjeri kompromitiran dodajući im lažan broj

kreditne kartice i nove adrese elektronske pošte, hakeri su još samo trebali resetirati lozinku

za pristup Amazon računu. Resetiranje lozinke web trgovine Amazon računa novinara hakeri

su napravili kroz mehanizam povratka i obnove korisničkih podataka, na način da je link za

resetiranje poslan na novu adresu elektronske pošte koju su hakeri dodali na račun web

trgovine Amazon račun novinara. Resetiranjem lozinke pomoću linka za resetiranje hakeri su

resetirali lozinku i imali puni pristup računu novinara na web trgovini amazon.com. Pristupom

računu na web trgovini amazon.com hakeri su dobili uvid u sve informacije na tom računu,

što je novinar kupovao i sl, kao i zadnja četiri broja kreditne kartice.

Kako su hakeri imali zadnja četiri broja kreditne kartice na računu web trgovine

amazon.com, hakeri su prišli hakiranju Apple-ovog servisa .me. Hakeri su nazvali Apple

korisničku službu, te se identificirali kao novinar na način da su dali podatke zadnja četiri

broja kreditne kartice i adresu na koju se šalju računi. Apple-u je to bilo dovoljno za

20

verifikaciju identiteta, te su dali hakerima privremenu lozinku za pristup .me servisu.

Privremenu lozinku korisnička služba vjerujući da je to novinar, hakerima je dala verbalno.

Imajući privremenu lozinku za pristup .me servisu, hakeri su istu promijenili da dobiju stalnu

lozinku .me servisu kao i AppleID-u. Imajući pristup .me servisu i AppleID-u, hakeri su imali

pristup svim uređajima koje koristi novinar poput IPhone, IPad, MacBook kao i servisu Icloud

i sl.

Imajući tako pristup .me servisu hakeri su kroz mehanizam povrata i oporavka

korisničkih podataka resetirali lozinku za G-mail uslugu, te preuzeli kontrolu nad G-mail-om.

Sljedeći korak bio je resetiranje lozinke korisničkog računa na društvenoj mreži Twitter,

postupak je bio isti kao i resetiranje lozinke za G-mail. Isto tako hakeri su mogli kroz

mehanizam povratka i oporavka korisničkih podataka zauzeti kontrolu nad korisničkim

računima novinara na ostalim servisima, poput Facebook-a, LinkedIn-a, pristupa bankovnim

računima, pa i servisima koji su vezani za posao poput Dropbox-a i sl.

Ono što su učinili hakeri su izbrisali sve podatke na uređajima Iphone, Ipad i

MacBook, tako su novinaru hakeri u jednom satu izbrisali cjelokupni digitalni digitalni život25.

Tijek samog hakiranja bio je jako brz. Tako je:

16:33 prema zapisu u Apple-u hakeri su nazvali tehničku podršku, predstavljajući se

kao novinar tvrdeći da ne može pristupiti .me računu. Apple je hakeru dao privremenu

lozinku, iako nije odgovorio na postavljena sigurnosna pitanja.

16:50 stigla je elektronska pošta s potvrdom o resetiranju lozinke u .me servis. Kako

novinar i ne koristi svakodnevno taj servis i jako rijetko ga provjerava za novu elektronsku

poštu. Čak i da provjerava redovno pristiglu elektronsku poštu, haker je tu elektronsku poštu

poslao u smeće, i na taj način je jako teško na vrijeme vidjeti takvu poruku i uvidjeti korisniku

da se nešto događa.

16:52 došao je G-mail elektronska pošta u .me poštanski sandučić s linkom za povrat

i oporavak korisničkih podataka, dvije minute kasnije stigla je potvrda o promijenjenoj lozini

za pristup G-mail računu.

17:00 haker je koristeći Icloud kroz alat „Find My“ s udaljene lokacije obrisao sve

podatke na iPhone-u novinara, kao i kroz isti alat obrisani su iPad i MacBook.

17:02 Twitter lozinka je resetirana i postavljena je nova lozinka, nakon toga hakeri su

obrisali i G-mail račun.

25 http://www.wired.com/2012/08/apple-amazon-mat-honan-hacking/

21

Slika 3. Slikoviti prikaz Honan Hack-a26

Nakon što su hakeri obrisali sve podatke s iPhone-a, iPad-a i MacBook-a, kao i

obrisali G-mail račun, ne samo da su imali mogućnost kontrole računa, već su spriječili da

novinar povrati pristup. Hakeri su izbrisavši sve to napravili štetu novinaru, nažalost

sigurnosne kopije podataka nisu rađene izvan tih uređaja i usluga, stoga je obrisano

doslovno sve. Obrisane su sve fotografije, fotografije svoje obitelji, novorođenog djeteta,

članova obitelji koji su preminuli, kao i ostalih podataka, poput dokumenata, članaka i sl.

26 http://blog.talkingidentity.com/wp-content/uploads/2012/08/honan_hack1.png

22

Izbrisavši G-mail račun izbrisano je 8 godina elektronske pošte koja je bila na G-mail računu.

Iako brisanje podataka s iPhone-a, iPada i MacBook-a, kao i brisanje G-mail računa i

elektronske pošte nije bio primarni cilj, primarni cilj je bio preuzimanje Twitter računa, ti

podati su izbrisani iz razloga, ne da se nanese takva šteta novinaru, već da se ga spriječi

ponovo preuzimanje svog Twitter računa.

Uvidjevši da nešto ne valja s iPhoneom, jer brisanjem svih podataka iPhone nije bio u

funkciji, a kako je uređaj cijelo vrijeme bi s novinarom bilo je lako uvidjeti da nešto ne valja.

Stoga u 17:10 s novinar je pozvao tehničku službu Apple-a. Razgovor s tehničkom službom

trajao je oko sat i pol. Glavni razlog za to što novinar s tehničkom službom nije mogao riješiti

ništa, bila je kriva identifikacija samog imena novinara od strane Apple tehničke službe.

Tehnička služba Applea je cijelo to vrijeme novinara Honan-a, zamjenom identiteta smatrala

da je to Herman te je cijelo vrijeme tehnička služba gledala krivi .me račun. Stoga novinar

Honan nije mogao se identificirati ni kroz sigurnosna pitanja kao i kroz zadnja četiri broja

kredite kartice i adrese za dostavu računu. Uvidjevši grešku, da cijelo vrijeme tehnička

služba gleda krivi .me račun krive osobe, osobe Herman, a ne Honan, tehnička služba

Apple-a kroz identifikaciju korisnika kroz zadnja četiri broja kreditne kartice i adrese za

dostavu računa identificirala je novinara i povratila mu pristup svom .me računu.

Novinar Honan povratio je pristup i Twitter računu, jako je zanimljivo da ga je jedan

od hakera kontaktirao te je uspostavio komunikaciju s novinarom. U komunikaciji s hakerom

Novinar je saznao način na koji su hakirani računi na Amazonu, Apple-u, G-mail-u i na

posljetku na Twitteru, kako i na koji način su obrisani svi podaci s iPhone-a, iPad-a i

MacBook-a. Prema izjavi samog Hakera, sam razlog hakiranja računa novinara nije bio

prirode nanošenja same štete novinaru, već stjecanje publiciteta. Stjecanje publiciteta samog

Hakera u jednu ruku, ali želja samog Hakera da sigurnosni propusti budu javno prezentirani,

te da se natjera komercijalne servise da uvedu bolje sigurnosne mehanizme kojima bi se

štitili podaci samih korisnika. Isto tako cilj je bio da i sami korisnici uvide sigurnosni rizik

korištenja pojedinih komercijalnih servisa, odnosno povezivanje takvih servisa u lanac.

Povezivanjem komercijalnih servisa u jedan lanac, u kojem se sigurnosni rizik pojedenog

servisa pretvara u sigurnosni propust drugog servisa i tako sve do uspješnog izvođenja

ciljanog napada.

23

4.1.1. Analiza „Honan Hack“Analizu „Honan Hack-a“ potrebno je napraviti kako bi se spriječili takvi i slični propusti

u korištenju društvenih mreža, kao i u korištenju komercijalnih servisa. Analizu treba početi

od najslabije karike, a najslabija karika u „Honan Hack-u“ definitivno je sam Amazon web

trgovina. Na korisnički račun Amazon web trgovine hakeri su jednostavno dodali novu lažnu

kreditnu karticu i to na način da se identificirali pomoću dva podatka Imena i adrese. Ta dva

podatka je jednostavno pronaći o bilo kojoj osobi na internetu, pogotovo na društvenim

mrežama. Kako je podatak o novoj kreditnoj kartici dodan na račun web trgovine Amazon,

hakeri su na temelju te informacije dodali novu informaciju, a to je nova adresa elektronske

pošte. Možemo zaključiti da sigurnosni sustav Amazon-a zakazao već u dva koraka i da ga

je potrebno hitno mijenjati. Na taj način moguće je preuzeti bio koji korisnički račun na

Amazon-u. Isto tako možemo uvidjeti da i sam Apple ima veliki sigurnosni rizik, ono što je

Amazon smatrao da je sasvim sigurno prikazivati zadnja četiri broja kreditne kratice kod

kupnje na Amazonu, Apple je smatrao dovoljno sigurnim da se sam korisnik identificira. Na

taj način je sigurnosni propust jednog komercijalnog servisa postao je sigurnosni propust

drugog komercijalnog servisa. Apsolutna je preporuka i obaveza Amazona i Apple-a da

mijenjaju svoje sigurnosne procedure za identifikaciju korisnika. Da nisu postojali ti

sigurnosni propusti Amazona i Apple-a hakiranje Honan korisničkih računa ne bi uspjelo. Cilj

hakera je bio hakiranje G-mail-a kao bi imao pristup Twitter računu. Sigurnosni rizik Apple-a

tu se prelio na G-mail, i to iz razloga jer je „back up“ elektronska adresa za slanje linka za

resetiranje korisničkih podataka bila postavljena elektronska adresa servisa Apple-a .me.

Kad su hakeri imali kontrolu nad .me elektronskom adresom vrlo lako je bilo resetirati

korisničke podatke za pristup G-mail adresi. Google ima mogućnost postavljanja dodatnog

sigurnosnog vektora za provjeru identiteta, pa tako je moguće postaviti dodatni faktor

identifikacije putem PIN-a. Taj dio krivnje leži na samom novinaru Honan-u, da je dodatni

faktor identifikacije bio postavljen, hakeri ne bi na prvom mjestu došli ni do informacije o

„back up“ elektronskoj adresi za povrat korisničkih informacija za pristup G-mail računu.

Nažalost dodatni vektor identifikacije nije bio postavljen, stoga je od tog trenutka bilo vrlo

jednostavno preuzeti kontrolu bilo koje korisničkog računa Twittera ili druge društvene

mreže, kao i drugih komercijalnih servisa koji su bili povezani s G-mail elektronskom

adresom.

Možemo zaključiti da samo hakiranje Honan Twitter računa proizašlo je od niza

propusta servisa koji su bili međusobno povezani, ali isto tako i propusta od samog korisnika

da pristup, odnosno resetiranje korisničkih podataka bolje osigura. Pogotovo kad je postojala

takva mogućnost na pojedinim servisima. Nažalost korisnici tek kad dožive takvu situaciju,

24

više pažnje posvete zaštiti podataka i samoj sigurnosti na internetu. Također možemo

zaključiti da sami hakeri nisu imali namjeru da naprave neku štetu samom Honan-u, već ima

je bila u prvom redu cilj stjecanja publiciteta, ali i upozoravanje samih komercijalnih servisa

na propuste i prisiljavanje i stih da te iste propuste isprave.

Stoga svi servisi poput društvenih mreža, komercijalni servisi, web trgovine, a i banke

trebale bi koristiti napredne tehnike i metode zaštite svojih korisnika. Naravno da takve

tehnike i metode iziskuju dodatni napor i financijska sredstva, ali se na taj sprečava puno

veća šteta koja se može napraviti. Naravno, postoji i pravna prijetnja, a to su milijunske tužbe

od strane samih korisnika, a i kompanija međusobno. Jedan od dobrih primjera je korištenje

dvo vektorska autentifikacije, tj. osim korištenja korisničkog imena i lozinke, korištenje

generičke lozinke koja se šalje na mobilni telefon i sl.. Naravno, niti jedan sustav nije

apsulutno siguran, ali takav sustav je sigurniji i samim time se smanjuju napadi, jer za

provođenje takvih napada potrebno je puno više znanja i vremena. A samo vrijeme je bitan

faktor, tj. samim korisnicima, a i poslovnim subjektima daje određeno vrijeme da uvide da se

dešava napad i taj napad na vrijeme spriječe.

25

4.2. Opasnosti „Etičkog hakiranja“„Honan Hack“ možemo dijelom svrstati u grupu „Etičkog hakiranja“, naravno „Honan

hack“ je prozračio štetu novinaru Honanu, ali isto tako hakeri su upozorili na propuste

komercijalnih servisa Amazon i Apple. Hakeri pa i sam novinar javno su objavili na koji način

se samo hakiranje odvijalo, takvo javno objavljivanje načina na koji je samo hakiranje

napravljeno imalo je za cilj da se kroz javni medij prozovu sami servisi, i na taj način sami

servisi uvide sigurnosni rizik i da taj rizik isprave. Takva praksa je dobra, u dijelu da se same

servise primora da brzo reagiraju, ali postoji negativna posljedica je ta da sada svi imaju

znanje na koji način je moguće napraviti hakiranje i preuzimanje nečijeg računa na Twitteru,

G-mail-u i sl. Posebno je opasnost da su te informacije dostupne hakerima koji imaju cilj

stvaranje veće štete, pa čak i za postizanje terorističkih napada.

U današnje prijetnja terorističkih napadima postala je stvarnost u svakodnevnom

životu, sama prijetnja nije više nešto što se događa u trećem svijetu, ili na drugom kontinentu

npr. u Americi i sl.. Teroristički napadi su postali ozbiljna prijetnja i Europskoj Uniji, i svi smo

svjedoci nedavnih terorističkih napada u Parizu i Bruxellesu. Ti napadi izvršeni su na način

da su napadači fizički izvršili pucnjave i postavljanje bombi, jedan od ciljeva koji nisu uspjeli

bila je nuklearna elektrana u Belgiji. Eksplozija bombe u takvoj nuklearnoj elektrani imala bi

posljedicu ne samo za Belgiju, veći za cijelu Europu, u materijalnom smislu kao veliki broj

direktnih ljudskih žrtva, ali i kroz niza godina radijacije. Također samo svjedoci da ti isti

teroristi koriste društvene mreže za komuniciranje, promoviranje i prikupljanje podataka o

osobama za ostvarivanje terorističkih napada. Stoga je samo pitanje vremena kada će se

sami teroristički napadi izvoditi se korištenjem društvenih mreža, radi umetanja računalnih

virusa i sl. u svrhu nanošenja štete pa i ubijanja. „Honan hack“ je odličan način na koji se

može preuzeti korisnički računi na komercijalnim servisima poput G-mail-a, Dropbox-a,

Facebook-a i sl., npr. osobe koja radi u nuklearnoj elektrani i radi na održavanju nuklearne

elektrane. Preuzimanjem tih računa hakeri u te račune mogu vrlo lagano sakriti računalnog

crva poput „stuxnet-a“27. Na taj način hakeri bi zarazili prvo osobno računalo, nadalje

prenošenjem podataka pomoću prijenosnih usb memorije, vrlo lako se može zaraziti

računala u nuklearnoj elektrani. Odnosno krajnji cilj Stuxnet računalnog crva je napad na

industrijske sustave kontrole i upravljanja industrijskih postrojenja, u ovom slučaju sustave

kontrole i upravljanja nuklearnom elektranom. Preuzimanjem kontrole i upravljanja nuklearne

elektrane pomoću takvog računalnog crva, posljedice za nuklearnu elektranu bile bi kobne.

Preuzimanjem sustava kontrole i upravljanja nuklearnom elektranom moguće je dovesti do

27 https://en.wikipedia.org/wiki/Stuxnet

26

same eksplozije. Tako za sva živa bića u blizini nuklearne elektrane, kao i posljedice za cijeli

europski kontinent bili bi devastirajući. Stoga je vrlo neophodno za sigurnost na društvenim

mrežama, na komercijalnim servisima, u ovom slučaju i sigurnost samih radnih organizacija,

industrijskih postrojenja potrebno je uzeti ozbiljno, jer posljedice mogu biti katastrofalne.

4.3. Sigurnost društvenih mreža i komercijalnih servisa u Republici Hrvatskoj

Zadnjih godina u Republici Hrvatskoj pojavile su se prijetnje, odnosno napadi na

banke. Ti napadi nisu bili usmjereni direktno na poslužitelje banaka, odnosno krađu podataka

i transfer novaca s računa Banaka. Već ti napadi su ciljali korisnike, tj. korisnička računala

koja su koristila Internet bankarstva. Posebno su toj prijetnji bili izloženi poslovni korisnici, jer

privatni korisnici Internet bankarstva su za verifikaciju u Internet bankarstvu koriste token,

koji generira APPLI1 broj, odnosno lozinku za pristup Internet bankarstvu. Jednom kada je

privatni korisnik logiran na Internet bankarstvo, za svaku transakciju potrebno je pomoću

tokena iz generirati APPLI2 broj. Taj način uporabe je dosta siguran. A kod poslovnih

korisnika princip je donekle sličan, tj. postoji dvo faktorska autentifikacija, ali pomoću USB

stikova ili pametnih kartica. Kako bi poslovni korisnici koristili Internet bankarstvo, potrebno je

priključiti na računalo USB stik ili pametnu karticu, i identificirati se s jednokratnom lozinkom

koju smo postavili kod same instalacije USB stika ili pametne kartice, te korisnik može

započeti s radom. Takva metoda je izložena napadima tzv. "man-in-the-middle“ 28, kojom se

kompromitira sigurnost korisničkog računala, te se iznutra nadgleda, presreće i mijenja

komunikacija, odnosno izvršavaju radnje i nalozi napadača, a ne stvarnog korisnika

računala. Tako imamo primjere poslovnih korisnika kojima se s računa skinulo na tisuće

kuna, a da stvarni korisnik nije imao nikakvo znanje ni nadzor da se s njegovog računala

pristupa Internet bankarstvu i vrše transakcije. Naime navike korisnika nakon uporabe

Internet bankarstva nije bila uzimanje van USB stik ili pametnu karticu iz računala nakon

uporabe Internet bankarstva, odnosno u najčešćim slučajevima USB stik i pametna kratica

su stalno bili na računalo priključeni. Štoviše, takva računala se nisu koristila samo za

Internet bankarstvo, već za svakodnevne poslove, pa i za privatnu zabavu, što rezultira

velikim rizikom zaraze, putem društvenih mreža, mail-a i sl. Takvo korisničko računalo koje je

se zarazilo virusom ili trojanskim konjem poput „Zeus-a“, skupljao je informacije o samim

28 http://www.tportal.hr/gadgeterija/tehnologija/338635/Tko-je-kriv-za-hakerske-napade-banke-ili-korisnici.html

27

navikama korisnika, te je na taj način generiralo potrebne informacije za uspješan napad.

Nakon prikupljenih informacija, zlo namjerna aplikacija je zadavala novčane transfere u

onom iznosu koji je bio specifičan za tog korisnika, te na taj način sam korisnik, a ni banka

nisu mogli primijetiti da se radi o neovlaštenom transferu novaca. Štoviše, transferi su rađeni

i u vrijeme kada je to bilo teško primijeti, poput pred sam kraj radnog vremena i sl.

Takav sličan scenarij dogodio se Zavodu za javno zdravstvo Šibensko-Kninske

županije, kojemu je skinuto s računa nekoliko stotina tisuća kuna, a novac je bio uplaćen na

privatni račun u njemačkoj 29. Transakcija se je dogodila pred kraj radnog vremena oko 15:00

sati, ali pukom srećom djelatnici su otkrili takvu transakciju, i banka je stopirala takvu krađu

novaca. Žrtva takvih napada bila je i tvrtka u Velikoj Gorici, „Gradsko stambeno

gospodarstvo Velike Gorice“, s čijeg računa je u Zagrebačkoj Banci nestalo oko 610 tisuća

kuna. Iz „Gradsko stambeno gospodarstvo Velike Gorice“ tvrde da su koristili sve standarde i

preporuke za zaštitu, tj. koristili su zadnju verziju antivirusnih definicija virusa, kao i

preporuku banke da nakon korištenja se izvadi USB stik ili pametna kartica. Naravno, banka

„pere ruke“ od svega, jer tvrde to nije njihova krivica, jer nisu napadnuti njihovi serveri i

računi, već je napadnuto i zaraženo računalo korisnika, koji nije u vlasništvu banke. Naravno

da se korisnici s tim ne slažu, pogotovo oni koji su koristili zaštitu i preporuke banaka. S

obzirom da je sustav zaštite bankarskih transakcija koji korisnik ima implementiran na svom

računalu je u vlasništvu same banke, kao i način na koji se pristupa transakcijama. Te je

sustave sama razvila ili su to učinili oni koje je angažirala u tu svrhu. Banke su nikako ne

mogu prebaciti svu krivicu na same korisnike. S obzirom da to nisu bili izolirani slučajevi, već

je takvih slučajeva bilo dosta više, i kod ostalih banaka, banke su primorane na

implementaciju i nadogradnju samog sustava.

Nadogradnja sustava Internet bankarstva započela je tek nakon što je

mnogima s računa ukraden novac, i nakon što su mnogi najavili sudske tužbe. U početku su

banke počele pratiti za svaki proslovni subjekt transakcije, te telefonskim pozivom

provjeravale svaku neobičnu i sumnjivu transakciju. Naravno, da je takav način iziskivao

velike resurse same banke, a i pri tome se je i iritiralo same klijente banke. Štoviše, takav

princip ostao je i do danas, doduše u manjoj mjeri. Tako su banke uvele novi način pristupa

Internet bankarstvu i transakcijama, a to je uz korištenje USB stika i pametne kartice, koristi

se i m-token. M-token koristi se za potvrdu i izvršenje same transakcije, jer aplikacija m-

token iz generira APPLI2 broj, koji se upisuje u Internet bankarstvo za provedbu transakcije.

A i sama aplikacija nije instalirana na računalo već na pametni telefon, tj. na drugi uređaj, te

je ta taj način podignuta dodatno sama sigurnost Internet bankarstva.

29 http://www.jutarnji.hr/vijesti/crna-kronika/zavodu-za-javno-zdravstvo-umalo-ukrali-par-stotina-tisuca-kuna/795052/

28

5. Napadi i sigurnost u praksiU prijašnjim poglavljima opisane su društvene mreže koje su u današnje vrijeme

najpopularnije, to su društvene mreže koje okupljaju najviše korisnika. Isto tako opisane su

opasnosti koje vrebaju korisnike na društvenim mrežama. To su opasnosti koje svakodnevno

su prisutne, i svakodnevno prijete sigurnosti samih korisnika društvenih mreža, kao i

poslovnih subjekta. Opisan je „Honan hack“ u kojem je hakiranje izvršeno na način da su

hakeri, pomoću društvenih mreža, kao i ostalih komercijalnih servisa koji su bili povezani

međusobno u lancu. U kojemu jedan sigurnosni propust jednog od komercijalnog servisa

postaje sigurnosna prijetanja ostalih komercijalnih servisa i tako svih komercijalnih servisa u

lancu, kao i društvenih mreža što je u tom slučaju bio i cilj samih hakera. Opisani „Honan

Hack“ u kojem su hakeri preuzeli kontrolu nad Twitter računom, kao i G-mail-om, Apple

računom i Amazon računom, izvršen je na način da su hakeri iskoristili sigurnosne propuste

u identifikaciji samog korisnika, kao i u mehanizmu oporavka i povratka korisničkih podataka

za pristup komercijalnim servisima. Analizom samog hakiranja možemo utvrditi da za samo

hakiranje nije bilo potrebno znanje na koji način su sami komercijalni servisi dizajnirani.

Haker za izvođenja hakiranja nije bilo potrebno istraživanje za popustom u samim web

aplikacijama komercijalnih servisa, tj. u greški dizajniranja koda web aplikacija. Komercijalni

servisi, poput Gmail-a, Amazona, Apple-a kao i društvenih mreža, su zapravo web aplikacije

koje su dizajnirane u nekim od programskih jezika, poput PHP-a, ASP-a, HTML-a, Jave i sl.

Takve web aplikacije da bi funkcionirale optimalno i mogle opsluživati veliku količinu

korisnika, za spremanje svojih podataka koriste relacijske baze podataka, poput My SQL-a,

Oracle baze podataka, MS SQL-a i sl. Kako su te web aplikacije složene, tj. sadrže veliku

količinu kod-a, postoji velika vjerojatnost da kod izrade takvih web aplikacija potkrala greška.

Greška koju potencijalni napadač može iskoristiti za napad, tj. za krađu podataka i nanošenje

same štete komercijalnom servisu. Jedna od takvih opasnosti za web aplikacije koje koriste

baze podataka za spremanje podataka, je tehnika koja se koristi za zaobilaženje sigurnosne

provjere korisnika i izvlačenje podataka iz same baze podataka. To je SQL injection tehnika.

29

5.1. SQL injectionSQL injection je u današnje vrijeme jedna od mnogih tehnika napada na web sjedišta

s kojih napadači žele ukrasti podatke i/ili nanijeti štetu organizacijama, komercijalnim

servisima, kao i društvenim mrežama.

To je vrsta napada koja koristi greške u kodiranju web stranica koje svoje podatke

skladište u bazama podataka. Web aplikacije omogućuju posjetiteljima slanje i primanje

podataka iz baze podataka, baze podataka su srž modernih web aplikacija. U baze podataka

se spremaju svi podaci koji su potrebni za rad web aplikacija, tako kod posjete web aplikacije

od strane korisnike iz baza podataka se dohvaćaju podaci koji se prikazuju putem web

aplikacije korisniku, odnosno putem web preglednika. Podaci koji se dohvaćaju putem web

aplikacije mogu biti od velike važnost, odnosno značaja, pogotovo ako dospiju u ruke onih

koji ih mogu zlorabiti. Pa tako podaci mogu biti korisnička imena, lozinke, brojevi računa,

financijski izvještaji, brojevi računa, statistike kompanije i sl. Tehnikom SQL injection

izbjegava se autentifikacija i autorizacija korisnika pa tako zlonamjerni posjetitelj može

preuzeti kontrolu nad bazom podataka, tj. dobiti neovlašteni pristup, mijenjati podatke i/ili

brisanje podataka. SQL injection je tehnika kojom se putem web aplikacije, odnosno forme

za autorizaciju i autentifikaciju, unosi konstruirani SQL upit. Konstruiranim SQL upitom

napadač komunicira s bazom podataka na način da baza podataka vraća podatke na

postavljeni upit. Pa tako baza podataka može vratiti popis korisnika iz tablice „korisnici“, još

ako se u tablici korisnici nazale korisnička imena i lozinke napadač ima sve informacije o

svim korisnicima i njihovim podacima za logiranje na web aplikaciju. Ako se radi o bazi

aplikacije za Internet trgovinu napadač može dohvatiti imena korisnika, adresa, brojeve

računa, brojeva kartica i sl. Ako napadač dođe u posjed tih podataka može načiniti ogromnu

štetu web trgovini, isto tako svi korisnici te web trgovine su ugroženi da će im novac biti

ukraden s bankovnih računa. Osim same krađe podataka napadač može i izbrisati podatke iz

baze podataka, što je još jedan način nanošenja štete.

Slika 4. Karikirani prikaz SQL injection-a

30

5.1.1. Napadi SQL injectionPrijetnja SQL injection metodom je stvarna, a to pokazuju mnogobrojni primjeri.

Primjeri u kojima su zlonamjerni napadači metodom SQL injection ukrali mnogobrojne

povjerljive podatke, podatke o zaposlenima, podatke o tvrtkama i organizacijama. Na web

sjedištu „http://codecurmudgeon.com/wp/sql-injection-hall-of-shame/“ priložen je popis takvih

napada, u kojemu su popisani napadi s metodom SQL injection. Iz popisa se može zaključiti

kako napadi se događaju svakodnevno, i da napadima su podložni ne samo male tvrtke i

organizacije, već i multinacionalne tvrtke i organizacije koje djeluju na svjetskoj razini. Jedna

takva organizacija koja je doživjela napad je WTO (World Trade Organization), odnosno

svjetska trgovinska organizacija. Naravno, svima je još u sjećanju teroristički napad na WTC

(World Trade Centar) 11. rujna 2001. godine, štoviše mnogi se sjećaju što su u vrijeme

napada radili. Isto tako svi smo svjedoci promjena koji su napadi na WTC donijeli. Od

napada na najjaču naciju na svijetu SAD, do ratova na bliskom istoku itd. Svi se možemo

složiti da svijet od toga dana nije bio više isti. Stoga napad na organizaciju kao što je WTO, i

krađa povjerljivih podataka može biti veliki rizik za takvu organizaciju, i nanijeti velike štete.

Štete samoj organizaciji, kako i zemljama članicama te organizacije. Pa čak i izazivanje

samog rata.

Sam napad na WTO30 napravili su članovi hakerske skupine Anonymous31, napad je

izvršen na stranicu ecampus.wto.org koju WTO koristi za on-line tečajeve o međunarodnim

trgovinskim zakonima i drugim međunarodnim trgovinskim pitanjima. Ukradeni podatci

sadrže personalne podatke o zaposlenima u mnogobrojnim zemljama, pa tako i o Brazilu,

Kini, Francuskoj, Indiji, Indoneziji, Pakistanu, Rusiji, Saudijskoj Arabiji, Šri Lanki i Sjedinjenim

Američkim Državama.

Iz baze podataka WTO-a ukradeno je:

Podaci o administratorima – podaci o 58 administratora koji su sadržavali, ime,

prezime, br. Tel. , adrese elektronske pošte, kao i korisničke za logiranje na web

sjedište

Podaci o zaposlenima – korisniče podatke za logiranje, kao i osobne podatke o

zaposlenima poput, imena, prezimena, adrese elektronske pošte, IP adrese,

nazive radnih mjesta, pozicije na radnim mjestima, mjesta na kojima rade i sl.

Podaci o kandidatima – podatke o kandidatima za zaposlenje u WTO.30 http://securityaffairs.co/wordpress/36528/hacking/anonymous-breached-wto-db.html31 https://hr.wikipedia.org/wiki/Anonymous_(skupina)

31

Iz navedenog možemo zaključiti da je nanesena velika šteta WTO-u, krađom tih

podataka zlonamjerni napadač ostvario je pristup web odredištu s administratorskim

pravima, što mu je omogućivalo da napravi još veću štetu. Štoviše javnom objavom tih

podataka omogućeno je ostalima da naprave štetu. Isto tako djelatnici WTO-a javno su

izloženi prijetnji, kako na internatu tako i u stvarnom životu. I mogu biti upotrijebljeni za nove

terorističke napade od strane samih terorista. Stoga je vrlo važno da takve informacije budu

osigurane, i da takvi propusti budu eliminirani.

Iako je WTO organizacija bila svjesna napada, i da su podaci ukradeni, te je

pokrenula saniranje same štete, tj. implementaciju zaštite. Sam haker koji je izvršio napad,

pohvalio se činjenicom, da iako su izvršene dogradnje na sam sustav, da je ponovo izvršio

napad, te da je bez nekakvih dodatnih prepreka uspio ponovo ukrasti podatke. Naravno da je

to ruganje od strane samog hakera na sigurnosni sustav WTO-a, kao i na mogućnost

reakcije u takvim kritičnim slučajevima od strane administratorske službe koja je zadužene

za odražavanje web sjedišta i sigurnost.

 

32

5.1.2. Metode napada

Napad SQL injection metodom izvodi se putem korisničkog web preglednika, napad

se izvodi na način da web aplikacija ne obradi korisničke podatke na ispravni način, čime se

napadaču omogućuje izmjena konstrukcije pozadinskog SQL upita. Na taj način izmijenjen

SQL upit može se izvršiti s ovlastima komponenti koja je pokrenula SQL naredbu.

Primjer koda SQL upita:

statement = "SELECT * FROM users WHERE name ='" + userName + "';"

Ovaj SQL kod je dizajniran da dohvati zapise određenih korisnika iz table "users",

definirajući varijablu "userName" kod uputa. Umjesto imena korisnika (npr. Pero) može se

upisati dio SQL koda kojim će se moći dohvatiti imena korisnika. Pa tako se može upisati

'or '1'='1

pa će kod SQL upita izgledati ovako:

SELECT * FROM users WHERE name = '' OR '1'='1';

ako se taj kod SQL upita koristi kod autentifikacije ona će biti omogućena jer

validacija

'1'='1'

biti uvijek biti istinita.

Navedenim primjerom zlonamjerni napadač dobiva određene informacije iz baze

podataka, pa tako iz takve baze podataka osim korisničkog imena moguće je izvući i ostale

povjerljive informacije, pa tako i broj kreditne kartice, adresa, lozinke i sl. A osim dobivanja

informacija iz baze podataka moguće i uništavanje podataka iz baze podataka sljedećim

primjerom.

Dodavanjem sljedećeg koda u SQL upit moguće je izbrisati tablicu "users" kao i

dohvaćanje svih informacija o korisnicima:

a';DROP TABLE users; SELECT * FROM userinfo WHERE 't' = 't

Dodavanjem gornjeg koda u SQL upit, SQL upit će izgledati ovako:

SELECT * FROM users WHERE name = 'a';DROP TABLE users; SELECT * FROM userinfo WHERE 't' = 't';

33

5.1.3. "Sljepi" SQL injectionBlind SQL injection je metoda SQL injectona kada web aplikacija ranjiva na SQL

injection, ali rezultati napada nisu vidljivi zlonamjernom napadaču. Primjer takvog napada je

kada SQL injection prisili bazu podataka da procjeni logički upit na uobičajenom

aplikacijskom zaslonu. Primjer web stranice koja prikazuje recenzije knjiga, a pritom koristi

niz za upit za prikaz točno određene recenzije.

Pa bi tako URL te stranice izgledao :

http://books.example.com/showReview.php?ID=5, a upit koji taj URL šalje je

SELECT * FROM bookreviews WHERE ID = 'Value(ID)';

iz kojeg će baza podataka vratiti podatke stranici koje sadrži recenzija knjige pod

brojem id=5. Taj upit se kompletno izvršava na serveru, pa tako napadač ne zna ništa o

imenu baze podataka, tablicama i kolonama u tablicama pa ni string o upitu na bazu

podataka. Napadač vidi smo URL koji vraća broj recenzije knjige.

Ali napadač može izmijeniti URL.

Pa tako URL

http://books.example.com/showReview.php?ID=5 OR 1=1ihttp://books.example.com/showReview.php?ID=5 AND 1=2

rezultiraju s upitom na bazu podataka

SELECT * FROM bookreviews WHERE ID = '5' OR '1'='1';SELECT * FROM bookreviews WHERE ID = '5' AND '1'='2';

Ako nakon upita '1'='1' pojavi prazna stranica ili error stranica kod korištenja

'1'='2' napadač dolazi do zaključka da je navedena web stranica ranjiva na SQL injection

napade. Pa tako napadač može nastaviti s dizajniraim stringovima kao bi izvršio napad i

doznao ostale informacije iz Baze podataka.

34

5.2. Metode za prevenciju SQL injection

5.2.1. Provjera unesenih podatakaTo je metoda kojom se provjeravaju podaci uneseni u formu za unos podataka, kako

bi se izbjeglo unošenje koda za upit na samu bazu podataka. Pa tako provjerava se dali je

unesen jedan navodnik koji se zamjenjuje s sva navodnika i/ili jedna kosa crta s dvije kose

crte. Isto tako provjeravaju se dali je broj unesenih podataka unutar očekivanog broja. Npr.

za korisničko ime bi duljina bila unutar cca 12 znakova, sve preko 12 znakova web stranica

javlja grešku, jer se vjerojatno radi o dizajniranome SQL upitu.

Primjer PHP koda kojim se provjeravaju uneseni podaci32

// funkcija za provjeru unesenih podatakafunction provjera($var) { $var = addslashes(trim($var)); return $var;}

// Filtriranje varijable lozinka$lozinka= provjera($_POST['lozinka']); $query = "SELECT login, lozinka FROM korisnici WHERE login = '$login' and lozinka = '$lozinka' ";

32 http://php.com.hr/18

35

5.2.2. Statički upiti Ova metoda radi na način da se koriste pripremljeni statički upit, a server sam

dešifrira parametre prema potrebi.

Primjer PHP koda koji koristi MySQLi drajver i pripremljenih izraza33:

<?php$username = $_POST['username'];$password = $_POST['password']; // Konektiranje na bazu podataka MySQL$mysqli = new mysqli('localhost', 'user', 'password'); $stmt = $mysqli->prepare("SELECT * FROM korisnici WHERE username = ? AND password = ? LIMIT 1");// Vrednosti promenjivih se šalju na u upit$stmt->bind_param( $username, $password); // izvršavanje upita$stmt->execute(); if($stmt->affected_rows > 0) { // korisnik je logiran} //... // zatvaranje izraza i upita$stmt->close();?>

5.2.3. Najniže privelegijeOvo je metoda kojom se dozvoljavaju određene privilegije bazi podataka. Pa tako

nikako web stranica koja pristupa podacima iz baze podataka ne bi trebala imati "root"

privilegije. Jer "root" privilegije su najvišeg ranga i one napadaču dozvoljavaju da može činiti

što hoće. Isto tako određenim tablicama nije potrebna privilegija za čitanje/pisanje, zabrana

pristupa određenim sistemskim podacima zapisanim u bazu podataka. Ali problem ove

metode je što mnoge web aplikacije pristupaju bazi podataka preko zajedničkog korisničkog

imena i lozinke, tj. web sjedište provjerava samo dali određeni korisnik ima pristup web

stranici, a ne i bazi podataka. Pa tako napadač će uvijek imati privilegije za insert, delete i

update tablice.

33 http://www.salebab.net/sql-injection-sigurnost-php-aplikacija-5-deo/

36

5.2.4. Provjera koda Pristup ove metode je da se provjerava samog koda web stranice. Sam kod stranice

piše čovjek-programer, te tako postoji ljudski faktor greške u kodu, odnosno ispravka koda

kako bi se spriječili sami SQL napadi. Provjeru koda mogu činiti sam čovjek koji će

provjeravati nečiji rad, nikako svoj rad na kodu. Osim čovjeka postoje i skeneri koji skeniraju

sam kod za provjerom i ispravkom samog koda. A osim skenera koji skeniraju sam kod,

postoji i metoda skenera koji skeniraju sam rad web stranice, tzv. Web aplikacija za

skeniranje ranjivosti.

5.2.5. Web aplication gatewayMetoda koja provjerava sam HTML protokol, pa na temelju toga može blokirati SQL

injection na način da će napadaču vratiti stranicu s greškom. Iako ova metoda je

obećavajuća, postoji problem konfiguracije, iznimno je teško konfigurirati da radi na ispravan

način i da blokira ono što treba blokirati, odnosno neblokirana ono što doista se ne bi trebalo

blokirati.

5.2.6. SQL driver proxyMetoda koja radi slično kao i Web aplication gateway, odnosno ima sličnu funkciju.

Samo što presreće API pozive umjesto mrežne konekcije i nadgleda funkcionalne pozive

bazi podataka umjesto HTTP zahtjeve.

5.2.7. MISC metodaTo je metoda Intrusion Detection System (IDS) koja detaktira u mreži moguće

napade. To je inteligentna mreža koja koristi snort aplikaciju. Snort je mrežna aplikacija koja

se koristi za detekciju i prevenciju mrežni napada, pa tako i SQL injection napada. Problem

IDS tehnoligije je što se ne može koristiti SSL, tj enkripcija prometa podacima.

37

6. Zaključak

Društvene mreže su čovjeku kao društvenom biću, koji ima potrebu za socijalizacijom

i komuniciranjem s ostalim ljudima, pružile veliku mogućnost u tome. Pomoću društvenih

mreža čovjek danas može komunicirati s bilo kime na planeti zemlji i u bilo koje doba i to u

realnom vremenu. Društvene mreže su omogućile čovjeku da premosti sve barijere, barijere

među kontinentima, barijere među vremenskim razlikama, barijere nacionalne i vjerske

pripadnosti. Društvene mrežu su čovjeku omogućile razvoj, u pravcu lakše komunikacije,

stjecanja znanja i vještina, stjecanje poznanstava ljudi cijeloga svijeta, širenju ideja i zamisli i

bezbroj ostalih mogućnosti. Društvene mreže omogućile su čovjeku napredak, i zbog toga je

nezamislivo povratak na staro, nezamislivo je funkcioniranje čovjeka bez društvenih mreža.

Društvene mreže koristi veliki broj ljudi na zemlji, i na društvenim mrežama dijeli se

velika količina informacija o samim korisnicima. Te informacije korisnici dragovoljno i bez ičije

prisile dijele s svojim prijateljima. Nažalost, društvene mreže imaju i tamnu stranu, upravo

zbog lakog dijeljenja tih informacija na društvenim mrežama, te informacije mogu biti

dostupne svakome. Zlo namjerni napadač može te informacije iskoristi da napravi štetu

nama, kao i trećim osobama, poput radnih organizacijama u kojima radimo, kao i

komercijalnim servisima i sl. Zato je iznimne važnosti da se društvene mreže kao vektori

napada za ciljane napade uzmu ozbijno, te da se zaštite sami korisnici na društvenim mreža.

Jako je važno da se educira same korisnike o opasnostima na društvenim mrežama, te da

sami korisnici uvide opasnosti i da se na primjeran način koriste društvene mreže, da

informacije koje objavljuju budu dostupne samo odabranim prijateljima u koje imaju

povjerenja, koja poznaju u stvarnom životu. Korisnici moraju posebno biti svjesni da

informacije koje objavljuju na društvenim mrežama, u radnim organizacijama mogu nehotice

radnu organizaciju u kojoj rade dovesti u mogućnost napada od strane zlonamjernih

napadača. Da se nevinom objavom na društvenim mrežama objave neki od provjerljivih

podataka. Isto tako radne organizacije trebale bi educirati same djelatnike o opasnostima, pa

čak i zabrana korištenja društvenih mreža u krugu radnih organizacija. Posebno ako je riječ o

ranim organizacijama u kojima je sigurnost podataka važna od nacionalne sigurnosti. Poput

radne organizacije nuklearne elektrane opisne u diplomskom radu, u kojem bi putem

društvenih mreža zlonamjerni napadači došli do pristupa računalima unutar nuklearne

elektrane te umetanjem računalnog crva „stuxnet“ mogli izazvati fatalne posljedice za samu

nuklearnu elektranu, svih ljudi u neposrednoj blizini nuklearne elektrane, kao i za cijeli

europski kontinent. Takav scenarij bi bio posebno zanimljiv teroristima, kojima je nažalost cilj

izazvati takve ili slične napade, posebno na europskom kontinentu. Opisanim primjerom

38

„Honan Hacka“, potrebno je korisnicima društvenih mreža, komercijalnih servisa ukazati na

prijetnju povezivanja istih u lanac, da sigurnosni propust jednog u lancu može prouzročiti

sigurnosni propust ostalih u lancu. Naravno najveća odgovornost za tu prijetnju leži u samim

komercijalnim servisima i društvenim mrežama, jer jedino oni mogu te prijetnju i otkloniti.

Takve prijetnje se otklanjanju implementacijom viših sigurnosnih standarada. Isto tako

društvene mreže, komercijalni servisi kao i radne organizacije trebaju posvetiti i pažnju o

sigurnosti samih web aplikacija koje koriste, potrebno je uložiti poseban trud u zaštitu istih,

posebno zaštitu od neovlaštenog pristupa bazama podataka u kojima su spremljeni svi

podaci, podaci korisnika, podaci o financijskim izvještajima kao i o bankovnim računima i sl.

SQL injection je tehnika kojom zlonamjerni napadači izvlače podatke iz baza podataka, stoga

je potrebno posebnu pažnju posvetiti i takvim greškama u projektiranju i održavanju istih web

aplikacija, kao i samih baza podataka.

Iz svega navedenog možemo zaključiti da čovjek korištenjem društvene mreže ima

pristup neograničenoj mogućnosti komunikacija, dijeljenja ideja, zamisli i sl., to je osnovni

temelj za napredak samog čovjeka, čovječanstva, gospodarstva. Ali isto tako treba biti

svjestan na prijetnje na društvenim mrežama, prijetnje prema samom korisniku, lokalnoj

zajednici, radnoj organizaciji kao i cijelom čovječanstvu. Iako to zvuči pomalo nevjerojatno,

ali korištenje društvenih mreža potrebno je uzeti s dozom odgovornosti. Odgovornosti prema

sebi, kao i ostalim korisnicima društvenih mreža.

39

7. Literatura[1] Stuart McClure; Joel Scambray; George Kurtz: Haching exposed 7 – Network Security Secrets

& Solutions, The McGraw-Hill Companies, Inc,2012

[2] Luke Welling, Laura Thomson; PHP i MySQL, Razvoj Aplikacija za web, Sams, 2006.

[3] Stuxnet Information and Removal, http://www.stuxnet.net/, lipanj 2014

[4] Techdroids , Facebook and Website Hacking - Be Safe, eBookIt.com, 2014.

[5] Janczewksi, L., Colarik, A. Cyber Warfare and Cyber Terrorism. New York: IGI Global, 2008.

[6] https://www.enisa.europa.eu/topics/trainings-for-cybersecurity-specialists/online-training-material/documents/social_networks_used_as_an_attack_vector_for_targeted_attacks_toolset, 15.05.2016

[7] https://en.wikipedia.org/wiki/ARPANET, 15.05.2016

[8] https://en.wikipedia.org/wiki/SixDegrees.com, 15.05.2016

[9] https://en.wikipedia.org/wiki/Six_degrees_of_separation, 15.05.2016

[10] https://en.wikipedia.org/wiki/Myspace, 15.05.2016

[11] https://en.wikipedia.org/wiki/LinkedIn, 18.05.2016

[12] https://hr.wikipedia.org/wiki/Facebook, 18.05.2016

[13] https://en.wikipedia.org/wiki/Facebook, 18.05.2016

[14] http://expandedramblings.com/index.php/myspace-stats-then-now/2/, 18.05.2016

[15] http://highscalability.com/myspace-architecture, 20.05.2016

[16] http://hurvitz.org/blog/2008/06/linkedin-architecture, 25.05.2016

[17] https://www.neuralab.net/facebook-lajka-svoje-servere-i-tehnologiju-cloud-review/, 25.05.2016

[18] https://en.wikipedia.org/wiki/LAMP_(software_bundle) , 05.06.2016

[19] https://hr.wikipedia.org/wiki/Linux, 05.06.2016

[20] https://hr.wikipedia.org/wiki/Apache_HTTP_poslu%C5%BEitelj, 15.06.2016

[21] https://en.wikipedia.org/wiki/Apache_License, 15.06.2016

[22] https://hr.wikipedia.org/wiki/VPN, 15.06.2016

[23] https://en.wikipedia.org/wiki/Phishing, 15.06.2016

[24] https://en.wikipedia.org/wiki/Trojan_horse_(computing) , 10.06.2016

[25] https://en.wikipedia.org/wiki/Advanced_persistent_threat, 12.06.2016

[26] http://www.wired.com/2012/08/apple-amazon-mat-honan-hacking/, 15.06.2016

[27] https://en.wikipedia.org/wiki/Stuxnet, 15.06.2016

[28] http://en.wikipedia.org/wiki/SQL_injection, 18.06.2016

[29] http://www.salebab.net/sql-injection-sigurnost-php-aplikacija-5-deo/, 20.06.2016

[30] http://php.com.hr/18, 20.06.2016

[31] http://securityaffairs.co/wordpress/36528/hacking/anonymous-breached-wto-db.html 25.07.016

[32] https://hr.wikipedia.org/wiki/Anonymous_(skupina) 25.07.2016

[33] https://en.wikipedia.org/wiki/Ransomware (15.06.2016)

40

[34] http://www.tportal.hr/gadgeterija/tehnologija/338635/Tko-je-kriv-za-hakerske-napade-banke-ili-korisnici.html (15.06.2016)

[35] http://www.jutarnji.hr/vijesti/crna-kronika/zavodu-za-javno-zdravstvo-umalo-ukrali-par-stotina-tisuca-kuna/795052/ (15.06.2016)

41

8. Skraćenice

SQL - Structured Query Language – računalni jezik za upravljanje s ralacijskim

bazama podataka

RAM - Random Access Memory - memorija s nasumičnim pristupom

PHP – programski jezik prevenstveno namjenjen za programiranje dinamičnih

web stranica

C++ - programski jezik opće namjene za objektno orijentirano programiranje

API – Aplikacijsko Programsko Sučelje

URL - Uniform Resource Locator – je putanja do određenog sadržaja na internetu

VPN - Virtual Private Network – Virtualna Privatna Meža koja spaja udaljena

računa u virtualnu mrežu koristeći javne komunikacije poput interneta.

SMS - Short Message Service – je usluga slanja kratkih tekstualnih poruka do 160

znaka unutar GSM standarda mobilne telefinije.

GSM - Global System for Mobile Communications – najrašireniji standard za

mobilnu telefoniju.

WTO – World Trade Organizaction

WTC – Worl Trade Centar

42

9. Popis slikaSLIKA 1. FACEBOOK PRESTIŽE MYSPACE PO BROJU KORISNIKA 3SLIKA 2. PRIMJER „PHISHING-A“ FACEBOOK STRANICE 14SLIKA 3. SLIKOVITI PRIKAZ HONAN HACK-A 22SLIKA 4. KARIKIRANI PRIKAZ SQL INJECTION-A 31

43

P O T V R D A

kojom se potvrđuje da je student Ivica Čuček izradio diplomski rad pod naslovom

Društvene mreže kao vektori napada za ciljane napade u skladu s zadanim zadatkom,

tezama i pravilima struke.

Mentor:

mr.sc.Marinko Žagar, pred.

Velika Gorica, _______________

44

IZJAVA

Izjavljujem s punom materijalnom i moralnom odgovornošću da sam ovaj rad samostalno

napravio, te da u njemu nema kopiranih ili prepisanih dijelova teksta tuđih radova, a da nisu

označeni kao citati s napisanim izvorom odakle su preneseni.

Svojim vlastoručnim potpisom potvrđujem da sam suglasan da se ovaj moj rad javno objavi

na Internetu.

U Velikoj Gorici, ______________Ivica Čuček

45