Kvíz:Náš bezpečnostní auditor je idiot

[FKoudelka]

Našel jsem následující příspěvek , kostrbatě přeložený, kde ajtik firmy s platební bránou údajně byl dost nevybíravě nucen externím auditorem k předání následujícího.
Já vím, že víte co je na tom špatně ale zajímalo by mne, co si o tom myslíte:

a) je to hoax
b) je to falešný auditor - hacker
c) auditor je opravdu  idiot
d) sociální inženyr zkouší ajtika, jestli je spolehlivý

P.S. link záměrně zatím neudávám, až jako bonus

Bezpečnostní auditor našich serverů do dvou týdnů požadoval následující:
- Seznam aktuálních uživatelských jmen a hesel prostého textu pro všechny uživatelské účty na všech serverech
- Seznam všech změn hesla za posledních šest měsíců, opět ve formě prostého textu
- Seznam „všech souborů přidaných na server ze vzdálených zařízení“ za posledních šest měsíců
- Veřejné a soukromé klíče všech klíčů SSH
- E-mail, který mu byl zaslán pokaždé, když uživatel změní své heslo, obsahuje heslo prostého textu
Používáme krabice Red Hat Linux 5/6 a CentOS 5 s ověřením LDAP.

[Reklama]

[rooobertek]

Možno to je jeho spôsob, ako zistiť, či sa veci robia správne. Ak by dostal plaintext heslá, hneď by vedel, že je niečo zle. Potom to ešte zostáva tá druhá možnosť...

[Jiří Havel]

Tohle mi zní jako ten nejhrubší a nejjednodušší pokus o phishing. Od auditora by to bylo tak na hranici urážky.

[Skier]

Já vím, že víte co je na tom špatně ale zajímalo by mne, co si o tom myslíte:

Auditor není idiot, ale zkouší i kompetence ajťáka. A to hned na několika úrovních. Za mne dobrý přístup, akorát by nemusel tolik tlačit na pilu, takhle je až moc zjevné že je to špatně. Každému se prostě musí rozsvítit hned několik červených světel.

[jb101]

To je postup jak se dostali do twitteru?

[Reklama]

[Jiří Havel]

To je postup jak se dostali do twitteru?

Jestli jo, tak potěš koště.

[FKoudelka]

Tak jestli je pro cenzora příspěvek o bezpečnosti linuxu z pohledu sociálního inženýrství “o ničem” a hoden zařazení do /dev/ null a nepochopil jeho zábavnou formu, přikládám originální odkaz už nyní, posuďte sami
https://www.it-swarm.dev/cs/security/nas-bezpecnostni-auditor-je-idiot.-jak-mu-mohu-poskytnout-informace-ktere-chce/960570189/

Ukázka odpovědi auditora:

Mám více než 10 let zkušeností s bezpečnostním auditem a úplné porozumění metodám redhat zabezpečení, takže vám doporučuji zkontrolovat svá fakta o tom, co je a co není možné. Říkáte, že žádná společnost by nemohla mít tyto informace, ale já jsem provedl stovky auditů, kde byly tyto informace snadno dostupné. Všichni klienti [generického poskytovatele zpracování kreditních karet] jsou povinni dodržovat naše nové zásady zabezpečení a cílem tohoto auditu je zajistit, aby tyto zásady byly správně implementovány.

[FKoudelka]

Odkaz na původní příspěvek:
https://forum.root.cz/index.php?topic=23310.0

[FKoudelka]

Rychle než to smažou :-)
https://serverfault.com/questions/293217/our-security-auditor-is-an-idiot-how-do-i-give-him-the-information-he-wants