Com s'ataca l'ANC des del ciberespai
El facebook Anonymous cataluña ha publicat presumptes captures de pantalla del sistema intern de l'entitat independentista
Miquel Serrabassa , Barcelona | ND 04/09/2014 a les 16:16h
Una pàgina de Facebook anomenada "Anonymous cataluña" ha reivindicat el robatori de dades de socis de l'entitat independentista Assemblea Nacional Catalana
(ANC) i ha publicat captures sobre l'atac que hauria dut a terme per
accedir-hi. El mateix concepte d'Anonymous pot resultar complicat
d'entendre: no hi ha uns membres establerts, sinó que sovint hi ha
usuaris que signen així per reivindicar robatoris de dades o atacs en
pàgines web. Anonymous no actua només en forma de grup, sinó que també
ho fan individus de forma independent.
Mentrestant, durant aquest matí,
s'ha estat publicant a la seva pàgina de Facebook quin havia estat el
mètode per accedir a les dades. Hem de tenir en compte, però, que podria
ser una brillant història inventada a base de falsificar captures de
pantalla: es tractava d'un formulari on s'hi podia introduir un DNI i el
sistema responia si podria votar a les eleccions al Secretariat
Nacional. Quan el qui signa aquest article ha intentat accedir-hi només
ho ha pogut fer durant uns instants, per verificar que la pàgina
existia, però la resposta era invariable: el servidor de bases de dades
(MySQL) estava apagat. A través d'aquest servidor, segons les captures
de pantalla, s'hauria accedit mitjançant un atac SQL Injection a la
informació publicada, i a d'altra que encara no s'ha fet pública.
Què és un atac SQL Injection?
En general, els formularis ens permeten introduir textos. Quan hem de
fer una cerca, el sistema incorpora el text escrit per l'usuari dins
d'una comanda que s'envia al servidor de bases de dades MySQL. Si
l'usuari incorpora en aquest formulari un text determinat i el sistema
no el verifica i neteja convenientment abans d'enviar-lo, el servidor
respondrà allò que l'usuari li hagi sol·licitat. Per això és diu que
s'"injecta" un determinat text en una sentència SQL, que és el missatge
que el sistema envia al servidor.
Un presumpte atac desmentit prèviament per l'ANC
Malgrat tot, l'ANC havia desmentit prèviament l'atac i, per tant,
podríem dir que és la seva paraula contra la d'un individu (o diversos
individus) anònims -que no poden donar la cara si han robat i publicat
dades personals si no volen represàlies. Per tant, cal tenir en compte
que s'haurien pogut falsificar les captures de pantalla. Per altra
banda, però, al tractar-se d'una pàgina que no estava inclosa dins del
sistema global del web (funcionava a part del Drupal que fa funcionar assemblea.cat), pot ser que l'administrador de sistemes que ha analitzat la informació l'hagi passat per alt.
De tota manera, el fet que s'hagi retirat el formulari i prèviament el
servidor MySQL no funcionés pot fer-nos pensar que en algun moment s'ha
detectat un error i s'ha procedit a protegir la informació. Però de
moment, d'això, no en sabem més.
Pocs detalls tècnics i més dades presumptament robades
L'eliminació del formulari, així com els retalls de les captures de
Facebook, fan que no hi hagi massa informació per poder investigar-ho
més a fons: l'accés s'hauria realitzat a través d'un allotjament extern
(en un ordinador de nom "512MB", de manera que probablement es tracta
d'algun servidor virtual o VPS assequible amb aquesta quantitat de
memòria RAM), accedint-hi amb el protocol SSH amb l'aplicació putty,
disponible per a diverses plataformes però utilitzada en Windows segons
les captures.
D'aquestes imatges també se'n desprèn que els arxius publicats són els
corresponents a una sola taula de la base de dades, la de socis, tot i
que n'hi hauria més (amb noms com "convidats", "cens", "entrada" o
"reserves") que qui les ha robat potser vol publicar més endavant.
Miquel Serrabassa
Analista, desenvolupador web i administrador de sistemes
És director tècnic de Sobrevia.net, empresa dedicada al desenvolupament web i a l'assessoria tecnològica. Podeu visitar el seu bloc personal o el seu compte de Twitter.
Cap comentari:
Publica un comentari a l'entrada