home *** CD-ROM | disk | FTP | other *** search
/ Hackers Underworld 2: Forbidden Knowledge / Hackers Underworld 2: Forbidden Knowledge.iso / HACKING / ISSM301.TXT < prev    next >
Text File  |  1994-07-17  |  24KB  |  559 lines
  1. ┌────── Information──────────────────────────────────────────────────┐
  2. │                          ░░░█   ░░░░░█  ░░░░░█   ░░█       ░░█     │
  3. ├────── Systems ─────────── ░█ ── ░░░█ ── ░░░█ ─── ░░░░█ ── ░░░█ ────┤
  4. │                           ░█    ░░░░░█  ░░░░░█   ░░░░░░░░░░░░█     │
  5. ├────── Security ────────── ░█ ───── ░░█ ─── ░░█ ─ ░░█ ─░░█ ─░░█ ────┤
  6. │                          ░░░█   ░░░░░█  ░░░░░█   ░░█       ░░█     │
  7. └────── Monitor ─────────────────────────────────────────────────────┘
  8.  
  9. Dedicated to the pursuit of security awareness..............
  10.  
  11. ======================================================================
  12. Volume 3 Number 1                                         January 1993
  13. ======================================================================
  14.  
  15.  
  16. In This Issue:
  17.  
  18. Securing Your Phone Switch
  19.  
  20. Virus Alert
  21.  
  22. Social Security Numbers & Privacy
  23.  
  24. Clyde's Computer Security Hall of Fame
  25.  
  26. Dear Clyde
  27.  
  28. COMMCRYPT Lives
  29.  
  30. Computer Speak
  31.  
  32. Computer Security Day Slogan Contest Winners
  33.  
  34.  
  35. The ISSM is a quarterly publication of the Department of Treasury,
  36. Bureau of the Public Debt, AIS Security Branch, 200 3rd Street,
  37. Parkersburg, WV 26101  (304) 420-6368
  38.  
  39. Editors:   Ed Alesius
  40.               Kim Clancy
  41.               Joe Kordella
  42.               Jim Heikkinen
  43.               Mary Clark
  44.  
  45.  
  46.  
  47.  
  48. Securing Your Phone Switch
  49.  
  50. By Dave Goldsmith, a student at Rockland Community College. He is
  51. working towards a degree in Computer Science. His hobbies include
  52. learning other technologies to include telephone systems and
  53. switches. He also edits an electronic magazine that focuses on
  54. computer technology issues.
  55.  
  56.    "If it has a dialup, a hacker can abuse it".  This, as some
  57. companies have already found out, applies to the System 75
  58. telephone system.  Hackers have, within the last year, figured out
  59. how to penetrate and manipulate a System 75.  This gives them
  60. complete control over your PBX.  If you allow them to get access to
  61. the controller, they will end up setting up a DISA (Direct Inward
  62. System Access), and make outgoing phone calls on YOUR bill.  This
  63. can result in thousands of dollars in fraudulent telephone calls,
  64. that you are going to have to pay.  Even if you decide to battle it
  65. out in courts, it is going to cost. In this article, I plan to
  66. outline the steps to secure your System 75.  
  67.    One question you should ask yourself is "Do I really need DISA
  68. on my system?".  I highly discourage having DISA, as it increases
  69. the chance of being a victim of toll fraud.  If it is vital for
  70. your employees to use DISA, then I suggest that you have a barrier
  71. code of at least 7 digits.  Any less then that is a definite
  72. security risk.  
  73.    If a hacker has already penetrated your system, there are some
  74. tell-tale signs.  Logon to your system and type 'DISPLAY
  75. REMOTE-ACCESS' followed by a carriage return.  If you haven't set
  76. up a DISA, then there shouldn't be an extension number.  If there
  77. is one, type 'CHANGE REMOTE-ACCESS' and remove the extension.  That
  78. will remove the DISA, and is the start of locking the hacker out of
  79. your system.  Your next step will be to change the passwords on ALL
  80. of the accounts.  The common login/password combinations that
  81. hackers use are:
  82.  
  83.      cust        custpw
  84.      rcust       rcustpw
  85.      browse      looker
  86.      craft       craftpw
  87.  
  88.    It is my recommendation that you change ALL of the passwords on
  89. the system.  Be warned, you should change the passwords to
  90. something alpha numeric, and it should be something personal, so a
  91. hacker can't attempt to brute force any of the accounts.  If you
  92. find that you can't change browse's password, don't despair.  Login
  93. under one of the higher level accounts, and type 'CHANGE
  94. PERMISSIONS BROWSE'.  Then strip browse of all of its privileges. 
  95. This will keep hackers from displaying remote-access and finding
  96. out where your DISA is, if you have one.  
  97.    To ensure system security, it is suggested that you DISPLAY
  98. REMOTE-ACCESS on a fairly regular basis, just to make sure that
  99. your system remains untouched.  
  100.  
  101. Editors Note: Issue 41 of Phrack magazine was recently released and
  102. contains another article on hacking this phone switch.  Phrack 41
  103. is available on the AIS BBS.  Information on the BBS can be found
  104. on Page 4.
  105.  
  106. ************* End of Article ****************
  107.  
  108.  
  109.  
  110. Virus Alert
  111.  
  112.    Free diskettes distributed by the Cobb Group at the Federal
  113. Computer Conference December 8, 9, or 10, may contain a virus which
  114. is very difficult to detect.  One diskette has a blue label with
  115. the words "DOS/Software Connection" in large print.  The other has
  116. a red label with the words "Windows/ Software Connection" in large
  117. print.  If you or anyone you know has received such a diskette,
  118. please do not use it in any computer.  The virus detection software
  119. installed on your computer will not detect the virus.  Bring the
  120. diskette to your Information Systems Security Manager (ISSM) or
  121. call the AIS Security Branch at (304) 420-6355.
  122.  
  123.  
  124. ************* End of Article ****************
  125.                            
  126.  
  127. Social Security Numbers & Privacy
  128.  
  129. by Chris Hibbert
  130. Computer Professionals for Social Responsibility
  131. Reprinted with permission from 2600 Magazine 
  132.  
  133. (Kim Clancy was recently training Public Debt employees in
  134. Washington D.C. on computer security.  Her approach to computer
  135. security training is to first convince class participants that the
  136. information they are being asked to protect is worthy of
  137. protection.  She mentioned the following article regarding the
  138. protection of social security numbers and stated that it is
  139. important that as employees of Public Debt we understand the value
  140. of a social security number, both for our clients protection and
  141. also on a personal basis for our own protection.  Many members of
  142. the class requested a copy of the following article initially
  143. published in 2600 magazine (it was also published in Phrack issue
  144. 35).  We have received permission from 2600 to reprint the article.)
  145.  
  146.  
  147.    Many people are concerned about the number of organizations
  148. asking for their Social Security Numbers.  They worry about
  149. invasions of privacy and the oppressive feeling of being treated as
  150. just a number.
  151.    Unfortunately, I can't offer any hope about the dehumanizing
  152. effects of identifying you with your numbers.  I *can* try to help
  153. you keep your Social Security Number from being used as a tool in
  154. the invasion of your privacy.
  155.    Surprisingly, government agencies are reasonably easy to deal
  156. with; private organizations are much more troublesome. Federal law
  157. restricts the agencies at all levels of government that can demand
  158. your number and a fairly complete disclosure is required even if
  159. its use is voluntary.  There are no comparable laws restricting the
  160. uses non-government organizations can make of it, or compelling
  161. them to tell you anything about their plans.  With private
  162. institutions, your main recourse is refusing to do business with
  163. anyone whose terms you don't like.
  164.  
  165. Short History
  166.  
  167.    Social Security numbers were introduced by the Social Security
  168. Act of 1935. They were originally intended to be used only by the
  169. social security program, and public assurances were given at the
  170. time that use would be strictly limited.  In 1943 Roosevelt signed
  171. Executive Order 9397 which required federal agencies to use the
  172. number when creating new record-keeping systems.  In 1961 the IRS
  173. began to use it as a taxpayer ID number.  The Privacy Act of 1974
  174. required authorization for government agencies to use SSNs in their
  175. data bases and required disclosures (detailed below) when government
  176. agencies request the number.  Agencies which were already using SSN
  177. as an identifier were allowed to continue using it.  The Tax Reform 
  178. Act of 1976 gave authority to state or local tax, welfare, driver's
  179. license, or motor vehicle registration authorities to use the number
  180. in order to establish identities. The Privacy Protection Study 
  181. Commission of 1977 recommended that the Executive Order be repealed
  182. after some agencies referred to it as their authorization to use SSNs.
  183. I don't know whether i