home *** CD-ROM | disk | FTP | other *** search
/ The Hacker Chronicles - A…the Computer Underground / The Hacker Chronicles - A Tour of the Computer Underground (P-80 Systems).iso / cud2 / cud219b.txt < prev    next >
Text File  |  1992-09-26  |  10KB  |  205 lines
  1.  
  2.  
  3.   ****************************************************************************
  4.                   >C O M P U T E R   U N D E R G R O U N D<
  5.                                 >D I G E S T<
  6.               ***  Volume 2, Issue #2.19 (December 31, 1990)   **
  7.   ****************************************************************************
  8.  
  9. MODERATORS:   Jim Thomas / Gordon Meyer  (TK0JUT2@NIU.bitnet)
  10. ARCHIVISTS:   Bob Krause / Alex Smith / Bob Kusumoto
  11. RESIDENT RAPMASTER:  Brendan Kehoe
  12.  
  13. USENET readers can currently receive CuD as alt.society.cu-digest.
  14.  
  15. COMPUTER UNDERGROUND DIGEST is an open forum dedicated to sharing
  16. information among computerists and to the presentation and debate of
  17. diverse views.  CuD material may be reprinted as long as the source is
  18. cited.  Some authors, however, do copyright their material, and those
  19. authors should be contacted for reprint permission.
  20. It is assumed that non-personal mail to the moderators may be reprinted
  21. unless otherwise specified. Readers are encouraged to submit reasoned
  22. articles relating to the Computer Underground.
  23. ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
  24. DISCLAIMER: The views represented herein do not necessarily represent the
  25.             views of the moderators. Contributors assume all responsibility
  26.             for assuring that articles submitted do not violate copyright
  27.             protections.
  28. ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
  29.  
  30. From: Various
  31. Subject: From the Mailbag
  32. Date: December 31, 1990
  33.  
  34. ********************************************************************
  35. ***  CuD #2.19: File 2 of 7: From the Mailbag                    ***
  36. ********************************************************************
  37.  
  38. From:     Wes Morgan <morgan@ENGR.UKY.EDU>
  39. Subject:  security checks from outside (In CuD 2.18)
  40. Date:     Fri, 28 Dec 90 10:12:09 EST
  41.  
  42. >From: gnu@TOAD.COM
  43. >Subject: Re: "strangers probing for security flaws" -- another view
  44. >
  45. >Suppose there was a free program, available in source code and scrutinized
  46. >by wizards all over the net, that you could run to test your security.  If
  47. >you had the time, you might run it and fix up the things it found.  If you
  48. >didn't have the time, those things would probably go unfixed.
  49.  
  50. There are several packages available for UNIX sites.  Two that come to
  51. mind are:
  52.  
  53.    - The suite of programs included in "UNIX System Security", by
  54.      Kochan and Wood (published by Hayden Books).  These programs
  55.      will audit your system for such things as world-writable home
  56.      directories, world-writable .profiles, and the like.  They will
  57.      also track down any setuid/setgid files outside of regular sys-
  58.      tem directories.  I've seen this package on several archive sites,
  59.      but I don't know if it's legal to distribute them.  If someone
  60.      can contact Kochan, Wood, or Hayden Books, and check on this, I'll
  61.      gladly get them into the CuD archive.
  62.  
  63.    - COPS, written by Dan Farmer of CERT.  This package is EXCELLENT.
  64.      The best feature of COPS is an expert system that pseudo-exploits
  65.      any holes it finds.  It uses /etc/passwd and /etc/group to learn
  66.      what the users are capable of.  It then looks for a way to assume
  67.      the identity of a particular user.  It then checks /etc/group to
  68.      see what it can access as the new uid.  The chain continues until
  69.      it either becomes root or runs into a dead end.  The output looks
  70.      something like this:
  71.        write /usr2/admin/morgan/.profile become morgan group staff
  72.          write /bin become bin write /etc become root DO ANYTHING
  73.      <This output was caused by my .profile being left world-writable>
  74.      This is a SUPERIOR package for UNIX sites.  It's available from
  75.      cert.sei.cmu.edu.
  76.  
  77.  
  78. Both of these can be run via cron.  I've been running them for several
  79. months now, with excellent results.
  80.  
  81. >Sites all over the Internet *are* being probed by people who want to do
  82. >them harm.  We know this as a fact.  I would prefer if we had some
  83. >volunteer "cop on the beat"s who would walk by periodically and rattle the
  84. >door to make sure it's locked.
  85.  
  86. I have no problems with this at all, *as long as* I know about it in
  87. advance.  With the advent of sophisticated security tools such as those
  88. probably used by the group in Italy, it is awfully easy to claim "cop
  89. on the beat" status after being discovered.  There was sufficient concern
  90. about the Italians for CERT to issue a Security Advisory about their
  91. activities.  I'm not trying to make any allegations against the folks
  92. in Italy; as far as I know, they are exactly what they claim to be. In
  93. the future, however, I'm going to be EXTREMELY wary of people coming in
  94. "out of nowhere" claiming to be "remote security checkers".  An ounce of
  95. paranoia, you know........
  96.  
  97. Wes Morgan
  98.  
  99. *******************************
  100.  
  101. From: Thomas Neudecker <tn07+@ANDREW.CMU.EDU>
  102. Subject: Re: Cu Digest, #2.18
  103. Date: Fri, 28 Dec 90 22:56:16 -0500 (EST)
  104.  
  105. In a recent CuDigest it was argued copyright protection of user interface
  106. code should be eliminated. The author wrote in part:
  107.  
  108. >While source code should generally be protected, there are times when it
  109. >may be more profitable to a company to release either the source code or
  110. >important information pertaining to it.  A prime example is IBM and Apple.
  111. >Apple chose to keep their operating system under close wraps.  IBM, in their
  112. >usual wisdom, chose to let some of it fly. This caused the market to be
  113. >flooded with "clone" PC's.  Given a choice, most people bought PC's or
  114. >PC-compatibles.
  115.  
  116. In fact IBM does not own DOS, ask Mr. Gates at Micro Soft he _sells_
  117. licenses to the clones and sues those who try to steal his code (so does
  118. AT&T/U*ix) Bye the way the first series IBM-PCs came with PC-DOS and CP/M.
  119. IBM wanted Gates to write CP/M for the new machine but he said it was
  120. *owned* by Gary Kildall of Digital Research but he try to write something
  121. else just as good.  IBM covered all of the bases and licensed both.
  122.  
  123. Regarding Apple; the ][+ I bought came with copyrighted O/S in ROM.  And a
  124. version of BASIC licensed from Micro Soft. (my 1979 version came with a
  125. complete listing of the code for the ROM). For the LISA and the Macintosh
  126. Apple licensed concepts from PARC for the GUI. They then licensed parts of
  127. their developments to Micro Soft for use in Windows.
  128.  
  129. For more background on these I suggest a good book on the history of the
  130. personal computer written by Paul Freiberger and Michael Swain.  It is
  131. "Fire in the Valley" ISBN# 0-88134-121-5.
  132.  
  133. *****************************************
  134.  
  135. From: netcom!onymouse@APPLE.COM(John Debert)
  136. Subject: Encryption dangers in Seizures
  137. Date: Sat, 29 Dec 90 11:20 PST
  138.  
  139. With all the concern about government seizure of someone's computer
  140. equipment for the purported intention of looking for some kind of criminal
  141. activity, encryption is being seriously considered in order to protect
  142. confidential information from Big Brother's prying eyes.
  143.  
  144. There are various ways, of course, to encrypt files but one particularly
  145. comes to mind as being at least as much hazard as protection.
  146.  
  147. The use of the "one-time" method of encryption has been considered the best
  148. way to keep information from those not entitled to it but it seems to me a
  149. two-edged sword, if you will, that can cause harm to whomever uses such a
  150. method to keep the government out of their business.
  151.  
  152. The one time method uses a unique random key of equal length to the data to
  153. be encrypted which is then XOR'ed with the data to produce the encrypted
  154. result. Without the original key, the plaintext is not recoverable. Or is
  155. it?
  156.  
  157. Now, suppose that someone has used this method to encrypt files on his/her
  158. system and then suppose that Big Brother comes waltzing in with a seizure
  159. warrant, taking the system along with all the files but does not take the
  160. code keys with them. Knowing Big Brother, he will really be determined to
  161. find evidence of a crime and is not necessarily beneath (or above) fudging
  162. just a bit to get that evidence. What's to keep him from fabricating such
  163. evidence by creating code keys that produce precisely the results that they
  164. want-evidence of a crime? Would it not be a relatively simple procedure to
  165. create false evidence by creating a new key using the encrypted files and a
  166. plaintext file that says what they want it to? Using that new key, they
  167. could, in court, decrypt the files and produce the desired result, however
  168. false it may be. How can one defend oneself against such a thing? By
  169. producing the original keys? Whom do you think a court would believe in
  170. such a case?
  171.  
  172. One should have little trouble seeing the risks posed by encryption.
  173.  
  174. jd / onymouse@netcom.UUCP     netcom!onymouse@apple.com
  175.  
  176. ********************************
  177.  
  178. From:  Andy Jacobson <IZZYAS1@UCLAMVS.BITNET>
  179. Subject: Hackers as a software development tool
  180. Date:  Wed, 02 Jan 91 03:49 PST
  181.  
  182. I received one of those packs of postcards you get with comp.  subscription
  183. magazines (Communications Week) that had an unbelievable claim in one of
  184. the ads. I quote from the advertisement, but I in no way promote,
  185. recommend, or endorse this.
  186.  
  187. "GET DEFENSIVE!
  188. YOU CAN'S SEE THEM BUT YOU KNOW THEY'RE THERE.
  189. Hackers pose an invisible but serious threat to your information system.
  190. Let LeeMah DataCom protect your data with the only data security system
  191. proven impenetrable by over 10,000 hackers in LeeMah Hacker Challenges I
  192. and II. For more information on how to secure your dial-up networks send
  193. this card or call, today!" (Phone number and address deleted.)
  194.  
  195. So it seems they're claiming that 10,000 hackers (assuming there are that
  196. many!) have hacked their system and failed. Somehow I doubt it. Maybe they
  197. got 10,000 attempts by a team of dedicated hackers, (perhaps employees?)
  198. but has anyone out there heard of the LeeMah Hacker Challenges I and II?
  199.  
  200. ********************************************************************
  201.                            >> END OF THIS FILE <<
  202. ***************************************************************************
  203. 
  204. Downloaded From P-80 International Information Systems 304-744-2253 12yrs+
  205.