Уязвимости Skype

[Serge 0]

Добрый день!

Кто нибудь может прокомментировать вопросы уязвимости Skype.

Мне сегодня админ прислал статью некоторого содержания (см. ниже).

Я регулярно пользуюсь Skype и подобные образные высказывания типа "Skype, сука, опасный" меня пугают.

"Компании, в которых используется популярное приложение для интернет-телефонии Skype, должны обзавестись наиболее свежими версиями этого продукта, иначе у них могут украсть секретную информацию, считают аналитики компании Gartner.

Недавно обнаруженная уязвимость приложения позволяет злоумышленникам воровать файлы с компьютера жертвы после посещения специального вредоносного сайта. Правда, хакер при этом должен знать местонахождение файла. В последней версии Skype брешь в приложении закрыта, однако сама программа не предупреждает пользователей о необходимости обновления перед звонком или отправкой мгновенного сообщения. Таким образом, считают в Gartner, предприятие ставит свои данные под угрозу, позволяя сотрудникам пользоваться уязвимой версией приложения.

В докладе аналитик Gartner Лоуренс Оранс (Lawrence Orans) пишет: «Вследствие бесплатности клиента Skype он пользуется широкой популярностью, и на большинстве предприятий нет даже представления о том, сколько клиентов Skype установлено и сколько трафика Skype проходит по их сетям». По мнению Gartner, наиболее безопасным вариантом является блокирование всего трафика Skype в корпоративной сети.

Если все же предприятие хочет использовать Skype, в Gartner советуют пристально следить за тем, какими версиями приложения пользуются сотрудники. «Если, взвесив все риски, предприятие все же решает пользоваться Skype, оно должно активно контролировать версию используемого клиента Skype и его распространение среди уполномоченных пользователей», — говорит г-н Оранс."

[broker 30]

Недавно обнаруженная уязвимость приложения позволяет злоумышленникам воровать файлы с компьютера жертвы после посещения специального вредоносного сайта. Правда, хакер при этом должен знать местонахождение файла.

Таким образом, считают в Gartner, предприятие ставит свои данные под угрозу, позволяя сотрудникам пользоваться уязвимой версией приложения.

это можно приписать к любому приложению работающему с Интернет.

У SKYPE много других неприятностей.. и самая главная безконтрольность.

А вообще очень много конкурентов у SKYPE.. вот такие статьи и появляются.

[Сергей Ильин 1538]

А вообще вот у меня встречный вопрос, а зачем на предприятии нужен скайп? Я вот лично совсем не уверен, что это "бизнес-приложение" и от него какая-то польза для компании будет.

А если оно нужно, то его использование нужно жестко упорядочить и взять под контроль, тут я с аналитиками Гартнер согласен.

Кстати, можно ли каким-то образом мониторить (еще лучше писать трафик) скайпа на выходе из корп. сети?

[broker 30]

Кстати, можно ли каким-то образом мониторить (еще лучше писать трафик) скайпа на выходе из корп. сети?

НЕТ

кроме этого, специфика протоколов SKYPE требует сверление файров.. что собственно критично

А вообще вот у меня встречный вопрос, а зачем на предприятии нужен скайп? Я вот лично совсем не уверен, что это "бизнес-приложение" и от него какая-то польза для компании будет.

есть.

Бесплатные звонки КУДА УГОДНО.

если звонки не надо протоколировать.. то удобно.

[Serge 0]

А если оно нужно, то его использование нужно жестко упорядочить и взять под контроль, тут я с аналитиками Гартнер согласен.

Я тоже согласен :-), весь трафик Skype идет через http прокси, расчет траффика производится как и для использования интернета. Все уже упорядочено :-)

Меня больше волнует вопрос чем я рискую используя skype. Если риск использования Skype и риск использования icq одинаков зачем об этом трубить. Можно отключить skype, icq, google chat и т.д. Проще отключить интернет вообще, компьютеры отобрать, а сотрудников выгнать.

Добавлено спустя 4 минуты 46 секунд:

кроме этого, специфика протоколов SKYPE требует сверление файров.. что собственно критично

т.е. если закрыть все порты кроме 80 Skype работать не будет?

[broker 30]

Меня больше волнует вопрос чем я рискую используя skype. Если риск использования Skype и риск использования icq одинаков зачем об этом трубить. Можно отключить skype, icq, google chat и т.д. Проще отключить интернет вообще, компьютеры отобрать, а сотрудников выгнать.

а зачем он ВАМ, skype????????????

Добавлено спустя 1 минуту 35 секунд:

т.е. если закрыть все порты кроме 80 Skype работать не будет?

скорей всего у него инкапсуляция в http есть, надо ещё и сервера блокировать.

[Serge 0]

а зачем он ВАМ, skype????????????

Для общения по межгороду (звоню на городские) - это по работе.

Было бы удобно если у заказчика стоял Skype, но пока это нереально, с учетом того, что Skype пользуются единицы.

После таких заявлений "уважаемых" аналитиков Гартнер, любой сисадмин может продавить решение похерить Skype.

Могу сказать, что с увеличением количества телефоных линий у нас в офисе необходимость в использовании Skype лично у меня пропадет - буду звонить с цифровых линий, но только потому, что он в России не распространен.

За рубежом нормальная практика использовать Skype в работе. На моей прошлой работе я лично ставил нашим девушкам из отдела ВЭД Skype и обучал как им пользоваться.

В общем и целом печальный вывод в том, что в России до распространения Skype пройдет много лет. А тут еще аналитики Гартнер, реакционные сисадмины и прочие "призрачные угрозы".

Обидно хорошая вещь никто не юзает...

Добавлено спустя 6 минут 22 секунды:

скорей всего у него инкапсуляция в http есть, надо ещё и сервера блокировать.

ниасилил

[Сергей Ильин 1538]

Serge, а как же серьюрность? :-)

Использование любого софта - это потенциальная опасность, если можно минимизировать риски, то это нужно делать. Другой вопрос, есть ли реальные риски для вашей организации от утечки какой-либо инфы с компа сотрудника, который будет использовать скайп?

Если скайп будет установлен на "голой" офисной машине, которая используется как пишущая машинка, то риски будут не большие, почему бы не использовать тогда ...

[broker 30]

Для общения по межгороду (звоню на городские) - это по работе.

Было бы удобно если у заказчика стоял Skype, но пока это нереально, с учетом того, что Skype пользуются единицы.

После таких заявлений "уважаемых" аналитиков Гартнер, любой сисадмин может продавить решение похерить Skype.

Могу сказать, что с увеличением количества телефоных линий у нас в офисе необходимость в использовании Skype лично у меня пропадет - буду звонить с цифровых линий, но только потому, что он в России не распространен.

За рубежом нормальная практика использовать Skype в работе. На моей прошлой работе я лично ставил нашим девушкам из отдела ВЭД Skype и обучал как им пользоваться.

В общем и целом печальный вывод в том, что в России до распространения Skype пройдет много лет. А тут еще аналитики Гартнер, реакционные сисадмины и прочие "призрачные угрозы".

Обидно хорошая вещь никто не юзает...

админы тут не при чём, мой совет: на работе пользуйтесь телефоном.

Моё мнение следующее, что альтернативные источники связи - это лишние каналы утечки информации. Если компания платит за телефон, чего вы паритесь?

Добавлено спустя 1 минуту 50 секунд:

Сергей Ильин

Serge

помните, бесплатный СЫР

[Serge 0]

админы тут не при чём, мой совет: на работе пользуйтесь телефоном.

Моё мнение следующее, что альтернативные источники связи - это лишние каналы утечки информации. Если компания платит за телефон, чего вы паритесь?

я могу пользоваться телефоном, но это менее удобно, сам проверял.

единственный минус Skype надо платить 2-4 цента за минуту + стоимость траффика (оплачивает компания), зато не надо набирать 11 12 значный номер с выходом сначала на АТС, потом на междугородную линию

Можно говорить что это блажь, но когда дозваниваешься 1 раз из 10-20 это реально увеличивает вероятность дозвонится, а не рассказывать начальству, что г-на такого-то поймать не удалось.

Все таки, интересно услышать в чем конкретно угроза, хватит ли антивируса и файервола на локальном компе?

Добавлено спустя 12 минут 9 секунд:

Serge, а как же серьюрность?

Использование любого софта - это потенциальная опасность, если можно минимизировать риски, то это нужно делать.

А если этого сделать нельзя :-). Не думаю, что кто-либо лучше меня в компании знает какие программы мне нужны, а какие нет. Мудацкая позиция, я согласен, но вполне обоснованная. Мне предлагают по причинам, связанным с ИБ, пользоваться Bat, я пользуюсь Outlook. Думаю смысла объяснять разницу нет - отстуствие на компьютере элементарного органайзер существенно уменьшает эффективность работы. Скажите что мол "у вас ИТшники не шарят - Outlook не опаснее Bat". Дык и Skype не опаснее Outlooka. Да и вообще все мнения по поводу того, что одна программа опасна, а другая нет - спекуляция. Дырки есть везде, это реалии и не повод ограничивать компьютерный инструментарий сотрудника. У ИТшника, сотрудника ИБ работа обезопасить информацию, а не ограничить список программ для использования. Если спросить у нашего админа "в чем уязвимость - он не ответит". Да, собственно, я и хочу услышать ответ хотя бы на этом форуме. Но в ответ - тишина....

[broker 30]

Недавно обнаруженная уязвимость приложения позволяет злоумышленникам воровать файлы с компьютера жертвы после посещения специального вредоносного сайта. Правда, хакер при этом должен знать местонахождение файла. В последней версии Skype брешь в приложении закрыта, однако сама программа не предупреждает пользователей о необходимости обновления перед звонком или отправкой мгновенного сообщения. Таким образом, считают в Gartner, предприятие ставит свои данные под угрозу, позволяя сотрудникам пользоваться уязвимой версией приложения.

не вдаваясь в подробности, если есть инсайдер.. который видел структуру вашего диска + названия файлов, то их он может/мог их похитить.

При этом необходимо понимать, что в данном случае мы имеем дело не с вирусом. Ни антивирус и фарвол не спасёт.

Чтоб вы понимали всю серьёзность

http://www.securityfocus.com/bid/18038/info

Кстати, говоря про антивирус я не имел ввиду WEB-АНТИВИРУС, если он будет иметь сигнатуру эксплойта, конечно отловит.

[Serge 0]

искал в инете - нашел ссылку

http://www.theinquirer.net/?article=29263

я понял это следующим образом

зомби-сети, контролирующиеся с использованием VoIP траффика сейчас гораздо менее уязвимы, чем сети контролиющиеся по электроной почте и instant messengerами.

Yes?

Добавлено спустя 2 минуты 35 секунд:

и еще написано что хакеры еще это не пробовали, зато попробовали эксперты ИБ, а решения сейчас есть для проверки VoIP трафика на предмет "призрачной угрозы"? :-)

[broker 30]

Serge

ну вот вам ещё одна угроза.

[Inkogn 0]

хватит ли антивируса и файервола на локальном компе?

Теоретически - 100%,как и для все программ.Дыры Skype (и подобного) можно выключить.Я сам Skype пробовал один раз по просьбе знакомого,что бы он проверил там себе.Наверно,мимо не отвечу.

Берём себе свой привычный комп со всей привычной и всей нужной инфой.Открываем ещё один ограниченный аккоунт с именем Skype,чтоб не забыть и не ленимся для него ЗАПРЕТИТЬ всё (самая верхняя галка у меня) и во всех папках (их там сверху несколько штучек),кроме инсталпапки,TEMP (только если нужен) и собственных документов этого аккоунта.Если выходить через этот аккоунт,то ни знающий инсайдер ни дыры в Skype-проге не дадут ничего даже ЧИТАТЬ этой проге вне собственных докм и инсталпапки.А что нужно из документов - перекопировать до этого в Skype-аккоунт.Для проверки попробовать потом от этого аккоунта по папкам пощёлкать,так как некоторые живут своей жизнью и отдельно для них запретить.

[headache 0]

Вот здесь очень хороший отчет об исследовании Skype:

http://www.blackhat.com/presentations/bh-e...6-biondi-up.pdf

В двух словах - полностью закрытая неконтролируемая пользователем система.

[broker 30]

Вот здесь очень хороший отчет об исследовании Skype:

http://www.blackhat.com/presentations/bh-e...6-biondi-up.pdf

В двух словах - полностью закрытая неконтролируемая пользователем система.

и зачем такое в компанейской сети.

[Inkogn 0]

Если сделать для Skype огранаккоунт с запретами,как до этого написал и дополнительно для другого(других) аккоунтов запретить всем,даже системе,любой доступ в папки с инфой и любые другие папки,то даже прога драйвером не сможет прочитать ничего у этого пользователя,если этой прогой пользуются с другого аккоунта,но исключительно только сам пользователь может туда зайти,но не система или другой ползвтль.Вроде,Skype полгода-год назад критиковали за открытость и "делай любой любому всё,что хочет" и он уже почти ушёл.Вроде,Skype стал подниматься.Наличие описания Skype не говорит о том,где другие,а так же возникают другие вопросы.