Regelfrage: Account bestätigen - Trick oder nicht?

  • hiho,

    als Spielleiter erlebe ich immer wieder den gleichen Deckertrick: nachdem man in den Host reingeschlichen ist, wird der Befehl Account bestaetigen ausgeführt, ein Super-User Account eingerichtet (MW +6), um danach erneut als Super-User einzuloggen.

    abundzu kann ich ganz zufällig einen sicherheitsdecker auftauchen lassen, aber doch nicht immer.

    deshalb stellt sich mir die Frage, ob der Befehl "Account bestaetigen" wirklich so omnipotent ist?

  • Ja dieser Trick ist sehr gut. Aber wer bei wichtigen Hosts ist er auch sehr schwer zu schaffen. Weiterhin können noch immer einzelen Daten und Zugänge verschlüsselt sein. Wenn der Hostbesizter sehr vorsichtig ist, wird das anmelden eines SuperUsers sofort gemeldet (z.B. an die Sicherheitszentrale, den Sicherheitsdecker, den verantwortlichen Vorgesetzten). Sollte dieser Zugang nicht angemeldet worden sein, schaut sofort ein Sicherheitsdecker nach dem rechten. Dies sollte funktionieren, da man nur selten eine Superuser im System benötigt. Vorallem wenn in letzter Zeit der Trick häufig angewandt wird, werden sich die Matrixsicherheitsabteilung so etwas einfallen lassen.

  • Ich kenne die Problematik, ein Decker aus meiner Gruppe hat das auch abgezogen: Alles auf Maske, Schleicher 8,Maskenmodus und Bestätiguing 11.
    Noch Schreib, Scan und so, aber keine Kampfprogs.
    Danach war er nicht mehr zu sehen,konnte alles machen und war der Decker schlechthin.
    Aber in VR 2.01 steht, dass ein SuperUSer nur -2 auf alle MW's bringt, daher würde ich diese Regel benutzen, außerdem muss der Decker in meinen Augen sagen, von welcher Abteilung der Code "gestellt" wird, sprich,was er vorgibt zu sein.

  • Charon :
    Der hat ein 11er Deck (max. Utilitystufe = MPCP des Decks)?? Na dann fällt er ja schon unter Elite Decker. Und auf Heimlichkeit spezialisierte Decker sind legitim, Kampf ist in der Matrix meist die schlechtere Wahl (läßt sich aber nicht immer vermeiden).

    In Matrix 3 steht es klar drin:
    Ein Superuser kann fast alles auf einem System (root-user auf eine UNIX System). Der kann auf Teile des Host beschränkt sein.
    Also bei fast alle Operationen würfelt der Host nicht mit der Sicherheitsstufe gegen den Superuser(außer bei einzelen getrennt verschlüsselte Daten). Es gilt auch noch eine MW Mod. von -2 und somit sind Zusatzerfolge sehr warscheinlich.

  • Ich habe diesen Trick auch lange Zeit geliebt und ihn irgendwann sogar zur Standartprozedur erhoben. Nach ein paar Runs wurde es dem SL einfach zu langweilig. Beim nächsten mal ging bei meinem einloggen als Superuser der Alarm los. Die hatten tatsächlich eine Kontrollfunktion und Superuser von aussen durften zwar einloggen, wurden aber sofort in einen superroten Choke umgeleitet, wo schon ein Konzerndecker und seine Ice-Kumpels gewartet haben.
    Ich habs irgendwie geschafft, zu fliehen und habe den Superusertrick seitdem auf der schwarzen Liste der Notfallpläne in Extremsituationen.
    Jetzt dessen verpasse ich mir lieber einen normalen Account auf dem fraglichen Host anstatt gleich als Möchtegernadmin aufzukreuzen - ist einfach glaubwürdiger, so eine Tarnung. Natürlich kommt man damit nicht überall hin - aber irgendjemand kommt überall hin. Genügt also herauszufinden, als wer man sich ausgeben muss, um an die Daten heranzukommen, die man braucht. Und diese Information ist meistens leichter zu bekommen, als die gesuchten Daten selbst.
    Aber wenigstens muss man suchen und dadurch bleibt das ganze interessant.

  • Hmmm das Problem sollte jedem mittelgrosem Konzern bekannt sein und von daher wäre es doch fatal, wenn sie das Risiko in Kauf nehmen würden. Was ein Shadowrunner schafft ist für Kondecker teilweise lachhaft. Spionage wäre also an der Tagesordnung oder man könnte die Matrix nicht mehr nutzen was wirtschaflich fatal wäre. Also müssen Notfalllösungen her. Wie wäre es wenn man die Rechner die sich von aussen einloggen mit einer Firmenintern registrierten IP versieht die genau wie Passwort und Accountname kurz vor dem ausloggen geändert wird. Neue Accounts werden nur von innen heraus vergeben und auch wird nur an diesen Sachen gearbeitet, wenn das Netz von nach aussen getrennt ist, was einen sofortigen Alarm aktiviert, wenn sich Mr.Decker versucht an diesen Bereich von aussen heran zu tasten, der wahrscheinlich bis auf einen Knoten der als Falle dient gesperrt ist.
    Beim aktivieren des Accounts wird dann ein neuer Name usw vergeben, wobei man bei höherrangigen Sicherheitsstufen mit gekoppelten Netzhautscannern usw arbeiten könnte. Und bei diesen Leuten (Rot++ Kondeckern) kann man davon ausgehen dass sie genug Geld haben um sich Muskeln zu kaufen die neben ihnen stehen und schauen dass niemand sie zur herrausgabe ihres Kennworts zwingt.

  • Je größer das System desto kleiner der Nutzen eines Super-User-Accounts. Ein einzelnes Computersystem, z.B. das Kontrollsystem eines kleinen bis mittelgroßen Kaufhauses wird seinem Super-User fast absolute Kontrolle zugestehen, das große System eine Mega-Konzerns wird streng abgetrennte Bereiche führen, der Super-User für die Abteilung "Öffentliche Läden" hat kaum Zugriff auf die Daten der Entwicklung, etc. Und je nach System würde ich das +6 auch einfach erhöhen, eventuell kann man auch gar keinen Super-User Account einrichten, weil die Hard-Coded werden (ein Chip), etc.
    In einem geheimen Forschungslabor würde ich nicht mal nen allgemeinen Root erlauben, weil die Daten zu sensibel sind.


    Irian

  • Man kann sich vor solchen Deckern eigendlich mittels eines simplen Trickes versichern. Die wirklich wichtigen Host s gibt es 2 mal, jeder ECHTE Admin wieß, das er die Daten gleichzeitig in beiden Host s ändern muß (Framecore arbeitet parrallel) jeder FALSCHE Admin ändert die Daten nur in einem der beiden Host s und wird somit sofort von einem Sicherheitsalarm erwischt. Umleitung in einen schönen Sicherheitshost und das coole Schwarze angeschmissen :lol:

  • Mal abgesehen von all diesen Betrachtungen...


    Gehen wir mal zurück in die heutige Unix-Welt.


    Ein Einloggen von Außen (unsicheres Netz, Internet) als Superuser ist mit nicht vertrauenswürdigen Protokollen nicht möglich (Telnet etc.)
    Nur mit sicheren Protokollen (ssh2 etc.)
    Aber selbst dies läßt sich abstellen.
    Ja.. man kann als normaler User sich SuperUser (su)-Rechte verschaffen.
    Aber eben auch nur, wenn dies nicht deaktiviert wurde.


    Sprich, schon heute ist es möglich, mit einfachen Mitteln einem Benutzer von außen den SU-Status zu verbieten und verhindern.


    Dies dürfte auf die Matrix-Welt ebenfalls gelten.


    Und das ein User von Außen kommt ist eindeutig belegbar. Ok, der Decker kann versuchen seinen "Eintrittspunkt" zu verlegen, aber dadurch wird das ganze schonmal schwieriger.


    Hinzu kommt, das SU-Rechte meistens nur auf einem Rechner gelten.



    (Klar, das man dies alles umgehen kann... Nicht umsonst gibt es heutzutage schon Login-Ketten, die SysAdmins anlegen, um in Notfällen auch von außen an die Rechner ranzukommen, aber man kann es auch gut und gerne auf 30 Rechner hochtreiben, die in der Kette benutzt werden müssen, um dann erst Zugriff auf das interne System zu bekommen...)
    Absolute Sicherheit gibt es NIE! ;)
    Aber man kann das Leben schon ganz schön erschweren.

  • right!
    wenn man das aus heutiger unix sicht sieht, is das kein prob, keine superuser reinzulassen.


    also bei meinen unixen is das auch so :
    root darf nur physisch an den rechner. kein ssh o. telnet o.ä.
    per ssh kommt man nur als user rein und nur ganz ganz wenige haben sudo (sachen als root ausfuehren) rechte...


    natuerlich hilft auch das nicht gegen alles und jeden, aber so is das halt

  • Ich weiß nicht. Ich glaube Pappillon hat gleichzeitig das hintertürchen wieder geöffnet, oder?


    Zitat

    Und das ein User von Außen kommt ist eindeutig belegbar. Ok, der Decker kann versuchen seinen "Eintrittspunkt" zu verlegen, aber dadurch wird das ganze schonmal schwieriger.


    Reindecken, Zugangsdaten manipulieren und dann den Account anlegen.
    Als Neuling dabei: wie macht man Zweitens?