Martin måtte jobbe på en maskin uten internett – bygget modem med HTML5

[Andrea Bruer]

Martin måtte jobbe på en maskin uten internett – bygget modem med HTML5

[QGLHUYS9]

Hm, høres ut som noen har brutt sikkerheten i et firma med å koble et sikret nett mot usikret nett.

[Emancipate]

Det finnes en kabel som går fra lydutgang til lydinngang. Man trenger ikke å bruke hodetelefoner. Eller så er artikkelen forklart feil.

[Civilix]

Så dette er hvorfor det koster så mye når vi leier inn visma konsulenter, de bruker tid på å omgå sikkerhetstiltaka våre...

[Gjest Slettet+987123849734]

Er ikke noe feil å google ting man ikke får til, men det å kopiere og lime inn andres kode er jeg svært kritisk til. Man bør se hva er det som gjør at koden min feilet i forhold til den fungerende koden, sånn at man kan endre sin egen koden og samtidig lære seg dette. Hvis det er sånn at man bare googler og limer inne "funksjonalitet" så burde man kanskje ikke drive med utvikling.

[kringon1]

Hm, høres ut som noen har brutt sikkerheten i et firma med å koble et sikret nett mot usikret nett.

 

Helt enig, hadde jeg jobbet i Visma Consulting hadde jeg bedt om å få denne artikkelen fjernet

[Judaz]

Det finnes en kabel som går fra lydutgang til lydinngang. Man trenger ikke å bruke hodetelefoner. Eller så er artikkelen forklart feil.

 

Han brukte laptopen sin og de fleste laptoper leveres ikke med linjeinngang. Det var nok derfor han valgte å bruke hodetelefoner og den innebygde mikrofonen i laptopen.

[Judaz]

Hm, høres ut som noen har brutt sikkerheten i et firma med å koble et sikret nett mot usikret nett.

 

Så dette er hvorfor det koster så mye når vi leier inn visma konsulenter, de bruker tid på å omgå sikkerhetstiltaka våre...

 

Leste dere artikkelen? Maskinen ble ikke koblet til nett, det han gjorde var å gi seg selv muligheten å kopiere og lime inn tekst mellom to datamaskiner hvor den ene ikke hadde nettilgang, ved hjelp av web audio api. Med andre ord ingenting han ikke hadde kunnet gjøre med bare tastaturet, bare at det ville vært langt mer upraktisk.

 

Hvordan det kan være å bryte/omgå sikkerhetstiltak klarer jeg ikke helt å se. Det var sannsynligvis ikke for å unngå Google-søk på kompilatorfeilmeldinger at denne maskinen ikke kunne kobles til nett.

[nomore]

Spørsmålet er vel hvorfor maskinen ikke kunne kobles til nett.

 

Fordi den ikke skal være utsatt for sikkerhetsrisiko fra nett?

Fordi det ikke skal være mulig å hente ut data fra den?

Eller noe annet?

[covah]

 

Det finnes en kabel som går fra lydutgang til lydinngang. Man trenger ikke å bruke hodetelefoner. Eller så er artikkelen forklart feil.

Han brukte laptopen sin og de fleste laptoper leveres ikke med linjeinngang. Det var nok derfor han valgte å bruke hodetelefoner og den innebygde mikrofonen i laptopen.

 

De fleste laptoper har kombinert hodetelefon/microfon inngang...

[0laf]

Fiffig prosjekt, men man får vel håpe at Visma ikke har tatt betalt av denne kunden for dette.

 

Ettersom det benyttes ES2015 og en API som kun er tilgjengelig i de aller nyeste versjonene av nettleserne, så må jo begge maskinene være rimelig godt oppdatert, noe som tilsier at de enten har hatt tilkobling til nett nylig, eller i det minste har USB, nettverksport, en PCI port eller lignende, som gjør at det går an å koble maskinene sammen.

 

Absolutt alle alternativ må jo være enklere enn dette, til og med å bruke en av de mange løsningene som gjør akkurat det samme, men som er ferdig utviklet -> https://github.com/quiet/quiet-js

Endret 14. oktober 2017 av adeneo

[Emancipate]

 

Det finnes en kabel som går fra lydutgang til lydinngang. Man trenger ikke å bruke hodetelefoner. Eller så er artikkelen forklart feil.

Han brukte laptopen sin og de fleste laptoper leveres ikke med linjeinngang. Det var nok derfor han valgte å bruke hodetelefoner og den innebygde mikrofonen i laptopen.

 

Jo, det hullet er støtter både inngang og utgang via en spesiell minijack-kontakt med tre streker.

[G]

Så denne PC var uten USB-kontakter eller RS-232?

[Civilix]

Så denne PC var uten USB-kontakter eller RS-232?

 

Når man jobber på sikra nett får man vanligvis ikke lov til å plugge inn ukjente enheter.

[Bytex]

Så denne karen brukte sin arbeidstid på å lage et ulovlig verktøy, for å omgå arbeidsgiverens sikkerhetssystemer. Hurra for en flott kar.

[Spoki0]

 

Så denne PC var uten USB-kontakter eller RS-232?

 

Når man jobber på sikra nett får man vanligvis ikke lov til å plugge inn ukjente enheter.

Det står jo i artikkelen at overføring via USB gikk raskere, så han koblet nok til USB uansett.

 

Ellers tror jeg ikke det er akseptert å lage ett program som kobler enhetene sammen hvis du ikke får flytte data mellom dem med minnepenn uansett.

[rhym]

Det var mye ignoranse i kommentarfeltet her.

 

Det er ingen bevis på at kunden er fakturert for dette, og at dette ikke er gjort som et hobbyprosjekt.

 

"Åh han har utsatt kunden for en sikkerhetsbrist blah blah". Han har utviklet en egen tolker av modulerte lydfrekvenser for å kunne copy-paste mellom maskiner i 20b/s. Det er ingen sikkerhetsrisiko. Det finnes ingen trojanere som infiltrerer selvskrevet kode (aka ikke allment utbredt) og stjeler konfidensiell informasjon gjennom copy-paste.

 

Når dere sier at han brutt sikkerheten avslører dere bare at dere ikke vet hva dere snakker om.

[0laf]

Det var mye ignoranse i kommentarfeltet her.

 

Det er ingen bevis på at kunden er fakturert for dette, og at dette ikke er gjort som et hobbyprosjekt.

 

Selvfølgelig ikke, men artikkelen sier jo

 

Han jobber som utvikler for Visma Consulting i Oslo. 

 

– I forbindelse med et oppdrag hos en kunde, kunne ikke utviklermaskinen jeg fikk utdelt kobles til internett, forteller Martin.

– Jeg begynte jeg å se på muligheter til å omgå dette. Målet var å kunne kopiere tekst mellom denne maskinen og min laptop – som hadde internett.

– Hos denne kunden hadde jeg også mitt eget kontor

 

 

De aller fleste mottar vel lønn når de er på jobb, og ute hos kunde kan man vel anta at Visma fakturer for de timene han tilbringer der?

 

Det ville faktisk være mer oppsiktsvekkende om han sa i fra til arbeidsgiveren sin at han ikke vil ha lønn for å pusle med dette, og at de heller ikke skulle fakturere kunden for tiden det tok, selv om det selvfølgelig kan være tilfelle?

 

Når det kommer til sikkerhet, så står det jo ingenting om hvorfor denne maskinen ikke var koblet til noe som helst nettverk som kunne benyttes.

I dag er jo den vanligste årsaken til slike ting at man ikke ønsker å eksponere systemet.

 

Nå utgjør vel ikke akkurat dette noen stor sikkerhetsrisiko, men dersom maskinen er tatt av nett av sikkerhetshensyn, så er det jo dette helt klart en omgåelse som ikke er optimal, og kan være brudd på noen retningslinjer, selv om vi ikke kan vite noe om det.

 

 

Nå er hele denne artikkelen kun om et fiffig prosjekt, som det jo er, men det er helt usannsynlig at dette er brukenes til noe annet å demonstrere at det er mulig. Faktisk måtte jo Martin hatt tilgang til maskinen for å legge inn javascript koden, å kjøre det i enten en nettleser eller frittstående motor som støtter Audi API'en, slik at tilgang hadde han jo helt klart uansett.

[nomore]

Men årsaken til at man bevisst kobler en pc fra internett(og holder den fra internett) kan jo og være for å unngå at data flyttes til og fra den. Noe som og forklarer dette med USB-minnepinner ikke var lov. Dermed har en omgått en sikkerhetsbarriere.

 

Men det blir naturligvis spekulasjoner.

[Dag Jomar Mersland]

Så denne karen brukte sin arbeidstid på å lage et ulovlig verktøy, for å omgå arbeidsgiverens sikkerhetssystemer. Hurra for en flott kar.

 

Skjønner at det kan tolkes sånn, men det er en helt usaklig kommentar.

 

Hvordan arbeidstiden utnyttes er ikke du istand til å bedømme. Dersom utvikleren mener at det vil være tidsbesparende å lage en mer effektiv kommunikasjonsmetode mellom de to datamaskinene, så ja - da vil kunden spare penger fordi de må betale for mindre arbeidstimer totalt. Utviklere er som oftest opptatt av én ting - og det er å gjøre minst mulig unødvendig arbeid - gjerne som alle andre håndverkere.

 

Hvorvidt det er "ulovlig" eller ikke blir en definisjonssak, som du heller ikke virker som å ha nok grunnlag til å hevde å ha rett i. Man må ikke henge seg opp i ordbruk som "å koble sammen" - for disse to datamaskinene ble faktisk ikke koblet sammen i en forstand som er fornuftig å snakke om i samme kontekst som sikkerhet.

 

Det han gjorde var det samme som å lage seg en robot som ville trykke enda raskere på tastaturet på datamaskinen, enn han selv var i stand til, men uten mulighet til å kjøre arbitrær kode utenfor tekst-feltet hvor teksten ble skrevet. Det er det hele. Gjennom lyd ble teksten gjenkjent og skrevet inn i et tekstfelt, men ikke på en slik måte at man kan hevde at 3-partskode på noe som helst sannsynlig måte kunne kompromittere systemet. Det er da mer sannsynlig at utvikleren selv var en spion med skumle hensikter.

 

Så jeg tror, at når man ser nøye nok på alle bitene i saken her så er det rett og slett bar ekreativ bruk av tilgjengelige verktøy på en lovlig måte innenfor rimelighetens rammer, som til slutt kanskje sparte noen arbeidstimer totalt sett. Eller kanskje veldig mange timer.