Forum Weblog Zoek Actieve Items Nieuws Columns Reviews Previews Specials Archief

Pentagon laat hackers zijn sites kraken

qltel

Het Amerikaanse Ministerie van Defensie begint maandag met zijn programma waarin hackers een poging mogen wagen om de websites van het Pentagon te kraken. Het departement wil op die manier de zwaktes in zijn systemen ontdekken.

De hackers doen het niet alleen voor de eer. Met de uitdaging - die de naam 'HackerOne' mee heeft gekregen - is een prijzengeld van 150.000 dollar (133.000 euro) gemoeid. Niet iedere whizzkid mag overigens meedoen. De hackers moeten zich eerst onderwerpen aan een grondige veiligheidscontrole. Ze krijgen bovendien geen toegang tot de echte systemen van het Pentagon, maar alleen tot een exacte kopie van de websites.

Het ministerie van Defensie heeft 488 verschillende websites, bijvoorbeeld voor de verschillende divisies of voor veteranenprogramma's.

Pentagon laat hackers zijn sites kraken (Foto: BuzzT)

Help ons; deel dit item als je het leuk vond

Heb je een leuk of interessant bericht gevonden dat je graag op FOK! terug ziet? Tip ons dan via de submit!

Zoek jij altijd de leukste nieuwtjes en kun je daar leuk over schrijven? Meld je aan als nieuwsposter!

35 reacties

maandag 18 april 2016, 07:21 uur #1

Blarik

in dit geval zijn het hackers, geen crackers....

maandag 18 april 2016, 07:52 uur #2

danos

Whizzkids houden niet zo van het vrijgeven van hun naam etc. dus de echte badboys zullen wel niet meedoen.

Even a broken clock is right twice a day.

maandag 18 april 2016, 08:08 uur #3

Chandler

Zo, ze beginnen het eindelijk te leren...

Just say hi!

maandag 18 april 2016, 08:39 uur #4

oppanganjastyle

Smoke weed every day

Goed bezig, Amerikaanse overheid sites maken veel gebruik van Drupal .
bron

maandag 18 april 2016, 08:48 uur #5

nixan1

Haha, lekker aan de slag onder het toeziend oog van alle Amerikaanse veiligheidsdiensten.

maandag 18 april 2016, 09:10 uur #6

Proliges

quote:
Op maandag 18 april 2016 @ 07:52 schreef danos het volgende:
Whizzkids houden niet zo van het vrijgeven van hun naam etc. dus de echte badboys zullen wel niet meedoen.

Ik denk dat jij de aantrekkingskracht van 150.000 dollar vergeet.

maandag 18 april 2016, 09:14 uur #7

Blarik

quote:
Op maandag 18 april 2016 @ 09:10 schreef Proliges het volgende:

[..]

Ik denk dat jij de aantrekkingskracht van 150.000 dollar vergeet.

Een echte hacker verdient dat een korte tijd.

maandag 18 april 2016, 09:16 uur #8

Proliges

quote:
Op maandag 18 april 2016 @ 09:14 schreef Blarik het volgende:

[..]

Een echte hacker verdient dat een korte tijd.

Is dat zo? Waaraan verdient hij dat? En wat is een korte tijd? En hoe weet jij dat?

maandag 18 april 2016, 09:18 uur #9

Blarik

quote:
Op maandag 18 april 2016 @ 09:16 schreef Proliges het volgende:

[..]

Is dat zo? Waaraan verdient hij dat? En wat is een korte tijd? En hoe weet jij dat?

Ja.
Stelen van informatie zoals creditcards.
Korte tijd kan een paar dagen zijn.
Omdat common sense en genoeg informatie op internet wel te vinden is.

maandag 18 april 2016, 09:22 uur #10

Proliges

quote:
Op maandag 18 april 2016 @ 09:18 schreef Blarik het volgende:

[..]

Ja.
Stelen van informatie zoals creditcards.
Korte tijd kan een paar dagen zijn.
Omdat common sense en genoeg informatie op internet wel te vinden is.

Ja ik weet niet of dat wel zo is. Ik hoor niet zo heel vaak berichten over diefstal van creditcard gegevens die nog enigsidns noemenswaardig is. Overigens zijn dat niet de echte hackers maar gewoon mensen die hun pijlen op slecht beveiligde websites richten. Dat kan jij ook binnen een week.

Het lijkt mij dat dit juist een uitdaging is voor de echte hackers. Het pentagon hacken.

maandag 18 april 2016, 09:24 uur #11

EggsTC

GOA

quote:
Ze krijgen bovendien geen toegang tot de echte systemen van het Pentagon, maar alleen tot een exacte kopie van de websites.

Wat slecht, ik heb nog nooit een testomging gezien die ook maar überhaupt lijkt op een productie omgeving. Zo test je niets.

Lambo of Rekt

maandag 18 april 2016, 09:27 uur #12

Blarik

quote:
Op maandag 18 april 2016 @ 09:22 schreef Proliges het volgende:

[..]

Ja ik weet niet of dat wel zo is. Ik hoor niet zo heel vaak berichten over diefstal van creditcard gegevens die nog enigsidns noemenswaardig is. Overigens zijn dat niet de echte hackers maar gewoon mensen die hun pijlen op slecht beveiligde websites richten. Dat kan jij ook binnen een week.

Het lijkt mij dat dit juist een uitdaging is voor de echte hackers. Het pentagon hacken.

Denk je dat creditcard maatschappijen diefstal van de gegevens in het nieuws willen laten komen? Liever niet natuurlijk, kost je klanten en goodwill. Dus daarom kan het zijn dat je de berichten niet hoort.

Daarnaast heb je een verschil tussen hackers en crackers wat zelfs de media niet uit elkaar weet te houden en iedereen een hacker noemt.

http://www.pctools.com/security-news/crackers-and-hackers/

Een ECHTE cracker gaat zijn geheimen niet prijsgeven. Ee hacker vind het prima en een uitdaging....

maandag 18 april 2016, 09:31 uur #13

Blarik

quote:
Op maandag 18 april 2016 @ 09:24 schreef EggsTC het volgende:

[..]

Wat slecht, ik heb nog nooit een testomging gezien die ook maar überhaupt lijkt op een productie omgeving. Zo test je niets.

Slecht is om te denken dat je de productie omgeving waar pentagon zijn geheimen bewaard en werk doet open stelt voor een stel hackers. Een goede testomgeving zou identiek moeten zijn met uitzondering van belangrijke waardes als tabellen en informatie en is naar mijn idee een prima methode om de beveiliging te testen.

maandag 18 april 2016, 09:33 uur #14

EggsTC

GOA

quote:
Op maandag 18 april 2016 @ 09:31 schreef Blarik het volgende:

[..]

Slecht is om te denken dat je de productie omgeving waar pentagon zijn geheimen bewaard en werk doet open stelt voor een stel hackers. Een goede testomgeving zou identiek moeten zijn met uitzondering van belangrijke waardes als tabellen en informatie en is naar mijn idee een prima methode om de beveiliging te testen.

Als dat zo is ja, maar ik heb het nog nooit gezien, dat het identiek is. Dus test je niks.

Daarnaast, als ze toch weten wie er "inbreken" kunnen ze beter de productie omgeving laten testen.

Lambo of Rekt

maandag 18 april 2016, 09:33 uur #15

Proliges

quote:
Op maandag 18 april 2016 @ 09:27 schreef Blarik het volgende:

[..]

Denk je dat creditcard maatschappijen diefstal van de gegevens in het nieuws willen laten komen? Liever niet natuurlijk, kost je klanten en goodwill. Dus daarom kan het zijn dat je de berichten niet hoort.

Daarnaast heb je een verschil tussen hackers en crackers wat zelfs de media niet uit elkaar weet te houden en iedereen een hacker noemt.

http://www.pctools.com/security-news/crackers-and-hackers/

Een ECHTE cracker gaat zijn geheimen niet prijsgeven. Ee hacker vind het prima en een uitdaging....

quote:
Cracker is the name given to hackers

Volgens jou linkje is een cracker gewoon een hacker.

Daarbij is het stelen van creditcard gegevens niet de schuld van creditcard maatschappijen, maar van bedrijven die hun beveiliging niet op orde hebben.

Hoe is een bericht in de trend van: "Hackers stelen 100.000 creditcard gegevens bij Philips". Schadelijk voor een creditcard maatschappij, die worden vrijwel nooit genoemd in het bericht.

Daarbij, het pentagon hacken is iets anders als een bedrijf hacken. Dus je kunt het ook hacken door andere technieken te gebruiken die je normaal gebruikt bij het stelen van creditcard gegevens. Dan geef je en je geheimen niet prijs en je wint misschien 150.000 dollar.

Ik denk dat er veel mensen op af komen.

maandag 18 april 2016, 09:37 uur #16

Blarik

quote:
Op maandag 18 april 2016 @ 09:33 schreef EggsTC het volgende:

[..]

Als dat zo is ja, maar ik heb het nog nooit gezien, dat het identiek is. Dus test je niks.

Daarnaast, als ze toch weten wie er "inbreken" kunnen ze beter de productie omgeving laten testen.

Een testomgeving draait hoogst waarschijnlijk op dezelfde servers en omgevingen en dus een prima tool om te testen.

Nogmaals inbreken op productie omgeving kan en mag niet, vanwege de gegevens die erin staan. Stel je voor dat het een hacker wel lukt, wie verzekert dan dat de gegevens niet op straat komen te liggen of bij de media terecht komt? Of een paar duizend medewerkers kunnen niet werken, omdat de productieomgeving niet werkt?

Idem trouwens voor de acceptatie omgeving...

maandag 18 april 2016, 09:49 uur #17

EggsTC

GOA

quote:
Op maandag 18 april 2016 @ 09:37 schreef Blarik het volgende:

[..]

Een testomgeving draait hoogst waarschijnlijk op dezelfde servers en omgevingen en dus een prima tool om te testen.

Nogmaals inbreken op productie omgeving kan en mag niet, vanwege de gegevens die erin staan. Stel je voor dat het een hacker wel lukt, wie verzekert dan dat de gegevens niet op straat komen te liggen of bij de media terecht komt? Of een paar duizend medewerkers kunnen niet werken, omdat de productieomgeving niet werkt?

Idem trouwens voor de acceptatie omgeving...

Als die hacker binnen kan komen, had hij dat ook nu al kunnen doen en liggen de gegevens alsnog op straat. Je moet gewoon je belangrijkste databanken (die dezelfde infrastructuren hebben op productie), ontkoppelen van het internet.

Lambo of Rekt

maandag 18 april 2016, 09:52 uur #18

Blarik

quote:
Op maandag 18 april 2016 @ 09:33 schreef Proliges het volgende:

[..]

[..]

Volgens jou linkje is een cracker gewoon een hacker.

Daarbij is het stelen van creditcard gegevens niet de schuld van creditcard maatschappijen, maar van bedrijven die hun beveiliging niet op orde hebben.

Hoe is een bericht in de trend van: "Hackers stelen 100.000 creditcard gegevens bij Philips". Schadelijk voor een creditcard maatschappij, die worden vrijwel nooit genoemd in het bericht.

Daarbij, het pentagon hacken is iets anders als een bedrijf hacken. Dus je kunt het ook hacken door andere technieken te gebruiken die je normaal gebruikt bij het stelen van creditcard gegevens. Dan geef je en je geheimen niet prijs en je wint misschien 150.000 dollar.

Ik denk dat er veel mensen op af komen.

Nee, in de link staat duidelijk het verschil genoemd tussen een black en white hat hacker en de betekenissen.

Het publiek denkt dat het de schuld is van de bank of cc maatschappij en is gezichtverlies, kost je klanten en daarom niet graag in het nieuws. Bij stelen van geld zal cc maatschappij het geld moeten dekken dus kost het de cc maatschappij geld.

Philips mag wel cc informatie hebben, niet de volledige. Of maak je ook je pincode en handtekening openbaar bij iedere transactie aan philips? Ik niet, niemand niet dus je vergelijking gaat niet op.
En Philips zal voorkomen om dergelijke informatie in openbaarheid te brengen. Want ook zij leiden daarbij gezichtsverlies...

Pentagon en een bedrijf maken allemaal gebruik van Windows Server, Oracle, Unix of ander systeem. Ik zie daarom niet het verschil tussen een bedrijf of pentagon.

Er bestaat niet één techniek om te hacken. Daar zijn er meerdere voor. Een blackhat hacker gaat zijn geheimen niet prijs geven, omdat 150.000 dollar een drol is.

Tuurijk komen er mensen op af. Whitehat hackers die graag carriere willen maken binnen pentagon en 150.000 euro willen verdienen.

maandag 18 april 2016, 09:54 uur #19

Blarik

quote:
Op maandag 18 april 2016 @ 09:49 schreef EggsTC het volgende:

[..]

Als die hacker binnen kan komen, had hij dat ook nu al kunnen doen en liggen de gegevens alsnog op straat. Je moet gewoon je belangrijkste databanken (die dezelfde infrastructuren hebben op productie), ontkoppelen van het internet.

Als je de belangrijkste databanken ontkoppelt, is het niet meer je productie omgeving. De acceptatie omgeving meer.

Maar goed, OTAP is volgens mij niet heel bekend hier....

maandag 18 april 2016, 09:57 uur #20

EggsTC

GOA

quote:
Op maandag 18 april 2016 @ 09:54 schreef Blarik het volgende:

[..]

Als je de belangrijkste databanken ontkoppelt, is het niet meer je productie omgeving. De acceptatie omgeving meer.

Maar goed, OTAP is volgens mij niet heel bekend hier....

Ik ken OTAP. Maar ook acceptatie omgevingen zijn vrijwel nooit identiek aan productie. Meestal slechts half.

Maargoed, je hebt gelijk. Laat ze maar loze tests uitvoeren.

Lambo of Rekt

maandag 18 april 2016, 09:57 uur #21

Xeneonic

quote:
Op maandag 18 april 2016 @ 09:16 schreef Proliges het volgende:

[..]

Is dat zo? Waaraan verdient hij dat? En wat is een korte tijd? En hoe weet jij dat?

Zero day exploits kunnen waanzinnig veel geld zijn op de zwarte markt. Vooral als bijvoorbeeld een overheid belang heeft bij zo'n exploit (Bijvoorbeeld FBI om een telefoon te kraken of china). Er kunnen tot wel vele tonnen verdiend worden als de exploit maar groot genoeg is.

Als je dus een klein hacker team vormt die dat soort dingen vinden eens in de maand een jaar of twee lang dan ben je dus echt wel binnen.

maandag 18 april 2016, 10:31 uur #22

geert_realist

verknipt en verstrooit

quote:
Op maandag 18 april 2016 @ 09:24 schreef EggsTC het volgende:

[..]

Wat slecht, ik heb nog nooit een testomging gezien die ook maar überhaupt lijkt op een productie omgeving. Zo test je niets.

Misschien eens bij een echt bedrijf gaan werken?

Als je via een otap model werkt zou je acceptatieomgeving toch echt een kopie van je produktie moeten zijn. Misschien niet zozeer met alle hardware maar wel met alle software en instellingen, je wilt tijdens een update op produktie niet voor verrassingen komen te staan.

Ik ben politiek incorrect, zeg wat ik wil en ben een trotste racist! w/

maandag 18 april 2016, 10:32 uur #23

EggsTC

GOA

quote:
Op maandag 18 april 2016 @ 10:31 schreef geert_realist het volgende:

[..]

Misschien eens bij een echt bedrijf gaan werken? Als je via een otap model werkt zou je acceptatieomgeving toch echt een kopie van je produktie moeten zijn. Misschien niet zozeer met alle hardware maar wel met alle software en instellingen, je wilt tijdens een update op produktie niet voor verrassingen komen te staan.

Ja echt bedrijf.. wat is een echt bedrijf? Af te lezen aan grootte? Of....?

Lambo of Rekt

maandag 18 april 2016, 10:42 uur #24

Diemux

People vs Me

quote:
Op maandag 18 april 2016 @ 09:24 schreef EggsTC het volgende:

[..]

Wat slecht, ik heb nog nooit een testomging gezien die ook maar überhaupt lijkt op een productie omgeving. Zo test je niets.

Ik denk dat je in je wildste dromen nog geen eens een omgeving zoals die van het pentagon zult zien. Dus de stelling dat jij het nog nooit gezien heeft zegt dus helemaal niks

maandag 18 april 2016, 10:42 uur #25

Blarik

quote:
Op maandag 18 april 2016 @ 09:57 schreef EggsTC het volgende:

[..]

Ik ken OTAP. Maar ook acceptatie omgevingen zijn vrijwel nooit identiek aan productie. Meestal slechts half.

Maargoed, je hebt gelijk. Laat ze maar loze tests uitvoeren.

Acceptatie omgevingen zijn bijna ALTIJD identiek aan productie zijn mijn ervaringen. 99% gelijk dus half herken ik niet. Nee, het is geen loze test indien er geen gebruik wordt gemaakt van de productie omgeving. Jij mag het zo vinden, ik vind van niet.

maandag 18 april 2016, 10:45 uur #26

EggsTC

GOA

quote:
Op maandag 18 april 2016 @ 10:42 schreef Diemux het volgende:

[..]

Ik denk dat je in je wildste dromen nog geen eens een omgeving zoals die van het pentagon zult zien. Dus de stelling dat jij het nog nooit gezien heeft zegt dus helemaal niks

Dit is zeker waar... maar ik zet mn twijfels op basis van mijn eigen ervaringen. Misschien niet representatief nee.

Lambo of Rekt

maandag 18 april 2016, 10:45 uur #27

EggsTC

GOA

quote:
Op maandag 18 april 2016 @ 10:42 schreef Blarik het volgende:

[..]

Acceptatie omgevingen zijn bijna ALTIJD identiek aan productie zijn mijn ervaringen. 99% gelijk dus half herken ik niet. Nee, het is geen loze test indien er geen gebruik wordt gemaakt van de productie omgeving. Jij mag het zo vinden, ik vind van niet.

Indien het 99% gelijk is, is het geen loze test idd.

Lambo of Rekt

maandag 18 april 2016, 10:47 uur #28

geert_realist

verknipt en verstrooit

quote:
Op maandag 18 april 2016 @ 10:32 schreef EggsTC het volgende:

[..]

Ja echt bedrijf.. wat is een echt bedrijf? Af te lezen aan grootte? Of....?

Vergeet niet die knipoog die ik zette, want ik weet ook wel dat er uitzonderingen zijn. Ik snap dat kleine bedrijven niet altijd de middelen hebben voor testomgevingen, maar normaal gesproken voer je updates niet direct op produktie uit en heb je hiervoor iets als een ota omgeving om op te testen en de acceptatieomgeving is juist de omgeving die exact hetzelfde als produktie moet zijn, je moet de update immers accepteren dat het allemaal goed werkt voordat je het op produktie uit gaat rollen waar je niet voor verrassingen wilt komen te staan. Ik weet niet of je in de IT werkt, maar je opmerking vind ik een vreemde, want waar ik gewerkt heb werd er altijd goed op gelet dat de acceptatie juist wel een kopie van produktie was, dus ik heb wel genoeg omgevingen gezien die een kopie van produktie waren.

Ik ben politiek incorrect, zeg wat ik wil en ben een trotste racist! w/

maandag 18 april 2016, 10:48 uur #29

EggsTC

GOA

quote:
Op maandag 18 april 2016 @ 10:47 schreef geert_realist het volgende:

[..]

Vergeet niet die knipoog die ik zette, want ik weet ook wel dat er uitzonderingen zijn. Ik snap dat kleine bedrijven niet altijd de middelen hebben voor testomgevingen, maar normaal gesproken voer je updates niet direct op produktie uit en heb je hiervoor iets als een ota omgeving om op te testen en de acceptatieomgeving is juist de omgeving die exact hetzelfde als produktie moet zijn, je moet de update immers accepteren dat het allemaal goed werkt voordat je het op produktie uit gaat rollen waar je niet voor verrassingen wilt komen te staan. Ik weet niet of je in de IT werkt, maar je opmerking vind ik een vreemde, want waar ik gewerkt heb werd er altijd goed op gelet dat de acceptatie juist wel een kopie van produktie was, dus ik heb wel genoeg omgevingen gezien die een kopie van produktie waren.

Ik heb bij grote telco's gewerkt waar de acceptatie omgeving niet eens leek op de productie omgeving... misschien een paar van dezelfde betrokken nodes, maar de praktijk wijst vaak uit dat niet álleen die nodes "last" hebben van een update.

Ja ik werk in de IT.

Lambo of Rekt

maandag 18 april 2016, 10:49 uur #30

Blarik

quote:
Op maandag 18 april 2016 @ 10:45 schreef EggsTC het volgende:

[..]

Indien het 99% gelijk is, is het geen loze test idd.

Ik weet niet welke omgeving pentagon beschikbaar stelt met welke gegevens dus kan verder niets met je opmerking. Maar denk is buiten je kader en eigen ervaringen. Kun je een heel eind verder mee komen.

maandag 18 april 2016, 10:50 uur #31

Woestijnvos

totdat je een of ander geheim ontdekt, en omgelegd wordt.

Ура для россии

maandag 18 april 2016, 10:58 uur #32

Blarik

quote:
Op maandag 18 april 2016 @ 10:48 schreef EggsTC het volgende:

[..]

Ik heb bij grote telco's gewerkt waar de acceptatie omgeving niet eens leek op de productie omgeving... misschien een paar van dezelfde betrokken nodes, maar de praktijk wijst vaak uit dat niet álleen die nodes "last" hebben van een update.

Ja ik werk in de IT.

Mijn ervaring uit de IT is dat de acceptatie omgeving steeds belangrijker wordt bij het invoeren van nieuwe ERP's of CRM. De oude omgevingen die reeds tig jaren draaien zijn gevoelig voor updates zeker in de telecom wereld is ook mijn ervaring. Dus kan mij voorstellen dat een acceptatie omgeving als extra balast en overbodig wordt gezien.

Een website van Pentagon vergelijken met telecom omgevingen gaat wat mank volgens mij....

maandag 18 april 2016, 10:59 uur #33

geert_realist

verknipt en verstrooit

quote:
Op maandag 18 april 2016 @ 10:48 schreef EggsTC het volgende:

[..]

Ik heb bij grote telco's gewerkt waar de acceptatie omgeving niet eens leek op de productie omgeving... misschien een paar van dezelfde betrokken nodes, maar de praktijk wijst vaak uit dat niet álleen die nodes "last" hebben van een update.

Ja ik werk in de IT.

Ja dit soort toestanden ken ik ook, maar er zijn ook wel bedrijven die het allemaal wel zeer serieus nemen. Denk bijvoorbeeld aan kritische systemen die eigenlijk 24/7 operationeel moeten zijn, dan kan je het niet op produktie aan laten komen om te kijken of de update wel goed werkt. In sommige organisaties lijkt het wel een militaire operatie wat ook begrijpelijk is..

Ik ben politiek incorrect, zeg wat ik wil en ben een trotste racist! w/

maandag 18 april 2016, 11:01 uur #34

Blarik

quote:
Op maandag 18 april 2016 @ 10:59 schreef geert_realist het volgende:

[..]

Ja dit soort toestanden ken ik ook, maar er zijn ook wel bedrijven die het allemaal wel zeer serieus nemen. Denk bijvoorbeeld aan kritische systemen die eigenlijk 24/7 operationeel moeten zijn, dan kan je het niet op produktie aan laten komen om te kijken of de update wel goed werkt. In sommige organisaties lijkt het wel een militaire operatie wat ook begrijpelijk is..

Zelfde ervaring. Als mijn systemen zouden uitvallen kan het letterlijk indirect mensen levens kosten en daarom is acceptatie zeer belangrijk en kritisch.

maandag 18 april 2016, 11:45 uur #35

Ferdo

quote:
Ze krijgen bovendien geen toegang tot de echte systemen van het Pentagon, maar alleen tot een exacte kopie van de websites.

Géén exacte kopie dus, eigenlijk. Wat ergens ook wel logisch is, dat wel.

"Bijna niemand durft de islam te bekritiseren en te bespotten zoals dat met het christendom werd en wordt gedaan, terwijl daar gezien het totalitaire en onderdrukkende karakter van de islam toch alle reden toe is." ~ H.Heeresma

Reageer zelf