در پاسخ به استاکس نت هکر 21 ساله ایرانی «SSL» را رمز گشایی کرد

[lorn 1]

[quote]من كپي مطالبي كه FBI فرستاد را دارم خدمت شما بخونيد :

========================================


اینم جوابی که به هکر ایرانی داده شده :


A response to ComodoHacker
Filed under: General,Security — Tags: certificate, comodo, hack — FiFtHeLeMeNt @ 5:03 am

I was following up the news regarding the recent attacks to Comodo and gaining access to their cert signing system. Today I found out he has posted some comments regarding his attack and claimed some nonsense , so I decided to write a response to him , here it goes :

First of all you have claimed you are only a 21 years kid , are you kidding ? the aim of the attack has been to create certs signed by Comodo CAs for mail.google.com and login.yahoo.com and etc which can only be used to do man-in-middle type of attack. in fact if you do not have access to internet infrastructure in Iran , these certs have no use ! why would a 21 years old kid want to do that ? if you are interested in some signed certs which can not be used anywhere , next time send an email to me , I will sign some certs myself and send it back to you it is very clear that this attack has been done with cooperation of Iran’s government and Iranian revolutionary guards and their cyber army who have access to Iran’s IT infrastructure.

Second I agree what you have done is impressive. it shows your budget and the size of your criminal organization to find security holes in internet. but you have not compromised anything fundamental or serious on internet ! do you think the same trick which you use on Iranian people ( I mean bragging about your power ) will work on the world either ? in fact when I was 21 I could do better than you ( your whole criminal organization ). lol , I can send you some proofs if you like.
because you have signed fake certs for yahoo and google, many people think you have hacked their systems and compromised their security ! but pro people know it has nothing to do with google or yahoo or the security of their systems. everything is intact and secure.
The only companies who should be blamed are Comodo and their Italian partner because of weak security system and I am sure they are already in a lot of trouble by authorities

Third you talk about breaking RSA 2048 keys and so on , it just makes me laugh. you can not even break the security of RSA 16 bit ! lol
If you had the power to do that , there were no need to generate fake certs from Comodo , you generated these fake certs because you can not decrypt the SSL traffic in Iran ! you need fake signed certs to do man-in-middle attack. it itself shows how weak you are. so come on , do not brag about your power. we all know thats a big lie.

Fourth lets assume you gain access to Comodo root CAs so you can sign the certs yourself , I dont think there is any bigger achievement for you ! you know what happens ? in less than 24 hours all major browsers will update their software and revoke the certificate. as simple as that. so I recommend you to waste your time on better solutions.

Fifth I would like to thank you guys for doing this personally , what you did had no gains for you and showed your real face to the world. I am not going to get political on this post but it had a lot of benefits to the security of the internet. I am sure authorities are already working on implementing more secure and safe procedures to generate certificates and check for revoked certs. Thank You.

And at last I would like to talk to Iranian people , they are just trying to frighten you. they have not compromised anything serious on internet. this attack shows they have nothing in hand. these fake certs CAN NOT be used the decrypt SSL traffic. always use VPN encrypted connections and for emails use SSL connections , Gmail is the best. also always use the latest versions of Google Chrome and Firefox for browsing the web. NEVER USE INTERNET EXPLORER ! not even version 9. and you will be safe

Here is the link to hacker speech : http://pastebin.com/74KXCaEZ

ترجمه فارسی اون هم به نقل از gooyait.com

داشتم خبرهای مربوط به حملات اخیر به کومودو و دستیابی به سیستم امضای گواهینامه آن را دنبال می­کردم. امروز متوجه شدم که او نظراتی درباره حمله­اش منتشر کرده و برخی ادعاهای مُهمل را مطرح کرده است، به همین خاطر تصمیم گرفتم پاسخی به او بنویسم که از این قرار است:

اول از همه شما ادعا کردی که یک بچه ۲۱ ساله هستی، شوخی می­کنی؟ هدف این حمله ایجاد گواهینامه­ های امضا شده توسط مرکز گواهینامه­ های دیجیتال کومودو برای mail.google.com و login.yahoo.com و غیره بوده است که تنها می­تواند برای نوع حمله شخص واسط مورد استفاده قرار گیرد. در واقع اگر شما به زیرساخت اینترنت در ایران دسترسی نداشته باشید، این گواهینامه ­ها به درد نخواهند خورد! چرا یک بچه ۲۱ ساله می­خواهد چنین کاری بکند؟ اگر شما به برخی گواهینامه­ها که هیچ جا قابل استفاده نیستند علاقه­ مندید، دفعه بعد به من یک ایمیل بزنید، من خودم چند گواهینامه امضا می­کنم و برایتان می­فرستم. این خیلی روشن است که حمله با همکاری دولت ایران و سپاه پاسداران انقلاب ایران و ارتش سایبری آن انجام شده است که به زیرساخت IT ایران دسترسی دارند.

ثانیا، من با اینکه آنچه شما انجام داده ­اید تحسین­ برانگیز است موافقم. این نشانگر بودجه و اندازه سازمان تبه­کار شما به منظور یافتن حفره­ های امنیتی در اینترنت است. ولی شما چیزی اساسی یا جدی را در اینترنت به مخاطره نیانداخته ­اید! آیا فکر می­کنید که چنین ترفندی که علیه مردم ایران استفاده کرده ­اید (منظورم تفاخریست که به قدرتتان می­کنید) روی بقیه دنیا هم کارگر می­افتد؟ در واقع وقتی من ۲۱ ساله بودم می­توانستم کارهایی بهتر از شما (کل سازمان تبه­کار شما) انجام دهم. خیلی خنده ­دار است. اگر دوست داشتید می­توانم چند مدرک برایتان بفرستم.

چون شما گواهینامه­ های جعلی برای یاهو و گوگل امضا کرده ­اید، خیلی­ها فکر می­کنند سیستمشان را هک کرده ­اید و امنیتشان را به مخاطره انداخته­ اید! ولی حرفه­ ای­ها می­دانند که این کاری به گوگل یا یاهو یا امنیت سیستمشان ندارد. همه چیز صحیح و سالم است. تنها کمپانیهایی که باید مورد سرزنش قرار گیرند کومودو و شریک ایتالیایی آنها هستند که سیستم امنیتی ضعیفی داشته­ اند و من اطمینان دارم که مقامات مسئول برایشان دردسرهای بسیاری ایجاد کرده ­اند

سوم اینکه، شما صحبت از شکستن کلیدهای RSA 2048 و غیره به میان آورده­اید، این برایم حرف مضحکی بود. شما حتی قادر به شکستن امنیت RSA 16 بیتی هم نیستید! واقعا خنده­ دار است

اگر شما توان انجام چنان کاری را داشتید که نیازی به ساخت گواهی­های جعلی از کومودو پیدا نمی­­کردید، شما این گواهی­های جعلی را تولید کردید چون نمی­توانید ترافیک SSL را در ایران رمزگشایی کنید! شما به گواهینامه ­های جعلی نیاز دارید تا حمله شخص واسط را انجام دهید. این خودش نشان می­دهد که چقدر ضعیف هستید. پس دست بردارید، به قدرتتان ننازید. ما همه می­دانیم که این یک دروغ بزرگ است.

چهارم اینکه، بیایید فرض کنیم که شما به ریشه صدور گواهینامه­ های دیجیتال کومودو دسترسی پیدا کرده و خودتان می­توانید گواهینامه­ ها را امضا کنید. فکر نمی­کنم دستاورد بزرگتری برایتان وجود داشته باشد! می­دانید چه اتفاقی می­افتد؟ در کمتر از ۲۴ ساعت همه مرورگرهای عمده نرم­افزارشان را به­ روز می­کنند و گواهینامه­ ها را باطل می­کنند. به همین سادگی. به همین خاطر به شما توصیه می­کنم وقتتان را روی راهکارهای بهتری تلف کنید.

پنجم اینکه، شخصا می­خواهم از شماها به خاطر انجام چنین کاری تشکر کنم، آنچه شما انجام دادید حاصلی برایتان نداشت و چهره واقعی شما را به دنیا نشان داد. من نمی­خواهم در این مطلبم وارد موضوعات سیاسی شوم ولی این کار منافع امنیتی بسیاری برای اینترنت داشت. اطمینان دارم که مقامات مسئول اکنون روی پیاده­سازی روالهای امن­تر و ایمن­تر برای تولید گواهینامه­ ها کار می­کنند و گواهینامه­های ابطال شده را بررسی می­کنند. از شما متشکرم.

و در پایان مایلم با مردم ایران صحبت کنم، آنها فقط دارند سعی می­کنند شما را بترسانند. آنها هیچ چیز جدی را در اینترنت به مخاطره نیانداخته­ اند. این حمله نشان می­دهد که آنها چیزی در دست ندارند. این گواهینامه­ های جعلی نمی­توانند برای رمزگشایی ترافیک SSL به کار روند. همیشه از ارتباطات VPN رمزگذاری­شده و برای ایمیلها از ارتباطات SSL استفاده نمایید، جی­میل بهترین است. همچنین همیشه از آخرین ویرایشهای مرورگر کروم گوگل و فایرفاکس برای مرور وب استفاده کنید. هرگز از اینترنت­اکسپلورر استفاده نکنید! حتی ویرایش ۹ آن. در این صورت ایمن خواهید ماند

===========
پيوست : نكته اي كه نويسنده اين مطلب فوق يادش رفته بهش فكر كنه
http://www.military.ir/modules.php?name=Forums&file=viewtopic&p=155911#155911[/quote]


جالبه
بعد این پیام چطوری بدست هکر می رسه ؟
سایت FBI این خبر رو اعلام کرده ؟
همچین منبع مشکوکه
ولی حرفهاش که کاملا منطقی هست

[100 2,715]

[quote]اتفاقا اون موقعی که داشتم به این چرتو پرتارو فکر می کردم ، ارتش یه صاعقه پرت کرد هوا و بعدش هم اعلام شد از هر چی سوپر هورنت سرتره ! اون موقع هم از این جور چیزها بود . این که این جا میلیتاری هست هیچ شکی نیست ولی فکر نکنم انتقاد هم جز چرت و پرت باشه

میشه یه سوال بپرسم ؟ حالا این قضیه هک چه ربطی داره به میلیتاری ؟ [/quote]

ُسلام

از بعد از این فتنه ی اخیر و مواضع اکثریت کاربران قدیمی در برابر م شبکه های ماهواره ای و سازمان های جاسوسی/ تروریستی غربی و ... و محکومیت اونها ، من کاربران جدید زیادی رو می بینم که هنوز به 50 پشت هم نمی رسن و با این لحن به مسخره کردن نظام و دست آورد ها و پتانسیل های کشور می پردازن( همین طور پیش برن میان می گن فرش ایران هم بی کیفیت ترین فرش جهانه )

نکته ی جالبش هم نام های کاربری هست که اکثریتشون از اسامی قدیمی پارسی استفاده شده ...

عزیزم حالا من می خوام نسبت به شما خوشبین باشم و شما رو مستقل در نظر بگیرم ، پس با لحن ملایمی حرف می زنم >>>

عزیزم اگه کار بی ارزشی بود این همه در موردش موضع گیری و محکومیت و فلان و بهمان نمی کردن که شما بیای طوطی وار همون ها رو تحویلمون بدی و بشینی در مورد سائیدن کشک باهامون صحبت کنی و ...
[quote]
سایت FBI این خبر رو اعلام کرده ؟
همچین منبع مشکوکه
ولی حرفهاش که کاملا منطقی هست[/quote]

مطالبی که کاربر FBI نوشته .... اگه به همون اوایل متن انگلیسی توجه کنی ، منبعش رو می بینی ....
حرفهاش همون فحش دادن به زبان محترمانه بوده ... این بنده ی خدا ازش پیداست دو سه ساعت قبلش یه قرص آرام بخش خورده و بعد این رو نوشته و داده چند نفر هم اصلاح و ویرایشش کردن ...

نکته ی جالبش توصیه به استفاده از ابزارهای گوگل هست .... در حالی که سایت های امنیتی و همچنین متخصصان آزاد ( حتی داخل آمریکا ) به شدت توصیه می کنن که کاربران از ابزارهای گوگل دوری کنند چون گوگل در راستای رصد کاربران و همکاری با سازمان های امنیتی امریکا تا حالا هر کاری کرده ...
هر چند ماکروسافت هم یه شرکت آمریکایی هست ولی من به شخصه ماکروسافت رو به گوگل ترجیح می دم ، ماکروسافت ریشه دار تره ...

کی فکرش رو می کرد که گوگل با یه موتور جستجو به اینجا برسه !؟

[amirhessam 209]

[quote]دوست داری رکش رو بگم !
اول از همه دیگه پول نفت رو به لبنان و غزه و سوریه ندیم ؛ بیایم در عوض سرانه مالی ایرانیان رو افزایش بدیم .
دوم : اگه در ساخت هواپیما مشکلی داریم چرا نمی ریم سراغ علم تکنولوژی نانو ؟ شکر خدا که نانو در ایران پیشرفت کرده ؛ پس اگه به جای ساخت بدنه با مواد امروزی بیایم با نانو اونها رو بسازیم بهتره . نگو نمی شه چون همین صاعقه رو دو V شکلشو رو با یه چیزی باید درست کرده باشیم .
سوم : از ورود کالاهای غیر ضروری از چین جلوگیری کنیم . مثلا همین شارژرهای تلفن همرام که مفت نمی ارزند > اونها رو میدیم دانشگاه ها تا متخصص هاشون بهتر از مدل چینی رو بسازند .این طوری افزایش شغل هم بهتر میشه .
مابقیش رو می دونم ولی بقیش رو هم خودت بگو تا نگی این یارو از خودش چیز در اورده ![/quote]

دوست عزيز شر و ورهاي بي بي سي و مخصوصا صداي امريكا رو اينجا كپي نكنيد!

ما صادراتمون به سوريه چقدره؟ چقدر به سوريه خدمات فني وميديم؟ تراز ما با سوريه 100٪ به نفع ايران است.قبل از حرف زدن كمي تحقيق و فكر كنيد و مزخرفات را بلغور نكنيد.

دوما فكر كرديد ما نصف بودجه 60 ميليارد دلاريمان را به لبنان و غزه ميدهيم؟ خير شايد حداكثر كمك ما 500 ميليون دلار باشد هزينه زيادي است براي امنيت بيشتر؟ امريكا ساليانه چقدر هزينه ميكند برا امنيتش؟؟؟ فكر كن پسر خوب!
-----------------------------------------------------------------------------------------
در مورد توليدات ملي چند سالي صبر كنيد/اينده بدجوري روشن است...


-------------------------------------------------------------------------------------------
در مورد هك هم و ssl باید بگم بدون در محیط سایبر هیچ کجا و هیچ چیز امن نیست برای هیچ کس!
چینی ها سرورهای پنتاگون با اون همه دیوار اتش و ... هک کردند. احتمالا سایت های بین المللی راجب رتبه 5 بودن ارتش سایبری هم دروغ میگویند...!

---------------------------------------------

توصیه اخر کم بی بی سی و صدای امریکا نگاه کنید و بیشتر مطالعه کنید و از مغرتون استفاده کنید!لطفا

[100 2,715]

[quote name="amirhessam"][quote]

دوما فكر كرديد ما نصف بودجه 60 ميليارد دلاريمان را به لبنان و غزه ميدهيم؟ خير شايد حداكثر كمك ما 500 ميليون دلار باشد هزينه زيادي است براي امنيت بيشتر؟ امريكا ساليانه چقدر هزينه ميكند برا امنيتش؟؟؟ فكر كن پسر خوب!
-----------------------------------------------------------------------------------------
[/quote]

سلام
در تائید این حرفها همین بس که بدونی فوتبال مزخرف مملکت ما سالانه حدود 250 میلیون دلار خرج بر می داره و بازدهیش تو این سال ها تقریبا برابر صفر بوده ....

جنگ ایران و عراق 1000 میلیارد به کشور ضرر زد ، حالا کسانی که رو به بی بی سی فارسی نماز می خونند اگه شعور داشته باشن و یکم انسانیت ( عدالت جویی ، وطن پرستی ، اصول اسلامی هم پیشکش ) داشته باشن می دونند که چند میلیون دلار خرج کردن در خارج از مرزهای کشور ، صد شرف داره به جنگیدن داخل خاک خودمون ...

[joker 1]

عنوان تاپيك اشتباهه ، براي همين بعضيا فكر بد ميكنن
يكي از مديرا عنوان تاپيك را درست كنه ...

[lorn 1]

همه دوستان رو دعوت به آرامش می کنم چه راستی چه چپی
دوستان وفادار به نظام هم با دلیل صحبت کنید که کسی دلخور نشه
در ضمن واقعا لحن دوستمون seniortomcat خیلی تندو بی تامل هست

[quote]اول از همه دیگه پول نفت رو به لبنان و غزه و سوریه ندیم ؛ بیایم در عوض سرانه مالی ایرانیان رو افزایش بدیم . [/quote]
دوست عزیز من که گفتم وجود همچین همپیمانانی برای کشور لازمه چرا چون هیچ کس تنهایی جنگی رو نبرده اگه تنها باشیم می شیم مثل هیتلر و المان در جنگ جهانی
دوست عزیز بیاد به حزب الله و حماس وسوریه مثل یه سپر دفاعی نگاه کنید اون وقت می بینید ارزش پیدا می کنن و سپری برای کشور ما خواهند شد سپر ایرانیان می شن
تازه مامیتونیم بلافاصله با منحرف کردن خطر جنگ به اون منطقه خودمون رو از جنگ دور کنیم
بد شانسیه امریکا و اسرائیل اینه که با زکاوت متحدانمون رو بیخ گوش اسرائیل نشوندیم که همین خودش یعنی ته استراتژیک و تاکتیک دفاعی که خدایی از هیچی خوشم نیاد از این ترفند نظام خوشم اومد
شما به جنگ غضه و 33روزه لبنان نگاه کنید کاملا موثر بودن این تاکتیک رو نشون میده
البته نظام داره سعی می کنه تو این بل بشو از اب گلا لود ماهی بگیره و از جهان عرب یه یار دیگه هم بگیره که بعید می دونم چون سوریه هم از دست می دیم اگه زکاوت به خرج ندیم

از دوستان دیگه هم تقاضا می کنم با دلیل و منطق صحبت کنن که کلاهمون تو هم نره و گره نه ما هم بازی با کلمات بلدیم