Jesteśmy społecznością, która kocha książki

Aż dziw, że autorka ma stopień naukowy i uczy studentów informatyki. Kupiłem z ciekawości, bo kupuję masę książek i ciesze się, że w tym wypadku kupiłem taniego ebooka.

Książka składa się głównie ze screenów, pokazujących jak skonfigurować to i owo w systemach Android i iOS. Są to naprawdę podstawowe czynności, które w większości znaleźć można na stronach producentów tych systemów.

Bibliografia, to w większości linki do CERT i niebezpiecznika, więc wystarczy poczytać te serwisy, aby dowiedzieć się tego, co w lekturze, ale i zdecydowanie o wiele więcej i rzetelniej. Tutaj dowiemy się, np. że phishing na literówkę w domenie (typosquatting), to atak man-in-the-middle. Dowiemy się też, iż należy zwracać uwagę na ikonkę kłódki w adresie paska adresu, mimo iż od kilku ładnych lat topowe przeglądarki domyślnie nie wyświetlą witryny, do której komunikacja nie jest szyfrowana (książka wydana w 2023. roku). Ta porada jest zupełnie niezrozumiała, tak jak i zrzuty ekranu przeglądarki Google Chrome, która od sierpnia 2021 nie wyświetla ikonki kłódki.

Niezrozumiały jest też opis ataku "na złośliwy hotspot", który to miałby na użytkowniku przeprowadzić atak phishing, bądź nakłonić go do podania danych osobowych. Jak miałby to zrobić kiedy od kilku ładnych lat cały internet "lata" na SSLu? To samo tyczy się porady stosowania połączenia przez VPN, kiedy nie korzystamy z zaufanego łącza. Jak niby VPN miałby chronić połączenie, które w 99% i tak jest już szyfrowane? Tego autorka nie wyjaśniła, jak zresztą nie wyjaśniła żadnego zagadnienia. Ta książka, to jedne wielkie lanie wody. Nie dowiecie się z niej żadnych szczegółów, a cała zawarta w niej wiedza, dostępna jest od ręki za darmo z użyciem waszej ulubionej wyszukiwarki internetowej.

Aż dziw, że autorka ma stopień naukowy i uczy studentów informatyki. Kupiłem z ciekawości, bo kupuję masę książek i ciesze się, że w tym wypadku kupiłem taniego ebooka.

Książka składa się głównie ze screenów, pokazujących jak skonfigurować to i owo w systemach Android i iOS. Są to naprawdę podstawowe czynności, które w większości znaleźć można na stronach producentów tych...

Podszedłem do lektury nieco sceptycznie, ale pomyślałem, że skoro autor jest detektywem, to może dowiem się czegoś ciekawego. Niestety, cytując klasyka: nic bardziej mylnego.

Już na samym wstępie książki autor wita nas kompletną bzdurą, twierdząc, że OSINT może prowadzić do odpowiedzialności karnej z art. 267 § 1. Według niego, skoro przepis ten penalizuje uzyskanie tajnej informacji poprzez podpięcie się do sieci telekomunikacyjnej, to pozyskanie takiej informacji wpinając się do sieci internet spełnia przesłankę wyrażoną tą normą sankcjonującą. Oczywiście jest to nieprawda, bo przepis penalizuje jedynie pozyskanie informacji krążącej w konkretnej sieci, poprzez podpięcie się do tej konkretnej sieci, a internet (jak sam autor przyznaje) jest siecią sieci. Kto chce więcej, niech zapozna się z treścią monografii Filipa Radoniewicza pt. "Odpowiedzialność karna za hacking i inne przestępstwa przeciwko danym komputerowym i systemom informatycznym", bądź niech kupi sobie komentarz do ustawy Kodeks Karny. Niestety, autor nie odrobił tak prostej pracy domowej, mimo iż twierdzi, że OSINTu używa na co dzień w pracy. Nie pofatygował się także o opinię prawnika, w celu wyjaśnienia tej problematyki.

Dalej jest już tylko ciekawiej, bo wita nas kompletny rozdział poświęcony... anonimowości, jakoby był to ważny aspekt pozyskiwania informacji z ogólnie dostępnych źródeł. Tu trzeba przyznać, że o ile pomysł na używanie osobnej VMki na każde śledztwo jest dość ciekawy (acz zasobożerny), o tyle polecane dystrybucje (Tails i Kali Linux) w żaden sposób nie wspierają OSINTu i w zdecydowanej większości nie będą nikomu w tym celu potrzebne. Dowiemy się także, iż VPN jest nam niezbędny do zachowania prywatności (bo adresy IP i podsłuchy po drodze), a TOR nie zapewnia szyfrowania E2E, które zapewnia VPN. Jest to oczywiście wierutna bzdura, bo w 2023 roku, kiedy ta książka została wydana, większość internetu śmiga na TLSie i żadne VPNy nie są nam potrzebne (nawet w przypadku publicznych hot spotów), a szyfrowanie E2E nie dotyczy ani TORa, ani VPNów. TLS zaimplementowany jest przez większość kanałów komunikacyjnych z usługami sieciowymi, więc dane zostają zaszyfrowane na komputerze użytkownika, a następnie odszyfrowane na serwerze, bez względu na to jakiego medium użyjemy po drodze. Jest to jedyne E2E w wyżej wspomnianej grupie. W książce przeczytamy również, że hasło najbezpieczniej wpisywać (jak Edward Snowden) pod kołdrą, ale o fizycznych kluczach 2FA już nie. Dowiemy się też, że najskuteczniejszą metodą zniszczenia danych na dysku jest fizyczne zniszczenie urządzenia, ale nie dowiemy się, że równie dobrze możemy po prostu zaszyfrować dane silnym algorytmem, co w większości przypadków załatwi sprawę.

Do sedna OSINTu dojdziemy dopiero od strony 106, ale bardzo powoli, bo autor jakoś musiał zapełnić te 230 stron, więc leje wodę na temat podchodzenia do śledztwa. Niestety w tej części nie znajdziemy mięsa, bo wszystko co zostało zawarte, możemy znaleźć wpisując hasło "OSINT" w Google. Co prawda autor wskazuje kilka ciekawych serwisów, ale np. taki True Caller, który kiedyś był dobrym źródłem identyfikacji numerów telefonu, ale który nie identyfikuje numerów Europejczyków odkąd w życie weszło RODO. To samo tyczy się aplikacji Endomondo, która została wymieniona w książce, ale już dawno temu przestała istnieć. Natomiast samo dzielenie się linkami niczego nie daje, bo linki można bardzo łatwo znaleźć w internecie, a i sam autor podaje ich agregat, więc i ja się nim z Wami dzielę, bo nie jest to żadna tajemnica, a wszystko można znaleźć w parę sekund w Google:
osintframework.com
start.me/p/m6XQ08/osint
inteltechniques.com

I to w zasadzie tyle, bo autor nie pochyla się szczegółowo nad żadnym tematem, nie opisuje szczegółów, kruczków, sztuczek, czy ciekawych sposobów użycia. Wskazuje za to kilka wyszukiwarek internetowych, ale bez wchodzenia w szczegóły. Jedyne szczegóły dotyczą zaawansowanych zapytań do wyszukiwarek, których składnię opisuje ale nie oszukujmy się, są to treści jawnie dostępne na stronach wyszukiwania, z którymi każdy może zapoznać się w każdej chwili. Sama znajomość składni nie czyni z nas Google hackera, bo trzeba wiedzieć, jakie zapytanie utworzyć. Takie dzielenie się wiedzą wynika zapewne z faktu, że autor sam nie wie o czym mówi, bo osobny podrozdział poświęcił Google hackingowi, twierdząc, że jest to sposób na wykonanie zaawansowanego zapytania w Google w celu dotarcia do ukrytej informacji, ale o Google Dorks napisał już w osobnym rozdziale, w którym nazywa Dorks gotowymi zapytaniami. Shame! Google Dorks, to Google hacking.

W rozdziale odnośnie wyszukiwania obrazu, niestety zabrakło szczegółów, wyjaśniających, że czasem ten obraz należy obrobić. Podobnie w przypadku narzędzi do analizy obrazów. Autor podaje linki, ale nie wyjaśnia jak tego używać i na co zwracać uwagę.

W przypadku SOCMINTu brakuje podstawowych informacji nt. analizowania kont użytkowników i nie pada ani jedno użyteczne narzędzie (choćby Osintgram), których masa na GitHubie i które naprawdę potrafią zrobić niezłą robotę. To ciekawe, bo kilka rozdziałów wcześniej autor wspomina o przydatności języka programowania Python, o którym już nigdy więcej w tej książce nie wspomni. Dowiemy się także, iż nie da się sprawdzić, czy użytkownik posiada konto w jakimś serwisie, co również jest nieprawdą, bo od dawna dostepne jest na GitHubie narzędzie o nazwie Holehe OSINT.

Książka zdecydowanie nie jest warta swojej ceny. Prawdę mówiąc, to nie wiem, czy dałbym za nią pięć złotych, bo zdecydowana większość informacji znajduje się za darmo w sieci i jest banalnie prosta w znalezieniu. Autor jedynie przepisał niektóre z nich, w ogóle nie wyjaśniając jak podejść do tematu. Jest to raczej lektura, z której czytelnik dowie się, czym jest OSINT, niż lektura pomagająca znaleźć jakiekolwiek ukryte informacje.

Podszedłem do lektury nieco sceptycznie, ale pomyślałem, że skoro autor jest detektywem, to może dowiem się czegoś ciekawego. Niestety, cytując klasyka: nic bardziej mylnego.

Już na samym wstępie książki autor wita nas kompletną bzdurą, twierdząc, że OSINT może prowadzić do odpowiedzialności karnej z art. 267 § 1. Według niego, skoro przepis ten penalizuje uzyskanie...