bezpieczeństwo (strona 251 z 279)

Gdy pod koniec grudnia 2015 roku ludzie z grupy fail0verflowpokazaliLinuksa zainstalowanego na konsoli PlayStation 4, Sony mogło siętylko pocieszać, że nie otwiera to bezpośredniej drogi douruchamiania kopii gier. Dzisiaj już Sony nie ma nic na pocieszenie.W ostatnich miesiącach niezależna scena wokół PS4 świętujekolejne sukcesy, a piraci korzystają z możliwości uruchamianiakopii gier na starymfirmware 1.76. Teraz ci sami ludzie, którzy zainstalowali nakonsoli Sony Linuksa, demonstrują Adieu, swój stary exploit kernelaPS4. Co najważniejsze, działa on na firmware do względnie nowejwersji 4.05 – wykorzystaną lukę załatano dopiero w 4.06.

Moda na finansowaniedziałania serwisów internetowych poprzez uruchamianie na nichkoparek kryptowalut może skończyć się równie szybko, jak sięzaczęła. Inżynierowie Google rozważają wbudowanie w przeglądarkęChrome mechanizmu służącego dławieniu zadań, które zbytagresywnie wykorzystują zasoby komputera.

Gdy chodzi o wykrywanie błędów w przeglądarkach internetowych, na celowniku często jest Microsoft. Google dba o to, by doszukiwać się kolejnych luk w Windowsie oraz Edge'u, krytykując czasem również sposób ich łatania. Tym razem mamy jednak sytuację odwrotną. Microsoft poinformował o znalezionych przez siebie podatnościach Chrome'a, których Google nie załatało we właściwy, zdaniem Microsoftu, sposób.

Zasygnalizował ten problem Microsoft w swoich październikowychbiuletynach bezpieczeństwa – układ Trusted Platform Moduleprodukcji Infineona miał generować słabe pary kluczy, czyniącszyfrowanie w praktyce bezużytecznym. Za sprawą czeskich isłowackich badaczy z Uniwersytetu Masaryka dowiadujemy się jednak orealnej skali zagrożenia. Co najmniej jedna czwarta wszystkichmodułów TPM na świecie generowała słabe klucze. Laptopy,serwery, smartkarty, sprzętowe tokeny bezpieczeństwa takie jakpopularny Yubikey – wygenerowane na nich klucze można złamaćstosunkowo niewielkim kosztem. Katastrofa gorsza chyba nawet odostatnio ujawnionych lukw WPA2.

Dwa lata temu grupa hakerska Fancy Bear przeprowadziła eleganckiatak spearfishingowy, wymierzony w Johna Podestę, głównego doradcęHilary Clinton. Pozwoliło to na przejęcie jego konta na Gmailu, a wkonsekwencji uzyskanie dostępu do tysięcy poufnych e-maili, późniejopublikowanych w serwisie WikiLeaks. Uważa się, że to ujawnienieprawdziwego oblicza Partii Demokratycznej przyczyniło się do klęskipani Clinton w wyborach. Czy mogło być inaczej? Na pewno – gdybytylko John Podesta mógł skorzystać z Programu OchronyZaawansowanej, który Google właśnie wprowadza dla wszystkichużytkowników kont Gmail.

Włamanie się izraelskich hakerów do chmury Kaspersky Lab, którewedług anonimowych źródeł New York Timesa ujawnić miało wykorzystanieoprogramowania antywirusowego tej firmy do operacjicyberszpiegowskich, wywołało burzliwą dyskusję także pozagranicami Stanów Zjednoczonych. W USA produkty Kaspersky Lab są jużoficjalnie zakazane dla administracji federalnej i jej urzędów,promuje się ich wycofanie z użycia w biznesie – a co z innymikrajami NATO? Czy powinniśmy pójść w ślad za Amerykanami, czyteż przeciwnie, zachować spokój Niemców?

Do mediów trafiły kolejne, interesujące informacje związane z serią ataków, które miały miejsce jeszcze w 2013 roku. Wówczas ofiarami padły największe firmy, w tym Apple, Facebook oraz Twitter, ale dotychczas nie wiadomo było, że wśród nich znalazł się także Microsoft. Teraz jednak taka informacja wyszła na jaw, o czym poinformowano dziś na łamach Reuters.

Aktualizacja, godz 22.35 Jak donosi serwis Windows Central, Microsoft potwierdza, iż opisywana aktualizacja dla Windowsa została już wydana w ramach październikowych łatek kilka dni temu. Użytkownicy, którzy zdążyli je już zainstalować są więc bezpieczni.

Mathy Vanhoef z uniwersytetu KU Leuven przedstawia szczegółoweinformacje dotyczące ataku KRACK – key reinstallation attack. Toprawdziwa katastrofa, największe od lat zagrożenie bezpieczeństwasieci bezprzewodowych, działające przeciwko wszystkim współczesnymsieciom Wi-Fi. Udany KRACK pozwala napastnikom na wykradaniewrażliwych informacji, wstrzykiwanie danych i manipulowanie nimi, ajego skutki są najbardziej dotkliwe dla urządzeń linuksowych i zAndroidem 6.0+.

Czujemy się naprawdę zaniepokojeni. Wygląda na to, że podstawabezpieczeństwa sieci bezprzewodowych, protokół WPA2, zostałzłamany. Tkwiąca w samym protokole, a nie w jego implementacjachluka KRACK pozwala na podsłuchiwanie komunikacji międzyurządzeniami i punktami dostępowymi. Odkrycie zostanie oficjalniezademonstrowane 1 listopada, podczas konferencji ACM, ale jakinformuje amerykański CERT, już dziś mają zostać przedstawionewszystkie znane podatności.

Eksperci z firmy Sensepost pytają: a co, jeśli wam powiemy, żemożna uruchomić polecenia w Wordzie bez korzystania z żadnych makrczy uszkodzeń pamięci? To nie żart. Kreatywne wykorzystanieprotokołu Dynamic Data Exchange (DDE), wykorzystywanego przezWindowsa do przenoszenia danych między aplikacjami, otworzyło drogędo uruchamiania kodu bez jakichkolwiek ostrzeżeń dla użytkownika.Powiadomiony o sprawie Microsoft orzekł, że to nie jest problembezpieczeństwa – i to mimo tego, że grupa badawcza Cisco Talosznalazła niedawno malware korzystające z tej techniki.

Służba Bezpieczeństwa Ukrainy (SBU) ostrzegła wczoraj przedkolejnym, zakrojonym na dużą skalę cyberatakom przeciwkoinstytucjom państwowym i firmom tego państwa. Powołując się naodkrycia swoich ekspertów, poinformowano że metoda ataku ma byćtaka sama jak w czerwcubr., kiedy to wykorzystano mechanizmy aktualizacji popularnegoprogramu księgowego. Wkrótce po tym w TVP1 wystąpił ministerobrony Antonii Macierewicz, który ogłosił, że doszło dokolejnego ataku cybernetycznego ze strony Rosji. Czemu niczego niezauważyliśmy? To proste – na szczęście udało się go odeprzeć.

Kilka dni temu wyszedł na jaw błąd w Outlooku związany z funkcjonowaniem szyfrowania w protokole S/MIME. Obok poprawnie zaszyfrowanych wiadomości, wysyłane są również w żaden sposób niezabezpieczone kopie tego samego maila. W efekcie na serwery trafia więc wiadomość, którą pomimo teoretycznego zabezpieczenia można swobodnie odczytać nie dysponując prywatnym kluczem odbiorcy.

Październikowe łatanie produktów Microsoftu przyniosło łącznie62 poprawki. Dotyczą one licznych komponentów Windowsa, InternetExplorera, Microsoft Edge, Microsoft Office i Skype for Business –można więc powiedzieć, że nic szczególnego. Wśród nichznalazły się jednak trzy luki 0-day, z których przynajmniej jedna,w edytorze Word, już w sierpniu br. była wykorzystywana dowykradania wrażliwych danych.

Jak łatwo zdobyć hasło do konta Apple ID użytkownika iPhone’a? Wystarczy o nie ładnie poprosić. Osoby korzystające z iOS-a narażone są na atak phishingowy, którego celem jest wyciągnięcie danych do konta Apple.

W aferze wokół wykorzystania oprogramowania ochronnego KasperskyLab w Stanach Zjednoczonych nastąpił niespodziewany zwrot, któryznacznie skomplikował opowieść o „rosyjskich szpiegach”.Pojawił się tu trzeci gracz, Izrael, by dodać dreszczyku godnegoniezłej powieści szpiegowskiej.

PureVPN należy do najbardziej znanych płatnych dostawcówwirtualnych sieci prywatnych, oferując nie tylko dobrąprzepustowość łączy, ale i oferując do wyboru ponad 750 serwerówwyjściowych ze 140 krajów. Operator obiecuje przy tym dbałość opełną prywatność, zapewnia, że nie loguje adresów IP swoichużytkowników. Czego więc chcieć więcej? Ano choćbydotrzymywania słowa. PureVPN wprowadzało swoich klientów w błąd,przechowując logi ich aktywności, o czym świadczą dokumentysądowe, które ujawniono w sprawie przeciwko aresztowanemu przez FBIcyberstalkerowi.

Na łamach bloga popularnego systemu komentarzy Disqus pojawiła się przed weekendem informacja o wycieku danych z baz. Nie byle jakim, bo obejmującym informacje o ponad 17 milionach użytkowników, w tym o ich adresach e-mail, nazwach, datach rejestracji, ostatniego logowania, a nawet zahaszowanych hasłach. Jedynym pocieszeniem jest fakt, że upublicznione dane dotyczą migawki bazy, w której najświeższe informacje są z 2012 roku.

fot. P. Tracz / KPRMJuż niebawem będziemy mogli czuć się bezpiecznie w Internecie– zagrożenia zostaną bowiem wyeliminowane drogą urzędową.Premier Beata Szydło, przemawiając na otwarciu III EuropejskiegoForum Cyberbezpieczeństwa CYBERSEC, które rozpoczęło się właśniew Krakowie, stwierdziła, że powoła departament, który będziemonitorował cyberbezpieczeństwo.

Czy Uber mógł poprzez swoją aplikację wykradać wrażliwe danewłaścicieli iPhone’a? Z technicznego punktu widzenia mógł, i tonawet gdy aplikacja była zamknięta, gdyż dysponowała uprawnieniemcom.apple.private.allow-explicit-graphics-priority. Specjalista odbezpieczeństwa iOS-a Will Strafach na łamach Twittera pyta:dlaczego Uber ma to uprawnienie? Nowa opcja gdzieś w portaludeweloperskim? Pytanie jest niebagatelne, ponieważ normalnieuprawnienia takie mają wyłącznie systemowe aplikacje iOS-a.

Nowy macOS 10.13 High Sierra przekonuje, że w dziedziniebezpieczeństwa Apple musi się jeszcze wiele nauczyć. Tuż przedupubliczenieniem finalnej wersji były haker NSA Patrick Wardlezaprezentował lukę0-day, pozwalającą aplikacjom wykraść hasła i inne wrażliwedane z systemowego pęku kluczy. Teraz brazylijski programistaMatheus Mariano ujawnił kolejną dramatyczną podatność,stawiającą pod znakiem zapytania całą architekturębezpieczeństwa systemu plików. Okazuje się, że macOS zamiastpodpowiedzi ujawnia samo hasło do zaszyfrowanych wolumenów APFS.

W Sieci pojawia się coraz więcej głosów o nietypowym zjawisku podczas wykonywania rozmów głosowych w roamingu. Użytkownicy będący za granicą z telefonami polskich operatorów dzwonią do kraju, a następnie z bliżej nieokreślonych przyczyn są rozłączani, by potem w słuchawce usłyszeć zapis dotychczasowej rozmowy. O szczegółach poinformował redakcję Niebezpiecznika jeden z czytelników serwisu, który sam doświadczył wspomnianego zjawiska podczas pobytu w Londynie.

Z Internet Explorera korzystają już tylko niedobitkiinternautów, globalnie ta przeglądarka ma raptem 3,7% rynku (daneStatCountera). Wciąż jednak w liczbach bezwzględnych tokilkadziesiąt milionów osób. I wszystkie one są podatne na bardzoprosty atak, pozwalający napastnikom w niezauważony sposóbodczytać wszystko, co wpisują w pasek adresowy przeglądarki.

Administratorzy linuksowych serwerów muszą wziąć się do pracy– badacze z firmy Qualys odkryli błąd w mechanizmie ładowaniaprzez kernel plików wykonywalnych w formacie ELF, który pozwalauzyskać uprawnienia administracyjne. Podatność oznaczona jakoCVE-2017-1000253 dotknęła nawet najpopularniejsze serwerowe systemy,tj. Debiana i RHEL-a/CentOS-a, a że exploit jest już gotowy, każdymoże łatwo zostać rootem na niezałatanych systemach.

Narzędzie zapamiętywania haseł w macOS High Sierra okazuje się podatne na atak z zewnątrz. Do takich wniosków doszedł Patrick Wardle, przedstawiając prosty sposób na wydobycie z programu wybranych haseł, co udowodnił zamieszczając w Sieci film. Celem nie jest zaatakowanie użytkowników, ale zwrócenie uwagi, jak niedoskonałe jest to narzędzie. Informacja o odkryciu została już wysłana do Apple – wszyscy liczą na możliwie szybką łatkę.