bezpieczeństwo (strona 255 z 273)

Niewydanie przez Microsoft w lutym kompletu biuletynówbezpieczeństwa pozostawiło użytkowników i administratorówWindowsa w nieciekawej sytuacji – obecnie zagrażają im już trzyluki 0-day, na poprawki muszą czekać do 14 marca. A może niemuszą? Grupa badaczy z firmy Acros Security stoi za projektem0patch, który powstał, aby chronić dziurawe oprogramowanie zapomocą tzw. mikrołatek. Wydali oni właśnie taką mikrołatkę dlaluki w bibliotece GDI Windowsa, niedawno ujawnionejprzez Mateusza Jurczyka z Google Project Zero.

W dzisiejszych czasach trudno obejść się bez konieczności zapamiętywania różnego rodzaju haseł i kodów. Bez względu na to, czy mowa jest o PIN-ie do karty SIM, haśle do forum lub kluczu zabezpieczeń sieci Wi-Fi, w pewnym momencie może okazać się, że zapamiętanie wszystkich skomplikowanych kombinacji jedynie w głowie jest naprawdę trudne. Wtedy z pomocą przychodzą menedżery haseł, również te mobilne. Ale dlaczego w ich bezpieczeństwo tak łatwo wierzyć? Ostatnio przeprowadzone przez TeamSIK badania ujawniły, że wycieki danych są możliwe nawet z najpopularniejszych programów.

Użytkowników kart płatniczych poucza się, by zasłanialiklawiaturę terminali, tak by nikt nie podejrzał PIN-u podczasuwierzytelniania płatności. Z nowymi skimmerami, jakiezaprezentowałznany ekspert od bezpieczeństwa IT Brian Krebs, możecie sobiezasłaniać do woli.

Kolejna luka 0-day zagraża przeglądarkom Internet Explorer iEdge, po raz kolejny za jej ujawnieniem stoją ludzie z Google. I poraz kolejny wykorzystano niewydanie przez Microsoft w lutymbiuletynów bezpieczeństwa, które pewnie lukę tę by załatały. WMountain View chyba zacierają ręce – oprogramowanie ich głównegorywala dotknięte jest już trzema podatnościami 0-day, a nanastępne biuletyny bezpieczeństwa poczekamy do 14 marca.

Z hukiem media internetowe ogłosiły koniec funkcji haszującejSHA-1, powszechnie wykorzystywanej w weryfikacji autentycznościplików, łatek aktualizacji czy nawet certyfikatów SSL. Problem wtym, że SHA-1 było skończone już od wielu lat. Zaprezentowanie wzeszłym tygodniu pierwszej realnej kolizji plików, tj. dwóchPDF-ów, które mając taki sam kryptograficzny skrót, a różnązawartość, było nieuchronne. Nieuchronność tę po prostulekceważono, zlekceważył ją nawet Linus Torvalds – i to w dzieńprzedstawienia tych felernych plików. A teraz kolizja w SHA-1wykończyła system kontroli wersji silnika WebKit.

Cloudflare to firma oferująca usługi dostarczania treści oraz serwery nazw. Teraz to także wielki kłopot dla jej klientów, wśród których znajdują się np. Uber czy OkCupid. Błąd w oprogramowaniu spowodował olbrzymi wyciek danych z sesji. Dziurę odkrył Tavis Ormandy z google'owskiej grupy Project Zero. W pamięci podręcznej wyszukiwarki Google znalazł on olbrzymią liczbę kluczy sesji, ciasteczek i haseł z witryn, które odwiedziły roboty Google'a. Problem w tym, że dane pozwalały na logowanie się jako inny użytkownik.

PHP nie kojarzy się nam jakoś specjalnie z bezpieczeństwem (niemówiąc już o pisanych w PHP systemach zarządzania treścią) –ale może się to zmienić. Scott Arciszewski, szef programistów wfirmie Paragon Initiative Enterprises, który od lat walczy o lepszezabezpieczenia aplikacji webowych pisanych w PHP, może pochwalićsię wielkim sukcesem. Deweloperzy tego języka jednogłośnieprzyjęli jego propozycję, by do rdzenia tego języka wbudowaćnowoczesną bibliotekę kryptograficzną Libsodium.

Kolekcja zagrożeń na system macOS powiększyła się o kolejną ciekawostkę. Odkryto nowy rodzaj zagrożeń typu ransomware, czyli szyfrujących dane i żądających okupu. Złośliwe programy podszywają się pod cracki do popularnych programów, umożliwiające korzystanie z nich bez płacenia. Zamiast pirackiego Adobe Premiere Pro czy Office'a użytkownik zostaje z zaszyfrowanym dyskiem… bez możliwości odzyskania danych, bo autorzy złośliwego programu odwalili fuszerkę.

Informacje z komputerów wyciekają wszystkimi porami. Niewystarczy zakleić kamerkę, zalać porty USB klejem, wydłubaćmikrofon, owinąć w aluminiową folię. Izraelscy badacze zUniwersytetu Ben Guriona wykazali, że furtką do ukrytych w maszyniedanych, w tym wrażliwych haseł, mogą być diody informujące opracy dysków.

Opisywany przez nas na początku lutego atak polski sektor finansowy mógł być największym tego typu ujawnionym zagrożeniem w Polsce. Zainfekowane zostały także sieci w USA. nic zatem dziwnego, że atak analizują najważniejsze grupy eksperckie. Według Symanteca stoi za nim grupa Lazarus, jednak BAE Systems utrzymuje, że dysponuje bardziej precyzyjnymi informacjami.

Systemy Windows dostaną jednak w końcu w lutym jakąś łatkę.Microsoft zdecydował się nie narażać dalej użytkownikówprzeglądarek Edge i Internet Explorer na zagrożenia wynikające zdziurawego Flash Playera i wydał paczkę z poprawkami przygotowanymiprzez Adobe.

W styczniu pisaliśmy o zaawansowanym ataku typu APT na polski sektor bankowy, który rozpoczął się od zainfekowania infrastruktury Komisji Nadzoru Finansowego. Ta miała stać na straży bezpieczeństwa polskich finansów, a sama dystrybuowała szkodliwe oprogramowanie. Niestety, nie jest to przypadek odosobniony.

Miłośnicy mobilnego porno powinni mieć się na baczności. Firma ESET informuje o odkryciu androidowej aplikacji podszywającej się pod aplikację Pornhuba. Po uruchomieniu fałszywka informuje nas, że najpierw musi sprawdzić smartfon pod kątem szkodliwego kodu. Gdy użytkownik kliknie OK uruchamiany jest program, który wygląda jak antywirus Avasta. Po chwili dowiadujemy się, że urządzenie jest zagrożone i z powodów bezpieczeństwa zostaje zablokowane. Za odblokowanie urządzenia i uniknięcie problemów prawnych musimy w ciągu 48 godzin zapłacić grzywnę w wysokości 100 USD.

Wychodząc naprzeciw rozwojowi technologii i jej coraz lepszej dostępności również dla dzieci, Microsoft postanowił przygotować się do implementacji kontroli rodzicielskiej w czasie rzeczywistym. Będzie ona w stanie na bieżąco dostarczać rodzicowi szczegółowych informacji o sposobie wykorzystywania komputera i smartfona przez jego pociechę. Czy rzeczywiście takie rozwiązanie jest konieczne i wkrótce zastąpi lub wspomoże edukację w zakresie bezpieczeństwa w Sieci?

Badacze z Google Project Zero znaleźli sobie świetny moment naujawnienie kolejnej odkrytej przez siebie luki w Windowsie – wlutym przecież nie pojawiły się żadne poprawki oprogramowania wMicrosofcie, ich wydanie przesunięto na marzec. Teraz jednak otoMateusz „j00ru” Jurczyk ujawniabłędy w bibliotece graficznej GDI Windowsa, które pozwalająwykraść zawartość pamięci wykorzystywanej przez dowolny programodwołujący się do tej biblioteki, a także obejść zabezpieczeniaASLR. Informacji towarzyszy gotowy exploit.

Gdy mowa jest o serwisach społecznościowych, w tym najpopularniejszym Facebooku, trzeba przyznać, że nowości, które się w nich pojawiają, zazwyczaj budzą kontrowersje. Nie inaczej może być tym razem, choć wydaje nam się, że ta innowacja przez większość użytkowników zostanie odebrana pozytywnie. Mowa o filtrowaniu treści, które w przyszłości będzie można indywidualnie dostosować do własnych wymagań.

ASLR⊕Cache (AnC) to atak opracowany przez informatyków z VrijeUniversiteit w Amsterdamie, który napisano w JavaScripcie i któryuruchomimy w każdej przeglądarce. Wymierzony w jednostkizarządzania pamięcią (MMU) mikroprocesorów, z łatwością łamiezabezpieczenia randomizacji przestrzeni adresowej (ASLR). Wyjątkowymten atak czyni jednak coś innego – zagrożone są co najmniej 22różne mikroarchitektury, zarówno x86-64 jak i ARM.

Drugi wtorek miesiąca minął nam jakoś dziwnie cicho. Taklubiany przez użytkowników, a przede wszystkim przezadministratorów Windowsa dzień nie dostarczył tego, do czegoprzywykliśmy. Microsoft nie wydał żadnych łatek. Coś takiego niemiało miejsca od lat – i wygląda na to, że aktywniewykorzystywana już do ataków luka w protokole SMB, pozwalającazdalnie wywołać niebieski ekran, pozostanie z nami kolejny miesiąc.

Aby wyjść naprzeciw cyberatakom i ich coraz poważniejszym konsekwencjom, Microsoft proponuje, by stworzyć cyfrowy odpowiednik Konwencji Genewskiej i tym samym konsekwentnie i z większym poszanowaniem traktować poszkodowanych w takich atakach. Wraz z dokumentem powstać miałaby niezależna agencja, zajmująca się cyberprzestępstwami: zarówno w zakresie ich zwalczania, jak i analizy, by wyciągać wnioski na przyszłość.

Z prywatnością w Internecie już teraz nie jest najlepiej, a wszystko wskazuje, że będzie jeszcze gorzej. Od co najmniej kilku lat wiadomo, że praktycznie każda przeglądarka może zostać jednoznacznie zidentyfikowana i śledzona przez wyspecjalizowane firmy, które używają ciasteczek HTTP i Flash, technologię localStorage, IE userData czy ETags. O tym, na ile jesteśmy zabezpieczeni przed śledzeniem możemy przekonać się chociażby na witrynie Panopticlick przygotowanej przez Electronic Frontier Foundation.

Na początku lutego, w wyniku awarii strony Komisji Nadzioru Finansowego, dowiedzieliśmy się, że polski sektor finansowy od wielu tygodni był ofiarą ataku typu Advanced Persistent Threat. To właśnie zainfekowanie sieci KNF doprowadziło do dystrybucji nieznanego oprogramowania w sieci polskich banków.

Jednym z największych problemów Androida, z którym niezwłocznie Google musi się zmierzyć, jest rosnąca w ogromnym tempie liczba zagrożeń. Ostatnio coraz więcej urządzeń pada ofiarą trojana Marcher. Sprytny phishing skutecznie omija aplikacje antywirusowe, a co najgorsze, zagrożone są konta bankowe użytkowników.

Prawdziwi paranoicy zabezpieczają swoje komputery fizycznie –zalewając porty USB klejem cyjanoakrylowym, zalepiając kamerki,wylutowując mikrofony. W microsoftowych komputerach Surface niebędzie tego jednak trzeba robić. Częścią budowy tej holistyczneji zwinnej platformy bezpieczeństwa, o której już pisaliśmy, jestwciągnięcie je na listę NSA, obejmującą urządzenia, które mogąbyć używane w różnych tajnych, rządowych projektach. Co więcej,nowe urządzenia Surface, odpowiednio skonfigurowane i wykorzystywanew ramach właściwie zaprojektowanego środowiska, zapewnią pełnebezpieczeństwo danych bez fizycznego wandalizmu.

Microsoft i bezpieczeństwo? Tę parę kwestionują nie tylkoniechętni firmie z Redmond fani Linuksa, ale też wielkiekorporacje, zarabiające setki milionów na dostarczaniu produktów,dzięki którym Windows może być znowu bezpieczny. A jednakMicrosoft chce nas przekonać, że dziś jest zupełnie inaczej, tużprzed konferencją RSA przedstawiając swoje nowe osiągnięcia nadrodze do stworzenia holistycznej, zwinnej platformybezpieczeństwa, która napędzana chmurą lepiej chroni klientów– by użyć słów Roba Leffertsa, szefa bezpieczeństwa WindowsEnterprise and Security.

Jednym z gorętszych tematów związanych z prywatnością okazał się monitoring w sklepach Żabka. Zamieszanie wokół systemu rozpoczął pewien użytkownik Wykopu: założył, że dodatkowa kamera przy kasie łączy wizerunek klienta z danymi użytej karty płatniczej, naruszając w ten sposób jego prywatność. Tymczasem Generalny Inspektorat Ochrony Danych Osobowych ogłosił swoje plany kontroli na bieżący rok i uwzględnił w nich podobne przypadki. Czy urzędnicy zawitają również do Żabki?