bezpieczeństwo (strona 268 z 279)

Wbudowanie linuksowego podsystemu w Windows 10 było chyba jednąz najdziwniejszych rzeczy, jakich Microsoft dopuścił się w pracachnad swoim systemem operacyjnym. Pomysł wsumie niezły: środowisko użytkownika wzięte z Ubuntu, któreuruchamiane jest na specjalnej warstwie translacji, przekładającejwywołania linuksowego API na wywołania interfejsu jądra NT. Dziękitemu użytkownicy Windowsa wreszcie zostają uwolnieni odheretyckiego interfejsu okienek i mogą popracować sobie jak pobożniludzie w konsoli. OK, żarty na bok – należy tutaj powiedzieć coinnego: mogą doświadczyć całej nowej kategorii podatności naataki, z którymi zespoły bezpieczeństwa Microsoftu nie radząsobie tak dobrze, jak z problemami natywnymi dla Windowsa.

Zagrożenia typu ransomware, które szyfrują dane na dysku użytkownika, a następnie żądają od niego okupu w zamian za przywrócenie dostępu do nich, na stałe wpisały się już w krajobraz cyberzagrożeń. O ile jesteśmy przyzwyczajeni do informacji o nowym ransomware szyfrującym dyski komputerów, tak niewątpliwą nowość stanowią ataki wymierzone w… termostaty.

Te opowieści o zielonych kłódeczkach gwarantującychbezpieczeństwo i poufność danych, jakie internauci przesyłają naserwery, trzeba będzie między bajki włożyć. Zaprezentowanawczoraj na konferencji BlackHat USA 2016 technika ataku (a właściwiecały zestaw technik ataku) o nazwie HEIST to efektowny sposób naprzejęcie informacji przesyłanych po bezpiecznym protokole HTTPS –i to bez konieczności podsłuchiwania ruchu sieciowego. Tu wszystkodzieje się na poziomie przeglądarki, wykorzystując pewne słabościwarstw HTTP, SSL/TLS oraz TCP, otwierając drogę do ataków napraktycznie każdą usługę webową.

Przeglądając dziś rosyjskojęzyczny Internet natrafiliśmy nabardzo ciekawe odkrycie, dotyczące kwestii bezpieczeństwaWindowsów. Tkwiąca od 19 lat w Windowsach umiarkowanie groźna lukaw mechanizmie sieciowego uwierzytelniania zyskała dziś kły iszpony – pozwala ujawnić hasło do konta Microsoftu, a nawetprzejąć dane logowania do VPN-ów.

Bezpieczeństwo Androida zostało na dobre zakwestionowane poaferze z lukąStagefright, otwierającą drogę do ataku poprzez uzłośliwioneobrazki, przesłane np. MMS-em. Była ona o tyle bolesna, że jakwiemy cykl aktualizacyjny tego mobilnego systemu jest słaby, jedynienajpopularniejsze i najlepsze urządzenia z Androidem dostająregularnie łatki bezpieczeństwa. Przy znanej nam architekturzeAndroida i wielości obsługiwanych przez niego urządzeń to sięnie zmieni nigdy, dlatego to sam system musi uodpornić się naewentualne luki w oprogramowaniu. W tę właśnie stronę idzie terazGoogle, obiecując, że Android 7.0 „Nougat” będzie radykalniebezpieczniejszy od swoich poprzedników.

Pokemon GO, choć od momentu premiery budzi tyle entuzjazmu, co niechęci, okazało się bezsprzecznym strzałem w dziesiątkę i wielkim sukcesem nie tylko Nintendo, ale przede wszystkim studia Niantic, które stworzyło grę. Nagły wzrost popularności ma jednak swoją cenę, o czym dotkliwie przekonał się John Henke, szef Niantic.

Gdy w lutym informowaliśmy o przejęciu popularnej klawiatury SwiftKey przez Microsoft, pojawiło się wiele komentarzy, że jest to koniec tej aplikacji i wkrótce Microsoft wprowadzi tam zmiany, które sukcesywnie będą pogarszać jej jakość. Za wcześnie, by mówić, aby takie komentarze uzyskały potwierdzenie, ale...

Ransomware o nazwie Chimerawywołało spore poruszenie w światku twórców złośliwegooprogramowania – i strach wśród użytkowników. Pewni siebiecyberprzestępcy grozili ofiarom, że jeśli nie zapłacą okupu(wynoszącego 600 dolarów, płatne w bitcoinach), to nie tylkoutracą swoje dane, ale też niektóre z nich, w tym zdjęcia ifilmy, zostaną upublicznione w Internecie. Nic takiego się nigdynie stało, ale presja okazała się na tyle skuteczna, że na kontocyberprzestępców mogło trafić ok. 300 bitcoinów. Kto wie, iluzdecydowało się nie płacić i straciło swoje dane? Teraz jednakpojawiła się dla nich nowa nadzieja. Pomogła… inna grupacyberprzestępców.

Przyjęcie kontrowersyjnej ustawy antyterrorystycznej poskutkowało między innymi nałożeniem na Polaków obowiązku rejestracji kart pre-paid. Ich użytkownicy mają czas na rejestrację, najczęściej w salonie operatora bądź korespondencyjnie, do lutego 2017 roku. Jeśli tego nie zrobią, karta przestanie działać. Wygląda jednak na to, że wraz z nową ustawą, powinny zostać skuteczniej nagłośnione procedury rejestracji, gdyż już dziś niewiedza jest wykorzystywana przez oszustów.

OVH, platynowy sponsor inicjatywy Let’s Encrypt, udostępnił swoim klientom nową funkcję “SSL as a Service”. Korzystanie z rozwiązania nie wymaga specjalistycznej wiedzy technicznej. Certyfikaty SSL zostały wdrożone za darmo u wszystkich klientów OVH korzystających z usługi Hostingu WWW, dzięki czemu ich strony internetowe są obsługiwane przez bezpieczny protokół szyfrujący HTTPS. Certyfikaty są ważne przez 90 dni, a po upływie tego czasu zostają automatycznie odnowione bez potrzeby ponownej aktywacji usługi przez klienta.

Taki e-mail może przerazić niejednego Polaka. Co robić, gdyAdministracja Podatkowa Ministerstwa Finansów informuje, że czekanas kontrola podatkowa w związku z tym, że zatailiśmy przedfiskusem nasze dochody? W załączniku czeka dokument, mający byćdowodem w sprawie. Szybko więc, szybko, odbiorca listu chcesprawdzić, co fiskus ma na niego – jedno kliknięcie wystarczy, byoddał swój komputer pod kontrolę cyberprzestępców.

Estonia jest państwem, które zdobyło pozycję lidera wdziedzinie informatyzacji usług publicznych, i które jako pierwszezaoferowało część tych innowacyjnych usług oferowanych swoimobywatelom także obcokrajowcom.Skomplikowana sytuacja geopolityczna Estonii oznacza jednak, że całete zasoby informatyczne mogą zniknąć w mgnieniu oka – wystarczy,że 76. Pskowska Dywizja Powietrznodesantowa wybierze się nawycieczkę do Tallina. „Technologiczna stolica Europy” zdajesobie z tego sprawę, więc znów rozważa zrobienie czegoś, czegojeszcze nikt nie zrobił – stworzenie „cyberambasad”, którepozwoliłyby ocalić wrażliwe dla państwa i obywateli dane w raziekonfliktu.

W ostatnim czasie Komisja Europejska przyjęła Tarczę Prywatności, nowy dokument regulujący wymianę danych osobowych z państwami spoza wspólnoty, w szczególności zaś z USA. Nie zabrakło głosów krytyki, według których Tarcza jest po prostu nową nazwą dla niesławnego Safe Harbor, które nie gwarantowało wystarczającego bezpieczeństwa danym. Nie sposób nie łączyć tego faktu z opublikowaną właśnie opinią Europejskiego Inspektora Ochrony Danych.

Cyberataki zdarzają się coraz częściej, a ich skutki są coraz bardziej bolesne, nie tylko dla głównej ofiary, ale również dla użytkowników korzystających z usług zaatakowanego. Ważne jest więc zapewnienie wysokiego poziomu bezpieczeństwa. Słynny serwis wideo PornHub stworzył własny program, w ramach którego będzie płacił za znalezione luki i jak się okazuje, będzie płacił całkiem sporo.

Mechanizm User Access Control (UAC, po polsku Kontrola kontaużytkownika) w Windowsie jest rozwiązaniem mającym poprawiaćbezpieczeństwo systemu, zmuszając aplikacje do wyczekiwania naautoryzację ich uruchomienia przez administratora. Teraz jednakokazuje się, że UAC wcale nie służy bezpieczeństwu. Coś takiegood Microsoftu usłyszeli badacze, którzy zgłosili firmie odkrytąprzez siebie lukę w Windowsie 10, dotyczącą właśnie tegomechanizmu. Łatki więc nie będzie. Przyjrzyjmy się więc o cochodzi, co tym razem dolega zabezpieczeniom najnowszych „okienek”.

Mimo że niegdyś każde tego rodzaju wydarzenie budziło dużo emocji, dziś kradzież i publikacja baz danych milionów użytkowników największych serwisów, staje się niemal codziennością. A to może być powodem sporych problemów, jeśli wykorzystywane jest jedno hasło w wielu serwisach, o czym boleśnie przekonał się między innymi Mark Zuckerberg.

Te wszystkie urządzenia Internetu Rzeczy, jakimi coraz bardziejwypełnia się nasz świat, stanowią coraz większe zagrożenie dlanaszego bezpieczeństwa – i to nie tylko cyfrowego bezpieczeństwa.Stanowiąc interfejs między światem bitów a światem atomów,otwierają drogę cyberprzestępcom do ataków o fizycznychkonsekwencjach. Ataki te nie są zaś trudne, gdyż modelbezpieczeństwa znany z PC, polegający przede wszystkim naregularnej aktualizacji oprogramowania, jest tu nie do zastosowania.Swoją receptę na te bolączki Internetu Rzeczy przedstawilideweloperzy Tor Project. Chcą wykorzystać cebulowy router doosłonięcia tych wszystkich podatnych na ataki elektronicznychdrobiazgów.

Złej radości mogli doświadczać użytkownicy iPhone’ów, gdyogłoszono, że niemal miliard urządzeń z Androidem może zostaćzałatwionych na dobre poprzez lukęw bibliotece libstagefright, służącej do odtwarzania mediów.Potem było jeszcze gorzej, kolejna wersja tej podatności pozwoliłana atakowanie androidowych urządzeń nawet za pomocą MMS-ów.Tymczasem okazuje się, że urządzenia Apple cierpią na praktyczniedokładnie taką samą przypadłość. Uzłośliwiony obrazek jest wstanie załatwić OS-a X, iOS-a, tvOS-a i watchOS-a.

Oto ustawa antyterrorystyczna w praktyce: decyzją p. premierBeaty Szydło od dzisiaj w polskiej cyberprzestrzeni obowiązujepodwyższony stopień alarmowy – BRAVO-CRP. Zarazem ogłoszonowprowadzenie ogólnego stopnia alarmowego ALFA. Oznacza to przedewszystkim dodatkowe obowiązki dla administratorów siecikomputerowych. Podwyższone poziomy obowiązywać będą do 1sierpnia.

Po którejś kolejnej awarii systemu ePUAP, minister CyfryzacjiAnna Streżyńska powiedziała,że należałoby go „zaorać”, gdyby nie powiązane z nim środkiunijne. Może jednak się okazać, że naprawianie i łatanie systemubędzie podatnika kosztowało więcej, niż wynosi wartość unijnegodofinansowania. O tym, jak bowiem wygląda w praktyce naprawianieePUAP-u pod egidą nowego Centralnego Ośrodka Informatyki (COI)niech świadczy wpisw Niebezpieczniku, przedstawiający historię luki, którapozwalała na obejście dwuskładnikowego uwierzytelnienia.

BitDefender przygotował 10 wskazówek, mających podnieść poziom bezpieczeństwa i prywatności Waszych danych. Ich przestrzeganie ma gwarantować spokój i odporność na ataki szkodników. Co więcej, po zastosowaniu się do poniższych zaleceń, zarówno dostawcy Internetu jak i hakerzy będą mieli znacznie utrudniony dostęp do generowanych przez urządzenie pakietów sieciowych. Ich odszyfrowanie będzie prawie niemożliwe, w grę będą wchodziły jedynie ataki przeprowadzane przez najsilniejszych napastników, takich jak np. służby specjalne (a i one zwykle dobrych zabezpieczeń sforsować nie są w stanie).

Instalowanie rozszerzeń z Chrome Web Store miało dawaćużytkownikom gwarancję, że nic im się złego nie stanie. Wierzącw to, Google zablokowałodwa lata temu w swojej przeglądarce możliwość instalowania ich zinnych źródeł. Nieraz już jednak słyszeliśmy o uzłośliwionychrozszerzeniach,które do sklepu trafiały, czyniąc szkody tym, którzy radośniekliknęli niebieski przycisk Dodaj do Chrome. Coraz bardziejoczywiste jest to, że rozszerzeń nikt przed dodaniem do sklepu niekontroluje, a zagrożenia usuwane są dopiero wtedy, gdy już swojezrobią. Dowodem na ten stan rzeczy jest choćby historia MaximeKjaer, studenta informatyki z Danii, który odkrył cały zestawzłośliwych rozszerzeń Chrome, przeznaczonych głównie dowykradania kont na Facebooku.

Znacie zapewne usługi internetowe, w których użytkownikweryfikowany jest poprzez połączenie telefoniczne? Po drugiejstronie znajduje się oczywiście automat z obsługą dialtonów (acoraz częściej z systemem rozpoznawania mowy), któremu musimypodać przekazany nam drogą e-mailową kod z liter i cyfr. Bardzociekawą (i w sumie zabawną) podatność w tego typu usługachodkrył Arne Swinnen, informatyk z Belgii zajmujący się zawodowobezpieczeństwem IT.

Jeśli mieliście konto na oficjalnym forum Ubuntu, tospodziewajcie się fali spamu. Hakerzy wykorzystali znaną lukę woprogramowaniu forum, wykradając z niego prywatne dane ponad 2 mlnużytkowników – są tam loginy, adresy IP i adresy pocztyelektronicznej, a także kryptograficzne skróty używanych haseł.

Na Twitterze Prawy Sektor znów działa. Pod czerwono-czarnąflagą i charakterystycznym wizerunkiem Stepana Bandery ogłoszono,że dość jjuż znoszenia błazeństw polskich panów –cierpliwość ukraińskich nacjonalistów się skończyła.Oficjalnie poszło o uchwałę Senatu RP, kiedy to izba wyższapolskiego parlamentu uznała rzeź w Wołyniu za zbrodnięludobójstwa. Dla prowadzących konto @pravsector to „zdradzieckicios” w ukraińskich wojowników, którzy bronią nas przedrosyjskimi barbarzyńcami. W odwecie upublicznią tajne danepolskiego Ministerstwa Obrony Narodowej, chyba że…