bezpieczeństwo (strona 269 z 273)

Niedawno pisaliśmy o ataku DDoS na serwery Steama, który poskutkował możliwością dostępu do konta losowego innego użytkownika. Problem szybko zażegnano, jednak właśnie pojawiły się informacje o innych niebezpieczeństwach. W sklepie Chrome Web Store dostępne są rozszerzenia do przeglądarki Google, dzięki którym możliwa jest kradzież przedmiotów ze steamowego inwentarza w grze Counter Strike Global Offensive.

Choć niektórzy próbują go bagatelizować, to jeden znajpoważniejszych błędów w Linuksie od lat, tym gorszy, żezagraża zarówno milionom linuksowych serwerów, jak i setkommilionów androidowych smartfonów – i kto wie ilu urządzeniom, naktórych Linux jeszcze działa. Odkryta przez badaczy luka pozwalanapastnikowi z lokalnym dostępem uzyskać prawa roota w systemie. Coprawda nie umożliwia zdalnego ataku, ale i tak wywoła ból głowy ukażdego administratora.

Rozczarowani mogą być użytkownicy, którzy mają w tej chwili ochotę odwiedzić największy polski serwis aukcyjny, Allegro. Po przejściu na jego adres, zamiast serwisu zostanie im bowiem wyświetlony komunikat o przerwie technicznej. Nie jest ona jednak planowana: komunikat dotyczy prac, które miały miejsce minionej nocy. Serwis boryka się bowiem z poważną awarią.

Społeczny sprzeciw wobec przygotowywanej przez PiS nowelizacjiustawy o Policji jest o tyle godny pochwały, co zarazem nieistotnydla tych, którzy troszczą się o swoją prywatność i choćby zracji zawodu muszą dbać o poufność przechowywanych danych.Inwigilacji komunikacji elektronicznej nie da się powstrzymaćregulacjami prawnymi, lecz jedynie metodami technicznymi.Przedstawiliśmy już Wam głównezagrożenia, czyhające na poddanych tzw. kontroli operacyjnejużytkowników smartfonów – teraz zastanowimy się nad kwestią obrony przed nimi.

Pierwszy w tym roku zestaw biuletynów bezpieczeństwa odMicrosoftu nie rozczarowuje. Wśród 25 załatanych luk możemyznaleźć prawdziwe perełki, które choć jak producent Windowsutrzymuje nie zostały jeszcze wyexploitowane, to niewątpliwie jużniebawem posłużą do nowych ataków. Jak na razie u nasaktualizacja przebiegła bezproblemowo, więc zachęcamy Was doszybkiej instalacji. Użytkownicy starszych wersji „okienek”powinni jednak uważać – Microsoft najwyraźniej ulepszył swojenarzędzia do promowania Windowsa 10, zmiany w rejestrze mogą niewystarczyć już do ich wyłączenia.

Wydawałoby się, że firmy produkujące oprogramowanie antywirusowe obowiązują szczególne standardy bezpieczeństwa: w ich przypadku nie chodzi bowiem tylko o skuteczność ochrony. Istnieje przecież możliwość kompromitacji w sytuacjach, gdy programy, które z założenia mają zapobiegać atakom na komputer użytkownika, umożliwiają kradzież danych. Niestety, nie zawsze ten standardy udaje się zachować, o czym dotkliwie przekonała się firma Trend Micro i użytkownicy jej ochrony oprogramowania.

W poprzednimodcinku cyklu poświęconemu ofensywnemu bezpieczeństwu Wi-Finauczyliśmy się przechwytywać pakiety wykorzystywanej w WPA/WPA2wstępnej komunikacji między klientem a punktem dostępowym, tzw.4-way handshake. Posiadając te dane, możemy zgadnąćklucz PSK do sieci, sprawdzając, czy wygenerowane z niego klucze PMKi PTK się zgadzają z tym, co uzyskać można z haseł zgromadzonychw słowniku. By to zrobić, trzeba dysponować sporą mocąobliczeniową. Jak zobaczycie, dziś moc taka dostępna jest dlakażdego entuzjasty, który zainwestował w odpowiednio mocną kartągraficzną.

Przywykliśmy do tego, że o błędach w oprogramowaniu czy sprzęcie mówi się najczęściej w kontekście utraty danych, czy włamań na konta bankowe. Odnaleziony właśnie błąd w GPU Nvidii być może nie jest aż tak poważny, co nie zmienia faktu, że niektórym może przysporzyć problemów.

Prowadzona na szeroką skalę inwigilacja komunikacjielektronicznej to nicnowego – jednak wiele wskazuje na to, że wraz z wejściem wżycie nowej ustawy o Policji obywatele naprawdę poczują, czym możebyć prowadzona praktycznie bez ograniczeń tzw. kontrola operacyjna.Nie jest jednak tak, że osoby zatroskane o swoją prywatność, czyteż zobowiązane do utrzymywania wrażliwych informacji w tajemnicy(jak choćby prawnicy, lekarze czy dziennikarze) stoją tu na z góryprzegranej pozycji. Nie trzeba wcale zastępować komputera maszynądo pisania, a smartfonu gołębiami pocztowymi. Korzystanie znowoczesnej techniki nie musi oznaczać utraty prywatności, o ilebędziemy korzystali z niej umiejętnie i rozważnie. W tym cykluartykułów przedstawimy wam wiedzę i narzędzia niezbędne do tego,by uczynić korzystanie z elektronicznej komunikacjibezpieczniejszym. Zaczynamy od analizy zagrożeń dla smartfonów,podstawowych dziś narzędzi, bez których wielu ludzi nie wyobrażajuż sobie życia.

Konsola PlayStation 3 wytrzymała 4 lata dłubaniny hakerów –pod koniec grudnia 2010 roku ludzie z grupy fail0verflow przedstawilipodczas 27. konferencji Chaos Communications Congress sposób naspenetrowanie modelu bezpieczeństwa tego urządzenia. PlayStation 4okazało się gorsze, nowa konsola padła po dwóch latach odpremiery. To znów dzieło fail0verflow. Podczas 32. konferencjiChaos Communication Congress hakerzy przedstawili działającego naPS4 Linuksa.

Poznaliśmy już najważniejszenarzędzia, za pomocą których można sprawdzić odpornośćsieci bezprzewodowych na ataki. Teraz czas zastosować zdobyczeofensywnego bezpieczeństwa w praktyce, zaczynając od nasłuchiwaniaruchu. Rozpoznanie jest bowiem pierwszym krokiem na drodze dozrozumienia zagrożeń korzystania z komunikacji przez radiowemedium, dostępne przecież dla każdego.

Możemy do woli naśmiewać się ze skuteczności systemu informatycznego wykorzystywanego podczas ostatnich wyborów do europarlamentu, jednak ze Stanów Zjednoczonych napływają wieści o porażce, której skala nijak ma się do polskiej. Amerykanin Chris Vickery opublikował wczoraj wpis o być może jednym z największych wycieków danych tego roku.

Jednym z najczęściej wymienianych potencjalnych zastosowań Internetu Rzeczy jest ruch kolejowy. Podczas tegorocznego Chaos Communication Congress, który odbył się w Hamburgu, zwrócono uwagę na potencjalne zagrożenia, jakie może nieść skomunikowanie urządzeń odpowiedzialnych za zarządzanie ruchem kolejowym. Jak nietrudno się domyślić, mogą się one bowiem szybko stać obiektem ataków.

Końcówka roku jest zawsze pyszna dla branży bezpieczeństwa –berliński Chaos Computer Club organizuje wówczas ChaosCommunication Congress, jedną z najciekawszych imprez związanych ztą tematyką. Już 27 grudnia znani niemieccy badacze pokazać mającoś, co może zatrząść operatorami elektronicznych płatności.Shopshiftingto technika, która ma dawać sobie radę z zabezpieczeniamipowszechnie wykorzystywanych w całej Europie terminali na PIN,pozwalając wykraść za ich pomocą dane z paska magnetycznego jak isam PIN – i w konsekwencji umożliwiając kradzież pieniędzy,przelewanych na dowolne konta.

Aktualizacje platformy Java SE oraz ich częstotliwość mają w branży niemal status żartu. Wiadomo jednak, że dla Oracle jest to dowcip mało śmieszny, a miny zrzedły pracownikom firmy zapewne jeszcze bardziej w związku z wydanym właśnie Federalnej Komisji Handlu w USA związanym z masowym, bo dotyczącym około 850 mln urządzeń, narażaniem użytkowników na ataki.

Jeśli chodzi o bezpieczeństwo sieci bezprzewodowych, to wzasadzie wszystko jest pięknie. Łamane w kilkanaście sekundzabezpieczenia WEP odeszły do lamusa, wszyscy korzystamy zniemożliwego do złamania WPA2, nasze routery są naszymitwierdzami, nasze dane są bezpieczne, nikt nie wykorzysta naszejsieci do niecnych celów. To bardzo miły sposób myślenia, ale zgruntu fałszywy.

Znów za nami drugi wtorek miesiąca, znów Microsoft wydał swojebiuletyny bezpieczeństwa, mające ochronić maszyny z Windows przednajnowszymi zagrożeniami. Tym razem dostaliśmy ich tuzin, łącznieobejmujących 75 luk – i znów na pierwszym planie są problemy zprzeglądarkami z Redmond. To jednak nie wszystko. Mówi się oprzykrej wpadce firmowego działu bezpieczeństwa, któregopracownicy zaoferowali hakerom fajny prezent, tj. klucze prywatne docertyfikatu SSL/TLS dla domeny xboxlive.com.

Biorąc pod uwagę, jak liczne i poważne zmiany zaszły we francuskim prawie po atakach na redakcję Charlie Hebdo, można było się spodziewać, że postawa francuskich władz zradykalizuje się jeszcze bardziej po zamachach terrorystycznych z 13 listopada. Te przypuszczenia właśnie się potwierdzają i obejmą sieć Tor, ale także publiczne Wi-Fi.

Użytkowników popularnego komunikatora WhatsApp straszy sięostatnio koniecznością wykupienia subskrypcji na tę aplikację,gdyż w przeciwnym razie przestanie ona działać. Nie dajcie sięnabrać – rozsyłana jako reklamowy banner wiadomość jestoszustwem. Cyberprzestępcy w ten sposób chcą wyłudzić jedyniepieniądze.

Złośliwe oprogramowanie to już nie zwykły cyberwandalizm, topoważny, dochodowy biznes. Przychody z jego tworzenia pozwalająfinansować prace nad kolejnymi generacjami szkodników, stosującymiwyrafinowane techniki programistyczne do ominięcia zabezpieczeńsystemów operacyjnych i wykrycia przez antywirusowe skanery. Czytwórcy oprogramowania antywirusowego są w stanie wygrać w tymwyścigu? Czy stworzone przez nich narzędzia mogą wciążskutecznie chronić przed cyberatakami, obejmującymi dziś nie tylkopecety z Windowsem? O tych właśnie kwestiach – i nie tylko o nich– rozmawialiśmy z Ondřejem Vlčekiem, dyrektorem operacyjnymfirmy Avast, jednego z największych producentów oprogramowaniaochronnego na świecie.

Jeszcze większość użytkowników komputerów wyprodukowanychprzez Della nie zdążyła odinstalować z niego certyfikatueDellRoot, który nieopatrznie wprowadzony do systemu wraz z kluczemprywatnym firmy pozwalał cyberprzestępcom na wykradzenie danych użytkowników, a już głośno jest o kolejnej certyfikatowej aferze. Bybyło zabawnie, problem znów dotyczy Della, i znów chodzi ooprogramowanie służące wsparciu obsługi technicznej.

Afera z oprogramowaniem instalowanym przez Lenovo na jegolaptopach, które można by uznać za szpiegowskie, uczuliłaużytkowników na to, co do Windowsa dodają od siebie producenci.Przypomnijmy: wiele modeli z serii IdeaPad było dostarczanychz aplikacją SuperFish, zawierającą certyfikat SSL, który byłwykorzystany do ataków man-in-the-middle na połączenia HTTPS, bywstrzykiwać w wyniki wyszukiwania reklamy. Teraz mówi się, żepodobne atrakcje zaoferował swoim klientom Dell.

Do nowojorskiej prokuratury wpłynął raport dotyczący technicznych szczegółów procesu, w jakim organy ścigania mogą uzyskiwać ewentualny dostęp do mobilnych urządzeń z preinstalowanym Androidem. Sprawa jest o tyle istotna, że blokada ekranu czy zaszyfrowanie danych przechowywanych na smartfonie nie jest dla służb szczególną przeszkodą.

Osoby, które powierzyły poufność swoich danych BitLockerowimogły czuć się nieciekawie po wydaniu ostatnich biuletynówbezpieczeństwa Microsoftu – luka oznaczona jako MS15-122pozwalała na odszyfrowanie chronionych tym mechanizmem dysków.Firma z Redmond zbyt wiele na ten temat nie powiedziała. W Siecijednak pojawił się artykuł odkrywcy tej luki, przygotowany nakonferencję Black Hat Europe 2015, w którym ujawniona zostałametoda ataku. Okazuje się, że stosując czysto software'owenarzędzia, wystarczyło kilka sekund, by dostać się dozabezpieczonych BitLockerem dysków.

Znów się mówi o ultradźwiękowej komunikacji, pozwalającejprzekazywać informacje pomiędzy komputerami w żaden sposób zesobą niespiętymi. To co do tej pory było jedynie niewyraźnągroźbą ze strony malware, najwyraźniej przekształciło się wpraktykę biznesową, o rzekomo znaczącej skuteczności. Działaczeamerykańskiego Center for Democracy and Technology (CDT) ostrzegająprzed reklamami, które mają wykorzystywać akustyczne sygnały, bypowiązać ze sobą sprzęt i przez to skuteczniej profilować iśledzić użytkowników w Sieci. Czy faktycznie mamy do czynienia zespiskiem reklamodawców, czy też ktoś po prostu przeczytał zbytwiele opowiadań Philipa K. Dicka?