bezpieczeństwo (strona 275 z 279)

Prowadzona na szeroką skalę inwigilacja komunikacjielektronicznej to nicnowego – jednak wiele wskazuje na to, że wraz z wejściem wżycie nowej ustawy o Policji obywatele naprawdę poczują, czym możebyć prowadzona praktycznie bez ograniczeń tzw. kontrola operacyjna.Nie jest jednak tak, że osoby zatroskane o swoją prywatność, czyteż zobowiązane do utrzymywania wrażliwych informacji w tajemnicy(jak choćby prawnicy, lekarze czy dziennikarze) stoją tu na z góryprzegranej pozycji. Nie trzeba wcale zastępować komputera maszynądo pisania, a smartfonu gołębiami pocztowymi. Korzystanie znowoczesnej techniki nie musi oznaczać utraty prywatności, o ilebędziemy korzystali z niej umiejętnie i rozważnie. W tym cykluartykułów przedstawimy wam wiedzę i narzędzia niezbędne do tego,by uczynić korzystanie z elektronicznej komunikacjibezpieczniejszym. Zaczynamy od analizy zagrożeń dla smartfonów,podstawowych dziś narzędzi, bez których wielu ludzi nie wyobrażajuż sobie życia.

Konsola PlayStation 3 wytrzymała 4 lata dłubaniny hakerów –pod koniec grudnia 2010 roku ludzie z grupy fail0verflow przedstawilipodczas 27. konferencji Chaos Communications Congress sposób naspenetrowanie modelu bezpieczeństwa tego urządzenia. PlayStation 4okazało się gorsze, nowa konsola padła po dwóch latach odpremiery. To znów dzieło fail0verflow. Podczas 32. konferencjiChaos Communication Congress hakerzy przedstawili działającego naPS4 Linuksa.

Poznaliśmy już najważniejszenarzędzia, za pomocą których można sprawdzić odpornośćsieci bezprzewodowych na ataki. Teraz czas zastosować zdobyczeofensywnego bezpieczeństwa w praktyce, zaczynając od nasłuchiwaniaruchu. Rozpoznanie jest bowiem pierwszym krokiem na drodze dozrozumienia zagrożeń korzystania z komunikacji przez radiowemedium, dostępne przecież dla każdego.

Możemy do woli naśmiewać się ze skuteczności systemu informatycznego wykorzystywanego podczas ostatnich wyborów do europarlamentu, jednak ze Stanów Zjednoczonych napływają wieści o porażce, której skala nijak ma się do polskiej. Amerykanin Chris Vickery opublikował wczoraj wpis o być może jednym z największych wycieków danych tego roku.

Jednym z najczęściej wymienianych potencjalnych zastosowań Internetu Rzeczy jest ruch kolejowy. Podczas tegorocznego Chaos Communication Congress, który odbył się w Hamburgu, zwrócono uwagę na potencjalne zagrożenia, jakie może nieść skomunikowanie urządzeń odpowiedzialnych za zarządzanie ruchem kolejowym. Jak nietrudno się domyślić, mogą się one bowiem szybko stać obiektem ataków.

Końcówka roku jest zawsze pyszna dla branży bezpieczeństwa –berliński Chaos Computer Club organizuje wówczas ChaosCommunication Congress, jedną z najciekawszych imprez związanych ztą tematyką. Już 27 grudnia znani niemieccy badacze pokazać mającoś, co może zatrząść operatorami elektronicznych płatności.Shopshiftingto technika, która ma dawać sobie radę z zabezpieczeniamipowszechnie wykorzystywanych w całej Europie terminali na PIN,pozwalając wykraść za ich pomocą dane z paska magnetycznego jak isam PIN – i w konsekwencji umożliwiając kradzież pieniędzy,przelewanych na dowolne konta.

Aktualizacje platformy Java SE oraz ich częstotliwość mają w branży niemal status żartu. Wiadomo jednak, że dla Oracle jest to dowcip mało śmieszny, a miny zrzedły pracownikom firmy zapewne jeszcze bardziej w związku z wydanym właśnie Federalnej Komisji Handlu w USA związanym z masowym, bo dotyczącym około 850 mln urządzeń, narażaniem użytkowników na ataki.

Jeśli chodzi o bezpieczeństwo sieci bezprzewodowych, to wzasadzie wszystko jest pięknie. Łamane w kilkanaście sekundzabezpieczenia WEP odeszły do lamusa, wszyscy korzystamy zniemożliwego do złamania WPA2, nasze routery są naszymitwierdzami, nasze dane są bezpieczne, nikt nie wykorzysta naszejsieci do niecnych celów. To bardzo miły sposób myślenia, ale zgruntu fałszywy.

Znów za nami drugi wtorek miesiąca, znów Microsoft wydał swojebiuletyny bezpieczeństwa, mające ochronić maszyny z Windows przednajnowszymi zagrożeniami. Tym razem dostaliśmy ich tuzin, łącznieobejmujących 75 luk – i znów na pierwszym planie są problemy zprzeglądarkami z Redmond. To jednak nie wszystko. Mówi się oprzykrej wpadce firmowego działu bezpieczeństwa, któregopracownicy zaoferowali hakerom fajny prezent, tj. klucze prywatne docertyfikatu SSL/TLS dla domeny xboxlive.com.

Biorąc pod uwagę, jak liczne i poważne zmiany zaszły we francuskim prawie po atakach na redakcję Charlie Hebdo, można było się spodziewać, że postawa francuskich władz zradykalizuje się jeszcze bardziej po zamachach terrorystycznych z 13 listopada. Te przypuszczenia właśnie się potwierdzają i obejmą sieć Tor, ale także publiczne Wi-Fi.

Użytkowników popularnego komunikatora WhatsApp straszy sięostatnio koniecznością wykupienia subskrypcji na tę aplikację,gdyż w przeciwnym razie przestanie ona działać. Nie dajcie sięnabrać – rozsyłana jako reklamowy banner wiadomość jestoszustwem. Cyberprzestępcy w ten sposób chcą wyłudzić jedyniepieniądze.

Złośliwe oprogramowanie to już nie zwykły cyberwandalizm, topoważny, dochodowy biznes. Przychody z jego tworzenia pozwalająfinansować prace nad kolejnymi generacjami szkodników, stosującymiwyrafinowane techniki programistyczne do ominięcia zabezpieczeńsystemów operacyjnych i wykrycia przez antywirusowe skanery. Czytwórcy oprogramowania antywirusowego są w stanie wygrać w tymwyścigu? Czy stworzone przez nich narzędzia mogą wciążskutecznie chronić przed cyberatakami, obejmującymi dziś nie tylkopecety z Windowsem? O tych właśnie kwestiach – i nie tylko o nich– rozmawialiśmy z Ondřejem Vlčekiem, dyrektorem operacyjnymfirmy Avast, jednego z największych producentów oprogramowaniaochronnego na świecie.

Jeszcze większość użytkowników komputerów wyprodukowanychprzez Della nie zdążyła odinstalować z niego certyfikatueDellRoot, który nieopatrznie wprowadzony do systemu wraz z kluczemprywatnym firmy pozwalał cyberprzestępcom na wykradzenie danych użytkowników, a już głośno jest o kolejnej certyfikatowej aferze. Bybyło zabawnie, problem znów dotyczy Della, i znów chodzi ooprogramowanie służące wsparciu obsługi technicznej.

Afera z oprogramowaniem instalowanym przez Lenovo na jegolaptopach, które można by uznać za szpiegowskie, uczuliłaużytkowników na to, co do Windowsa dodają od siebie producenci.Przypomnijmy: wiele modeli z serii IdeaPad było dostarczanychz aplikacją SuperFish, zawierającą certyfikat SSL, który byłwykorzystany do ataków man-in-the-middle na połączenia HTTPS, bywstrzykiwać w wyniki wyszukiwania reklamy. Teraz mówi się, żepodobne atrakcje zaoferował swoim klientom Dell.

Do nowojorskiej prokuratury wpłynął raport dotyczący technicznych szczegółów procesu, w jakim organy ścigania mogą uzyskiwać ewentualny dostęp do mobilnych urządzeń z preinstalowanym Androidem. Sprawa jest o tyle istotna, że blokada ekranu czy zaszyfrowanie danych przechowywanych na smartfonie nie jest dla służb szczególną przeszkodą.

Osoby, które powierzyły poufność swoich danych BitLockerowimogły czuć się nieciekawie po wydaniu ostatnich biuletynówbezpieczeństwa Microsoftu – luka oznaczona jako MS15-122pozwalała na odszyfrowanie chronionych tym mechanizmem dysków.Firma z Redmond zbyt wiele na ten temat nie powiedziała. W Siecijednak pojawił się artykuł odkrywcy tej luki, przygotowany nakonferencję Black Hat Europe 2015, w którym ujawniona zostałametoda ataku. Okazuje się, że stosując czysto software'owenarzędzia, wystarczyło kilka sekund, by dostać się dozabezpieczonych BitLockerem dysków.

Znów się mówi o ultradźwiękowej komunikacji, pozwalającejprzekazywać informacje pomiędzy komputerami w żaden sposób zesobą niespiętymi. To co do tej pory było jedynie niewyraźnągroźbą ze strony malware, najwyraźniej przekształciło się wpraktykę biznesową, o rzekomo znaczącej skuteczności. Działaczeamerykańskiego Center for Democracy and Technology (CDT) ostrzegająprzed reklamami, które mają wykorzystywać akustyczne sygnały, bypowiązać ze sobą sprzęt i przez to skuteczniej profilować iśledzić użytkowników w Sieci. Czy faktycznie mamy do czynienia zespiskiem reklamodawców, czy też ktoś po prostu przeczytał zbytwiele opowiadań Philipa K. Dicka?

Sporo ostanio się dzieje w dziedzinie ransomware, złośliwegooprogramowania, szyfrującego dane użytkowników i żądającegookupu za jego odszyfrowanie. Cyberprzestępcy ulepszają metodyzastraszania, ukrywania swojej komunikacji, a nawet dobierają siędo Linuksa. Tym razem mamy jednak dla Was dobre wieści, dwie firmy zbranży bezpieczeństwa, rosyjski Dr.Web i rumuński BitDefenderpochwaliły się znaczącymi sukcesami w walce z tymi szkodnikami.Inna sprawa, że internauci już zaczynają się zastanawiać – ktofaktycznie stoi za falą ataków ransomware.

W październiku grupa badaczy pracujących nad bezpieczeństwemusług pocztowych odkryła, że wielu dostawców skrzynek pocztowych(szczególnie tych mniejszych) źle implementuje protokół STARTTLS,wykorzystywany by zapewnić poufność i integralność przesyłanychdanych. Nawet jeśli więc użytkownik wyśle swoją wiadomość zbezpiecznego, dobrze skonfigurowanego serwera, to wystarczy, by jegoodbiorca korzystał z dostawcy mniej kompetentnego, by treśće-maila mogła wpaść w ręce napastnika podsłuchującego ruchsieciowy. By ustrzec nas przed takim losem, Google wprowadza doGmaila dodatkowe zabezpieczenie – klient poczty będzie ostrzegał,jeśli spróbujemy wysłać e-maila na felerną skrzynkę.

Wiadomo już więcej na temat zeszłorocznego ataku na infrastrukturę sieci Tor, który mógł zakończyć się pozyskaniem informacji o lokalizacji nieznanej części użytkowników trasowania cebulowego. Na blogu Tor Project ukazał się komunikat, który jako winnych wskazuje FBI oraz działający na zlecenie tej agencji instytut badawczy przy Carnegie Mellon University w stanie Pennsylvania.

Apple i Google usunęli ze swoich sklepów aplikację InstaAgent, która wykradała loginy i hasła użytkowników Instagramu i przesyłała je na zewnętrzny serwer. O odkryciu złośliwego kodu poinformował na Twitterze pewien niemiecki deweloper – David L-R.

Jednym z głównych problemów Internetu Rzeczy, już na poziomie koncepcji, ale przede wszystkim w praktycznych realizacjach, jest kwestia bezpieczeństwa. Trudno oszacować szkody, jakie mogłyby zostać spowodowane przez atakującego sieć skomunikowanych urządzeń w fabryce lub domu. O bezpieczeństwo IoT chce zadbać firma F-Secure, zarówno w zakresie oprogramowania, jak i sprzętu.

Zapewne czekaliście z niecierpliwością na jesiennąaktualizację Windows 10, dzięki której system ten (byzacytować klasyka) wreszcie zacznie się nadawać do poważnejpracy, ale póki co musicie obejść się smakiem. Zamiastspodziewanego Threshold 2, Microsoft wydał w terminie swojelistopadowe biuletyny bezpieczeństwa. Tym razem jest ich 12, z czegocztery oznaczono jako krytyczne zaś osiem jako ważne. Oto, co nasczeka, jeśli łatek nie zainstalujemy:

Spośród szkodników typu ransomware największe szkody w naszymkraju wyrządził CryptoWall – i niestety póki co nie ma innejmetody na odzyskanie zaszyfrowanych nim danych, niż zapłacenieokupu, wynoszącego równowartość 500 dolarów w bitcoinach. Jeślijednak myśleliście, że najgorsze już za nami i nowe generacjeoprogramowania zabezpieczającego pozwolą wam spać spokojnie, bezobaw, że utracicie swoje dane (nie mówiąc już o ichupublicznieniu), to mamy złą wiadomość. Duńscy badacze z firmyHeimdall Security przechwycili pierwsze próbki CryptoWalla 4.0. Nowawersja szkodnika sprawnie obchodzi zabezpieczenia obecnie stosowanychnarzędzi ochronnych.

Dopiero co informowaliśmy o Chimerze, nowym szkodniku, który pozaszyfrowaniu dokumentów użytkowników systemów Windows obiecuje,że jeśli nie zapłacą okupu w bitcoinach, to nie tylko stracąszansę na odszyfrowanie swoich danych, ale też muszą się liczyćz tym, że ich dokumenty zostaną upublicznione. Teraz rosyjska firmaDr.Web informuje o nowym szkodniku typu ransomware, który na swójcel bierze linuksowe serwery, najprawdopodobniej próbujączainfekować je zdalnie przez otwarty port SSH, w nadziei trafieniana słabe hasło.