it.pro (strona 24 z 29)

A jednak! Mimo długich miesięcy żmudnych prac i poważnych trudności ze strony Firefoksa, skromny zespół SeaMonkey jednak wydał wersję 2.53.1 swojego projektu. Miało to miejsce już tydzień temu, ale prawie nikt nie zauważył (my tak!). W świetle problemów serwowanych przez upstream i zreformowany silnik Gecko, dostarczenie aktualizacji dla SeaMonkey to nie lada wyczyn, powstaje jednak wątpliwość, czy ten tytaniczny wysiłek ma jeszcze jakiś sens. Czytając noty wydawnicze, wątpliwości tylko się pogłębiają.

Po dziewięciu miesiącach prac, zespół PowerShell Core wydał na portalu GitHub finalną wersję 7.0 swojego środowiska skryptowego. PowerShell 7 to wyczekiwana przez wielu administratorów i wdrożeniowców wersja oparta o .NET Core 3.1. Wyczekiwana, ponieważ nowy .NET oznacza rozwiązanie wielu problemów ze zgodnością wprowadzonych przez rewolucję z poprzedniej wersji. Chaotyczne uśmiercenie .NET Framework zaczyna powoli przynosić owoce. Z akcentem na "powoli".

Pod koniec lutego Microsoft ogłosił mocne przetasowanie w swojej kolekcji procedur certyfikacyjnych dla administratorów i wdrożeniowców. Znane i szanowane w branży certyfikaty Microsoft Certified Solutions (MSCA, MCSD i MCSE) zostaną zlikwidowane. W ich miejsce nie pojawią się nowe, a zamiast nich Microsoft przygotował kilkadziesiąt mniejszych ścieżek. Jeżeli ktoś chce zdobyć certyfikat, ma czas do końca czerwca.

Projekt Folding@home rozpoczął obliczenia mające na celu opracowanie syntetycznych przeciwciał do walki z koronawirusem 2019-nCoV, powodem trwającej (nadchodzącej?) pandemii. Takie przeciwciała stworzono dla podobnego koronawirusa, SARS-CoV z 2003 roku. Projekt jest otwarty i masowy: wykorzystuje wolne oprogramowanie, opracowane wyniki będą ogólnodostępne, a udział w projekcie jest możliwy dla każdego kto pobierze odpowiednie oprogramowanie klienckie.

Najnowsza wersja przeglądarki Firefox domyślnie włącza wykorzystanie protokołu DoH, czyli DNS-over-HTTPS. Mozilla tłumaczy to chęcią zapewnienia ochrony przed nowymi typami ataku, wymierzonymi w DNS, dzięki którym możliwa jest przezroczysta podmiana treści na stronach internetowych: nie zarażając ofiary, doprowadzi się do przekierowania ruchu na podstawione serwery. Komunikacja HTTPS sprawia w dodatku, że zapytania DNS są szyfrowane, a ich wiarygodność – zapewniana przez szyfrowanie.

Wiele powiedziano już na temat pozostawiania w internecie swojego cyfrowego śladu, o niebezpiecznym zjawisku fingerprintingu sesji oraz o metadanych. Wiadomo już dobrze, że samo szyfrowanie TLS nie zapewnia nam już w zasadzie żadnej prywatności ze względu na tuziny treści osadzonych na stronach, a i same przeglądarki internetowe, nasze okna na świat, nie pomagają. Firefox, reklamujący się jako przeglądarka zorientowana na prywatność, sam z siebie jest bardzo rozmowny.

Bezpieczeństwo procesorów Intela, a właściwie wątpliwości z nim związane, to cały czas jeden z najbardziej palących tematów w branży IT. Wie o tym doskonale sam producent, który na wtorkowej konferencji Security Day zapowiedział implementację pełnego szyfrowania pamięci.

Nad domeną .org jakiś czas temu zebrały się czarne chmury. Problemy sprawia organizacja ISOC (The Internet Society), zajmująca się opieką nad top-domeną .org (PIR) w ramach odpowiedzialności powierzonych jej przez ICANN, opiekuna światowej sieci serwerów nazw domenowych (czyli DNS).

Podczas naszych pobieżnych rozważań na temat optymalizacji ustawień BIOS-u, wspomnieliśmy krótko na temat wyłączenia obsługi dla nieużywanych magistrali rozszerzeń. Ten pozornie upośledzający funkcjonalnie scenariusz ma na celu usunięcie potencjalnych możliwości ataku z wykorzystaniem bezpośredniego dostępu do pamięci (Direct Memory Access, DMA).

W naszej serii na temat zabezpieczania komputera osobistego zatrzymaliśmy się na pewien czas przy układzie Intel Management Engine, sercu technologii AMT, wbudowanym w większość dzisiejszych pecetów. Intuicja, doświadczenie i prawa termodynamiki nakazują poszukiwanie metod wyłączenia AMT, gdy nie jest potrzebne (a zazwyczaj nie jest). Zwłaszcza, że firmware ME jest zależny od sprzętu, podczas gdy każde aktualizacje kiedyś się kończą. A sprzętowy dostęp poniżej BIOS-u pozostanie.

Badacze z firmy Eclypsium opublikowali wyniki swoich badań dotyczących bezpieczeństwa instalatorów oprogramowania układowego (firmware) w popularnych laptopach, skupiając się głównie na produktach firm Dell, HP i Lenovo. Skonkludowano, że proces aktualizacji firmware w laptopowych urządzeniach peryferyjnych nie stosuje żadnych mechanizmów weryfikacji autentyczności. Pozwala to ładować niepodpisany, potencjalnie groźny firmware.

Windows 10X przygotowywany na potrzeby Surface'a Neo, pozwoli uruchamiać aplikacje Win32, a większość z nich powinna działać poprawnie bez dodatkowych modyfikacji przez twórców. Programy mają być uruchamiane w kontenerach, by zmniejszyć ryzyko rozprzestrzeniania szkodliwego oprogramowania oraz lepiej kontrolować wydajność systemu.

Opisane przez Piotra problemy z aktualizacją Secure Boot w ostatniej paczce aktualizacji okazują się być pokłosiem bardzo poważnych problemów z dostarczaniem i analizą bezpieczeństwa dla komponentu UEFI. Miejmy na uwadze fakt, że UEFI jest nie tylko (absurdalnie skomplikowanym) oprogramowaniem układowym, ale także pierwszym ogniwem w łańcuchu zaufania dzisiejszego modelu bezpieczeństwa.

Organizacja ICANN, zajmująca się lekceważeniem niezbędnej opieki nad top-domeną .org oraz kilkoma innymi kwestiami, jak alokacja IP i obsługa rdzennej strefy DNS, natrafiła na osobliwy problem. Trudności techniczne wymusiły opóźnienie czterdziestej Ceremonii Podpisywania Kluczy Rdzennych (Root Key Signing Ceremony). Jak podano, otwarcie sejfu zawierającego klucz prywatny podpisu dla DNSSEC okazało się niemożliwe.

Wydane właśnie lutowe aktualizacje, poza naprawą szeregu defektów w niezliczonym tłumie obsługiwanych wersji Windows, naprawiają przede wszystkim luki w zabezpieczeniach. Tym razem adresują one 26 znanych podatności CVE o różnych poziomach ryzyka. Niektórym z nich nie przydzielono jeszcze estymaty CVSS. Oczywiście, część z nich jak zwykle dotyczy komponentu Win32k.

Po przedyskutowaniu czym jest i dlaczego powstał układ Intel ME będący sercem technologii AMT, czas zobaczyć do czego tak naprawdę da się go wykorzystać. Pozwoli to samodzielnie wyrobić sobie opinię na temat bezpieczeństwa całego rozwiązania. Zdecydowanie nie pomoże w tym bowiem sama dokumentacja Intela ani... portale technologiczne, często opisujące AMT w niepełny, nierzetelny i wewnętrznie sprzeczny sposób. Wiedza na temat AMT jest zaskakująco trudna do przyswojenia.

Jak informuje Brian Krebs na swoim portalu Krebs on Security, właściciel domeny corp.com planuje wystawić ją na sprzedaż. Ten pozornie niewinny akt i prosta transakcja biznesowa może mieć dalekosiężne konsekwencje dla szeregu firm i instytucji z całego świata, ponieważ "generyczność" domeny CORP czyni ją celem ruchu z wielu źle skonfigurowanych sieci. Problem jest zabawny i technicznie łatwy do uniknięcia, ale jak się okazuje – jego skala jest wstrząsająca.

Średnie zarobki programistów w Polsce stale rosną. Jak wynika z najnowszego raportu No Fluff Jobs podsumowującego 2019 rok, mediana wzrosła o 4 proc. w stosunku do roku poprzedniego i wynosi 12,5 tys. złotych. Najlepsi specjaliści zarabiają nawet ponad 30 tysięcy brutto, a najczęściej poszukiwanymi ekspertami są znawcy języków Java i JavaScript.

W ostatnich rozważaniach na temat BIOSu oraz optymalizacji ustawień pod kątem bezpieczeństwa pominęliśmy kilka kwestii, zakładając że należy poświęcić im oddzielną część. Jedną z nich jest funkcja AMT (Intel Active Management Technology), dostarczana przez niesławny, "wbudowany w procesor" układ Intel ME. Niesławny, ponieważ niemożliwy do wyłączenia, kiepsko udokumentowany i "niebezpieczny", z definicji. Trudno znaleźć przychylne opinie na temat ME, wszyscy polecają je wyłączać na ile tylko się da. Z tym, że nie zawsze to możliwe.

Gdy kilka lat temu portal Ars Technica opublikował swoją rewelacyjną serię na temat historii Androida, autorzy niejednokrotnie podkreślali, że napisanie jej stanowiło poważne wyzwanie. Wynikało to z tego, że Android był pierwszym, jak stwierdzono, "chmurowym systemem operacyjnym": oprogramowaniem nie tylko oferującym możliwość łączenia z usługami online, ale wręcz zależnym od nich. Niektóre funkcje były po prostu nieobecne w systemie i wołały interfejs wyprowadzany po stronie Google. Gdy usługa przestawała działać, aplikacja stawała się bezużyteczna. Nawet, gdy do swojego działania nie potrzebowała internetu.

Warszawska firma Codility, która od 10 lat rozwija oprogramowanie wspomagające rekrutację programistów, postanowiła skorzystać z finansowania venture capital i zgromadziła dzięki temu 22 mln dol. na zamknięcie rundy inwestycyjnej w serii A. Zamyka to okres samofinansowania spółki, a jednocześnie stanowi duży krok w stronę jej rozwoju.

W USA trwają prawybory prezydenckie. W przeciwieństwie do państw europejskich, gdzie działa wiele partii politycznych, model amerykański zakłada istnienie dwóch głównych partii masowych. Nie są to jednak partie wodzowskie ani monolityczne, z zakazem frakcyjności: główne partie mają zazwyczaj wielu początkowych kandydatów o różnych poglądach, a kolejne tury skomplikowanych wyborów wyłaniają docelowo kandydata na prezydenta (presidential nominee). W tym roku w Partii Demokratycznej wybory po raz pierwszy przebiegają z użyciem aplikacji mobilnej.

Poprzedni odcinek naszych rozważań na temat zabezpieczania komputera osobistego był poświęcony aktualizacji głównego oprogramowania układowego, którym w większości jest BIOS lub UEFI z CSM. W procesie oraz samej koncepcji aktualizacji owego komponentu łatwo zidentyfikować pewne fundamentalne problemy. Pierwszym z nich jest trudność dostarczania: aktualizacje często nie są dostępne przez Windows Update, producenci w schizofreniczny sposób czasem jednocześnie oznaczają aktualizacje jako krytyczne i informują, że jeżeli wszystko działa, to nie warto nic ruszać. Ponadto, niepowodzenie procesu aktualizacji BIOSu, choć rzadkie, może być nieprzyjemne.

W sieci pojawiła się wstępna wersja ustawy "EARN IT", poświęconej (według podtytułu) "powołaniu Narodowej Komisji ds. Zapobiegania Wykorzystywaniu Nieletnich w Sieci". Chlubny cel okazuje się być jednak, zdaniem Riany Pfefferkorn z Center for Internet and Society (Uniwersytet Stanforda), przykrywką mającą na celu wprowadzenie zakazu silnego silnego szyfrowania. Jej opracowanie na ten temat jest bardzo wartościową i pouczającą lekturą.

W ramach prac nad dodaniem warstw abstrakcji dla absolutnie każdego komponentu w systemach linuksowych, projekt systemd wydał na świat nowy komponent w postaci modułu systemd-homed. Jak to bywa z systemd, emocjonalne i skrajne opinie na jego temat były gotowe jeszcze zanim commit 4119d1e60a111bacca359b61b5bc3dae29932b67 został wciągnięty do gałęzi master.