it.pro (strona 26 z 31)

W naszej serii na temat zabezpieczania komputera osobistego zatrzymaliśmy się na pewien czas przy układzie Intel Management Engine, sercu technologii AMT, wbudowanym w większość dzisiejszych pecetów. Intuicja, doświadczenie i prawa termodynamiki nakazują poszukiwanie metod wyłączenia AMT, gdy nie jest potrzebne (a zazwyczaj nie jest). Zwłaszcza, że firmware ME jest zależny od sprzętu, podczas gdy każde aktualizacje kiedyś się kończą. A sprzętowy dostęp poniżej BIOS-u pozostanie.

Badacze z firmy Eclypsium opublikowali wyniki swoich badań dotyczących bezpieczeństwa instalatorów oprogramowania układowego (firmware) w popularnych laptopach, skupiając się głównie na produktach firm Dell, HP i Lenovo. Skonkludowano, że proces aktualizacji firmware w laptopowych urządzeniach peryferyjnych nie stosuje żadnych mechanizmów weryfikacji autentyczności. Pozwala to ładować niepodpisany, potencjalnie groźny firmware.

Windows 10X przygotowywany na potrzeby Surface'a Neo, pozwoli uruchamiać aplikacje Win32, a większość z nich powinna działać poprawnie bez dodatkowych modyfikacji przez twórców. Programy mają być uruchamiane w kontenerach, by zmniejszyć ryzyko rozprzestrzeniania szkodliwego oprogramowania oraz lepiej kontrolować wydajność systemu.

Opisane przez Piotra problemy z aktualizacją Secure Boot w ostatniej paczce aktualizacji okazują się być pokłosiem bardzo poważnych problemów z dostarczaniem i analizą bezpieczeństwa dla komponentu UEFI. Miejmy na uwadze fakt, że UEFI jest nie tylko (absurdalnie skomplikowanym) oprogramowaniem układowym, ale także pierwszym ogniwem w łańcuchu zaufania dzisiejszego modelu bezpieczeństwa.

Organizacja ICANN, zajmująca się lekceważeniem niezbędnej opieki nad top-domeną .org oraz kilkoma innymi kwestiami, jak alokacja IP i obsługa rdzennej strefy DNS, natrafiła na osobliwy problem. Trudności techniczne wymusiły opóźnienie czterdziestej Ceremonii Podpisywania Kluczy Rdzennych (Root Key Signing Ceremony). Jak podano, otwarcie sejfu zawierającego klucz prywatny podpisu dla DNSSEC okazało się niemożliwe.

Wydane właśnie lutowe aktualizacje, poza naprawą szeregu defektów w niezliczonym tłumie obsługiwanych wersji Windows, naprawiają przede wszystkim luki w zabezpieczeniach. Tym razem adresują one 26 znanych podatności CVE o różnych poziomach ryzyka. Niektórym z nich nie przydzielono jeszcze estymaty CVSS. Oczywiście, część z nich jak zwykle dotyczy komponentu Win32k.

Po przedyskutowaniu czym jest i dlaczego powstał układ Intel ME będący sercem technologii AMT, czas zobaczyć do czego tak naprawdę da się go wykorzystać. Pozwoli to samodzielnie wyrobić sobie opinię na temat bezpieczeństwa całego rozwiązania. Zdecydowanie nie pomoże w tym bowiem sama dokumentacja Intela ani... portale technologiczne, często opisujące AMT w niepełny, nierzetelny i wewnętrznie sprzeczny sposób. Wiedza na temat AMT jest zaskakująco trudna do przyswojenia.

Jak informuje Brian Krebs na swoim portalu Krebs on Security, właściciel domeny corp.com planuje wystawić ją na sprzedaż. Ten pozornie niewinny akt i prosta transakcja biznesowa może mieć dalekosiężne konsekwencje dla szeregu firm i instytucji z całego świata, ponieważ "generyczność" domeny CORP czyni ją celem ruchu z wielu źle skonfigurowanych sieci. Problem jest zabawny i technicznie łatwy do uniknięcia, ale jak się okazuje – jego skala jest wstrząsająca.

Średnie zarobki programistów w Polsce stale rosną. Jak wynika z najnowszego raportu No Fluff Jobs podsumowującego 2019 rok, mediana wzrosła o 4 proc. w stosunku do roku poprzedniego i wynosi 12,5 tys. złotych. Najlepsi specjaliści zarabiają nawet ponad 30 tysięcy brutto, a najczęściej poszukiwanymi ekspertami są znawcy języków Java i JavaScript.

W ostatnich rozważaniach na temat BIOSu oraz optymalizacji ustawień pod kątem bezpieczeństwa pominęliśmy kilka kwestii, zakładając że należy poświęcić im oddzielną część. Jedną z nich jest funkcja AMT (Intel Active Management Technology), dostarczana przez niesławny, "wbudowany w procesor" układ Intel ME. Niesławny, ponieważ niemożliwy do wyłączenia, kiepsko udokumentowany i "niebezpieczny", z definicji. Trudno znaleźć przychylne opinie na temat ME, wszyscy polecają je wyłączać na ile tylko się da. Z tym, że nie zawsze to możliwe.

Gdy kilka lat temu portal Ars Technica opublikował swoją rewelacyjną serię na temat historii Androida, autorzy niejednokrotnie podkreślali, że napisanie jej stanowiło poważne wyzwanie. Wynikało to z tego, że Android był pierwszym, jak stwierdzono, "chmurowym systemem operacyjnym": oprogramowaniem nie tylko oferującym możliwość łączenia z usługami online, ale wręcz zależnym od nich. Niektóre funkcje były po prostu nieobecne w systemie i wołały interfejs wyprowadzany po stronie Google. Gdy usługa przestawała działać, aplikacja stawała się bezużyteczna. Nawet, gdy do swojego działania nie potrzebowała internetu.

Warszawska firma Codility, która od 10 lat rozwija oprogramowanie wspomagające rekrutację programistów, postanowiła skorzystać z finansowania venture capital i zgromadziła dzięki temu 22 mln dol. na zamknięcie rundy inwestycyjnej w serii A. Zamyka to okres samofinansowania spółki, a jednocześnie stanowi duży krok w stronę jej rozwoju.

W USA trwają prawybory prezydenckie. W przeciwieństwie do państw europejskich, gdzie działa wiele partii politycznych, model amerykański zakłada istnienie dwóch głównych partii masowych. Nie są to jednak partie wodzowskie ani monolityczne, z zakazem frakcyjności: główne partie mają zazwyczaj wielu początkowych kandydatów o różnych poglądach, a kolejne tury skomplikowanych wyborów wyłaniają docelowo kandydata na prezydenta (presidential nominee). W tym roku w Partii Demokratycznej wybory po raz pierwszy przebiegają z użyciem aplikacji mobilnej.

Poprzedni odcinek naszych rozważań na temat zabezpieczania komputera osobistego był poświęcony aktualizacji głównego oprogramowania układowego, którym w większości jest BIOS lub UEFI z CSM. W procesie oraz samej koncepcji aktualizacji owego komponentu łatwo zidentyfikować pewne fundamentalne problemy. Pierwszym z nich jest trudność dostarczania: aktualizacje często nie są dostępne przez Windows Update, producenci w schizofreniczny sposób czasem jednocześnie oznaczają aktualizacje jako krytyczne i informują, że jeżeli wszystko działa, to nie warto nic ruszać. Ponadto, niepowodzenie procesu aktualizacji BIOSu, choć rzadkie, może być nieprzyjemne.

W sieci pojawiła się wstępna wersja ustawy "EARN IT", poświęconej (według podtytułu) "powołaniu Narodowej Komisji ds. Zapobiegania Wykorzystywaniu Nieletnich w Sieci". Chlubny cel okazuje się być jednak, zdaniem Riany Pfefferkorn z Center for Internet and Society (Uniwersytet Stanforda), przykrywką mającą na celu wprowadzenie zakazu silnego silnego szyfrowania. Jej opracowanie na ten temat jest bardzo wartościową i pouczającą lekturą.

W ramach prac nad dodaniem warstw abstrakcji dla absolutnie każdego komponentu w systemach linuksowych, projekt systemd wydał na świat nowy komponent w postaci modułu systemd-homed. Jak to bywa z systemd, emocjonalne i skrajne opinie na jego temat były gotowe jeszcze zanim commit 4119d1e60a111bacca359b61b5bc3dae29932b67 został wciągnięty do gałęzi master.

Po dwóch pierwszych częściach serii o bezpieczeństwie poświęconych ogólnikom, zmierzamy powoli w stronę czegoś konkretniejszego. Mowa o aktualizacji BIOSu: porozmawiajmy o niej przez chwilę. Ten notorycznie pomijany element serwisowania sprzętu z upływem lat staje się coraz ważniejszy, ze względu na rosnącą złożoność sprzętu. Niestety, infrastruktura dostarczania wciąż niedomaga: większość kanałów aktualizacji i wdrożeń nie przewiduje aktualizacji oprogramowania układowego. Co więcej, bardzo wiele firm, wykorzystujących przecież tuziny identycznego sprzętu, nie aktualizuje BIOSów i nie dzieje się tak wskutek świadomej polityki.

Operator DNS i usługodawca hostingu Gandi doświadczył na początku roku (ósmego stycznia) awarii jednego ze swoich magazynów pamięci stałej (storage unit). Ucierpiało na tym do 414 klientów, korzystających między innymi z IaaS – infrastruktury jako usługi. O sprawie głośniej jest dopiero teraz, ponieważ firma wydała szczegółowe i bardzo interesujące oświadczenie dotyczące problemu.

Poza nieszczęsnymi antywirusami i zaporą, o których (najpierw bardzo ogólnie) dyskutowaliśmy w poprzedniej części, istnieje jeszcze szereg innych zagadnień związanych z "krokiem zerowym" w zabezpieczaniu komputerów osobistych. Jak być może łatwo się już domyślić po zapoznaniu się z pierwszą częścią, są one nieco istotniejsze, niż tandem AV+firewall. Na drodze do nich stoi jednak pewna ważna i niezwykle kontrowersyjna kwestia: aktualizacje oprogramowania.

Systemy z rodziny Windows w pewnych kręgach mają opinię niezbyt bezpiecznych. Pracowały na nią dziarsko przez wiele długich lat, aczkolwiek dziś nie jest to opinia szczególnie uzasadniona.

Portal DistroWatch, witryna rankingowa dla dystrybucji Linuksa, przemigrował swoje serwery z Debiana na FreeBSD. Okazją do przenosin i zmiany strategii serwowania portalu miała być sprzętowa awaria jednego z serwerów. To pierwsza taka zmiana w ponadosiemnastoletniej historii strony. W wątku AMA na portalu Reddit, jeden z administratorów DW tłumaczy dlaczego uznano FreeBSD za lepszy wybór od Debiana (i Linuksa w ogóle). Niektóre z powodów mogą być dla niektórych zaskoczeniem.

W zeszłym tygodniu (a dokładniej 17 stycznia 2020) opublikowano nową notatkę dla wdrożeniowców usługi Office 365 ProPlus, w której Microsoft informuje, że od wersji 2002, instalator wraz z pakietem biurowym zacznie dostarczać rozszerzenie dla przeglądarki Chrome. Wersja 2002 to kiepsko przemyślana nazwa dla wydania "luty 2020", a nowe rozszerzenie ma... przestawiać domyślną wyszukiwarkę z Google na Bing. Zmiana nie dotyczy użytkowników domowych oraz posiadaczy planu Business, czyli najdroższej formy posiadania Office'a. Ucierpią tylko małe i średnie przedsiębiorstwa.

Gdy popularność przeglądarki Mozilla Firefox stale spada, zasłużona aplikacja, która niegdyś pokonała monopol Internet Explorera, szuka dodatkowych metod promocji. Wszystko celem sprzedania swoich niewątpliwych zalet. Chcąc uchronić internet przed losem gorszym od śmierci, jakim jest stuprocentowa dominacja sieci przez silnik WebKit, Firefox dostarcza alternatywę przede wszystkim zorientowaną na prywatność.

Kilka dni temu, The New York Times poinformował o powstaniu aplikacji Clearview AI, przełomowej aplikacji do rozpoznawania twarzy, która w zestawieniu z przygotowywaną od miesięcy bazą danych potrafi rozpoznawać ludzi w czasie rzeczywistym, serwując pakiet podstawowych informacji o każdym dopasowanym człowieku.

Mozilla planuje zamknąć swoją sieć IRC wraz z początkiem marca 2020. IRC okazuje się zbyt trudny do utrzymania z powodów społecznościowych, ze względu na ogrom nadużyć ze strony użytkowników i utrudnienia techniczne zbyt poważne dla mniej zaawansowanych gości.