HUP - titkosítás, biztonság

Subscribe to HUP - titkosítás, biztonság hírcsatorna
Titkosítás, biztonság
Frissítve: 17 perc 9 másodperc
2017. szeptember 18.

450 ezer dollárnál a Librem 5 kampánya

450 ezer dollárnál (30,29%) a #Librem5 kampánya, még 35 nap van hátra https://t.co/sSNbyel2ej #mobilephone #security #privacy pic.twitter.com/n0qOUxAo0a

— HUP.hu (@huphu) September 18, 2017 #onhup

Részletek a kampányoldalon.

2017. szeptember 18.

Malware payload-ot találtak az Avast által disztributált CCleaner-ben

Malware identified in CCleaner 5.33 https://t.co/mR8Uj5XIp7

— Hacker News (@newsycombinator) September 18, 2017 #onhup

Idézet: For a period of time, the legitimate signed version of CCleaner 5.33 being distributed by Avast also contained a multi-stage malware payload that rode on top of the installation of CCleaner. CCleaner boasted over 2 billion total downloads by November of 2016 with a growth rate of 5 million additional users per week.

A részletek itt olvashatók.

2017. szeptember 17.

Bashware - a WSL biztonsági implikációira figyelmeztet a Check Point

Idézet:
We have recently found a new and alarming method that allows any known malware to bypass even the most common security solutions, such as next generation anti-viruses, inspection tools, and anti-ransomware. This technique, dubbed Bashware, leverages a new Windows 10 feature called Subsystem for Linux (WSL), which recently exited Beta and is now a fully supported Windows feature.

Részletek itt.

2017. szeptember 14.

90 napja van az amerikai kormányhivataloknak a Kaspersky szoftverek eltávolításának megkezdésére

Kaspersky Software Banned From US Government Systems Over Concerns About Russia https://t.co/fKBkYThXm2

— Slashdot (@slashdot) September 13, 2017

A hírek szerint az amerikai kormányhivatalok 3 hónapot kaptak, hogy megoldást találjanak arra, hogy hogyan tudnak megszabadulni a Kaspersky szoftverektől és megkezdjék azok eltávolítását. Az indok: az amerikaiak attól tartanak, hogy az orosz kormányzatnak komoly befolyása van a Kaspersky vállalatra. A Kaspersky vehemensen tagadja ezt, de ezek szerint az amerikaiakat nem sikerült meggyőzni...

Részletek itt.

2017. szeptember 14.

Összesen 1 millió dollárt szánna a Zerodium Tor Browser exploitokra

Announcement: We offer one million US dollars ($1,000,000) in bounties for Tor Browser #0day exploits. Details at: https://t.co/2Vz6RqTnBQ

— Zerodium (@Zerodium) September 13, 2017 #onhup

A Tor Browser Zero-Day Bounty programja keretében 1 millió dollárt adna a Zerodium Tor Browser exploitokért, hogy aztán azokat eladhassa ügyfeleinek, akik jellemzően kormányhivatalok, bűnüldözési szervek stb. Részletek a bejelentésben.

2017. szeptember 7.

Jutalomprogramot indított a Samsung Electronics mobil security témában

Samsung to Launch Mobile Security Rewards Program, Welcoming Security Research Community https://t.co/sM00gnIAPY

— Jang Min (@skensita) September 7, 2017

A Samsung Electronics ma bejelentette, hogy mobil témában biztonsági jutalomprogramot indít (vagyis fizet a bejelentett biztonsági hibák után) és örömmel várja a security közösség bejelentéseit. A Mobile Security Rewards Program keretén belül a Samsung mobil eszközökkel és a velük összefüggő szoftverekkel kapcsolatos biztonsági hibák felelős bejelentése után kaphat jutalmat a hacker.

2017. augusztus 30.

Óriási mennyiségű felhasználónév, jelszó stb. dump érhető el bárki számára egy helyről

It’s a F*cking Huge Collection: Someone uploaded dump from nearly 1,200 data breaches publically, available for anyone to download for free. https://t.co/TUn149QSwI

— The Hacker News (@TheHackersNews) August 30, 2017

Valaki egy óriási mennyiségű, közel 1200 adatlopásból származó érzékeny adatot (weboldal adatbázis dump-ok) tett bárki számára letölthetővé a databases.today weboldalon keresztül. A dumpok korábban is elérhetők voltak. Az újdonság most az, hogy egy helyről beszerezhetővé váltak. Akiknek a jelszavai, felhasználónevei kompromittálódhattak, azoknak érdemes mielőtt megtenni a megfelelő intézkedéseket.

2017. augusztus 17.

IBM Research - SSD-n végrehajtott rowhammer-szerű támadással root jog szerezhető

Rowhammer-like attack on SSDs can provide root privileges to attacker https://t.co/nfYOnDUj4f

— Hacker News (@newsycombinator) August 16, 2017

Az zürichi IBM Research szakemberei - Anil Kurmus, Nikolas Ioannou, Matthias Neugschwandtner, Nikolaos Papandreou és Thomas Parnell - arra világítottak rá, hogy egy rowhammer-szerű támadással akát root jog is szerezhető (local privilege escalation). Videodemó:

Eret vágni azért nem kell azonnal, mert az még bizonyításra vár, hogy ext2, ext3 fájlrendszeren (plusz az UFS1 egyes verziói) kívül más fájlrendszeren (pl. ext4-en) egyáltalán működne-e és ha igen, milyen hatásfokkal e támadás:

5.1 Other filesystems

Although many parts of the attack described in Section 4 can be generalized, it remains dependent on filesystems using indirect blocks, such as ext3, ext2, and some versions of the Unix File System (UFS1). The ext4 filesystem uses extents (as NTFS does as well), essentially describing data blocks as a set of (starting file block, starting disk block, number of blocks) tuples. Although it is possible to have an “extent block” in ext4 (beyond 3 extents, ext4 starts storing extents in a new block outside of the inode, thereby starting a tree structure), we believe the attack would have a much lower probability of success because of the greater structure of extents (i.e., it is much less likely that a random corruption will not be caught by the ext4 parser: this is compounded by the fact that ext4 typically uses a block number space of 48 bits, instead of ext3’s 32 bits). Therefore, whether the attack would still be feasible for other filesystems remains to be seen.

További részletek: From random block corruption to privilege escalation: A filesystem attack vector for rowhammer-like attacks

2017. augusztus 16.

Nagyobb kiadással jelentkezett a HTTPSEverywhere

We have a *big* release for you today, 2017.8.15, unifying the Firefox/Chromium look & feel as well as versioning. https://t.co/3HqtTy7Njx

— HTTPS Everywhere (@HTTPSEverywhere) August 16, 2017

A HTTPSEverywhere egy Firefox, Chrome, Opera böngészőkiterjesztés, amely kikényszeríti a HTTPS-t támogató weboldalak felé a titkosított kommunikációt. A kiterjesztés új, nagyobb verzióval állt elő, amiben egységesítették Firefox/Chromium kinézetet és kezelési élményt, valamit szinkronba hozták a verziószámozást.

2017. augusztus 14.

Linux kernel local root exploit for CVE-2017-1000112

Linux kernel local root exploit for CVE-2017-1000112 https://t.co/Ve0KJVA5ZD

— Andrey Konovalov (@andreyknvl) August 13, 2017

Exploit az Andrey Konovalov által a napokban jelzett Linux kernel helyi root sebezhetőségre.

2017. augusztus 11.

Az Apple elutasítja az AML telefonjaiba integrálását, pedig az bizonyítottan életmentő lehet

Az Advanced Mobile Location (AML) egy olyan technológia, ami vészhívás kezdeményezése esetén biztosítja, hogy a vészhívást indító pontos földrajzi helyzete meghatározható legyen. Eredetileg a British Telecom, az EE Limited és a HTC fejlesztette ki. Ha a bajba került személy a vészhelyzeti telefonszámokat tárcsázza, az AML-képes mobiltelefon automatikusan bekapcsolja a készülék helyzetmeghatározó funkcióit és SMS-ben elküldi a pontos koordinátákat. Ezzel a személy helyzete sokkal pontosabban behatárolható mint a korábban alkalmazott technikákkal (14 km sugarú kör vs. 6 méter sugarú kör).

A Google lépett és 2016 júniusában bejelentette, hogy a Gingerbread vagy újabb rendszert futtató összes készüléken elérhető az Advanced Mobile Location (AML) szolgáltatás igénybevétele. A szolgáltatói oldalon egyre több szolgáltató vezeti be az AML-t. Az Egyesült Királyságon kívül Észtországban, Litvániában és Alsó-Ausztriában már él a rendszer, de további országok dolgoznak a tesztelésén és bevezetésén.

Az Apple azonban elutasítja a rendszer mobiltelefonjaiba integrálását, ezért az Európai Segélyhívószám Szövetség egy közleményt adott ki, amelyben arra kéri az Apple-t, hogy integrálja telefonjaiban az AML-t, mert az életeket menthet.

2017. augusztus 11.

Elérhető a 2017 Pwnie Awards díjazottjainak hivatalos listája

Better late than never, we've posted the winners of the 2017 Pwnie Awards!https://t.co/9oCAN9LVtE

— Pwnie Awards (@PwnieAwards) August 10, 2017

Jobb később mint soha...

2017. augusztus 9.

Tails 3.1

Tails 3.1 is out, with important security fixes: https://t.co/j8K2oPsufu

— Tails (@Tails_live) August 9, 2017

Megjelent a "The Amnesic Incognito Live System" - röviden Tails - 3.1-es kiadása. A Tails az utóbbi időben került reflektorfénybe azzal, hogy kiderült, Snowden és csapata, Bruce Schneier is felhasználója, valamint, hogy az NSA-nál könnyen megfigyelésre jelölt lehet az, aki utána érdeklődik.

Részletek itt.

2017. augusztus 9.

CVE-2017-8664 - Windows Hyper-V Remote Code Execution Vulnerability

CVE-2017-8664 Hyper-V Remote Code Execution. Nice catch by @zer0mem! https://t.co/JEcwdQAhC7

— Alex Matrosov (@matrosov) August 9, 2017

Távoli kódfuttatás. A rosszindulatú támadó megfelelően összeállított alkalmazást futtatva a guest operációs rendszeren "ráveheti" a Hyper-V host operációs rendszert tetszőleges kód futtatására. Részletek a bejelentésben.

2017. augusztus 9.

CVE-2017-8622 | Windows Subsystem for Linux Elevation of Privilege Vulnerability

Now that WSL is out of beta, Microsoft is servicing it! Here's the first CVE, ever: https://t.co/bUHMPtWoK9 ;-)

— Alex Ionescu (@aionescu) August 8, 2017

Mi sem bizonyítja jobban, hogy a WSL kilép(ett) a bétából, hogy itt az első biztonsági figyelmeztető hozzá. Helyi privilégiumszint-emelés sebezhetőség...

2017. augusztus 9.

A Microsoft is elvesztette bizalmát a WoSign és StartCom tanúsítványkibocsátókkal szemben

Az előzmények ismertek. Korábban a Google és a Mozilla is jelezte, hogy megrendült a bizalmuk a WoSign/StartCom tanúsítványkibocsátókkal szemben. Jobb később mint soha, a Microsoft is rájött, hogy ezek a kínai cégek nem ütik meg a Trusted Root Program által megkövetelt szintet, éppen ezért megkezdi a nevezett cégek által már kiadott tanúsítványok folyamatos "leépítését".

Részletek a bejelentésben.

2017. augusztus 5.

Ilja van Sprundel ránézett a BSD kernelek biztonságára

Népszerű feltételezés egyes körökben, hogy a BSD kernelek és kódok minősége jobb a Linuxénál. De vajon igaz-e ez? Az (el)ismert biztonsági szakember, Ilja van Sprundel úgy döntött, hogy utánajár ennek a teóriának. Valóban jobb a BSD-k kódminősége, vagy csak azért találnak és javítanak több hibát a Linuxban, mert azt többen nézik? Valóban létezik a "many eyeball" dolog? Ilja az április, május, június hónapokat BSD kódok auditálásával töltötte, a vizsgálat eredményéről pedig előadást tartott a DEF CON 25 rendezvényen. Az eredmények:

Eddig körülbelül 115 kernelbug az alábbi eloszlásban:

  • FreeBSD - 30
  • OpenBSD - 25
  • NetBSD - 60

A feltárt bugok típusai:

  • Straight heap/stack smash
  • race conditions
    expired pointers
  • Double frees
  • recursion issues
  • integer issues
    • Underflows, overflows, signedness
  • info leaks
  • out of bound read
  • NULL deref
  • Division by zero
  • kernel panics driven by userland
  • Memory leak

    Megállapítások:

    • Mindhárom vizsgált BSD-ben találtak bugokat
    • Egyértelműen az OpenBSD a győztes, ami jelentősen csökkentette a támadási felületeket az elmúlt években + ügyel a kódminőségre
    • Egyértelmű vesztes a NetBSD, amiben egy tonna elavult és kompatibilitást biztosító felesleges kód van + kevésbé ügyelnek a biztonságos kódra, minőségre
    • A FreeBSD valahol a kettő között van
    • Mindhárom BSD kernelében - az OpenBSD-ben is - könnyű bugokat találni
    • A BSD-k karbantartóinak többet kellene kommunikálniuk egymással (vannak bugok, amiket pl. a NetBSD már javított, de jelen van az OpenBSD-ben és fordítva stb.)

      További részletek: Are all BSDs created equally? A survey of BSD kernel vulnerabili9es.

    • 2017. augusztus 3.

      A DigiCert megvette a Symantec tanúsítványkiadóját

      A Digicert bejelentette, hogy felvásárolta a Symantec Website Security és egyéb PKI üzletágait.

      A felvásárlásnak valószínűleg köze van ahhoz, hogy a Google-nek megrendült a bizalma a Symantec és a birtokában levő CA-k (Thawte, RapidSSL) validációs eljárásaiban. Később született egy olyan megállapodás, mely szerint augusztus 8-a után már csak egy - akkor még ismeretlen - "Managed CA" által aláírt Symantec tanúsítványokkal lehet további tanúsítványokat kiadni.

      A Digicert egy ügyfeleknek kiküldött levélben ezt írta virágnyelven:

      Idézet:
      Also, some of you may be wondering about any implications our announced acquisition will have on the ongoing debate between Symantec and the browser community about trust in their certificates.

      Earlier this year, the browsers proposed a plan to limit trust in Symantec certificates after discovering issues with how they were validating and issuing digital certificates. Importantly, we feel confident that this agreement will satisfy the needs of the browser community.