HUP - titkosítás, biztonság

Subscribe to HUP - titkosítás, biztonság hírcsatorna
Frissítve: 56 perc 16 másodperc
2020. január 23.

"Big Microsoft data breach – 250 million records exposed"

"Big Microsoft data breach – 250 million records exposed" Titkosítás, biztonság xclusiv 2020. 01. 23., cs - 12:01

Big Microsoft data breach – 250 million records exposed https://t.co/Xe521ubswe

— Naked Security (@NakedSecurity) January 22, 2020

14 évnyi adat volt szabadon hozzáférhető majdnem egy hónapig. Részletek itt. A Microsoft bejelentése itt.

2020. január 14.

Megjelent a ModSecurity 3.0.4-es kiadása

Megjelent a ModSecurity 3.0.4-es kiadása Titkosítás, biztonság airween 2020. 01. 14., k - 14:19

Megjelent a legnépszerűbb nyílt forráskódú WAF legújabb kiadása, a ModSecurity 3.0.4-es verziója.

2020. január 10.

Komoly pénzdíjjal és egy megnyerhető Tesla 3-mal jön az idei Pwn2Own vetélkedő

Komoly pénzdíjjal és egy megnyerhető Tesla 3-mal jön az idei Pwn2Own vetélkedő Titkosítás, biztonság trey 2020. 01. 10., p - 08:14

We're excited to announce #Pwn2Own Vancouver 2020 with new categories and returning partners, #Microsoft & @Tesla along with sponsor @VMware. More than $1,000,000 USD available - plus a Model 3! Details at https://t.co/eiZOb281Bk #P2OVancouver

— Zero Day Initiative (@thezdi) January 9, 2020

A ZDI bejelentette, hogy idén is megtartják népszerű, biztonsági szakemberek számára szervezett vetélkedőjüket, a Pwn2Own-t. Helyszíne a szokásos, a kanadai Vancouverben tartott CanSecWest konferencia. Időpontja 2020. március 18-20. A nyereményalap nem gyenge: több mint 1 millió dollár készpénz és egy vadonatúj Tesla Model 3-as. Az alábbi kategóriákban hirdettek versenyt:

2020. január 9.

P0: iPhone távoli exploitálsás 1, 2, 3. rész

P0: iPhone távoli exploitálsás 1, 2, 3. rész Titkosítás, biztonság trey 2020. 01. 09., cs - 19:55

Remote iPhone Exploitation Part 1: Poking Memory via iMessage and CVE-2019-8641 https://t.co/5F29wQtVJ4

— Project Zero Bugs (@ProjectZeroBugs) January 9, 2020

Remote iPhone Exploitation Part 2: Bringing Light into the Darkness -- a Remote ASLR Bypass https://t.co/USp8qmiRBs

— Project Zero Bugs (@ProjectZeroBugs) January 9, 2020

Remote iPhone Exploitation Part 3: From Memory Corruption to JavaScript and Back -- Gaining Code Execution https://t.co/7sFKXSHCcH

— Project Zero Bugs (@ProjectZeroBugs) January 9, 2020

A Google P0 csapatának blogján egy sorozat indult iPhone készülékek távoli exploitálásával kapcsolatban:

2020. január 8.

Frissítette közlési irányelveit a Google P0 csapata

Frissítette közlési irányelveit a Google P0 csapata Titkosítás, biztonság trey 2020. 01. 08., sze - 08:37

Policy and Disclosure: 2020 Edition https://t.co/437PanOTTx

— Project Zero Bugs (@ProjectZeroBugs) January 7, 2020

A Google Project Zero(P0) csapata az elmúlt években számos kritikus biztonsági sebezhetőség feltárásában és javításának elősegítésében működött közre.

2020. január 4.

FreeBSD local root exploit (FreeBSD-SA-19:02.fd)

FreeBSD local root exploit (FreeBSD-SA-19:02.fd) Titkosítás, biztonság trey 2020. 01. 04., szo - 16:39

Local root exploit for the FreeBSD fd vulnerability as disclosed in FreeBSD-SA-19:02.fd https://t.co/kEzzC3C0au #Rootkit #Vulnerability #Exploit #CyberSecurity #Infosec pic.twitter.com/aOTnmXuBWA

— Ptrace Security GmbH (@ptracesecurity) January 4, 2020

Ugyan a hibát a FreeBSD már rég javította, viszont aki nem patchelt, annak érdemes mielőbb, mert nemrég publikusan elérhető local root exploit látott napvilágot hozzá.

2019. december 18.

Plundervolt - ismét Intel processzorokat érintő sebezhetőséget/támadást jelentettek be

Plundervolt - ismét Intel processzorokat érintő sebezhetőséget/támadást jelentettek be Titkosítás, biztonság trey 2019. 12. 18., sze - 16:24

We present #plundervolt TL;DR First ever fault injection attack on Intel SGX enclaves. Abuses an undocumented software-based interface to undervolt the CPU. Extract full crypto keys and trigger memory safety violations in bug-free code. Read the paper at https://t.co/xfrFtNcQGE pic.twitter.com/ozuCF4Vzhh

— Jo Van Bulck (@jovanbulck) December 10, 2019

A hibát bejelentők közt van a Meltdown kapcsán ismertté vált Daniel Gruss is:

2019. december 13.

SockPuppet: egy iOS 12.4 kernel exploit kivesézése

SockPuppet: egy iOS 12.4 kernel exploit kivesézése Titkosítás, biztonság trey 2019. 12. 13., p - 08:36

SockPuppet: A Walkthrough of a Kernel Exploit for iOS 12.4 https://t.co/b6ZtRYS1br

— Project Zero Bugs (@ProjectZeroBugs) December 10, 2019

Ned Williamson a P0 csapat blogján egy olyan, iOS és macOS kernelt érintő súlyos sebezhetőséget elemez ki, ami öt évig volt jelen. A sebezhetőséget 2019 márciusában jelezte az Apple-nek, ami az iOS 12.3-ban ki is javította. Utána olyasmi következett, ami az Apple-nél nem ritka: a sebezhetőség "visszatért" az iOS 12.4-ben, amit aztán újra kijavítottak az iOS 12.4.1-ben, augusztusban:

In this post, we’ll look at CVE-2019-8605, a vulnerability in the iOS kernel and macOS for five years and how to exploit it to achieve arbitrary kernel read/write. This issue affected XNU as early as 2013, and was reported by me to Apple on March 2019. It was then patched in iOS 12.3 in May 2019 and I released the complete details including the exploit for iOS for analysis, named “SockPuppet,” in July 2019. It was then discovered that this issue regressed in iOS 12.4 and was later patched in iOS 12.4.1 in late August 2019.

A teljes leírás itt olvasható.

2019. december 6.

ProtonCalendar - naptárfunkcióval bővít a ProtonMail szolgáltatója

ProtonCalendar - naptárfunkcióval bővít a ProtonMail szolgáltatója Címkék Titkosítás, biztonság trey 2019. 12. 06., p - 12:53 Bevezető

ProtonCalendar will be in beta soon. Our secure and encrypted calendar will help you stay organized while protecting your data. This post explains exactly how we encrypt your data to ensure it stays safe: https://t.co/CKOj8ETMd4

— ProtonMail (@ProtonMail) December 5, 2019

A svájci központú, végpontok közti titkosítású, anonim e-mail szolgáltatást nyújtó Proton Technologies AG bejelentette, hogy szintén a biztonságot és a privát szféra védelmét szem előtt tartó naptárszolgáltatást indít hamarosan, egyelőre béta üzemben, ProtonCalendar néven. Részletek itt.

2019. november 14.

Új Intel CPU-hibák: Zombieload TAA, iITLB Multihit NX, JCC Errata

Új Intel CPU-hibák: Zombieload TAA, iITLB Multihit NX, JCC Errata Címkék Titkosítás, biztonság XMI 2019. 11. 14., cs - 08:39 Bevezető

Mai napon az Intel - havi rendszerességű biztonsági állapotjelentés keretében - nyilvánosságra hozott összesen 77 biztonsági figyelmeztetést. Ezek jelentős része driver, illetve firmware frissítés, viszont külön kiemelendő két, CPU-kat érintő sebezhetőség, valamint egy harmadik nem biztonsági, hanem stabilitási-jellegű processzorhiba.

A Zombieload TAA (TSX Asynchronous Abort) CVE-2019-11135, (Intel SA-00270), a korábban nyilvánosságra hozott Zombieload MDS (Microarchitectural Data Sampling) két új variánsát takarja.

Az iITLB Multihit CVE-2018-12207 (Intel SA-00210) denial of service támadásra ad lehetőséget memória-laptáblában szándékosan érvénytelen lapméretű bejegyzések létrehozásával. Úgy tűnik itt is egy korábbi hiba újabb variánsáról van szó.

A Jump Conditional Code (JCC) Errata - jelen ismereteink szerint - nem hordoz biztonsági kockázatot, ám ahhoz hasonló mitigációs lépéseket igényel. A hiba feltételes ugrás utasítások 32byte-os kerek címhatárokra kerülése esetén nemdeterminisztikus viselkedésben nyilvánul meg.

Mindhárom probléma csak az Intel processzorait érinti.

2019. november 11.

Az ISP-k ellenzése dacára az összes jelentős internetes böngészőben megjelenik a DNS-over-HTTPS támogatás

Az ISP-k ellenzése dacára az összes jelentős internetes böngészőben megjelenik a DNS-over-HTTPS támogatás Címkék Titkosítás, biztonság pepo 2019. 11. 11., h - 17:20 Bevezető

Mind a hat fő böngésző-gyártó azt tervezi, hogy támogatja a DNS-over-HTTPS (vagy DoH) protokollt, amely a DNS-forgalmat titkosítja és elősegíti a felhasználó magánéletének védelmét az Interneten.
A DoH segítségével a felhasználó DNS-forgalmát láthatatlanná teszi a harmadik féltől származó hálózati megfigyelők, például az internetszolgáltatók számára.

2019. október 23.

Tails 4.0

Tails 4.0 Címkék Titkosítás, biztonság trey 2019. 10. 23., sze - 16:26 Bevezető

Tails 4.0 is out: https://t.co/qWuniaS1cK.

Our most important release in years:

- Adds @KeePassXC
- Fixes @ElectrumWallet
- Updates OnionShare @micahflee
- Updates to @Debian 10
- Includes tons of performance and usability improvements, especially for non-English speakers pic.twitter.com/2MLHHZkkWo

— Tails (@Tails_live) October 22, 2019

Kiadták a Tails 4.0-s verzióját. A Tails az utóbbi időben került reflektorfénybe azzal, hogy kiderült, Snowden és csapata, Bruce Schneier is felhasználója, valamint, hogy az NSA-nál könnyen megfigyelésre jelölt lehet az, aki utána érdeklődik.

Részletek a bejelentésben.

2019. október 23.

Tails 4.0

Tails 4.0 is out: https://t.co/qWuniaS1cK.

Our most important release in years:

- Adds @KeePassXC
- Fixes @ElectrumWallet
- Updates OnionShare @micahflee
- Updates to @Debian 10
- Includes tons of performance and usability improvements, especially for non-English speakers pic.twitter.com/2MLHHZkkWo

— Tails (@Tails_live) October 22, 2019

Kiadták a Tails 4.0-s verzióját. A Tails az utóbbi időben került reflektorfénybe azzal, hogy kiderült, Snowden és csapata, Bruce Schneier is felhasználója, valamint, hogy az NSA-nál könnyen megfigyelésre jelölt lehet az, aki utána érdeklődik.

Részletek a bejelentésben.

2019. október 23.

Banki alkalmazások vonták vissza egyelőre ujjlenyomat támogatásukat a Samsung Galaxy S10 ujjlenyomat olvasási bugja miatt

Banki alkalmazások vonták vissza egyelőre ujjlenyomat támogatásukat a Samsung Galaxy S10 ujjlenyomat olvasási bugja miatt Címkék Titkosítás, biztonság trey 2019. 10. 23., sze - 09:52 Bevezető

Egy brit pár nemrég ujjlenyomat olvasási problémát vett észre a Samsung Galaxy S10 telefonjukkal kapcsolatban. A nő egy, az eBay-en vásárolt olcsó, szilikon kijelzővédőt applikált a készülékére, majd regisztráltatta az ujjlenyomatait a telefonjában. Ezután észrevette, hogy olyan ujjai ujjlenyomatával is fel tudja oldani készülékét, amelyet sosem regisztráltatott rajta. A férje is kipróbálta, az ő ujjaival is sikerült a telefont feloldani. A dolognak híre ment és eljutott a bankokhoz is, amelyek közül több, banki alkalmazásában egyelőre visszavonta a Samsung Galaxy S10 és a Galaxy Note 10 ujjlenyomat olvasóinak támogatását. A Samsung is reagált. Előbb azt közölte, hogy csak általa hivatalosan engedélyezett kijelzővédőket használjanak a felhasználók, majd később egy közleményt adott ki, amelyben jelezte, hogy dolgozik a patchen, amelyet hamarosan ki fog adni az érintett készülékek számára.

Egyesek szerint a helyzet sokkal rosszabb, gyakorlatilag egy darab hőre lágyuló poliuretán (Thermoplastic Polyurethane - TPU) darabka segítségével fel lehet oldani az érintett készülékeket olyan ujjlenyomattal, amit sosem regisztráltak a készülékeken, még akkor is, ha kijelzővédő nélkül regisztrálták rajta eredetileg az érvényes ujjlenyomatokat.

Részletek itt.

2019. október 23.

Banki alkalmazások vonták vissza egyelőre ujjlenyomat támogatásukat a Samsung Galaxy S10 ujjlenyomat olvasási bugja miatt

Egy brit pár nemrég ujjlenyomat olvasási problémát vett észre a Samsung Galaxy S10 telefonjukkal kapcsolatban. A nő egy, az eBay-en vásárolt olcsó, szilikon kijelzővédőt applikált a készülékére, majd regisztráltatta az ujjlenyomatait a telefonjában. Ezután észrevette, hogy olyan ujjai ujjlenyomatával is fel tudja oldani készülékét, amelyet sosem regisztráltatott rajta. A férje is kipróbálta, az ő ujjaival is sikerült a telefont feloldani. A dolognak híre ment és eljutott a bankokhoz is, amelyek közül több, banki alkalmazásában egyelőre visszavonta a Samsung Galaxy S10 és a Galaxy Note 10 ujjlenyomat olvasóinak támogatását. A Samsung is reagált. Előbb azt közölte, hogy csak általa hivatalosan engedélyezett kijelzővédőket használjanak a felhasználók, majd később egy közleményt adott ki, amelyben jelezte, hogy dolgozik a patchen, amelyet hamarosan ki fog adni az érintett készülékek számára.

Egyesek szerint a helyzet sokkal rosszabb, gyakorlatilag egy darab hőre lágyuló poliuretán (Thermoplastic Polyurethane - TPU) darabka segítségével fel lehet oldani az érintett készülékeket olyan ujjlenyomattal, amit sosem regisztráltak a készülékeken, még akkor is, ha kijelzővédő nélkül regisztrálták rajta eredetileg az érvényes ujjlenyomatokat.

Részletek itt.

2019. október 15.

Súlyos (root) sudo sebezhetőség

Súlyos (root) sudo sebezhetőség Címkék Titkosítás, biztonság trey 2019. 10. 15., k - 08:06 Bevezető

CVE-2019-14287

A flaw in Sudo—that comes installed on almost every #Linux OS—could let users run commands as "root" even when they're restricted.

Details ➤ https://t.co/NeFvITBR73

How? Just by specifying user ID "-1" or "4294967295" in the command instead of the root. pic.twitter.com/zlvC7PSYrI

— The Hacker News (@TheHackersNews) October 14, 2019

When sudo is configured to allow a user to run commands as an arbitrary user via the ALL keyword in a Runas specification, it is possible to run commands as root by specifying the user ID -1 or 4294967295.

Részletek itt.

2019. október 15.

Súlyos (root) sudo sebezhetőség

CVE-2019-14287

A flaw in Sudo—that comes installed on almost every #Linux OS—could let users run commands as "root" even when they're restricted.

Details ➤ https://t.co/NeFvITBR73

How? Just by specifying user ID "-1" or "4294967295" in the command instead of the root. pic.twitter.com/zlvC7PSYrI

— The Hacker News (@TheHackersNews) October 14, 2019

When sudo is configured to allow a user to run commands as an arbitrary user via the ALL keyword in a Runas specification, it is possible to run commands as root by specifying the user ID -1 or 4294967295.

Részletek itt.

2019. október 13.

Ransomware bűnszervezet áldozata előbb fizetett, majd visszatámadott és publikálta a banda összes visszafejtő kulcsát

Ransomware bűnszervezet áldozata előbb fizetett, majd visszatámadott és publikálta a banda összes visszafejtő kulcsát Címkék Titkosítás, biztonság trey 2019. 10. 13., v - 11:18 Bevezető

Ransomware Gang's Victim Cracks Their Server and Releases All Their Decryption Keys https://t.co/bzFfbh9b1e

— Slashdot (@slashdot) October 12, 2019

A bűnbanda egyik áldozata, a német programozó, Tobias Frömel előbb váltságdíjat fizetett azért, hogy visszakaphassa fájljait. Majd utána elemezte a Muhstik ransomware-t, rájött, hogy az hogyan működik és az infók birtokában hozzáfért a támadók szerverén levő adatbázishoz. A visszavágás eredményeként a Pastebin-en publikálta azokat a kulcsokat, amelyekkel a bűnbanda többi áldozata képes lehet visszafejteni saját, bűnözők által titkosított fájljait. Az általa közzétett Pastebin post 2858 visszafejtő kulcsot tartalmaz. Frömel emellett publikált egy decrypter alkalmazást is, amelyet az áldozatok felhasználhatnak a fájljaik visszaállításához. A programozó most azon van, hogy minél több áldozatot értesítsen a Twitter-en keresztül.

Részletek és linkek a Slashdot cikkében.

2019. október 13.

Ransomware bűnszervezet áldozata előbb fizetett, majd visszatámadott és publikálta a banda összes visszafejtő kulcsát

Ransomware Gang's Victim Cracks Their Server and Releases All Their Decryption Keys https://t.co/bzFfbh9b1e

— Slashdot (@slashdot) October 12, 2019

A bűnbanda egyik áldozata, a német programozó, Tobias Frömel előbb váltságdíjat fizetett azért, hogy visszakaphassa fájljait. Majd utána elemezte a Muhstik ransomware-t, rájött, hogy az hogyan működik és az infók birtokában hozzáfért a támadók szerverén levő adatbázishoz. A visszavágás eredményeként a Pastebin-en publikálta azokat a kulcsokat, amelyekkel a bűnbanda többi áldozata képes lehet visszafejteni saját, bűnözők által titkosított fájljait. Az általa közzétett Pastebin post 2858 visszafejtő kulcsot tartalmaz. Frömel emellett publikált egy decrypter alkalmazást is, amelyet az áldozatok felhasználhatnak a fájljaik visszaállításához. A programozó most azon van, hogy minél több áldozatot értesítsen a Twitter-en keresztül.

Részletek és linkek a Slashdot cikkében.