Bezpečnostní přehled: Jak narušit ovládání elektrospotřebičů či prolomit šifrování GPRS

Pavel Houser , 11. srpen 2011 11:30 1 komentářů
Bezpečnostní přehled: Jak narušit ovládání elektrospotřebičů či prolomit šifrování GPRS

V tomto týdnu se kalendář sešel s druhým úterkem v měsíci, kdy Microsoft vždy vydává své bezpečnostní záplaty. Dojde i na bezpečnost aplikací pro chytré telefony, státem podporovanou kybernetickou špionáž a šifrování v sítích GPRS. Následuje pravidelný čtvrteční bezpečnostní přehled.

Již s předstihem bylo oznámeno, že kritické chyby budou opraveny v Internet Exploreru a serverových verzích Windows. Microsoft tentokrát vydal 13 aktualizací (bulletinů zabezpečení), které látají 22 zranitelností.

Zdroj: The Register

Zranitelnosti v Internet Exploreru mohou umožnit vzdálené spuštění kódu pouze při návštěvě podvodného webu (útok typu drive-by download). Týkají se všech verzí prohlížeče včetně nejnovějšího MSIE 9. Ačkoliv útoky proti těmto chybám dosud neprobíhají, Microsoft uvádí, že exploity se rozšíří pravděpodobně už v příštích 30 dnech. (Poznámka: Microsoft dělí zranitelnosti podle jejich závažnosti, ale kromě toho přidává i tzv. exploitability index, který se pokouší odhadnout, do kdy se rozšíří pokusy těchto zranitelností zneužívat.)

Rovněž tak chyba v serverových verzích Windows jde napříč operačními systémy, od Windows Server 2003 po Windows Server 2008 R2. Týká se služby Microsoft DNS. Zranitelnost v tomto případě souvisí s možností spustit falešný DNS server, Microsoft ovšem nepředpokládá výskyt funkčního exploitu v příštím měsíci. Nicméně riziko zde existuje, protože firmy s infrastrukturou založenou na Windows mají většinou službu Microsoft DNS povolenou.
Další opravené chyby se vztahují k MS Office, Visual Studio a MS .Net.

Zdroj: Help Net Security

Společnost McAfee zveřejnila analýzu další obrovské akce kybernetické špionáže. Cílem zlodějů dat byly velké firmy i vlády řady států. Studie s názvem Operation Shady RAT se v názvu odkazuje i k nástrojům pro vzdálený přístup (remote access tools).

Za posledních 5 let bylo terčem těchto útoků minimálně 70 subjektů, po celém světě a ve všech oborech podnikání. Nešlo o nějaké jednorázové zneužívání softwarových zranitelností, ale o systematické útoky typu APT (Advanced Persistent Threats). Akce tohoto rozsahu je zřejmě dílem jediné skupiny a pravděpodobně se uskutečnila s podporou některé z vlád nebo jiných organizací disponujících potřebným zdroji.

Oproti komentářům, které viní z akce Čínu, vydala McAfee k dokumentu i speciální FAQ, kde se výslovně uvádí, že firma nechce nikoho jmenovat. Ostatně ani postižené společnosti nejsou přímo jmenovány, i když v některých případech by se z charakteristiky (ve stylu „vietnamská státem vlastněná firma podnikající v oblasti XY“) možná daly se slušnou spolehlivostí dohledat. Pro zájemce přikládáme odkaz na Kompletní text studie Operation Shady RAT.

Studie bezpečnostní firmy ViaForensics se soustředila na porovnání bezpečnosti iPhonu a zařízení se systémem Android. Tentokrát ale nešlo o samotné operační systémy, ale o aplikace. Obecně výsledky nedávají příliš důvodů k optimismu, protože aplikace ukládají často více dat, než skutečně potřebují, navíc řada údajů včetně přihlašovacích jmen (76 %) a hesel (10 %) bývá uložena v nešifrované podobě. Přitom aplikace, které z hlediska šifrování vyhověly, neměly ani problém s výkonem, čili tato námitka proti implementaci šifrování padá. Obecně byly lépe zabezpečené finanční aplikace, ale i v těch byla objevena řada problémů (nevyhověly Mint pro iPhone a Android, Square pro iPhone a Wikinves pro iPhone). Jinak selhal např. Groupon pro Android. Celkově aplikace pro iPhone obstály o něco lépe než ty pro Android, aniž by tyto výsledky ovšem šlo příliš zevšeobecňovat. Jisté důvody k obavám mají podle ViaForensics uživatelé obou platforem. Většina možných zneužití je v těchto případech (naštěstí?) spojena s tím, že se útočník dostane fyzicky k příslušnému zařízení.

Zdroj: CNet

BetaNews

Byl ukázán způsob, jak narušit automatizované sítě v domácnostech i kancelářských budovách pomocí zařízení připojeného pouze do elektrické zásuvky (i vně samotné sítě). Předpokladem pro úspěch je, aby vnitřní automatizovaná síť využívala veřejné elektrorozvodné sítě a protokol X10; nejedná se tedy o útok proti samotné infrastruktuře IT, ale proti systémům pro ovládání elektrických zařízení.

defcon

Připojený box (X10 Black Out) je naprogramován tak, aby interferoval s řídicími signály. Výsledně je možné například narušovat systémy, které mají zapínat/vypínat bezpečnostní kamery, klimatizaci, topení, osvětlení, alarm..., vyvolat chaos a vyřadit síť z provozu. Navíc byl demonstrován i nástroj (X10 Sniffer), který umožňuje komunikaci odposlouchávat a zjistit, jaká zařízení jsou připojena k síti a v jakém jsou zrovna stavu (zapnuto/vypnuto). Pokud má obyvatel domu na sobě čidlo pro automatickou reakci systémů na jeho pohyb, lze pak sledovat i pohyb člověka.

Jádro problému má údajně spočívat v tom, že protokol X10 nepoužívá šifrování.

Zdroj: CNet

{seealso}
Karsten Nohl, výzkumník z berlínských Security Research Labs, tvrdí, že se mu podařilo prolomit šifrování sítí GPRS. Některé GPRS sítě (Telecom Italia) podle něj nepoužívají šifrování vůbec, řada dalších (Vodafone, O2 a T-Mobile v Německu, tedy lze nejspíš vztáhnout i na ČR) ho má špatně implementováno. Nohl tvrdí, že nedostatečné ověřování v sítích umožňuje podvodníkům sbírat data třeba tak, že zkonstruují falešné základnové stanice. Nasazené šifrovací klíče bývají zbytečně krátké a umožňují útoky hrubou silou, a to pomocí nijak finančně náročného hardwaru. Přitom k dispozici je již 128bitové šifrovací schéma, ale podle Nohlových informací ho dosud žádný operátor nenasadil. Nohl již v minulosti prolomil např. šifrovací schéma Kasumi pro ochranu sítí 3G.

Zdroj: The Register

Na závěr také připomeňme, že také probíhala konference DefCon, z níž jsme i zde přinesli několik zpráviček:

Cílem kybernetického útoku se může stát i lidské tělo

DefCon zahanbil korporace, nejhůře dopadl Oracle

Počítačové viry jsou tu s námi již 25 let


Komentáře

Guccimag #1
Guccimag 13. srpen 2011 15:27

No to je tedy síla. To už jdou v současnosti i takové to věci... . Bůh ví jak to tu bude vypadat za 50 let stěma všema novejma technologiema

RSS 

Komentujeme

V datových centrech už nejde o Windows?

Pavel Houser , 22. březen 2017 12:47
Pavel Houser

Trevor Pott si na The Register pokládá otázku o budoucnosti serverových Windows na platformě ARM. ...

Více






Kalendář

25. 03. INSPO 2017
31. 03. CRA IoT Hackathon
04. 04. Affiliate konference
RSS 

Zprávičky

Bosch a IBM začaly spolupracovat na IoT pro průmysl

Pavel Houser , 24. březen 2017 13:08

Výrobci aut mohou nyní plánovat a organizovat aktualizaci softwaru u milionů vozů....

Více 0 komentářů

Apple čeká na Novém Zélandu vyšetřování kvůli daním

ČTK , 24. březen 2017 13:00

Americkou společnost Apple čeká na Novém Zélandu vyšetřování, navzdory miliardovému obratu tam totiž...

Více 0 komentářů

Huawei a SUSE spolupracují na platformě pro kritické úlohy

Pavel Houser , 24. březen 2017 11:42

SUSE Linux Enterprise Server jako preferovaný standardní OS pro KunLu umožňuje výměnu procesorů a pa...

Více 0 komentářů

Starší zprávičky

Novela zavádí lepší užití informačních systémů veřejné správy

ČTK , 24. březen 2017 08:00

Zákon má mj. zabránit duplicitě informačních systémů a plýtvání penězi při jejich nákupu....

Více 0 komentářů

Workplace Hub pro optimalizaci systémů i procesů

Pavel Houser , 23. březen 2017 16:09

Konica Minolta v partnerství se společnostmi Microsoft, HPE, Sophos, Canonical a BrainTribe přichází...

Více 0 komentářů

Jen necelá polovina firem pravidelně zkoumá data o zákaznících

ITBiz.cz , 23. březen 2017 14:30

Podle studie společnosti Oracle pouze 44 % firem pravidelně zkoumá data o svých zákaznících s cílem ...

Více 0 komentářů

Google umožní sdílení polohy přes aplikaci Google Maps

ČTK , 23. březen 2017 13:30

Uživatelé populární mapové aplikace Google Maps budou moci od příštího týdne sdílet s ostatními svou...

Více 0 komentářů