Bezpečnostní přehled: Adobe unikla data o zákaznících i zdrojové kódy

Pavel Houser , 16. říjen 2013 10:00 0 komentářů
Bezpečnostní přehled: Adobe unikla data o zákaznících i zdrojové kódy

Google začne platit za látání vybraného open source softwaru. Adobe vyšetřuje, co se vlastně stalo při vniknutí útočníků do jejích systémů. V ČR můžou za úniky dat především zaměstnanci. Následuje pravidelný bezpečnostní přehled vytvářený především podle webů ZDNet, CNet, The Register a HelpNet Security.

Průnik do sítě Adobe způsobil, že útočníci se dostali k účtům a šifrovaným finančním informacím (čísla karet apod.) téměř 3 milionů zákazníků Adobe. Ti jsou tak nyní mj. ve zvýšené ohroženi cíleným phishingem – e-mailové adresy, čísla licencí apod. informace totiž šifrovány nebyly.

Útočníkům také padly do rukou zdrojové kódy – Adobe Acrobat, ColdFusion, ColdFusion Builder a dalších produkty Adobe. To je samozřejmě dost nepříjemné, protože to útočníkům může pomoci kompromitovat servery i koncové počítače. Otázkou je, zda ony „další“ produkty zahrnují i přehrávač Flash Player nebo PDF Reader, kde se zero day útoky (včetně vysoce cíleného spear phishingu) objevují hodně často už beztak.

Navíc existuje obava, že útočníci nejen zdrojové kódy získali, ale mohli i modifikovat - jak pro HelpNet Security uvádí Chris Petersen, ředitel společnosti LogRhythm; Tim Keanini, technický ředitel společnosti Lancope, zase tvrdí, že na rozdíl od situace před 15 lety se dnes podobný incident nepokládá za konec světa, v době ATP se to prostě stává mnohým velkým firmám; je třeba se připravovat i na takovou možnost a vytvořit mechanismy, které v takovém případě zajistí kontinuitu provozu, potřebné reportování incidentu apod. Další zdůraznění komentátorů: v Adobe se zřejmě šifrovalo to, co se muselo podle zákona, ale nic víc, i když šlo o aktiva typu zdrojových kódů.

Další podrobnosti: * Brad Arkin, Adobe Chief Security Officer, uvádí, že možná šlo o dva různé útoky; jedni narušitelé získali databázi zákazníků, druzí zdrojové kódy. * Podezření o útoku se objevilo, když bezpečnostní experti Brian Krebs a Alex Holden zjistili balík 40 GB kódu dat na podezřelém serveru. * K úniku kódů došlo nejspíš už v polovině srpna. Nemohli ho tedy útočníci už změnit, nedodávala pak Adobe zákazníkům binární verze softwaru nějak nakaženého? B. Arkin uvádí, že u Cold Fusion bylo porovnáno více verzí kódu a žádná změna zjištěna nebyla.

Ve směrovačích D-Link (modely DIR-100, DI-524, DI-524UP, DI-604S, DI-604UP, DI-604+ a TM-G5240) byla objevena zadní vrátka. Fungují zřejmě také ve směrovačích Planex, protože i ty používají stejný firmware. Útočník může finálně k webovému rozhraní zařízení přistupovat bez znalosti hesla. Oprava v tuto chvíli není k dispozici, doporučuje se zakázat k zařízení přístup mimo síť LAN.

Trend Micro oznámila koupi malé bezpečnostní firmy Broadweb, která se zaměřuje na technologie pro hloubkové sledování paketů. Firma sídlí na Tchaj-wanu a její nástroje se používají pro prevenci vniknutí, blokování cílených útoků, ale také pro správu pásma a klasifikaci přenosů. Finanční podrobnosti transakce nebyly oznámeny.

Hacknut byl správce DNS záznamů Web.com. Návštěvníci zákazníků byli kvůli tomu krátce přesměrováváni na propalestinský web. Mezi postiženými se z bezpečnostních firem nacházeli např. Avira a AVG nebo tvůrci penetračního nástroje Metasploit, nedošlo však údajně k žádnému incidentu (falešné aktualizace softwaru apod.). Web, na něž se přesměrovávalo, se omezoval na politická prohlášení, nepokoušel se instalovat malware.

Google začne odměňovat i nalézání bezpečnostních chyb v open source softwaru, který je dílem třetích stran. Odměny se mají vyplácet nikoliv za samotné odhalení zranitelnosti, vyžadováno je i proaktivní vylepšení. Zpočátku se program vztahuje ke knihovnám v OpenSSL a Open SSH, DNS softwaru BIND a bezpečnostním komponentám jádra Linuxu. Po počátečním zkušebním období má přijít řada např. na Postfix, Sendmail či webový server Apache. Podle Googlu je účelnější prostředky vynakládat cíleně jen na specifikované projekty a neplatit za vylepšování open source softwaru, který nikdo nepoužívá.

Švédská Fingerprint Cards měla být koupena Samsungem za 650 milionů dolarů. Bezpečnosti se tato zpráva týká hned dvakrát; zmíněná společnost jednak vyrábí biometrické systémy, za druhé pak celé oznámení bylo podvodem, který na chvíli zvýšil hodnotu akcií firmy až o 50 %. (Ono oznámení bylo docela logické, viz čtečka otisků prstů na iPhone 5; Samsung jako rival Applu určitě zvažuje podobné technologie.) Švédští regulátoři kapitálového trhu stornovali obchody za asi 25 milionů dolarů, které mezitím proběhly, věc se samozřejmě dále šetří. Tiskovou zprávu rozeslal agregátor tiskových zpráv, který se předtím podvodníkům podařilo oklamat.

Kaspersky Lab vydala aktualizovanou verzi mobilního podnikového zabezpečení Kaspersky Security for Mobile pro platformy s Androidem a iOS. K dispozici jsou nyní na Google Play i Apple App Store (což umožňuje řešení centrálně a automaticky aktualizovat). Produkty obsahují nové funkce jako například upozornění na roaming nebo automatické Wi-Fi profily (konfigurace přístupu do firemní Wi-Fi sítě ) také pro Android. Obě platformy nyní také obsahují systém na obnovu hesel do zašifrovaných úložišť.

Zdroj: tisková zpráva společnosti Kaspersky Lab

Po BYOD přichází trend BYOS, tedy požadavek zaměstnanců používat pro práci nejen vlastní zařízení, ale i software. Protože ale software je dnes stále častěji poskytován jako webová služba, pro IT oddělení je obtížné provoz BYOS monitorovat.

Zdroj: McAfee blog central

Cisco uvádí Meraki MR34, první přístupový bod s technologií 802.11ac plně spravovaný z cloudu. MR34 je vybaven třetím vyhrazeným vysílačem, který funguje jako unikátní radiofrekvenční senzor, neustále prověřující okolní RF pásmo. Poskytuje tak zvýšenou ochranu před bezdrátovými útoky i frekvenčním rušením.

Zdroj: tisková zpráva společnosti Cisco

Úniky dat v ČR jsou z 95 % způsobeny zaměstnanci, ve více než 70 % případů úniků se přitom jedná o úmyslné odcizení informací. Nějakou zkušenost se ztrátou dat má 43 % všech dotázaných společností. Více než 60 % firem nemá přehled, co se s jejími daty děje, kdo k nim přistupuje a jak s nimi zachází. Pravidla pro zacházení s citlivými daty nejsou obvykle stanovena, a i pokud jsou, často jen na papíře a nikdo nedohlíží na jejich dodržování. Příslušný průzkum provedla Unie malých a středních podniků.

Zdroj: tisková zpráva společnosti Safetica

Axis představuje novou kameru pro pevné venkovní instalace: model Axis Q1765-LE vyznačující se bytelnou konstrukcí. Vhodná má být proto i pro kritické instalace, jako jsou např. dopravní křižovatky.

Zdroj: tisková zpráva společnosti Axis Communications

Až 38 % organizací nepřijalo adekvátní bezpečnostní opatření ke zmírnění rizik v souvislosti s využíváním cloudových technologií, ať už jde o důslednější používání šifrovacích technik nebo pečlivější výběr dodavatelů cloudových služeb.

Zdroj: tisková zpráva společnosti CSC

Méně se to zmiňuje, ale spolu s Windows XP skončí i podpora MS Office 2003, dalšího oblíbeného, přestože hodně starého řešení (bez-ribbonového). Poslední aktualizace budou vydány nejpozději v dubnu 2014.


Komentáře


RSS 

Komentujeme

Chatbot mluví za mrtvého – od nápadu k realizaci

Pavel Houser , 30. listopad 2016 13:00
Pavel Houser

Na webu The Verge popsala Casey Newton příběh dvou přátel (Eugenia Kuyda a Roman Mazurenko). Peripet...

Více





Kalendář

RSS 

Zprávičky

Tchajwanský Foxconn jedná o rozšíření svých aktivit v USA

ČTK , 07. prosinec 2016 15:00

Tchajwanská společnost Foxconn jedná o rozšíření svých aktivit ve Spojených státech. Oznámila to dne...

Více 0 komentářů

Nejvyšší soud USA se postavil na stranu Samsungu proti Applu

ČTK , 07. prosinec 2016 12:30

Americký nejvyšší soud se v mnohaletém patentovém sporu mezi výrobci chytrých telefonů Apple a Samsu...

Více 0 komentářů

Evropská komise Microsoftu schválila převzetí sítě LinkedIn

ČTK , 07. prosinec 2016 10:30

Evropská komise schválila americké softwarové společnosti Microsoft záměr koupit za 26 miliard dolar...

Více 0 komentářů

Starší zprávičky

Porozumění větám, konkurence pro Turingův test

Pavel Houser , 06. prosinec 2016 18:00

Konverzační roboti mají stále problémy pochopit věty, kde smysl nelze vyvodit ze samotné gramatické ...

Více 0 komentářů

Americká GoDaddy koupí evropský webhosting Host Europe

ČTK , 06. prosinec 2016 16:00

Americký registrátor internetových domén GoDaddy, který je ve svém oboru největší na světě, se dohod...

Více 0 komentářů

Ruská Centrální banka oznámila masivní útok hackerů

ČTK , 06. prosinec 2016 11:00

Do systému ruské Centrální banky se letos dostali hackeři a s pomocí zfalšovaných hesel se pokusili ...

Více 0 komentářů

CETIN vydal dluhopisy za 25 miliard Kč

ČTK , 05. prosinec 2016 18:00

Česká telekomunikační infrastruktura (CETIN) upsala dluhopisy v eurech a korunách v celkovém objemu ...

Více 1 komentářů