Bezpečnostní přehled: Nový Chrome i Firefox

Z operačních systémů vyšly loni jako systém s nejméně zranitelnostmi Windows. Mobilní řešení čím dál víc konkurují klasickým platebním kartám. Mezi bankovními trojany je jasně nejrozšířenější Zeus. Následuje pravidelný bezpečnostní přehled vytvářený především podle webů ZDNet, CNet, The Register a HelpNet Security.

Boj proti exploit kitům – autoři malwaru jsou líní

Microsoft uvedl platformu Kizzle, která má být speciálně zaměřena proti útokům pomocí exploit kitů. Principem má být rychlé rozpoznání malwaru založené na tom, že podvodníci jsou líní a rádi využívají již existující kódy, přístup má být ale mnohem rychlejší než při tvorbě klasických virových definic. I když podvodníci mění instalovaný malware nebo samotné kódy pro zneužití, ve skutečnosti třeba používají podobné/stejné obslužné programy apod. To, co má být v rámci Kizzle identifikováno, je konkrétně nejčastěji javascriptový kód vložený do HTML stránky, takže právě proti útokům z webu je nástroj určen především. S klasickými desktopovými antiviry by neměl kolidovat, ale doplňovat je. Na projektu se podílejí také výzkumníci z německé University of Erlangen-Nuremberg.

Nové verze prohlížečů

Nová verze Chrome 41 přináší až 51 bezpečnostních oprav, kromě toho má vylepšovat stabilitu a rychlost. 13 z bezpečnostních záplat je hodnoceno jako vysoce závažných, za reportování chyby CVE-2015-1212 Google anonymnímu spolupracovníkovi zaplatil 7 500 dolarů, další 3 zranitelnosti se dočkaly odměny 5 000 dolarů. Není známo, že by některá z opravených zranitelností byla aktivně zneužívána.
Viz také: Zero day chyby na každém kroku

Aktualizován byl také prohlížeč Firefox, nová verze 37 má vylepšit především práci s certifikáty. Online Certificate Status Protocol byl nahrazen nových mechanismem OneCLR, který by měl udržovat centrální databázi odvolaných certifikátů a poskytovat ji prohlížeči; proces by měl probíhat rychle, automaticky bez interakce uživatele a nevyžadovat ani restart prohlížeče.

Jak porovnávat bezpečnost OS

Podle GFI bylo v roce 2014 nejvíce zranitelností objeveno v systémech Mac OS X, následoval iOS, Linux a ze sledovaných OS nejméně bezpečnostních chyb ve Windows. Co se týče pořadí pro závažné chyby, zde na tom Windows a Linux byly stejně; samozřejmě je otázka, jak to počítat: např. u Windows jsou některé chyby v jádře rozšířené napříč podporovanými OS, jiné se týkají pouze jediné verze. U Linuxu zase existují „plošné“ chyby v jádře a kromě toho zranitelnosti specifické pro jednotlivé distribuce.
V databázích zranitelností ovšem chyby v OS představují jen asi 13 % všech reportů, 80 % se týkalo aplikací třetích stran. Nicméně meziročně i tak vzrostly chyby reportované v operačních systémech až o 50 % – což zase může souviset ne se samotnou bezpečností, ale i s programy odměn pro výzkumníky apod. Zůstává zde také rozsáhlý černý trh chyb, které nikdo oficiálně neohlásil.
Z webových prohlížečů bylo nejvíce zranitelností hlášeno pro Internet Explorer (zase metodický problém, nemá se to alespoň částečně počítat i do Windows jako takových), ten jasně „vyhrává“ i co se týče zranitelností kritických.

Rizikem jsou i legitimní mobilní aplikace

Firma FireEye provedla analýzu 7 milionů mobilních aplikací distribuovaných v loňském roce; mělo jít o oblíbené nástroje, které si prostřednictvím oficiálních kanálů stáhlo alespoň 50 000 uživatelů. 31 % těchto aplikací obsahovalo nějaký bezpečnostní problém, 18 % pak uživatele přímo ohrožuje. Počet aplikací pro Android, která vystavují citlivá data rizikům úniku, vzrostl meziročně o 500 %, nicméně jako rizikové bylo vyhodnoceno i 1 400 aplikací pro iOS (k dispozici mimo App Store, tedy instalace vyžaduje jailbreaking).

Na Google Play se údajně často podaří podstrčit aplikace provázané s agresivním adwarem, který by se již dal pokládat za malware. Podobný problém představují legitimní aplikace, do nichž jsou však zabudovány nezabezpečené knihovny třetích stran nebo reklamní moduly, nad nimiž tvůrci aplikace nemají kontrolu.

Nejrozšířenější bankovní trojany

Symantec analyzoval bankovní malware použitý pro útoky na téměř 1 500 finančních institucí v 86 zemích, z čehož vyšlo pořadí nejpoužívanějších trojských koní. Zeus/Zbot a jeho varianty typu Citadela infikovaly více zařízení (asi 4 miliony) než všechny další bankovní trojské koně dohromady. V průběhu loňského roku však počet zařízení infikovaných bankovním malwarem poklesl o více než 50 %; zřejmě to souvisí s likvidací několika botnetů a zatýkáním nejen jednotlivců, ale i organizovaných skupin.
Některé z velkých finančních institucí v USA i Evropě (respektive jejich zákazníci) prý byly terčem útoků pomocí prakticky všech sledovaných škodlivých kódů. Bankovní trojany kromě vlastních bank napadají také PayPal a eBay, v poslední době též další transakční systémy typu převodů bitcoinu.
Viz také: Bezpečnostní přehled: Nová extrémně nebezpečná verze malwaru Zeus

Bezpečnost a mobilní platby

Bezpečné bezkontaktní platby aplikacemi Google Play, založenými na technologii Host Card Emulation (HCE), během roku 2015 nově zavede přes 30 členských bank asociace Visa Europe. Již nyní tyto aplikace využívá sedm členských bank. Tyto služby jsou již dostupné na Slovensku a v průběhu letošního roku by měly být spuštěny i v ČR.

Mobilní platby HCE jsou k dispozici pro zákazníky, jejichž smartphony podporují technologii NFC (Near Field Communication).
Zdroj: tisková zpráva asociace Visa Europe

Samsung oznámil, že v létě spustí zabezpečenou a snadno ovladatelnou službu pro placení pomocí mobilního zařízení. Samsung Pay má hned od počátku podporovat velké množství obchodů. Na rozdíl od mobilních peněženek, které přijímá jen malé množství obchodníků přes tzv. magstripe terminály, budou moci uživatelé Samsung Pay využívat své mobilní zařízení při placení na stávajících terminálech v místech prodeje. Samsung podporuje nejen technologii NFC, ale také novou patentovanou technologii Magnetic Secure Transmission (MST).
Zdroj: tisková zpráva společnosti Samsung

Na bezpečnost se zaměří i menší tuzemské organizace

Některé očekávané trendy pro letošní rok, konkrétně pro ČR:

• větší rozšíření základních bezpečnostních mechanismů, zejména šifrování, pro ochranu sdíleného obsahu na vzdálených datových úložištích a prevenci úniku tohoto typu dat;
• více komplexnějších bezpečnostních řešení budou zavádět tuzemské malé a střední firmy;
• rozšíří se vícefaktorová autentizace, a to i mimo kritické aplikace typu internetového bankovnictví;
• významný bude český Zákon o kybernetické bezpečnosti, který letos vstoupil v platnost, stále více předpisů se v tomto ohledu ale bude přijímat na celoevropské úrovni.
  Zdroj: tisková zpráva společnosti Safetica Technologies

Ze světa firem

Průzkum mezi studenty – držiteli průkazu ISIC v ČR ukázal, že studenti spoléhají na antivirové programy, ale další možnosti ochrany využívají jen málo. Průzkum realizovala společnost GTS Alive ve spolupráci se společností Eset a sdružením Národní centrum bezpečnějšího internetu.

Zatímco phishingu a podvrženým falešným formulářům na webu se studenti brání úspěšně (za oběť těmto podvodům padlo pouze 6 % resp. 3 % procenta respondentů), zavirované e-maily jsou nebezpečnější. Plných 12 % účastníků průzkumu uvedlo, že se stali obětí útoku tohoto typu.
Zdroj: tisková zpráva společnosti Eset

Kaspersky Lab uzavřela partnerství se švédskou neziskovou asociací biohackerů BioNyfiken. Již dnes se používají implantáty, které jsou řízeny dálkově, včetně kardiostimulátorů, inzulinových pump, sluchových zařízení nebo stimulátorů mozkových funkcí. Švédská BioNyfiken se snaží rozšířit fenomén i dalších implantátů, které nejsou ze zdravotního hlediska nutné, ale zjednodušují uživatelům život. „Tato technologie je už realitou. Vidíme rostoucí komunitu lidí experimentujících s implantovanými čipy, které jim umožňují provádět rychle a snadno řadu denních úkolů, jako je vstup do budov, odemčení osobních zařízení bez nutnosti PINu a čtení různých druhů uložených dat,“ uvádí jeden ze zakladatelů BioNyfiken Hannes Sjoblad.
Zdroj: tisková zpráva společnosti Kaspersky Lab

Nově uvedené smartphony Galaxy S6 a Galaxy S6 edge nabízejí pro podnikové uživatele platformu Knox (bezpečnostní nadstavba nad Androidem).
Zdroj: tisková zpráva společnosti Samsung

Bezpečnostní technologii Intel/McAfee si k zabezpečení svých osobních zařízení zvolily firmy Brightstar, Deutsche Telekom, LG Electronics, Prestigio a Samsung. Deutsche Telekom předinstaluje produkt Intel True Key (biometrické přihlašování namísto hesel) pro všechny své zákazníky v Evropě.
Zdroj: tisková zpráva společnosti Intel
Viz také: Intel uvádí nová mobilní SoC a řešení pro LTE

Citrix oznámil rozšíření své spolupráce s Googlem a podporu XenMobile pro iniciativu Android for Work (mj. nasazení kontejnetů oddělujících obsah a aplikace s různými bezpečnostními pravidly).
Zdroj: tisková zpráva společnosti Citrix

AVG představila novou verzi platformy AVG Zen. Pro koncové uživatele bude AVG Zen dostupný za několik měsíců, přičemž podle dodavatele nabídne přístup k bezpečnosti orientovaný na členy rodiny (např. kontrola aktivit dětí na telefonu, sledování jejich polohy) a na mobilních zařízeních přinese podporu partnerských aplikací a připojené nositelné elektroniky.
Zdroj: tisková zpráva společnosti AVG Technologies

AVG překročila hranici 200 milionů aktivních uživatelů po celém světě, z čehož je přes 100 milionů uživatelů mobilních.
Zdroj: tisková zpráva společnosti AVG Technologies

D-Link rozšiřuje nabídku automatizovaných zařízení mydlink Home o novou centrálu a řadu zařízení využívajících Wi-Fi a Z-Wave. Součástí platformy jsou např. následující zařízení: dveřní a okenní čidlo Z-Wave Door & Window Sensor (DCH-Z110), čidlo detekce pohybu Z-Wave Motion Sensor (DCH-Z120), kouřové čidlo Z-Wave Smoke Detector, Wi-Fi čidlo zaplavení vodou (DCH-S160) a Wi-Fi siréna (DCH-S220).
Zdroj: tisková zpráva společnosti D-Link

Jan Vachuda nastoupil do společnosti Ness na pozici Security Practice Manager.
Zdroj: tisková zpráva společnosti Ness Technologies

Avast oznámil vydání nové aplikace SecureMe, která je určena pro zařízení s operačním systémem iOS. Tato bezplatná aplikace chrání před sledováním, únikem dat či DNS útoky v důsledku připojování na nedostatečně zabezpečené Wi-Fi sítě. Jakmile se uživatel rozhodne se připojit k Wi-Fi síti, kterou technologie vyhodnotí jako rizikovou, Avast SecureMe vytvoří bezpečné připojení. Použitá technologie je totožná s tou, kterou využívají produkty Avast na PC. Funkce Wi-Fi Security je nyní nově dostupná také v rámci bezpečnostní aplikace Avast Mobile Security určené pro Android.
Zdroj: tisková zpráva společnosti Avast

Panasonic představil kameru Nubo, dle dodavatele první sledovací kameru na světě s podporou 4G, která umožňuje sledování nemovitostí a majetku bez potřeby připojení Wi-Fi.
Zdroj: tisková zpráva společnosti Panasonic

MasterCard spustila koncem roku 2014 v ČR globální službu MasterPass, jejímž prostřednictvím je majitelům digitálních peněženek umožněno platit na internetu. Počet obchodníků využívajících službu byl koncem roku zhruba 2 000 a během roku 2015 se předpokládá nárůst na dvojnásobek a kompletní pokrytí českého e-commerce trhu.
Zdroj: tisková zpráva společnosti MasterCard

Na trh přichází Red Hat Enterprise Linux 7 Atomic Host, operační systém optimalizovaný pro běh další generace aplikací s linuxovými kontejnery. K výhodám kontejnerového přístupu má patřit flexibilnější nasazování aplikací a jednodušší správa. Otázky bezpečnosti a životního cyklu kontejnerů řeší Red Hat Enterprise Linux Atomic Host pomocí automatizovaných bezpečnostních aktualizací na vyžádání. Zabezpečení má zvyšovat také použití SELinux, cgroups a jmenných prostorů jádra. V prostředích s více kontejnery umožňují tyto vlastnosti izolovat každý z kontejnerů.
Zdroj: tisková zpráva společnosti Red Hat

Psali jsme na ITBiz

Na téma bezpečnosti na ITBiz viz také:

Hackeři sledují firemní sítě před zahájením útoku i měsíce
Útočníci namísto využití malwaru stále více kradou přístupové údaje, které používají ke vzdálenému přístupu do systémů. Vypadají pak jako legitimní uživatelé a je těžší je odhalit. Oběti nakonec téměř vždy najdou ve svých systémech škodlivé kódy použité při útoku a odstraní je, avšak málokdy zcela pochopí, jak celý útok proběhl. Ze studie FireEye vyplývá, že v 69 % průniků se oběť o útoku dozvěděla od jiného subjektu.

Mohlo by vás zajímat:

• Hackeři ukradli data o klientech zdravotní pojišťovny Anthem
• Bezpečnostní přehled: Zranitelnost Heartbleed je stále všudypřítomná
• Za únik firemních dat mohou více zaměstnanci než softwarové chyby
• Asi tři čtvrtiny domácností s internetem nemá zabezpečený router
• Průzkum: Až tři čtvrtiny tuzemských firem přišly o citlivá data
• Windows Server 2003 – časovaná bomba

Příbuzná témata: Hacker, Malware,
Bezpečnost, Soukromí, Technologie, Sběr dat