Zranitelnosti Poodle a Sandworm. IT oddělení nevědí, co a jak zaměstnanci sdílí, zaměstnanci připouštějí, že už někdy poslali citlivé informace omylem nezamýšlenému příjemci. Opravy pro Drupal a GroupMe. Následuje pravidelný bezpečnostní přehled vytvářený především podle webů ZDNet, CNet, The Register a HelpNet Security.
Správci webů používajících publikační systém Drupal by měli aktualizovat a přejít na nejnovější verzi 7.32. Záplata opravuje kritickou zranitelnost CVE-2014-3704. Chybu v rozhraní Drupalu lze údajně snadno zneužít útokem SQL injection a podvodníci si už celý postup automatizovali. Výsledkem může být např. získání nejvyšších oprávnění v systému nebo spuštění libovolného programu v PHP. Odhaduje se, že zranitelnou verzi používá téměř milion webů. Verze 6 se problém netýká.
Microsoft vydal opravu pro svého messagingového klienta GroupMe. Ve verzi pro iOS (4.4.4) byla zalátána kritická chyba, která umožňovala převzetí cizího účtu – stačilo pouze znát cílové telefonní číslo a podvodník se mohl dostat k účtu oběti, číst poštu a měnit hesla. GroupMe pro Android podle všeho zranitelný není. Pokusy o zneužití této zranitelnosti dosud zaznamenány nebyly.
Google opravil Chrome (Update 40) tak, aby uživatelé nebyli ohrožení útokem Poodle. Varuje, že některé servery mohou ale v důsledku opravy přestat fungovat, těch, které mají SSL implementováno správně, by se problém týkat neměl. Microsoft nabízí pro Internet Explorer opravný nástroj FixIt, který také odstraňuje podporu zranitelné verze SSL 3.
O zranitelnosti Poodle podrobněji viz jeden z předcházejících bezpečnostních přehledů.
Google oznámil uvolnění aplikace Nogotofail jako open source. Jedná se o nástroj pro testování síťové bezpečnosti, který má hledat potenciální díry spojené s protokolem https/TLS, zkoumat, zda se citlivé informace nepřenášejí ve formě prostého textu, testovat knihovny SSL nebo způsoby ověřování certifikátů. Nástroj je určen pro vývojáře aplikací a bezpečnostní výzkumníky.
Gottfrid Svartholm Warg, spoluzakladatel The Pirate Bay, si u dánského soudu vysloužil 3,5 roku vězení. Třicetiletý muž a jeho 21letý komplic se v roce 2012 nabourali do mainframu společnosti CSC, který používaly dánské vládní agentury, a zde si stahovali osobní informace milionů lidí a získali např. přístup i k policejním e-mailům.
Intralinks Holdings a Ponemon Institute vydaly studii mapující rizika systémů pro sdílení obsahu. Studie upozorňuje, že v mnoha firmách ztratila IT oddělení nad činnostmi zaměstnanců kontrolu a nedaří se jim prosazovat bezpečnostní pravidla. Většina zaměstnanců připouští, že už někdy omylem poslali citlivý dokument někomu, komu vůbec neměl přijít do rukou. Stejně tak většina respondentů průzkumu (USA, Británie, Německo) nedodržuje firemní pravidla o tom, jak se mají důvěrné dokumenty odstraňovat. K uchovávání a přenosu firemních dokumentů se běžně používá soukromý e-mail a další veřejné služby typu Dropboxu.
Podle prognózy společnosti Trend Micro v roce 2015 množství cílených útoků dále vzroste, a to zejména proto, že úspěšné akce spojované s Čínou či Ruskem budou inspirovat i další skupiny (včetně skupin napojených na místní vlády) k tomu, aby se pokoušely se o totéž. V současnosti jsou zaznamenána plošná napadnutí organizací v zemím jako Indonésie a Malajsie, cílem takových kampaní už zdaleka nebudou tedy jen velmoci nebo bohaté země. Tento typ kriminality se stane hlavní částí internetového zločinu. Narušení dat přestane být vymezováno jako jedna z kategorií útoků, protože sem bude spadat prakticky všechno. K dalším předpovědím patří, že cílem útoků se stanou nové platební metody.
Zranitelnost ve Windows označovaná jako Sandworm (viz předcházející bezpečnostní přehled) začala být aktivně zneužívání k útokům proti zákazníkům švýcarských bank. Podvodníci postupují prostřednictvím dokumentů ve formátu PPT, které obsahují škodlivý objekt OLE. Na útoky upozornila dánská bezpečnostní firma CSIS. Zaznamenány byly především v Polsku a na Ukrajině. Zdrojovou zemí je údajně Rusko.
Avast představil novou bezplatnou aplikaci pro Android: Avast Battery Saver. Jedná se o nástroj šetřící baterii, s bezpečností bezprostředně nesouvisí.
Zdroj: tisková zpráva společnosti Avast
AirLive představuje novou rodinu bezpečnostních mini kamer 720 IR.
Zdroj: tisková zpráva společnosti AirLive
Téměř třetina (31 %) „náctiletých“ respondentů v ČR lituje, že někdy něco zveřejnili na internetu. 68 % českých respondentů změnilo nastavení na Facebooku, aby nebyli tak snadno k nalezení. 62 % dotázaných poznamenalo, že jejich rodiče znají některá nebo všechna z jejich hesel (světový průměr je 70 %).
Zdroj: tisková zpráva společnosti AVG
GE Money Bank rozšiřuje biometrické podpisy na všechny pobočky, proces by měl zabrat půl roku. V současnosti je touto technologií vybaveno 112 poboček. Pro vytvoření biometrického vzoru se klient musí šestkrát podepsat na SignPadu, při zabezpečení každého biometricky podepsaného dokumentu se využívá jedinečná kombinace podpisu a časového razítka.
Zdroj: tisková zpráva společnosti GE Money Bank
87 % dotázaných IT specialistů věří, že největší bezpečnostní hrozbou pro mobilní zařízení jsou neopatrní zaměstnanci. Téměř dvě třetiny respondentů uvedlo, že poslední velké narušení dat bylo pravděpodobně důsledkem neopatrnosti zaměstnanců. 82 % dotázaných bezpečnostních odborníků očekává, že počet bezpečnostních incidentů souvisejících s mobilními zařízeními nadále poroste.
Zdroj: tisková zpráva společnosti Check Point Software Technologies
Na trh přichází mobilní bezpečnostní řešení Check Point Capsule. Nabízí mj. oddělení firemních dat na mobilních zařízeních, zabezpečení konkrétních dokumentů bez ohledu na zařízení a prosazení firemních bezpečnostních politik mimo podnikovou síť. Řešení je k dispozici pro iOS, Android, Windows a Mac OS.
Zdroj: tisková zpráva společnosti Check Point Software Technologies
NetApp představil systémy Data ONTAP, Cloud ONTAP, OnCommand Cloud Manager a NetApp Private Storage for Cloud. Dle dodavatele nabízejí tyto produkty zákazníkům přechod do hybridního cloudu tak, že zákazník nepřichází o kontrolu nad daty a zároveň si může vybírat mezi privátními a veřejnými cloudovými zdroji.
Zdroj: tisková zpráva společnosti NetApp
38 % českých internetových uživatelů se necítí bezpečně, když nakupují v e-shopech nebo provádějí on-line transakce. Třetina by jich využívala on-line platební systémy, pokud by se cítili lépe chráněni.
Vyplývá to ze studie Kaspersky Lab a B2B International. Podle 18 % respondentů jsou uživatelé za svoji bezpečnost zodpovědní sami. Více než polovina, 55 %, se domnívá, že za bezpečnost transakce zodpovídá uživatel i banka stejnou měrou. To naznačuje ochotu uživatelů využít nové ochranné nástroje, pokud by je finanční instituce nabízely.
Zdroj: tisková zpráva společnosti Kaspersky Lab
Sophos zveřejnil zprávu Dirty Dozen (Tucet špinavců) za třetí čtvrtletí 2014. Obsahujíce přehled zemí, které se nejvíce podílejí na rozesílání nevyžádané pošty. Vítězem „spamového šampionátu“ se opět staly USA následované Čínou a Francií, na 4. místě je Rusko. ČR se ve srovnání s nejbližšími sousedy na celosvětovém spamu podílí jen minimálně. Zajímavější jsou výsledky při zohlednění počtu obyvatel jednotlivých zemí. Podle podílu množství spamu a přibližné populace patří první místo Bulharsku.
Zdroj: tisková zpráva společnosti Sophos
Na téma zabezpečení na ITBiz viz také:
Hackeři před několika dny pronikli do sítě Bílého domu
Hrozba kybernetického útoku v Česku může velmi rychle růst. Ve výroční zprávě za loňský rok na to upozorňuje Vojenské zpravodajství. Riziko hrozby narušení kybernetické bezpečnosti České republiky je hodnoceno jako střední.
