Bezpečnostní přehled: Adobe unikla data o zákaznících i zdrojové kódy

Pavel Houser , 16. říjen 2013 10:00 0 komentářů
Bezpečnostní přehled: Adobe unikla data o zákaznících i zdrojové kódy

Google začne platit za látání vybraného open source softwaru. Adobe vyšetřuje, co se vlastně stalo při vniknutí útočníků do jejích systémů. V ČR můžou za úniky dat především zaměstnanci. Následuje pravidelný bezpečnostní přehled vytvářený především podle webů ZDNet, CNet, The Register a HelpNet Security.

Průnik do sítě Adobe způsobil, že útočníci se dostali k účtům a šifrovaným finančním informacím (čísla karet apod.) téměř 3 milionů zákazníků Adobe. Ti jsou tak nyní mj. ve zvýšené ohroženi cíleným phishingem – e-mailové adresy, čísla licencí apod. informace totiž šifrovány nebyly.

Útočníkům také padly do rukou zdrojové kódy – Adobe Acrobat, ColdFusion, ColdFusion Builder a dalších produkty Adobe. To je samozřejmě dost nepříjemné, protože to útočníkům může pomoci kompromitovat servery i koncové počítače. Otázkou je, zda ony „další“ produkty zahrnují i přehrávač Flash Player nebo PDF Reader, kde se zero day útoky (včetně vysoce cíleného spear phishingu) objevují hodně často už beztak.

Navíc existuje obava, že útočníci nejen zdrojové kódy získali, ale mohli i modifikovat - jak pro HelpNet Security uvádí Chris Petersen, ředitel společnosti LogRhythm; Tim Keanini, technický ředitel společnosti Lancope, zase tvrdí, že na rozdíl od situace před 15 lety se dnes podobný incident nepokládá za konec světa, v době ATP se to prostě stává mnohým velkým firmám; je třeba se připravovat i na takovou možnost a vytvořit mechanismy, které v takovém případě zajistí kontinuitu provozu, potřebné reportování incidentu apod. Další zdůraznění komentátorů: v Adobe se zřejmě šifrovalo to, co se muselo podle zákona, ale nic víc, i když šlo o aktiva typu zdrojových kódů.

Další podrobnosti: * Brad Arkin, Adobe Chief Security Officer, uvádí, že možná šlo o dva různé útoky; jedni narušitelé získali databázi zákazníků, druzí zdrojové kódy. * Podezření o útoku se objevilo, když bezpečnostní experti Brian Krebs a Alex Holden zjistili balík 40 GB kódu dat na podezřelém serveru. * K úniku kódů došlo nejspíš už v polovině srpna. Nemohli ho tedy útočníci už změnit, nedodávala pak Adobe zákazníkům binární verze softwaru nějak nakaženého? B. Arkin uvádí, že u Cold Fusion bylo porovnáno více verzí kódu a žádná změna zjištěna nebyla.

Ve směrovačích D-Link (modely DIR-100, DI-524, DI-524UP, DI-604S, DI-604UP, DI-604+ a TM-G5240) byla objevena zadní vrátka. Fungují zřejmě také ve směrovačích Planex, protože i ty používají stejný firmware. Útočník může finálně k webovému rozhraní zařízení přistupovat bez znalosti hesla. Oprava v tuto chvíli není k dispozici, doporučuje se zakázat k zařízení přístup mimo síť LAN.

Trend Micro oznámila koupi malé bezpečnostní firmy Broadweb, která se zaměřuje na technologie pro hloubkové sledování paketů. Firma sídlí na Tchaj-wanu a její nástroje se používají pro prevenci vniknutí, blokování cílených útoků, ale také pro správu pásma a klasifikaci přenosů. Finanční podrobnosti transakce nebyly oznámeny.

Hacknut byl správce DNS záznamů Web.com. Návštěvníci zákazníků byli kvůli tomu krátce přesměrováváni na propalestinský web. Mezi postiženými se z bezpečnostních firem nacházeli např. Avira a AVG nebo tvůrci penetračního nástroje Metasploit, nedošlo však údajně k žádnému incidentu (falešné aktualizace softwaru apod.). Web, na něž se přesměrovávalo, se omezoval na politická prohlášení, nepokoušel se instalovat malware.

Google začne odměňovat i nalézání bezpečnostních chyb v open source softwaru, který je dílem třetích stran. Odměny se mají vyplácet nikoliv za samotné odhalení zranitelnosti, vyžadováno je i proaktivní vylepšení. Zpočátku se program vztahuje ke knihovnám v OpenSSL a Open SSH, DNS softwaru BIND a bezpečnostním komponentám jádra Linuxu. Po počátečním zkušebním období má přijít řada např. na Postfix, Sendmail či webový server Apache. Podle Googlu je účelnější prostředky vynakládat cíleně jen na specifikované projekty a neplatit za vylepšování open source softwaru, který nikdo nepoužívá.

Švédská Fingerprint Cards měla být koupena Samsungem za 650 milionů dolarů. Bezpečnosti se tato zpráva týká hned dvakrát; zmíněná společnost jednak vyrábí biometrické systémy, za druhé pak celé oznámení bylo podvodem, který na chvíli zvýšil hodnotu akcií firmy až o 50 %. (Ono oznámení bylo docela logické, viz čtečka otisků prstů na iPhone 5; Samsung jako rival Applu určitě zvažuje podobné technologie.) Švédští regulátoři kapitálového trhu stornovali obchody za asi 25 milionů dolarů, které mezitím proběhly, věc se samozřejmě dále šetří. Tiskovou zprávu rozeslal agregátor tiskových zpráv, který se předtím podvodníkům podařilo oklamat.

Kaspersky Lab vydala aktualizovanou verzi mobilního podnikového zabezpečení Kaspersky Security for Mobile pro platformy s Androidem a iOS. K dispozici jsou nyní na Google Play i Apple App Store (což umožňuje řešení centrálně a automaticky aktualizovat). Produkty obsahují nové funkce jako například upozornění na roaming nebo automatické Wi-Fi profily (konfigurace přístupu do firemní Wi-Fi sítě ) také pro Android. Obě platformy nyní také obsahují systém na obnovu hesel do zašifrovaných úložišť.

Zdroj: tisková zpráva společnosti Kaspersky Lab

Po BYOD přichází trend BYOS, tedy požadavek zaměstnanců používat pro práci nejen vlastní zařízení, ale i software. Protože ale software je dnes stále častěji poskytován jako webová služba, pro IT oddělení je obtížné provoz BYOS monitorovat.

Zdroj: McAfee blog central

Cisco uvádí Meraki MR34, první přístupový bod s technologií 802.11ac plně spravovaný z cloudu. MR34 je vybaven třetím vyhrazeným vysílačem, který funguje jako unikátní radiofrekvenční senzor, neustále prověřující okolní RF pásmo. Poskytuje tak zvýšenou ochranu před bezdrátovými útoky i frekvenčním rušením.

Zdroj: tisková zpráva společnosti Cisco

Úniky dat v ČR jsou z 95 % způsobeny zaměstnanci, ve více než 70 % případů úniků se přitom jedná o úmyslné odcizení informací. Nějakou zkušenost se ztrátou dat má 43 % všech dotázaných společností. Více než 60 % firem nemá přehled, co se s jejími daty děje, kdo k nim přistupuje a jak s nimi zachází. Pravidla pro zacházení s citlivými daty nejsou obvykle stanovena, a i pokud jsou, často jen na papíře a nikdo nedohlíží na jejich dodržování. Příslušný průzkum provedla Unie malých a středních podniků.

Zdroj: tisková zpráva společnosti Safetica

Axis představuje novou kameru pro pevné venkovní instalace: model Axis Q1765-LE vyznačující se bytelnou konstrukcí. Vhodná má být proto i pro kritické instalace, jako jsou např. dopravní křižovatky.

Zdroj: tisková zpráva společnosti Axis Communications

Až 38 % organizací nepřijalo adekvátní bezpečnostní opatření ke zmírnění rizik v souvislosti s využíváním cloudových technologií, ať už jde o důslednější používání šifrovacích technik nebo pečlivější výběr dodavatelů cloudových služeb.

Zdroj: tisková zpráva společnosti CSC

Méně se to zmiňuje, ale spolu s Windows XP skončí i podpora MS Office 2003, dalšího oblíbeného, přestože hodně starého řešení (bez-ribbonového). Poslední aktualizace budou vydány nejpozději v dubnu 2014.


Komentáře

RSS 

Komentujeme

Agilita a devops, přepracování a vyhoření

Pavel Houser , 12. červenec 2018 12:30
Pavel Houser

Michael Cote na The Register upozorňuje na častý problém: nové „agilní“ metody vývoje, všechny příst...

Více







RSS 

Zprávičky

Hackeři ukradli zdravotní záznamy 1,5 milionu Singapurců

ČTK , 20. červenec 2018 14:37

Cílem útoku bylo prý získat podrobné údaje o singapurském premiérovi a také o lécích, které užíval....

Více 0 komentářů

Ericsson je díky úsporám v mírném zisku

ČTK , 20. červenec 2018 11:36

Švédský podnik se v poslední době potýkal se slábnoucí poptávkou telekomunikačních operátorů....

Více 0 komentářů

Čip v občanském průkazu si zatím aktivovala třetina lidí

ČTK , 20. červenec 2018 08:00

Prostřednictvím Portálu občana lidé mají přístup např. k údajům o důchodu nebo si mohou pořídit výpi...

Více 0 komentářů

Kalendář

04. 08.

09. 08.
Black Hat USA 2018
09. 08.

12. 08.
DEF CON 26
06. 09.

07. 09.
Humusoft Technical Computing Camp 2018

Starší zprávičky

Red Hat Ansible Engine přináší další automatizaci cloudu

Pavel Houser , 19. červenec 2018 13:52

Nejnovější verze platformy Red Hat Ansible Engine 2.6 rozšiřuje automatizaci cloudů AWS, Google Clou...

Více 0 komentářů

Samsung chystá na příští rok telefon se sklopným displejem

ČTK , 19. červenec 2018 10:00

Displej půjde složit na polovinu jako peněženku. Ve složeném stavu je na přední straně přístroje men...

Více 0 komentářů

Internet Mall snížil ztrátu, tržby mu vzrostly na 7,2 miliardy Kč

ČTK , 18. červenec 2018 17:29

Internet Mall mj. investuje do distribučního centra v Jirnech u Prahy, které by mělo sloužit 7 střed...

Více 0 komentářů

Google dostal kvůli Androidu od EK rekordní pokutu 4,34 mld. eur (aktualizace)

ČTK , 18. červenec 2018 13:26

Google využil Android k upevnění dominantní pozice svého internetového vyhledávače, uvádí EK....

Více 0 komentářů