Bezpečnostní přehled: Prolomen protokol šifrování SSL

Pavel Houser , 22. září 2011 09:30 1 komentářů
Rubriky: Security
Bezpečnostní přehled: Prolomen protokol šifrování SSL

Robot předstírá konverzaci ve fórech hackerů. Jaké budou nové bezpečnostní funkce ve Windows 8? Mac OS X 10.7 Lion umožňuje přístup k heslům dalších uživatelů. Ochrana informace na monitoru před nepovolanými zraky. Následuje pravidelný čtvrteční bezpečnostní přehled.

Chyba v šifrování SSL ohrožuje potenciálně všechny weby, které pro utajení komunikace mezi klientem a serverem používají protokol https. Zranitelnost se má týkat vrstvy Secure Sockets Layer a Transport Layer Security 1.0, novější TLS 1.1 a 1.2 by měly být proti tomuto útoku bezpečné. Weby ani prohlížeče tyto nové verze ale vesměs nepodporují a nepoužívají, takže potenciálně zranitelný je nyní např. GMail nebo PayPal i on-line bankovnictví.

Exploit v podobě proof-of-concept předvedli Thai Duong a Juliano Rizzo na konferenci Ekoparty Security v Buenos Aires. Jmenuje se Beats a je napsán v JavaScriptu. Načte se do prohlížeče a zde čeká, až bude navázáno spojení https.

Jde zřejmě o mnohem vážnější problém, než jsou v poslední době rozšířené útoky na SSL pomocí kradených certifikátů. Ohrožena je v tomto případě samotná základní kryptografie; útok se vede proti příslušné cookie a k jeho provedení stačí 10 minut. Pokud je známo, jedná se vůbec o první objevenou zranitelnost tohoto typu.

TLS 1.1 je k dispozici už od roku 2006, prakticky veškerá SSL spojení ale nyní stále používají verzi 1. Google Chrome ani Mozilla Firefox nepodporují zatím novější SSL vůbec, Microsoft i Opera ano, ovšem nikoliv ve výchozím nastavení (plus Microsoft navíc umožňuje nastavit novější SSL i v Internet Information Serveru).

Zdroj: CNet, HelpNet Security

CIA
CIA
CIA údajně prostřednictvím své neziskové organizace In-Q-Tel investuje do vývoje technologie Oculis. Tato technologie funguje podobně jako ochranné filtry na monitor, tj. má zabránit, aby si citlivých informací všimnul někdo, kdo stojí za zády uživatele. Ochrana se realizuje prostřednictvím kamery, která stále snímá obličej oprávněného uživatele. Jakmile člověk odejde od počítače nebo se otočí (když s někým mluví apod.), obsah na monitoru se automaticky rozmaže (nebo nahradí náhodnými daty) a obrazovka zamkne. V případě, že kamera zaznamená ve sledovaném prostoru jiný obličej, upozorní uživatele na možné riziko.

Zdroj: Information Week

Windows 8 přinesou kromě nové bezpečnostní funkce. V systému bude vestavěny antivirus (uživatelé si tedy Security Essentials nebo podobný nástroj nebudou muset ručně stahovat). Windows 8 bude možné bootovat z USB; pokud zde ovšem bude obsažen malware, proces načítání OS se automaticky přeruší a zobrazí varování. Windows Defender, nástroj Microsoft zaměřený především na spyware, se také dočká nové verze. V kombinaci s dotekovým displejem bude rovněž možné nastavit přístupové heslo k systému založené na kombinaci obrázků a gest.

Zdroj: HelpNet Security

Psychologický profil hackerů ze skupin Anonymous a LulzSec, který měla vypracovat FBI, se ukázal být jako podvrh. V rámci údajně uniklých dat bylo vytvořeno několik profilů, například „narcistní zaměstnanec technické firmy a nihilista“ nebo „mladá žena, v dětství zneužívána a nyní na drogách“. Údajně uniklý dokument se ovšem prozradil např. tím, že obsahuje pravopisné chyby. Není jasné, kdo za celým podvrhem stojí, ani zda to celé bylo zamýšleno jako vtip nebo zde byla nějaká složitější motivace.

Zdroj: The Register

Yahoo!
Yahoo!
Ve vyhledávačích Microsoft Bing a Yahoo se opět zobrazovaly reklamy na podvodné weby. Podvodníci spojili své reklamy s dotazy na stažení populárních aplikací (celkem chytré, protože tito lidé pak budou software ochotně stahovat a instalovat). Zájemci o Firefox, Skype nebo Adobe Reader/Flash Player byli lákáni na celkem profesionálně vytvořené weby, které imitovaly příslušné dodavatele softwaru. Stahovaný malware měl pak např. povahu rootkitů.

Ačkoliv odkazy na podvodné weby již byly zablokovány, není to první a jistě ani poslední případ tohoto typu. Potýká se s ním i Google nebo jiní provozovatelé velkých reklamních systémů.

Zdroj: The Register

Mitsubishi Heavy Industries
Mitsubishi Heavy Industries
Obětí útočníků se stala další firma pracující s citlivými informacemi – japonský armádní dodavatel Mitsubishi Heavy Industries. Kompromitovány byly počítače a servery např. v závodu na výrobu ponorek nebo raketových motorů. Incident se vyšetřuje, firma ovšem prozatím popírá, že se útočníkům podařilo zmocnit nějakých průmyslových tajemství. Dodavatelé armády jsou pro zloděje dat přirozeně lákavým cílem, letos se již obětí staly např. firmy Lockheed Martin a L-3 Communications. O původcích nejnovější akce není zatím nic známo, nedošlo ani k obligátnímu obvinění Číny.

Zdroj: The Register, CNet

Alan Turing
Alan Turing
Americká firma CSIdentity vyvinula softwarového robota, který vede konverzaci na fórech používaných podvodníky. Tváří se jako někdo, kdo má zájem koupit ukradené informace, hesla nebo databáze zranitelností. Podvodníci obvykle před vlastní transakcí dodávají potenciálnímu zájemci vzorek, na jehož základě se může přesvědčit, že podvodník opravdu vlastní příslušné informace a nevymýšlí si. Robot pak vše odešle do centrály společnosti CSIdentity, která analyzuje data a poté uvědomí o incidentu jejich legitimního vlastníka (oběť útoku).

Podvodníci jsou si těchto triků pochopitelně vědomi a používají proti nim své vlastní zbraně. Jak vidno, máme zde tedy velmi zajímavou variantu známého Turingova testu... Každopádně kybernetický zločin funguje na celém světě, řada z podvodníků nejsou rodilými mluvčími angličtiny ani neznají stejné reálie, takže robota zde není tak snadné odhalit. Firma prozatím nemá k dispozici roboty, kteří by dokázali imitovat konverzaci i v jiných jazycích.

Zdroj: HelpNet Security

Nejnovější Mac OS X 10.7 Lion umožňuje velmi snadno překonat ochranu heslem. Jakýkoliv uživatel si může najít na disku hesla ostatních uživatelů. Soubor hash umožňující dekódování hesla je přístupný v rámci adresářových služeb. Naštěstí jde v podstatě jen o problém eskalace oprávnění, uživatel musí mít k systému alespoň nějaký přístup. Chybu podle všeho nejde zneužít vzdáleně. Jak se chránit? Například zakázat účty hostů a automatické přihlášení a používat spořič obrazovky s heslem...

Zdroj: BetaNews.com


Komentáře

Jaroslav Pinkava #1
Jaroslav Pinkava 22. září 2011 10:41

Pane Houser,

již dostatečně dlouho píšete komentáře k bezpečnostní problematice IT. Prosím, opravte formulaci. Šifrování prolomeno nebylo, byl prolomen protokol (SSL či TLS v některých verzích), který šifrování používá. Neozýval bych se, kdyby tato Vaše formulace nebyla tak zavádějící (stejně tak chyba v šifrování atd.).
Děkuji
Jaroslav Pinkava

RSS 

Komentujeme

Microsoft a GitHub

Pavel Houser , 13. červen 2018 13:30
Pavel Houser

Transakce v hodnotě 7,5 miliardy dolarů je dost velká i na poměry Microsoftu, takže se prodejem GitH...

Více







RSS 

Zprávičky

Útočníci se snaží zneužít fotbalovou horečku

Pavel Houser , 23. červen 2018 11:59

Nová phishingová kampaň se snaží lákat oběti ke stažení infikovaného rozpisu a výsledků fotbalového ...

Více 0 komentářů

Systém pro STK by měl za 120 mil. Kč nadále provozovat AutoCont

ČTK , 22. červen 2018 10:00

V novém smluvním období by firma měla zajistit také propojení s obdobnými systémy jednotlivých člens...

Více 0 komentářů

Divize firmy Deutsche Telekom T-Systems ruší 10 000 míst

ČTK , 22. červen 2018 09:00

Na 6000 míst z celkového počtu má být zrušeno v Německu v průběhu příštích tří let....

Více 0 komentářů

Kalendář

23. 06.

24. 06.
Maker Faire Prague 2018
04. 08.

09. 08.
Black Hat USA 2018
09. 08.

12. 08.
DEF CON 26

Starší zprávičky

Šéfovi Intelu srazil vaz vztah na pracovišti

ČTK , 22. červen 2018 08:00

Ve funkci předsedy představenstva a člena správní rady Krzaniche přechodně nahradí dosavadní finančn...

Více 0 komentářů

Musk: Favoritem pro evropskou továrnu na baterie Tesly je Německo

ČTK , 21. červen 2018 10:00

Revoluce elektrických aut zvýší do roku 2025 hodnotu evropského trhu s bateriemi na zhruba 250 milia...

Více 1 komentářů

Česko testuje komunikaci mezi auty, vlaky a MHD

ČTK , 21. červen 2018 09:00

Vozidla si budou vyměňovat informace například o tom, jak je vlak daleko od závor, nebo že tramvaj v...

Více 0 komentářů

Xiaomi chce při vstupu na burzu získat až 6,1 miliardy dolarů

ČTK , 21. červen 2018 08:00

Půjde o jednu z největších primárních nabídek akcií v technologickém sektoru za posledních několik l...

Více 0 komentářů