Bezpečnost by se neměla omezovat na sledování portu 80. Americká armádní agentura DARPA chce pomocí on-line her odhalovat chyby zbraňových systémů. Průniky na účty v iTunes. Mozilla spustila konkurence OpenID. Následuje pravidelný čtvrteční bezpečnostní přehled.
Poslední bezpečnostní opravy Microsoftu a Adobe poněkud překryly fakt, že balíček významných záplat vydal také Oracle. K dispozici je celkem 78 aktualizací zabezpečení, z toho 16 kritických – tj. chyb, které bylo možno zneužít vzdáleně. Postiženými produkty jsou mj. Oracle Database Server, Fusion Middleware, E-Business Suite, MySQL, VirtualBox a PeopleSoft. Hodně chyb se týkalo MySQL, za největší úkol pro administrátory se pokládá záplata kritické chyby v Oracle Database. I když správci často neinstalují opravy ze strachu, aby neohrozili funkčnost aplikace v provozním prostředí, v tomto případě Oracle výslovně upozorňuje, že existuje riziko útoků a navíc pokusy problém obejít nefungují 100% a mohou také narušit celé prostředí. Záplatu je proto opravdu třeba nainstalovat.
Zdroj: CNet
Ed Oswald na webu BetaNews obviňuje Apple, že do účtů na iTunes je možné se nabourat. Častý má být případ, kdy je uživateli náhle strženo 95 dolarů za download hry Sega Kingdom Conquest (nebo jiných her, např. Kingdom Conquest. Texas Poker apod.), aniž cokoliv stahoval. Apple v případě reklamace peníze vrátí, ovšem tají, co se vlastně v těchto případech děje.
Zdroj: BetaNews.com
Tak jako u všech aktuálních událostí, i v případě protestů proti zákonu SOPA se objevily různé nekalé triky, jak dění využít. Během vypnutí Wikipedie podvodníci např. nabízeli „triky“, které měly uživatelům encyklopedii přece jen zpřístupnit. Netřeba dodávat, že odkazy vedly na stránky pokoušející se o zero day exploity nebo nabízející stahování malwaru.
Zdroj: SecurityNewsDaily
Americká výzkumná armádní agentura DARPA hodlá vyvinout on-line hry, jejichž účastníci by zábavnou formou pomáhali hledat chyby v softwaru používaném ve vojenských systémech. V tuto chvíli podobnou činnost údajně v USA vykonává asi 1 000 specialistů. Podstatou aplikací má být, že software – „robot“ – bude hrát proti zájemcům a v průběhu souboje by se mohly projevit chyby všeho druhu.
Působí to trochu výstředně, ale podobně koncipované počítačové hry se již používají i k modelování 3D tvaru bílkovin, hledání vzorů v sekvencích DNA nebo dokonce proti potírání pirátů (ve smyslu opravdových námořních lupičů). Takový projekt alespoň testuje americké námořnictvo. Ostatně samotná armáda USA již používá her např. k propagaci/náboru branců, ale prý i jako simulátorů pro reálné mise.
Zdroj: SecurityNewsDaily
Mozilla nabízí alternativu k uživatelským jménům a heslům pro webové servery. Služba BrowserID (prototyp se objevil loni v létě) je obdobou známého OpenID. Uživatel se potřebuje vytvořit u Mozilly účet a pak se k webům, které technologii podporují, může přihlašovat jen svou e-mailovou adresou. Vývojáři mohou přidat podporu technologie tak, že do kódu svých webů zkopírují odkazy na javascriptové knihovny a ověřovací službu. Mozilla tvrdí, že BrowserID oproti již široce podporovanému OpenID (Facebook i Twitter) nabízí větší zabezpečení i ochranu soukromí.
Zdroj: The Register
Japonská letecký výzkumná agentura JAXA (Japanese Aerospace Exploration Agency) přiznala, že na počítači v její síti byl objeven trojský kůň. Zatím není jasné, jaké informace mohly být tímto způsobem kompromitovány. Mohly by se týkat i zařízení používaných k dopravě na Mezinárodní kosmickou stanici, obsahovat technické i provozní informace, jména i hesla. Loni na podzim se terčem útoků v Japonsku stala společnost Mitsubishi Heavy Industries a také japonský parlament. Útoky údajně vycházely z Číny.
Zdroj: The Register
Konflikt mezi Izraelem a jeho arabskými sousedy v kyberprostoru pokračuje. Po oznámení o krádežích údajů o izraelských platebních kartách ze strany saudskoarabské skupiny Group-XP (viz také jeden z minulých bezpečnostních přehledů) nyní následuje kontraakce. Hacker vystupující pod přezdívkou Hannibal tvrdí, že získal přístup až ke 100 000 účtů na Facebooku arabských uživatelů. Kompromitovány měly být i desítky tisíc „arabských“ e-mailů. Hannibal hodlá přihlašovací údaje postupně zveřejňovat na webu Pastebin.
Zdroj: The Register, SecurityNewsDaily
Společnost Palo Alto Networks uvádí, že velké množství používaných aplikací obchází port 80. Bezpečnostní opatření založená na kontrole provozu přes tento port jsou pak proto neúčinná.
Ze studie Application Usage and Risk Report vyplývá, že celých 35 % z posuzovaných firemních aplikací port 80 nepoužívá vůbec a pouze 25 % komunikuje výhradně přes tento port. 51 % provozu teče jinudy. Historicky většina provozu probíhala přes port 80 odpovídající protokolu http, ale dnes ho řada aplikací (on-line hry, video streaming, instant messaging, webmail) obchází a využívá port 446 nebo mezi porty přepíná. Zabezpečení by mělo odrážet tyto trendy.
Zdroj: EWeek.com
CyberSource, firma, která spadá pod VISA, zveřejnila výsledky pravidelného průzkumu. Množství podvodných objednávek na Internetu dále kleslo z 0,9 % v roce 2010 na loňských 0,6 %. Je to nejnižší poměr za 13 let, co průzkum probíhá. Současně ale rostou náklady na odhalování a potírání podvodů. Podvody tak loni on-line obchodníky připravily až o 3,4 miliard dolarů. V roce 2010 to údajně bylo „jen“ 2,7 miliard.
Zdroj: HelpNet Security
Byl publikován Cisco 2011 Annual Security Report. V roce 2011 podle něj pokračoval pokles spamu. Celosvětově tak množství spamu kleslo z 379 miliard zpráv v srpnu 2010 na 124 miliard zpráv v listopadu 2011. V ČR se množství spamu snížilo dokonce až o 88 %. Zásluhu na trendu mají mít účinnější policejní postupy a vyřazení významných botnetů (Waledac, Rustock, Kelihos). Faktem také je, že pro podvodníky se staly výhodnější vysoce cílené útoky než akce prováděné plošně.
Hlavním trendem roku letošního mají podle studie být cílené útoky, zájem podvodníků o mobilní zařízení a systémy na bázi cloud computingu. Přetrvávat budou rizika hacktivismu a BOYD (bring your own device – používání vlastních zařízeních zaměstnanců pro pracovní potřeby).
Zdroj: Tisková zpráva společnosti Cisco, Cisco 2011 Annual Security Report
Bezpečnosti se na ITBiz v uplynulém týdnu týkaly také např. následující články: