Bezpečnostní přehled: Rekordní faktorizace na kvantovém počítači

Pavel Houser , 03. prosinec 2014 07:00 0 komentářů
Bezpečnostní přehled: Rekordní faktorizace na kvantovém počítači

Objevují se první prognózy pro rok 2015. Biometrie s pomocí očních svalů. Stopy hacku Sony prý vedou do Severní Koree. Záplaty Adobe, oprava pro SCADA systém Siemensu. Následuje pravidelný bezpečnostní přehled vytvářený především podle webů ZDNet, CNet, The Register a HelpNet Security.

Adobe vydala další kritickou aktualizaci pro přehrávač Flash Player. Bez záplaty lze na Windows, OS X i Linuxu pomocí škodlivého objektu Flash způsobit vzdálené spuštění kódu bez nutnosti další interakce uživatele. Zranitelnost CVE 2014-8439 má dle Adobe nejvyšší prioritu, proto byla oprava vydána jako mimořádná. Chyba je již aktivně zneužívána. Uživatelé Internet Exploreru a Chrome by měli záplatu příslušného plug-inu prohlížeče získat automaticky.

Další problém Adobe: Bezpečnostní výzkumník Googlu James Forshaw tvrdí, že Acrobat/Reader obsahuje chybu v sandboxu, takže příslušné procesy mohou získat vyšší oprávnění. V tomto případě je ovšem zneužití obtížnější, Forshaw ukázal pouze proof-of-concept metodu, kdy útočník vytvoří zástupce souboru na ploše, a i to se povede pouze za určitých okolností.

Útočníci údajně pronikli do sítě Sony Pictures, i když samotná firma dosud incident nepotvrdila. Skupina označující se jako #GOP údajně ukradla řadu informací a již se pokoušela zveřejnit např. některé důvěrné finanční údaje. Pravděpodobně se jedná o vyděrače. Sony měla s průniky problémy již před pár lety, takže by se dalo předpokládat, že své systémy zabezpečila celkem pečlivě, navíc bylo určitě třeba provést různé audity atd. K narušení sítě jako celku prý ale stačila slabá ochrana jediného izolovaného systému (serveru). Na jednu stranu to má ukazovat na technickou úroveň útočníků, na straně druhé – jiné organizace by při podobné akci sotva dopadly lépe... Aktualizace: Sony útok potvrdila. Spekuluje se, že za akcí jsou severokorejští útočníci (snad v souvislosti s uvedením filmu The Interview) možná pracující z Číny. Na nějaký čas byly údajně počítače v Sony Pictures úplně odpojeny a intranet demontován, zaměstnanci se vrátili k tužce a papíru.

Na kvantovém počítači se podařila dosud rekordní faktorizace, tedy rozklad složeného čísla na dvě prvočísla: 56 153 = 241 x 233. Podobné hrátky kromě samotné vědy a technologie souvisejí především s kryptografií. Pro srovnání, na počítači klasickém je zatím rekord rozklad čísla o 768 bitech.
Zdroj: Phys.org

Za podpory National Science Foundation provedl Oleg Komogortsev a jeho kolegové z Texaské státní univerzity výzkum, který navrhuje, že se oční biometrie může kromě samotného statického vzoru zaměřit také na sledování pohybu očních svalů. I ty mají být podobně jako duhovka pro každého člověka specifické, takže systém by získal další vrstvu zabezpečení, přičemž by stačilo upgradovat software určený k rozpoznávání. Pohyby očí navíc lze využít i jinak, vypovídají o míře únavy a stresu (třeba sledování makléřů či řidičů kamionů?) nebo i mechanických otřesů (sport apod.).
Zdroj: Phys.org

Intel koupil kanadskou firmu PasswordBox, což je start-up poskytující službu pro správu hesel (tj. úložiště, z něhož se automaticky zadávají hesla k různým internetovým službám). Od uvedení v roce 2013 si aplikaci údajně stáhlo 14 milionů uživatelů, samotná služba je bezplatná, premium verze vyjde na 12 dolarů ročně. Finanční podmínky transakce nebyly zveřejněny, firma PasswordBox bude začleněna do bezpečnostní divize Intelu.

Siemens Scada
Siemens Scada
Siemens opravil svůj průmyslový řídicí systém SCADA. V komponentě WinCC existovaly dvě vzdáleně zneužitelné zranitelnosti, jedna umožňovala po zaslání speciálního paketu na serveru spuštění libovolného kódu, druhá zase stáhnout si ze serveru libovolné soubory. Zneužití nevyžaduje údajně žádné hlubší technické znalosti, takže aplikace záplaty je důrazně doporučována. Příslušné útoky sice ještě zaznamenány nebyly, ale nejspíš k nim dojde už brzy.

Syrian Electronic Army (či někdo za tuto organizaci se vydávající) hackla řadu médií, zobrazovaly se pop-up oznámení, jiný dopad útok zřejmě neměl. K postiženým patřily např. CNBC a Boston Globe.

Začínají se objevovat první prognózy vývoje bezpečnostních hrozeb v roce 2015 a shrnutí roku letošního. Keith Bird z Check Point upozorňuje, že k letošním překvapením patřily zejména objevy vážných chyb v tradičních technologiích (či implementacích), které byly pokládány za celkem spolehlivé: SSL (HeartBleed) a pak USB (BadUSB). Jinak ransomware, dolování měn a mobilní zařízení, to jsou trendy pouze pokračující, o nichž se mluví již déle. A co čekat v roce příštím, tedy opět kromě pokračování letošních trendů? Skoro všechny nástroje a systémy již používají sandbox, takže tvůrci malwaru se dle Birda budou zabývat otázkou, jak obejít detekci při spuštění v emulovaném prostředí. Apple Pay bude znamenat další adopci on-line platebních systémů, řada z nich bude nedostatečně otestována – opět zajímavý cíl pro útočníky. HeartBleed, Poodle a Shellshock jsou primárně zranitelnosti v open source komponentách, důležité ale je, že ty se používají dnes prakticky všude, včetně světa Windows. Útočníky bude lákat, jak širokou škálu cílů zde mohou zasáhnout. Dalším trendem mají být rostoucí útoky na kritickou infrastrukturu, zájem o rozšiřující se nositelnou elektroniku (tj. obdoba BYOD, možnost napadnout další zařízení a jejich prostřednictvím i sítě organizací) a nakonec i snaha zneužívat bezpečnostních nedostatků v softwarově definovaných sítích.

Kybernetičtí útočníci se místo na zákazníky zaměří na samotné banky. Budou také vyvíjet další malware, který bude vybírat peníze přímo z bankomatů. Během nedávného vyšetřování analytici Kaspersky Lab objevili útok, při němž byl počítač účetního kompromitován a využit ke spuštění větší transakce s finanční institucí. Jakmile se útočníci dostali do bankovní sítě, načerpali dost informací ke krádeži peněz přímo z banky – vzdáleně ovládali bankomaty, aby vydávaly hotovost, provedli SWIFT bankovní převody z různých klientských účtů a zmanipulovali on-line bankovní systém tak, aby mohli převody peněz provádět na pozadí. Další trendy očekávané pro rok 2015: Útoky na virtuální platební systémy, které se mohou rozšířit i na Apple Pay. Více případů typu HeartBleed – odhalení nebezpečných zranitelností ve starých programech. Útoky na podnikové tiskárny a další propojená zařízení, které pomohou útočníkovi proniknout do podnikové sítě. Škodlivý software pro OS X šířený torrenty a pirátskými programy.
Zdroj: tisková zpráva společnosti Kaspersky Lab
Poznámka: v řadě ohledů celkem soulad mezi oběma prognózami vyše.

Nejoblíbenějšími tématy spammerů ve třetím čtvrtletí 2014 bylo představení nového iPhonu 6 a Ice Bucket Challenge. Podíl spamu na celkovém počtu e-mailů byl 66,9 %, o 1,7 % méně než ve druhém čtvrtletí. Nejvíce spamu přichází z počítačů v USA (14 %), Rusku (6,1 %) a Vietnamu (6 %). Nejrozšířenější škodlivou přílohou byl trojský kůň Trojan.JS.Redirector.adf, který uživatele přesměroval na škodlivé stránky. Detekován byl v 2,8 % případů. Nejrozšířenější rodinou malwaru (12,35 %) ve spamu byla Andromeda, což je nástroj poskytující útočníkům skrytou kontrolu nad počítači uživatelů. Druhý byl známý bankovní trojský kůň Zeus/Zbot s 10,59 %.
Zdroj: tisková zpráva společnosti Kaspersky Lab

Řešení Eset Secure Authentication pro zabezpečení přístupu k systémům a datům nyní umožňuje zabezpečit dvoufaktorovou autentizací také přístup pomocí vzdálené plochy (tj. aplikace nyní podporuje také technologii Microsoft Remote Desktop, kdy přístup k počítači lze kromě běžného jména a hesla navíc zabezpečit pomocí jednorázového hesla). „Vycházíme tak vstříc četným požadavkům našich zákazníků na bezpečný způsob ověřování identity pracovníků, kteří přistupují k firemním zdrojům pomocí MS terminálových služeb,“ uvedl Miroslav Dvořák, technický ředitel Esetu.
Zdroj: tisková zpráva společnosti Eset

Tým bezpečnostních odborníků společnosti CheckPoint objevil zranitelnosti v Admin WebUI portálech tří dodavatelů zařízení pro zabezpečení sítí. Hackeři mohou při cílených útocích zneužít tyto zranitelnosti a získat administrátorskou kontrolu nad bezpečnostními bránami výrobců a mohou vystavit síť dalším útokům. Zranitelnosti lze zneužít pomocí kombinace cross-site scripting (XSS), cross-site request forgery (CSRF) a phishingu. Správcům se mj. doporučuje používat pro řízení Admin WebUI dedikovaný webový prohlížeč, s nímž jinak nebudou provádět nic jiného.
Zdroj: tisková zpráva společnosti Check Point Software Technologies


Komentáře

RSS 

Komentujeme

Microsoft a GitHub

Pavel Houser , 13. červen 2018 13:30
Pavel Houser

Transakce v hodnotě 7,5 miliardy dolarů je dost velká i na poměry Microsoftu, takže se prodejem GitH...

Více







RSS 

Zprávičky

Virtuální realita přinese revoluci srovnatelnou s robotizací

Pavel Houser , 19. červen 2018 11:23

Firmy budou na změny související se zaváděním virtuální reality reagovat další centralizací procesů....

Více 0 komentářů

Digital Broadcasting rozšířila síť DVB-T2 na 85 % populace

ČTK , 19. červen 2018 08:00

Digital Broadcasting začal přechodovou síť budovat loni v červenci v Praze....

Více 0 komentářů

Manažeři France Télécom půjdou před soud kvůli sebevraždám

ČTK , 18. červen 2018 12:47

Vlna sebevražd ve France Télécom (dnes Orange) začala v roce 2008 a vyžádala si desítky životů. ...

Více 0 komentářů

Kalendář

17. 06.

21. 06.
Cyber Week 2018
19. 06.

22. 06.
Automatica 2018
23. 06.

24. 06.
Maker Faire Prague 2018

Starší zprávičky

Zranitelnosti chytrých aut pod lupou

Pavel Houser , 18. červen 2018 12:43

Nástroje podvodníků se zaměřují především na extendery, které poskytují přístup k uzavřeným funkcím ...

Více 0 komentářů

Foxconn otevře severoamerické ústředí ve Wisconsinu

ČTK , 18. červen 2018 00:00

Foxconn již loni oznámil, že ve Wisconsinu investuje 10 miliard dolarů do výstavby továrny na LCD....

Více 0 komentářů

Češi obměňují počítač za šest let, dvakrát déle než vyspělý svět

ČTK , 16. červen 2018 08:00

Výpočetní techniku si na leasing v tuzemsku pořizuje 23 % firem, ve vyspělých zemích jsou to až 3/4 ...

Více 3 komentářů

Dell představuje úložiště PowerMax

Pavel Houser , 15. červen 2018 16:14

Dell oznámil uvedení několika nových úložných a serverových produktů s podporou uceleného portfolia ...

Více 0 komentářů