| Kraków: wykład o Enigmie Paweł Krawczyk poniedziałek, 2. lutego 2004 We wtorek 17. lutego w Instytucie Matematyki UJ (ul. Reymonta 4, sala 501) o godzininie 18:00 odbędzie się otwarty wykład dra hab. Zbigniewa Błockiego pod tytułem ,,Matematyczne aspekty rozszyfrowania Enigmy''. |
|
SCO pod obstrzałem Paweł Krawczyk piątek, 30. stycznia 2004 Jak SCO będzie bronić się przez atakiem wirusa MyDoom? Na całym świecie są setki tysięcy zainfekowanych nim Windowsów, które w niedzielę rozpoczną zmasowany atak denial-of-service na serwer www.sco.com. SCO od kilku miesięcy prowadzi intensywną walkę z Linuksem, zarzucając jego autorom skopiowanie kodu będącego własnością SCO. Najskuteczniejszym środkiem ochrony przed atakami DOS jest skorzystanie z usług firm takich jak Akamai. Zapewniają one rozproszenie treści strony na serwerach rozmieszczonych na całym świecie (włącznie z synchronizacją treści, danych w DNS itd), co uniemożliwia atak na jeden konkretny serwer. Jednak Akamai korzysta głównie z Linuksa i głupio wyglądałoby, gdyby strona firmy będącej zaciekłym wrogiem tego systemu działała właśnie pod jego kontrolą. W podobnej sytuacji znalazł się także Microsoft, gdy skorzystał z usług Akamai. Netcraft:
,,SCO legal case poses a conundrum on how it should defend a DDoS'' http://news.netcraft.com/archives/2004/01/29/ |
| Otwarta informacja oświatowa Paweł Krawczyk piątek, 30. stycznia 2004 Nastąpiła pozytywna zmiana w sprawie ustawy o informacji oświatowej, która wzbudziła wiele kontrowersji wśród polskich informatyków (chodziło o stosowanie otwartych standardów w nowych projektach informatycznych). Przedstawicielom polskiego środowiska open-source udało się przekonać naszych senatorów. Dziś rano Senat wprowadził do ustawy zmiany, nakazujące m.in. podmiotom wykonującym nowe projekty informatyczne dla oświaty stosowanie otwartych standardów oraz zapewnieni kompatybilności z dowolnym systemem operacyjnym. 7thGuard: Sanskryt ,,Sensowne zmiany w art.5 ustawy o systemie informacji oświatowej'' http://7thguard.net/news.php?id=3740 |
|
Zadbaj o swoją wersję wydarzeń Paweł Krawczyk środa, 28. stycznia 2004 Tuż przed tym, jak brytyjska rządowa komisja pod kierownictwem lorda Huttona opublikowała raport w sprawie śmierci dr Davida Kelly, BBC wykupiło w Google najwyższą pozycję swoich tekstów w wynikach wyszukiwania. Wszyscy, którzy wpisali w popularnej wyszukiwarce słowa kluczowe związane z raportem Huttona i Kellym dostają na pierwszych pozycjach rezultaty z BBC. Pozycjonowanie swoich stron w wynikach Google jest powszechną praktyką wśród firm reklamujących swoje produkty (Google AdWords). Po raz pierwszy agencja prasowa wykorzystała tę technikę do zaprezentowania swojej opinii w Internecie. Internet w ciągu ostatnich kilku lat zaczął odgrywać bardzo dużą rolę jako środek opiniotwórczy. Co więcej, wyszukiwarki - a w szczególności Google - są głównym kanałem kierującym osoby zainteresowane do różnych komentarzy i różnych wersji wydarzeń. Zapewnienie sobie kontroli nad wyszukiwarkami pozwala na skierowanie czytelników do tej właściwej. Mamy nadzieję że IPSec.pl pozostanie dla naszych Czytelników miarodajnym źródłem informacji bez tego typu zabiegów ;) MediaGuardian: Owen Gibson ,,BBC buys up 'Hutton inquiry' Google links'' http://media.guardian.co.uk/bbc/story/0,7521,1130050,00.html |
| Nowy robak emailowy Mydoom.A Paweł Krawczyk środa, 28. stycznia 2004 Przez świat przetacza się nowa epidemia - robak Mydoom.A rozsyłany jest przez zarażone Windowsy emailem, schowany w załączniku ZIP. Robak jest uciążliwy, ponieważ rozsyła się z fałszywych adresów emailowych generując falę nietrafionych ostrzeżeń. W zarażonym systemie instaluje konia trojańskiego. Zalecane jest filtrowanie wirusa na serwerach pocztowych za pomocą regułek blokujących załączniki wykonywalne. Na czas trwania epidemii celowe może być blokowanie wszystkich załączników ZIP - wirus jest schowany w środku jako EXE pod nazwą udającą plik HTML (regułki dla Postfixa). MkS_Vir: Mydoom.A http://www.mks.com.pl/baza.html?show=description&id=2620 |
|
Certyfikat dla SUSE Paweł Krawczyk środa, 28. stycznia 2004 SUSE i IBM otrzymali certyfikat bezpieczeństwa EAL3+ dla dystrybucji Linuksa Enterprise Server 8, zainstalowanej na serwerze IBM. Jest to kolejna instalacja Linuksa, na którą przyznano certyfikat bezpieczeństwa (wydaje się go na konkretną, dokładnie zdefiniowaną instalację na konkretnej maszynie, którą następnie można powielać). Certyfikaty otwierają Linuksowi drogę do zastosowań, w których prawo narzuca wykorzystanie certyfikowanych narzędzi informatycznych - na przykład do przetwarzania danych niejawnych. Potwieradzają również wysoką jakość zabezpieczeń technicznych i proceduralnych wdrożonych w danej instalacji. Na podobny certyfikat czeka również RedHat, a w Polsce firmy Optimus i ABA uzyskały certyfikat ITSEC-E2 dla szyfratora IPSec Gate opartego o system Linux (kolejne produkty są w trakcie certyfikacji na wyższe poziomy). Suse: IBM and SUSE LINUX achieve a higher level of Linux security... http://www.suse.com/us/company/press/press_releases/archive04/eal3.html |
| 55 miliardów dolarów Piotr Kuliński wtorek, 20. stycznia 2004 55 miliardów dolarów amerykańskich - tyle w przybliżeniu wyniosły w roku 2003 straty spowodowane atakami wirusów (a precyzyjniej mówiąc robaków) komputerowych. Co niepokojące, według Trend Micro Inc - jednego z największych producentów oprogramowania antywirusowego, suma ta rośnie z roku na rok. W roku 2001 wynosiła w przybliżeniu 13 miliardów dolarów, podczas gdy rok 2002 zamknął się stratami rzędu 30 miliardów. Lionel Phang, jeden z szefów Trend Micro Inc, w wywiadzie dla agencji Reuters stwierdził, że "Ekonomiczny i finansowy wpływ ataków wirusów będzie nadal rosnąć w roku 2004". Nie przedstawił jednak prognoz dotyczących obecnego roku. "Zagrożenie wynikłe ze spamu będzie rosło w sposób wykładniczy", stwierdził Phang. Zasugerował również, że to właśnie spam stanie się drogą rozpowszechniania nowych wirusów i koni trojańskich, których zadaniem będzie próba utworzenia "drzwi kuchennych" w sieciach komputerowych. W ubiegłym roku niespełna każdy miesiąc posiadał swojego "głównego
bohatera" w postaci wirusa. Przypomnijmy część z nich : Slammer,
Bugbear, Sobig, Blaster..... Jennifer Tan ,,2003 viruses caused $55B damage, antivirus firm says'' http://www.computerworld.com/securitytopics/security/story/0,10801,89138,00.html |
|
Prywatna tajemnica Paweł Krawczyk wtorek, 20. stycznia 2004 Nasz rząd przygotował projekt ustawy, według której decyzja o utajnieniu informacji będzie podejmowana arbitralnie przez urzędnika, a nie - jak do tej pory - według katalogu, który określał co można (i należy) utajnić. Wprowadzenie takiego zapisu zmniejszy przejrzystość działań urzędników, która i tak jest obecnie mała - pozwoli na praktycznie nieograniczone ukrywanie decyzji, będących nadużyciami władzy i stanowiska. Dodatkowo dowolność utajniania informacji będzie dla urzędników doskonałą bronią defensywną przeciwko niewygodnej ustawie o dostępie do informacji publicznej. Co się dzieje, gdy organ administracji ma zbyt wiele swobody w ograniczaniu dostępu do informacji można zobaczyć na przykład na przykładzie sprawy Sergiusz Pawłowicz vs ZUS. Rzeczpospolita: Dorota Kołakowska ,,Zdecyduje urzędnik'' http://www.rzeczpospolita.pl/gazeta/wydanie_040114/ |
| Magazyn ,,Haking'' Paweł Krawczyk niedziela, 18. stycznia 2004 Na europejskim rynku wydawniczym pojawiło się nowe czasopismo wydawane przez Wydawnictwo Software, znane z tytułów takich jak Linux+ czy Software. Nowy miesięcznik Hakin9 zajmuje się wyłącznie bezpieczeństwem - tematem, który jest w prasie reprezentowany niezbyt licznie (IT-FAQ, ś.p. WinSecurity, IT Security Magazine). Dzięki uprzejmości redaktora naczelnego Piotra Sobolewskiego miałem okazję zapoznać się ze styczniowym numerem Hakingu. Dla mnie najciekawszym artykułem jest tekst Michała Szymańskiego poświęcony wardrivingowi, czyli skanowaniu sieci bezprzewodowych (WLAN). Artykuł, pełny technicznych konkretów, będzie zapewne doskonałym podręcznikiem dla tych, któzy chcieliby zacząć zajmować się włamywaniem do sieci bezprzewodowych. Niech będzie to przestrogą dla administratorów WLAN - przygotowując artykuł o WLAN (ukaże się w kolejnym numerze ComputerWorld) na własne oczy widziałem dziesiątki mrożących krew w żyłach, w pełni otwartych bezprzewodowych siec LAN poważnych firm i instytucji. Kolejny tekst Man in the middle omawia szczegółowo ten typ ataków na sesje SSH i SSL. Programistom przyda się artykuł o race conditions, które położyły wiele aplikacji uniksowych. Tekst poświęcony bezpiecznej konfiguracji BIND wyczerpuje wszystkie techniczne aspekty tego niełatwego zadania i ucieszy tych, którzy z różnych powodów nie mogą postawić bezpieczniejszego serwera DNS. W numerze można także znaleźć artykuły o konfiguracji Snort IDS, CerbNG (grsecurity dla FreeBSD), bezpiecznym programowaniu w Pythonie oraz płytę CD z dwiema bootowalnymi dystrybucjami Linuksa zawierającymi narzędzia związane z bezpieczeństwem. Zaletą magazynu jest wysoka szczegółowość artykułów, która może się wydać kontrowersyjna. Jednak jako zwolennik full disclosure uważam że administrator w pierwszym rzędzie powinien znać techniki, które mogą być wykorzystane do włamania do jego sieci. Bez tego nigdy nie będzie mógł wyprzedzić włamywacza. Jako jeszcze jedną zaletę magazynu dodajmy, że jest on wydawany praktycznie we wszystkich krajach europejskich. Hakin9 http://www.haking.pl/ |
|
Nowości IETF Paweł Krawczyk czwartek, 15. stycznia 2004 W ciągu ostatnich dni IETF opublikował długą listę nowych RFC, czyli dokumentów będących podstawowymi standardami technicznymi Internetu. Wśród tych nowości znalazło się kilka interesujących z punktu widzenia bezpieczeństwa. W miarę wolnego czasu będziemy publikować tego typu nowości regularnie. I tak, RFC 3631 ,,Security Mechanisms for the Internet'' stanowi omówienie podstawowych technik ochrony danych stosowanych współcześnie w Internecie z, co najważniejsze, praktycznymi informacjami o ich zaletach i wadach. Omówiono hasła jednorazowe, HMAC, IPSec, TLS, SASL, GSS-API, DNSSEC, S/MIME, OpenPGP, firewalle, Kerberos, SSH oraz najczęstsze przyczyny włamań. Pomimo że na każdy z tych tematów przypada ok. pół strony, dokument ten jest doskonałym przewodnikiem dla osób chcących uzyskać ogólny obraz sytuacji. Szkic (draft) Ingress Filtering for Multihomed Networks będzie przydatny dla administratorów sieci, konfigurujących filtry pakietów na routerach brzegowych i firewallach. Dotyczy on przede wszystkich ochrony przed spoofigiem oraz filtrowania sieci prywatnych. Szkic Internet Denial of Service Considerations omawia tredny w atakach denial of service i będzie również przydatny dla administratorów sieci. IETF http://www.ietf.org/ |
| Kazaa - podziel sie swoim trojanem z innymi Piotr Kuliński czwartek, 15. stycznia 2004 Jak donosi serwis wired.com popularny program peer-to-peer Kazaa nie zawsze dostarcza nam zupełnie tego co byśmy chcieli. Według pracownika firmy TruSecure bez mała połowa plików wykonywalnych pobranych z użyciem tego programu zawiera szkodliwą zawartość. Cześć z nich to wirusy lub robaki, które po ściągnięciu infekują pliki wykonywalne w komputerze użytkownika, inne to robaki wyspecjalizowane w kradzieży haseł lub uruchamiające na maszynach serwer SMTP, który jak nietrudno zgadnąć, może posłużyć twórcom robaka do wykorzystania danej maszyny w celu wysyłania "spamu". Średnia liczba osób zalogowanych jednocześnie na serwerach Kazaa sięga kilku milionów, co tłumaczy jej wielką atrakcyjność jako sposobu dystrybucji takich "insektów". Jednocześnie jak nietrudno zgadnąć, duża część maszyn używających Kazaa to maszyny z systemem operacyjnym Windows, co powoduje że są one łatwym celem z powodu dużej ilości dziurawych usług w tych systemach (jak np. RPC DCOM) zwłaszcza u "zwykłych" (czytaj "nieświadomych słabości systemu") użytkowników. Kim Zetter ,,Kazaa Delivers More Than Tunes '' http://www.wired.com/news/business/0,1367,61852,00.html |
|
Podpis elektroniczny - niekończąca się opowieść Piotr Kuliński środa, 14. stycznia 2004 Podpis Elektroniczny to zagadnienie, które jak bumerang powraca na łamy prasy. Co prawda raz i drugi słyszy się o tym, że sprawa posuwa się do przodu (przypomnijmy, że prezydent Aleksander Kwaśniewski podpisał ustawę o podpisie elektronicznym już 11 października 2001 roku, przy okazji zaczynając od włożenia karty do góry nogami), jednakże mimo bezsprzecznych zalet podpis elektroniczny wciąż napotyka na spore trudności we wdrażaniu go w nowe dziedziny życia a szkoda, bo na pewno ułatwiłby nam wiele spraw. SecurityFocus przedstawia artykuł, w którym opisuje zagadnienia podpisu elektronicznego w świetle prawa europejskiego. Oprócz ogólnych definicji i pojęć dotyczących kluczy elektronicznych, znaleźć tu można zagadnienia ujęte w kontekście obowiązującego prawa europejskiego, obowiązki zarówno użytkownika kluczy jak i instytucji je certyfikujących, a także trendy panujące w krajach wspólnoty. Nawiasem mówiąc długa debata nad podpisem elektronicznym w Polsce skończyła się jak na razie niezgodnością implementacji polskiego podpisu elektronicznego z dyrektywami UE, co niezbyt dobrze wróży jego rozwojowi w najbliższej przyszłości... Mirella Mazzeo ,,Digital Signatures And European Laws'' http://www.securityfocus.com/infocus/1756 |
| Nowa sztuczka złodziei Paweł Krawczyk wtorek, 13. stycznia 2004 Internetowi złodzieje po raz kolejny sięgnęli po socjotechnikę aby wyłudzać pieniądze. Setki tysięcy osób na całym świecie otrzymuje co jakiś czas sfałszowane emaile, pochodzące jakoby od działu wsparcia klienta firm takich jak PayPal, E-Gold czy banków internetowych (ostatnio Citibank). Email, sformatowany w HTML, zawiera przekonujące wyjaśnienie jakiejś fikcyjnej sytuacji awaryjnej i prośbę, o zalogowanie się na swoje konto za pomocą załączonego formularza. Dane konta, dające dostęp do naszych pieniędzy, trafiają oczywiście do złodzieja. Ofiara często niczego nie zauważy - dane są przechwytywane w sposób niewidoczny, a zaraz potem wykorzystywane do wykonania prawidłowego logowania do serwisu. Pamiętajmy zatem, że żadne szanujące się serwisy finansowe ani tym bardziej banki nigdy i w żadnej sytuacji awaryjnej nie wysyłają próśb o zalogowanie się na konto lub podanie swoich danych w taki sposób. W razie wątpliwości, należy dzwonić do działu obsługi klienta - stawką są nasze pieniądze. Reuters: ,,Citibank Warns on New Internet 'Phishing' Scam'' http://www.reuters.com/newsArticle.jhtml; |
|
Nie zabieraj haseł do grobu Paweł Krawczyk poniedziałek, 12. stycznia 2004 The Dallas Morning News publikuje artykuł o tym, jak wiele problemów przysparza powszechne przechowywanie informacji w postaci elektronicznej. Zwłaszcza w przypadku, gdy jej właściciel zabierze ze sobą do grobu hasła zabezpieczające dostęp do tej informacji. The Dallas Morning News: Doug Bedell ,,Don't take passwords to the grave'' http://www.canada.com/calgary/calgaryherald/ |
| Krytyczna dziura w kernelu Linuksa Paweł Krawczyk poniedziałek, 12. stycznia 2004 Po raz kolejny w części kernela Linuksa odpowiedzialnej za zarządzanie pamięcią odkryto krytyczną dziurę, której wykorzystanie daje lokalnego roota. Jak poprzednio, i tym razem dziurę odkrył polski zespół iSec w składzie Paul Starzetz i Wojciech Purczynski. Podatne są kernele od 2.4 do 2.6 (bez 2.2). Dostępne są poprawki dla większości dystrybucji Linuksa. Update: wczoraj z rozpędu napisałem, że dziura daje zdalnego roota, co oczywiście nie jest prawdą. Dziękuję Czytelnikom za czujność! Linux kernel do_mremap local privilege escalation vulnerability http://isec.pl/vulnerabilities/isec-0013-mremap.txt |
|
Nowy serwis o kryptografii Paweł Krawczyk poniedziałek, 12. stycznia 2004 Dzięki wysiłkowie Krzysztofa Maćkowiaka dorobiliśmy się polskojęzycznego serwisu kryptografia.com, mającego być docelowo centralną składnicą wiedzy na temat kryptografii dla studentów, programistów i osób zajmujących się ochroną informacji. Już teraz moża tam znaleźć imponującą ilość informacji, zbierających w jednym miejscu większość polskojęzycznych artykułów, książek i publikacji na temat kryptografii. Życzymy powodzenia i utrzymania wysokiego poziomu! kryptografia.com http://www.kryptografia.com/ |
| 4PI: Bezpłatne testy bezpieczeństwa Jakub Szalaty poniedziałek, 12. stycznia 2004 Firma doradcza 4pi specjalizująca się w obszarze doradztwa w zakresie technologii informacyjnych organizuje bezpłatną akcję dla polskich przedsiębiorstw, które są zainteresowane zwiększeniem bezpieczeństwa swojego systemu informatycznego połączonego z Internetem. Testy bezpieczeństwa wykonywane komercyjnymi narzędziami pozwalają na zweryfikowanie konfiguracji serwera i urządzeń sieciowych oraz sprawdzenie czy nie są on podatne na znane typy ataków i włamań komputerowych. Formularz zgłoszeniowy, zakres testów, oraz pozostałe istotne informacje dostępne są na stronie www.4pi.pl Testy bezpieczeństwa 4PI http://www.4pi.pl/info.php?id=150&dz=1 |
|
RSA-576 sfaktoryzowana! Paweł Krawczyk piątek, 12. grudnia 2003 Pojawił się kolejny zwycięzca w RSA Factoring Challenge, polegającym na faktoryzowaniu dużych liczb złożonych na czynniki będące liczbami pierwszymi. Tym razem zespołowi z BSI (niemiecki odpowiednik DBTI ABW) w dniu 3-go grudnia udało się znaleźć czynniki długiej, 174-cyfrowej liczby złożonej będącej przedmiotem konkursu. Na osobę, która sfaktoryzuje następną w konkursie RSA liczbę RSA-640 czeka nagroda 20 tys. USD, a za najdłuższą RSA-2048 - aż 200 tys. USD. MathWorld: Eric W. Weisstein ,,RSA-576 Factored'' http://mathworld.wolfram.com/news/2003-12-05/rsa/ |
| CrypTool Paweł Krawczyk piątek, 5. grudnia 2003 Deutsche Bank, Politechnika w Darmstadt i firma Secude wspólnie pracują nad projektem CrypTool, który jest narzędziem do nauki kryptografii, bo chyba tylko tak można to określić. Program (darmowy, dostępny tylko pod Windows, podobno działa pod Wine) umożliwia praktyczne poznawanie technik kryptograficznych od podszewki, w tym m.in. wykonywanie testów statystycznych, kryptoanalizę szyfrów podstawieniowych, szyfrowanie popularnymi algorytmami i generowanie podpisów cyfrowych ,,po kawałku'' itd. CrypTool http://www.cryptool.com/ |
|
NIST rozszerzył FIPS 180-2 Paweł Krawczyk piątek, 5. grudnia 2003 NIST ogłosił rozszerzenie specyfikację bezpiecznych funkcji skrótu FIPS 180-2 o nową funkcję SHA-224, generującą - jak można się domyślić - skrót o długości 224 bitów. Standard ten dostarcza opisów czterech (z nową pięciu) funkcji skrótu różniących się podstawowymi parametrami - wielkością bloku wejściowego i wynikowego skrótu. I tak funkcje SHA-1, SHA-224 i SHA-256 pracują na blokach 512 bitów i dostarczają skrótów o długościach odpowiednio 160, 224 i 256 bitów. Efektywna długość w sensie odporności na atak ,,urodzinowy'' wynosi odpowiednio 80, 112 i 128 bitów. Funkcje SHA-384 i SHA-512 przetwarzają dane w blokach po 1024 bity i dostarczają skróty o długościach 384 i 512 bitów, a efektywnie - 192 i 256 bitów. Zastosowanie odpowiedniego skrótu ma bardzo duże znaczenie w przypadku wykorzystywania ich jako kluczy dla szyfrów blokowych, co jest powszechną praktyką. W tym wypadku należy brać pod uwagę efektywną długość skrótu. I tak, dla AES-256 należałoby zastosować SHA-512, dla 3DES (168 bitów klucza) i AES-192 - skrót SHA-384, a dla AES-128 - skrót SHA-256. FIPS 180-2 Change Notice
http://csrc.nist.gov/publications/fips/fips180-2/FIPS180-2_changenotice.pdf |
| RedHat z papierami Paweł Krawczyk czwartek, 4. grudnia 2003 RedHat wkrótce zakończy proces certyfikacji swojej dystrybucji Linuksa RedHat Enterprise Linux 3 według standardów bezpieczeństwa Common Criteria, prowadzony przez brytyjski urząd CESG, odpowiednik naszego DBTI ABW. Podczas certyfikacji urząd, który ją wykonuje stwierdza, że badany produkt spełnia wszystkie zdeklarowane normy bezpieczeństwa i że zastosowane zabezpieczenia działają. RedHat będzie certyfikowany na najniższy z bezpiecznych poziomów czyli EAL-2. Oracle, który finansuje certyfikację RedHata zapowiada, że docelowo system ten będzie oceniany na najwyższy poziom EAL-4. Stopień ten uzyskały inne komercyjne systemy takie jak Solaris, AIX, HP-UX i Windows 2000. Uzyskanie go przez Linuksa będzie dla RedHata przepustką do sprzedaży swojego systemu klientom, którzy do tej pory nie mogli go kupować ze względu na ograniczenia ustawowe, zmuszające głównie instytucji rządowe do zakupu certyfikowanych systemów. News.Com: Matthew Broersma ,,Red Hat Linux nears security clearance'' http://news.com.com/2100-7355_3-5112984.html?tag=nefd_top |
|
Krytyczna dziura w kernelu Linuksa Paweł Krawczyk wtorek, 2. grudnia 2003 Paul Starzetz i Wojciech Purczyński odkryli poważną dziurę w kernelu Linuksa, umożliwiającą uzyskanie praw roota przy lokalnym dostępie do systemu. Od wczoraj dostępne są poprawione pakiety z kernelem dla wszystkich głównych dystrybucji. Jak się okazało, dziura ta została wykorzystana podczas ostatniego włamania na serwery Debiana, co świadczy o tym że exploity są już w rękach script kiddies. Dziura jest tym bardziej niebezpieczna, że jej wykorzystaje daje atakującemu dostęp do całej pamięci kernela, umożliwiając dowolne modyfikacje, w tym takie które dają mu prawa roota. W takim wypadku mechanizmy takie jak GRsecurity, SELinux czy RSBAC są nieskuteczne. W tym wypadku zawiodła także procedura alarmowania użytkowników o nowej dziurze. W rozwojowych źródłach kernelach dziura została poprawiona już we wrześniu, ale autor poprawki nie zauważył jakie konsekwencje mogła mieć ona dla bezpieczeństwa systemu. Zauważyli za to inni, dzięki czemu przez ten czas użytkownicy kerneli 2.4 byli otwarci na atak. iSEC.PL: Paul Starzetz, Wojciech Purczyński
,,Linux kernel do_brk() lacks argument bound checking'' http://isec.pl/vulnerabilities/isec-0012-do_brk.txt |
| Ochrona sterty dla glibc Paweł Krawczyk wtorek, 2. grudnia 2003 Pojawiła się nowa łata dla glibc zapewniająca ochronę przed atakami wykorzystującymi przepełnienie sterty (heap overflow). Zastosowano w niej ochronę za pomocą znaczników (canaries). William Robertson ,,Heap protection'' http://www.cs.ucsb.edu/~wkr/projects/heap_protection/ |
|
Dziurawe głosowanie Paweł Krawczyk piątek, 28. listopada 2003 Skandale związane z elektronicznym głosowaniem pokazują jak idealizowane w teorii e-wybory zderzają się z twardą rzeczywistością. Klapa ubiegłorocznych polskich wyborów samorządowych pokazała, co się dzieje gdy z ,,z braku czasu'' omija się procedurę zamówień publicznych i dopuszcza do użytku niesprawny i nieprzetestowany system zliczania głosów. Oparty w dodatku o zamknięte oprogramowanie - niedrożność zeszłorocznego systemu zagłuszyła jakby kwestię jego bezpieczeństwa. W tym roku podobne dolegliwości dotknęły kilka stanów USA. Amerykański kongresman Dennis J. Kucinich opublikował list otwarty, wyliczający wszystkie znane nieprawidłowości w procesie dostaw urządzeń do głosowania do stanowych komisji wyborczych. Zarzuty były tutaj podobne jak u nas - opóźnienia ze strony ustawodawcy spowodowały że dostawy realizowano w pośpiechu i w ostatniej chwili, a producent świadomie wdrażał oprogramowanie nieprzetestowane i z błędami. Przeciwko firmie Diebold, największemu obwinionemu w tej sprawie świadczą dwa niezależne raporty - jeden sporządzony przez zespół pod kierownictwem Avi Rubina i drugi przez firmę SAIC na zlecenie stanu Maryland. Oba ujawniły ponad kilkaset błędów i dziur w bezpieczeństwie terminali do głosowania produkcji Diebolda. Dodatkowego smaczku dodała sprawie agresywna reakcja firmy na ujawnienie w sieci emaili pokazujących że fakt istnienia błędów był im znany. Na przykład brak było jakichkolwiek ograniczeń dostępu do logów urządzenia, opartego o bazę MS Access na platformie Windows (por. wcześniejszy artykuł o wirusie w bankomatach). Miejmy nadzieję, że osoby odpowiedzialne w przyszłości za polskie wybory elektroniczne wyciągną z tych przypadków jakieś wnioski. ComputerWorld: Tomasz Marcinek ,,Długa lista niejasności'' http://www.computerworld.pl/artykuly/27420.html (o polskich wyborach 2002) |
| Problem w niektórych kluczach GPG Paweł Krawczyk czwartek, 27. listopada 2003 Werner Koch, szef projektu GNU Privacy Guard poinformował, że część kluczy prywatnych stworzonych za pomocą starszej wersji GPG może być łatwo odtworzona. Dotyczy to wyłącznie kluczy prywatnych ElGamal używanych do szyfrowania i podpisywania równocześnie, stworzonych za pomocą GPG 1.0.2. Ze względu na to, że takie klucze nie są oferowane domyślnie i przed ich wygenerowaniem należy przejść przez kilka ostrzeżeń, Koch ocenia że błąd dotyczy tylko niewielkiej liczby kluczy, około tysiąca w skali całego świata. Zalecane jest anulowanie i zablokowanie wszystkich takich kluczy. Samodzielnie można sprawdzić podatność za pomocą polecenia gpg --list-secret. Za długością klucza znajduje się litera oznaczająca jego typ, na przykład 1024D. Duże G w tym miejscu oznacza podatność na atak. Domyślnie tworzone klucze DSA (oznaczone D oraz podklucze ElGamal (małe g) są bezpieczne. Werner Koch ,,GnuPG's ElGamal signing keys compromised'' http://lists.netsys.com/pipermail/full-disclosure/2003-November/014239.html |
|
Nowy procesor VIA z szyfrowaniem Paweł Krawczyk środa, 26. listopada 2003 Firma VIA nie przestała zadziwiać ogłaszając premierę nowego procesora Eden-N, wyposażonego - jak poprzedni VIA C3 - w dwa sprzętowe generatory liczb losowych oraz nowość, którą jest sprzętowa implementacja szyfry AES. Według producenta procesor 1 GHZ jest w stanie wykonywać operacje szyfrowania AES z szybością do 12.5 Gbit/sek, czyli około ośmiu razy szybciej niż 3 GHz Pentium4 Intela. Jest to atrakcyjna oferta dla producentów urządzeń VPN, użytkowników WLAN i wszystkich innych aplikacji gdzie konieczne jest sprzętowe wspomaganie szyfrowania. VIA Eden-N Processor http://www.via.com.tw/en/Products/eden_n.jsp |
| Wirus w bankomatach Paweł Krawczyk środa, 26. listopada 2003 Znaczna liczba bankomatów produkcji firmy Diebold w dwóch amerykańskich bankach została zainfekowana przez windowsowego wirusa Nachi, podczas szczytu jego aktywności w sierpniu. Bankomaty były oparte o system Windows XP Embedded podatny na dziurę RPC DCOM odkrytą wcześniej we wszystkich wersjach Windows. Według zapewnień bankowców wirus działający na bankomatach nie spowodował większych szkód poza zaburzeniami w sieci wywołanymi intensywnym skanowaniem w poszukiwaniu nowych ofiar. Udostępniona przez MS ponad miesiąc wcześniej poprawka została zainstalowana w bankomatach dopiero po tym incydencie. Nie wiadomo po co bankomaty miały otwarte porty RPC i jakie jeszcze podobieństwa łączą je z typowymi domowymi Windowsami. Producent poinformował o nawiązaniu współpracy z Sygate w celu instalowania w bankomatach programu Sygate Personal Firewall. Uruchamianie tak specjalizowanej aplikacji w tak uniwersalnym systemie operacyjnym nie ma jednak żadnego uzasadnienia. Negatywnym rezultatem takiego rozwiązania będzie za to że bankomaty będą podatne na wszystkie nowe ataki dotyczące Windows. SecurityFocus: Kevin Poulsen
,,Nachi worm infected Diebold ATMs'' http://www.securityfocus.com/news/7517 |
|
CryptoPhone Paweł Krawczyk środa, 19. listopada 2003 Niemiecka firma wypuściła na rynek urządzenie CryptoPhone, które jest jednym z niewielu telefonów GSM z silnym szyfrowaniem. Urządzenie przypomina bardziej palmtopa ze słuchawkami niż telefon komórkowy, potrafi jednak pracować w standardowych sieciach GSM 900/1800 wykonując zarówno nieszyfrowane połączenia do zwykłych aparatów jak i bezpieczne do innych ,,kryptofonów''. W opracowaniu jest wersja GSM 1900 przeznaczona dla USA. Wykorzystane algorytmy kryptograficzne to AES-256 i Twofish do szyfrowania transmisji oraz Diffie-Hellman wykorzystujący klucz o długości 4096 bitów. Co ciekawe, firma zadeklarowała że 23. listopada opublikuje kod źródłowy oprogramowania telefonu tak aby każdy mógł zweryfikować poprawność implementacji zabezpieczeń. Dostępność telefonu limituje jego cena wynosząca 1800 EUR za sztukę, co zdecydowanie stawia go w klasie urządzeń przeznaczonych dla najwyższych szczeblem menedżerów i polityków. CryptoPhone http://www.cryptophone.de/ |
| W końcu czarna lista IMEI Paweł Krawczyk piątek, 14. listopada 2003 Po kilku latach dywagacji, dzięki podjęciu współpracy krajowych operatorów GSM i policji w końcu powstała krajowa czarna lista skradzionych telefonów komórkowych. Umieszczone na niej numery IMEI (unikalny numer aparatu GSM) nie będą wpuszczane do żadnej z polskich sieci komórkowych, dzięki czemu telefon taki będzie bezużyteczny. Aby zabezpieczenie to było skuteczne, ofiara kradzieży musi zgłosić numer IMEI (pokazuje go *#06#) operatorowi, należy go więc mieć zapisanego. Zmiana numeru IMEI jest w niektórych aparatach możliwa, ale i tak jest to spore utrudnienie dla złodzieja. Onet: ,,Kradzieże komórek: powstała czarna lista'' http://info.onet.pl/816286,11,item.html |
|
Inwazja zombie Paweł Krawczyk piątek, 14. listopada 2003 W doskonałym serwisie nospam-pl.net, poświęconym nadużyciom dokonywanym przy pomocy poczty elektronicznej pojawił się interesujący artykuł na temat współpracy autorów wirusów, włamywaczy i spammerów. Ci ostatni, skutecznie spychani przez międzynarodowe (w tym i polskie) prawo w szarą strefę, sięgają po środki nie tylko nie stojące na granicy legalności jak do tej pory, ale wprost nielegalne. Wirusy i konie trojańskie, dobrze widoczne dzięki wybuchającym kilkukrotnie każdego roku epidemiom, przestały być sztuką samą w sobie. Obecnie setki tysięcy Windows przejętych i zdalnie kontrolowanych przez piratów pozwala na w dużej mierze anonimowe przesyłanie spamu lub dokonywanie ataków DDoS. Nospam-pl.net: ,,Zombie i MS Windows'' http://www.nospam-pl.net/zombie.php |
| Czas na Bluetooth Paweł Krawczyk czwartek, 13. listopada 2003 Usługi bezprzewodowe nie mają szczęścia jeśli chodzi o bezpieczne implementacje. Tym razem badacze z A. L. Digital, Adam i Ben Laurie, opublikowali wstępny opis możliwych do przeprowadzenia ataków na protokół Bluetooth, stosowany w niektórych telefonach komórkowych. Autorzy wymieniają kilka konkretnych modeli Ericssona i Nokii, podatnych na opisane ataki, które umożliwiają m.in. niezauważalne dla użytkownika podkradanie danych, wysyłanie na wyświetlacz telefonu fałszywych wiadomości itd. Serious flaws in Bluetooth security lead to disclosure of personal data http://www.bluestumbler.org/ |
|
Prawdziwy konkurs kryptograficzny Paweł Krawczyk środa, 12. listopada 2003 Ostatnio popularne są konkursy kryptoanalityczne polegające na łamaniu kryptogramów udostępnianych przez różne firmy (Thawte, RSA) lub osoby prywatne (Simon Singh). Gdyby ktoś miał ochotę spróbować swoich sił w bardziej realistycznych warunkach, to Cryptome udostępniło rzekomo autentyczne kryptogramy przechwycone w transmisjach z ambasady pakistańskiej w Londynie do stolicy Pakistanu, Islamabadu. Niezależnie od tego czy są one prawdziwe czy nie, można spróbować. Pakistan Embassy radio data http://cryptome.org/pk-radio-data.htm |
| Polska praca dyplomowa o DDoS Paweł Krawczyk środa, 12. listopada 2003 Piotr Chytla z iSEC Security Research opublikował pracę dyplomową realizowaną pod kierunkiem dr Marcina Głowackiego (ITA PWR), ,,Metody detekcji, śledzenia i zapobiegania ataków rozproszonych w sieciach IP''. Stanowi ona omówienie głównych problemów związanych z atakami DDoS. Przedstawione zostały podstawowe ataki DoS, DDoS oraz praktyczne i teoretyczne metody śledzenia, wykrywania oraz zapobiegania im. Piotr Chytla ,,Metody detekcji, śledzenia i zapobiegania ataków rozproszonych w sieciach IP'' http://isec.pl/papers/ddos-v2.pdf |
|
Dziurawy WPA Paweł Krawczyk poniedziałek, 10. listopada 2003 Robert Moskowitz z ICSA Labs przeprowadził analizę bezpieczeństwa metody uwierzytelniania hasłem stacji bezprzewodowych wykorzystujących protokół WPA, mający w założeniu być alternatywą dla słabego WEP. Według autora, zaproponowana w WPA metoda uwierzytelnienia jest podatna na szereg ataków i faktycznie nie jest bezpieczniejsza od WEP. Robert Moskowitz ,,Weakness in Passphrase Choice in WPA Interface'' http://wifinetnews.com/archives/002452.html |
| NSA kupuje licencję na ECC Paweł Krawczyk poniedziałek, 27. października 2003 Za 25 mln USD amerykańska Narodowa Agencja Bezpieczeństwa kupuła od Certicomu licencję na technologię kryptografii opartej na krzywych eliptycznych (ECC). Jest to pierwszy przypadek, gdy Agencja kupuje taką technologię od zewnętrznej firmy, do tej pory Agencja była postrzegana jako lider w zakresie rozwoju technik ochrony danych. Transakcja ta na pewno podniesie zaufanie do krzywych eliptycznych, które konkurują z najpopularniejszym obecnie standardem kryptografii z kluczem publicznym jakim jest RSA. Największym atutem ECC jest równoważne bezpieczeństwo przy dużo mniejszym kluczu oraz niewielkie wymagania sprzętowe, co jest ogromnym atutem przy obecnym zapotrzebowaniu na kryptografię możliwą do stosowania w telefonach i innych urządzeniach przenośnych. Interesującą ciekawostką może być fakt, że NSA planuje wykorzystanie kluczy ECC o długości do 512 bitów, co pod względem złożoności odpowiada kluczom RSA o długości 15360 bitów. Dla porównania, powszechnie stosowane klucze RSA mają długości od 2048 bitów. eWeek: Dennis Fisher ,,NSA Buys License for Certicom's Encryption Technology '' http://www.eweek.com/article2/0,4149,1362957,00.asp |
|
Dziurawa nowelizacja ustawy o cyberprzestępczości Paweł Krawczyk poniedziałek, 27. października 2003 Znany polski specjalista od ,,prawa komputerowego'', prof. Andrzej Adamski skomentował dla Rzeczpospolitej projekt nowelizacji ustaw karnych mających dostosować nasze prawo do standardów UE w zakresie walki z cyberprzestępczością. Według profesora Adamskiego nowelizacja zawiera wiele usterek, które powodują że treść ustawy będzie można w wielu miejscach dość swobodnie interpretować. Nowelizacja nie spełnia wszystkich zaleceń podpisanej przez Polskę konwencji o cyberprzestępczości, nie reguluje poprawnie problemu pornografii dziecięcej, zakładania podsłuchów komputerowych a przede wszystkim nie kryminalizuje włamania do systemu jako takiego, jeśli nie będzie ono połączone np. ze skasowaniem danych. Rzeczpospolita: Andrzej Adamski ,,Buszujący w sieci'' http://www.rzeczpospolita.pl/gazeta/wydanie_031027/prawo/prawo_a_8.html |
| Bugtraq po naszemu Paweł Krawczyk środa, 15. października 2003 Grupa cc-team i magazyn Haking rozpoczęły tłumaczenie na język polski wybranych wiadomości z listy dyskusyjnej Bugtraq. Życzymy powodzenia i mamy nadzieję, że przyczyni się to do zwiększenia świadomości o problemach bezpieczeństwa wśród polskich użytkowników Internetu. Projekt tłumaczenia bugtraq http://www.haking.pl/pl/index.php?page=bugtraq |
|
Niewidzialny hosting po polsku Paweł Krawczyk środa, 15. października 2003 Jak donosi Wired, niezidentyfikowana bliżej grupa spammerów z Polski oferuje kolegom po fachu z całego świata hosting, który określany jest mianem niewidzialnego. Oznacza to, że nie będzie możliwe ustalenie rzeczywistego adresu IP serwera przechowującego strony anie nawet określenie jednego, stałego adresu IP pod którym te strony są dostępne. Według przedstawiciela grupy, efekt ten został uzyskany dzięki wykorzystaniu sieci niemal pół miliona centralnie sterowanych, ztrojanizowanych Windowsów z całego świata. Systemy te są wykorzystywane jako szybko zmieniające się serwery DNS dla ,,niewidzialnej'' domeny. Brak jest innych informacji technicznych, a podane przez Wired przykłady takich serwerów nie działają co nie pozwala nam zweryfikować prawdziwości przechwałek osoby cytowanej przez czasopismo. Jest to jednak niewątpliwie znak, że techniki antyspamowe i powszechna praktyka ścigania spammerów stają się dla nich coraz dokuczliwsze i zmuszają do sięgania po coraz bardziej zaawansowane i coraz droższe metody zaśmiecania skrzynek pocztowych. Brian McWilliams (Wired) Cloaking Device Made for Spammers'' http://www.wired.com/news/print/0,1294,60747,00.html |
| Raport EFF o Trusted Computing Paweł Krawczyk wtorek, 14. października 2003 Organizacja EFF opublikowała raport na temat inicjatywy Trusted Computing, która wzbudziła wiele kontrowersji w tym roku. Przypomnijmy, że chodzi o opracowywane przez największych producentów procesorów techniki ,,bezpiecznego wykonywania kodu''. W największym skrócie funkcje te pozwalałyby w przyszłości autorom programów i systemów operacyjnych na wykonywanie określonych fragmentów kodu poza kontrolą użytkownika komputera. Dawałoby to zupełnie nowe możliwości w zakresie ochrony poufnych danych, ale z drugiej strony projekt budzi obawy że będzie on nagminnie nadużywana do ograniczania praw użytkowników. Raport EFF jest jednym z najbardziej obiektywnych do tej pory opracowań na ten temat, przedstawiającym argumenty obu stron. Seth Schoen (EFF) ,,Trusted Computing: Promise and Risk'' http://www.eff.org/Infra/trusted_computing/20031001_tc.php |