SecurityFocus Online - Očitno se težave z ničelnimi kazalci v Linux jedru kar vlečejo, saj se je po tim. Cheddar bay ranljivosti in podobni ranljivosti v 2.4 in 2.6 jedrih, ki temelji na neustrezni obravnavi ničelnih kazalcev (tim. NULL pointer dereference) v jedru tokrat našla še ena ranljivost

Tudi tokrat gre za problem obravnave ničelnih kazalcev (NULL pointer dereference) in sicer v jedrih različic do 2.6.31 (ranljivo ni le jedro različice 2.6.31.2). Ranljivost - gre za lokalno ranljivost - se tokrat pojavlja v eCryptfs, deluje pa tudi na Ubuntu 9.04 če je mmap_min_addr večji od 0 (to je mogoče preveriti z ukazom "cat /proc/sys/vm/mmap_min_addr"). Prejšnja podobna ranljivost, ki sta jo odkrila Julien Tinnes in Tavis Ormandy je sicer zahtevala, da je na sistemu nameščen SELinux ali pa PulseAudio in da je mmap_min_addr nastavljen na 0.

S pomočjo ranljivosti napadalci lahko okvarijo vsebino pomnilnika RAM (tim. memory corrupt) in s tem onemogočijo delovanje sistema, po nepotrjenih podatkih pa naj bi...

Slo-Tech - Julien Tinnes in Tavis Ormandy sta pred kratkim odkrila resno ranljivost vseh Linux jeder različic 2.4 in 2.6 (gre za vsa jedra od leta 2001 dalje), ki omogoča dvig privilegijev na najvišjo stopnjo (pridobitev tim. jedrnih privilegijev).

Na voljo je že tudi programska koda, ki demonstrira ranljivost (tim. exploit) ter popravek.



Težava je v neustrezni obravnavi ničelnih kazalcev (tim. NULL pointer dereference), za uspešno izvedbo napada pa morata biti na sistemu nameščen SELinux ali pa PulseAudio in mmap_min_addr nastavljen na 0 (to je mogoče preveriti z ukazom "cat /proc/sys/vm/mmap_min_addr").

Kot poročajo na forumu, naj nekatere različice Ubuntu 9.04 ne bi bile ranljive, saj mmap_min_addr ni nastavljen na 0 (zaradi...

Slo-Tech - Hekerska skupina Zero for Owned je na r00tsecurity.org objavila najnovejšo številko njihovega magazina ZF05, v katerem razkrivajo hekerski napad na številne znane osebnosti iz sveta informacijske varnosti.

Med njimi najdemo Kevina Mitnicka, Dana Kaminskyega ter lastnike spletnih strani PerlMonks, elitehackers.info, Binary Revolution, blackhat-forums in druge. V oči pa jim je padla tudi Joanna Rutkowska.

V svojem magazinu razkrivajo številna gesla, dokumente, zasebno e-pošto in slabe varnostne prakse svojih žrtev. Tako imajo številni znani varnostni strokovnjaki zelo slaba in predvidljiva gesla, na njihovih računalnikih pa niso naložene varnostne posodobitve.

Včeraj so tako tudi razobličili spletno stran Dana Kaminskyega (na spletno stran so napisali "Oh sh_t, Dan Kaminskyis 0wned and f_cked Up.") ter spletna stran varnostnega podjetja Matasano.

Vsekakor dogodek dokazuje da so poleg običajnih uporabnikov na udaru tudi varnostni IT strokovnjaki ter da popolnoma varnega sistema...

smh.com.au - Pregovorno nezaupljivi Kitajci ne zaupajo zahodnim iznajdbam, tako da ni presenetljivo, da imajo pomisleke o zaprtokodnih operacijskih sistemih. Da bi napravili svoje računalniške sisteme varnejše, so tako te dni na vladne in vojaške računalnike naložili operacijski sistem Kylin, za katerega obstoj so Američani izvedeli šele pred kratkim. Razvoj naj bi bil potekal že od leta 2001, prve računalnike pa so nanj migrirali leta 2007. Kot pravijo ameriški strokovnjaki za računalniško varnost, želijo Kitajci s tem otežiti kibernapade na svoje računalnike, saj so običajna orodja prirejena za za Linux, UNIX ali Windows, medtem ko je Klyin povsem svoja pasma.

Poleg tega so Kitajci razvili še varen mikroprocesor, ki je posebej utrjen proti zunanjemu fizičnemu napadu in avtomatski zlobni programski kodi. V sodelovanju naj bi varen operacijski sitem in mikroprocesor sestavljala izjemno odporno infrastrukturo, ki jo je težko prebiti. Ali, kot se je slikovito izrazil specialist za računalniško...

Slo-Tech - Pred približno mesecem dni je ameriška tajna služba NSA izdala novo različico svoje lastne distribucije Linuxa - SELinux.

SELinux vsebuje številne varnostne mehanizme, med katerimi velja omeniti predvsem tim. Mandatory Access Control, ki omogoča nadzor izvajanja aplikacij v računalniku. Mandatory Access Control omogoča, da upravitelj sistema posamezni aplikaciji ali sistemskemu procesu podeli minimalne privilegije, potrebne za delovanje. V primeru hekerskega vdora je zato veliko lažje ohraniti integriteto sistema.

SELinux je na voljo pod GPL licenco. Pogummnejši ga lahko prenesejo iz spletne strani NSA, tisti malo manj pogumni pa se bodo verjetno odločili za prenos iz Sourceforgea. Tisti najbolj pogumni, pa se lahko tudi pridružite razvijalski ekipi.

SELinux je kot dodatek na voljo tudi za številne distribucije, med https://wiki.ubuntu.com/SELinux">drugim tudi za Ubuntu.

SELinux naj bi bil med najbolj varnimi operacijskimi sistemi. Pa mu zares zaupate?

Schneier.com - Generatorji naključnih števil so zelo pomembni za varno delovanje kriptografskih aplikacij, zato je zelo pomembno, da le-ti generirajo čimbolj naključna števila. Varnost kriptografije je namreč odvisna tudi od varnosti generatorjev naključnih števil.

Žal so nekatere raziskave pokazale, da generatorji naključnih števil v nekaterih operacijskih sistemih niso dovolj zanesljivi. Raziskava Dorrendorfa, Guttermana in Pinkasa iz novembra letos je pokazala, da generator naključnih števil v Windows 2000 ni varen. Algoritem, ki se uporablja tudi za generiranje SSL ključev namreč ni bil javno objavljen, analiza pa je pokazala, da je mogoče z razmeroma preprostimi napadi predvideti prihodnje "naključne" vrednosti in s tem uganiti npr. SSL šifrirne ključe.

Seveda pa niti uporabniki operacijskega sistema Linux niso varni. Raziskava iz marca 2006 je namreč odkrila številne ranljivosti tudi v generatorju naključnih števil v tem operacijskem sistemu.

Ameriški National Institute of Standards...

Slo-Tech - V prihodnjem tednu se v Kiberpipi obetajo štiri poslastice.

Ponedeljek bo doc. dr. Tadej Kotnik s Fakultete za Elektrotehniko predaval o zdravljenju celic in tkiv s pomočjo elektrokemoterapije - kombinacije elektroporacije in kemoterapije.

V torek se bomo s Primožem spraševali Ali bo SELinux preživel:
SELinux ali Security-Enhanced Linux predstavlja dodatno varnost našega linux jedra, ki ga je razvila ameriška vohunska agencija NSA. Že dosedaj se je dodobra zakoreninil v razvojno drevo linux jedra.

Ste že slišali za XSLT? Če razvijate spletne strani in niste, potem nekaj zamujate. V sredo na Spletnih uricah boste izvedeli, da je XSLT za XML to kar je SQL za podatkovne baze. Naučili se ga boste uporabiti pri razvoju spletnih strani. Primeri bodo v PHPju in Pythonu!

Četrtek pa pridejo na račun tisti, ki bi radi svoje spletne (in druge) produkte tudi dobro prodali. Na Večeru za inovativne in podjetne bo gost Robert Rolih, predaval pa bo o direktnem marketingu. Vsi dogodki se...

Slo-Tech - Kot poročajo na Washington Post, je Microsoftu pri razvoju operacijskega sistema Windows Vista pomagala NSA (National Security Agency). Znano je, da je naloga NSA prestrezanje komunikacij in elektronski nadzor, manj znano pa je, da je ena izmed nalog NSA tudi razvoj varnostnih sistemov in varnostno testiranje. NSA je tako Microsoftu pomagala pri razvoju varnosti Windows Vista operacijskega sistema, pravijo pa, da so to storili brezplačno. Po poročanju je Microsoft za pomoč zaprosil tudi druge ameriške vladne agencije in mednarodne ustanove, med drugim tudi NATO.

Vlaganje v varnost je gotovo koristno in hvalevredno, pojavljajo pa se vprašanja, ali je sodelovanje z NSA, ki je znana tudi po svojem nezakonitem nadzoru, pravi korak v to smer. Znano je namreč, da je NSA "pomagala" pri razvoju DES šfrirnega algoritma, v katerem so kasneje našli varostne pomankljivosti za katere obstaja sum, da so bile namerno vstavljene. Po drugi strani pa je NSA sodelovala tudi pri razvoju enega...

Slo-Tech - Kljub temu, da so na internetu informacije dostopne "na klik", pa se - vsaj občasno - splača v roke vzeti kakšno dobro knjigo. Da se boste lažje odločili za klasično branje, bomo do nadaljnjega vsak petek objavili opis izbrane knjige.

Vabljeni k branju.

Knjiga: Bamford, James. 1983. The Puzzle Palace. Baskerville: Penguin Books.

Leta 1952 je ameriški predsednik Harry S. Truman s tajnim ukazom ustanovil NSA - National Security Agency, katere naloga je prestrezanje in kriptoanaliza tujih komunikacij ter razvoj rešitev za zaščito ameriških državnih komunikacij in informacijskih sistemov.

Vendar pa je NSA nekoliko presegla svoja pooblastila. Že predhodnik NSA, Black Chamber legendarnega ameriškega kriptoanalitika Williama Friedmana je namreč začel v ustnem dogovoru z nekaterimi telekomunikacijskimi podjetji prestrezati komunikacije državljanov ZDA. Operacija se je imenovala Operacija Shamrock, prekinili pa so jo leta 1975, da bi preprečili preiskavo ministrstva za pravosodje...

več strani - Nabral se je cel kup novic, povezanih z Linuxom in z odprto programsko opremo nasploh, zato sem jih zbral kar na enem mestu:

• Spet je izšla nova različica Knoppixa -- distribucije Linuxa, ki se naloži samodejno s plošče CD. Tokrat nosi oznako 3.2, Matthew Carpenter pa je predstavil pomembnega aduta te distribucije - -obujanje nedelujočih sistemov od mrtvih.
• RedHat, ki bo zelo kmalu izdal novo različico svoje distribucije, praznuje deseto obletnico delovanja. Še na mnoga leta! [:D]
• Povsem sveži Mandrake 9.1 doživlja nove in nove ocene. Na straneh OSNews sta trenutno aktualni kar dve -- prva iz vidika uporabnika Oken, druga pa s perspektive izkušenega uporabnika omenjene distribucije.
• V aprilu nas bo tudi SuSE razveselil z novim izdelkom -- SuSE Linux 8.2. Na njihovih straneh se je pojavila obširna predstavitev, MadPenguin.org pa nam je postregel s prvo oceno nove različice nemške distribucije.
• Veliki Modri se je že velikokrat izkazal za velikega zagovornika Linuxa in že lep čas se...

ZDNet - No, tako lepo še ni, je pa zanimivo slišati (oz. prebrati) o novi Intelovi tehnologiji, 'Hyperthreading' imenovani. V grobem to pomeni, da se v Pentiumu 4 izkoristi še neizkoriščene registre (napeljavo), s čimer procesor deluje skoraj z močjo dvo-procesorskega računalnika! S tem je omogočeno izvajanje 2 aplikacij istočasno (skoraj - samo ena lahko dostopa do fpu-ja) oz. hitrejše poganjanje ene same. "Kot dva procesorja na enem čipu," pravi Intelov predstavnik.

Intel razvijalce že lep čas opogumlja, naj začnejo bolje izkoriščati nove zmožnosti Pentium 4 procesorja -- žal pa dandanes obstaja le 30 aplikacij, ki omenjeni procesor kar najbolj izkoristijo. Intel sicer priznava, da hitrost izvajanja aplikacij na 'hyperthreadanem' procesorju ni enaka oni na pravem večprocesorskem sistemu, je pa (skoraj zastonjska!) razlika opazna -- pri poskusu s Xeonom ter Alias-Wavefrontom je bil opazen 30 % pospešek, strežniki pa zmorejo 30 % več uporabnikov. Klik!...

Slashdot - Vsak ve, da je Linux praktično zastonj in da so Okna relativno draga. Prav tako večina ljudi ve, da je TOC (Total Cost of Ownership) bolj problematičen od cene samega programja. Torej cena administracije in podobnih reči.
Se je pa pojavila še ena zanimiva stvar, ki bi lahko tehnico izbire operacijskega sistema nagnila na stran Linuxa. Namreč zadnje čase se da zavarovati račualnike proti vsem mogočem, tudi proti hekerskim vdorom. Kdo bi si mislil, ampak zavarovalnice znajo računat. Zračunali so si, da je pri Windowsih vdorov toliko več, da zaradi tega pobirajo 5-15% večje zavarovalne premije. No zaenkrat to počne šele ena, ampak je pa zanimivo, ker imajo zagotovo najboljše podatke o samih količinah vdorov pri podjetjih. Seveda gre za vprašanje koliko je varen povprečen nameščen Windows ali Linux sistem in ne kako varno se da sistem zrihtat če človek zna.