Ars Technica - Kot smo že pisali, bo čez dva tedna brskalnik Chrome začel nekoliko bolj kričeče označevati spletne strani, ki še niso prešle na naslov https z veljavnim TLS certifikatom. Na spletni strani Ars Technica so se pred dnevi nekoliko ozrli naokoli in ugotovili, da se s prehodom ne mudi niti nekaterim velikim medijskim družbam. BBC je ta prehod sicer opravil nedavno, so pa med zamudniki tudi take družbe, kot so Fox News, Time in Newsweek.

Znano je, da take strani Google že nekaj časa razvršča nižje pri prikazovanju zadetkov svojega iskalnika, predvsem pa je problematična varnostna vrzel med spletno stranjo in uporabnikom, saj lahko nepridipravi vanjo z BGP napadi...

ComputerWorld - Ta teden so ameriški organi pregona aretirali deset oseb, ki jih obtožujejo vohunjenja za Rusijo. Šlo je za dolgotrajno operacijo, ki ima začetke v 90. letih prejšnjega stoletja. Osumljenci so si v ZDA ustvarili na prvi pogled običajno življenje, prevzeli so identitete umrlih ljudi in si poizkušali ustvariti povezave z vplivnimi ljudmi v političnih krogih, da so lahko v Rusijo posredovali občutljive podatke. Za našo stran je zanimivejši pogled na tehnologijo, ki so jo pri tem uporabljali vohuni. Izkazalo se je, da je niso bili najbolj vešči in da so bili pri svojem delu zelo površni.

Podatke so si z Moskvo izmenjevali steganografsko - v nedolžne slike so vstavljena sporočila na način, da človeško oko ne opazi razlike od originala - z uporabo nevidnega črnila, Morsejevo kodo, šiframi in ad hoc brezžičnimi povezavami med prenosniki. Uporabljali so prenosnike z Windows XP, s katerimi pa so imeli obilico težav. Pritoževali so se nad zmrzovanjem in neodzivnostjo sistema, mnogokrat so...

Slo-Tech - Electronic Frontier Foundation skupaj z razvijalci anonimizacijskega projekta Tor pripravlja dodatek za Firefox, HTTPS Everywhere. Dodatek je trenutno še v beta različici, a je že uporaben.

Dodatek omogoča samodejno in privzeto brskanje preko SSL zaščitenih (HTTPS) povezav za številne spletne strani npr. Google Search, Wikipedia, Twitter, Facebook, Paypal, itd. Te strani sicer nudijo https podporo, vendar je njena uporaba pogosto težavna, saj https privzeto ni uporabljen ali pa šifrirane strani vsebujejo povezave na nešifrirane strani. HTTPS Everywhere vse te http povezave prepiše na https. Dodatek omogoča, da uporabniki lahko vpišejo tudi lastna pravila oz. nabor podprtih spletnih strani še razširijo.

Poleg dodatka HTTPS Everywhere svetujemo še uporabo dodatka Pet Name Tool, ki omogoča preverjanje integritete SSL certifikatov spletnih strani.

Slashdot - Predvčerajšnjim in včeraj so splet preplavile informacije o novo odkriti ranljivosti v šifrirnih protokolih SSL 3.0+ in TLS 1.0+. Gre za varnostno ranljivost, ki izkorišča napako v "pogajalskem procesu" protokola (tim. renegotiation phase), omogoča pa napade s posrednikom (tim. MITM napade) oziroma napade na HTTPS seje podpisane s certifikatom odjemalca.

Kot poročajo na SSL Shopper (analizo napada je na svojem blogu objavil Ivan Ristić) je težava v tem, da lahko nekdo nadzoruje en del šifrirane povezave pred ponovnim pogajanjem, nekdo drug pa po ponovnem pogajanju oz. izmenjavi sejnega ključa nadzoruje drugi del šifrirane povezave. Napadalec tako lahko odpre povezavo do SSL strežnika, pošlje nekaj podatkov, zahteva ponovno pogajanje in SSL strežniku prične pošiljati podatke, ki prihajajo od žrtve. Spletni strežniki (IIS in Apache) podatke, ki so prišli od napadalca in podatke, ki so prišli od žrtve nato povežejo, posledica česar je, da napadalec lahko SSL strežniku pošlje poljuben...

Slo-Tech - Kot kaže novice z ranljivostmi v Linux jedru zaradi neustrezne obravnave ničelnih kazalcev (tim. NULL pointer dereference) kmalu ne bodo več novice. Brad Spengler je namreč odkril še en način za eskalacijo privilegijev v Linux sistemih. Kako vse skupaj izgleda v praksi (Spengler je exploit napisal v eni sami uri že 22. oktobra), si je mogoče ogledati v filmčku, objavljenem na YouTube.

A podobna ranljivost ni samo v domeni Linuxa, pač bo glava zabolela tudi Thea de Raadta. Clément Lecigne namreč na svojem blogu opisuje podobno ranljivost v OpenBSD-ju.

Zadnje ranljivosti v Linux jedru bodo gotovo še bolj spodbudile razprave o varnosti Linuxa. Tovrstne razprave so pogosto precej razgrete, pri vsem skupaj pa se žal pogosto pozablja na končni cilj - izboljšanje varnosti. Morda pa bo k temu pripomogel članek Why Linux security has failed (for the past 10 years).

SecurityFocus Online - Očitno se težave z ničelnimi kazalci v Linux jedru kar vlečejo, saj se je po tim. Cheddar bay ranljivosti in podobni ranljivosti v 2.4 in 2.6 jedrih, ki temelji na neustrezni obravnavi ničelnih kazalcev (tim. NULL pointer dereference) v jedru tokrat našla še ena ranljivost

Tudi tokrat gre za problem obravnave ničelnih kazalcev (NULL pointer dereference) in sicer v jedrih različic do 2.6.31 (ranljivo ni le jedro različice 2.6.31.2). Ranljivost - gre za lokalno ranljivost - se tokrat pojavlja v eCryptfs, deluje pa tudi na Ubuntu 9.04 če je mmap_min_addr večji od 0 (to je mogoče preveriti z ukazom "cat /proc/sys/vm/mmap_min_addr"). Prejšnja podobna ranljivost, ki sta jo odkrila Julien Tinnes in Tavis Ormandy je sicer zahtevala, da je na sistemu nameščen SELinux ali pa PulseAudio in da je mmap_min_addr nastavljen na 0.

S pomočjo ranljivosti napadalci lahko okvarijo vsebino pomnilnika RAM (tim. memory corrupt) in s tem onemogočijo delovanje sistema, po nepotrjenih podatkih pa naj bi...

ZDNet - Kot poročajo na ZDNet, je bila odkrita nova Flash ranljivost, ki ugrabi odložišče računalnika. Zlonamerneži jo seveda že izkoriščajo.

Ranljivost omogoča da po prikazu okuženega Flash oglasa na računalniku ni več mogoče normalno uporabljati odložišča (ang. clipboard), pač pa se odložišče vedno znova prepiše s poljubnim nizom (zlonamerneži uporabljajo URL naslov do lažnega antivirusa). Zloraba deluje v vseh operacijskih sistemih (Windows, Linux in Mac).

Na voljo je tudi neškodljiva demonstracija - a pozor! Po kliku na povezavo se vam bo odložišče samodejno prepisalo z nizom "http://www.evil.com" in to ne glede na to, kaj boste kopirali nanj. Za odpravo napake je nato potrebno zapreti brskalnik.

Po nekaterih informacijah naj bi bili okuženi oglasi na številnih spletnih straneh, med drugim tudi Newsweek, Digg in MSNBC.com.

Slashdot - Kot poročajo Slashdot in številni drugi mediji, so v Adobe Flash predvajalniku odkrili varnostno ranljivost, ki jo zlonamerni napadalci izkoriščajo v velikem obsegu. Zloraba (exploit) naj bi bila že vključena v kitajsko različico zbirke napadalskih orodij MPack exploit kit, zlonamerna koda pa je okužila že preko 20.000 spletnih strani.

Ob obisku okužene strani zlonamerna koda izrabi ranljivost predvajalnika Flash in prevzame popoln nadzor nad računalnikom.

Analiza Marka Dowda je pokazala, da gre za izkoriščanje ranljivosti CVE-2007-0071 v Flash predvajalniku 9.0.124.0, zato je priporočena čimprejšnja nadgradnja oz. posodobitev vašega predvajalnika.

Slo-Tech - O XSS ranljivostih s(m)o na Slo-Techu že pisali. A kljub temu, da gre za tim. ranljivost na strani spletnega odjemalca, so posledice zlorabe lahko precej drastične.

Raziskovalec Billy Hoffman, znan tudi pod imenom Acidus, je namreč januarja lani na konferenci Black Hat Federal 2006 predstavil prispevek z naslovom Analysis of Web Application Worms and Viruses. V prispevku je predstavil možnosti napadov s tim. spletnimi virusi, ki izkoriščajo XSS ranljivosti ter AJAX tehnologijo.

V soboto pa bo imel Hoffman predavanje na to temo tudi na Smoocon konferenci v Washingtonu.

Na konferenci bo predstavil možnosti vzpostavitve prikritih omrežij (tim. botnetov) s pomočjo izkoriščanja XSS ranljivosti in JavaScripta. Predstavil bo tudi konkreten primer, aplikacijo Jikto, ki omogoča samodejno vzpostavitev prikritega omrežja.

Orodje Jitko se lahko preko okužene spletne strani namesti na uporabnikov računalnik. Po namestitvi lahko orodje izvaja samodejno skeniranje, oz. iskanje...

OSNews - Tisti bralci, ki ste že kdaj slišali za operacijski sistem OpenBSD, verjetno veste, da novica iz naslova predstavlja vsaj takšno senzacijo kot morebitna vest o prijetju Radovana Karadžića ali Ratka Mladića. No, tudi z varnostjo obsedeni razvijalski ekipi se kdaj zgodi in pred nedavnim so pri Core Security Technologies odkrili novo možno ranljivost v jedru. Gre za "prekoračitev" (buffer overflow) pri obdelavi paketkov IPv6, ki bi zlonamernežem lahko omogočila sesutje sistema (kernel panic) ali zagon ZlobneKode™. Nadaljnjih podrobnosti željni lahko več izveste tule. Ekipa OpenBSD seveda ni sedela križem rok in je brž izdala popravek. Obenem so dejstvo priznali tudi na svoji glavni domači strani, kjer se že sveti nov napis "Only two remote holes in the default install, in more than 10 years!". Mimogrede, prva ranljivost v privzeti namestitvi tega operacijskega sistema je bila odkrita leta 2002 v kodi OpenSSH, ki se ravno tako razvija v sklopu projekta OpenBSD.

Ali bo na tretjo...

The Register - Sodeč po članku na The Registru, je MS UK iz ZDNet-a umaknil svoj reklamni oglas. Slednji je namreč oglaševal stabilnost Enterprise Server Software-a - na sliki sta (oz. naj bi bila) dva urina kazalca, postavljena v 'pet do enih', ki pa hkrati izgledata kot WTO-jevi zgradbi v svojih poslednjih trenutkih kompaktnosti. Presodite sami.