Slo-Tech - Na blogu Infosec.si je tokrat objavljen zanimiv prispevek o varnosti zasebnih telefonskih central, ki imajo vključeno možnost podaljšanega izbiranja oziroma vsebujejo GSM module.

Podaljšano izbiranje (ang. dialout) je storitev, ki klicatelju omogoča nadaljnje klicanje želenega telefonskega priključka, GSM moduli pa omogočajo cenejše klice v GSM omrežja preko zasebne (PBX) centrale.

Če je GSM modul oziroma PBX centrala nepravilno konfigurirana, je s klicem na vhodno telefonsko številko centrale mogoče uporabiti podaljšano izbiranje oziroma klicanje...

Slo-Tech - Gorazd Žagar na svojem blogu namenjenemu informacijski varnosti pred kratkim objavil prispevek o varnosti Flash medijskega strežnika (Flash Media Server).

Pri tem opisuje konkreten primer slabo zaščitenega Adobe FMS strežnika, kjer bi napadalci lahko izvedli krajo širokopasovne povezave in sicer bi preko "zaseženega" strežnika lahko oddajali svoj lasten video. Gre za strežnik Adobe FMS 3.5, ki je uporabljen za video na zahtevo ter video v živo za potrebe spletnega mesta Vlade Republike Slovenije. Kot ugotavlja avtor je strežnik neustrezno skonfiguriran in nima nameščenega avtentikacijskega modula, posledično pa bi bila mogoča objava neavtoriziranih vsebin.

Flash strežnike je sicer mogoče enostavno locirati z uporabo orodij za izčrpno pregledovanje omrežja (npr. nmap) tako, da napadalec išče odprta TCP vrata 1935.

Še opozorilo - konkretno zlorabo v opisanem primeru je mogoče dokaj enostavno ugotoviti iz log datotek.

Slashdot - Predvčerajšnjim in včeraj so splet preplavile informacije o novo odkriti ranljivosti v šifrirnih protokolih SSL 3.0+ in TLS 1.0+. Gre za varnostno ranljivost, ki izkorišča napako v "pogajalskem procesu" protokola (tim. renegotiation phase), omogoča pa napade s posrednikom (tim. MITM napade) oziroma napade na HTTPS seje podpisane s certifikatom odjemalca.

Kot poročajo na SSL Shopper (analizo napada je na svojem blogu objavil Ivan Ristić) je težava v tem, da lahko nekdo nadzoruje en del šifrirane povezave pred ponovnim pogajanjem, nekdo drug pa po ponovnem pogajanju oz. izmenjavi sejnega ključa nadzoruje drugi del šifrirane povezave. Napadalec tako lahko odpre povezavo do SSL strežnika, pošlje nekaj podatkov, zahteva ponovno pogajanje in SSL strežniku prične pošiljati podatke, ki prihajajo od žrtve. Spletni strežniki (IIS in Apache) podatke, ki so prišli od napadalca in podatke, ki so prišli od žrtve nato povežejo, posledica česar je, da napadalec lahko SSL strežniku pošlje poljuben...

Slo-Tech - Po končani konferenci BlackHat, kjer so hekerji prikazali nekaj zanimivosti o varnosti oblakov (ang. cloud computing), so se na ReadWriteWeb nekoliko razpisali o nevarnostih oblačnega računalništva.

Med glavnimi nevarnostmi oblačnega računalništva navajajo štiri. Prva nevarnost je prevelika odvisnost od enega samega ponudnika storitve, ali kot v predstavitvi Clobbering the Cloud! pravijo Arvanitis, Slaviero in Meer - nevarno je dati vsa svoja jajca v eno samo košaro. Lep primer te nevarnosti je spletna stran Ma.gnolia, katere strežniki so se letos sesuli, vsi uporabniški podatki (zaznamki) pa so bili izgubljeni. Za vedno.

Druga nevarnost zadeva vprašanje zaupanja. Na ReadWriteWeb navajajo primer Amazona, ki novim uporabnikom omogoča uporabo predpripravljenih slike strežnikov. Ponujajo 2768 predpripravljenih strežnikov, od tega so jih 47 pripravili sami, ostale pa so pripravili uporabniki EC2 oblaka. Izkaže pa se, da uporabniki kar slepo zaupajo tem predpripravljenim uporabniškim...

Arnes - Kot poročajo številni varnostni portali, med drugim tudi Arnesov SI-CERT in Slashdot je raziskovalec Dan Kaminsky v DNS protokolu odkril resno ranljivost, ki omogočajo izvedbo tim. zastrupljanja predpomnilnika (ang. cache poisoning), posledično pa napadalec lahko s pomočjo DNS predpomnilnika izvede napad z ribarjenjem (tim. phishing).

Kaminsky je o ranljivosti obvestil 81 proizvajalcev programja za DNS strežnike, večina pa jih je danes izdala koordiniran popravek ranljivosti. Podrobnosti o ranljivosti sicer še niso javno znane, jih bo pa Kaminsky objavil avgusta letos na Black Hat konferenci. Na voljo je tudi on-line program za preverjanje ranljivosti vašega DNS-ja.

Pa še opozorilo: poleg nadgradnje DNS programske opreme na vaših strežnikih (če jih imate) pa ne pozabite nadgraditi tudi programske opreme na napravah kot so domači brezžični usmerjevalniki.

Schneier.com - Devetega marca 2005 so v Grčiji našli obešenega 38-letnega vodjo oddelka za omrežno načrtovanje podjetja Vodafone Grčija Kostasa Tsalikidisa. Domneva: samomor. Naslednji dan je vodstvo podjetja grškemu predsedniku vlade sporočilo, da so v telefonskih centralah podjetja našli programsko opremo, s pomočjo katere so neznani napadalci prisluškovali njemu in še več kot sto drugim visokim politikom, pomembnim državnim uradnikom, mirovnim aktivistom in članom organizacij za zaščito človekovih pravic. Izkazalo se je, da so neznani napadalci v telefonske centrale podjetja namestili posebno zlonamerno programsko opremo, tim. rootkit, s katero so izvedli prisluškovanje.

Ta mesec sta Vassilis Prevelakis in Diomidis Spinellis v reviji IEEE Spectrum objavila članek The Athens Affair, v kateri je podana pregledna analiza primera. Da se očitno dogaja nekaj nenavadnega so v grškem Vodafonu prvič odkrili 24. januarja 2005, po tem ko je nezakonito prisluškovanje že potekalo nekaj mesecev. Eno...

Microsoft - Microsoft je ravnokar objavil popravek za IE 5.01, 5.5, 6.0 ter 6.0 za Windows 2003. Popravek vsebuje funkcionalnost vseh do sedaj izdanih popravkov, vključuje pa še popravek za 2 novi varnostni luknji, ki bi napadalcu lahko omogočili poganjanje kode po lastni izbiri na žrtvinem računalniku. Vsi, ki še uporabljate IE veselo oddeskajte na Windows Update ali pa si omislite Mozillo.