ZDNet - Microsoft je potrdil, da so neznani napadalci kompromitirali kanale, po katerih potujejo informacije v programu MAPP, zaradi česar se je na internetu v divjini že znašla zlobna koda, ki zlorablja svežo šele ta teden zakrpano ranljivost.

Program MAPP (Microsoft Active Protections Program) so uvedli leta 2008 in je kljub nekaterih varnostnim pomislekom ob zagonu do danes ostal eden izmed Microsoftovih najboljših programov. V njegovem sklopu Microsoft zaupanja vrednim proizvajalcem o varnostnih luknjah v svojem programju poroča že nekaj dni pred izdajo uradnega popravka, s čimer se izboljša zaščita, zmanjša možnost lažnih pozitivnih zadetkov protivirusnih programov in zapre okno ranljivosti. Varnostni pomisleki ob začetku delovanja programa so se tikali zlasti uhajanja informacij, saj bi bile informacije iz programa...

ZDNet - Microsoft je včeraj napovedal nov program, ki se za zdaj imenuje Omega. V njegovem sklopu bo obstajal tudi DISP (Defensive Information Sharing Program), ki bo vladam, sodelujočim v GSP (Government Security Program) in SCP (Security Cooperation Program), razkril podatke o varnostnih pomanjkljivostih in ranljivostih pred izdajo popravkov. Kot piše Microsoftov Steve Adegbite, bodo te informacije z vladami delili po izvedbi svojega preiskovalnega in popravljalnega cikla, tik preden bodo izdali popravek. Druga novost bo CIPP (Critical Infrastructure Partner Program), ki bo članom nudil detajlne informacije o varnostni politiki, strategijah in pristopih z namenom pomoči pri zagotavljanju varnosti kritične infrastrukture.

Slashdot - Mnogokrat pišemo o tako imenovanih zero day ranljivostih programov, pri čemer se vedno obregamo na urnost proizvajalcev pri pripravi popravkov, redko pa se govori o ekonomski vrednosti teh ranljivosti. Kot so pokazali zadnji napadi, so zero day ranljivosti dragocene tako za napadalce kot tudi obrambo.

Kot pišejo v zanimivem članku na Net Security, je treba za odkritje kakšne kvalitetne luknje žrtvovati približno tri mesece trdega dela hekerjev. Ti zato na podzemnih trgih ranljivosti, ki so se razcveteli v zadnjem času, zanje zahtevajo več sto tisoč dolarjev. Na njih so poleg zlikovcev dejavne tudi vladne agencije, ki lahko cene navijejo tudi milijona dolarjev. Obstaja pa še beli trg, kjer sodelujejo podjetja, kot so VeriSign, TippingPoint in Google, ki kupujejo zero day ranljivosti z namenom pokrpati svoje izdelke,...

Slo-Tech - Brad Spender, znani varnostni strokovnjak iz GR Security je na YouTube objavil kratek video, v katerem demonstrira novo zlorabo v Linux jedru 2.6.31, ki omogoča dvig privilegijev.

V predstavitvi Spender zlorabo prikazuje na sistemu, ki uporablja SELinux in ima naložene vse varnostne popravke. Zlonamerna koda deluje na 32 in 64-bitnih sistemih, omogoča pa dvig privilegijev na nivo Ring 0 ter popolno onemogočanje varnostnih mehanizmov SELinuxa. Debata o ranljivosti že poteka na našem forumu.

Spender je svoj filmček na YouTube objavil pod kategorijo "Komedija" in morda je čas, da razvijalci Linuxa sprevidijo, da varnost vsekakor ni šala...

Arnes - Kot poročajo številni varnostni portali, med drugim tudi Arnesov SI-CERT in Slashdot je raziskovalec Dan Kaminsky v DNS protokolu odkril resno ranljivost, ki omogočajo izvedbo tim. zastrupljanja predpomnilnika (ang. cache poisoning), posledično pa napadalec lahko s pomočjo DNS predpomnilnika izvede napad z ribarjenjem (tim. phishing).

Kaminsky je o ranljivosti obvestil 81 proizvajalcev programja za DNS strežnike, večina pa jih je danes izdala koordiniran popravek ranljivosti. Podrobnosti o ranljivosti sicer še niso javno znane, jih bo pa Kaminsky objavil avgusta letos na Black Hat konferenci. Na voljo je tudi on-line program za preverjanje ranljivosti vašega DNS-ja.

Pa še opozorilo: poleg nadgradnje DNS programske opreme na vaših strežnikih (če jih imate) pa ne pozabite nadgraditi tudi programske opreme na napravah kot so domači brezžični usmerjevalniki.

Slo-Tech - Po poročanju The Seattle Timesa sta floridska raziskovalca dognala, da je spletni strežnik z operacijskim sistemom Windows varnejši od tistega z Linuxom. Svoje ugotovitve sta predstavili na RSA konferenci. Profesor Richard Ford s floridskega instituta za tehnologije priznava, da se je motil in da je Windows dejansko varnejši.

Primerjana sta bila Windows Server 2003 in Red Hat Enterprise Server 3, na katerih so tekli podatkovne baze, skripte in spletni strežniki. Kriterij za oceno so bili pogostost in število popravkov, ki jih je bilo potrebno namestiti in vse varnostne pomanjkljivosti, ki sta jih v času testa objavila Microsoft in Red Hat. Rezultat? Windows je bil ranljiv 30 dni, medtem ko Linux 71. Preizkuševalca še poudarjata, da sta bila oba operacijska sistema konfigurirana, kot to stori povprečni administrator, in ne najbolje, kot ju je mogoče.

O novici nas je prijazno obvestil Marjan.

Finance - Vlade bodo dobile vpogled v izvorno kodo, varnostno dokumentacijo in stik z Microsoftovimi programerji, pravijo. Glavna razloga naj bi bila -- po mnenju večine opazovalcev -- vedno hujša konkurenca operacijskega sistema Linux in omajano zaupanje v varnost Microsoftove programske opreme.

V začetku letošnjega leta je Microsoft objavil Government Security Program, s katerim bo vladam in vladnim organizacijam omogočil vpogled v izvorno kodo operacijskega sistema Windows. Vlade bodo lahko dobile izvorno kodo za Windows 2000, ME, prihajajoči Server 2003 in CE, vpogled v Microsoftovo varnostno dokumentacijo, možnost komuniciranja z Microsoftovimi programerji in izvajanja svojih testov na izvorni kodi. Podobne programe je Microsoft nekaterim velikim strankam, tako vladam kot podjetjem, omogočal že prej, vendar v bolj omejeni obliki. Doslej so se programu že priključili Rusija, Velika Britanija in NATO, z 20 državami pa se Microsoft še pogaja. Klik!...