CNet - Včeraj je izšla prva stabilna verzija dodatka za Firefox, ki se imenuje HTTPS Everywhere in o katerem smo že pisali. Dodatek omogoča enostavno uporabo šifrirane povezave (HTTPS) pri brskanju po množici spletnih strani, ki to podpirajo, a je nastavitev včasih težavna, skrita ali kako drugače netrivialna. Podprtih je več kot 1000 najpopularnejših strani, med njimi Google, Twitter, Facebook, PayPal itn.

HTTPS Everywhere tako ne prisili brskalnika v slepo zahtevanje in prikazovanje strani prek...

Slashdot - O tem, da je protokol za razreševanje domen v IP naslove DNS mogoče uporabiti tudi za (dvo)smerno komuniciranje, smo že pisali. Primerov uporabe je veliko, ker je ta protokol praktično vseprisoten, vendar redko blokiran in nadzorovan.

Zdaj je na voljo spletna stran any.io, ki omogoča preverjanje Twitter / Identi.ca statusa kar z uporabo DNS poizvedbe:

nslookup -type=txt milijonar.twitter.any.io
Server:		a.b.c.d
Address:	a.b.c.d#53

Non-authoritative answer:
milijonar.twitter.any.io	text = "RT @podpalmo: @milijonar Ker \197\161minka nadgrajuje predstavo o stvari? Ali ker skriva realno predstavo? Zakaj ne enostavno obogatena resni\196\141n ..." "Wed Apr 13 23:41:17 +0000 2011"

Mogoče je dobiti tudi zadnjih 10. twittov, 8. najnovejši...

ComputerWorld - Ta teden so ameriški organi pregona aretirali deset oseb, ki jih obtožujejo vohunjenja za Rusijo. Šlo je za dolgotrajno operacijo, ki ima začetke v 90. letih prejšnjega stoletja. Osumljenci so si v ZDA ustvarili na prvi pogled običajno življenje, prevzeli so identitete umrlih ljudi in si poizkušali ustvariti povezave z vplivnimi ljudmi v političnih krogih, da so lahko v Rusijo posredovali občutljive podatke. Za našo stran je zanimivejši pogled na tehnologijo, ki so jo pri tem uporabljali vohuni. Izkazalo se je, da je niso bili najbolj vešči in da so bili pri svojem delu zelo površni.

Podatke so si z Moskvo izmenjevali steganografsko - v nedolžne slike so vstavljena sporočila na način, da človeško oko ne opazi razlike od originala - z uporabo nevidnega črnila, Morsejevo kodo, šiframi in ad hoc brezžičnimi povezavami med prenosniki. Uporabljali so prenosnike z Windows XP, s katerimi pa so imeli obilico težav. Pritoževali so se nad zmrzovanjem in neodzivnostjo sistema, mnogokrat so...

Slo-Tech - Electronic Frontier Foundation skupaj z razvijalci anonimizacijskega projekta Tor pripravlja dodatek za Firefox, HTTPS Everywhere. Dodatek je trenutno še v beta različici, a je že uporaben.

Dodatek omogoča samodejno in privzeto brskanje preko SSL zaščitenih (HTTPS) povezav za številne spletne strani npr. Google Search, Wikipedia, Twitter, Facebook, Paypal, itd. Te strani sicer nudijo https podporo, vendar je njena uporaba pogosto težavna, saj https privzeto ni uporabljen ali pa šifrirane strani vsebujejo povezave na nešifrirane strani. HTTPS Everywhere vse te http povezave prepiše na https. Dodatek omogoča, da uporabniki lahko vpišejo tudi lastna pravila oz. nabor podprtih spletnih strani še razširijo.

Poleg dodatka HTTPS Everywhere svetujemo še uporabo dodatka Pet Name Tool, ki omogoča preverjanje integritete SSL certifikatov spletnih strani.

Google - Google je predstavil novo možnost SSL Search, ki omogoča varno enkriptirano iskanje po spletu. Pri običajnem iskanju so podatki, ki se prenašajo med Googlom in uporabniki, vidni vsem vmesnim členom. Z uporabo enkripcije SSL bo Google temu napravil konec, tako da bo sedaj mogoče zahtevke posredovati in zadetke prejeti po šifrirani povezavi.

Že v začetku leta je Google kot privzet način dostopa do elektronskega predala Gmail postavil SSL, sedaj pa je na enak način z naslovom https://www.google.com dosegljiv tudi iskalnik. Varno povezavo prepoznate po ključavnici v statusni vrstici brskalnika in, pri Googlu, tudi po spremenjenem logotipu na naslovni strani.

Slo-Tech - Skupina 38 uglednih raziskovalcev in akademikov je včeraj Googlovemu izvršnemu direktorju Ericu Schmidtu poslala odprto pismo, v katerem Google pozivajo, naj za storitve Google Mail, Google Docs in Google Calendar privzeto omogoči HTTPS šifrirane povezave.

Google sicer omogoča prijavo preko varne HTTPS povezave, vendar pa povezava kasneje delno poteka na ne-šifriran način. Stalno šifriranje je namreč potrebno omogočiti med nastavitvami pod Browser connection, kjer je treba vključiti Always use https.

Podpisniki pisma poudarjajo, da bi morala biti privzeta opcija, da je povezava vedno šifrirana, s čimer bi precej povečali varnost, hkrati pa ne bi bistveno upočasnili same povezave do strežnika.

Slo-Tech - Kot na svojem blogu poroča Eddy Nigg, je tokrat Božiček hekerjem prinesel odlično darilo - popoln napad s posrednikom.

Napad s posrednikom, znan tudi pod imenom MITM (man-in-the-middle) napad, je posebna oblika napada, kjer napadalec skuša "prisluškovati" šifriranemu prometu med žrtvijo in spletnim (ali drugim) strežnikom. Deluje tako, da napadalec preko sebe preusmeri ves promet do nekega https strežnika, žrtvi podtakne lažen SSL certifikat, promet pa nato dešifrira in pošilja dalje do pravega strežnika.



Vendar pa se je do sedaj napade s posrednikom dalo zaznati na relativno enostaven način. Ker naj bi izdajatelji SSL certifikatov preverili identiteto oseb, ki se predstavljajo za upravitelje varnih spletnih strani, napadalec ne more dobiti s strani zaupanja...

ZDNet - Kot poročajo na ZDNet, je bila odkrita nova Flash ranljivost, ki ugrabi odložišče računalnika. Zlonamerneži jo seveda že izkoriščajo.

Ranljivost omogoča da po prikazu okuženega Flash oglasa na računalniku ni več mogoče normalno uporabljati odložišča (ang. clipboard), pač pa se odložišče vedno znova prepiše s poljubnim nizom (zlonamerneži uporabljajo URL naslov do lažnega antivirusa). Zloraba deluje v vseh operacijskih sistemih (Windows, Linux in Mac).

Na voljo je tudi neškodljiva demonstracija - a pozor! Po kliku na povezavo se vam bo odložišče samodejno prepisalo z nizom "http://www.evil.com" in to ne glede na to, kaj boste kopirali nanj. Za odpravo napake je nato potrebno zapreti brskalnik.

Po nekaterih informacijah naj bi bili okuženi oglasi na številnih spletnih straneh, med drugim tudi Newsweek, Digg in MSNBC.com.

Slo-Tech - Pred časom osnovana skupina anonimnih razvijalcev in uporabnikov Tor omrežja je danes izdala Incognito 2008.1. Gre za tim. živi CD, ki omogoča enostavno uporabo Tor omrežja za anonimno brskanje po spletu, klepetanje in pisanje elektronske pošte, temelji pa na Gentoo Linuxu.

Incognito lahko zaženemo iz CD-ja ali v virtualnem stroju (npr. VmWare, QEMU, VirtualBox,..), lahko pa ga tudi skopiramo na USB ključ na katerega nato lahko shranimo lastne nastavitve (npr. za e-pošto). Za kopiranje na USB ključ lahko uporabimo vgrajeno orodje, ki poskrbi za izdelavo zagonskega USB-ja, ustvarjanje kriptiranega domačega (/home) razdelka, sam korenski imenik pa je priklopljen samo za branje.

Incognito...

SANS Institute - SANS Institute poroča o novi nevarnosti, ki preži na uporabnike Internet Explorerja. ZlobnaKoda v obliki 27648 znakov velike datoteke z imenom img1big.gif, ki pa seveda ni slika, pač pa kompresiran trojanski konj, v računalnik namesti DLL knjižnico (z naključno izbranim imenom), ta knjižnica pa se v Internet Explorer namesti kot Browser Helper Object (BHO).

Vendar pa ta objekt ni namenjen pomoči pri sufranju po internetu, pač pa preži na https povezave. Ko uporabnik MSIE vzpostavi SSL povezavo, programska koda ukrade uporabniško ime in geslo še preden se le-to zašifrira in prenese do banke, podatke pa posreduje zlonamernežem.

Vsekakor je to dokaz, da še tako varno šifriranje ne pomaga, kadar ga kdo skuša enostavno - zaobiti...