Evropska komisija - S tem mesecem so v EU začeli veljati novi predpisi, ki med drugim določajo tudi, da morajo biti večji izdelki in gospodinjski aparati popravljivi, torej z navodili in dostopnimi rezervnimi deli, 7-10 let po umiku s prodajnih polic. Gre za hladilnike, pralne stroje, sušilnike za lase in televizorje. V prihodnosti bo isto veljalo tudi zabavno elektroniko, kot so pametni telefoni, tablice in prenosni računalniki. Najbolj očitna sprememba za potrošnike pa so pravzaprav nove nalepke o porabi električne energije.

Aparati so namreč v zadnjih leti postali čedalje učinkovitejši, tako da razred A ni več zadoščal. Posledično smo izbirali med več plusi, denimo A+, A++ ali A+++. Ker takšna inflacija ocen zamegljuje dejansko učinkovitost, so lestvico redefinirali. Najučinkovitejše naprave so odslej uvrščene v razred B, medtem ko je A še prazen in rezerviran za morebitne izboljšave v prihodnosti. Večina izdelkov bo po novi uvrstitvi sodila v razrede B-D.

Na področju popravljivosti je poleg...

Bloomberg - Facebook se je lani pridružil Googlu in Mozilli ter začel finančno nagrajevati odkrite ranljivosti. Kdor v njihovih izdelkih najde kakšno luknjo in jo javi Facebooku, lahko prejme od 500 do 10.000 dolarjev, odvisno od resnosti odkrite ranljivosti. Do danes so razdelili že 400.000 dolarjev. Sedaj pa se je Facebook odločil, da bodo svoj program razširili in začeli nagrajevati tudi posameznike, ki bodo odkrili luknje v Facebookovem notranjem komunikacijskem omrežju (torej v informacijski hrbtenici podjetja) in ne le v končnih izdelkih.

To odločitev je vzpodbudil majski dogodek, ko so dobili poročilo, da je nekdo odkril veliko luknjo v njihovem notranjem omrežju. Hitro so jo zakrpali, nato...

OSNews - Raziskovalci so našli ranljivost v šifrirnem algoritmu AES, ki jim omogoča obnovitev šifrirnega ključa v štirikrat krajšem času kot pri slepem poizkušanju (brute force). To je prva praktično izvedljiva ranljivost, ki je bila odkrita v AES. Standard so namreč od njegove predstavitve leta 2001 redno preverjali, a razen matematično zanimivih, toda praktično neuporabnih ranljivost (na primer zelo omejena napada na AES-256) niso odkrili ničesar.

Tudi sedaj odkrita ranljivost, ki je prisotna v vseh izvedenkah (AES-128, AES-192, AES-256), ni praktično uporabna, čeprav je praktično izvedljiva. V povprečju bi namreč napad na en sam šifrirni ključ AES-128 trajal več milijard let z vso razpoložljivo računalniško močjo in štirikrat krajši čas v tem primeru ne pomeni pomembne razlike. To...

Facebook - Podobno kot to počneta Google in Mozilla, je tudi Facebook napovedal finančno nagrajevanje odkritih hroščev na svojih straneh in v svojih aplikacijah. Medtem ko Google plačuje do 3.133,7 dolarjev, odvisno od resnosti ranljivosti, in Mozilla 3000 dolarjev, je Facebook svojo nagrado za zdaj postavil na 500 dolarjev. Za velike luknje lahko podelijo tudi večjo nagrado, a se o tem odloča vsakokrat posebej.

Pripravili so poseben portal Whitehat, kjer lahko odkritelji odgovorno javijo napake, tako da ima Facebook čas za odpravo, odkritelji pa kandidirajo za 500 dolarjev. Pri tem so izključene napake v aplikacijah tretjih proizvajalcev, tretjih strani, napake kot posledice napadov DoS in...

Slashdot - Od sobote do četrtka je v Dallasu potekala konferenca TakeDownCon 2011, kjer raziskovalci predstavljajo odkrite ranljivosti v sistemih ter razpravljajo o izboljšavah in pristopu k večji varnosti. Za sredo je bila napovedana tudi predstavitev varnostnih pomanjkljivosti v Siemensovih industrijskih kontrolnih procesih SCADA (ki se uporabljajo za nadzor in krmiljenje industrijskih procesov, recimo zloglasnih centrifug, ki jih je prizadel Stuxnet). Pripravljala sta jo Brian Meixell in Dillon Beresford iz NSS Labs, pa sta se v zadnjem trenutku odločila, da jo zaradi prevelike nevarnosti odpovesta.

Meixell in Beresford poudarjata, da jima ni nihče grozil ali na vrata pošiljal odvetnikov. O odkritih ranljivostih sta razpravljala s Siemensom in ameriško Službo za domovinsko varnost...

ComputerWorld - Vsakoletni hekerski dogodek, kjer hekerji in raziskovalci demonstrirajo svoje poznavanje brskalnikov in mobilnih telefonov ter varnostnih lukenj v njih, se bo letos v Vancouvru začel 9. marca. Za nekoliko več vznemirjenja kot ponavadi je poskrbel Google, ki je razpisal doslej najvišjo nagrado 20.000 dolarjev za kogarkoli, ki bi našel in uspešno zlorabil kakšno ranljivost v njihovem brskalniku Chrome.

Na letošnjem Pwn2Ownu bosta okolje 64-bitna operacijska sistema Windows 7 in Mac OS X, na katerih bodo tekli Internet Explorer, Firefox, Safari in Chrome. Prvi, ki bodo zlomili prve tri brskalnike, bodo prejeli 15.000 dolarjev, kar je 50 odstotkov več kot lani, medtem ko so za Chrome nekoliko drugačna pravila.

Ker Chrome...

Heise - Francoski VUPEN je odkril ranljivost v norveškem brskalniku Opera, ki omogoča prilagojenim spletnim stranem okužiti računalnike s sistemom Windows. Prizadeti sta zadnja verzija 11.00 kakor tudi prejšnje različice od 10.63 navzdol na Windows 7 in XP SP3.

Problem tiči v datoteki opera.dll, ki ima v delu za procesiranje datotek HTML z velikim številom podrejenih elementov (child elements) hrošča. Prvikrat je nanj opozoril Jordi Chancel v začetku januarja, a je uspel le zrušiti brskalnik. VUPEN pa je uspel hrošč zlorabiti tako, da vrine in izvede zlobno kodo na računalniku. Zato se ranljivost klasificira kot kritična. Popravka še ni.

Google - Po enem letu od začetka nagrajevanja prijavljenih lukenj v brskalniku Chrome je Google presodil, da si prvi prijavitelj zasluži najvišjo nagrado v višini 3133,7 dolarjev (za manjše ranljivosti se dobi 500, 1000 ali 1337 dolarjev). Sergey Glazunov prejme za svoje neutrudno lovljenje hroščev 3133,7 dolarjev in še osnovno nagrado v višini 1337 dolarjev ter trikrat po 1000 dolarjev. Ni slabo.

Glazunov je našel eno kritično ranljivost in štiri ranljivosti, ki so označene kot zelo pomembne. Skupno je Google v novi podverziji Chroma 8.0.552.237 popravil 13 pomembnih ranljivosti, kar jih je stalo približno 14 tisoč...

CNET News - Mozilla je že pred časom razpisala program, po katerem so lahko posamezniki zaslužili 500 ameriških zelencev za najdeno varnostno ranljivost, vendar kljub času recesije in krčenju proračunov tudi v IT sektorju to ni spodbudilo resnejšega interesa po iskanju varnostnih ranljivosti. Ko pa so se odločili skladno z izboljšanim stanjem na trgu dela in splošnim stanjem gospodarstva to cifro pomnožiti za šest, torej na tri tisoč dolarjev, so vpodbudili nekoliko resnejši interes.



Ker so trije tisočaki precejšen znesek za dvanajstletnika, je Alex Miller še bolj zastrigel z ušesi kot večina odraslih in se vrgel na delo (nenazadnje, le zakaj bi pomival avtomobile za borih dvajset dolarjev?)....

Heise - Rafal Wojtczuk je odkril ranljivost v Linuxovem jedru, ki omogoča lokalnemu napadalcu izvesti kodo z administratorskimi (root) privilegiji. V svojem članku (PDF) je opisal primer napada na X Server, kjer je razdalja med mejami kopice (heap) in sklada (stack) pri alokaciji pomnilnika lahko zelo majhna, če pomnilnik napolnimo z ustreznimi podatki, denimo pixmap. Nadaljnja zahteva za segment deljenega pomnilnika povzroči, da se ta doda na koncu kopice. Če napadalcu uspe poskrbeti, da X Server pokliče rekurzivno funkcijo, se bo sklad povečal v segment deljenega pomnilnika. S hkratnim pisanjem v zahtevani del deljenega pomnilnika lahko napadalec spremeni vsebino sklada, da vrne naslove, in tako izvede poljubno kodo s polnimi privilegiji.

Joanna Rutkowska pojasnjuje, da je luknja v jedru prisotna vse od izida verzije 2.6, ki je izšla decembra 2003. Rešitev problem je preprosta in sicer uvedba najmanj ene varovalne strani pomnilnika (guard page) med skladom in drugimi področji...

Slo-Tech - Raziskovalec Mohammad Sohail Ahmad iz podjetja AirTight je odkril ranljivost v protokolu WPA2, ki jo je poimenoval Luknja 196. Ime je dobila po zaporedni številki strani v standardu IEEE 802.11 (revizija iz leta 2007), kjer se skriva ozadje zanjo. Napaka omogoča avtoriziranemu uporabniku omrežja prestrezanje in dešifriranje podatkov drugih uporabnikov na istem omrežju z MITM-napadom. Podrobnosti bodo predstavljene na konferencah Black Hat Arsenal in DEF CON 18, ki bosta potekali prihodnji teden v Las Vegasu.

Zlomljen ni šifrirni algoritem AES, iz katerega je izpeljan WPA2, marveč je zlorabljena pomanjkljivost v implementaciji, ki omogoča prejem prometa z dostopne točke (AP) s skupnim deljenim ključem vsem odjemalcem. WPA2 namreč uporablja dve vrsti ključev: PTK (pairwise transient key), ki je unikaten za vsakega odjemalca, in GTK (group temporal key) za zaščito poslanih podatkov več odjemalcem v omrežju. S PTK je moč zaznati ponarejanje (spoofing) in poneverbo podatkov (data...

Mozilla.org - Mozilla je doslej odkrite ranljivosti v Firefoxu nagrajevala s 500 dolarji, sedaj pa so razpisano nagrado povišali na 3000 dolarjev. Poleg že prej vključenega brskalnika Firefox Web, so odslej zajeti tudi Firefox Mobile in še nekaj novih izdelkov. Odkrivanje neznanih ranljivosti je bilo že prej in še ostaja donosen posel, vreden dosti več od piškavih 500 dolarjev. Četudi vnemar pustimo nelegalne možnosti, ko je prodaja ranljivosti zainteresiranim kupcem, ki bodo za dobro odšteli mnogo več, ostane mnogo legalnih potov, kako iz njih iztržiti čim več. Poleg publicitete, ki so jo prijavitelji deležni od medijev, mnogi na varnostnih luknjah sedijo do raznih tekmovanj v vdiranju, kjer so na voljo lepe nagrade (npr. Pwn2Own). Mozilla upa, da bo z novo politiko prepričala odkritelje ranljivosti, da jih kmalu javijo.

TG Daily - Secunia je objavila polletno poročilo (PDF-datoteka) o ranljivostih v izdelkih različnih proizvajalcev, ki so bile odkrite letos. Neslavno prvo mesto je pripadlo Applu, a to ni edina plat medalje.

Deset proizvajalcev z največ ranljivostmi je odgovornih za 30 odstotkov vseh odkritih ranljivosti. Da bi dobili zgodovinski pregled, so pri Secunii teh deset preučili za nazaj do leta 2005 in narisali graf. Ugotovili so, da so bili na prvih treh mestih ves čas Oracle, Apple in Microsoft, le nekoliko so se izmenjevali v vodstvo. Letos vodečemu Applu sledi Oracle, tretji je Microsoft. Zanimivo je, da povečanemu vlaganju v varnost navkljub nobeno izmed teh podjetij ni uspelo zmanjšati števila odkritih ranljivosti - nasprotno, krepko je raslo.

Druga plat medalje pa pravi, da je večina Applovih ranljivosti bolj teoretične...

Slo-Tech - V Vancouvru se je končalo vsakoletno tekmovanje Pwn2Own, kjer hekerji poskušajo in običajno uspejo na kolena spraviti brskalnike in mobilne telefone. Tudi letos so pred tekmovanjem naredili domačo nalogo, tako da so v minutah obvladali zadane naloge. Poglejmo si izkupiček.

Internet Explorer 8 je navkljub varnostnim tehnologijam ASLR in DEP na Windows 7 strl Peter Vreugdenhil (PDF). Na isti platformi je Firefox premagal heker, ki se predstavlja le z vzdevkom Nils in ki je blestel že lani. Macov Safari je Mac OS X snedel Charlie Miller. Dobili so vsak po 10.000 dolarjev in bodisi MacBooka bodisi PC bodisi Sony Vaio.

Na področju mobilnih telefonov je padel iPhone, ki sta ga v vsega 20 sekundah ukanila Ralf Philipp...

ComputerWorld - Včeraj se je v Vancouvru začelo vsakoletno tekmovanje Pwn2Own, ki ga organizira TippingPoint Zero Day Initiative (ZDI) in kjer se merijo hekerji pri razbijanju različnih aplikacij in platform. Pravila so enostavna - kdor dobi dostop do sistema, dobi še lepo denarno nagrado; skupni fond je vreden 100.000 dolarjev. Tekmovanje traja do petka.

Včeraj so bili na tapeti Internet Explorer 8, Firefox 3 in Chrome 4 na Windows 7 ter Safari 4 na MacOS Snow Leopardu, medtem ko danes napadajo brskalnike IE7, Firefox 3 in Chrome 4 na Visti ter Safari 4 na Snow Leopardu, jutri pa jih bodo še na Windows XP (oz. Safari na Snow Leopardu). Vsak ranjeni brskalnik zmagovalcu prinese 10 tisoč dolarjev.

Poleg brskalnikov na vdor čaka še kopica mobilnih...

Slashdot - Mnogokrat pišemo o tako imenovanih zero day ranljivostih programov, pri čemer se vedno obregamo na urnost proizvajalcev pri pripravi popravkov, redko pa se govori o ekonomski vrednosti teh ranljivosti. Kot so pokazali zadnji napadi, so zero day ranljivosti dragocene tako za napadalce kot tudi obrambo.

Kot pišejo v zanimivem članku na Net Security, je treba za odkritje kakšne kvalitetne luknje žrtvovati približno tri mesece trdega dela hekerjev. Ti zato na podzemnih trgih ranljivosti, ki so se razcveteli v zadnjem času, zanje zahtevajo več sto tisoč dolarjev. Na njih so poleg zlikovcev dejavne tudi vladne agencije, ki lahko cene navijejo tudi milijona dolarjev. Obstaja pa še beli trg, kjer sodelujejo podjetja, kot so VeriSign, TippingPoint in Google, ki kupujejo zero day ranljivosti z namenom pokrpati svoje izdelke,...

Slo-Tech - Pri FortConsult so objavili raziskovalni članek z naslovom Practical Onion Hacking: finding the real address of Tor clients. V njem do pokazali, kako je v HTML kodo mogoče vriniti "spletnega hrošča", ki razkrije pravo identiteto obiskovalca (pravi IP naslov). To so storili s pomočjo JavaScripta in Flasha, zaključujejo pa, da je uporaba teh tehnik razmeroma enostavna.

Pri odkriti ranljivosti pa ne gre za ranljivost Tor omrežja, pač pa za ranljivost podpornih programov in programov, ki uporabljajo Tor. Avtorji članka upajo, da bo na podlagi njihove raziskave popravljen podporni program privoxy (ki bo tako zlonamerno kodo sposoben odstranjevati), kot najhitrejšo rešitev pa svetujejo izklop Flasha, Active X, Jave in JavaScripta, uporabo SSL povezav, uporabo tujih DNS strežnikov ...

Samo za paranoike.