CNET - Tri mesece so neznani hekerji prosto dostopali do baz več kot 1.200 ameriških hotelov verige InterContinental. Vdor je potekal od 29. septembra do 29. decembra lani, hekerji pa iskali predvsem podatke o kreditnih karticah gostov. V podjetju so sami razkrili vdor, vendar niso želeli izdati, koliko in kateri podatki so bili ukradeni. InterContinental je vdor delno sicer priznal že februarja letos, vendar so takrat trdili, da so hekerji napadli le 12 hotelov. Pod okriljem InterContinentala je sicer le v ZDA 3.633 hotelov. Hoteli so priljubljena tarča hekerjev že nekaj let. Predvsem, ker imajo v večini primerov slabo informacijsko zaščito. Tako so lani hekerji napadli 20 hotelov verige...

Vice - Kazahstanska vlada si želi nadzor nad internetnimi komunikacijami svojih državljanov, pri čemer se ne želijo ubadati z zapletenimi ali celo prikritimi metodami za dosego tega cilja. Kitajci imajo veliki požarni zid, a to je drago početje. Zato so se v Kazahstanu odločili, da bodo uporabnikom interneta preprosto predpisali, da jim morajo to dovoliti. Od 1. januarja bodo morali uporabniki obvezno namestiti vladni certifikat, ki bo omogočal branje nešifriranih in šifriranih komunikacij. Sporočilo so v angleščini objavili na spletnih straneh državnega telekoma, a je po nekaj dneh skrivnostno izginilo.

Spomnimo, da je Lenovo na svoje računalnike nameščal certifikat s sumljivimi nameni, Dell pa je po neumnem uporabnike...

ZDNet - Neznani napadalci so v Strasbourgu napadli javno brezžično omrežje, ki z internetom oskrbuje obiskovalce in zaposlene v Evropskem parlamentu. Zaradi incidenta, v katerem naj bi ukradli uporabniška imena in gesla štirinajstih uporabnikov, so do nadaljnjega ugasnili javni Wi-Fi v Parlamentu. Vsem uporabnikom so že priporočili zamenjavo gesel, hkrati pa poslancem in ostalim zaposlenim priporočajo namestitev ustreznega certifikata, s katerim se bo mogoče povezati na varno zasebno omrežje Wi-Fi.

Vse kaže, da je šlo za napad MITM (man-in-the-middle). Šlo je za javno dostopno omrežje EP-EXT Network. Napadalci niso izkoristili ranljivosti v infrastrukturi, ampak so...

activepolitic.com - O tegonah uporabe gesel smo že precej pisali. Uporabniki so pač leni in izbirajo zelo slaba gesla, ki jih potem še reciklirajo na celi vrsti spletnih storitev, tako da je z padcem ene pornografske strani oz. poslovnega socialnega omrežja velikokrat ogrožena kar celotna uporabnikova spletna identiteta. Napadalcem ob tem pomaga tudi malomarnost ponudnikov storitev, ki gesla pogosto hranijo kar v cleartext obliki ali pa uporabijo neprimerno zgoščevalno funkcijo (glej linkedin).

Še en problem je, da se uporabnikom resnično ne ljubi spreminjati gesel. Nizozemski ponudnik dostopa do interneta KPN je tako pred kratkim ugotovil, da je kar 140.000 njihovih naročnikov po prijavi na DSL internet ohranilo privzeto geslo, in sicer "welkom01". To geslo je varovalo servisne strani, preko katerih so bili potem dostopni tudi kontaktni in plačilni podatki naročnika, vključno s številko bančnega računa in kreditnih kartic. Uporabniška imena so bila še bolj predvidljiva - kombinacije poštne številke...

SecurityWeek - Po septembrskem fiasku nizozemskega centralnega overitelja certifikatov (CA) DigiNotar, ki so ga napadli hekerji in izkoristili za izdajo lažnih certifikatov, zaradi česar je bil po odkritju izločen z vseh seznamov zaupanja vrednih CA-jev, kar je podjetje prignalo v stečaj, ima težave še en nizozemski CA. To pot so hekerji napadli Gemnet, a naj bi bila škoda omejena javni del strani in nekaj javno nedostopnih podatkovnih baz, ki pa niso imele povezave z oddelkom za izdajo certifikatov.

Kot lahko preberemo v nizozemskih časnikih, so napadalci zlorabili pomanjkljive nastavitve nameščenega PHPMyAdmina na strežnikih, ki je omogočal dostop brez vnosa gesla. Tudi izbrano administratorsko...

Network World - Nizozemsko podjetje DigiNotar, ki se ukvarja z izdajanjem certifikatov SSL ter je prejšnji mesec postalo svetovno znano zaradi vdora in izdaje več kot petsto lažnih certifikatov, bo prenehalo poslovati. Kmalu po javnem razkritju vdora, ki se je zgodil že junija, podjetje pa je od julija do konca avgusta o njem molčalo, se je začelo zgražanje javnosti nad početjem podjetja. Nizozemska vlada je prenehala sodelovati s podjetjem, ki je bilo do tedaj glavni CA zanje, vse DigiNotarjeve certifikate so brskalniki odstranili s seznamov zaupanja vrednih certifikatov, od podjetja pa se je distanciral tudi večinski lastnik...

The H -

No anti-virus, a single Windows domain for many CA servers, an easily brute-forced password and a tempest proof server room accessible from the management LAN: DigiNotar's security was full of holes.

Nizozemska vlada je pripravila vmesno poročilo z naslovom Črni tulipan (pdf) o varnostni situciji pri njihovi 'črni ovčki'; SSL overitelju DigiNotar. Kot smo že poročali v zadnjih dneh, so vanj enkrat poleti vdrli nepridipravi in si izdali ponarejene, a povsem legitimno izgledajoče certifikate za več deset domen visoke vrednosti, npr. za Google Mail ali določene varnostne službe. S temi certifikati je mogoče izvajati man-in-the-middle napade na lokalnih omrežjih ali - v skrajnem primeru - celo na posamezni državi.

Napadalci bi v strežnik prišli skozi neposodobljen spletni vmesnik. Nad tem naj bi bdel IDS (intrusion detection system), ki je sicer tekel, a naj ne bi bil ustrezno konfiguriran. Zatem so uspeli uganiti administratorsko geslo za Windows domeno, ki naj bi bilo pretirano...

Heise - Napad na nizozemskega overitelja digitalnih potrdil DigiNotar je obširnejši in resnejši, kot je kazalo na začetku. Sprva se je odkril le lažni certifikat za Googlove strežnike, kasneje je bilo potrjenih več deset, sedaj pa se je število odkritih lažnih certifikatov povzpelo na 532.

Nizozemska vlada je skrbnikom omrežja Tor (uporablja se za anonimni dostop do interneta) izročila seznam vseh lažnih certifikatov, ki so bili izdani in podpisani v DigiNotarjevem imenu (Excelova datoteka s...

PC World - Včeraj smo poročali o lažnem SSL-certifikatu za Googlove strani, ki so ga nepridipravi izdali in podpisali kot DigiNotarjev certifikat, kar so uporabili za prisluškovanje iranskim uporabnikom Gmaila. Danes je znanih že več podrobnosti, med drugim tudi to, da je šlo za več strani.

DigiNotar, podružnica podjetja Vasco Data Security International, je izdala uradno izjavo javnost, v kateri so navedli nekaj pojasnil. Dejali so, da žal ni bil izdan le lažni certifikat za Google, ampak še za nekaj...

Slashdot - Ponovila se je marčevska zgodba, ko so zlikovci pridobili nadzor nad izdajateljem spletnih certifikatov (CA) in izdali veljavne certifikate za lažne strani. To pot je žrtev nizozemski CA DigiNotar, saj so napadalci pridobili veljavne certifikate za lažne strani, ki se pretvarjajo, da so Googlove (certifikat je wildcard, kar pomeni da velja za vse Googlove strežnike in podstrani). Prva poročila o napadu so se pojavila včeraj, certifikat pa je že na listi blokiranih.

Na Mozillinih straneh so...