Slo-Tech - Znanih je več podrobnosti o stranskih vratih, ki jih je v svojih napravah odkril Juniper. V kodi je dvoje stranskih vrat, ki izkoriščajo različne ranljivosti in omogočajo zlorabo. Prva stranska vrata so v resnici v kodo vstavljeno geslo, ki ob prijavi s poljubnim uporabniškim imenom in geslom <<< %s(un='%s') = %u prek SSH ali telneta omogoči dostop z najvišjimi privilegiji. Znakovno geslo so napadalci bržkone izbrali zato, da se ga v kodi laže spregleda, saj je od daleč videti kot le eden izmed nizov za obdelavo vnosa. A v resnici omogoča dostop do naprave, kar lahko preizkusite tudi sami. Ranljive so vse naprave s firmwarom verzije 6.3.0r17, 6.3.0r18, 6.3.0r19 in 6.3.0r20, ostale verzije pa ne. Ranljivost se je v kodo prikradla leta 2013.

Bistveno zanimivejša pa so druga stranska vrata, za katere je vsaj...

Wired News - Drugi največji proizvajalec omrežne opreme na svetu Juniper je v svoji opremi odkril stranska vrata, ki jih je tja verjetno postavila kakšna država oziroma obveščevalna organizacija. Kot so sporočili, so prizadete naprave NetScreen, na katerih teče operacijski sistem ScreenOS. Prizadete so verzije od 6.2.0r15 od 6.2.0r18 in od 6.3.0r12 do 6.3.0r20, kar daje slutiti, da se je ranljivost v kodi skrivala vsaj od leta 2012, mogoče pa celo vse od leta 2008. Stranska vrata so v najnovejši verziji zakrpali, posodobitev pa je praktično obvezna.

Pri tovrstnih odkritjih so namreč najbolj ogroženi uporabniki ranljive opreme, ki posodobitve še niso namestili, in to takoj po izdaji popravkov. Ti namreč morebitnim nepridipravom, ki želijo ranljivosti izkoristiti, dajo zelo dobre smernice, kje najdejo luknjo. Zato Juniper poziva k nadgradnji. Hkrati to kaže na dodatni problem, ki ga...

Slo-Tech - Fraunhoferjev inštitut za varno informacijsko tehnologijo (Fraunhofer SIT) je objavil podrobno 77 strani dolgo poročilo pregleda kode programa za šifriranje podatkov TrueCrypt, ki so ga izvedli za nemški Zvezni urad za varnost v informacijski tehniki (BSI). V njem so potrdili rezultate predhodnih pregledov kode, da je TrueCrypt sorazmerno varen kos kode. Sicer vsebuje nekaj varnostnih ranljivosti, a ne v sami izvedbi šifrirnega algoritma, temveč v podporni kodi.

Spomnimo, da je Googlov Project Zero pred poldrugim mesecem v kodi TrueCrypta odkril dve resni varnostni ranljivosti, ki v teoriji omogočata pridobitev privilegiranega dostopa do računalnika, na katerem teče TrueCrypt. Poleg teh ranljivosti je Fraunhofer SIT v kodi našel še nekaj...

threatpost - TrueCrypt je še vedno precej priljubljen program za šifriranje podatkov, pa čeprav so maja lani razvijalci še vedno ne docela pojasnjeno in v precejšnji naglici prekinili razvoj programa. Temeljit varnostni pregled njegove izvorne kode (audit) se je kljub ustavitvi razvoja nadaljeval in ni odkril večjih pomanjkljivosti v kodi. Sedaj pa so odkrili dve ranljivosti, ki omogočata napad na sisteme, ki imajo nameščen TrueCrypt. Varnostni strokovnjaki zato vsem, ki morebiti še vedno vztrajajo na TrueCryptu, svetujejo, da se od njega resnično poslovijo.

Ranljivosti je našel James Forshaw iz Googlovega Project Zero in o njihovem obstoju svet najprej obvestil prek Twitterja. Ranljivosti sta bili...

Slo-Tech - Temeljit varnostni pregled kode (security audit) zadnje verzije TrueCrypta 7.1a je pokazal, da v kodi ni nobenih stranskih vrat, namernih ranljivosti ali oslabljenih šifrirnih algoritmov. V programu so našli štiri ranljivosti, ki pa so tam po nerodnosti in nimajo bistvenega vpliva na varnost.

Zgodba TrueCrypta se je vseeno končala precej nenavadno. Lani maja so avtorji sporočili, da projekta ne bodo več razvijali in uporabo odsvetujejo, ker da program vsebuje varnostne ranljivosti. Revizija kode, ki se je začela že pred tem, se je vseeno nadaljevala. Tako smo te dni dobili uradno poročilo o rezultatih...

Slo-Tech - Začenja se največja revizija odprte kode v zgodovini, v sklopu katere bodo pregledali 447.247 vrstic kode v 14 programskih jezikih, ki sestavljajo aktualno verzijo OpenSSL. Projekt, ki so ga napovedali že lani, se začenja skoraj leto dni po odkritju hude ranljivosti heartbleed. Zaradi lanskih dogodkov se je začel tudi razvoj razvejitve (fork) LibreSSL ter Googlovega BoringSSL. Številni analitiki sicer menijo, da je revizija kode OpenSSL nepotrebno zapravljanje časa in da bi bilo bolje vse skupaj napisati na novo - torej investirati v LibreSSL - a CII vztrajajo, da je revizija kode pomembna. Dodajajo, da počno še marsikaj drugega, vse v želji poskrbeti, da bo infrastrukturno pomembna odprta koda brez ranljivosti.

V Core...

Heise - Nemški avtomobilski klub ADAC je v računalniškem sitemu ConnectedDrive, ki ga uporabljajo vozila proizvajalca BMW, Mini in Rolls Royce, odkril več resnih ranljivosti, ki omogočajo napadalcu odkleniti vozilo. BMW je napako zakrpal, zato so sedaj lahko razkrili...

Slo-Tech - Amnesty International je v sodelovanju z Electronic Frontier Foundation (EFF), Digitale Gesellschaft in Privacy International pripravil brezplačno in odprtokodno programsko opremo, ki je namenjena iskanju znanih programov za prisluškovanje in prestrezanje komunikacij. Program Detekt deluje le na sistemu Windows in je po besedah navedenih organizacij namenjen zlasti novinarjem, aktivistom in borcem za človekove pravice, ki so v številnih državah preganjani. Razvili so ga v Citizen Labu.

Pojavi se vprašanje, zakaj bi potrebovali posebno programsko opremo za iskanje prisluškovalnih programov. V resnici klasični protivirusni programi slednje mnogokrat ne zaznajo, kar je včasih celo namerno. Že pred izbruhom afere Snowden je McAfee prostodušno priznal, da bodo njihovi programi ignorirali vladne trojance....

Heise - Implementacija algoritma za stiskanje podatkov LZO (Lempel-Ziv-Oberhumer), ki jo najdemo v Linuxovem jedru in številnih projektih, recimo OpenVPN, MPlayer2, Libav, FFmpeg in drugih, je kar 20 let vsebovala hrošča, ki je omogočal ranljivost. Luknja je bila sicer precej specifična in je terjala natančno poznavanje implementacije, a kdor jo je poznal, bi lahko v teoriji pripravil niz podatkov, ki bi povzročil prekoračitev obsega celih števil (integer overflow).

Ker je implementacija algoritma iz leta 1994, ki jo je napisal Markus Oberhumer, veljala za robustno, učinkovito in varno, so jo uporabljali v številnih programih. To je med drugim povzročilo, da jo najdemo celo v roverjih, ki vozita po Marsu, čeprav tam ni nikogar, ki bi jo zmogel zlorabiti. A...

Ars Technica - Čeprav se je razvoj TrueCrypta končal na sila čuden način, je program še daleč od mrtvega kosa kode. Medtem ko se je razvijalska ekipa iz neznanih razlogov odločila opustiti svoje delo, projekt temeljitega varnostnega pregleda kode (security audit) še vedno teče.

Projekt Open Crypto Audit, ki je že lani začel pregledovati njegovo kodo, se nadaljuje. Za financiranje tega početja so nameravali zbrati 25.000 dolarjev, pa so do danes nabrali že več kot 70.000 dolarjev, kar je več kot dovolj za pregled kode. Kenn White, ki vodi organizacijo pregleda, je povedal, da se pregled nadaljuje ne glede na razvoj dogodkov.

Spomnimo, da je prva faza pregleda že končana. Pri analizi kode so namreč ugotovili, da razen nekaj površnosti resnih napak,...

Slo-Tech - Fundacija Linux je napovedala, da bo financirala temeljit pregled kode OpenSSL in zaposlitev dveh razvijalcev s polnim delovnim časom, v kar jih je prepričal odkrit hrošč Heartbleed. Čeprav trenutno že teče projekt LibreSSL, v sklopu katerega pripravljajo vitkejše in preverjene knjižnice, je tudi razvoj OpenSSL prav tako pomemben, zlasti ker LibreSSL ne bo podpiral vseh funkcionalnosti.

Doslej je bil OpenSSL kadrovsko in predvsem finančno zelo podhranjen, kar se je odrazilo tudi na kakovosti kode. Zato je...

Krebs On Security - Spletna stran priljubljene brezplačne (in delno odprtokodne) rešitve za šifriranje diska TrueCrypt (truecrypt.org) od včeraj več ne obstaja, ampak le še preusmerja na projektovo domačo stran na portalu SourceForge. Tam pa je prisotno opozorilo, da "Uporabe TrueCrypt več ne priporočajo, ker bi lahko vsebovala več varnostnih pomanjkljivosti". V nadaljevanju so nato navodila za migracijo na druge rešitve (zlasti Bitlocker, ki ga je moč najti v nedavnih različicah Oken), ter povezava na orodja za dekripcijo in izvoz podatkov iz obstoječih TrueCrypt particij.

Okoli najave se poraja veliko vprašanj. Ni jasno, kaj točno se je zgodilo ter ali je TrueCrpyt sploh še varen. Nedavni delni varnostni pregled (t.i. security audit) za katerega se je lani...

ZDNet - Ekipa, ki razvija operacijski sistem OpenBSD, je začel ločen razvoj razvejitve iz OpenSSL (fork), ki se bo imenoval LibreSSL. Že dlje časa je znano, da je OpenSSL dokaj okoren in da vsebuje precej kode, ki so jo razvijalci že dlje časa nameravali odstraniti, pa tega niso storili. Ranljivost heartbleed, ki so jo nedavno odkrili v OpenSSL, pa je pospešila načrte o temeljiti prenovi. To so razlogi, da dobivamo LibreSSL.

LibreSSL bo tako očiščen, popravljen in bolj vitek OpenSSL, pojasnjuje Theo de Raadt, vodja...

threatpost - Živimo v časih, ko sta prisluškovanje in prestrezanje informacija postali nekaj vsakdanjega, varnostne ranljivosti v programski opremi pa se kar množijo. Zaupati je postalo sila nevarno, zato že dlje časa poteka pregled kode popularnega programa za šifriranje TrueCrypt. Prva faza pregleda ni odkrila resnejših varnostnih lukenj ali stranskih vrat, a kar precej manjših nedoslednosti in ranljivosti.

Kot so pokazali nedavni primeri v GnuTLS in OpenSSL odprta koda ne pomeni nič varnejše programske opreme, če kode nihče temeljito ne pregleda. Pretekli mesec smo pisali o dokazu, da objavljena koda programa TrueCrypt ustreza prevedeni različici, a je bilo...

Slo-Tech - V odprtokodni knjižnici GnuTLS, ki jo številni operacijski sistemi in programi uporabljajo za uporabo TLS in SSL, so odkrili ranljivost, ki omogoča uspešno predložitev lažnih certifikatov. Napaka je zelo podobna ranljivosti v Applovih sistemih iOS in Mac OS X, ki jo je Apple potem sicer popravil.

Ranljivost naj bi bila v kodi prisotna že vse od leta 2005, odkrili pa so jo šele sedaj. Primerjava izvirne in popravljene izvorne kode pokaže, da je luknja posledica napačne uporabe stavka goto. Spomnimo, da je bil v Applovem sistemu problem enkrat preveč ponovljen stavek goto, ki se je zato nekritično izvedel vsakokrat. V primeru GnuTLS pa goto večkrat kliče napačno funkcijo (cleanup namesto fail). Zaradi tega se rutina...

Slo-Tech - RSA se je odzvala na očitke, ki so jih bili deležni prejšnji teden, da so namenoma oslabili šifrirni algoritem, ki izkorišča EC DRBG (eliptične krivulje), za kar naj bi od NSA prejeli 10 milijonov dolarjev. V izjavi za javnost so odločno zavrnili tovrstno manpiulacijo.

Spomnimo, da smo že septembra pisali o ranljivosti v algoritmu za tvorjenje psevdonaključnih števil EC DRBG, ki ga uporabljajo RSA-jeva orodja Bsafe kot privzeti algoritem. Ko je ta informacija septembra prišla na plano, je RSA odsvetovala uporabo tega algoritma v svojih izdelkih, potem pa se je prejšnji teden na spletu razvedelo, da je RSA za ranljivost že vseskozi vedela.

Sedaj trdijo, da to ne drži. RSA naj ne bi nikoli skrivala sodelovanja z NSA, ampak je to celo javno promovirala. Seveda so bili to časi, ko smo verjeli, da je sodelovanja z NSA garant za močnejše in ne šibkejše algoritme. Eliptične krivulje...

Slo-Tech - Od programske opreme, katere izvorna koda je javno objavljena, nekako ne pričakujemo presenečenj. Glede na to, da lahko kodo pregleda vsakdo, je vanjo praktično nemogoče vtihotapiti stranska vrata, ki bi jih napadalci lahko izrabili. Znan primer je napad na Linux leta 2003, ko so neznanci v kodo neuspešno poizkusili vstaviti stranska vrata za eskalacijo privilegijo, a je analiza kode še pred njeno vključitvijo v uradne repozitorije seveda to odkrila. A ena pomembna ranljivost ostaja - ob izvorni kodi je navadno objavljena tudi prevedena koda, ki jo ljudje dejansko snamejo in namestijo. Pa sta ti dve identični?

TrueCrypt sodi med posebej občutljive programe, saj je namenjen zaščiti datotek s šifriranjem, zato v njem ne sme biti lukenj. V času, ko nas z vseh strani bombardirajo z novicami o prisluškovanju vladnih agencij, je to še posebej vroča tema. Zato so v Kanadi na eni izmed univerz preverili, ali je prevedena koda...

Slo-Tech - Pred kratkim je izšel TrueCrypt 7.0, ki prinaša kar nekaj novosti. Prva je, da TrueCrypt sedaj omogoča strojno pospeševanje AES šifriranja, ki sicer deluje le na nekaterih procesorjih (ki vsebujejo podporo za AES), je pa na njih šifriranje 4 do 8-krat hitrejše.

Poleg tega TrueCrypt v okolju Windows omogoča tudi samodejen priklop šifriranih naprav (npr. USB diskov), omogoča pa tudi šifriranje celotnih particij z velikostmi sektorjev 4096, 2048 ali 1024 bajtov. TrueCrypt zna po novem v okolju Windows 7/Vista/2008/2008R2 tudi šifrirati hibernacijske datoteke.

TrueCrypt je na voljo za brezplačen prenos in sicer za okolje Linux (GUI in ukazna različica), Windows in Mac OS.

Slo-Tech - Joanna Rutkowska je pred nekaj dnevi na svojem blogu objavila opis novega napada na šifrirni program TrueCrypt, poimenovan Evil Maid napad (napad zlobne sobarice). Na možnost takega napada sicer opozarjajo že avtorji programa TrueCrypt, a Joanna nam je tokrat postregla s konkretno možnostjo izvedbe napada.

Stvar gre takole. Uporabnik v hotelski sobi pusti ugasnjen prenosni računalnik, na katerem so s TrueCryptom...