Slo-Tech - Leta 1998 je Daniel Bleichenbacher v šifrirnem protokolu SSL (predhodniku TLS) odkril ranljivost, ki je omogočala prebiranje z RSA šifriranih sporočil celo brez zasebnega ključa. Iz sporočil o napakah, ki so jih vračali...

Slo-Tech - Ko smo v začetku meseca izvedeli, da imajo Intelovi procesorji še cel skrivni operacijski sistem, do katerega uporabnik nima dostopa, smo le še čakali, kdaj se bodo našle prve varnostne luknje v tej skrivni kodi. Res ni bilo treba dolgo čakati, saj je Intel ta teden že potrdil, da je odkril 11 resnih hroščev, ki so v več milijonih procesorjev po celem svetu.

Ko sta Maxim Goryachy in Mark Ermolov iz Positive Technologies odkrila kritično ranljivost v ME (Management Engine) v Intelovih procesorjih, je Intel opravil širšo revizijo svoje kode in ugotovil, da so v ME, TXE (Trusted Execution Engine) in SPS (Server Platform Services) hrošči, ki predstavljajo varnostna tveganja. Goryachy in Ermolov bosta svoja odkritja...

Ring.cx - Ring je aplikacija namenjena distribuirani, anonimni in šifriranimi komunikacijami med uporabniki. Omogoča izmenjavo sporočil, vzpostavljanje video klicev (tudi v HD kvaliteti) ter tudi vzpostavljanje konferenčnih klicev. Omogoča še izmenjavo datotek ter multimedijskih vsebin, na posamezen Ring odjemalec pa lahko priključimo tudi več kamer. V okolju Linux in Windows je mogoče tudi deljenje zaslona.

Vsak uporabnik ima svoj Ring ID, ki je popolnoma anonimiziran, uporabniku pa ob registraciji ni potrebno vpisati nobenih osebnih podatkov. Baza uporabnikov se shranjuje v Ethereum blockchainu. Za vzpostavljanje povezave med uporabniki se uporabljajo distribuirane tabele kontrolnih vsot (DHT - Distributed Hash Tables, Ring uporablja tehnologijo OpenDHT), kar pomeni, da za delovanje Ring omrežja ni potrebna centralizirana infrastruktura. Mimogrede, Ring je deloma tudi akademski projekt in eden izmed ciljev razvijalcev je povezati SIP telefonijo z DHT tehnologijo.

Vsa komunikacija med...

Slo-Tech - Velik del zdravniške dokumentacije UKC Ljubljana, vključno z napotnicami, ki vsebujejo zelo občutljive osebne podatke pacientov, je bil prosto dostopen na spletu.

To smo razkrili na Slo-tech pred slabima dvema tednoma. Problem je bil v nekriptiranem vmesniku za naročanje obiskov zdravstvenih ustanov na spletnih straneh UKC LJ http://napotnica.kclj.si/. Po dveh tednih čakanja pa je menda Univerzitetni klinični center v zadnjih dneh pomanjkljivost odpravil. Vsaj tako pravijo sami.


Teater Najboljši smo!

In kaj so pri največji zdravstveni ustanovi v državi storili, da podatki njihovih pacientov ne bi bili več prosto dostopni na spletu? So postavili nepremagljiv firewall ki bo branil zasebnost...

Chromium Blog - Google bo v prihodnosti standardizacijskemu telesu IETF predlagal, da sprejme novo alternativo za TCP v obliki QUIC. Gre za Googlov eksperimentalni protokol, ki so ga predstavili leta 2013, danes pa se prek njega ustvari že skoraj polovico prometa do Googlovih strežnikov iz Chroma. V brskalniku Chrome si namreč Google privošči, da za povezavo s svojimi strežniki uporablja eksperimentalne protokole; tako je luč sveta ugledal tudi SPDY, ki je danes del standarda HTTP/2.

QUIC je osnovan na protokolu UDP (ime pomeni Quick UDP Internet Connection), vključuje pa elemente TLS za varen prenos podatkov. Glavna prednost novega protokola je odzivnost, ki jo je podedoval od UDP-ja. Ta se uporablja zlasti tam, kjer ni tako pomembno, da so uspešno in pravilno prispeli vsi paketki,...

Slo-Tech - Googlovi raziskovalci Bodo Möller, Thai Duong in Krzysztof Kotowicz so odkrili ranljivost v šifrirnem protokolu SSL 3.0, ki napadalcu omogoča izluščiti podatke, čeprav se ti prenašajo po varni povezavi, če uspe nadzorovati promet med strežnikom in uporabnikom (man-in-the-middle). Imenuje se POODLE (Padding Oracle On Downgraded Legacy Encryption).

SSL 3.0 je poldrugo desetletje star protokol, ki ima cel kup ranljivosti in problemov. Uporablja tokovno šifro RC4 ali blokovno šifro (CBC) in za RC4 je znano, da pri uporabi iste skrivnosti sčasoma uhajajo podatki, ki jih lahko napadalec izkoristi. Kljub temu je še lani 40 odstotkov spletnih povezav uporabljalo RC4. Vse to so razlogi, da se SSL 3.0 dandanes skorajda ne uporablja več, saj so ga nadomestili varnejši TLS 1.0, TLS 1.1 in TLS 1.2.

Odjemalec in strežnik uporabita najvišjo (zadnjo) različico, ki je...

Ars Technica - Apple je včeraj izdal izredni popravek za iOS 7 in tudi starejšo verzijo iOS 6.1 (in sicer iOS 7.0.6. in iOS 6.1.6), ki odpravlja resno napako pri rokovanju s stranmi prek varnih povezav (SSL/TLS). Zaradi hrošča v kodi sta namreč Safari in odjemalec za elektronsko pošto izpustila nekaj pomembnih korakov, v katerih bi se moralo preveriti, ali je strežnikov javni ključ resnično pravilno podpisan. Tako so lahko napadalci izvedli MITM-napade, saj je brskalnik strani verjel na besedo, da gre res za domeno, za katero se predstavlja, sprejel pa je katerikoli certifikat. Ranljiva nista le Safari in Mail.app, ampak tudi druge aplikacije, ki uporabljajo vgrajeno infrastrukturo. Zanimivo pa je, da Chrome ni prizadet, Firefox pa verjetno tudi ne.

O resnosti napake priča tudi dejstvo, da je...

Microsoft - Algoritem RC4 je ena izmed najstarejših tokovnih šifer, ki se še vedno uporablja v starih verzijah protokola TLS in WEP. V RC4 so odkrili že številne ranljivosti, zato je njegova uporaba odsvetovana in se opušča. Raziskovalci so odkrili številne pomanjkljivosti, ki skupaj z naraščanjem računske moči omogočajo praktično izvedbo napadov na RC4. Recimo šifriranje WEP v brezžičnih usmerjevalnikih je že dlje časa mogoče zlomiti sorazmerno hitro (v manj kot dnevu). Obstajajo celo...

threatpost - Kaspersky poroča o še enem napadu na HTTPS (SSL/TSL) protokol, ki omogoča hitro in zanesljivo krajo uporabniških piškotkov.

Napad je delo argentinsko-vietnamskega dvojca Juliano Rizzo - Sobre Thai Duong, ki je lani tega časa predstavil podoben napad BEAST in s tem izzval kup nujnih popravkov s strani dobaviteljev brskalnikov. Slednji naj ne bi zares poskrbeli za odpravo napake, ampak so se ji zgolj skušali izogniti (workaround) s preklopom s TSL 1.0 na TSL 1.2, ter z zamenjavo šifrirnega algoritma EAS za RC4 v eni od faz vzpostavitve povezave. Rizzo in Duong sta vmes uspela prilagoditi napad, tako da deluje tudi v novem okolju. CRIME, kot mu zdaj pravita, bosta čez slaba dva tedna predstavila na varnostni konferenci

Slashdot - Predvčerajšnjim in včeraj so splet preplavile informacije o novo odkriti ranljivosti v šifrirnih protokolih SSL 3.0+ in TLS 1.0+. Gre za varnostno ranljivost, ki izkorišča napako v "pogajalskem procesu" protokola (tim. renegotiation phase), omogoča pa napade s posrednikom (tim. MITM napade) oziroma napade na HTTPS seje podpisane s certifikatom odjemalca.

Kot poročajo na SSL Shopper (analizo napada je na svojem blogu objavil Ivan Ristić) je težava v tem, da lahko nekdo nadzoruje en del šifrirane povezave pred ponovnim pogajanjem, nekdo drug pa po ponovnem pogajanju oz. izmenjavi sejnega ključa nadzoruje drugi del šifrirane povezave. Napadalec tako lahko odpre povezavo do SSL strežnika, pošlje nekaj podatkov, zahteva ponovno pogajanje in SSL strežniku prične pošiljati podatke, ki prihajajo od žrtve. Spletni strežniki (IIS in Apache) podatke, ki so prišli od napadalca in podatke, ki so prišli od žrtve nato povežejo, posledica česar je, da napadalec lahko SSL strežniku pošlje poljuben...