Slo-Tech - Na Irskem so Meti izrekli 91 milijonov evrov kazni, ker je podjetje v preteklosti gesla uporabnikov shranjevalo na način, ki ne ustreza dobrim varnostnim praksam. Da so gesla več kot 600 milijonov uporabnikov shranjevali v besedilni obliki (plaintext), so razkrili leta 2019. Dostop do podatkovne baze je imelo več kot 2000 zaposlenih v podjetju, ki so ustvarili več kot devet milijonov vpogledov v bazo.

V Meti so tedaj zagotovili, da niso odkrili nobenih nepooblaščenih dostopov do baze in da so za njen obstoj ugotovili pri rednem varnostnem pregledu. Četudi to podjetju verjamemo, je težko razumeti, kako so lahko storili tako veliko napako v implementaciji. Da se gesla ne smejo shranjevati v besedilni obliki, temveč v zgoščeni obliki (hashed) z dodano entropijo v obliki dodatnih znakov pred zgoščevanjem (salt), je v industriji znano že vsaj tri desetletja. Prav tako so znane tudi dovolj varne zgoščevalne funkcije - predvsem morajo biti dovolj počasne, denimo Bcrypt, PBKDF2,...

FBI - Iz FBIja so sporočili, da so v dveh dneh po sobotnem poskusu atentata na nekdanjega ameriškega predsednika Donalda Trumpa že uspeli vdreti v mobilni telefon strelca Thomasa Matthewa Crooksa.

V prvi polovici leta 2016 smo bili priče razburljivemu dvoboju med uradom FBI in Applom. Po terorističnem napadu v San Bernardinu so namreč zvezni preiskovalci od Appla želeli pomoč pri odklepanju napadalčevega iPhona, kar pa so v Cupertinu zavrnili z očitkom, da preiskovalci od njih de facto zahtevajo namestitev stranskih vrat v naprave, kar bi lahko usodno vplivalo na področje šifriranja in varnost ter zasebnost uporabnikov telefonov. FBI je nato vendarle uspel vdreti v telefon s pomočjo zunanjih pogodbenikov, kjer smo šele leta 2019 dognali, da je šlo za avstralsko firmo Azimuth Security. Apple si je s tisto epizodo utrdil sloves podjetja, ki skrbi za zasebnost uporabnikov, vajo pa so pozneje tudi še ponavljali, denimo leta 2020 po terorističnem napadu v Pensacoli.

Kako drugačni časi so...

Slo-Tech - Facebook se je zapletel v nov varnostni incident, ki zajema zasebnost njegovih uporabnikov. Brian Krebs piše, da je od leta 2012 do nedavna Facebook gesla nekaterih uporabnikov hranil kar v besedilni obliki. To pomeni, da so bila gesla zapisana v podatkovni bazi in vidna vsakomur, ki je imel dostop. Facebook je navedbe potrdil, a dodal, da niso zabeležili nepooblaščenih dostopov ali zlorab.

Viri poročajo, da gre za med 200 milijoni in 600 milijoni gesel uporabnikov Facebooka, ki so bila shranjena v besedilni obliki in indeksirana, tako da je imelo do njih dostop več kot 20.000 Facebookovih zaposlenih. Facebook naj bi še vedno poizkušal ugotoviti, koliko gesel je dejansko izpostavljenih in od kdaj se napaka vleče...

Slo-Tech - Sony in ameriški pravosodni organi za zdaj trdno vztrajajo pri mnenju, da je za vdor v Sony Pictures odgovorna Severna Koreja, ki ni bila zadovoljna s filmom The Interview. Sony je naprej napovedal umik filma, potem pa so ga vseeno izdali - in zaslužili milijone. Nekateri indici pa sedaj kažejo, da napad morebiti vendarle ne izvira iz Severne Koreje.

Podjetje Norse, ki se ukvarja z računalniško varnostjo, na lastno pest preiskuje vdor in uporablja podatke, ki so pricurljali v javnost. Ker so hekerji objavili ogromno množično ukradenega materiala, vključno s seznami sedanjih in nekdanjih zaposlenih, je socialni inženiring mogoč. V Norse trdijo, da je izvor napada precej bolj vsakdanji - nezadovoljni odpuščeni sodelavci.

Norsejev podpredsednik Kurt Stammberger je povedal, da so uspeli...

Reuters - Nenavaden film The Interview o atentatu na severnokorejskega predsednika je nenadoma postal najbolj razvpitih in težko pričakovanih filmov, ker je neznana hekerska skupina Guardians of Peace vdrla v Sony Pictures in povzročila ogromno škode, pokradla okrog 11 TB podatkov ter Sony prisilila v preklic izida filma. Sony so na neprimernost takega odziva opozorili tako v Hollywoodu kakor v Beli hiši, kjer so sicer hitro pristavili, da na noben način ne želijo posegati v odločitve podjetja, kaj in kje bodo predvajali. Toda čiščenja se je Sony lotil tako temeljito, da so pobrisali tudi profile za film na družbenih omrežjih. A stvari se spreminjajo in The Interview bo vendarle izšel, čeravno ne v vseh...

Slo-Tech - Povezava Severne Koreje v mednarodni internet je nestabilnem delovanju, ki smo mu bili priče skozi celotni konec teden, danes dokončno odpovedala. Situacija je najbolj podobna DDoS-napadu na severnokorejske usmerjevalnike, ki bi zaradi njihovega majhnega števila zlahka onesposobila internetno povezljivost celotne države. Celi Severni Koreji je dodeljenih 1024 naslovov, medtem ko jih imajo ostale države vsaka po več milijonov.

V Severni Koreji je dostop do internet luksuzna dobrina, ki je namenjena le eliti. Ves promet s tujino poteka prek štirih omrežij (recimo ZDA jih imajo dobrih 150.000), ki se najprej povezujejo v kitajska omrežja in potem v internet (obstaja pa tudi satelitska povezava prek Nemčije)....

Slo-Tech - Ameriški obveščevalci so za The New York Times neuradno potrdili, da je bila Severna Koreja "bistveno udeležena" v napad na Sony Pictures, za katerega je odgovornost prevzela neznana skupina z imenom Guardians of Peace (GOP). V Beli hiši naj bi resno razpravljali o vprašanju, ali Severno Korejo javno obtožiti vdora ali ne. Od lani tovrstno žuganje Američanom ni tuje, saj so na primer Kitajsko že javno obtožili vdorov in njihove vojake postavili pred sodišče (kamor seveda ne bodo nikoli šli).

V Beli hiši se želijo izogniti neposrednem soočenju s Severno Korejo, ki bi državi lahko dalo povod za resnično sovražnost do ZDA in povračilne ukrepe. Spet pa se kot glavni problem izpostavlja prihajajoči film The Interview, v katerem se...

Slo-Tech - Vdor v Sony skupine GOP (Guardians of Peace), katere motivi še vedno niso znani, je poskrbel tudi za zlonamerno programsko opremo, ki izkorišča Sonyjeve certifikate. Na internetu se je pojavila nova inačica programa Destover, ki nosi veljaven digitalni podpis Sony Pictures, zaradi česar se laže prihuli mimo varnostnih pregrad.

Destover je že znan kos škodljive programske opreme, novost je le izraba Sonyjevih certifikatov za podpis. Tako je verzija, ki je datirana na 5. december in vsebuje Sonyjevdigitalni podpis, sicer...

Slo-Tech - Posledice vdora v Sony Pictures postajajo čedalje bizarnejše. Hekerji so odnesli osebne in bančne podatke številnih zaposlenih, ki so upravičeno zaskrbljeni. V zadnjih dneh so od hekerjev po elektronski pošti prejeli grožnje.

Še vedno nihče ne ve, kdo so Guardians of Peace (GOP), ki so prevzeli odgovornost za vdor. Prav tako ni jasno, kakšni so velikopotezni načrti te druščine, o katerih so pri vdoru in kasneje pogosto govorili. Tudi zaposleni v Sonyju so v elektronskem sporočilu od GOP prejeli v polomljeni angleščini napisan pamflet, da je vdor šele začetek in da naj podpišejo nasprotovanje Sonyju, sicer bodo v nevarnosti. Koliko verodostojnosti ima sporočilo, je težko presoditi, a primer policija vseeno resno preiskuje. Zaposlene pa skrbi tudi dejstvo, da imajo hekerji vse podatke o njih,...

Slo-Tech - Hekerski vdor v Sony Pictures se je izkazal za mnogo resnejšega, kot je sprva kazalo. Napadalci niso odnesli le več popolnoma svežih filmov, temveč več gigabajtov datotek, ki vsebujejo osebne podatke, kot so podatki o izplačanih plačah, zdravstvenem stanju in bivališču zaposlenih. V Sonyju še vlada izredno stanje, napadalce pa lovijo tako najeti privatni varnostni strokovnjaki kakor organi pregona.

Na Fusion.net so dobili vpogled v datoteke, ki so jih hekerji odnesli. Na odlagališču podatkov Pastebin se je ta teden pojavil dokument s povezavami do 26 datotek torrent za prenos ukradenih...

TorrentFreak - Hekerski vdor v Sony Pictures, ki ga je minuli teden zagrešila neznana skupina z imenom Guadians of Peace, ima bolj daljnosežne posledice, kot je bilo slutiti. Medtem ko se Sony ukvarja z vprašanjem, kdo je odgovoren, in je aktiviral tudi policijo, so na internet pricurljali čisto sveži filmi.

Na omrežja za izmenjavo podatkov si je pot utrlo pet filmov: Fury, ki po svetu že igra v kinematografih, ter Annie, Mr. Turner, To Write Love on Her Arms in Still Alice. Filmi so dostopni v DVD-kakovosti, ne kakšnih zanič screenerjev. Te četverice Sony sploh še ni uradno izdal, zato je situacija še toliko bolj neprijetna. (Hkrati se nekateri privoščljivo muzajo ob odkritju, da so imeli Sonyjevi...

Bloomberg - Neznani storilci so vdrli v računalniški sistem Sony Pictures, zaradi česar v podjetju v ponedeljek ni deloval računalniški sistem. Napadalci so pridobili dostop do vseh računalnikov in na vseh namizjih izrisali sporočilo, da jih je napadla skupina #GOP (Guardians of Peace). Sprva se je vest razširila po Redditu, kjer jo je objavil eden izmed zaposlenih v Sony Pictures, kasneje pa so jo povzeli svetovni mediji. Sony je vdor potrdil.

Po besedah pristojnih v Sony Pictures so hekerji pridobili dostop do enega strežnika in ga uporabili kot izhodišče za napad. Hekerji namigujejo, da so imeli tudi pomoč od znotraj. Zaposleni so dobili navodila, naj se na računalniški sistem sploh ne...