Slo-Tech - Po poleti odkritih novih ranljivostih v sistemu TETRA, ki so bile tam najverjetneje namenoma, se sedaj krepijo pozivi k odprtju algoritma. Tehnični odbor ETSI (European Telecommunications Standards Institute) razmišlja, da bi javno razkrili algoritme, ki jih TETRA uporablja za šifriranje komunikacije. Odločitev bodo sprejeli 26. oktobra, je pojasnila tiskovna predstavnica Claire Boyer. Če ne bo konsenza, bo sledilo glasovanje.

Tehnologijo TETRA (Terrestrial Trunked Radio) uporabljajo javne službe, denimo policija in reševalci, a tudi vojska, za komunikacijo v večjem delu Evrope. Z njo preprečujejo prisluškovanje, a protokol ima številne ranljivosti. Te pod vprašaj postavljajo tako varnost uporabo kakor tudi odpornost na prihodnost, saj ne vemo, kaj se še skriva v kodi. Poleti odkrite ranljivosti so teoretično omogočale vrivanje sporočil, deanonimiziranje uporabnikov in podobno. Ranljivosti naj bi bili zakrpali šele ta mesec.

Uporaba nejavnih algoritmov za šifriranje, kjer se za...

Slo-Tech - Na spletni strani StackOverflow najdemo kopico programerskih vprašanj in boljših ali slabših odgovorov, ki jih bralci ocenijo. Najviše ocenjeni odgovori so po navadi tudi pravilni, čeprav to ni nujno. Zanimivo zgodbo o tem je pripravil Andreas Lundblad, ki je avtor največkrat uporabljenega koščka kode s StackOverflowa. Predvsem je ironično dejstvo, da je njegov najpriljubljenejši kos kode vseboval hrošča, ki ga desetletje nihče ni opazil.

Da je njegov kos kode res popularen, sta lani pokazala Sebastian Baltes in Stephan Diehl z Univerze v Trierju. Njun projekt je bil sicer preveriti, kako pogosto, kod in pod katero licenco se v praksi pojavljajo kosi kode, ki so dostopni na strani StackOverflow. Stran namreč izrecno zapoveduje licenco CC BY-SA 3.0, a se vsi uporabniki tega ne držijo in kodo kopirajo vse naokoli. Večina ponovno uporabljene kode je nepravilno označena, sta ugotovila.

Vrnimo pa se k najpopularnejšemu kosu kode, ki je bil objavljen leta 2010. Šlo je za funkcijo, ki...

ZDNet - Nemška Zvezna agencija za varnost v informacijski tehniki (BSI) je preizkusila najpopularnejše brskalnike, da bi ugotovila, kateri najbolj pazi na zasebnost in varnost uporabnikov. Testirali so Firefox 68 (ESR), Chrome 76, Internet Explorer 11 in Edge 44. Ostala konkurenca, ki ima bistveno nižje tržne deleže (Safari, Opera itd.) ni bila udeležena. Glede na smernice, ki jih je BSI javnosti predstavil minuli mesec, se je najbolje odrezal Firefox.

Da bi nek brskalnik označili kot varen, mora podpirati vrsto protokolov in storitev, ki skrbijo za večjo varnost. Gre za več deset pogojev, denimo podporo TLS, zaupanja vredne certifikate, preverjanje preklicanosti certifikatov in še številne druge. Konkurenca ni izpolnila vseh, zato je BSI ne more priporočati. Chrome, IE in Edge ne podpirajo mehanizma glavnega gesla (master password), ne omogočajo blokade telemetrije in nimajo organizacijske transparentnosti. Internet Explorer poleg tega ne podpira vgrajenih posodobitev, SOP, CSP in SRI....

Ars Technica - Beremo lahko o novem izsiljevalskem virusu, ki za razliko od večine svojih izkoriščevalskih sorodnikov ne terja plačila odkupnine, temveč nas prisili v igranje igre. Na internetu se je znašla koda virusa Rensenware, ki zaklene datoteke na disku, potem pa uporabnika nažene igrat TH12 Undefined Fantastic Object. Če na najtežji stopnji zahtevnosti doseže zadostno številk točk, virus sprosti šifrirni ključ in odklene datoteke.

Kmalu je postalo tudi jasno, da je bil ta virus napisan bolj...

Slo-Tech - Fraunhoferjev inštitut za varno informacijsko tehnologijo (Fraunhofer SIT) je objavil podrobno 77 strani dolgo poročilo pregleda kode programa za šifriranje podatkov TrueCrypt, ki so ga izvedli za nemški Zvezni urad za varnost v informacijski tehniki (BSI). V njem so potrdili rezultate predhodnih pregledov kode, da je TrueCrypt sorazmerno varen kos kode. Sicer vsebuje nekaj varnostnih ranljivosti, a ne v sami izvedbi šifrirnega algoritma, temveč v podporni kodi.

Spomnimo, da je Googlov Project Zero pred poldrugim mesecem v kodi TrueCrypta odkril dve resni varnostni ranljivosti, ki v teoriji omogočata pridobitev privilegiranega dostopa do računalnika, na katerem teče TrueCrypt. Poleg teh ranljivosti je Fraunhofer SIT v kodi našel še nekaj...

threatpost - TrueCrypt je še vedno precej priljubljen program za šifriranje podatkov, pa čeprav so maja lani razvijalci še vedno ne docela pojasnjeno in v precejšnji naglici prekinili razvoj programa. Temeljit varnostni pregled njegove izvorne kode (audit) se je kljub ustavitvi razvoja nadaljeval in ni odkril večjih pomanjkljivosti v kodi. Sedaj pa so odkrili dve ranljivosti, ki omogočata napad na sisteme, ki imajo nameščen TrueCrypt. Varnostni strokovnjaki zato vsem, ki morebiti še vedno vztrajajo na TrueCryptu, svetujejo, da se od njega resnično poslovijo.

Ranljivosti je našel James Forshaw iz Googlovega Project Zero in o njihovem obstoju svet najprej obvestil prek Twitterja. Ranljivosti sta bili...

Slo-Tech - Temeljit varnostni pregled kode (security audit) zadnje verzije TrueCrypta 7.1a je pokazal, da v kodi ni nobenih stranskih vrat, namernih ranljivosti ali oslabljenih šifrirnih algoritmov. V programu so našli štiri ranljivosti, ki pa so tam po nerodnosti in nimajo bistvenega vpliva na varnost.

Zgodba TrueCrypta se je vseeno končala precej nenavadno. Lani maja so avtorji sporočili, da projekta ne bodo več razvijali in uporabo odsvetujejo, ker da program vsebuje varnostne ranljivosti. Revizija kode, ki se je začela že pred tem, se je vseeno nadaljevala. Tako smo te dni dobili uradno poročilo o rezultatih...

Slo-Tech - Razvijalci so TrueCrypt nehali posodabljati in podpirati maja letos, kar je postavilo precej vprašanj. Na spletni strani so skopo zapisali, da uporabe programa ne priporočajo, ker bi lahko vseboval več varnostnih pomanjkljivosti, natančnejši pa niso bili. Ker identiteta avtorjev ni bila nikoli znana, je bila situacija še bolj nenavadna. Toda TrueCrypt ne bo umrl.

Prvi garant za to je kriptografski pregled kode, ki kljub ukinitvi razvoja teče dalje. Če se bo izkazalo - in preliminarni rezultati so vzpodbudni - da je TrueCrypt varen, ga še vedno lahko uporabljamo. V ta namen so postavili stran TrueCrypt.ch, kjer je moč najti vse relevantne informacije,...

Ars Technica - Čeprav se je razvoj TrueCrypta končal na sila čuden način, je program še daleč od mrtvega kosa kode. Medtem ko se je razvijalska ekipa iz neznanih razlogov odločila opustiti svoje delo, projekt temeljitega varnostnega pregleda kode (security audit) še vedno teče.

Projekt Open Crypto Audit, ki je že lani začel pregledovati njegovo kodo, se nadaljuje. Za financiranje tega početja so nameravali zbrati 25.000 dolarjev, pa so do danes nabrali že več kot 70.000 dolarjev, kar je več kot dovolj za pregled kode. Kenn White, ki vodi organizacijo pregleda, je povedal, da se pregled nadaljuje ne glede na razvoj dogodkov.

Spomnimo, da je prva faza pregleda že končana. Pri analizi kode so namreč ugotovili, da razen nekaj površnosti resnih napak,...

threatpost - Živimo v časih, ko sta prisluškovanje in prestrezanje informacija postali nekaj vsakdanjega, varnostne ranljivosti v programski opremi pa se kar množijo. Zaupati je postalo sila nevarno, zato že dlje časa poteka pregled kode popularnega programa za šifriranje TrueCrypt. Prva faza pregleda ni odkrila resnejših varnostnih lukenj ali stranskih vrat, a kar precej manjših nedoslednosti in ranljivosti.

Kot so pokazali nedavni primeri v GnuTLS in OpenSSL odprta koda ne pomeni nič varnejše programske opreme, če kode nihče temeljito ne pregleda. Pretekli mesec smo pisali o dokazu, da objavljena koda programa TrueCrypt ustreza prevedeni različici, a je bilo...