Slo-Tech - V Kazahstanu se ponavlja leto 2019, ko so oblasti skušale prisluškovati internetnemu prometu tako, da so državljane prisilile v namestitev državnega certifikata, kar je v praksi omogočalo izvedbo napadov MITM. Kakor tedaj, so se tudi letošnjem poizkusu odločno uprli proizvajalci brskalnikov.

Google, Mozilla, Apple in Microsoft, torej vsi najpomembnejši proizvajalci brskalnikov, so sporočili, da bodo naredili vse, da preprečijo kazahstanske nakane. Podjetja so že izdala posodobitve brskalnikov, ki kazahstanski korenski samopodpisani certifikat, ki ga oblasti vsiljujejo uporabnikom, uvrščajo na seznam preklicanih. Dodajajo, da je tako početje v nasprotju s standardi, saj ima lahko zasebne ključe certifikata le upravljavec domene, za katero je certifikat izdan.

Certifikat se je pojavil 6. decembra, z njim pa želijo šifrirati promet do vseh najpomembnejših zahodnih strani, med njimi Google, YouTube, Facebook, Gmail in tudi nekaj drugih, denimo VK in OK.ru. Vsem uporabnikom zato...

ZDNet - Še tretjič v zadnjih petih letih poizkušajo kazahstanske oblasti prisluškovati internetnemu prometu državljanov. V okviru vaje iz kibernetske varnosti so prebivalce prestolnice Nursultan (nekdanja Astana) prisilile v namestitev vmesnega certifikata, če želijo dostopati do storitev v tujini. Namestitev certifikata, ki ga izda vlada in za katerega ima zasebne ključe, pa seveda pomeni, da čeprav je povezava šifrirana, lahko z napadi MITM oblasti prisluškujejo. Poleg prisluškovanja pa napadi MITM omogočajo tudi manipulacijo, torej vrivanje in spreminjanje poslanih zahtevkov. Oblasti zatrjujejo, da je vaja posledica več kot dvakratnega povečanja internetnega prometa zaradi epidemije, ko so ljudje doma, in zanikajo kakršnokoli prisluškovanje.

Ponudniki dostopa do interneta Beeline, Tele2 in Kcell od včeraj uporabnike ob dostopu do tujih strani preusmerjajo na lokalno stran z navodili za namestitev omenjenega certifikata. Prebivalci glavnega mesta so prav tako prejeli kratka sporočila...

Slo-Tech - Potem ko je minuli mesec veliko prahu dvignila napoved kazahstanski oblasti, da bodo začeli prestrezati in analizirati ves internetni promet v državi, je retorika sedaj v spravljivejših tonih. Ukrep, ki so ga številni pravniki označevali kot nezakonitega, je sedaj odpravljen. Kazahstanski Komite za nacionalno varnost je v torek sporočil, da je bila namestitev certifikatov preizkus, zato jih lahko uporabniki sedaj mirno odstranijo. Kazahstanski predsednik Kasim-Žomart Tokajev je na Twitterju izjavil, da je šlo za preizkus, ki ga je odredil sam, a da ne bo več vznemirjal uporabnikov interneta.

Kazahstanske oblasti so namreč zahtevale, da ponudniki dostopa do interneta in mobilni...

Slo-Tech - V sredo so kazahstanske oblasti začele prestrezati ves promet prek HTTPS v državi, s čimer želijo okrepiti nadzor nad internetom in početjem državljanov. Ponudniki dostopa do interneta so morali vzpostaviti posebne spletne strani, na katerih lahko uporabniki namestijo državne certifikate. Z namestitvijo certifikatov, ki jih je izdala kazahstanska vlada, bi imele oblasti možnost dešifrirati komunikacijo med uporabniki in strežniki HTTPS, jo prebrati in potem šifrirati ponovno ter poslati do končnega cilja. Gre torej za klasični napad MITM.

ISP-ji uporabnike od včerajšnjega dne preusmerjajo na strani za namestitev certifikate, če tega še niso storili. Enaka obvestila so prejeli po...

Slo-Tech - Spet je tisti dan, ko moram državnim biričem nakazati desetino polovico svojih mesečnih prihodkov – oziroma, kot oni temu pravijo, plačati moram davke. Mesečni ritual se začne s pregledom eDavkov, ali država želi od mene še kaj razen običajnih davkov in prispevkov. In, kot vsakokrat, me brskalnik spet prijazno opozori, da spletna stran eDavki ne zagotavlja minimalnih varnostnih zahtev. Roka zadrhti, že tako razredčeni lasje štejejo nove žrtve in možgani preračunavajo, kaj mi država nudi za skoraj 1000 evrov plačanih davkov vsak mesec. Očitno niti varnosti na internetih ne.

Nič, dvignem telefon in v slabi uri sedim na kavi skupaj s tremi ljudmi, ki se imajo za etične hekerje. Prepričam jih, da svoje znanje usmerijo na spletne dacarje in mi pomagajo ugotoviti,...

Vice - Kazahstanska vlada si želi nadzor nad internetnimi komunikacijami svojih državljanov, pri čemer se ne želijo ubadati z zapletenimi ali celo prikritimi metodami za dosego tega cilja. Kitajci imajo veliki požarni zid, a to je drago početje. Zato so se v Kazahstanu odločili, da bodo uporabnikom interneta preprosto predpisali, da jim morajo to dovoliti. Od 1. januarja bodo morali uporabniki obvezno namestiti vladni certifikat, ki bo omogočal branje nešifriranih in šifriranih komunikacij. Sporočilo so v angleščini objavili na spletnih straneh državnega telekoma, a je po nekaj dneh skrivnostno izginilo.

Spomnimo, da je Lenovo na svoje računalnike nameščal certifikat s sumljivimi nameni, Dell pa je po neumnem uporabnike...

Secure List - V Kaspersky Labu so razkrili nekaj več podrobnosti zadnjega napada, ki so ga neznanci izvedli z virusom Duqu 2.0. Ugotovili so, da se je virus v omrežje infiltriral podpisan z ukradenim Foxconnovim certifikatom, s čimer je pretental sistem.

Duqu 2.0 v nevolatilnem pomnilniku vzdržuje minimalno prisotnost, zaradi česar ga je teže odkriti. Na diskih praktično ni zapisan, temveč v celoti ostaja v RAM-u, kamor se po ponovnem zagonu vnovič prekopira kar z omrežja. Vseeno to ne pomeni, da bi sistem lahko očistili z enkratnim sočasnim ponovnim zagonom vseh...

Google Online Security Blog - Google je odkril lažne certifikate za svoje strežnike, ki jih je izdalo egiptovsko podjetje MCS Holdings. Ker je MCS Holdings vmesni certifikatni urad (intermediate CA), ki ga je kot zaupanja vrednega proglasil kitajski CNNIC, mu zaupajo vsi brskalniki. Firefox in Chrome sicer omenjenih certifikatov za dostop do Googlovih strani nista uporabljala, ker upoštevata public key pinning. Vseeno je početje podjetja MCS Holdingsa hud prekršek, zaradi česar so njihove certifikate proizvajalci brskalnikov takoj po odkritju uvrstili na listo neveljavnih.

CNNIC je potrdil, da so z MCS Holdings sklenili pogodbo, ki jim je dovoljevala le izdajo certifikatov za domene, ki jih imajo registrirane. Kot kaže, je MCS Holdings svoj zasebni...

CNet - Ko se je začela afera Prism, je Apple na svoji spletni strani jasno in izrecno zapisal, da sporočil uporabnikov ne more prebirati. Komunikacija prek storitve iMessage, ki vključuje Applove mobilne naprave in računalnike z iOS, je šifrirana od pošiljatelja do prejemnika, zato ji ne more prisluškovati nihče. Sedaj pa so raziskovalci dokazali, da je Applova trditev neresnična. Apple že mogoče ne prestreza komunikacije, a bi jo lahko, če bi to želel oziroma bi to od njega zahtevala NSA.

Res je komunikacija prek iMessge šifrirana z zaupanja vrednimi algoritmi (AES, RSA, ECDSA) s ključi ustrezne dolžine, ki se ustvarijo s kodo, ki je odprta. Toda Apple nadzoruje vso infrastrukturo za komunikacijo, predvsem pa lahko zamenja šifrirne ključe in...

SecurityWeek - Po septembrskem fiasku nizozemskega centralnega overitelja certifikatov (CA) DigiNotar, ki so ga napadli hekerji in izkoristili za izdajo lažnih certifikatov, zaradi česar je bil po odkritju izločen z vseh seznamov zaupanja vrednih CA-jev, kar je podjetje prignalo v stečaj, ima težave še en nizozemski CA. To pot so hekerji napadli Gemnet, a naj bi bila škoda omejena javni del strani in nekaj javno nedostopnih podatkovnih baz, ki pa niso imele povezave z oddelkom za izdajo certifikatov.

Kot lahko preberemo v nizozemskih časnikih, so napadalci zlorabili pomanjkljive nastavitve nameščenega PHPMyAdmina na strežnikih, ki je omogočal dostop brez vnosa gesla. Tudi izbrano administratorsko...

Heise - Napad na nizozemskega overitelja digitalnih potrdil DigiNotar je obširnejši in resnejši, kot je kazalo na začetku. Sprva se je odkril le lažni certifikat za Googlove strežnike, kasneje je bilo potrjenih več deset, sedaj pa se je število odkritih lažnih certifikatov povzpelo na 532.

Nizozemska vlada je skrbnikom omrežja Tor (uporablja se za anonimni dostop do interneta) izročila seznam vseh lažnih certifikatov, ki so bili izdani in podpisani v DigiNotarjevem imenu (Excelova datoteka s...