Slo-Tech - Ko sedimo za računalnikom lahko izza zaslona, z izjemo klicev, postorimo skoraj čisto vse, kar bi lahko na Androidnem telefonu. Moderne aplikacije za komunikacijo (WhatsApp, Messenger, Viber ipd.) imajo namizne odjemalce, ki se znajo sinhronizirati s telefonom. Nekoliko se je zataknilo le pri pošiljanju kratkih sporočil (SMS), kjer tovarniške aplikacije niso imele namiznega odjemalca. To se je sedaj spremenilo, saj je Googlova aplikacija Android Messages prispela na internet, s tem pa na namizne in prenosne računalnike ter tablice.

Če torej na telefonu za pošiljanje SMS-ov izberemo to aplikacijo, lahko sporočila pošiljamo in prejemamo kar na osebni računalnik. Seveda za delovanje potrebujemo telefon, ki je istočasno nekje aktivno...

Slo-Tech - V namiznem odjemalcu za aplikacijo Signal, ki načeloma omogoča varno hipno komunikacijo, so odkrili dve zelo resni ranljivosti, zaradi česar morajo vsi uporabniki posodobiti svojo nameščeno verzijo. Kdor uporablja Signal, ki sicer velja za zelo varno aplikacijo, saj ga je uporabljal tudi Edward Snowden, le na mobilnih naprav, z ranljivostjo nima opraviti nič. Drugačna pa je situacija na namiznih računalnikih.

Tu so snovalci Signala aplikacijo zgradili na platformi Electron, kar je sicer dobrodošlo z vidika hitrosti razvoja, saj pod eno streho združuje spletni strežnik, javascript in brskalnik. Manj zaželeno pa je to z varnostnega vidika, saj je v njej resna luknja. V resnici kar dve, saj so minuli teden najprej odkrili prvo luknjo zaradi vrivanja vode (XSS), le malo kasneje pa...

Ars Technica - Signal, ki ga razvija podjetje Open Whisper Systems velja za eno najbolj uporabnih aplikacij za varno komuniciranje preko mobilnih telefonov. Na voljo je tako za Android, kot tudi iOS (in trenutno še kot namizna (Google Chrome) aplikacija), omogoča pa močno šifriranje sporočil in pogovorov.

Podjetje Open Whisper Systems oziroma njegovi ustanovitelji so namreč pred časom razvili šifrirni protokol Signal, ki ga poleg aplikacije Signal uporabljajo tudi nekatere druge aplikacije za varno komunikacijo, med drugim tudi WhatsApp, Alo, Facebook Messenger in (deloma) Viber.

Čeprav navedene aplikacije uporabljajo isti kriptografski protokol, Signal velja za najbolj varno in najbolj enostavno aplikacijo, ki hrani kar najmanj podatkov o svojih uporabnikih.

Ker aplikacija uporablja šifriranje med končnimi točkami (tim. end-to-end šifriranje) in ker beleži le minimalno...

Slo-Tech - Januarja smo pisali o odkriti ranljivosti v nekaterih usmerjevalnikih podjetij Linksys, Netgear, Cisco in Belkin, ki jo je zakrivila programska oprema podjetja Sercomm. Primerno oblikovan promet, ki ga je usmerjevalnik prejel na vratih TCP 32764, je povzročil popolno ponastavitev konfiguracije. Napako so potrdili v več kot 24 modelih.

Napako so kmalu po prijavi zakrpali in usmerjevalniki so dobili nove verzije firmwara, ki te ranljivosti niso imele več. Vsaj tako smo verjeli. Eloi Vanderbeken je za veliko noč objavil krajšo analizo in primer kode, ki dokazujeta, da je ranljivost še vedno prisotna. (Pri tem se je nekaj naučil, saj ima dokument bistveno manj slabo narisanih stripovskih...

Slashdot - Včeraj je stran WikiLeaks sporočila, da so bili žrtve koordiniranega napada, zaradi česar je bila njihova glavna stran nekaj časa nedosegljiva. Zanimivo je, da je odgovornost za napad prevzel skupina Anonymous. To je taista skupina hekerjev in njihovih podanikov, ki je napadla MasterCard, Paypal in Viso, ker niso želeli več poslovati z WikiLeaksom.

Skupina Anonymous je povedala, da so testirali novo orodje RefRef, ki je namenjeno izkoriščanju ranljivosti na SQL-vrivanje. Dejali so, da so napadli strani WikiLeaks, Pastebin in 4chan; z WikiLeaks so imeli nerazčiščene osebne spore, zdaj pa so si na čistem. Kaj točno s tem mislili, ni jasno nikomur, najverjetneje niti Anonymousu ne v celoti. Znano je namreč, da je skupina med seboj slabo...

Slo-Tech - O XSS ranljivostih s(m)o na Slo-Techu že pisali. A kljub temu, da gre za tim. ranljivost na strani spletnega odjemalca, so posledice zlorabe lahko precej drastične.

Raziskovalec Billy Hoffman, znan tudi pod imenom Acidus, je namreč januarja lani na konferenci Black Hat Federal 2006 predstavil prispevek z naslovom Analysis of Web Application Worms and Viruses. V prispevku je predstavil možnosti napadov s tim. spletnimi virusi, ki izkoriščajo XSS ranljivosti ter AJAX tehnologijo.

V soboto pa bo imel Hoffman predavanje na to temo tudi na Smoocon konferenci v Washingtonu.

Na konferenci bo predstavil možnosti vzpostavitve prikritih omrežij (tim. botnetov) s pomočjo izkoriščanja XSS ranljivosti in JavaScripta. Predstavil bo tudi konkreten primer, aplikacijo Jikto, ki omogoča samodejno vzpostavitev prikritega omrežja.

Orodje Jitko se lahko preko okužene spletne strani namesti na uporabnikov računalnik. Po namestitvi lahko orodje izvaja samodejno skeniranje, oz. iskanje...

Schneier.com - Pred približno mesecem dni so na Dark Reading objavili članek o varnostnih ranljivostih, odkritih v različnih aplikacijah. Na prvem mestu je z 21,5% Cross Site Scripting (XSS exploit), sledi možnost SQL vrivanja (SQL injection) ki so ga našli v 14% aplikacij, na tretjem mestu so PHP vrivanja (9,5%), sledijo pa prekoračitve pomnilnika (buffer overflow s 7,9%.

To so seveda varnostne ranljivosti, ki so jih odkrili v aplikacijah. Michael Sutton pa si je zastavil vprašanje, koliko teh ranljivosti je dejansko mogoče najti v resničnem svetu. Osredotočil se je na SQL vrivanje in analiziral spletne strani. S pomočjo Googla je izbral 1000 spletnih strani, ki uporabljajo SQL in poiskusil izvesti nedolžno SQL vrivanje. V primeru, da je spletna stran vrnila napako, je Sutton ugotovil, da je spletna stran ranljiva, sicer pa ni.

In rezultat? Izkaže se, da je s SQL vrivanjem trenutno ranljivih kar 11,3% spletnih strani, ki uporabljajo SQL baze podatkov.

'Hekerjem' dela torej še ne bo...