Slo-Tech - Raziskovalci norveškega podjetja Promon so v Androidu odkrili varnostno ranljivost, ki obstoji v vseh verzijah Androida (tudi v desetici) in jo napadalci v resničnem življenju že izkoriščajo. Poimenovali so jo StrandHogg po nekdanji vikinški praksi zajema živine in ljudi za delovno silo in sužnje.

Ranljivost tiči v večopravilnosti, kot jo ponuja Android. Zlonamerna aplikacija se lahko pretvarja, da je legitimna aplikacija, saj se zažene ob kliku na ikono legitimne aplikacije in prestreže vnesene prijavne podatke. Uporabniki menijo, da uporabljajo legitimno aplikacijo, v resnici pa zlonamerna aplikacija prikazuje lažen prijavni zaslon. Aplikacija lahko na enak način pridobi tudi privilegije za dostop do različnih delov telefona, saj zanje sprašuje, kakor da bi bila legitimna aplikacija.

V praksi to pomeni, da lahko zlikovci kradejo gesla za dostop do spletne banke, kar so dejansko počeli. Raziskovalci so odkrili 36 zlonamernih aplikacij, ki izkoriščajo omenjeno ranljivost. Teh...

Slo-Tech - Skupina W3C Web Incubator Community Group (WICG), ki jo vodijo predstavniki razvijalcev Chroma in Mozille, razvija nov API, ki bi spletnim aplikacijam v brskalnikih olajšal dostop do datotek na lokalnem računalniku. Googlov razvijalec Pete LePage pojasnjuje, da želijo izboljšati uporabniško izkušnjo, hkrati pa paziti na varnostni vidik.

Če dandanes spletna aplikacija želi spremeniti kakšno lokalno datoteko, mora od uporabnika izrecno zahtevati, da jo ta odpre oziroma naloži. Potem aplikacija oziroma spletna stran na njej naredi, kar pač naredi, nato pa jo lahko shranimo na disk v mapo za prenose. Postopek je zamuden, saj moramo pri shranjevanju sami poiskati ustrezno mapo ali pa datoteko ročno prekopirati iz mape prenosi. Novi API...

Slo-Tech - V varnostnih programih tretjih proizvajalcev za macOS je kar 11 let tičala luknja, ki je aplikacijam omogočala, da so se predstavljale kot podpisane z Applove strani. Digitalni podpisi aplikacij so eden izmed osnovnih varnostnih mehanizmov, saj lahko za podpisano aplikacijo trdimo, da zagotovo v nespremenjeni obliki izvira od podpisnika. Podpisovanje je kriptografsko močno in ga ni mogoče ponarediti, lahko pa se zatakne pri preverjanju. Novoodkrita luknja je zlonamerni kodi omogočala, da je obšla postopek preverjanja in se predstavila kot legitimna Applova programska oprema. Ker številni protivirusni in drugi zaščitni programi to informacijo uporabljajo pri zaznavanju zlonamerne programske opreme, se je ta z izkoriščanjem luknje lahko pritihotapila na...

Slo-Tech - V najnovejši različici Applovega operacijskega sistema macOS High Sierra so odkrili veliko luknjo, ki omogoča prevzem nadzora nad računalnikom vsakemu mimoidočemu. Ranljivost je znana že dva tedna, a se je resnost luknje razkrila šele sedaj. Apple je že izdal popravek, ki jo odpravlja.

Izkaže se, da ima macOS sicer onemogočen administratorski račun (root), a ta ni zaščiten z geslom in ga je mogoče omogočiti, kar omogoča zlorabo. Če ugasnjen računalnik vključimo, se lahko ob pozivu za vnos gesla preprosto vpišemo kot root in pustimo polje za geslo prazno, pa nas bo sistem ob nekaj zapornih pritiskih na vnašalko spustil mimo. Ranljivost je pred dvema tednoma povsem brezbrižno omenil eden izmed uporabnikov kot rešitev težave, če nas macOS zaklene...

Slo-Tech - Raziskovalci iz podjetja Duo so odkrili, da je skoraj pet odstotkov Applovih računalnikov ranljivih, ker na njih tečejo zastarele verzije firmwara. Čeprav Apple nadgradnjo firmwara (EFI) od leta 2015 ponuja in izdaja skupaj s posodobitvami ostale programske opreme, pa v številnih primerih nadgradnja spodleti, o čemer uporabniki niso obveščeni. Da ne gre zgolj za teoretično ranljivost, priča dejstvo, da je Apple nekaj posodobitev EFI izdal prav zato, da je onesposobil aktualne napade.

EFI je koda, ki se naloži najprej ob zagonu računalnika in poskrbi, da računalnik najde vso strojno opremo in uspešno nadaljuje zaganjanje operacijskega sistema. Zaradi tega je napad na...

Slo-Tech - Potem ko smo na Slo-Techu v ponedeljek objavili obvestilo anonimnega prijavitelja v zvezi s popolnim neupoštevanjem kakršnihkoli varnostnih standardov na AJPESovi spletni strani, je danes predstavnik AJPESa za STA podal odziv. Sporočili so, da so na spletni strani vključili protokol HTTPS, ter da zato štejejo, da so vse izpostavljene težave s tem odpravljene.

Težko je reči, ali nas je tak odziv razočaral ali presenetil. A očitno je, da Agencija ni kos svojim nalogam in da to skriva tako, da probleme pometa pod preprogo, nadejajoč se, da v tej državi res ni nikogar, ki bi jo znal za to kaznovati.

Poglejmo si njihov odziv nekoliko podrobneje.

V Ajpesu so danes za STA pojasnili, da po zagotovilih avtorjev omenjene podpisne komponente v primeru uporabe...

Heise - Apple je izdal komplet popravkov za OSX Snow Leopard. Po namestitvi od 250 do 1300 MB popravkov (odvisno od vaše različice) bo sistem pripravljen za nadgradnjo na prihajajoči MacOS X Lion, imel boljšo podporo za IPv6 in bolj dosledno preprečeval poskuse namestitve "popularnega" scareware-a MacDefender. Hkrati so popravili kar 36 resnih varnostnih pomankljivosti.

Kratek prelet čez seznam lukenj razkrije marsikaj zanimivega. Mace je mogoče resetirati kar preko Wi-Fi-ja, AppStore v določenih primerih omogoča...