Slo-Tech - Malokdo se zaveda, da spletne strani lahko beležijo vnose v polja, še preden kliknemo gumb Pošlji. To sicer ni nobena skrivnost in marsikod je to uporabno, saj lahko stran shrani vnos in ga ponovno prikaže, če se vmes prekine internetna povezava, še preden bi besedilo poslali. Raziskovalci z univerz v Leuvnu, Lausanni in Radbound v Nijmegenu pa so sistematično preverili, kako razširjena je tovrstna praksa. Rezultati so pokazale, da precej bolj, kot bi pričakovali. Članek bodo predstavili na konferenci Usenix avgusta letos.

Analizirali so 100.000 najpopularnejših spletnih strani in preverjali, kako se obnašajo, če jih obiščemo iz EU ali iz ZDA. Ugotovili so, da je 1844 spletnih strani zbirali evropske elektronske naslove brez soglasja, ameriške pa 2950 spletnih strani. Tega pogosto ne počno same strani, temveč imajo vgrajene dele kode za oglaševanje in analitiko, ki to počne. V nekaterih primerih so spletne strani celo vpisala gesla posredovale dalje, spet zaradi vtičnikov in...

Slo-Tech - Koronska kriza nas je vse prisilila v več spletnega poslovanja. Zdaj traja že skoraj dve leti, tako da smo se že dodobra naučili in navadili delati od doma, nakupovati prek interneta, sodelovanja prek video klicev, poslušanja koncertov prek interneta in vse ostale moderne načine dela in življenja.

Ta hiter preskok iz analognega v digitalno življenje je seveda, poleg prilagajanja življenjskih navad posameznikov, zahteval investicije v novo opremo in storitve.

Vse aktivnosti pa kljub vsemu ne potekajo v celoti prek interneta. Predvsem storitve so takšno področje, kjer stranka obišče ponudnika, da pri njem opravi, ker ima opraviti. Med te spadajo tudi upravne enote, ki danes nastopajo v vlogi glavnega junaka zgodbe.

Upravne enote so lokalne izpostave izvršilne veje oblasti. Osebni dokumenti, gradbena dovoljenja, registracije društev, dovoljenja za bivanje, vozniške, prometne, kmetijske zadeve, poroke, ločitve, overitve ... vse se dobi na upravni enoti.

Zaradi korone je bilo treba...

Slo-Tech - SQL vrivanje (SQL injection) je preprost in žal še vedno razmeroma pogost napad na spletne aplikacije. V osnovi poteka tako, da napadalec v vnosna polja spletne aplikacije vnaša delce programske kode (SQL ukaze). S tem ranljivo aplikacijo prepriča, da mu posreduje podatke iz zaledne baze (npr. gesla, seznam uporabnikov, ipd.), do katerih sicer ne bi smel imeti dostopa.

SQL vrivanje je mogoče preprečiti s tim. filtriranjem vnosov, obstaja pa še bolj enostaven način, in sicer, da spletna aplikacija sploh ne uporablja SQL baze. Slednjega pristopa so se očitno poslužili na spletni strani MyStops.eu. Gre za spletno stran, ki je namenjena popotnikom, saj omogoča hitro iskanje in pregled postankov ter prikaz navodil za pot do izbranega postanka.

...

Slo-Tech - Da slovenski državni organi bistveno premalo, oziroma praktično nič, ne vlagajo v informacijsko varnost, vemo že dolgo časa. To priznavajo tudi strokovnjaki iz državne uprave sami.

Včasih se na dobronamerna opozorila organi (napol) odzovejo šele čez leta, včasih pa tistega, ki jih opozori na lastne napake kar ovadijo. Tako je bilo zgolj vprašanje časa, kdaj bo sledila kakšna večja katastrofa epskih razsežnosti.

In ta se je tokrat pripetila AJPESu. AJPES, ali Agencija RS za javnopravne evidence in storitve, ima namreč na nedavno prenovljeni spletni strani varnostno ranljivost z resnimi posledicami. Gre za ranljivost, kjer je s pomočjo SQL vrivanja iz zalednih podatkovnih baz mogoče pridobiti tudi tiste podatke, ki preko strani sicer niso dosegljivi. Kot kaže,...

ComputerWorld - Podjetje Imperva, ki se ukvarja z računalniško varnostjo, je na internetu našlo dražbo, kjer hekerji na črno prodajajo dostop do napadenih spletnih strani. Hekerji, ki vodijo dražbo, trdijo, da imajo nadzor nad velikim številom spletnih strani, med drugim vojaških, vladnih in univerzitetnih. Cene se gibljejo med 33 in 500 dolarji, odvisno od popularnosti, velikost in zaželenosti strani. Poleg tega so naprodaj tudi iz spletnih strani izvlečeni osebni podatki po ceni 20 dolarjev za tisoč.

Noa Bar-Yosef iz Imperve pojasnjuje, da so...

Slo-Tech - O XSS ranljivostih s(m)o na Slo-Techu že pisali. A kljub temu, da gre za tim. ranljivost na strani spletnega odjemalca, so posledice zlorabe lahko precej drastične.

Raziskovalec Billy Hoffman, znan tudi pod imenom Acidus, je namreč januarja lani na konferenci Black Hat Federal 2006 predstavil prispevek z naslovom Analysis of Web Application Worms and Viruses. V prispevku je predstavil možnosti napadov s tim. spletnimi virusi, ki izkoriščajo XSS ranljivosti ter AJAX tehnologijo.

V soboto pa bo imel Hoffman predavanje na to temo tudi na Smoocon konferenci v Washingtonu.

Na konferenci bo predstavil možnosti vzpostavitve prikritih omrežij (tim. botnetov) s pomočjo izkoriščanja XSS ranljivosti in JavaScripta. Predstavil bo tudi konkreten primer, aplikacijo Jikto, ki omogoča samodejno vzpostavitev prikritega omrežja.

Orodje Jitko se lahko preko okužene spletne strani namesti na uporabnikov računalnik. Po namestitvi lahko orodje izvaja samodejno skeniranje, oz. iskanje...

Schneier.com - Pred približno mesecem dni so na Dark Reading objavili članek o varnostnih ranljivostih, odkritih v različnih aplikacijah. Na prvem mestu je z 21,5% Cross Site Scripting (XSS exploit), sledi možnost SQL vrivanja (SQL injection) ki so ga našli v 14% aplikacij, na tretjem mestu so PHP vrivanja (9,5%), sledijo pa prekoračitve pomnilnika (buffer overflow s 7,9%.

To so seveda varnostne ranljivosti, ki so jih odkrili v aplikacijah. Michael Sutton pa si je zastavil vprašanje, koliko teh ranljivosti je dejansko mogoče najti v resničnem svetu. Osredotočil se je na SQL vrivanje in analiziral spletne strani. S pomočjo Googla je izbral 1000 spletnih strani, ki uporabljajo SQL in poiskusil izvesti nedolžno SQL vrivanje. V primeru, da je spletna stran vrnila napako, je Sutton ugotovil, da je spletna stran ranljiva, sicer pa ni.

In rezultat? Izkaže se, da je s SQL vrivanjem trenutno ranljivih kar 11,3% spletnih strani, ki uporabljajo SQL baze podatkov.

'Hekerjem' dela torej še ne bo...