Krebs On Security - Microsoft bo danes, v okviru redne januarske torkove nadgradnje, zakrpal še posebej veliko varnostno vrzel. Uporabnike obenem pozivajo, da popravke namestijo kar se da hitro, saj je pričakovati, da bo luknja zlorabljena takoj, ko bodo objavljene podrobnosti o njej. Gre za kritično napako v datoteki crypt32.dll, ta upravlja ključne šifrirne funkcije v modulu CryptoAPI, ki ga razvijalci uporabljajo za zavarovanje okenskih aplikacij s pomočjo šifriranja. Ena njegovih ključnih funkcij je prav šifriranje in dešifriranje podatkov s pomočjo digitalnih certifikatov. Ker modul izhaja še iz časov Windows NT 4.0, torej izpred dveh desetletij, so najverjetneje ogrožene prav vse različice Oken.

Varnostna napaka bi tako lahko ogrozila ustrezno avtentikacijo na Windows PC računalnikih in strežnikih, zlasti podatke, ki jih obdelujeta Microsoftova brskalnika. Prav tako bi napadalcem omogočila poneverbo digitalnih certifikatov za posamezne programe, zaradi česar bi lahko na sisteme povsem legitimno...

Slo-Tech - Raziskovalci z Univerze Radbound na Nizozemskem so pokazali, da imajo številni SSD-ji z vgrajenim šifriranjem velike varnostne luknje. Gre za pogone, ki imajo avtomatično šifriranje, ki se izvaja z namenskim čipom na samem pogonu (SED - self-encrypting drives). Popularni so postali zlasti v zadnjih letih, ko se je povečalo število napadov na programsko šifriranje podatkov, saj lahko v takem primeru šifrirni ključ prestrežemo v pomnilniku. Toda nova raziskava kaže (članek), da so SED še slabša rešitev.

Ranljivi so SED, ki uporabljajo specifikaciji ATA security ali TCG Opal. Glavni očitek je obstoj tovarniškega gesla, ki poleg...

Microsoft - Algoritem RC4 je ena izmed najstarejših tokovnih šifer, ki se še vedno uporablja v starih verzijah protokola TLS in WEP. V RC4 so odkrili že številne ranljivosti, zato je njegova uporaba odsvetovana in se opušča. Raziskovalci so odkrili številne pomanjkljivosti, ki skupaj z naraščanjem računske moči omogočajo praktično izvedbo napadov na RC4. Recimo šifriranje WEP v brezžičnih usmerjevalnikih je že dlje časa mogoče zlomiti sorazmerno hitro (v manj kot dnevu). Obstajajo celo...

BBC - Aprila letos je peterica ameriških internetnih gigantov - Google, Microsoft, Facebook, Yahoo! in Twitter (na sliki) - britanski notranji ministrici Theresi May (njihov Vinko Virant, na drugi sliki) poslala skupno pismo. V njem so zapisali, da ne želijo sodelovati v napovedanem vladnem programu nadzora interneta, ker bi bilo to "tehnično težko izvedljivo" in "zelo drago" obenem, ker "tega ne počne nobena demokratična država", vsekakor pa bi bil to "slab zgled za ostali svet". Pismo je posebej pomenljivo, ker je Edward Snowden dva meseca kasneje razkril, da omenjena podjetja (sans Twitter) vse vse to pravzaprav že počno.

O britanskih težnjah smo že pisali ravno lani tega časa. Vlada je takrat razgrnila nov...

Slo-Tech - Ta teden je ameriška kongresna komisija US-China Economic and Security Review Commission, katere namen je spremljanje in preiskovanje nacionalno-varnostnih posledic bilateralnega sodelovanja med ZDA in Kitajsko, izdala letno poročilo o Kitajski.

V njem so (stran 243 in 244) med drugim zapisali, da je kitajski China Telecom 8. aprila 2010 za 18 minut 15% svetovnega internetnega prometa preusmeril skozi svoje usmerjevalnike. Pri tem so po vsej verjetnosti uporabili napad na BGP protokol (o tem napadu smo sicer že poročali leta 2008), s pomočjo katerega so promet preusmerili na omrežne usmerjevalnike na Kitajskem.

Cilj napada so bili ameriški vladni (.gov) in vojaški (.mil) strežniki (med drugim tudi strežniki Senata, kopenske vojske in mornarice, marincev, zračnih sil, strežniki obrambnega ministrstva, NASE, trgovinskega ministrstva, ministrstva za okolje, itd.) pa tudi strežniki nekaterih zasebnih podjetij, kot npr. Dell, Yahoo!, Microsoft in IBM.

Na ArsTechnici so sicer razvili...