Schneier.com - Ko zaposleni v Microsoftu odkrijejo ali izvedo za varnostne ranljivosti v Microsoftovi programski opremi, razvijejo varnostne posodobitve, ki jih preko storitve Windows Update pošljejo svojim uporabnikom.

Marsikateri potencialni napadalec se sprašuje, ali bi bilo mogoče iz teh varnostnih posodobitev z reverznim inženiringom samodejno razviti zlonamerno kodo, ki bi omogočila izrabo varnostne ranljivosti?

Vprašanje so si zastavili tudi varnostni strokovnjaki David Brumley, Dawn Song in Jiang Zheng ter odkrili, da to vsekakor je mogoče.

V članku Automatic Patch-Based Exploit Generation is Possible: Techniques and Implications so opisali nekaj tehnik, s katerimi je mogoče iz varnostne posodobitve, posredovane preko Microsoftove storitve Windows Update, samodejno zgenerirati zlonamerno kodo (tim. exploit).

Odkritje kaže na to, da bo napadalec z ustreznim orodjem lahko samo počakal na novo varnostno posodobitev, nekaj sekund nato pa bo že imel zlonamerni program, ki ga bo lahko...

Schneier.com - Združenje USENIX je 15. aprila letos organiziralo prvo delavnico LEET '08 (LEET je akronim za Large-Scale Exploits and Emergent Threats).

Na njej je bilo predstavljenih enajst prispevkov povezanih z informacijsko varnostjo, nagrado za najboljšega pa so prejeli Samuel T. King, Joseph Tucek, Anthony Cozzie, Chris Grier, Weihang Jiang in Yuanyuan Zhou za delo z naslovom Designing and implementing malicious hardware.

Avtorji v članku najprej navajajo nekaj primerov zlonamerne ali okužene strojne opreme, npr. z virusom RavMonE okužene iPode leta 2006, Seagatove trde diske z "prednaloženimi" trojanci, leta 1982 s strani CIE modificirano programsko opremo za nadzor plinovodov, ki je onesposobila Sovjetske naftovode, ter modificirane pisalne stroje, ki jih je Sovjetska KGB podtaknila ameriški ambasadi v Moskvi ter tako lahko prestrezala vse, kar so Američani natipkali.

Ker pa na tem področju še ni bilo opravljenih dosti raziskav (z izjemo raziskave IBM-a, ki je razvil napravo za krajo...