V tomto týdnu se kalendář sešel s druhým úterkem v měsíci, kdy Microsoft vždy vydává své bezpečnostní záplaty. Dojde i na bezpečnost aplikací pro chytré telefony, státem podporovanou kybernetickou špionáž a šifrování v sítích GPRS. Následuje pravidelný čtvrteční bezpečnostní přehled.
Již s předstihem bylo oznámeno, že kritické chyby budou opraveny v Internet Exploreru a serverových verzích Windows. Microsoft tentokrát vydal 13 aktualizací (bulletinů zabezpečení), které látají 22 zranitelností.
Zdroj: The Register
Zranitelnosti v Internet Exploreru mohou umožnit vzdálené spuštění kódu pouze při návštěvě podvodného webu (útok typu drive-by download). Týkají se všech verzí prohlížeče včetně nejnovějšího MSIE 9. Ačkoliv útoky proti těmto chybám dosud neprobíhají, Microsoft uvádí, že exploity se rozšíří pravděpodobně už v příštích 30 dnech. (Poznámka: Microsoft dělí zranitelnosti podle jejich závažnosti, ale kromě toho přidává i tzv. exploitability index, který se pokouší odhadnout, do kdy se rozšíří pokusy těchto zranitelností zneužívat.)
Rovněž tak chyba v serverových verzích Windows jde napříč operačními systémy, od Windows Server 2003 po Windows Server 2008 R2. Týká se služby Microsoft DNS. Zranitelnost v tomto případě souvisí s možností spustit falešný DNS server, Microsoft ovšem nepředpokládá výskyt funkčního exploitu v příštím měsíci. Nicméně riziko zde existuje, protože firmy s infrastrukturou založenou na Windows mají většinou službu Microsoft DNS povolenou.
Další opravené chyby se vztahují k MS Office, Visual Studio a MS .Net.
Zdroj: Help Net Security
Společnost McAfee zveřejnila analýzu další obrovské akce kybernetické špionáže. Cílem zlodějů dat byly velké firmy i vlády řady států. Studie s názvem Operation Shady RAT se v názvu odkazuje i k nástrojům pro vzdálený přístup (remote access tools).
Za posledních 5 let bylo terčem těchto útoků minimálně 70 subjektů, po celém světě a ve všech oborech podnikání. Nešlo o nějaké jednorázové zneužívání softwarových zranitelností, ale o systematické útoky typu APT (Advanced Persistent Threats). Akce tohoto rozsahu je zřejmě dílem jediné skupiny a pravděpodobně se uskutečnila s podporou některé z vlád nebo jiných organizací disponujících potřebným zdroji.
Oproti komentářům, které viní z akce Čínu, vydala McAfee k dokumentu i speciální FAQ, kde se výslovně uvádí, že firma nechce nikoho jmenovat. Ostatně ani postižené společnosti nejsou přímo jmenovány, i když v některých případech by se z charakteristiky (ve stylu „vietnamská státem vlastněná firma podnikající v oblasti XY“) možná daly se slušnou spolehlivostí dohledat. Pro zájemce přikládáme odkaz na Kompletní text studie Operation Shady RAT.
Studie bezpečnostní firmy ViaForensics se soustředila na porovnání bezpečnosti iPhonu a zařízení se systémem Android. Tentokrát ale nešlo o samotné operační systémy, ale o aplikace. Obecně výsledky nedávají příliš důvodů k optimismu, protože aplikace ukládají často více dat, než skutečně potřebují, navíc řada údajů včetně přihlašovacích jmen (76 %) a hesel (10 %) bývá uložena v nešifrované podobě. Přitom aplikace, které z hlediska šifrování vyhověly, neměly ani problém s výkonem, čili tato námitka proti implementaci šifrování padá. Obecně byly lépe zabezpečené finanční aplikace, ale i v těch byla objevena řada problémů (nevyhověly Mint pro iPhone a Android, Square pro iPhone a Wikinves pro iPhone). Jinak selhal např. Groupon pro Android. Celkově aplikace pro iPhone obstály o něco lépe než ty pro Android, aniž by tyto výsledky ovšem šlo příliš zevšeobecňovat. Jisté důvody k obavám mají podle ViaForensics uživatelé obou platforem. Většina možných zneužití je v těchto případech (naštěstí?) spojena s tím, že se útočník dostane fyzicky k příslušnému zařízení.
Zdroj: CNet
Byl ukázán způsob, jak narušit automatizované sítě v domácnostech i kancelářských budovách pomocí zařízení připojeného pouze do elektrické zásuvky (i vně samotné sítě). Předpokladem pro úspěch je, aby vnitřní automatizovaná síť využívala veřejné elektrorozvodné sítě a protokol X10; nejedná se tedy o útok proti samotné infrastruktuře IT, ale proti systémům pro ovládání elektrických zařízení.
Připojený box (X10 Black Out) je naprogramován tak, aby interferoval s řídicími signály. Výsledně je možné například narušovat systémy, které mají zapínat/vypínat bezpečnostní kamery, klimatizaci, topení, osvětlení, alarm…, vyvolat chaos a vyřadit síť z provozu. Navíc byl demonstrován i nástroj (X10 Sniffer), který umožňuje komunikaci odposlouchávat a zjistit, jaká zařízení jsou připojena k síti a v jakém jsou zrovna stavu (zapnuto/vypnuto). Pokud má obyvatel domu na sobě čidlo pro automatickou reakci systémů na jeho pohyb, lze pak sledovat i pohyb člověka.
Jádro problému má údajně spočívat v tom, že protokol X10 nepoužívá šifrování.
Zdroj: CNet
{seealso}
Karsten Nohl, výzkumník z berlínských Security Research Labs, tvrdí, že se mu podařilo prolomit šifrování sítí GPRS. Některé GPRS sítě (Telecom Italia) podle něj nepoužívají šifrování vůbec, řada dalších (Vodafone, O2 a T-Mobile v Německu, tedy lze nejspíš vztáhnout i na ČR) ho má špatně implementováno. Nohl tvrdí, že nedostatečné ověřování v sítích umožňuje podvodníkům sbírat data třeba tak, že zkonstruují falešné základnové stanice. Nasazené šifrovací klíče bývají zbytečně krátké a umožňují útoky hrubou silou, a to pomocí nijak finančně náročného hardwaru. Přitom k dispozici je již 128bitové šifrovací schéma, ale podle Nohlových informací ho dosud žádný operátor nenasadil. Nohl již v minulosti prolomil např. šifrovací schéma Kasumi pro ochranu sítí 3G.
Zdroj: The Register
Na závěr také připomeňme, že také probíhala konference DefCon, z níž jsme i zde přinesli několik zpráviček:
Cílem kybernetického útoku se může stát i lidské tělo