Titkosítás, biztonság, privát szféra

Az O'Reilly Network Security DevCenter oldaltól Michael W. Lucas interjút készített a FreeBSD security team tag Colin Percivallal. Colin volt az, aki május közepén előállt egy olyan felfedezéssel, miszerint az Intel processzorokban alkalmazott Hyper-Threading technológia használata biztonsági szempontból veszélyes lehet.

A hosszú ideig halogatott bejelentés nem nagyon rázta meg a fejlesztőket és a gyártókat. Néhány közülük (FreeBSD, SCO) azonnal reagált a hibára, néhányak csak jóval később, és voltak olyan fejlesztők, akik szerint az egész egy ügyes és érdekes megállapítás, de a való világban reális veszélyt nem jelent.

Most akkor mi az igazság? Erre próbál meg választ találni a 5 oldalas interjú. Az interjúban szóba kerül a sebezhetőség, amelyet a felfedezője laikusok számára is érthető módon próbál meg elmagyarázni. A riporter próbál az ördög ügyvédje lenni és megkérdezi:

- Colin azt állította a bejelentéskor, hogy pár napon belül lehet exploitot írni a hibára. Vajon Colin látott már ilyet?

- Néhányan azt állították, hogy Colin hadjáratot indított az Intel ellen, míg mások a tőzsde magáncélú gyarapodás miatti manipulálására gyanakodtak. Szerinte?

- A gyártók hogyan reagáltak a bejelentésre? Komolyan vették, vagy?

- stb.

Az interjú itt.

A CaCert Meeting One után ma kerül megrendezésre Budapesten a MeetingTwo összejövetel.

Pár nappal ezelőtt a Microsoft kiadott egy hírt, miszerint egy független céggel elkészíttetett egy felmérést, ami azt igazolja, hogy a Microsoft Windows jobb a biztonság terén, mint a Linux.A felmérés 90 cég bevonásával történt, és azt igazolja, hogy a Microsoft modern biztonsági eszközeivel jobb TCO-t és kisebb biztonsági rizikót lehet elérni.

A biztonsági frissítések elvégzése a zárt és nyílt forrású operációs rendszereknél egyaránt jelentős szerepet játszik a TCO-ban. Hogy pontos képet kaphasson a Microsoft a patch management - ráfordítás - TCO témakörben, megbízta a független Wipro Technologies Ltd.-t, hogy készítsen egy tanulmányt arról, hogy milyen költségei vannak a szerverek, desktopok, adatbázis szerverek frissítésének Microsoft és nyílt forrású környezetben...

A Microsoft sajtóhíre itt.

Decemberben volt szó arról, hogy a NetCraft egy olyan toolbar-t ad a böngészők kezébe, amelynek segítségével azok képesek felismerni, ha az általuk látogatott oldal egy ún. Phishing (adathalász) oldal. Akkor csak IE-re volt elérhető az eszköztár, de mostantól akár Firefoxon is használhatja bárki.A toolbar több infót is ad az éppen meglátogatott oldalról:

- Risk rating: egy grafikus skála, amely azt jelzi, hogy mekkora az esély arra, hogy az aktuális oldal Phising oldal

- Since: azt jelzi, hogy mióta él az oldal

- Rank: az oldal helyezése egy adott rangsorban

- Site report: részletes infók a domain regisztrálással kapcsolatban

- Flag: annak az országnak a zászlaja, amelyik TLD alatt az oldal található

- Subnet: Az oldal subnetjenek az infói

A toolbar segítségével lehetőség van arra, hogy értesítést küldjünk a NetCraftnak, ha úgy érezzük, hogy egy oldal adathalászatot végez.

A toolbar innen telepíthető.

A UK National Infrastructure Security Co-ordination Centre (UK NISCC) arra figyelmeztet, hogy olyan hibákat tartalmaz az IPsec protokoll, amelyeket bizonyos konfigurációk mellett kis erőfeszítéssel ki lehet használni.Azok az IPsec konfigurációk sebezhetők, amelyek az Encapsulating Security Payload-ot (ESP) tunnel módban egy bizonyos módon használják. Bizonyos esetekben az Authentication Header (AH), mint integritás védelem használata is sebezhető.

A UK NISCC szerint a sebezhetőség mértéke a súlyos kategóriába esik. A támadó a fent említett esetekben képes arra, hogy az IPsec-kel védett kommunikáció plain-text verziójához hozzájusson.

Az advisory itt.

Bruce Schneier neves crypto szakértő bolgjában bukkant fel egy írás, amely elgondolkodtató...

Az SSH, vagy hosszabb nevén Secure Shell, egy standard protokoll, amelynek segítségével távolról tudjuk adminisztrálni UNIX (és más) rendszereinket. Számos helyen használjuk, például egyetemeken, laborokban, cégeknél... Az SSH-nak köszönhetően a rendszeradminisztrátorok akár sok száz gépet is kényelmesen felügyelhetnek a saját kényelmes irodájukból.

Mikor a felhasználó SSH kliense első alkalommal lép kapcsolatba egy SSH szerverrel, eltárolja annak hostnevét és publikus kulcsát egy known_hosts adatbázisba. Ez a név/kulcs adatbázis lehetővé teszi a kliensnek, hogy a jövőben könnyen azonosíthassa a szervert.

Egyesek szerint ez az adatbázis mindamellett, hogy segít, rizikót is hordoz magában.Ha a felhasználó fiókját feltörik, akkor ezt az adatbázist a támadó további támadásokhoz használhatja céllistaként.

A MIT berkeiből bukkant fel most egy dolgozat, amely azt vizsgálja, hogy mekkora a valószínűsége annak, hogy ilyen módon működő és terjedő worm bukkanjon fel a jövőben az Interneten.

A dolgozat nem csak a rizikót elemzi, hanem példát is említ az ellenintézkedésekre. Azt javasolja, hogy az adatbázisban a jövőben ne a hostneveket, hanem azok hash-eit tároljuk. Ez a megoldás hasonlítana a password-ök tárolására, ahol szintén nem a jelszavakat magukat, hanem a hash-eket tároljuk, és így a biztonság nem csak az adatbázis biztonságán múlik.

A dolgozat szerzői együttműködnek a nyílt forrású közösséggel amelynek eredményeképpen az OpenSSH 4.0 már támogatja a known_hosts adatbázis hash-elését, az OpenSSH 3.9-hez pedig patch formájában lehet ezt a funkciót elérni.

Bruce cikke itt.

Az IBM DeveloperWorks oldalain folytatódik a Securing Linux c. sorozat. A cikksorozat harmadik része a Hardening the system címet kapta. Elolvasható itt. Az előző két rész itt és itt.

A gigabites hálózati csatolóiról ismert Broadcom egy olyan PCI-X alapú biztonsági társ-processzorral állt elő, amely 250%-kal jobban teljesít, mint a korábbi CryptoNetX chipek, és emellett visszafele kompatibilis a szoftverekkel. A BCM5825-ös anyaghoz természetesen van Linux driver.A driver mellé támogatás is jár, a célpontok: közép- és csúcskategóriájú VPN eszközök, tűzfalak, SSL-alapú berendezések.

A Broadcom szerint a BCM5825-ös chip 1 Gbps IPsec vagy AES adatforgalmat bír feldolgozni, 12.000 RSA tranzakciót vagy 9.000 IKE (Internet Key Exchange) műveletet képes másodpercenként elvégezni.

A cég a stuff mellé szoftver tervező kitet ad, amely támogatja a Linuxot, VxWorks-t, BSD-ket.

Bővebben itt.

Talán itthon is érdemes lenne elgondolkodni egy ilyen akción...

Egy ausztrál cég - a Cybersource - azon dolgozik, hogy bankokat próbál meggyőzni arról, hogy ügyfeleinek adjanak live (CD-ről futó) Linux disztribúciót.A cég két bankkal is tárgyal arról, hogy azok adjanak ügyfeleiknek KNOPPIX alapú CD-t, hogy az ügyfelek biztonságosan használhassák a netbanking szolgáltatásokat. Ki is fejlesztettek egy CD-t, amely megfelelne a banki tranzakciók elvégzésére. A CD a Coastguard névre hallgat, automatikus hardver-felismeréssel rendelkezik és teljes egészében CD-ről fut. A bootolás után a bank ügyfelei egy böngészőt kapnak, amely nem más, mint a Mozilla alapítvány Firefox szoftvere. A böngészővel az ügyfelek biztonságosan el tudják végezni a banki tranzakcióikat akár egy idegen gépről is.

A fejlesztő cég a CD kialakításakor még arra is figyelt, hogy a Windows felhasználóknak se legyen túl szokatlan a környezet, ezért IceWM ablakozó rendszert telepítettek a korongra. Az IceWM szerintük meglehetősen hasonló a Windows felülethez.

A cikk itt.

A napokban látott napvilágot egy érdekes (bár nem tudni mennyire hasznos, vagy pontos) tanulmány, amely ``Remote physical device fingerprinting'' címmel bír. A cikk elsődleges szerzője Yoshi Kohno aki egy PhD tanuló a UCSD Computer Science and Engineering tanintézményben. Bemutatása nagyobb nyilvánosság előtt az IEEE Symposium Security and Privacy szakaszában lesz 2005. május 8-11 között.A dokumentum lényege, hogy egy olyan technikát fejlesztettek ki a szakemberek, amellyel távolról lehet ujjlenyomatot készíteni fizikai eszközökről úgy, hogy azok nem szereznek tudomást a műveletről és nem működnek együtt. Ez úgy vált lehetővé, hogy kihasználnak a hardverben egy apró mikroszkópikus szórást, amelyet clock skew-nek hívnak.

Mire használható fel a technika? A közreműködők szerint számos privát szférát sértő adatot lehet kinyerni segítségével, pl. meg lehet számolni a NAT mögött levő gépek számát, stb. (erre persze már korábban is voltak technikák, mint például az OS fingerprinting...)

A technikát sikerrel tesztelték olyan gépeken amelyek Red Hat 9.0, Debian 3.0, FreeBSD 5.2.1, OpenBSD 3.5, OS X 10.3.5 Panther, Windows XP SP2, és Windows for Pocket PC 2002 operációs rendszereket futtattak.

A tanulmány elérhető az Interneten. Letölthető PDF-ben innen.