Titkosítás, biztonság, privát szféra

Idén novemberben (11-12) rendezik Japán fővárosában a már hagyományosanak mondható PacSec/core4 (Pacific Security Japan) konferenciát.

A konferencia honlapja már elérhető, és rajta az ``advisories'' szekcióban olvasható egy biztonsági figyelmeztető, amely szerint minden olyan SSHD-t futtattó szerver támadható egy bizonyos port bouncing technikával, amelyen engedélyezve van a AllowTcpForwarding opció (alapértelmezés szerint engedélyezve) és emellett valamilyen publikus hozzáférést is biztosít.A publikus hozzáférés lehet akár egy népszerű AnonCVS hozzáférés, vagy bármilyen más ``publikus'' hozzáférés. A figyelmeztetést kiadók erősen javasolják az AllowTcpForwarding opció tiltását olyan gépeket, amelyek ilyen vagy ehhez hasonló publikus szolgáltatást biztosítnak. Ellenkező esetben a gép könnyen lehet mondjuk spammerek áldozata.

Az érintett SSH verziók:

- az összes újabb OpenSSH-t futtató szerver, amelynek van publikus szolgáltatása

- bármilyen egyéb SSH daemon, amely támogatja a TCP port forwarding-ot

Javítás:

echo "AllowTcpForwarding no" >> /etc/ssh/sshd_config

A figyelmeztető itt.

Lefordítottam egy dokumentumot, mely SSL-tanúsítványok készítésével, kezelésével foglalkozik.

Fránya gépek. Minden jól kezdődött, amikor augusztus elején pár kriptoanalízissel foglalkozó tudós úgy döntött, hogy elmegy valahová nyaralni, mert a gépteremben sosem lesznek elég barnák, a csajok meg nem csípik a falfehér pasikat.

De hogy ne egye hiába az a 256 Itanium 2-es processzorral felszerelt desktop PC a drága áramot, adtak hát neki valami egyszerű feladatot. Nem volt más dolga, mint végigszámolni egy képletet, más-más bemenő adatokkal, egymás után 2251799813685248 alkalommal. Ezen egy kicsit elgondolkozott, majd 13 nap múlva küldött egy SM-et a tengerparton lubickoló egyik gazdájának.

Mivel a szóban forgó PC Unix szerű oprendszert futtatott, az üzenet ez volt:

"$ diff fic1.bin fic2.bin

Binary files fic1.bin and fic2.bin differ

$ openssl sha fic1.bin

SHA(fic1.bin)= c9f160777d4086fe8095fba58b7e20c228a4006b

$ openssl sha fic2.bin

SHA(fic2.bin)= c9f160777d4086fe8095fba58b7e20c228a4006b"

Szerencsére hősünknek olyan mobilja volt, amely képes egyben megjeleníteni a 160 karakternél hosszabb üzeneteket, így észrevette a nagy hírt: ütközést találtak egy kriptográf hash függvényben.A fenti sztori kitaláció, a bejelentés viszont úgy tűnik, hogy nem.

Kicsit kusza még a dolog, így egyelőre csak annyi látszik biztosnak, hogy lassan érdemes lesz elkezdeni felhagyni az MD5 (és talán az SHA) alkalmazásával és átállni valami komolyabbra. Hogy mi lesz az a komolyabb, egyelőre nem világos, mint ahogy az sem, hogy pontosan mit is találtak a kutatók és azt milyen széles körben tudják használni.

A fő szenzáció mindenesetre biztosan nem az, hogy ütközést (azaz két olyan, egymástól eltérő bemenetet, amely a függvényből ugyanolyan kimenetet hoz elő) találtak, hanem az, hogy ezt sokkal gyorsabban meg tudják tenni, mint azt eddig egyesek hitték.

Linkek a további olvasgatáshoz:

http://www.tcs.hut.fi/~mjos/md5/
http://www.mail-archive.com/cryptography@metzdowd.com/msg02554.html
http://www.freedom-to-tinker.com/archives/000664.html

Napokban jelent meg az amavisd-new új 2.1.0 változata bővebben
itt olvashatsz róla.

Az IBM developerWorks oldalain indult egy sorozat a fenti címmel. Jelenleg a bevezetésnél tart. A cikksorozatot három IBM-es szakember jegyzi. Meglátjuk mi lesz belőle. A cikksorozat első része itt.

Azt hittem, hogy az Internet Explorer már nem tud meglepni... Meg tud. A Secunia mai figyelmeztetője szerint négy új, rendkívül kritikus hibát találtak a Microsoft böngészőjében. A hibák között találunk spoofing, system access, security bypass hibákat is.... Az érintett verziók: Microsoft Internet Explorer 5.01, Microsoft Internet Explorer 5.5, Microsoft Internet Explorer 6

A Secunia a hiba orvoslására a következőket javasolja: tiltsuk le az Active Scripting-et, használjunk más terméket....

A Secunia figyelmeztetője itt.

Szolgáltatás-megtagadás típusú támadás. Kedvenc eszköze a script kiddieknek, akiknek tudásuk kevés ahhoz, hogy egy rendszert feltörjenek, de ahhoz elegendő, hogy ismert programokkal olyan támadásokat indítsanak a célszerverek ellen, amelyek ezen támadások következtében felhagynak normális működésükkel, és többnyire teljesen elérhetetlenné válnak.Alattomos fajtája a támadásoknak, és meglehetősen kellemetlen is egyben, mert egyes fajtái ellen meglehetősen nehéz védekezni.

A DoS támadás irányulhat erőforrások ellen. Például a sikeres támadás felemésztheti a szerverek, routerek CPU idejét, memóriáját, a file handler-eket, a hálózati sávszélességet, stb.

De irányulhat egy szolgáltatásban jelen levő programozási hiba ellen is, amelyet kihasználva a szolgáltatás felfüggeszti működését, vagy éppen az egész szerver omlik össze tőle.

De mit lehet ellene tenni? És hogy jön képbe a FreeBSD?

A DoS támadásokat és az ellenük használható ellenlépéseket tárgyalja az O'Reilly Network BSD DevCenter rovatának ezen cikke.

Megjelent az RSBAC 1.2.3-as verziója. Az RSBAC jelentése Rule Set Based Access Control. A név egy gyors, flexibilis, nyílt forrású (GPL) hozzáférés szabályzási keretrendszert (access control framework) takar napjaink Linux kerneleihez.

Az anyag 2000. januárja óta gyakorlatilag stabilan használható. A fejlesztése nem függ egyetlen kormánytól vagy nagy cégtől sem, és nem tartalmaz újrafelhasznált kódokat más hasonló munkákból.AZ RSBAC támogatja a 2.4-es és 2.6-os Linux kerneleket, amelyekhez mint biztonsági kiegészítés használható. Számos jól ismert és új biztonsági modellt alkalmaz (pl. MAC, ACL, RC).

Újdonságok az RSBAC 1.2.3-ban:

New features in RSBAC v1.2.3:

General:

* Port to 2.6 kernel series with many internal changes

* Full log separation between system and RSBAC log

* Improved hiding of unaccessible processes

AUTH:

* Learning mode, global and per-process

RC:

* System boot role, now separate from root's role

* Extra process type for kernel threads for explicit access control

* Types for user objects

DAZ:

* New 100% compatible Dazuko (www.dazuko.org) module

* On-access scanning through user space antivirus daemons

* In-kernel scanning result cache, speeding it all up significantly

ACL:

* Global learning mode

PAX:

* New PaX support module

JAIL:

* Several security related and other bugfixes (it is strongly

recommended to update)

* Linux capability restrictions for jailed processes

MAC:

* Trusted-for-user list instead of single value

Amon Ott bejelentése itt. A projekt honlapja itt.

Vállalati szerverek terjesztik az új IE férget

Biztonsági szakértők arra figyelmeztették tegnap a Webet böngészőket, hogy széles körű támadás ért több vállalati web oldalt, és ennek nyomán azok, mint potenciális fertőző pontok működnek tovább.

A szakértők szerint egy online szerveződött csoport áll a támadások mögött. A csoport betört több web szerverre, és ott olyan kódot helyezett el, amely kihasználja az Internet Explorer két olyan hibáját, amelyet a Microsoft még nem javított. A hibát kihasználva a web oldal egy olyan programot telepíthet az áldozat gépére, amely segítségével át lehet venni az irányítást a gép felett.

A Symantec szakembere azt mondta, hogy egyelőre nincs járvány, de a dolog komolynak mondható.

Mivel a hibát a Microsoft még nem javította, mindenkit érint, aki Internet Explorer használ. A fertőzött web oldalak között nem csak kis cégek szerepelnek, hanem nagyobb vállalati portálok is, például bankok.

Mikor az áldozat a fertőzött web oldalt böngészi, az átirányítja egy másik oldalra, amely gyakran Oroszországban van. A szerver kihasználva az IE hibáját egy trójai programot telepít a gépre, amely logolja a felhasználó billentyű leütéseit, és egy hátsó ajtót nyit a gépen.

A ZDNet cikke azt javasolja, hogy mindenki használjon valamilyen más böngészőt, például Mozillát, vagy Operát...

A sokak által használt Grsecurity patch fejlesztése a mai naptól kezdve befejeződött.