Titkosítás, biztonság, privát szféra

CVE-2020-0796 - Javította a Microsoft a súlyos SMBv3 sebezhetőséget

( trey | 2020. 03. 12., cs – 20:25 )
Titkosítás, biztonság, privát szféra

Microsoft today finally released an emergency software update to patch the recently disclosed very dangerous vulnerability in SMBv3 protocol that could let attackers launch wormable malware, which can propagate itself from one vulnerable computer to another automatically. [...] The vulnerability, tracked as CVE-2020-0796, in question is a remote code execution flaw that impacts Windows 10 version 1903 and 1909, and Windows Server version 1903 and 1909. [...] To exploit the vulnerability against a server, an unauthenticated attacker could send a specially crafted packet to a targeted SMBv3 server. To exploit the vulnerability against a client, an unauthenticated attacker would need to configure a malicious SMBv3 server and convince a user to connect to it,

[ Microsoft Advisory | PoC exploit | részletes technikai elemzés | KB4551762 ]

Vigyázz a COVID19 térképekkel! - figyelmeztet a Johns Hopkins Center (is)

( trey | 2020. 03. 12., cs – 19:17 )
Titkosítás, biztonság, privát szféra

A cyberbűnözők kihasználják koronavírus iránti felfokozott érdeklődést. Koronavírus térképeknek látszó oldalakon lopnak adatot, terjesztenek jelszólopó malware-t stb. A hivatalos COVID19 térképet készítő Johns Hopkins Center is óvatosságra int ...

A Huawei magyarázza, hogy mi az a backdoor

( trey | 2020. 03. 07., szo – 09:20 )
Titkosítás, biztonság, privát szféra

1 millió tanúsítvány visszavonását elhalasztotta a Let's Encrypt

( trey | 2020. 03. 05., cs – 19:23 )
Titkosítás, biztonság, privát szféra

Azokat a tanúsítványokat, amelyeknek a lecseréléséről nem tudott meggyőződni, az internet egészsége érdekében a Let's Encrpyt mégsem vonja vissza:

More than 1.7 million affected certificates have been replaced in less than 48 hours. We’d like to thank everyone who helped with the effort. Our focus on automation has allowed us, and our subscribers, to make great progress in a short amount of time. We’ve also learned a lot about how we can do even better in the future.

Unfortunately, we believe it’s likely that more than 1 million certificates will not be replaced before the compliance deadline for revocation is upon us at 2020-03-05 03:00 UTC (9pm U.S. ET tonight). Rather than potentially break so many sites and cause concern for their visitors, we have determined that it is in the best interest of the health of the Internet for us to not revoke those certificates by the deadline.

Részletek itt.

Visszavon ma tanúsítványokat a Let's Encrypt - ellenőrizd, hogy érint-e téged

( trey | 2020. 03. 04., sze – 08:37 )
Titkosítás, biztonság, privát szféra

Egy bug miatt kénytelen a Let's Encrypt visszavonni több millió általa kiadott TLS/SSL tanúsítványt. A visszavonás 3 048 289 érvényes tanúsítványt érint. Az érintetteket e-mailben értesítik:

Rövidebb, de komplex jelszavak vagy hosszabb, de könnyen megjegyezhető jelmondatok?

( trey | 2020. 02. 22., szo – 12:52 )
Titkosítás, biztonság, privát szféra

Egyesek a komplex (kis-nagybetűt, számot, speciális karaktereket stb. tartalmazó), de viszonylag rövidebb jelszavak, míg mások - pl. az FBI - a könnyen megjegyezhető, de hosszabb, értelmes szavakból összefűzött jelmondatok mellett érvel:

For more than a decade now, security experts have had discussions about what's the best way of choosing passwords for online accounts. There's one camp that argues for password complexity by adding numbers, uppercase letters, and special characters, and then there's the other camp, arguing for password length by making passwords longer. This week, in its weekly tech advice column known as Tech Tuesday, the FBI Portland office leaned on the side of longer passwords. "Instead of using a short, complex password that is hard to remember, consider using a longer passphrase," the FBI said. "This involves combining multiple words into a long string of at least 15 characters," it added. "The extra length of a passphrase makes it harder to crack while also making it easier for you to remember."

Rövidebb, de komplex jelszavak
34% (154 szavazat)
Hosszabb, de könnyen megjegyezhető jelmondatok
57% (257 szavazat)
Egyéb, leírom
9% (42 szavazat)
Összes szavazat: 453

Publikus előzetes: Microsoft Defender ATP for Linux

( trey | 2020. 02. 21., p – 16:30 )
Titkosítás, biztonság, privát szféra

A Microsoft bejelentette, hogy elérhető a Microsoft Defender ATP for Linux publikus előzetese ...

Today, we’re announcing another step in our journey to offer security from Microsoft with the public preview of Microsoft Defender ATP for Linux. Extending endpoint threat protection to Linux has been a long-time ask from our customers and we’re excited to be able to deliver on that. We know our customers’ environments are complex and heterogenous.

... és nemsokára elérhető lesz Androidra és iOS-re is:

Providing comprehensive protection across multiple platforms through a single solution and streamlined view is more important than ever. Next week at the RSA Conference, we’ll provide a preview of our investments in mobile threat defense with the work we’re doing to bring our solutions to Android and iOS.

A Microsoft bejelentése itt lenne olvasható, de mivel az oldal down, ezért a Google cache segít itt.

BSidesBUD 2020 – nemzetközi kiberbiztonsági konferencia negyedszer Budapesten

( hup | 2020. 02. 12., sze – 13:08 )
Titkosítás, biztonság, privát szféra

Negyedik alkalommal kerül megrendezésre hazánkban a nemzetközileg elismert BSides IT-biztonsági konferencia 2020. március 26-án a budapesti Lurdy Konferencia- és Rendezvényközpontban, ahová 24 előadó érkezik 15 különböző országból, izgalmas témákkal.

A magyar IT-szakemberek mellett érkeznek előadók az USA-ból, Franciaországból, Hollandiából, Ausztráliából, Portugáliából, Norvégiából, de a Közép-Kelet európai régióból, Ausztriából és Lengyelországból is.

"0day vulnerability (backdoor) in firmware for HiSilicon-based DVRs, NVRs and IP cameras"

( trey | 2020. 02. 06., cs – 12:11 )
Titkosítás, biztonság, privát szféra

In 2017 Istvan Toth did a most comprehensive analysis of HiSilicon firmware. He also discovered remote code execution vulnerability in the built-in webserver and many other vulnerabilities. It's worth noting that disclosure was ignored by vendor.

Részletek itt.

Súlyos sudo sebezhetőség (engedélyezett pwfeedback opció mellett)

( trey | 2020. 02. 04., k – 10:30 )
Titkosítás, biztonság, privát szféra

Sudo Bug Lets Non-Privileged Linux and macOS Users Run Commands as Root [...] According to Vennix, the flaw can only be exploited when the "pwfeedback" option is enabled in the sudoers configuration file, [...] To be noted, the pwfeedback feature is not enabled by default in the upstream version of sudo or many other packages. However, some Linux distributions, such as Linux Mint and Elementary OS, do enable it in their default sudoers files. [...] To determine if your sudoers configuration is affected, you can run "sudo -l" command on your Linux or macOS terminal to find whether the "pwfeedback" option is enabled and listed in the "Matching Defaults entries" output.

További részletek itt. Technikai részletek itt.

Feliratkozás a következőre: Titkosítás, biztonság, privát szféra