Titkosítás, biztonság, privát szféra

75% of Web pages loaded by @firefox use HTTPS! This is a huge milestone for the Web and we are happy to have contributed to it. pic.twitter.com/oAAATnRBJM

— Let's Encrypt (@letsencrypt) September 13, 2018

... a Firefox telemetriai adatai szerint.

Example of an app sending out web browser history inside a password-protected ZIP to a Trend Micro domain. Screenshot from https://t.co/dHivRCy5qH by @privacyis1st pic.twitter.com/to1XdkllnX

— Mikko Hypponen (@mikko) September 10, 2018

A Mac App Store-ból kipaterolt Trend Micro alkalmazások állítólag 2017 óta lopták az adatokat. Úgy fest, hogy az Apple a múltkori balhé hatására tisztogatásba kezdett.

Advisory: Tor Browser 7.x has a serious vuln/bugdoor leading to full bypass of Tor / NoScript 'Safest' security level (supposed to block all JS).
PoC: Set the Content-Type of your html/js page to "text/html;/json" and enjoy full JS pwnage. Newly released Tor 8.x is Not affected.

— Zerodium (@Zerodium) September 10, 2018

Érdemes mielőbb frissíteni a nemrég kiadott 8.x verzióra.

Demó:

Dozens of iPhone Apps ‘Constantly’ Sending Location Data to Data Monetization Firms https://t.co/hf3QQFc3bD by @julipuli pic.twitter.com/jcC4ZFSwSg

— MacRumors.com (@MacRumors) September 7, 2018

A GuardianApp csapat felfedezte, hogy egyre nő az olyan iOS alkalmazások száma, amelyek burkoltan begyűjtik a felhasználó pontos földrajzi helyzetének adatait, majd azokat adatokat pénzzé tevő cégeknek továbbítják. Számos esetben az adatgyűjtés folyamatosan zajlik, az app folyamatosan küldi a felhasználó pontos GPS koordinátáit és egyéb adatait.

Az alkalmazások általában elfogadható indoklást (kell a működésükhöz) adnak arra, hogy miért kérnek engedélyt a GPS adatokhoz, de arról már kevésbé vagy nem tájékoztatnak, hogy az adatokat harmadik félhez továbbítják.

A GuardianApp csapat jelentése, amiben tippeket is adnak arra, hogy hogyan lehet óvintézkedéseket tenni az ilyen adatszivárogtatással szemben itt olvasható. A jelentésben 24 alkalmazást példaként is bemutatnak.

Tegnap reggel még csak r/w kernel exploit volt, délutánra megérkezett a teljes exploit lánc is qwertyoruiop jóvoltából.

iOS 12 beta 12 pwned. (Kernel Memory R/W) with @jndok and @f_roncari - WE DID IT pic.twitter.com/dDj9IuKZn4

— Simone Ferrini (@Simone_Ferrini) September 7, 2018

Tails 3.9 is out: https://t.co/WQdwr7cVHt, you can now add additional software to your Tails, use VeraCrypt volumes, enjoy Firefox Quantum, and more. pic.twitter.com/0XQaC0K7Ds

— Tails (@Tails_live) September 5, 2018

Kiadták a Tails 3.9-es verzióját. A Tails az utóbbi időben került reflektorfénybe azzal, hogy kiderült, Snowden és csapata, Bruce Schneier is felhasználója, valamint, hogy az NSA-nál könnyen megfigyelésre jelölt lehet az, aki utána érdeklődik.

Részletek a bejelentésben.

KeePass 1.36 has been released.

This is a stable release. It is recommended to upgrade from any previous 1.x version to 1.36. KeePass 1.36 is 100% backward compatible with previous versions.

You can get it here: https://t.co/VX2u9PXlzo

— KeePass (@KeePass) September 4, 2018

Megjelent a KeePass nevű, nyílt forrású, egyszerűen használható jelszószéf (password manager) 1.36-os kiadása. A változásokról itt lehet olvasni. Letölthető innen.

Mint ahogy arról tegnap beszámoltunk, @SandboxEscaper felfedezte, hogy a Microsoft Windows feladatütemező olyan helyi privilégiumszint-emelés (Local Privilege Escalation - LPE) sebezhetőséget tartalmaz az Advanced Local Procedure Call (ALPC) interfészben, amely lehetővé teszi a helyi támadó számára, hogy a legmagasabb, SYSTEM privilégiumokhoz jusson. A sebezhetőségre 0day PoC exploitot publikált. A Microsoft nem reagált érdemben a problémára, válaszát többen is tűkön ülve várják.

Hivatalos reakció nincs, viszont az 0patch alig 24 órával az exploit publikálása után jelezte, hogy mikropatch jelöltet adott ki a hibára:

Okay people, 24 hours after the 0day was published we have a micropatch candidate for @SandboxEscaper's LPE in Task Scheduler. As you can see, scheduler's access to user-controlled hardlink is impersonating the user and gets ACCESS DENIED. pic.twitter.com/3kHcXdY42H

— 0patch (@0patch) August 28, 2018

Az 0patch megoldásának működése: