Titkosítás, biztonság

Internetes bankomba ... lépek be.

 ( trey | 2018. május 23., szerda - 12:16 )
csak jelszóval
23% (113 szavazat)
jelszó + SMS kombóval
30% (144 szavazat)
jelszó + fizikai biztonsági eszköz (token, kártya stb.)
14% (66 szavazat)
jelszó + biometrikus azonosítás (pl. ujjlenyomat-olvasás)
8% (37 szavazat)
QR kód beolvasás + biometrikus azonosítás (pl. ujjlenyomat-olvasás)
13% (65 szavazat)
Egyéb, leírom.
6% (27 szavazat)
Nincs, csak az eredmény érdekel / nem érdekel.
7% (33 szavazat)
Összes szavazat: 485

A sikeres HTTPS kampány után a Google eltávolítja a Chrome URL sávjából a "Secure" címkét

 ( trey | 2018. május 18., péntek - 9:27 )

Részletek itt.

Gond van az e-mail titkositasokkal

 ( gee | 2018. május 15., kedd - 12:05 )

Sebastian Schinzel német biztonsági szakértő közzétett egy hírt vasárnap. Azt állítja, hogy a PGP, GPG, S/Mime titkosítást végző MUA kiegészítésekben olyan hibát talált, amivel a titkosított üzenetek tartalmához hozzá lehet férni.

A Google hamarosan előírja az Android OEM-eknek a rendszeres biztonsági frissítések szállítását

 ( trey | 2018. május 12., szombat - 8:45 )

[...] starting with Android P, Google will force manufacturers to roll out regular security updates for their smartphones. [...] While highlighting the upcoming security changes in Android P at Google I/O Developer Conference, head of Android platform security David Kleidermacher revealed that the company had modified its OEM agreements to include provisions for regular security patches for all devices.

"Mit gondolnak a hazai facebookozók a botrányok után?"

 ( trey | 2018. május 8., kedd - 7:15 )

"A magyarországi Facebook felhasználók szerint sokkal nagyobb probléma az álhírek terjedése vagy az álprofilok jelenléte, mint az adatvédelem. A hazai felhasználók ötödével fordult már elő, hogy tudta nélkül osztott meg egy álhírt, és később szembesült vele. [...] Mindössze 1-2 százalék akarja törölni adatlapját vagy tette ezt meg a Facebookon a hazai felhasználók közül, pedig a közösség 64 százalék már hallott addigra a Cambridge Analytica botrány híréről."

Részletek itt.

Twitter, a hashing vajon miiii?

 ( trey | 2018. május 4., péntek - 12:26 )

Célszerű jelszót váltani. Részletek itt.

GLitch - sikeres, távoli Rowhammer támadás Android telefonokon

 ( trey | 2018. május 4., péntek - 12:02 )

A Rowhammer problémáról már volt korábban szó itt a HUP-on. Most egy csapat ezt az elméletet ültette át a gyakorlatba és ARM-os Android készülékeken hajtott végre sikeres, távoli Rowhammer exploitálást. Eret vágni azért nem kell, mert a sikeres támadáshoz számos (vagy inkább számtalan) dolog együttállása szükséges.

Részletek itt.

Aktívan kihasználják a Drupal SA-CORE-2018-004 sebezhetőséget

 ( trey | 2018. április 26., csütörtök - 10:12 )

A Drupal core részét érintő SA-CORE-2018-004 sebezhetőség aktív kihasználására hívja fel a Drupal Security a figyelmet. Aki még nem patchelt, annak tanácsos mielőbb elvégeznie a foltozást.

Patchek:

Zuckerberg fiatalkori hozzáállása, megbánása a Facebook-botrányok megvilágításában

 ( trey | 2018. április 9., hétfő - 15:18 )

A Facebook alapítójának korábbi megnyilatkozásairól, megbánásáról érdemes olvasni egykori cikkeket itt és itt.

A Windows 7 / Windows Server 2008 Meldown patch nagyobb problémát csinált, mint hasznot

 ( trey | 2018. március 28., szerda - 12:33 )

A Meltdown sebezhetőség arról szólt, hogy privilégium nélküli alkalmazások képesek lehettek olvasni a kernel memóriát nem túl tempós, másodpercenkénti megabájt sebességgel. Jött a Microsoft és megjavította. Az eredmény: kijavították a problémát, ami helyett most már bármely processz képes a teljes memóriatartalmat olvasni másodpercenkénti gigabájt sebességgel és ha ez nem elég, feltehetően írni is ...

Részletek itt.

A Facebook tagadja, hogy engedély nélkül gyűjtött volna hívás és üzenet adatokat mobiltelefonokról

 ( trey | 2018. március 26., hétfő - 9:20 )

Az Ars Technica indította el a lavinát egyik cikkével, amelyben azt állította, hogy a Facebook évekig gyűjtötte titokban a felhasználói hívás- és üzenet-történet adatait azok mobiltelefonjairól. A Facebook egy közleményt adott ki, amelyben tagadja ezt. A közleményben a cég állítja, hogy a hívás- és szöveges üzenet-történet logolása opt-in feature, azaz, alapból nincs bekapcsolva, azt a felhasználónak explicit engedélyeznie kell ahhoz, hogy bekapcsolva legyen. A feature egy kényelmi funkció, amely lehetővé teszi a felhasználó számára az ismerősei egyszerűbb megtalálását és az azokkal való kapcsolattartást, valamint a jobb felhasználói élményt a Facebook nyújtotta szolgáltatásokban. Az Ars Technica frissítette cikkét a Facebook közlemény után, fenntartva, hogy a Facebook közleményében olvashatók ellentmondásban vannak az ő (Ars) megállapításaikkal és egyes, az ügyben érintett felhasználók által tapasztaltakkal.

Részletek a Facebook közleményében. További részletek itt.

Bemutatkozik a syzkaller dashboard weboldal

 ( trey | 2018. március 22., csütörtök - 9:04 )

Ahogy arról korábban szó volt:

Dmitry Vyukov nemrég jelezte a Linux Kernel Mailing List (LKML) levelezőlistán, hogy ~ két hónapja "munkába állt" a syzbot nevű automata rendszer, amely folyamatosan ellenőrzi a Linux kernel forrásfákat a Google-féle, syzkaller nevű kernel fuzzer eszközzel, majd a talált hibákat automatikusan bejelenti.

Ehhez szorosan kapcsolódik a fenti Twitter bejelentés, miszerint elindult a syzkaller dashboard weboldal, ahol nyomon lehet követni a felfedett hibák életútját.

"Bizalmi alapon adta ki a személyes adatokat a Facebook"

 ( trey | 2018. március 21., szerda - 9:01 )

Idézet:
A Facebook eddigi legnagyobb információbiztonsági botrányát éli meg a napokban, de Mark Zuckerberg még nem szólalt meg az ügy kapcsán.

Folyamatos a reagálás és a találgatás, hogy a 2016-os amerikai választás kapcsán Donald Trump kampánystábja hogyan férhetett hozzá 50 millió Facebook felhasználó adataihoz, hogy aztán azokat befolyásolásra használja. Az ügy kapcsán megszólalt például a korábbi hirdetésekért felelős igazgató, Andrew “Boz” Bosworth, aki cáfolja, hogy a személyes adatok közvetlen értékesítése a vállalat üzleti modelljének része lenne. Eközben felmerült a jelenlegi információbiztonsági igazgató, Alex Stamos felmondásának híre is. Mark Zuckerberg vezérigazgató viszont mélyen hallgat, valószínűleg az igazgatóság a válságkommunikáción dolgozik, miközben a cég részvényárfolyama egyre csak zuhan.

A teljes cikk itt.

RottenSys - Előtelepített botnet malware-t találtak 5 millió androidos eszközön

 ( trey | 2018. március 16., péntek - 13:07 )

Valahol a (be)szállítói láncban kerülhetett fel a rosszindulatú alkalmazás a készülékekre. A Xiaomi, Huawei, Honor, Samsung, OPPO, Vivo stb. az érintett gyártók közt. Részletek itt és itt.

#AMDFlaws - technikai összefoglaló egy független konzulenstől

 ( trey | 2018. március 16., péntek - 9:39 )

A Trail of Bits biztonsági cég független konzulens minőségben látta a CTS Labs #AMDFlaws néven elhíresült AMD processzor hibákról írt dokumentációját. A cég összefoglalója elolvasható itt.

Pwn2Own 2018 - első és második nap összefoglaló

 ( trey | 2018. március 16., péntek - 9:01 )

Március 14-16. közt zajlik Vancouverben a Zero Day Initiative szokásos, éves hackfesztje, a Pwn2Own. Az első napon 162 000 amerikai dollárnyi jutalmat osztottak szét a sikeres jelentkezők közt:

1. nap

Megérkezett a wildcard és ACMEv2 támogatás a Let's Encrypt-nél

 ( trey | 2018. március 14., szerda - 8:57 )

Részletek a bejelentésben.

Már vásárolt amerikai hatóság a GrayKey nevű, olcsó iPhone unlock eszközből

 ( trey | 2018. március 10., szombat - 10:37 )

A GrayShift nevű cég mögött állítólag egy ex-Apple biztonsági szakember áll. A cég azt állítja, hogy GrayKey nevű eszközével a hatóságok hozzáférhetnek az iPhone készülékeken tárolt adatokhoz. A GrayKey offline, korlátlan feloldást lehetővé tevő verziója 30 ezer dollárba, míg az online, 300 feloldást lehetővé tevő verziója 15 ezer dollárba kerül, ami rendkívül olcsónak mondható. A hírek szerint az Indiana állam rendőrsége már vásárolt is az eszközből...

Részletek itt.

SMBv3 Null Pointer Dereference vulnerability (CVE-2018-0833)

 ( trey | 2018. március 2., péntek - 17:15 )

Részletek itt.

Semmilyen okostelefon nem ad biztos védelmet a hatóságokkal szemben

 ( trey | 2018. február 27., kedd - 9:42 )

Az izraeli Cellebrite nevű cég azt állítja, hogy unlockolni tudja az iPhone és az Android készülékeket, beleértve a legújabbakat - pl. az iOS 11-et futtató iPhone X vagy a - is. Részletek itt.

Ismerd meg az ellenség fegyvertárát - új RDP brute force törő és szkennelő 250 dollárért

 ( trey | 2018. február 26., hétfő - 14:07 )

Windows Defender ATP támogatást jelentett be a Microsoft a Windows 7 és Windows 8.1 rendszerekhez

 ( trey | 2018. február 13., kedd - 10:44 )

Meanwhile, we know that while in their transition, some may have a mix of Windows 10 and Windows 7 devices in their environments. We want to help our customers achieve the best security possible on their way to Windows 10 ahead of the end of support for Windows 7 in January 2020.

That’s why today, we are pleased to announce that we are adding Windows Defender ATP down-level support for Windows 7 SP1 and Windows 8.1.

Starting this summer, customers moving to Windows 10 can add Windows Defender ATP Endpoint Detection & Response (EDR) functionality to their Windows 7, and Windows 8.1 devices, and get a holistic view across their endpoints.

A bejelentés itt olvasható.

A Google Chrome 68 az összes HTTP oldalt "nem biztonságos" címkével látja majd el

 ( trey | 2018. február 9., péntek - 9:19 )

Linux Kernel Runtime Guard - betölthető Linux kernelmodul kernel exploitok detektálására

 ( trey | 2018. február 5., hétfő - 10:40 )

Az OpenWall projekt egy új kernelvédelmi mechanizmussal állt elő:

Linux Kernel Runtime Guard (LKRG) is a loadable kernel module that performs runtime integrity checking of the Linux kernel and detection of security vulnerability exploits against the kernel. As controversial as this concept is, LKRG attempts to post-detect and hopefully promptly respond to unauthorized modifications to the running Linux kernel (integrity checking) or to credentials (such as user IDs) of the running processes (exploit detection). For process credentials, LKRG attempts to detect the exploit and take action before the kernel would grant the process access (such as open a file) based on the unauthorized credentials.

Részletek a Linux Kernel Runtime Guard wikioldalán.

Ha kiderül egy szoftverről hogy adatokat szivárogtat (pl. Kaspersky)

 ( csontika | 2018. január 30., kedd - 13:50 )
Lecserélem azonnal
69% (234 szavazat)
Megvárom míg a licence lejár (akár egy év)
4% (13 szavazat)
Nem cserélem le (mert sok munka, nincs rá keret)
3% (9 szavazat)
Lecserélem majd május 25. után (GDPR)
1% (2 szavazat)
Nem foglalkozok vele, vigyék az adatokat!
10% (34 szavazat)
Egyéb, leírom.
13% (45 szavazat)
Összes szavazat: 337