Titkosítás, biztonság, privát szféra

Nagyobb kiadással jelentkezett a HTTPSEverywhere

A HTTPSEverywhere egy Firefox, Chrome, Opera böngészőkiterjesztés, amely kikényszeríti a HTTPS-t támogató weboldalak felé a titkosított kommunikációt. A kiterjesztés új, nagyobb verzióval állt elő, amiben egységesítették Firefox/Chromium kinézetet és kezelési élményt, valamit szinkronba hozták a verziószámozást.

Az Apple elutasítja az AML telefonjaiba integrálását, pedig az bizonyítottan életmentő lehet

Apple és az AML

Az Advanced Mobile Location (AML) egy olyan technológia, ami vészhívás kezdeményezése esetén biztosítja, hogy a vészhívást indító pontos földrajzi helyzete meghatározható legyen. Eredetileg a British Telecom, az EE Limited és a HTC fejlesztette ki. Ha a bajba került személy a vészhelyzeti telefonszámokat tárcsázza, az AML-képes mobiltelefon automatikusan bekapcsolja a készülék helyzetmeghatározó funkcióit és SMS-ben elküldi a pontos koordinátákat. Ezzel a személy helyzete sokkal pontosabban behatárolható mint a korábban alkalmazott technikákkal (14 km sugarú kör vs. 6 méter sugarú kör).

A Google lépett és 2016 júniusában bejelentette, hogy a Gingerbread vagy újabb rendszert futtató összes készüléken elérhető az Advanced Mobile Location (AML) szolgáltatás igénybevétele. A szolgáltatói oldalon egyre több szolgáltató vezeti be az AML-t. Az Egyesült Királyságon kívül Észtországban, Litvániában és Alsó-Ausztriában már él a rendszer, de további országok dolgoznak a tesztelésén és bevezetésén.

Az Apple azonban elutasítja a rendszer mobiltelefonjaiba integrálását, ezért az Európai Segélyhívószám Szövetség egy közleményt adott ki, amelyben arra kéri az Apple-t, hogy integrálja telefonjaiban az AML-t, mert az életeket menthet.

Tails 3.1

Megjelent a "The Amnesic Incognito Live System" - röviden Tails - 3.1-es kiadása. A Tails az utóbbi időben került reflektorfénybe azzal, hogy kiderült, Snowden és csapata, Bruce Schneier is felhasználója, valamint, hogy az NSA-nál könnyen megfigyelésre jelölt lehet az, aki utána érdeklődik.

Részletek itt.

CVE-2017-8664 - Windows Hyper-V Remote Code Execution Vulnerability

Távoli kódfuttatás. A rosszindulatú támadó megfelelően összeállított alkalmazást futtatva a guest operációs rendszeren "ráveheti" a Hyper-V host operációs rendszert tetszőleges kód futtatására. Részletek a bejelentésben.

CVE-2017-8622 | Windows Subsystem for Linux Elevation of Privilege Vulnerability

Mi sem bizonyítja jobban, hogy a WSL kilép(ett) a bétából, hogy itt az első biztonsági figyelmeztető hozzá. Helyi privilégiumszint-emelés sebezhetőség...

A Microsoft is elvesztette bizalmát a WoSign és StartCom tanúsítványkibocsátókkal szemben

Az előzmények ismertek. Korábban a Google és a Mozilla is jelezte, hogy megrendült a bizalmuk a WoSign/StartCom tanúsítványkibocsátókkal szemben. Jobb később mint soha, a Microsoft is rájött, hogy ezek a kínai cégek nem ütik meg a Trusted Root Program által megkövetelt szintet, éppen ezért megkezdi a nevezett cégek által már kiadott tanúsítványok folyamatos "leépítését".

Részletek a bejelentésben.

Ilja van Sprundel ránézett a BSD kernelek biztonságára

Népszerű feltételezés egyes körökben, hogy a BSD kernelek és kódok minősége jobb a Linuxénál. De vajon igaz-e ez? Az (el)ismert biztonsági szakember, Ilja van Sprundel úgy döntött, hogy utánajár ennek a teóriának. Valóban jobb a BSD-k kódminősége, vagy csak azért találnak és javítanak több hibát a Linuxban, mert azt többen nézik? Valóban létezik a "many eyeball" dolog? Ilja az április, május, június hónapokat BSD kódok auditálásával töltötte, a vizsgálat eredményéről pedig előadást tartott a DEF CON 25 rendezvényen. Az eredmények:

Eddig körülbelül 115 kernelbug az alábbi eloszlásban:

  • FreeBSD - 30
  • OpenBSD - 25
  • NetBSD - 60

A feltárt bugok típusai:

A DigiCert megvette a Symantec tanúsítványkiadóját

A Digicert bejelentette, hogy felvásárolta a Symantec Website Security és egyéb PKI üzletágait.

A felvásárlásnak valószínűleg köze van ahhoz, hogy a Google-nek megrendült a bizalma a Symantec és a birtokában levő CA-k (Thawte, RapidSSL) validációs eljárásaiban. Később született egy olyan megállapodás, mely szerint augusztus 8-a után már csak egy - akkor még ismeretlen - "Managed CA" által aláírt Symantec tanúsítványokkal lehet további tanúsítványokat kiadni.

A Digicert egy ügyfeleknek kiküldött levélben ezt írta virágnyelven:

Also, some of you may be wondering about any implications our announced acquisition will have on the ongoing debate between Symantec and the browser community about trust in their certificates.

Earlier this year, the browsers proposed a plan to limit trust in Symantec certificates after discovering issues with how they were validating and issuing digital certificates. Importantly, we feel confident that this agreement will satisfy the needs of the browser community.