Titkosítás, biztonság, privát szféra

A ZERODIUM nevű, prémium, sebezhetőségeket felvásároló, állítólag kormányzati ügyfélkörrel rendelkező startup figyelemfelkeltő promóciót rittyentett össze The Million Dollar iOS 9 Bug Bounty címmel. A cég 1 millió amerikai dollár jutalmat kínál azoknak, akik exkluzív, böngésző alapú, untethered jailbreak-kel állnak elő az iOS 9-hez. A jutalomalap 3 millió dolláros. A "játék" vagy október 31-ig, vagy a jutalomalap kimerüléséig tart.

A részletek elolvashatók itt.

A hírhedt Stagefright sebezhetőséget szedte ízekre Mark Brand, a Google biztonsági csapatának, a Project Zero-nak tagja. A Google korábban több ízben is közölte, hogy a sebezhetőség kihasználása nem triviális az újabb Android verziókba épített mitigációs technikák, illetve az összeomlás esetén életbe lépő process respawn mechanizmus miatt. A "nem triviális" nem túl konkrét meghatározás. Mark Brand elemzésének köszönhetően most tisztulhat a kép:

The mediaserver process will respawn after a crash, and there is 8 bits of entropy in the libc.so base address. This means that we can take a very straightforward approach to bypassing ASLR. We simply choose one of the 256 possible base addresses for libc.so, and write our exploit and ROP stack assuming that layout. Launching the exploit from the browser, we use javascript to keep refreshing the page, and wait for a callback. Eventually memory will be laid out as we expect, bypassing ASLR with brute force in a practical enough way for real-world exploitation. [...] I did some extended testing on my Nexus 5; and results were pretty much as expected. In 4096 exploit attempts I got 15 successful callbacks; the shortest time-to-successful-exploit was lucky, at around 30 seconds, and the longest was over an hour. Given that the mediaserver process is throttled to launching once every 5 seconds, and the chance of success is 1/256 per attempt, this gives us a ~4% chance of a successful exploit each minute.

A teljes bejegyzés a technikai részletekkel itt olvasható.

A magyar víz-, gáz- és áramszolgáltatók, illetve a csatornázási és a telekommunikációs vállalatok informatikai rendszereinek csupán 5 százaléka tudott védekezni külső támadások ellen az IT-biztonsággal foglalkozó Hunguard Kft. által végzett vizsgálat során.

Tavaly novemberben jelentette be indulását a non-profit, Let’s Encrypt nevű hitelesítés szolgáltató projekt. Ma közölték, hogy újabb mérföldkőhöz értek: kiadták első tanúsítványukat. Mivel a Let’s Encrypt még nincs benne (folyamatban van) a böngészőkben megbízható hitelesítés szolgáltatóként, azt jelenleg igény szerint kézzel kell telepíteni. Ha ez megtörtént, akkor a https://helloworld.letsencrypt.org/ figyelmeztetés nélkül betölthető.

A Let’s Encrypt ma elküldte jelentkezését a Mozilla, Google, Microsoft és Apple root programjaiba.

További részletek a bejelentésben.

A Stagefright sebezhetőséget felfedező Zimperium nyilvánosságra hozta a CVE-2015-1538 (aka. "Stagefright") sebezhetőségre készített exploitját tesztelési, tanulmányozási stb. célokra.

Az exploit mellé mellékeltek megjegyzést is:

This exploit has several caveats. First, it is not a generic exploit. We only tested it to work on a single device model. We tested this exploit on a Nexus running Android 4.0.4. Also, due to variances in heap layout, this is not a 100% reliable exploit by itself. We were able achieve 100% reliability when delivered through an attack vector that allowed multiple attempts. Finally, this vulnerability was one of several that was neutered by GCC 5.0’s ‘new[]’ integer overflow mitigation present on Android 5.0 and later.

Arról, hogy sebezhető-e Stagefright-ra a készüléked operációs rendszere, a Stagefright Detector alkalmazás ad választ.

A Mozilla tegnap bejelentette, hogy illetéktelen(ek) fért(ek) hozzá Bugzilla hibakövető rendszere korlátozott hozzáféréssel rendelkező részéhez. Noha a hibakövető rendszer nagy része publikus, bizonyos, biztonsággal kapcsolatos, érzékeny információkat tartalmazó részéhez csak megfelelő jogosultsággal rendelkező felhasználók férhetnek hozzá. Ezen a területen tartotta a Mozilla a nem publikus, éppen javított, vagy javításra váró Firefox sebezhetőségek leírásait, részleteit. Ezekhez az információkhoz fért hozzá illetéktelen személy (vagy személyek).

A Mozilla szerint az illetéktelen hozzáférés egy megfelelő privilégiumokkal rendelkező felhasználó jelszavának kompromittálódása során vált lehetségessé. A Mozilla szerint a felhasználó egy másik oldalon is ugyanazt a jelszót használta amelyet a Bugzillában és az a másik oldal betörés/adatlopás áldozata lett. Így kerülhetett a jelszó illetéktelen kezekbe, amellyel aztán Firefoxszal és más Mozilla termékekkel kapcsolatos érzékeny információkat tudott a támadó letölteni a Bugzillából.

Két biztonsági szakember - Vincent Jebara és Raja Rahbani - arra figyelmeztet, hogy egy olyan "extrém kritikus" sebezhetőség található az OS X-ben, amelyet kihasználva a támadók jószerivel észrevétlenül lophatják el a felhasználók kulcstartóra (Keychain) fűzött adatait. A sebezhetőség veszélye abból adódik, hogy a kihasználása gyakorlatilag nem igényel interakciót a felhasználó részéről. Az Ars Technica szerint a sebezhetőséget 4 éve kihasználják. A problémát a felfedezők jelezték az Apple-nek, aki nem csak, hogy nem javította, de még válaszra sem méltatta őket.

Részletek itt és itt.

Colin Percival FreeBSD fejlesztő, a FreeBSD Security Team korábbi tagja, egykori FreeBSD Security Officer. A FreeBSD közösségen belül a korábbi posztjain kívül feltehetően a FreeBSD Update-en és Portsnap-en végzett munkái után ismert leginkább.

2006-ban Colin egy jobb online backup szolgáltatást akart indítani. Így született meg a Tarsnap, ami úgy reklámozza magát, mint "Online backups for the truly paranoid" (a teljesen paranoiások online backupjai). Körülbelül két évnyi fejlesztés és privát tesztelés után 2008-ban nyilvános béta üzemben elindult a szolgáltatás. 2009 februárjában üzleti szintre ért, 2011 szeptemberében pedig megalakult Tarsnap Backup Inc. vállalat Kanadában.

Aki még nem frissített iOS 8.4.1-re, annak újabb ok lehet az Ins0mnia sebezhetőség napvilágra kerülése. A FireEye csapat keresztelte el Ins0mnia-nak azt az iOS sebezhetőséget, amely lehetővé teszi tetszőleges alkalmazás korlátlan ideig háttérben való futását azután is, hogy azt a felhasználó bezárta és az már nem látszik a task switcher-ben. A sebezhetőség lehetővé teszi a bármely iOS alkalmazás számára az Apple háttér(ben futás) korlátozásainak áthágását.

A biztonsági cég a fenti videón mutatja be azt, hogy az Ins0mnia alkalmazás a bezárása után is tovább küldi a GPS koordinátákat. Az Apple megerősítette, hogy a sebezhetőséget javította az augusztus 13-án kiadott iOS 8.4.1-ben.

Részletek itt.

A Grsecurity projekt tegnap bejelentette, hogy a beágyazott Linux iparág hozzáállása, ezen iparág egyes szereplői által okozott frusztráltság, a folyamatban levő GPL- és védjegysértések stb. miatt úgy döntött, hogy tegnaptól számított két hét múlva felfüggeszti a stable patchkészletei publikus terjesztését. Azokat az említett dátumtól kezdve csak szponzorai számára teszi elérhetővé. A bejelentés - hogy ne hasson ki negatívan a Gentoo Hardened és Arch Linux közösségekre - nem érinti a tesztelésre szánt test patch sorozatot.

Részletek itt.