A Informatikai Biztonság Napján volt lehetőségünk beszélgetni a Cisco egyik rendszermérnök tanácsadójával aki arról a bizonyos néhány százaléknyi támadásról tartott előadást, amit nem sikerül azelőtt elcsípniük a cégeknek, hogy az bekerüljön a rendszerbe. Csordás Szilárdot az aktuális trendekről, megoldásokról és a biztonsági piac sajátosságairól kérdeztük.
A hivatásos kiszivárogtató eddig mindössze 14 twittet tett közzé, de már 1,2 millióan követik. Bejegyzéseit 120 ezer alkalommal osztották tovább a felhasználók és 110 ezerszer fejezték ki tetszésüket – és ezekről mind kapott értesítést. Mivel Snowden a 47 gigás levélforgalmat bejelentő twittjére is ezrével kapja a reakciókat, remélhetőleg már kikapcsolta a Twitteren az e-mailes értesítést.
The systems are often a patchwork of interconnected services provided by various companies and industry partnerships. A failure of one can lead to a failure in others. For example, Skype recently went down for almost an entire day, while Facebook was down for more than an hour – the second time in a week – meaning that many sites that depend on Facebook accounts as authentication were locked out too.
elég naivnak kell lenni ahhoz, hogy azt gondoljuk, senki nem él majd vissza azzal, ha lesz egy kormányzati szerv, amelynek egyetlen célja az emberek azonosítása. Az adatvédelmi biztos véleménye szerint ez az egész minimum alkotmányos aggályokat vet fel. Ha ön szerint nem olyan nagy probléma, hogy egy közepesen jól megindokolt kérelem kell csak ahhoz, hogy mindenféle állami fegyveres szervek végignyálazzák a teljes lakosság arcképét pár lazán meghatározott körülményre hivatkozva, akkor zárásként felsoroljuk az adatvédelmi biztos problémáit: Tiltani kell, hogy arcképprofilt bármelyik másik állami szerv készítsen, gyűjtsön, pláne tároljon A kapcsolati kódokat úgy kell létrehozni, hogy azzal ne lehessen visszaélni Az arcképnyilvántartás csak államérdekből használható, sportrendezvények szűrésére már nem. Pontosan meg kell határozni, hogy mire lehet használni a profiladatbázist, nem elég, hogy „bűnüldözés”, „terrorelhárítás”. Garantálni kell, hogy nem lesz tömeges megfigyelés.
A kibervédelmi központ volt vezetője szerint ma ott tartunk, hogy nemcsak visszacsúsztunk az élbolyból, hanem gyakorlatilag eltűntünk a listáról (a friss felmérés még nem készült el, minden év áprilisában jelenik meg új): egyelőre megfelelő intézmények és szakemberek hiányában megszűntek, nem mérhetőek kibervédelmi képességeink. Frész szerint viszont nemcsak magyarországi jelenségről van szó, a titkosszolgálatok és államok dilemmája az egész világon megfigyelhető. Amint valahol elkezdenek egységes kibervédelmet kiépíteni, sokszor kiderül, hogy igazán senkinek nem érdeke ez.
Alcoholics and Narcotics Anonymous help addicts overcome their dependencies. And now one group of privacy campaigners wants to offer its target audience an escape route for what it sees as a equally insidious trap: Their jobs working for intelligence agencies like the NSA.
WHEN HACKERS STEAL your password, you change it. When hackers steal your fingerprints, they’ve got an unchangeable credential that lets them spoof your identity for life. When they steal 5.6 million of those irrevocable biometric identifiers from U.S. federal employees—many with secret clearances—well, that’s very bad. On Wednesday, the Office of Personnel Management admitted that the number of federal employees’ fingerprints compromised in the massive breach of its servers revealed over the summer has grown from 1.1 million to 5.6 million.
Az Apple számos alkalmazást kényszerült visszavonni a digitális alkalmazásboltjukból, az App Store-ból, ezzel elismerték, hogy a korábbi jelentéseknek megfelelően valóban elérhetők voltak olyan iPhone-os és iPades alkamazások, melyeket megfertőzött az XcodeGhost elnevezésű kártevő. Az esemény azért komoly jelentőségű, mert az Apple rendszerében az elmúlt évek során mindössze öt kártevővel fertőzött alkalmazás jutott át a cég szigorú előszűrő, ellenőrző rendszerén, most viszont egyes jelentések szerint akár 344 alkalmazás is érintett lehet.
A mobil biztonság jövőjét a hardvereken alapuló rendszerek jelenthetik. Az operációs rendszerek kerneljei túl bonyolultak és sosem lehetnek hibamentesek. A hardveres védelemre épülő rendszerek sokkal egyszerűbbek és ezért könnyebben is integrálhatók a mobil készülékekbe. Ráadásul úgy biztosíthatók a rendszer fontos részei, hogy nem kell feláldozni a nyitottságot sem. Amennyiben ezt sikerül megvalósítani, már nem lesz fontos az alkalmazások minősége sem és bárki szabadon kísérletezgethet tovább. "Meg fog növekedni az egy személyre jutó eszközök száma. Napjainkban egy embernek maximum egy tucat készüléket kell kezelnie, azonban személyenként ezer eszközzel már nehéz lesz elboldogulni.
„Az orosz kiberkémkedés hét éve” címmel közöltek elemzést [PDF] a Duke kiberfegyver-családról. A kiberfegyverekről utólag rakták össze, hogy legalább hét éve működnek, az áttörést a magyar Crysys Lab és az orosz Kaspersky közös felfedezése, a magyar külügyminisztériumot és magyar civil szervezeteket is támadó MiniDuke elemzése hozta meg. Miért gondolja úgy az F-Secure, hogy orosz állami csoport áll a kiberfegyverek mögött? A Duke-ok működése ellentmond a kiberbűnözői csoportok általános logikájának: akik csak a pénzre vagy megbízás teljesítésére mennek, ott fontos, hogy a program minél előbb felszívódjon. A Duke-ok ezzel szemben akkor is tovább működtek, ha lebuktak. ez azt jelenti, hogy legfőbb célja, hogy adatokat szállítsanak a megbízóiknak, és ez fontosabb minden másnál. Plusz az üzemeltetőknek nem kell félni a teljes lebukástól. Ez általában az állami támogatású kibercsoportok sajátossága. a hekkerek közvetlenül a kormánynak, a titkosszolgálatnak, vagy velük együtt dolgoznak.
Szinte mindenki tisztában van vele, hogy az olyan oldalak, mint a Facebook vagy a Google információk milliárdjait gyűjtik össze és raktározzák el. De miért használjuk őket akkor mégis folyamatosan, sokszor még kifejezetten magánügyi kérdésekhez is? Naponta hallunk olyan technikai újításokról, amik a telefon-, tablet-, laptop- vagy PC-használatunk alapján megmondják rólunk, hogy merre jártunk, mit csináltunk, milyen tartalmakat néztünk legtöbbször, majd ezek alapján különböző szolgáltatásokról szóló információkat, reklámokat nyomnak az orrunk alá. A Survata nemrégiben közzétett kutatása pedig arról is tanúskodik, hogy a fiatal korosztály jóval megbízhatóbbnak tartja például a nem kifejezetten jó hírű NSA-t mint a Google-t. A kutatást ráadásul egy igen speciális csoportra, a 13-44 éves korosztályra alapozták, amelynek fele a 13-24 év közötti korcsoportba esett, tehát éppen azokról a felhasználókról van szó, akik a legszívesebben osztanak meg bárkivel bármit bármikor.
Az USA Network új, a héten véget ért sorozatában, a Mr. Robotban ezzel szemben olyan szintű élethűség van, hogy szinte gyanús, hogy valakik nem kifejezetten oktatni akarták a nézőket, hogy ők is képessé váljanak a sorozatban látottakra. Biztonsági szakértők egész sora dolgozott a sorozat egyes jelenetein, és a végeredmény sokszor az lett, hogy szintre pontról-pontra végig lehet csinálni azt, amit a képernyőn látunk, és csak a legritkább esetekben kell azt mondani, hogy na jó, azért az életben ez nem egészen így megy.
Ha internetes apróhirdetéseken ingatlant adunk-veszünk, akkor ne lepődjünk meg, ha egy meglehetősen jó angolsággal megírt, elég hosszú e-mailt kapunk, amelynek a lényege, hogy a feladó: „Mrs. Sarah Alepp” férjét egy szíriai mészárlásban ölték meg és 4,7 millió eurós vagyonát kellene kimenteni, amit mint sikeres kuvaiti olajvállalkozó keresett meg. A nigériai levelek, más néven a „419-es átverés”. Számtalan variánsa létezik, nevét a nigériai büntető törvénykönyv vonatkozó paragrafusáról kapta, de a világ szinte összes országában próbákoznak ezzel a csalással. Eleinte hagyományos postai úton és faxon terjedt – a nyolcvanas évek elejétől, ha nem még előbbről –, azonban az internet elterjedésével a kéretlen e-mailekben vált tömegessé. Jellemzően egy hatalmas vagyon kimentéséért igér magas jutalékot a csaló és akit sikerül bepaliznia, annak kivétel nélkül előtte meg kell előlegezni bizonyos költségeket, végül pedig természetesen egy fillért sem kap. A levél udvariasan azzal indít, hogy a feladó érdeklődik a címzett és a családja hogyléte felől és imádkozik azért, hogy mindannyian biztonságban éljenek és jól érezzék magukat, majd néhány mondatot követően eljut odáig, hogy neki nem csupán a férjét ölték meg, hanem a 12 éves lányát is egy vegyi támadásban, amíg ő a munkahelyén más emberek életét mentette. Az e-mail-címzettje a segítsége fejében tíz százalékos jutalékban részesül.
John McAfee: "Antivirus is dead" thenextweb.com
I don’t use AV [antivirus software], I think it’s dead and based on an ancient tech that is no longer relevant. Hacker kits come out 10x faster. AV is a meaningless system. I use phones, flip phones without GPS. I use my samsung phone if I want internet and buy a new one every 2 weeks.
A magyar felhasználók 2007 óta összesen 1184 tranzakciót bonyolítottak le, általában néhány tíz eurót fizettek az oldal szolgáltatásaiért (például a végleges törlésért, ami eltűntette volna az érzékeny adatokat; pont azokat, amik most kikerültek).
Az egyik ilyen súlyos kockázati tényező maga az autó - mutatott rá -, ami manapság valójában már nem más, mint egy vezeték nélküli hálózatra kapcsolt nagy számítógép. Azt, hogy ez mekkora veszélyeket hordoz magában, alig néhány hete demonstrálták biztonsági szakértők egy autó távolról történt meghekkelésével. "Nekünk - és ez alatt az egész szakmát értem - arról kellene gondoskodnunk, hogy minden eszköz eleve biztonságos legyen, akár szívritmus-szabályozóról, akár autóról legyen szó" - fogalmazott. Be kell vezetni a berendezések kiberbiztonsági tanúsítványának a rendszerét - mondta.
2012 óta volt már itt SOPA, PIPA, ACTA, és CISPA néven is nagy botrányokat kiváltott, majd elkaszált törvénytervezet, és most itt van a legújabb, a CISA. Ezek mind nagyjából ugyanazt próbálták elérni: hogy a kormány minél több felhasználói adathoz juthasson hozzá, legálisan, könnyen, automatizáltan. A menetrend mindig ugyanaz volt: A tervezet, valami komoly problémára hivatkozva (termékhamisítás, terrorizmus, kiberfenyegetés elleni harc) engedélyt ad a kormánynak, hogy bármihez hozzáférjen a neten, illetve kötelezi az online cégeket, hogy maguk adják át a felhasználói adatait. Az internet népe fellázad, orwelli internetdiktatúrát vizionál. Az online cégek a zendülés élére állnak, mutatva, hogy ők a keményen netező kisemberek oldalán állnak. A tervezet mögött álló szenátorok ettől megijednek, és a népszerűségvesztéstől tartva elkaszálják az egészet.
Lassan minden pluginnak vége. A Flasht korábban nagyon sok különböző dolgokra használták, videólejátszásra, animációkra. Az IE6 egyeduralkodásának öt évében a böngészők fejlesztése stagnált, ez pedig utat nyitott a pluginok fejlesztőinek. A maga idejében az Adobe Flash Playere kiterjesztette a böngészők lehetőségeit: végre lehetett videókat lejátszani, animációkat futtatni, akkor még senki nem úgy gondolt a szoftverre, mint egy lassú, veszélyes, instabil, de kényszerből telepített régiségre. Maga a Microsoft is felismerte, hogy szükség van pluginekre, hiszen 2007-ben bemutatta a saját Flash-ellenfelét, a Silverlightot, amit szintén videostreamingre és animációk lejátszására találtak ki. Pár évvel ezelőtt is jelentek meg még újabb pluginek: a Unity a háromdimenziós támogatást valósította meg, a Google Voice és Video pedig hangalapú és videós chatet. Az Adobe Flash tulajdonképpen rendet tett az online videolejátszás terén.
A kínai akciót, ami kezdetben a Táncoló Panda kódnevet kapta, 2010 áprilisában szúrták ki az amerikaiak. A Google 2011-ben be is jelentette, hogy egyes amerikai tisztviselők magánemailfiókja kompromittálódott, de most az derült ki, hogy más szolgáltatók sem úszták meg a támadást. A most előkerült NSA-jelentés 2014-ből származik, a támadások még akkor is zajlottak az emailcímek ellen, és minden valószínűség szerint ezek a mai napig megmaradtak.
Az összes szövetségi alkalmazottról megtudhattak személyes adatokat, és a társadalombiztosítási számukat is megszerezhették hekkerek, állította az egyik amerikai szakszervezet. Szerintük a decemberi kibertámadás sokkal súlyosabbak voltak annál, mint amit Barack Obama kormányzatából elismertek. Decemberben hekkerek törtek be az Egyesült Államok szövetségi kormányának személyzeti ügyekért felelős ügynökségének (Office of Personnel Management, OPM) szervereire. Harry Reid, a demokraták szenátusi vezetője azt mondta, hogy kínaiak hajtották végre a támadást. Azt eddig is lehetett tudni, hogy óriási adatlopásról lehetett szó, több millió jelenlegi és korábbi kormányzati alkalmazott lehet érintett.
becslések szerint ez a „maradék”, az úgynevezett deep web a nyilvánosnak legalább az ötszázszorosa. Idetartoznak például a nem nyilvános adatbázisok, melyeket egyetemek, kormányzati és egészségügyi intézmények tartanak fenn. A tartalom jó részét azonban nem lelakatolt adattárházak teszik ki, hanem kifejezetten az anonimitást és a rejtett működést kereső illegális oldalak.
A Silk Road titkos kereskedelme azon az elvileg azonosíthatatlan Tor-hálózaton futott, amelyet eredetileg nemzetbiztonsági céllal az amerikai haditengerészet fejlesztett ki, de aztán nyílt forráskódú, bárki által letölthető rendszer lett belőle. Az egymás mögé kapcsolt proxy közvetítőszervereken keresztül a „deep web”olyan oldalait is el lehet érni, amelyeket az alapinternetről nem. A Silk Roadon a digitális bitcoin pénzzel kellett fizetni a kábítószerért és a többi illegális cuccért — még hamis útlevelet is lehetett itt kapni.
a népszerűségi lista élmezőnyéből töltöttünk le véletlenszerűen 5-6 ingyenes szoftvert, és útközben mindegyik letöltési oldalán a hasonló programokat ajánló reklámok közül még amennyit csak értünk. Telepítés közben minden plusz, extra ajánlatra igent mondtunk. És azzal elszabadult a pokol Percek alatt elburjánzottak a böngészőbe belenőtt toolbarok, különféle ablakok nyíltak a háttérben, az alapértelmezett kereső és a nyitóoldal posztját pedig úgy passzolgatták egymás között különféle Google-babérokra törő obskúrus szolgáltatások, mint a Barcelona középpályássora a labdát még a Guardiola-féle aranykorban. A háttérben futó programok szaporodtak és sokasodtak, a memória fogyott, a gép reménytelenül lassult.
Bitcoin is the world’s most dangerous idea. Really? thenextweb.com
Nakamoto was trying to create a money exchange that could operate without the need of a third party, be it a bank or online services such as PayPal. He (or she) believed there was a way round it using two sets of keys. One key is kept privately on your computer and is difficult to extract, the other is a public version that is used to exchange digital currencies with another party. When two parties want to exchange money, a piece of software combines the public key of the sender of money with the private key of the recipient, held on his or her computer. Meanwhile, an algorithm calculates whether the public key of the sender is actually who they say it is by checking the private key to see if they match. At the same time, the transaction is sent to every other person using the software not involved in the transfer. This creates a digital ‘ledger’, a record of every transaction, what the currency is being used for and where it’s going, across the network.
Új fejezet nyílt a lehallgatási botrányok évek óta tartó sorozatában. Kiderült, hogy a német titkosszolgálat – együttműködve az amerikai NSA-vel – évekig figyelte a francia elnöki palota, az Európai Bizottság és néhány európai fegyvergyár telefonjait és levelezését. A botrány azért különösen kínos Berlinnek, mert nemrégiben még nagyon komolyan felháborodott a német kormány azon, hogy az amerikaiak lehallgatták őket is. Edward Snowden, az amerikai NSA nevű, lehallgatásokat intéző ügynökség egykori munkatársa 2013 nyarán juttatott el a sajtónak rengeteg bizonyítékot arról, hogy az USA lényegében minden e-mailhez és mobiltelefonhoz hozzáfér.
Hogy mi lehet az Equation célja, senki sem tudja – a felfedett célpontok és valószínű kapcsolódásuk az NSA-hez arra utal, hogy az amerikai érdekeket szolgálva kémkednek (és valószínűleg szükség esetén kiberháborús módszerekkel beavatkoznak) világszerte, akár egy virtuális CIA-kommandó. Ebből azonban bizonyítani egyelőre semmit nem lehet. Az Equation malware programjainak nagy része észrevétlenül tevékenykedik, a célt elérve nyom nélkül megsemmisíti önmagát, maga a csoport pedig legalább 13 éve tökéletes ismeretlenségben végzi globális tevékenységét.
But let's face it, most of us haven't a clue where Facebook, Twitter, Instagram and all the other social media providers store our data, or how securely. We're only just beginning to understand how important this data is and what the consequences might be if we lost it.
Mintegy száz amerikai katona nevét, fényképét és címét tette fel a világhálóra egy eddig ismeretlen, magát az Iszlám Állam Hackerszervezetének nevező csoport, és támadásokkal fenyegette meg őket
"Nem hiszem, hogy kiberháború zajlik, de mindenképpen aggódunk amiatt, hogy sor kerül egy olyan támadásra, amely a kritikus infrastruktúrák, például az áramhálózat ellen irányul. Vagyis egy olyan akció, amely nem csupán a digitális térben okoz károkat, hanem az analóg világban is komoly következményekkel járhat a polgárok számára. De ilyen támadást eddig nem érzékeltünk. Masszív adatlopások és bankok ellen irányított DDoS-támadások vannak. Ezek különböző esetek, nem csupán az USA-ban, hanem világszerte. Ezek közé tartozik a Sony ellen tavaly év végén végrehajtott akció. Ez egy olyan támadás volt, amelyre ilyen formában nagyon ritkán kerül sor, de komoly hatásokkal járt. Ennél az esetnél megsértették az Amerikai Egyesült Államok szuverenitását. "
A Kaspersky alkalmazottai például több ízben bizonyították már, hogy az internet után a következő „vadnyugat” az IoT (Internet of Things) világa. Sikerült kijátszaniuk többek között egy autómosót. Hogy mást ne mondjak, az ingyenes autómosástól a szándékos rongálásig sok mindenre lehet használni egy ilyen hozzáférést, de az IT cafén is beszámoltunk arról, hogy az Egyesült Államokban jelentős számban használt üzemanyagtartályok szenzorjai teljesen védtelenek voltak, a rosszindulatú támadók több ezer kutat béníthattak volna meg, ha elég gyorsak. Ennek a gazdaságra gyakorolt hatását mindenki el tudja képzelni.
az új androidos kártevők száma 6,1 százalékkal emelkedett a tavalyi évhez képest. A kínai áruházakból letölthető alkalmazások egynegyede lehet fertőzött.
Tegnap járta be a magyar sajtót a hír, hogy a BSoft Informatikai Kft. figyelmetlenségéből adódóan bárki által hozzáférhető volt közel 1 millió betegadat, amiből a TAJ számok, illetve a BNO kódok alapján az ellátásban részesült személy és a betegség is kiderült. Így tehát például a munkáltatók (vagy bárki, aki tisztában volt a TAJ számunkkal) hozzáférhetett ezekhez az adatokhoz.
Április 13-án az amerikai FireEye IT biztonságtechnikai vállalat egyik ügyfelének kiszolgálásakor figyelt fel a furcsa tevékenységre, ami egy külföldi kormányzati ügynökség felé irányult, mely éppen tárgyalásokat folytatott az USA-val az Oroszország ellen tervezett szankciókról. A támadással a megvalósítás technikai részletei miatt azt a feltehetőleg Orosz kormány által támogatott ATM28 (Advanced Persistent Threat 28) csoportot kapcsolták össze, mely korábban az Észak-Atlanti Szövetséget, a grúz védelmi minisztériumot, illetve a lengyel és magyar kormányt is céltáblájára tűzte.
A német vírusirtócég végül arra jött rá, hogy illetéktelenek a Google AdSense rendszerét használták fel egy új támadásra.Az AdSense a világ legnagyobb online hirdetési hálózata, az első százezer legnépszerűbb internetes oldal 12 százaléka jelenít meg hirdetéseket a platformon keresztül. Ez lehetőséget adott a támadóknak, hogy egyszerre több millió internetezőt érjenek el. Az Adobe Flash program CVE-2015-0336 számon nyilvántartott sérülékenysége tavaly december elején vált ismertté, a hivatalos javítócsomag pedig már a sérülékenységet kihasználó támadás előtt megjelent. Ralf Benzmüller, a G Data víruslaboratóriumának vezetője szerint a problémát az a hibás gondolkodás okozza, mely szerint egy működő rendszerhez nem szabad hozzányúlni. Ennek köszönhetően hiába jelenik meg egy új biztonsági frissítés, sok internetező és vállalat nem telepíti azt.
WikiLeaks Releases an Archive of Hacked Sony Emails thenextweb.com
WikiLeaks today released “The Sony Archives,” a searchable online database that the organization claims contain the 173,132 emails and 30,287 documents that were stolen as part of the 2014 Sony Pictures hack. According to WikiLeaks, the archive details email exchanges between the company and the White House, with “almost 100 US government email addresses” in the database.
Leginkább mégis az sokkolt, amikor tudatosult bennem: ezekről az információkról külön-külön mind hallottam. Megvolt Angela Merkel lehallgatása, az, hogy Snowdennek nem ajánlottak fel független bírósági eljárást, és tudtam arról is, hogy a Guardian egy ponton fogta, és flexszel vágta darabokra az NSA-dokumentumokat tartalmazó adathordozóit, noha addig hetente produkált sikeres anyagokat az információkból. De ezek ellenére is kialakulhatott bennem az a vélemény, hogy Snowden egy kis pöcs.
A legmodernebb utasszállító gépek repülőelektronikai rendszerébe be lehet törni a legtöbb kereskedelmi járaton ma már elérhető vezeték nélküli internetkapcsolat segítségével - figyelmeztetett jelentésében az amerikai Kormányzati Ellenőrzési Hivatal
A Cylance szerint a most felfedezett hiba úgynevezett forever day vulnerability, vagyis örök időktől fogva létező sebezhetőség. Azért hívják így, mert az eredeti hiba az 1997-es felfedezése óta közismert volt, és állandó fenyegetést jelentett. Ezúttal viszont nagyobb a veszély. Míg a Spangler által felfedezett hiba csak az Internet Explorert érintette, az SMB átirányítás már az összes Windows-verzión futó szoftvereket érinti.
Nincsenek megjegyzések:
Megjegyzés küldése