Biztonság

[azami]

Sokan sokféle módon felvetik a biztonság fontosságát. Én magam annak a híve vagyok ami igazán fontos számomra az ne legyen a gépen, a másik ne legyen olyan adatom amiről ne tudnák "dalolva" lemondani.Persze 100%-ra nem sikerül, de törekedni kell rá!
Amiért írok az a mai cikk : http://hvg.hu/tudomany/20140811_igy_kem ... r_nbsz#rss

A vírusirtók nem veszik észre, a kémkedők viszont nagyjából mindent észrevesznek a kiszemelt számítógépeken.

Ez csak úgy lehetséges ha a vírusírtó cégekkel összejátszanak

Ahogy arról korábban beszámoltunk, a FinFisher kémprogram adatgyűjtése során gyakran a Mozilla Firefox böngészőjének adja ki magát, így marad rejtve a felhasználók elől.

A Mozilla-t ezért és még ettől fontosabb ok miatt nem használom, de tisztában vagyok azzal is hogy a többi sem különb...

[azami]

A FinSpy nem azért értékes szoftver, mert olyat tud, amit más programok ne tudnának, hanem mert folyamatosan dolgoznak rajta: az eddigi bizonyítékok alapján az egyébként nagyon igényesnek tartott Vupen csapattól vásárolnak friss sebezhetőségeket, amiket beleépítenek a szoftverbe.
A felhasználók pedig gyakran kérnek újításokat: például valaki olyan letöltési funkciót szeretne a programba, ami elküldhető nem online gépnek is, aztán elindul, ha a címzett felmegy a netre, és folytatódik akkor is, ha megszakadna a kapcsolat.
Kérés volt az is, hogy a program elkapja a Lastpass és társai által létrehozott jelszavakat is: ezek úgy működnek, hogy felhasználónak csak egy bonyolult mesterjelszót kell megjegyeznie, a program pedig böngészőkiegészítőként generál még bonyolultabb darabokat minden egyes regisztrációhoz, aztán be is gépeli őket, így a felhasználó anélkül tud belépni a szolgáltatásokba, hogy akár ő maga tudná a jelszót. Ezt a fejlesztést áprilisban kérték, valószínűleg már nincsenek biztonságban a programot használók a titkosszolgálatok elől.

http://index.hu/tech/2014/08/12/a_magya ... elepitese/

[ati5]

Nagyon érdekes írás . Köszi ! A magam részéről teljesen egyetértek az alábbi idézettel .

Én magam annak a híve vagyok ami igazán fontos számomra az ne legyen a gépen, a másik ne legyen olyan adatom amiről ne tudnák "dalolva" lemondani.Persze 100%-ra nem sikerül, de törekedni kell rá!

[KuLuSz]

Mert befagyott ablakot már láttam , de megfagyott pingvint még soha

nyiss meg 1 terminált majd írd bele : killall busybox

[ati5]

Mert befagyott ablakot már láttam , de megfagyott pingvint még soha

nyiss meg 1 terminált majd írd bele : killall busybox

Az meggyilkolt pingvin lesz , és nem megfagyott

[NTamas]

Csipesz kérésére a téma ide is be lett illesztve!

Két éve tátongó sebezhetőséget foltozott be az OpenSSL

Az OpenSSL projekt egy nagyon rövid közleményben tudatta a nyilvánossággal, hogy egy 2012 márciusa óta létező biztonsági rést foltozott be.A hibán keresztül a támadók megszerezhették a titkosításhoz használt privát kulcsokat.

Legalább két éve sebezhető a számos weboldal és webes szolgáltatás által használt OpenSSL kriptográfiai könyvtár, a Transport Layer Security "heartbeat" kiterjesztésében található hiba lehetővé teszi a támadók számára, hogy a sebezhető OpenSSL-verzió által védett rendszerek memóriájában egy 64 kilobájtos szelethez hozzáférjenek és elérjék a szolgáltatók azonosítására és az adatforgalom titkosítására használt privát kulcsokat. A támadók így gyakorlatilag a szerver és kliens közt utazó minden információhoz szabadon hozzáférhetnek, a kulcsok birtokában pedig korábban zajlott kommunikációt is vissza tudnak fejteni utólag, amennyiben a titkosított adatok rendelkezésre állnak.

Az OpenSSL könyvtár számos operációs rendszernek része, többek között változatos Linux-disztribúciókban (pl. Ubuntu, CentOS, Debian, Fedora, openSUSE) és BSD-kben is megtalálható. Ezt a könyvtárat használják változatos webszerverek (köztük az Apache és az nginx), emailszerverek, chatszerverek, VPN-ek és egyéb hálózati szoftverek. Nem tudni, a sebezhetőséget vajon kihasználják, kihasználták-e, és ezt a rendszernaplókból nem is lehet kideríteni, mivel a sérülékenységen keresztül kivitelezett támadásnak azokban nincs nyoma.

Az OpenSSL projekt weboldalán olvasható rövid tájékoztatás szerint a sebezhetőség az OpenSSL 1.0.1 és 1.0.2-beta1 kiadásait érinti, az 1.0.0 és 0.9.8 ágat nem. Az első sebezhető verzió 2012. március 13-én jelent meg, az azóta kiadott összes OpenSSL sérülékeny, az 1.0.1g az első, amely már tartalmazza a javítást. A sérülékeny OpenSSL-verziókat azonnal javasolt lecserélni, amennyiben ez nem lehetséges, akkor az OpenSSL újrafordítása is segít a "-DOPENSSL_NO_HEARTBEATS" opció használatával. A rendszergazdáknak azonnal javasolt a korábban kiadott kulcsok visszavonása és új kulcsok kiadása is.

Ezek a legutolsó javítások, amik tudtommal most elérhetőek:
openssl-1.0.1i-wheezy.pet 14-Aug-2014 12:07 1.2M
openssl_DEV-1.0.1i-wheezy.pet 14-Aug-2014 12:07 1.5M

/pet_packages-tahr/
openssl-1.0.1i-i686.pet 2014-Sep-24 13:25:04 1.8M
openssl_DEV-1.0.1i-i686.pet 2014-Sep-23 16:08:39 1.5M

Ez a már javított, openssl-1.0.1i-verzió:

[NTamas]

Már megint egy régóta létező, fontos hibára derült fény....
/ a cikk újraközlésekor igyekeztem a jogsértés elkerülése érdekében az eredeti formát, linkelést megtartani, illetve belinkelni az eredeti cikk szerzőjét, és a cikk linkjét is. /

Azonnal frissítse mindenki a Basht!
Bodnár Ádám, 2014. szeptember 25. 08:58

A Red Hat biztonsági szakértői olyan sebezhetőséget találtak a Bashben, amelyet sokan máris a tavasszal publikált Heartbleedhez hasonlítanak, legalábbis a jelentőségét tekintve. A szabad szoftverek hívei gyakran érvelnek viták során azzal, hogy e fejlesztési megközelítés eredendően biztonságosabb szoftvert eredményez mint a zárt modell, mivel a kódot mindenkinek lehetősége van átvizsgálni és javítani. A Bash több mint 20 éve létező sérülékenysége azonban arra mutat rá, hiába adott a lehetőség a világon bárki számára a kód elemzésére, ha csak kevesen veszik a fáradtságot vagy nem végeznek elég alapos munkát.

Shellshock

A Bash (Bourne again shell) számos UNIX és Linux-disztribúció része (de megtalálható az OS X-ben is) és az egyik legtöbbször használt komponense az operációs rendszereknek, amellyel számtalan szoftver kerül kapcsolatba. A Red Hat kutatói egy olyan biztonsági problémát találtak, amelyet kihasználni banálisan egyszerű, a következményei pedig egyelőre fel sem mérhetők. A cég által publikált blogbejegyzés alapján a hiba forrását az jelenti, hogy megadhatók olyan környezeti változók, amelyeket a Bash kódként futtat le, és ezt minden esetben megteszi, amikor a shellt adott környezetből meghívják. A változóknak a neve egyáltalán nem is fontos, bármi lehet, ha a tartalmuk "megfelelő", akkor ezeket a kódokat a Bash le fogja futtatni.



A Bash maga is tartalmaz függvényeket, ezeket pedig környezeti változókban is el lehet helyezni - amennyiben a függvény ilyen definícióját kód követi, azt a shell le fogja futtatni. A Heartbleed néven elhíresült OpenSSL-hibához hasonlóan az igazi problémát itt is az jelenti, hogy szinte lehetetlen felmérni, milyen szoftverek lépnek kapcsolatba a Bash-sel. A shell sérülékenysége egyszerűen javítható, de nem lehet egyelőre tudni, ezzel milyen más, a Bash-sel kapcsolatba lépő szoftverek működését zavarjuk meg. Emellett az is gondot jelent, hogy nem lehet megmondani, a 22 éve létező sérülékenységet kihasználta-e valaki az adott rendszeren -- ha a Basht használó szoftver nem logol(t), a támadásnak nem lesz nyoma.

A sérülékenység ugyanis az 1.13 verziónál került be a szoftverbe és a 4.3-ig minden változat tartalmazza azt. A NIST besorolása szerint a CVE-2104-6271 számú sérülékenység a legmagasabb, 10-es fokozatú a veszélyességi skálán, tekintettel a Bash széles körű elterjedtségére, valamint a hiba egyszerű, felhasználói azonosítás nélküli távoli kihasználhatóságára. A tetszőleges kódfuttatás révén a támadók adatokhoz férhetnek hozzá vagy módosíthatják azokat, illetve például leállíthatnak szolgáltatásokat. A sebezhetőség kihasználásának, ahogy a Heartbleed esetén, a Shellshock esetén sincs semmilyen nyoma.

Az okoskütyük lehetnek a legnagyobb veszélyben

Robert Graham, az Errata Security szakértője szerint a legnagyobb kockázatot most is az internetre csatlakozó "okos" eszközök (pl. routerek, otthoni NAS-ok, médialejátszók, kamerák) jelentik, amelyekhez egyáltalán nem érhető el már gyártói támogatás, vagy amelyek gyártói nem adnak ki szoftverfrissítést. Ezeknek az eszközöknek jellemzője, hogy a szoftverük gyakran tartalmaz nyílt forrású komponenseket és sok funkciót a Bash segítségével valósítanak meg (tipikusan ilyen a távoli hozzáférés a konfiguráláshoz). Ha egy ilyen eszköz sebezhető, akkor nagy valószínűséggel az is marad.

"Nem kell sietni a sebezhetőség befoltozásával" - írja Graham. "Az elsődleges szervereid valószínűleg nem sérülékenyek. Minden más viszont valószínűleg igen. Szkenneld a hálózatodat olyasmik után kutatva mint a Telnet, FTP vagy a régi Apache-verziók (a masscan erre nagyon hasznos). Minden, ami válaszol, valószínűleg egy régi eszköz, aminek a bashét patchelni kéne. De mivel a legtöbbhöz úgysincs patch, valószínűleg ráfaragtál."

Azonnali frissítés szükséges

"Mivel az érintett szolgáltatások újraindítása nélkül is megoldható a legtöbb esetben a frissítés, viszont nagyon nehéz megállapítani az érintett szolgáltatások körét, mindenképpen érdemes frissíteni minden rendszert, ahol rendelkezésre áll patch" - mondta a HWSW-nek Veres-Szentkirályi András, a Silent Signal biztonsági szakértője. "Már érkezett jelzés, hogy többen malware-t terjesztenek a módszerrel, így érdemes az Internetről elérhető szolgáltatásokkal kezdeni, mivel a rendszergazdák ellenfele itt egy adag automatizált kis program, amelyek jó része nagy időbeli előnnyel indul."

A javítás telepítéséig érdemes a CGI scripteket lekapcsolni az érintett rendszereken, tanácsolja az Akamai, a távoli hozzáférések lehetőségét pedig az adminisztrátorokra javasolja korlátozni a cég. A sérülékenységről részletesen a Red Hat blogbejegyzésében, illetve az OSS-SEC levelezőlistánlehet olvasni. Az OS X-et futtató felhasználók ezzel a módszerrel tudják tesztelni gépük sérülékenységét.

Utóirat a cikkhez:
A GNU Org szervezet Bash Project letöltő oldalán,ha jól látom, már ki vannak téve a szeptember 24.-ével dátumozott patch fájlok, remélem ez a folt már a fenti hiba kijavítását jelenti.

[NTamas]

Na kérem, a rosszfiúk sem alszanak...

Megérkeztek az első komolyabb, "Shellshock" bugot kihasználó botnet támadások
( trey | 2014. szeptember 26., péntek - 8:34 )

A tegnap tárgyalt bash sebezhetőség a "Shellshock" (Bashdoor, Bash0day) nicknevet kapta. A hírek szerint a támadók nem tétlenkedtek, megszülettek a sebezhetőségre kihasználására az első exploitok és megformálódtak az első komolyabb botnetek is.

Ilyen botnet például a "wopbot", amely aktívan szkenneli az internetet sebezhető hostok után kutatva. A botnet nem csak újabb áldozatokat keres, hanem állítólag már DDoS támadást is indított az Akamai ellen, illetve - sandbox-ban való elemzésből - kiderült, hogy folyamatosan szkenneli az Amerikai Védelmi Minisztérium (US DoD) IP-címtartományát "brute force" támadás céllal.

A részletekitt és itt olvashatók.

[NTamas]

A Bash mizéria legújabb fejleménye, hogy a javításra kiadott verzióra,
...For the stable distribution (wheezy), this problem has been fixed in version 4.2+dfsg-0.1+deb7u1.
menet közben érkezett újabb frissítés, (a frissítés frissítése) mivel az első patch után még újra előjött a hiba pár tesztelőnél. Jelenleg ennél az újabb, javított verziónál tartunk a beírás pillanatában:
...For the stable distribution (wheezy), these problems have been fixed in version 4.2+dfsg-0.1+deb7u3.

Ez az utolsó frissített verzió elérhető a Debian csomagtárolóból több verziórais.

[nocsak]

Üdv minden régi és új fórumtársnak!

precise 5.7.1 pae verzióhoz kerestem:

http://www.murga-linux.com/puppy/viewto ... 91f#801162

hátha másnak is hasznos.