Bezpečnostní střípky: bylo uplynulé čtvrtletí z hlediska bezpečnosti nejhorším v historii vůbec?

Přehledy

Bylo uplynulé čtvrtletí z hlediska bezpečnosti nejhorším v historii vůbec? Ptá se Bill Brenner ve svém zamyšlení One of the ‚worst‘ quarters ever for security?, které je věnováno výsledkům zprávy PandaLabs:

• Quarterly Report PandaLabs (April-June 2011)

Další komentář k této zprávě je na stránce While Media Obsesses Over Hacks, Malware Shows No Signs of Slowing. Samotná zpráva PandaLabs (za druhé čtvrtletí 2011) je šestnáctistránkový dokument, který obsahuje mj. následující body:

• Zběžný pohled na 2.čtvrtletí (From ‘hacktivism’ to ‘stupidism’, A disastrous quarter, Sonygate, Malware)
• Čísla tohoto čtvrtletí
• Zranitelnosti

NATO a hacktivismus – Draft General Report 074 CDS 11 E – INFORMATION AND NATIONAL SECURIT  – tuto zprávu přednesl Lord Jopling (Velká Británie). Komentář k této zprávě je v článku NATO Considers “Persecuting” Anonymous. Z obsahu:

• Informační věk a představa o ochraně informací v mezinárodních vztazích (Cablegate, reakce na úniky, transparentnost a ochrana informací
• Digitální (h)acktivismus (fenomén hacktivismu, role sociálních médií)
• Kybernetické útoky a kybernetická obrana (typy počítačových útoků, NATO a kybernetická obrana)
• Informace a kybernetická bezpečnost, možnosti mezinárodního společenství

Obecná a firemní bezpečnost IT

International Cyber Security Protection Alliance (ICSPA), to je nová aktivita v boji proti počítačové kriminalitě. Na jejím vzniku se podílelo osm firem:

• Private industry group leaps into the cybercrime fight
• Government backs international cybercrime agency

Data v cloudech z EU nejsou chráněna proti opatřením vyplývajícím z amerických zákonů (Patriot Act) – Microsoft admits Patriot Act can access EU-based cloud data. Připouští to Microsoft. Viz také článek – EU upset by Microsoft warning on U.S. access to EU cloud.

Mrtvý satelit byl oživen – hacknutím! Zmíněný satelit (známý jako „Samba“) patří European Space Agency – Boffins fix dead satellite using ‚dirty hack‘ in space a podle ESA se vrátil k normálnímu fungování.

Objevila se obava – nové top domény mohou být zneužity počítačovou kriminalitou – Top level domain explosion could wreak MAYHEM on NET. Ne všichni však s tím souhlasí. Skeptický v tomto směru je například i Dan Kaminsky, známý bezpečnostní odborník.

Skandálu s nelegálními odposlechy ve Velké Británii je věnován článek BSkyB/News Corp merger: Wait for the cops, says Ofcom. Skandál vedl k ukončení činnosti Murdochových novin News Corp. a pochopitelně následně silně zaměstnává média, např.:

• Cameron backs public inquiry into NotW hacking claims

Testy amerického ministerstva národní bezpečnosti ukazují slabiny lidského činitele. Pokud najdou náhodně pohozené USB klíčenky či optické disky, nálezci (jejich větší polovina – více než 60 procent) je pak zkouší na svých počítačích – Government tests show security's people problem. Viz další podrobnosti na stránce Human Errors Fuel Hacking as Test Shows Nothing Stops Idiocy.

Bývalý pacient žaluje onkologické centrum kvůli nedostatečné ochraně zdravotních dat – Cancer centre accused of not protecting patient data by failing to implement encryption. Centru byl ukraden notebook, na kterém byla nezašifrovaná data týkající se zdravotní situace pacientů. Osm týdnů o tom nebyli pacienti informováni. Došlo pak ke krádeži ID pacienta, neautorizovanému přístupu k jeho bankovnímu účtu, k jeho e-mailu atd.

Microsoft říká, že dnešní bezpečnější SW vede hackery k útokům cíleným na uživatele (phishing, sociální inženýrství). V článku s tímto tématem Microsoft says it is pushing cyber attacks on to the user je komentováno vystoupení Jeba Hadera z Microsoftu.

Bývalý ministr a další z maďarského NBÚ byli obviněni z útoku (hacking) proti vládním IT systémům – Hacking charge seen behind arrest of former spy chiefs. Tito, dnes bývalí činitelé tajných služeb jsou obviňováni ze špionáže.

Prevence ztráty dat (DLP) – jak se s tímto problémem vypořádat v organizacích? Zamýšlí se nad tím P. J. Connolly – A Look at DLP. Uvádí jednotlivé kroky, ve kterých by DLP měla být implementována.

Pětice největších obav IT profesionálů – Top 5 worries keeping IT pros up at night. Podle šetření, které provedla společnost Robert Half Technology (odpovídalo v něm 1400 amerických CIO), to jsou:

• Bezpečnost dat (24 procent)
• Upgrade HW a operačních systémů (13 procent)
• Velké pracovní vytížení (10 procent)
• Dostatečný rozpočet pro financování IT projektů (10 procent)
• Technologické inovace, jejich bezproblémové zajištění (9 procent)

The Latest Security Tool for Your Arsenal: Whitelisting aneb Whitelisting jako bezpečnostní nástroj. O této (nikoliv nové) koncepci rozmýšlí Jim Buchanan.

Makléřská firma Morgan Stanley ztratila CD s informacemi k 34 000 inves­torům – Morgan Stanley Loses CDs Containing Personal Data for 34,000 Investors. Data na CD, které bylo zasláno poštou, nebyla šifrována, pouze chráněna heslem, které není obtížné prolomit.

Sociální sítě

Cesta společnosti Google k sociální síti Google+ je podrobně rozepsána v článku Google's Path to Google+ Took 7 Years. Eric Mack (PCWorld) se v něm ohlíží na historii těchto zámyslů tak, jak se objevovaly za posledních sedm let.

Jaké jsou dnešní podvody na Facebooku? S jejich přehledem přichází Paul Wagenseil – Sneakers, Skype and Incest: Today's Facebook Follies.

Software

Microsoft vydal Security Essentials 2.1 – Microsoft releases Security Essentials 2.1. V článku jsou popsány úpravy, které byly v této verzi provedeny. Hlavní úpravy se vztahují k zlepšení výkonu a je zde obsažen aktualizovaný antivirový motor (stejný jako je ve Forefront Client Security, Forefront Endpoint Protection a Windows Intune Endpoint Protection).

V populárním balíku pro ftp (vsftpd) byla nalezena zadní vrátka – Popular FTP package download tarball poisoned. Verze 2.3.4 zdrojového kódu pro vsftpd byla nahrazena podvrženou verzí. Autor programu Chris Evans však to považuje spíše za žert, a to vzhledem k vlastnostem podvržené verze.

K dispozici je nová verze Nmap – Nmap – 5.59 BETA1 Is Available For Download. Stáhnout si ji lze z webu Nmap.org.

Článek Paula Tero: My Favorite Programming Mistakes je nepochybně velmi zajímavým přehledem častých chyb při programování. Autor chyby dělí na tři kategorie – průšvihy, chyby a přehlédnutí.

Společnost F-Secure hledá beta testery pro svůj nový SW – Internet Security 2012 – Wanted: Internet Security 2012 Beta Testers. Na serveru je nyní beta verze tohoto programu.

Malware

I po uzavření botnetu Rustock existuje stále množství infikovaných počítačů – Many PCs still infected after Rustock botnet shutdown. Podle Microsoftu se z celkového počtu 1,6 miliónu počítačů podařilo vyčistit jen zhruba jejich polovinu. Více než 700 000 počítačů tak nadále existuje jako zombie.
Microsoft se k „nezničitelným“ botnetům vyjádřil – žádný takový neexistuje – No botnet is indestructible.

Hackeři

Společnost Apple byla hacknuta. Je za tím AntiSec? Jeden ze serverů společnosti byl kompromitován a byla ukradena administrátorská data – Apple hacked by AntiSec?. Další komentáře:

• Hackers claims Apple online data was compromised
• Bits: Hackers Claim Small Breach on Apple Site
• Hackers claims Apple online data was compromised
• Move Over, Sony. Now Hackers Are Attacking Apple. iCloud Beware?
• Hackers claims Apple online data was compromised

Zpráva na Pastebin říká – Not Yet Serious.

Hacknutý účet na Twitteru patřící Fox News oznámil smrt prezidenta Obamy – Fox News tweets hacked to show Obama death stories. Viz také:

• Fox News Twitter account announces Barack Obama dead after hack
• Fox Twitter account hacked, claims Obama shot in Iowa
• Fox hackers exploit slow Twitter response (tento komentář poukazuje na slabiny Twitteru či jiných sociálních sítí)

Operace AntiSec budí posměch, čím více „zájemců“ se zapojuje, tím více jsou jejich „úspěchy“ k smíchu. Konstatuje to ve svém článku Operation Antisec lames out again Richard Chirgwin. Uvádí příklad jakoby ukradených výsledků australských voleb – nebyla to data australských voleb, nýbrž voleb v Novém Jižním Walesu a data již byla veřejně dostupná. Viz ale informaci – Abhaxas Dumps Details of the Internal Florida Voting Database Online, kdy aktivity hackera zpochybňují výsledky voleb na Floridě.

Jak se chránit před hacktivisty? Chad Perrin říká – How do you protect yourself from hacktivist groups? – je to spíše sociální než technický problém. Rozebírá aktivity a výroky ze strany Anonymous a LulzSec a uvádí zajímavý závěr – cílem se stanou ti, co mají špatnou pověst.

Rozhovor se Sabu, hackerem z LulzSec, najde čtenář na stránce LulzSec hacker speaks out. V článku není popsáno, jak k rozhovoru došlo.

Hackeři si vybrali nový cíl – jiné hackery. Provokativní vystupování LulzSec probudilo reakce jiných skupin (jako A-Team a dalších jako Team Poison a Web Ninjas) – Hackers Select a New Target: Other Hackers.

Italští vůdcové Anonymous byli zatčeni Italian coppers arrest Anonymous cell. Italská policie zatkla trojici hackerů, jména zveřejněna nebyla. Další související informace – Italian and Swiss cops cuff 15 Anonymous suspects. Dále pak – Arrests in Italy but Anonymous denies the ´dangerous hackers´ tag – Anonymous v souvislosti s těmito zatčeními popírá, že byla likvidována podstatná část italských Anonymous.

Většina členů LulzSec je ve vazbě či na útěku. Vyplývá to z rozhovoru s dvaadvacetiletým šedým hackerem (tak sám sebe označuje), který se jmenuje Mike Major Jr. (jeho online přezdívka je Hann) – Maryland Man Spills Secrets of International Cybercrime Takedown.

Hackeři tvrdí, že se jim podařilo kompromitovat server patřící NATO – Hacking team claims NATO server compromised. Má za tím být tým hackerů, který se označuje jako Inj3ct0r Team.

K jiným hackům:

• DOE Lab Shuts Down Email, Web Access After Sophisticated Cyber-Attack
• Second DOE lab is likely victim of spear-phishing attack
• Washington Post says job seeker data was breached

Pastebin a ukradená data – Using Pastebin Sites for Pen Testing Reconnaissance. Lenny Selzer doporučuje sledovat stránky Pastebin (a vyjmenovává sadu dalších obdobných) – organizace mohou takto také identifikovat průnik.

Anonymous: kdo vlastně jsou? Trevor Pott se pokouší v rozsáhlejším článku ANONYMOUS: Behind the mask, inside the Hivemind zmapovat jejich počátky i jejich podstatu.

Posledním aktivitám Anonymous se věnují články:

• Universal Music passwords exposed by Anonymous hack
• Anonymous attacks Turkish websites again
• A zpráva z Itálie (LulzStorm): Hackers Steal Data from Many Italian Universities

Five Steps To Help Repel The ‚Lulz‘ aneb pět kroků, které mohou pomoci odstrašit hackery. Autor článku (Kelly Jackson Higgins) uvádí následující doporučení (pochází od Karima Hijazi):

1. Go Google-hack yourself
2. Use and enforce strong passwords and multifactor authentication
3. Eliminate SQL injection, XSS, other common website flaws
4. Have a third party host your website
5. Archive your older e-mails offline

Příbuzné tématice (popisu jednoho scénáře útoku) se věnuje také článek House of Cards.

Český rozhlas (stanice Wave) připravil v rámci pořadu Rentgen povídání o hackerech – Hackeři útočí!. Veronika Veselá zde zpovídá Jiřího Donáta a Jaroslava Pinkavu – MP3.

Anonymous plánují vytvoření politické strany – Anonymous eyes underground political role. Hovořilo se o tom ve videu, které Anonymous zveřejnili (již bylo z YouTube odstraněno). Někteří členové Anonymous s postupy zde zmíněnými však nesouhlasí.

Ve světě je dnes asi 6 000 hackerských skupin (a 50 000 těchto „aktérů“) – Who are all these hacker groups?. Ellen Messmer se v tomto článku pokouší rozebrat v jejich struktuře. Samozřejmě v takovémto rozsahu lze zmínit jen některé jejich aktivity.

Kompromitovány byly také servery německé spolkové policie – German Federal Police servers compromised. Ukradena byla data související s GPS sledováním podezřelých osob. Hackeři sami sebe označili jako skupinu NN-Crew.

Hardware

O programu Trusted Integrated Chips (TIC) si lze přečíst na stránkách FedBizOpps.gov. Komentáře k tomuto programu jsou obsaženy v článku:

• Spies, military looking for hacker-, backdoor-proof circuits (článek obsahuje celou řadu dalších odkazů k souvisejícím problematikám)
• a na Schneierově blogu – Research in Secure Chips

Mobilní telefony

Tři bezpečnostní doporučení pro iPhone a iPad obsahuje článek Three iPhone and iPad security tips. Jürgen Schmidt rozebírá podrobnosti k následujícím tipům:

• Uzamkněte přístroj – passcode
• Zašifrujte své zálohy
• Implementujte „kill switch“

Jak jsou zabezpečená data vašeho iPhone? Touto otázkou se zabývá Jürgen Schmidt v rozsáhlejším článku – iOpener. Konstatuje, že případný zloděj se bohužel nejspíše dostane ke všem datům.

Proč je prolomení (jailbreak) iPhone dobré pro bezpečnost – Why iPhone jailbreaks are good for security. To je vlastně reakce na situaci z tohoto týdne, viz např. následující informace:

• Only jailbroken iPhones, iPads can be safe from latest vuln
• New iPad 2 jailbreak tool leverages iOS flaw
• podrobněji: JailBreakMe site rings security alarm for iPhone and iPad users
• Flaws in Apple iOS can be exploited by a malicious PDF

Kevin Mitnick ukázal, jak je jednoduché hacknout telefon – Kevin Mitnick shows how easy it is to hack a phone. Novinářka (Elinor Mills) dala Mitnickovi svolení k přístupu ke své lince a hlasovým zprávám, sdělila mu číslo svého mobilu. Mitnick pak ukázal, že nemá problém (použil techniku Caller ID Spoofing).

Spam

Pozor na spam, který slibuje informace o Google+. Zprávy, které vypadají jako od originálního zdroje, vedou na lékárenský web nabízející zboží jako Viagra atd. Viz tato informace – Spam messages promise Google+ invites, deliver drug ads.

Forenzní analýza a zařízení

Computer forensics training and education opportunities – k počítačové forenzní analýze – pro zájemce být v ní odborníkem. Deb Shinder uvádí možné cesty, kterými lze získat potřebné znalosti.

Facebook Forensics aneb Facebook a forenzní analýza. Studie (má celkem 25 stran) je zaměřená na vyhledávání důkazů k aktivitám Facebooku ve fyzických či virtuálních zařízeních. Stručný komentář (abstrakt) k ní je na stránce Facebook Forensics.

Elektronické bankovnictví

WikiLeaks žaluje Visa Europe, MasterCard Europe a další platební společnosti – MasterCard, Visa face EU complaint over WikiLeaks donations. A to kvůli obstavení služeb po zveřejnění uniklých amerických kabelových informací.

Které banky umožňují podvody s falešnými antiviry? Brian Krebs – Which Banks Are Enabling Fake AV Scams? – informuje o tom, jak odborníci z kalifornské univerzity v Santa Barbaře zjistili cesty, kudy chodí příslušné platby – The Underground Economy of Fake Antivirus Software. Všechny vedou k ruskému platebnímu procesoru Chronopay. Jmenuje pak banky, které souhlasí s platbami za tyto podvodné antiviry. Bohužel – je mezi nimi i Česká spořitelna.

Případ Citigroup ukazuje na vážnost interních nebezpečí – Citi Case Exposes Insider Risks. Gary Foster, bývalý zaměstnanec Citigroup, ukradl Citi a jejím zákazníkům 19 miliónů dolarů. 26. června byl zatčen FBI na Kennedyho letišti po návratu z Bangkoku.

Elektronický podpis

Datové schránky: přihlašování už i s jednorázovými hesly, Jiří Peterka na Lupě: Nový Portál datových schránek obohatil možnosti přihlašování o použití jednorázových hesel. Můžete si je generovat sami, nebo si je nechat posílat na svůj mobil, za 3 Kč za jedno jednorázové heslo.

Přes datovou schránku bude možné spravovat i bankovní účty, z úvodu: Majitelé datových schránek by s jejich pomocí mohli v budoucnu například spravovat své bankovní účty nebo vyřizovat záležitosti s dodavateli energií. Umožnit to má novela zákona, kterou v červnu schválila sněmovna. Už nyní je možné přes datové schránky například podávat daňové přiznání a komunikovat s úřady. Vzniknout má i veřejný seznam datových schránek, obdoba telefonního seznamu.

Různé

Přehled vychází z průběžně publikovaných novinek na Crypto – News.