Bezpečnostní střípky: Obamova nová strategie kybernetické bezpečnosti

Obama a nová strategie kybernetické bezpečnosti

Jeden z četných komentářů k vystoupení prezidenta USA Baracka Obamy v Bílém domě je obsažen v článku Briana Krebse – Obama: Cyber Security is a National Security Priority. Souběžně s touto událostí byl vydán dokument Cyberspace Policy Review (76 stran).
Tento dokument obsahuje následujících deset doporučení (nepřekládám – raději z pochopitelných důvodů ponechávám původní anglické znění):

1. Appoint a cybersecurity official responsible for coordinating the Nation’s policies and activities with dual reporting to the National Security Council and National Economic Council. The new policy chief would establish a new NSC directorate to coordinate interagency strategy and policy
2. Prepare an updated national strategy to secure the information and communications infrastructure
3. Designate cybersecurity as one of the President’s key management priorities and establish performance metrics
4. Designate a privacy and civil liberties official to the NSC cybersecurity directorate
5. Identify legal issues and recommend policies that would clarify roles, responsibilities, and the agency authorities needed to coordinate cybersecurity-related activities across the Federal government
6. Initiate a national public awareness and education campaign to promote cybersecurity
7. Develop U.S. Government positions for an international cybersecurity policy framework and strengthen international partnerships in this area
8. Prepare a cybersecurity incident response plan; enhance public-private partnerships to streamline, align, and provide resources to increase their contributions and engagement
9. Conduct R&D on game-changing technologies that have the potential to enhance the security, reliability, resilience, and trustworthiness of digital infrastructure
10. Build a cybersecurity-based identity management vision and strategy that addresses privacy and civil liberties interests, leveraging privacy-enhancing technologies for the Nation

Z řady dalších komentářů:

• Obama launches cybersecurity initiative
• Fending Off Attacks in Cyberspace
• Obama´s Cyber­security Speech (blog Bruce Schneiera)
• Obama gives fresh impetus to cybercrime battle

A komentáře, které předcházely Obamovu vystoupení:

• Obama Set to Create A Cybersecurity Czar With Broad Mandate
• Cybersecurity Crossroads: Will White House Czar Choose the Right Path?
• U.S. cybersecurity report to be issued Friday

Reakci na dokument Bílého domu – Cyberspace Policy Review – najdete na stránce Reactions to the White House cybersecurity review. Je to vyjádření zástupců firem a institucí, které mají blízko k problematice kybernetické bezpečnosti.

Plány Pentagonu a nové pojetí kybernetické bezpečnosti jsou zase předmětem článku Pentagon Plans New Arm to Wage Cyberspace Wars. David E. Sanger a Thom Shanker komentují očekávaný vývoj amerických snah v oblasti kybernetické bezpečnosti ve vztahu k americkým ozbrojeným silám. Kromě neutajované zprávy zveřejněné Obamou v pátek jsou očekávány další, tentokrát již veřejnosti neurčené, materiály, které stanoví nové odpovědnosti armády a cesty, kterými bude probíhat koordinace těchto aktivit s NSA.

Pentagon hledá náctileté hackery – Pentagon Seeks High School Hackers. Je připravována akce Cyber challenge, kde mohou tito mladí lidé ukázat své dovednosti v oboru. Ale v přípravě jsou i další akce.

Anti-američtí hackeři infiltrovali armádní servery – Anti-U.S. Hackers Infiltrate Army Servers. Známý klan „computer hacking“ úspěšně pronikl nejméně do dvou citlivých webových serverů, které provozuje U.S. Army. Viz také – Report: Turkish hackers breached U.S. Army servers

Obecná a firemní bezpečnost IT

Piráti, třeste se! – David Procházka na dsl.cz k České protipirátské unii.

Také finská armáda zbrojí ve vztahu ke kybernetické bezpečnosti – Finland to found cyberwar unit -TS . Bude vytvořena speciální jednotka pro kybernetickou válku, mj. jejím úkolem bude chránit datové komunikace vlády.

Aktuální informace k výzkumu bezpečnostních metrik obsahuje článek Security metrics research. Mich Kabay komentuje některé význačné materiály, které byly v tomto směru zpracovány (najdete zde i příslušné odkazy).

Společnost McAfee identifikovala nejvíce nebezpečná vyhledávání na internetu – McAfee IDs Most Dangerous Web Search. Kde „přijdete“ k malware s největší pravděpodobností? Podle McAfee je to tam, kde hledáte něco, co chcete mít zadarmo – hudbu, spořiče obrazovky – anebo pokud hledáte práci, kterou můžete provádět z domova. Zde je odkaz na samotnou zprávu – The Web’s Most Dangerous Search Terms. Další komentář k výsledkům zprávy je pak zde – The most dangerous and safest Web searches.Podle zprávy (str.4) existují také pro Českou republiku vysoce riskantní klíčová slova.

Predators on Social Networks aneb predátoři, které potkáváme v sociálních sítích. Tony Bradley ve svém článku nejprve hovoří o problémech typu – sexuální predátoři a obtěžování dětí jako hrozba mladým obětem. Uvádí pak pět doporučení cílených k tomu, aby se návštěvník sociálních síti nestal obětí.

Seznam.cz o nebezpečí internetu: perverzní uživatelé číhají na vaše děti. Krátká informace Davida Polesného: Seznam.cz spustil projekt, který má sloužit jako upozornění na nebezpečí, které číhá na internetu.

A jak jsou na tom české děti s Internetem – to se můžete dozvědět z článku Jana Handla na Lupě – České děti a Internet.

Soukromí se nevzdáme, říkají lidé. Snad jenom …za peníze, ukázal průzkum. Z úvodu tohoto článku Jana Gazdíka: Češi nevěří státu, že je schopen chránit citlivá data o nich, jejich pohybu či elektronické komunikaci. Proto mu je odmítají sdělit. Ale za peníze jsou už lidé ochotni vzdát se svého soukromí téměř úplně. Přesněji řečeno, za hodně málo peněz. Zjistil to unikátní průzkum vědců v šesti zemích včetně Česka.

Software

.Net Framework 4.0 – umí pracovat i s dlouhými čísly, to je mimo jiné zajímavé i pro kryptografii – .Net Framework 4.0: Introducing BigInteger.

Don Reisinger ve svém článku o bezpečnosti Windows vista říká: OS Windows Vista byl kritizován za nedostatky ve vztahu k bezpečnosti. Zakládá se tato kritika na pravdě? V závěru článku pak autor shrnuje: I když Vista nejsou perfektní, jsou lepší, než říká kritika. Pro podniky jsou stále dobrou volbou – Correcting the Rhetoric: Windows Vista Is Secure.

Microsoft vydal Service Pack 2 pro Windows Vista a Server 2008 – Microsoft releases Service Pack 2 for Windows Vista and Server 2008. Zatím je k dispozici v následujících jazycích: angličtina, němčina, francouzština, japonština a španělština.

Nessus – byla vydána nová verze 4.0.1, nové vydání tohoto skeneru zranitelností obsahuje opravu řady menších chyb a podporu pro další autentizační schémata – Nessus 4.0.1 released.

Nástroj pro analýzu zranitelností používaný NSA je nyní komerčně dostupný. Jedná se o nástroj s označením Cauldron, vyvinutý univerzitním centrem (George Mason) a americkým ministerstvem národní bezpečnosti v rámci grantu, který financovala NSA – NSA-Funded ‚Cauldron‘ Tool Goes Commercial .

Application Security – zde najdete příručku (je sponzorována společností Thawte), která obsahuje několik článků věnovaných následujícím tématům:

• Při návrhu webů musí být zvažována bezpečnost prohlížečů
• Jak vyvinout bezpečné aplikace
• Podstatné faktory při modelování hrozeb webovým aplikacím

Objevila se také nová verze (s označením 2.8.5) programu Snort – Snort: 10 year anniversary and new beta. Již deset let je tento SW používán k ochraně sítí. Aktuální (beta) verzi si můžete stáhnout zde – download.

Malware

Gumblar – tento útok je horší než Conficker. V článku Experts: Gumblar attack is alive, worse than Conficker najdete mimo jiné i postup, jak zjistit, zda váš počítač je infikován Gumblarem. Nejlepší postup, jak vyléčit infekci je „kompletní zformátování a reinstalace“ a je třeba také změnit přihlašovací data, která byla uložena na infikovaných počítačích (Elinor Mills).

Pushdo/Cutwail Botnet: Second to none when it comes to spamming – aneb k jednomu botnetu – Pushdo/Cutwail. Michael Kassner se ve svém článku obrací k spamovacímu botnetu, který produkuje skoro 8 miliard zpráv každý den. Tento botnet zde již funguje tři roky a zatím relativně unikal obecné pozornosti.

Na 30 000 legitimních stránkách se objevila nová infekce – PC-pwning infection hits 30,000 legit websites. Dan Goodin v tomto článku informuje o nových zjištěních firmy Websense.

Michael Kassner se v článku Botnets: They do have the option to self-destruct (Botnety, které se sami zlikvidují) vrací k případu botnetu Zeus.

Boji se zapakovaným (zabaleným) malware je věnována studie Generic Unpacking of Self-modifying, Aggressive, Packed Binary Programs. Piotr Bania navrhuje pro tyto účely novou techniku, nazývá ji MmmBop.

Viry

Odkud pochází největší procenta počítačových virů? Podle stručného komentáře – Three per cent of the world's viruses are emanating from the UK – k analýze společnosti Network Box odpovídají USA za 17.2 procenta virů, Jižní Korea za 6 procent a Velká Británie za 3 procenta virů.

Hackeři

Hackeři začali napadat i české uživatele Facebooku, kradou jim data. Z úvodu článku Miroslava Fišera: Česká komunita uživatelů služby Facebook je v ohrožení. Od pondělí se totiž jejich schránky se zprávami plní falešnými vzkazy od známých, které mají uložené ve svém kontaktním seznamu. Z nich se může do počítače nainstalovat trojský kůň, který sbírá citlivé informace o uživateli. Podobné masivní útoky se administrátoři serveru přitom snaží odrážet už od poloviny května. V připojené diskusi jsou i některé osobní zkušenosti.

Hacknutý počítač a jeho zůstatková cena – The Scrap Value of a Hacked PC. Co vše se může objevit na hacknutém počítači, ne, není toho málo. Autor (Brian Krebs) rovněž připojil k článku přehledné grafické zobrazení. Všimněte si také diskuze pod článkem.

Hardware

Hrozby související s používáním USB flash disků nejsou malé – USB Thumb Drives: Tiny IT Security Terrors. John Edwards definuje strategii, která by dle jeho názoru měla pomoci čelit těmto hrozbám.

• Porozumějte charakteru hrozeb
• Zformulujte politiku
• Využívejte šifrování
• Vychovávejte zaměstnance

Mobilní telefony

Bezpečnostní hodnocení BlackBerry obsahuje dokument – CAN-US Security-Enhanced BlackBerry Trial. Materiál je sice z roku 2007, ale může nepochybně zaujmout všechny, kdo se podobným hodnocením zabývají či se o ně zajímají.

Spam

V současné době tvoří spam 90 procent všech e-mailů – Report: Spam now 90 percent of all e-mail. Vyplývá to ze statistik, které zveřejnila společnost Symantec. Viz také komentář v článku Report: Spammers Work by US Clocks and Target Facebook, Twitter.

Elektronické bankovnictví

Nový zákon: Když ztratíte platební kartu nebo mobil, můžete být klidní. Žádné poplatky za zablokování karty, ukradené peníze vrátí banka – od listopadu se mění pravidla pro karty i mobily. Autorkami článku jsou Olga Skalková a Mirka Jirsová, nepřehlédněte diskuzi.

Normy a normativní dokumenty

Payment Card Industry Data Security Standard – materiál společnosti Symantec, který obsahuje stručný přehled požadavků normy.

Kryptografie

Odborníci z Indie přichází s vlastním návrhem nového kryptosystému s veřejným klíčem, který je založený na využití permutačních p-polynomů. Úvod studie obsahuje stručné shrnutí popisu současného stavu problematiky kryptografie s veřejným klíčem – Public Key Cryptography Using Permutation P-polynomials.

Jakou kryptografii budeme používat v příštím desetiletí? Bill Lattin se ve svém článku – Upgrade to Suite B security algorithms  – věnuje souboru algoritmů z tzv. NSA Suite B (obsahuje mj. eliptickou kryptografii), poukazuje na související výhody. Cituje doporučení v příručkách amerického NISTu a ANSI. Zároveň kritizuje jak poskytovatele řešení tak i uživatele, že těmto doporučením je věnují nedostatečnou pozornost.

Zaujme diskuze na Schneierově webu k studii Hiding Information in Retransmissions (jejími autory jsou Wojciech Mazurczyk, Milosz Smolarczyk a Krzysztof Szczypiorski). Jedná se o netradiční využití steganografie. Viz také komentář v článku – Hiding secret messages in internet traffic: a new how-to.

Různé

Přehled vychází z průběžně publikovaných novinek na Crypto – News.