Hlavní navigace

Bezpečnostní střípky za 10. týden roku 2006

Jaroslav Pinkava 13. 3. 2006

Pravidelné informace z bezpečnosti IT, které se objevily v uplynulém týdnu: Konference, přehledy, obecná a firemní bezpečnost IT, software, VoIP, hackeři, internetové podvody, rhybaření, rootkity, autentizace, hesla, normy a normativní dokumenty, kryptografie, generátory náhodných čísel.

Konference, přehledy

Ve dnech 28.2 – 1.3. 2006 se v Amsterodamu konala konference Black Hat Europe. Na tomto odkazu najdete přehled klíčových vystoupení a zde pak prezentace.

Mikko Kiviharju předvedl analýzu čtečky otisku prstu firmy Microsoft – Hacking fingerprint Scanners – Why Microsoft's Fin­gerprint Reader Is Not a Security Feature. Tato čtečka jednoznačně nemůže sloužit k ochraně citlivých dat – Researcher hacks Microsoft Fingerprint Reader. Viz také Čtečku otisků prstů od Microsoftu lze snadno oklamat.

Joanna Rutkowska – Rootkits vs. Stealth by Design Malware – se zabývala mj. pohledem na malware z hlediska jeho životního cyklu, míst, ve kterých se malware může ukrývat, a jeho potenciálních aktivit uvnitř operačního systému. Na základě toho pak prezentovala svůj pohled na klasifikaci malware.

Z dalších přednášek zaujmou např. – Combatting Symbian Malware (Jarno Niemelä), Implementing and Detecting An ACPI BIOS Rootkit (John Heasman) a Silver Needle in the Skype (Philippe Biondi, & Fabrice Desclaux). Posledně jmenované vystoupení obsahuje kritické pohledy na Skype (očima síťového administrátora – bezpečnost), jak z hlediska jeho využívání ve firemním prostředí, tak i z hlediska řady jeho vlastností. Autoři říkají – Skype navrhli chytří lidé, kryptografie v něm obsažená je kvalitní. Ale je např. obtížné prosazovat bezpečnostní politiky, implementovat ochrany proti útokům (ve vztahu ke Skype), monitorovat provoz atd.

Symantec vydal Internet Security Threat Report – Trends for July 05 – December 05 – to je odkaz na článek komentující zprávu a shrnující předkládané výsledky. Samotnou zprávu pak najdete na stránkách Symantecu (nezbytná je registrace). Je to v pořadí již devátá zpráva firmy Symantec tohoto typu. Útoky, se kterými se setkáváme na internetu stále více, jsou útoky, které se snaží nenápadně ukrást data (pro finanční zisk) a přitom neudělat žádné viditelné škody na systému. Poškozený uživatel tak nemá o průniku často žádnou zřejmou informaci. Podle statistik mezi padesátkou „top“ malware je takovýchto škodlivých kódů v současné době již celých 80 procent (dle minulé zprávy to bylo 74 procent). Rostou počty útočníků, kteří se opírají o využití botnetů (sítě zombie počítačů), počty cílených útoků na webovské aplikace a webovské prohlížeče. Symantec zaregistroval průměrně 1402 útoků DoS denně (nárůst o 51 procent oproti předešlému období). Ze zranitelností, které byly Symantecu oznámeny, se jich 69 procent týkalo technologií pro webovské aplikace (nárůst o 15 procent oproti předešlému období). Další důležitá zjištění:

  • Největší nárůst botů zaznamenala Čína – 37 procent
  • Roste počet rhybářských hrozeb (v druhém pololetí 2005 to bylo cca 8 miliónů pokusů denně)
  • Symantec v tomto období zadokumentoval 1895 softwarových zranitelností.
  • Klesá počet nových virů a červů.

Obecná a firemní bezpečnost IT

10 of the Best for Security formuluje Sue Bushell (podle americké IT výzkumné firmy Aberdeen Group) nejlepší postupy pro zvládání bezpečnostních problémů (v širokém spektru).

  • 1. Oceňte svá rizika (na základě zevrubné analýzy rizik)
  • 2. Definujte své hranice (odkud a kam)
  • 3. Používejte technologická bezpečnostní řešení více firem (některá řešení umožňují to, jiná zase ono…).
  • 4. Prodejte svůj program (výchovou lidí, bezpečnostní politikou, podporou managementu, postoj k bezpečnosti musí být i součástí kritérií pro hodnocení pracovníků, bezpečnost se týká i externích pracovníků atd.)
  • 5. Proveďte příslušná opatření (firma má mít definovány cíle své výkonnosti a s tím související metriky, je třeba kontinuálně s nimi pracovat)
  • 6. Zaveďte využívání některých norem (certifikace dle ISO 17799,…)
  • 7. Školte své lidi, poukazujte na omyly a nedopatření (příkladem, který jak zkušenost ukazuje, funguje v řadě situací, je hackery využívané sociální inženýrství)
  • 8. Používejte biometrické postupy (zde je argumentováno nedostatečností využívání pouze samotných hesel – při zalogování – dvoufaktorová autentizace má přinést vyšší bezpečnost)
  • 9. Vyhněte se často se vyskytujícím chybám (používání nevhodného softwaru, často vyvinutého v samotné organizaci, software však nerespektuje bezpečnostní hlediska).
  • 10. Nezapomeňte na kontroly (zde se materiál odkazuje na PCN – Process Control Network)

Budeme jednou mít absolutně bezpečné počítače? Tuto otázku si klade Anton Chuvakin v zajímavém zamyšlení – Will security ever „get done?“ Samozřejmě – nejprve si musíme ujasnit, o jaké bezpečnosti chceme v tomto smyslu hovořit. Autor ukazuje některé argumenty pro obě strany problematiky – proč některé problémy by měly být v budoucnosti vyřešeny a naopak proč se budou některé problémy objevovat i v budoucnu, resp. proč budou vznikat i nové problémy. Autor pak shrnuje: Řada problémů (IT bezpečnosti) bude vyřešena, ale s rozvojem nových technologií, používáním nových myšlenek atd. budou vznikat další.

Budoucností (ale spíše z pohledu ochrany soukromí) se zabývá také Bruce Schneier v Your vanishing privacy. Komentáře k článku najdete pak na Schneierově blogu. Důsledky počítačové éry se v této oblasti projevují velice silně. Systémy sledování se zdokonalily, ať jsou to průmyslové kamery, odposlechy telefonů či monitoringy samotných počítačových aktivit (e-maily, e-obchod,…). Nastupují čipy RFID, mobilní telefon lze lokalizovat s přesností na desítky metrů, obdobně nás prozradí používání bluetooth a bezdrátových zařízení. Autor na závěr říká, že jedinou možnou cestou boje proti zneužívání takto získaných informací jsou vhodná nastavení legislativy.

Jakých služeb se týkají nejčastěji práce konzultačních firem v oblasti ochrany dat, shrnují výsledky malého průzkumu v USA. Čtenáře o nich informuje Jay Cline v  – The best privacy consultancies . Vyjmenovává následující:

  • volba strategií pro dosažení shody s legislativou
  • zpracování auditu a kontrol
  • zpracování bezpečnostních politik
  • pomoc při jednáních o smlouvách, např. pro outsourcing
  • pomoc při náhlých problémech (úniky dat, spory)
  • zavádění kontrol (bezpečnost a ochrana dat)
  • pomoc v marketingových kampaních

Se zdravotnickými záznamy se stále častěji pracuje v elektronické podobě a vznikající bezpečnostní rizika jsou předmětem diskusí. Jedná se jak o možné úniky informací tak i o potenciální jejich zneužití (např. zdravotními pojišťovnami, zaměstnavateli možná tzv. genetická diskriminace, atd.) – IT Security Issues Pose Major Risk for E-Healthcare.

Objevila se informace o krádeži osobních a finančních dat 17 miliónů zákazníků systému iBill (tato firma se zabývá platbami za návštěvy porno stránek). Ukradená data měla být prodávána na černém trhu Porn Billing Leak Exposes Buyers. Avšak podle následujícího prohlášení společnosti iBill se nejedná o její záznamy (ze 17 miliónů jen tři jednotlivé záznamy má iBill ve svých databázích) – Adult payment firm denies customer records breach. Tedy nabízené seznamy za 300 dolarů – jsou podvrh.

K problémům technologických plánů NSA se vyjadřuje Siobhan Gorman v Computer ills hinder NSA. Článek obsahuje popis aktuálních otázek spojených s využitím počítačových technologii pro potřeby této mohutné organizace. Zmiňované programy Cryptologic Mission Management a Groundbreaker se nepodařilo uskutečnit se zamýšlenými výsledky.

Software

Jak to vlastně je se zranitelnostmi, jejich zveřejňováním, významem, atd.? Jason Miller na SecurityFocus – The value of vulnerabilities – se pokouší o určitý celkový nadhled nad touto problematikou.

V článku Web application security testing tools popisuje Kyle Maxwell své zkušenosti s některými nástroji pro testování bezpečnosti webovských aplikací (např.: WebInspect , AppScan, Nikto, Nessus, Webfuzzer, Webscarab, atd.)

Amir Herzberg ve své studii – Protecting web users from phishing, spoofing and malware – podává zajímavý přehled hlavních problémů bezpečnosti současného webu spolu s celou řadou podrobnějších informací. Zájemcům lze patnáctistránkovou studii jen doporučit.

Microsoft popírá existenci zadních vrátek u Windows Vista – No backdoor for Vista – MS. Profesor Ross Anderson (UK) to však prý požadoval.

Byla doplněna beta verze Microsoft OneCare – přidán byl mj. antispyware.

Linux – bezpečné lze odstranit soubory pomocí příkazu -shred (v článku jsou popsány i různé switche a také externí použití s live CD) – CLI Magic: Securely deleting files with shred.

VoIP

Největší obavy okolo IP telefonie vzbuzuje bezpečnost – Customers voice concern over IP telephony security (Alcatel Enterprise Forum).

Stručná informace – Skype 5-way Calling Limit Cracked – a rozsáhlá diskuse.

Hackeři

Na Techrepublic si můžete stáhnout první kapitolu knihy 1337 h4×0r h4ndb00k a jestli chcete zapadnout do hackerské komunity anebo se alespoň na toto téma pobavit – lze jen doporučit.

Z e-mailu (ruských) hackerů:

  • Dear Sir/Madam, Hello! We are internet hackers crew. We propose you for sale some interesting things: private exploits – stolen credit cards and bank accounts – we infect users PCs with your trojan for low process (1,000 infected PCs for $25).
    You can use this hosting for any scam/fraud and nobody will close it…We are now spamming 5 million people, look out, the domain is alive as always and never gonna be down!

Viz SCMagazine.

Na téma IP spoofing a jeho současný stav najdete stručnou úvahu (včetně několika dalších odkazů) v článku Dancho Dancheva The current state of IP spoofing.

Internetové podvody, rhybaření

Asi se shodneme, že je smutné, když se velmi starý člověk stane obětí internetového podvodu – Psychiatrist ‚gave millions to email scammers‘. Tentokrát se jednalo o amerického psychiatra (89 let) a tzv. nigerijské dopisy. Přišel o tři milióny dolarů.

Na téma Citibank a rhybaření v Česku se objevilo na internetu více článků. Analyticky se k problému staví autoři článku Analýza phishing podvodu zaměřeného na klienty Citibank.

Souběžně s tím byla Citibank i předmětem jiného typu útoku (karty ATM) – Class Break of Citibank ATM Cards a to v Kanadě, Velké Británii a Rusku. A ani Polsko nezůstalo stranou – CitiBank Handlowy S.A ukrywał, że go okradli a další podrobnosti k tomu lze najít na dvou odkazech uvedených na této stránce.

Jako odpověď na sílící ochrany uživatelů před rhybařením (identifikace a vzápětí likvidace podvodných webů) vymysleli rhybáři nový trik. Útočí s pomocí tzv. rychlého přesměrování, kdy existuje řada podobných podvodných webů a URL ve falešném mailu nasměruje klamaného uživatele na speciální IP adresu (redirektor). Tento rychle otestuje, který z podvodných webů ještě funguje a uživatele tam přesměruje – Phishing fraudsters aim to outpace site shutdowns. Trik byl použit i u „českého“ phishingu – Páteční útok na klienty CityBank používal nový trik.

Rootkity

Hacker Defender – autor již nebude nabízet svoji tzv. antidetekční službu – Rootkit withdrawn from sale (služba stála několik set euro). Viz také F-Secure

Autentizace, hesla

Jako nástroj k autentizaci je navrženo použití fotografie – Photos as Passwords Foil Hackers. Je to zajímavý přístup pro malá elektronická zařízení (PDA, mobily resp. přístup k bankomatu), ale i pro přihlašování na webu – místo PINu, hesla atd.

Identity Theft for dummies aneb podrobněji o krádežích identity, autorem zajímavého článku je Fabio Ghioni.

Hackeři prý nemají šanci – ve vztahu k nové technologii biometrie otisku prstu – New scanner thwarts finger hackers. Otisk, který ověřením projde, zaručuje také, že použitý prst je stále součástí svého majitele.

Šest tipů pro bezpečné nakupování on-line najdete v článku 6 tips for shopping safely online:

  • známé jméno prodejce – známka lepších ochran
  • pokud pochybujete, prověřujte
  • šifrování ještě neznamená bezpečnost
  • sdílené počítače a online nákupy nejdou dohromady
  • plaťte kreditní kartou (raději než debetní)
  • podezřívej podezřelé (např. pokud se vás vyptávají na další data – narození, atd.)

Normy a normativní dokumenty

Nové dokumenty:

Kryptografie

Indický kryptolog Ashish Sharma přichází s návrhem schématu FastFlex (efflex). Na jeho základě konstruuje jak proudovou a blokovou šifru, tak i hashovací funkci a také MAC (Message Authentication Code). Zdrojový kód a další materiály lze stáhnout na adrese FastFlex – web. Nezkusíte, jak je to s kryptografickou bezpečností navržených schémat?

Dva nové články ke kryptoanalýze RSA opublikoval Abderrahmane Nitaj – 1, 2. Autor ukazuje na nebezpečí volby veřejného exponentu e, a to v případech, kdy omezujeme jeho velikost, resp. (druhý článek) pokud je splněna jistá diofantická rovnice (pro e).

Generátory náhodných čísel

Důkladnému rozboru podrobili generátor náhodných čísel, který je používán v Linuxu, autoři článku Analysis of the Linux Random Number Generator. Je poukázáno na celou řadu nedostatků. Kromě špatné dokumentace a množství existujících záplat jsou to bohužel i některé bezpečnostní chyby.

Různé

Pro zájemce – několik článků na téma steganografie:

cDc (Cult of the Dead Cow) vyhlásil válku Googlu – Congressional Hearing Exposes Goolag; Cult of the Dead Cow Flies Again. Důvodem je spolupráce s čínskými cenzory.

V článku Windows Physical Memory Analysis diskutuje autor některé nástroje, které umožňuji analýzu fyzické paměti počítačů.

Přehled vychází z průběžně publikovaných novinek na Crypto – News.

Našli jste v článku chybu?
Vitalia.cz: „Připluly“ z Německa a možná obsahují jed

„Připluly“ z Německa a možná obsahují jed

Podnikatel.cz: K EET. Štamgast už peníze na stole nenechá

K EET. Štamgast už peníze na stole nenechá

DigiZone.cz: Česká televize mění schéma ČT :D

Česká televize mění schéma ČT :D

Podnikatel.cz: Přehledná titulka, průvodci, responzivita

Přehledná titulka, průvodci, responzivita

Root.cz: Vypadl Google a rozbilo se toho hodně

Vypadl Google a rozbilo se toho hodně

Vitalia.cz: Chtějí si léčit kvasinky. Lék je jen v Německu

Chtějí si léčit kvasinky. Lék je jen v Německu

Vitalia.cz: Jsou čajové sáčky toxické?

Jsou čajové sáčky toxické?

120na80.cz: Rakovina oka. Jak ji poznáte?

Rakovina oka. Jak ji poznáte?

Vitalia.cz: To není kašel! Správná diagnóza zachrání život

To není kašel! Správná diagnóza zachrání život

Lupa.cz: UX přestává pro firmy být magie

UX přestává pro firmy být magie

Podnikatel.cz: EET zvládneme, budou horší zákony

EET zvládneme, budou horší zákony

120na80.cz: Jak oddálit Alzheimera?

Jak oddálit Alzheimera?

DigiZone.cz: ČT má dalšího zástupce v EBU

ČT má dalšího zástupce v EBU

Lupa.cz: Google měl výpadek, nejel Gmail ani YouTube

Google měl výpadek, nejel Gmail ani YouTube

Podnikatel.cz: Prodává přes internet. Kdy platí zdravotko?

Prodává přes internet. Kdy platí zdravotko?

Měšec.cz: U levneELEKTRO.cz už reklamaci nevyřídíte

U levneELEKTRO.cz už reklamaci nevyřídíte

Lupa.cz: Co se dá měřit přes Internet věcí

Co se dá měřit přes Internet věcí

DigiZone.cz: Sony KD-55XD8005 s Android 6.0

Sony KD-55XD8005 s Android 6.0

Podnikatel.cz: EET: Totálně nezvládli metodologii projektu

EET: Totálně nezvládli metodologii projektu

Měšec.cz: Jak vymáhat výživné zadarmo?

Jak vymáhat výživné zadarmo?