Hlavní navigace

Bezpečnostní střípky za 52. týden roku 2006

2. 1. 2007
Doba čtení: 5 minut

Sdílet

Pravidelné informace z bezpečnosti IT, které se objevily v posledním týdnu uplynulého roku 2006. Budeme se zabývat především tématy: obecná a firemní bezpečnost IT, software, malware, hackeři, Bluetooth, RFID, spam, autentizace, normy a normativní dokumenty, kryptografie.

Obecná a firemní bezpečnost IT

Na stránkách TechRepublic se objevil následující žebříček nejvíce stahovaných (nejpopulárnějších) článků serveru:

Řídící exekutiva organizací musí brát na zřetel různé typy existujících hrozeb (Data Security and Terrorism Are Top Executive Concerns). Kterých hrozeb se šéfové nejvíce obávají? V žebříčku vede bezpečnost dat (61 procent) a terorismus (55 procent). Dále jsou např. negativní finanční zprávy vztahující se k společnosti (45 procent),… zamítnutý produkt (21 procent), atd.

Problém bezpečného software není řešitelný v dohledné perspektivě. Co nás proto čeká? Paul Roberts v Future-proof your IT security. A new wave of attacks is challenging conventional wisdom about security si položil tuto otázku a konstatuje, že nové typy útoků mění tradiční pohledy a je nutné měnit koncepty obrany. Například velké firmy začínají chápat, že není možné pokrýt všechny možné typy útoků a hledají cesty k vymezení těch objektů, které je nutno chránit v prvé řadě (a samozřejmě vhodné cesty k volbě odpovídajích obranných prostředků).

Software

Výňatek z nové knihy (listopad 2006) The Art of Software Security Testing: Identifying Software Security Flaws (autoři – Chris Wysopal, Lucas Nelson, Dino Dai Zovi a Elfriede Dustin) je věnován popisu existujících různých technik pro hledání bezpečnostních chyb SW. Výňatek najdete na stránkách Computerworld Security.

Známý odborník Petr Gutmann se ve svém posledním článku A Cost Analysis of Windows Vista Content Protection věnuje analýze ochran obsahu ve Windows Vista. Viz také komentář a diskusi na Schneierově blogu. A dále článek Cost Analysis of Windows Vista Content Protection.

A k tématu je i tato zatím snad neověřená zpráva – ochrany HD DVD jsou prý cracknuty (HD DVD reportedly cracked, but difficult to verify ). Viz k tomu rovněž diskusi na Schneierově blogu.

Na internetu se objevila placená služba Decryptum – dešifruje soubory Word/Excel. Během několika minut vrátí berlínský provider soubor – Web service for decrypting password protected Word and Excel documents.

Malware

Sítě botů (botnety) mění obraz kybernetické kriminality. V důsledku toho i Microsoft vidí botnety jako hlavní nebezpečí pro rok 2007 – Microsoft sees botnets as top 07 Net threat Undead PC armies where it's at for serious cybercriminals. Robert McMillan zde v článku diskutuje práci týmu Microsoftu, který vede Aaron Kornblum (Safety Enforcement team – byl vytvořen v roce 2002). Úkolem týmu je boj s kybernetickou kriminalitou. Obdobným tématem se zabývá také Antone Gonsalves v 2006 Declared Year Of The Zombies.

Hackeři samozřejmě o Vánocích nelenili. Komentář k „výsledkům“ jejich činností napsal John Leyden – Xmas malware frenzy. Viz také Santa's Web site hacked.

Obecně toto období je pro různé aktivity tohoto typu velice „vhodné“. Řada nových počítačů (dárek k Vánocům) je nedostatečně vybavena ochranným softwarem. Například  – pozor na novoročního červa. Je obsažen v příloze (postcard.exe) ke zprávám s označením Happy New Year. Instaluje řadu malware včetně dvou rootkitů, vyřadí firewall OS Windows – Hackers Spam ‚Happy New Year‘ Worm.

Hackeři

How Hackers Are Using Google To Pwn Your Site – článek popisuje bezprostřední zkušenosti vlastníka webu. Hacker našel slabá místa tohoto webu použitím nástroje Google Code Search. Google je skutečně mohutný nástroj, asi se ještě dočkáme různých překvapení, co se ještě s jeho prostřednictvím dá najít.

Bluetooth

23rd Chaos Communication Congress – new hacker tools for Bluetooth – objevily se nové hackerské nástroje pro Bluetooth. Jedná se o BTCrack a Hidattack. Využitelnost zjištěných zranitelností je však omezená – potřebný snifer není lacinou záležitostí.

RFID

Pas s RFID čipem a jak tento čip vyřadit z provozu, tím se zabývá článek http://www.wi­red.com/wired/ar­chive/15.01/star­t.html?pg=9. Obavy ze ztráty soukromých dat vedou až k takovýmto návodům…

Spam

Spam on the rise with new breeds. Researchers say spam has risen significantly in recent months – by as much as 80 percent – kde jsou předpovědi úspěšného boje se spamem? Ty současné naopak říkají: spam v příštím roce poroste a podle předběžných odhadů až o dalších 80 procent.

Priyanka Agrawal (Intent Based Filtering of Spam) diskutuje použití technologií na bázi umělé inteligence pro rozpoznání spamu (tj. jeho filtrování na základě obsahu).

Autentizace, hesla, biometrie

Anick Jesdanun v článku Web ‚safe‘ mark may elude new merchants. Companies may not qualify for the online seals of approval big retailers get říká: EV certifikáty – noví obchodníci budou mít problém. Tzv. extented validation certificates a zelená v prohlížečích mohou být účinnou zbraní proti phishingu. Ale dosáhnou na ni všichni?

Normy a normativní dokumenty

Vyšla další verze připravovaného rozsáhlého rfc, které má nahradit rfc 3280, 4325 a 4630:

A také již 30. verze draftu

Kryptografie

A New Identity Based Encryption Scheme From Pairing – studie (autoři – Xianhui Lu , Dake He a Guomin Li) je věnována návrhu schématu IBE (Identity based Encryption – šifrování na základě ID) konstruovaného z kryptografického párování. Uvedené schéma má být dle autorů prokazatelné bezpečné. Východiskem je tzv. slabá bilineární DH hypotéza.

Návrh nového typu hashovací funkce (dynamické hashovací funkce) se objevil ve studii Dynamic Cryptographic Hash Functions. Autory studie jsou William R. Speirs II and Samuel S. Wagstaff, Jr. Tyto hashovací funkce závisí na dvou parametrech (místo jednoho). Přídavný parametr je spojen s interními funkcemi algoritmu a a velikostí vzniklého otisku (hashe). Materiál obsahuje i důkaz bezpečnosti uvedené konstrukce.

bitcoin_skoleni

Různé

Přehled vychází z průběžně publikovaných novinek na Crypto – News.

Tímto pokračováním se loučím se serverem Root, doufám však, že nikoliv se čtenáři. Výše uvedené každodenní novinky na stránkách Crypto-worldu se budou objevovat i nadále. Je také připravován seriál s názvem Ze světa bezpečnosti IT, který bude vycházet na Intervalu. Děkuji čtenářům Rootu a také šéfredaktorovi Petru Krčmářovi.

Autor článku