Beyond belief: Fact or fiction
Podívejme se na příběh dominantní ženy, která kdesi na středozápadě ztratila nadvládu nad svým otrokem. Jak byste vysvětlili, že otrokářka nedokázala osvobodit svého podřízence z jeho sevření a bezmoci? Mohou snad za jeho stav démoni? Je náš příběh založen na skutečnosti, nebo se vás jen snažíme ovládat smyšlenkami? To se dozvíme na konci pořadu. Tedy pardon, článku. Zatím se podívejme na vážnější zprávy z právě uplynulého týdne.
Možná vám to uniklo…
Společnost Ubiquti v pondělí 11. ledna varovala své uživatele, že pravděpodobně došlo k úniku přihlašovacích údajů jejích uživatelů. Jisté to není, ale nelze to ani vyloučit. Mohla tedy uniknout jména a e-mailové adresy včetně hašovaných a osolených hesel používaných zákazníky pro přístup ke cloudovým produktům.
Pokud používáte produkty této firmy, měli byste si změnit heslo, doporučuje Ubiquti, a nastavit dvoufaktorové přihlašování. Pokud, nedejbože, máte stejné přihlašovací údaje i u jiných služeb, změňte si je také tam (a na něco odlišného, radí tým CESNET-CERTS). Bohužel, nic není dokonalé, a tak můžete narazit na fakt, že některým systémům firmy Ubiquti i přes nastavený dvoufaktor stačí běžné přihlášení.
Ukradněte to bez drátů, milý Marconi!
U dvoufaktorového přihlašování zůstaneme, přejdeme pouze k společnosti Google. Ta prodává autorizační token Google Titan, který je v našich zeměpisných šířkách spíše vzácností. Ne však Yubikey, kterého se zranitelnost CVE-2021–3011 bohužel také týká. Nepěkný člověk může u těchto zařízení zkopírovat privátní klíč prostřednictvím elektromagnetického postranního kanálu jednoho z osazených čipů.
Zneužít zranitelnost samozřejmě není nic jednoduchého, škodič musí nejprve ukrást jméno a heslo uživatele, následně musí mít fyzický přístup k U2F zařízení a následně vlastnit technologii za bratru 260 tisíc korun, aby se věc podařila. Ale jde to. Dokazuje to šedesátistránkový dokument [PDF].
Pro upřesnění: Zneklidněni buďte, pokud vlastníte a pro dvoufaktorové přihlašování používáte některý z těchto produktů: Google Titan Security Key (všechny verze), Yubico Yubikey Neo, Feitian FIDO NFC USB-A / K9, Feitian MultiPass FIDO / K13, Feitian ePass FIDO USB-C / K21 a Feitian FIDO NFC USB-C / K40.
Copak se to zase děje?
Co je to? Je toho plný Internet, jistě jste o tom leccos četli, možná máte rádi Elona a tak od toho utíkáte, a psali jsme o tom v minulém čísle Postřehů. Ano, správně, je to WhatsApp. Změna zásad ochrany osobních údajů, držených touto aplikací, vzbudila obrovskou vlnu nevole a nebývalý exodus uživatelů ke konkurenčním službám, zvláště pak k jedné konkrétní, na níž čeká např. Vojtěch Dyk.
Provozovatelé WhatsAppu ale vzniklou hysterii nechápou a uklidňují uživatele tím, že soukromé zprávy zůstanou skutečně soukromé a kontakty nebudou sdíleny s Facebookem, jak by se mohlo ze změny zásad uživatelům zdát. Ani o bezpečnost informací o poloze prý nemusíte mít obavy. Pokud v soukromí zpráv náhodou nevěříte, doporučují, použijte jejich automatické mazání, které je nedávnou novinkou.
Pokud byste byli i přesto Tomášové, pak pro vás máme několik praktických rad a informací:
- Jak si správně nastavit Signal, abyste se cítili bezpeční.
- Porovnání: Co o vás sbírají významné chatovací aplikace?
- Vstupní ověření PINem do Signalu nezvládalo, už je to ale opraveno.
O správném použití vakcíny se poraďte se svým hackerem
Kolem Covidu-19 se neustále něco děje i v souvislosti s počítačovou bezpečností. Nejinak tomu bylo i v minulém týdnu. Jsme si vědomi, že zpráv na toto téma je více, než by si čtenář přál, proto jen krátce. Jak asi víte, Evropské agentuře pro léčivé přípravky (EMA) byly začátkem prosince škodiči ukradeny citlivé dokumenty třetích stran, předložené EMA v souvislosti s hodnocením vakcín proti COVIDu.
EMA minulé úterý nejprve odhalila, že se ukradené materiály objevily volně na Internetu (neupřesnila kde), a že byly podniknuty právní kroky. Následně přišla v pátek 15. ledna zatím poslední aktualizace, která sděluje, že vystavené ukradené dokumenty, e-mailová korespondence a další materiály byly z části pozměněny a celá kampaň si zjevně bere za cíl podkopat důvěru v očkování.
Punk není mrtvý, DarkMarket ano
V rámci razie policejních složek několika států (Německo, Rakousko, Dánsko, Moldávie, Ukrajina, Velká Británie a USA) byl ve spolupráci s Europolem ukončen provoz DarkMarketu, největšího světového trhu s nelegálnem hostovaného na Dark webu. Jak říká tisková zpráva Europolu, o „zábavu” tak přišlo skoro půl miliónu jeho uživatelů a 2 400 prodejců, kteří využívali DarkMarket v okamžiku jeho odstavení.
Během operace byl u německo-dánských hranic německou policií zadržen třicetičtyřletý australský občan, který je podezřelý z toho, že DarkMarket provozoval. Jeho infrastrukturu tvořilo dvacet serverů umístěných V Moldávii a na Ukrajině.
Krátce
- Cisco nevzkřísí RVčka Ve starších routerech RV, které jsou za koncem podpory, bylo nalezeno 74 problémů. Cisco je nehodlá opravit, uživatelé si mají pořídit nové železo.
- Microsoft zalepoval 83 problémů bylo nalezeno u řady microsoftích produktů. Úterní oprava je řeší.
- Kontejnery pod rootem Většina kontejnerů běží s rootovskými právy, správci si koledují o problém.
- Bezpečnost videokonferencí Nejčastější útoky na videokonference a jak se jim bránit.
- Hudba může učit bezpečnosti Jak se z hudby můžeme naučit bezpečnějšímu chování na síti.
- Výročí SQL injekcí SQL injection, snad nezničitelná a jedna z nejznámějších forem útoku na WWW aplikace, oslavila 22. výročí.
- Vyhoření bezpečnostních týmů Nejen Covid-19 mnohem více zaměstnává nás, bezpečáky. Stále víc kolegů se díky tomu začíná potýkat se syndromem vyhoření. Útoky však pokračují.
- HW detekce ransomware v CPU Intel začal detekovat ransomware přímo procesorem.
Pro pobavení: ransomware z pásu cudnosti
Jak to tedy bylo s onou dominou a jejím otrokem? Vodili jsme vás tentokrát za nos? Možná ano, možná ne. Každopádně takový příběh se minimálně stát mohl. Qiui Cellmate, výrobce intimních pomůcek, měl ve svém pásu cudnosti závažnou zranitelnost, která umožňovala uzamknout otroka v pásu třetí osobou a následně pak jeho i paničku vydírat.
O seriálu
Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a bezpečnostního týmu CESNET-CERTS sdružení CESNET, bezpečnostního týmu CDT-CERT provozovaného společností ČD - Telematika a bezpečnostních specialistů Jana Kopřivy ze společnosti Nettles Consulting a Moniky Kutějové ze sdružení TheCyberValkyries. Více o seriálu…