Hlavní navigace

Postřehy z bezpečnosti: jak naštvat dominu

18. 1. 2021
Doba čtení: 5 minut

Sdílet

 Autor: Depositphotos
V tomto dílu budeme mít potíže s únikem, vydáme se ven postranním kanálem, počkáme si na Signál, krátce se pověnujeme nešťastnému číslu 19 a (ne)navštívíme černé tržiště. Na závěr osvobodíme otroka.

Beyond belief: Fact or fiction

Podívejme se na příběh dominantní ženy, která kdesi na středozápadě ztratila nadvládu nad svým otrokem. Jak byste vysvětlili, že otrokářka nedokázala osvobodit svého podřízence z jeho sevření a bezmoci? Mohou snad za jeho stav démoni? Je náš příběh založen na skutečnosti, nebo se vás jen snažíme ovládat smyšlenkami? To se dozvíme na konci pořadu. Tedy pardon, článku. Zatím se podívejme na vážnější zprávy z právě uplynulého týdne.

Možná vám to uniklo…

Společnost Ubiquti v pondělí 11. ledna varovala své uživatele, že pravděpodobně došlo k úniku přihlašovacích údajů jejích uživatelů. Jisté to není, ale nelze to ani vyloučit. Mohla tedy uniknout jména a e-mailové adresy včetně hašovaných a osolených hesel používaných zákazníky pro přístup ke cloudovým produktům.

Pokud používáte produkty této firmy, měli byste si změnit heslo, doporučuje Ubiquti, a nastavit dvoufaktorové přihlašování. Pokud, nedejbože, máte stejné přihlašovací údaje i u jiných služeb, změňte si je také tam (a na něco odlišného, radí tým CESNET-CERTS). Bohužel, nic není dokonalé, a tak můžete narazit na fakt, že některým systémům firmy Ubiquti i přes nastavený dvoufaktor stačí běžné přihlášení.

Ukradněte to bez drátů, milý Marconi!

U dvoufaktorového přihlašování zůstaneme, přejdeme pouze k společnosti Google. Ta prodává autorizační token Google Titan, který je v našich zeměpisných šířkách spíše vzácností. Ne však Yubikey, kterého se zranitelnost CVE-2021–3011 bohužel také týká. Nepěkný člověk může u těchto zařízení zkopírovat privátní klíč prostřednictvím elektromagnetického postranního kanálu jednoho z osazených čipů.

Zneužít zranitelnost samozřejmě není nic jednoduchého, škodič musí nejprve ukrást jméno a heslo uživatele, následně musí mít fyzický přístup k U2F zařízení a následně vlastnit technologii za bratru 260 tisíc korun, aby se věc podařila. Ale jde to. Dokazuje to šedesátistránkový dokument [PDF].

Pro upřesnění: Zneklidněni buďte, pokud vlastníte a pro dvoufaktorové přihlašování používáte některý z těchto produktů: Google Titan Security Key (všechny verze), Yubico Yubikey Neo, Feitian FIDO NFC USB-A / K9, Feitian MultiPass FIDO / K13, Feitian ePass FIDO USB-C / K21 a Feitian FIDO NFC USB-C / K40.

Copak se to zase děje?

Co je to? Je toho plný Internet, jistě jste o tom leccos četli, možná máte rádi Elona a tak od toho utíkáte, a psali jsme o tom v minulém čísle Postřehů. Ano, správně, je to WhatsApp. Změna zásad ochrany osobních údajů, držených touto aplikací, vzbudila obrovskou vlnu nevole a nebývalý exodus uživatelů ke konkurenčním službám, zvláště pak k jedné konkrétní, na níž čeká např. Vojtěch Dyk.

Provozovatelé WhatsAppu ale vzniklou hysterii nechápou a uklidňují uživatele tím, že soukromé zprávy zůstanou skutečně soukromé a kontakty nebudou sdíleny s Facebookem, jak by se mohlo ze změny zásad uživatelům zdát. Ani o bezpečnost informací o poloze prý nemusíte mít obavy. Pokud v soukromí zpráv náhodou nevěříte, doporučují, použijte jejich automatické mazání, které je nedávnou novinkou.

Pokud byste byli i přesto Tomášové, pak pro vás máme několik praktických rad a informací:

O správném použití vakcíny se poraďte se svým hackerem

Kolem Covidu-19 se neustále něco děje i v souvislosti s počítačovou bezpečností. Nejinak tomu bylo i v minulém týdnu. Jsme si vědomi, že zpráv na toto téma je více, než by si čtenář přál, proto jen krátce. Jak asi víte, Evropské agentuře pro léčivé přípravky (EMA) byly začátkem prosince škodiči ukradeny citlivé dokumenty třetích stran, předložené EMA v souvislosti s hodnocením vakcín proti COVIDu.

EMA minulé úterý nejprve odhalila, že se ukradené materiály objevily volně na Internetu (neupřesnila kde), a že byly podniknuty právní kroky. Následně přišla v pátek 15. ledna zatím poslední aktualizace, která sděluje, že vystavené ukradené dokumenty, e-mailová korespondence a další materiály byly z části pozměněny a celá kampaň si zjevně bere za cíl podkopat důvěru v očkování.

Punk není mrtvý, DarkMarket ano

V rámci razie policejních složek několika států (Německo, Rakousko, Dánsko, Moldávie, Ukrajina, Velká Británie a USA) byl ve spolupráci s Europolem ukončen provoz DarkMarketu, největšího světového trhu s nelegálnem hostovaného na Dark webu. Jak říká tisková zpráva Europolu, o „zábavu” tak přišlo skoro půl miliónu jeho uživatelů a 2 400 prodejců, kteří využívali DarkMarket v okamžiku jeho odstavení.

Během operace byl u německo-dánských hranic německou policií zadržen třicetičtyřletý australský občan, který je podezřelý z toho, že DarkMarket provozoval. Jeho infrastrukturu tvořilo dvacet serverů umístěných V Moldávii a na Ukrajině.

UX DAy - tip 2

Krátce

Pro pobavení: ransomware z pásu cudnosti

Jak to tedy bylo s onou dominou a jejím otrokem? Vodili jsme vás tentokrát za nos? Možná ano, možná ne. Každopádně takový příběh se minimálně stát mohl. Qiui Cellmate, výrobce intimních pomůcek, měl ve svém pásu cudnosti závažnou zranitelnost, která umožňovala uzamknout otroka v pásu třetí osobou a následně pak jeho i paničku vydírat.

O seriálu

Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a bezpečnostního týmu CESNET-CERTS sdružení CESNET, bezpečnostního týmu CDT-CERT provozovaného společností ČD Telematika a bezpečnostních specialistů Jana Kopřivy ze společnosti Nettles Consulting a Moniky Kutějové ze sdružení TheCyberValkyries. Více o seriálu…

Byl pro vás článek přínosný?

Autor článku

CESNET-CERTS je oficiální jméno bezpečnostního týmu sdružení CESNET, z. s. p. o. od ledna roku 2004. Jeho součástí je také Forenzní laboratoř FLAB. Články tvoří společně jednotliví členové týmu.