Aktualności

Niemal w każdym telefonie mamy możliwość zablokowania kogoś, kto okazał się sprzedającym nam super garnki, ubezpieczenia, tańszy prąd czy nową super ofertę abonamentu GSM. Co jednak w przypadku gdybyśmy nie chcieli widzieć tego typu połączeń z numerów, które widzimy na oczy pierwszy raz?

Według relacji, wyglądało to mniej więcej tak: w środku dnia podjeżdża na stację konwoj 10 dużych samochodów, tankują do oporu. Dla obsługi jest to trochę podejrzane, prawda?

Na pewno nie raz widzieliście ostrzeżenie po kliknięciu na plik pobrany z Internetu (niezaufany), Microsoft też często ostrzega przed uruchomieniem linku / kodu zawartego w MS Office.  Nowe wersje MS Office wprowadzają też parę dodatkowych metod ochrony, np. uniemożliwienie uruchamiania nowych podprocesów (choćby cmd).

W ostatnim czasie zbiegły się ze sobą dwa wydarzenia, mające ze sobą jeden szczegół – czyli ukryte znaki dodawane na wydrukach przez drukarki – a mające na celu zidentyfikowanie urządzenia, które zostało wykorzystane do wydruku.

Zaczęło się od ciekawego badania opisanego tutaj. Otóż wielu producentów urządzeń IoT (choćby kamer) daje opcję, która umożliwia bezpośrednie połączenie z Internetu (z serwera backend producenta) bezpośrednio do LAN-u klienta. Nie pomoże firewall blokujący nawiązanie połączenia z zewnątrz, bo odpowiednie pakiety przychodzą komunikacją zwrotną.

Chodzi o możliwość wykonania kodu na komputerze ofiary. Wymagania to fizyczny dostęp do (zablokowanego) komputera. Technicznie hack wygląda w ten sposób.

Jest to wiedza zarówno dotycząca zasadniczych problemów bezpieczeństwa w JWT, przejście po ciekawych podatnościach w bibliotekach. Mamy również  dwudziestopunktową checklistę – co sprawdzić w kontekście bezpieczeństwa swojej implementacji.

Badacze wykonali testowe badanie na nagrywarce strumieni video z kamer. W tym przypadku po odgraniu 12 sekund „melodii zagłady” – czyli odpowiednio dobranych zwykłych/ultra dźwięków – w systemie nagrywania zaczęły pojawiać się straty. Po 105 sekundach (talerzowy) dysk Western Digital odmówił współpracy.

Wiele osób zastanawia się – co z tak prozaiczną biznesową czynnością dnia codziennego, jak zbieranie wizytówek naszych partnerów oraz rejestrowanie danych kontaktowych na nich zawartych w kontekście RODO?

Oczywiście, jak w większości praktycznych kwestii trudno doszukiwać się bezpośredniego doregulowania tego zagadnienia w samym rozporządzeniu. Natomiast postaram się podzielić z Wami moimi spostrzeżeniami w tym zakresie oraz wskazać kilka praktycznych rozwiązań, jakie możemy zaimplementować w naszej pracy.

Raport słynnej chińskiej ekipy Tencent Keen Security Lab. Tym razem przetestowali zabezpieczenia wybranych modeli samochodów marki BMW.

22 maja 2018 organizujemy kolejne Sekurak Hacking Party. Tym razem zawitamy do Katowic!

Wielu pewnie nie wierzyło, że hacking party odbędzie się w Warszawie… No więc odbędzie się i to dość szybko – w piątek 18 maja 2018 roku.

Około 40 świeżych, realnych przypadków podatności w API REST (niektóre raptem sprzed miesiąca), rekonesans API, omijanie restrykcji do metod HTTP, niebezpieczeństwa JWT, wycieki kluczy API, ponad 60 punktowa checklista ułatwiająca sprawdzić swoje API pod względem bezpieczeństwa, ćwiczenia warsztatowe – to tylko kilka punktów które realizujemy na naszych warsztatach z bezpieczeństwa API REST.  

Wykorzystana tutaj została  podatność sprzętowa o nazwie Rowhammer. Przypomnijmy o co w niej chodzi…

Drupal właśnie opublikował łatę na podatność umożliwiającą zdalne wykonywanie kodu na serwerze – bez uwierzytelnienia. Podatność otrzymała ranking 21/24 wg skali Drupala (highly critical).