Sekurak - piszemy o bezpieczeństwie

A to wszystko za sprawą paru krytycznych podatności w rozwiązaniu Pulse Secure (SSL VPN). Historycznie wyglądało to tak: badacze zgłosili do producenta problemy. Poczekali na patcha, poczekali 30 dni i sprawdzili czy Twitter (i parę innych dużych firm) załatało się. W przypadku Twittera było to 13 serwerów. Uzbrojeni w jeszcze dymiące…

Super prezentacja o hackowaniu SSLVPN-ów tutaj. W tym miejscu z kolei garść podatności SSLVPN od Fortigate. Co my tu mamy? Czytanie dowolnych plików bez uwierzytelnienia (CVE-2018-13379: Pre-auth arbitrary file reading). Jest to dość „ostra podatność” – zobaczcie np. tutaj możliwość pobrania loginu i hasła (w formie jawnej) zalogowanego użytkownika: Podatność…

Na początek do pobrania jest jeden z wstępnych rozdziałów – o protokole HTTP w kontekście bezpieczeństwa. Layout książki (tu pełen spis treści) jest wersji beta, przed finalną korektą. Wprowadziliśmy kilka Waszych uwag – sam wygląd zapewne  jeszcze delikatnie się zmieni. Oczywiście gorąca prośba o komentarze w tym temacie. Przedsprzedaż pojedynczych egzemplarzy…

Po wakacjach (październik) wychodzi nasza papierowa książka o bezpieczeństwie aplikacji webowych. Prawdopodobnie będzie też wersja elektroniczna (epub, mobi). Spis treści – tutaj Przedsprzedaż & early access uruchamiamy w sierpniu (zapisy w formularzu na końcu tego posta :) Fragment layoutu w wersji beta możecie zobaczyć tutaj. W tym pdf-ie nie przejmujcie…

Co takiego się wydarzyło? W 2017 roku przestępcy dostali się na początek na jeden z ważniejszych serwerów amerykańskiej firmy i wykradli im dane (dane o około 150 milionach klientów, w tym około 200 000 numerów kart kredytowych).

Światowe media donoszą o hacku, nierzadko w nieco sensacyjnym tonie. Zhakowana firma to SyTech, realizująca zlecenia na potrzeby rosyjskiego FSB. Atak miał miejsce około tygodnia temu i wygląda to na włamanie obejmujące w zasadzie całą sieć – dostęp do kontrolera domeny [prawdopodobnie jako administrator] i przeniknięcie dalej: The breach took…

Alarmujący wątek można przeczytać na bugtrackerze Mozilli: „MITM on all HTTPS traffic in Kazakhstan”. Wygląda to na zmasowaną akcję rządową w połączeniu z operatorami telekomunikacyjnymi. Ci ostatni wysyłają informacje do użytkowników z prośbą o instalację w swoim systemie nowego (rządowego) certyfikatu root CA. Jeśli się nie zastosujesz – prawdopodobnie stracisz dostęp do…

Ciekawy podcast: „SATCOM PIRACY INTERVIEW” – rozmowa pewnym panem, który w latach 90-tych, z terytorium Brazylii używał satelitów do niekoniecznie legalnych rzeczy. Czy dało (da się?) się w jakiś sposób przesyłać własne dane przez satelity? Pamiętajmy, że sprzęt tego typu spędza w kosmosie czasem wiele dziesiątek lat. Sami odpowiedzcie sobie jak…

Niedawno uruchomiliśmy nieco eksperymentalny wątek proszący Was o wskazanie jakie wiedzieliście w swojej karierze duże problemy bezpieczeństwa w architekturze sieci.

Pierwszy z trzech artykułów, który pokazuje świeże podatności u trzech znanych producentów VPN-ów. Żadna z luk nie wymaga posiadania konta i umożliwia wykonanie kodu w systemie operacyjnym, na którym pracuje VPN (podatność klasy RCE). Lukę można wykryć dość prosto (uwaga, nie róbcie tego na systemach produkcyjnych, bo zabija to usługę!)…

Co robi dobry badacz bezpieczeństwa po zakupie nowego samochodu, dajmy na to Tesli model 3? Oczywiście zaczyna niezwłocznie szukać podatności. Tak też stało się i w tym przypadku. Szło jednak kiepsko – żadnych format stringów poprzez podłączanie telefonu o nazwie %x%x%x%x, a nazwanie samochodu w dość specyficzny sposób też niewiele…

Kolejny scenariusz z administracji publicznej USA – tym razem na celowniku ransomware wylądowało amerykańskie hrabstwo LaPorte (nieopodal Chicago). No dobrze, są zaszyfrowane dyski [link via google.com w celu ominięcia restrykcji GDPR – przyp. sekurak], ale na szczęście był dostępny świeży backup. Tylko, że … serwer backupu również został zaszyfrowany przez ransomware (tym…

Co może być podejrzanego w Microsoft Office 365? Wymieniane są głównie trzy rzeczy: Zapisywanie danych w chmurze, która fizycznie znajduje się poza terytorium UE (choć wg RODO czy GDPR wcale tak nie musi być) – w tym chodzi tu o takie „kwiatki” (wysyłka dokumentów Worda, które są konwertowane na PDF…

Problemy z dostępnością czasem się zdarzają – nawet największym. Awarie są jednak usuwane dość szybko. Jednak w przypadku kosztującego około 10 miliardów EUR systemu GALILEO (europejskiego odpowiednika GPS) może czas zacząć się martwić. Na ledwo zipiącej stronie ze statusem systemu, mamy cały czas informację: Date of start event: 2019-07-12 01:50 NAGU…

O problemie pisaliśmy w krótki sposób kilka dni temu. TLDR: wejdźcie na https://regex101.com/ i wpiszcie ten fragment oryginalnego wyrażenia regularnego użytego przez Cloudflare w jednej z reguł WAF-a: .*(?:.*=.*) W „TEST STRING” możecie wpisać: aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa=aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa; Silnik obsługujący wyrażenia regularne aby dopasować dość prosty i niedługi ciąg znaków potrzebuje wykonać około 7000 kroków!…