W biegu

Niedawno na blogu Bruce Schneiera znalazł się wpis “Was the iOS SSL Flaw Deliberate?” Zastanawia się w nim, czy poważny błąd dotyczący SSL na pewno pojawił się na skutek pomyłki. Twierdzi, że idealna tylna furtka (backdoor) w oprogramowaniu powinna mieć trzy cechy.

Zapraszam na już 12 edycję konferencji PLNOG. Tegoroczna agenda zapowiada się wyjątkowo ciekawie i mamy dostępne aż 4 ścieżki tematyczne – więc szansa na nudę w zasadzie zerowa :-)

Ciekawa, choć mająca już dobrych kilka miesięcy praca pokazująca ‘wyhodowanego’ w środowisku laboratoryjnym wirusa rozpowszechniającego się przez WiFi.

Firma Apple – czy raczej jej klienci – nie mają ostatnio szczęścia. Kilka dni temu ogłoszono podatność w systemie iOS (również w OS X) umożliwiającą ominięcie weryfikacji tożsamości serwera przy połączeniach SSL/TLS, a tym razem możliwe jest uruchomienie przez wrogą aplikację procesu monitorowania działań użytkownika. Monitorowane mogą być m.in. zdarzenia…

Szczegółowe opracowanie na ten temat (łącznie z fragmentami kodu / bibliotekami dla najistotniejszych języków programowania) publikuje crackstation, o którym była już mowa na sekuraku.

Serwis The Verge donosi o ciekawym projekcie telefonu – Blackphone. Całość z jednej strony bazuje na systemie Android – z drugiej – zawiera domyślnie wykonany hardening systemu oraz zestaw aplikacji zapewniających pewne przydatne funkcjonalności chroniące prywatność.

US Cert opublikował zestawienie potencjalnych protokołów mogących posłużyć do amplifikacji (czyli sztucznego zwiększenia) wolumenu ruchu używanego w ataku DDoS. Do tej pory najpopularniejszym protokołem tego typu był DNS, a ostatnimi czasy zyskuje na popularności NTP (zauważmy swoją drogą, że NTP posiada ponad 10-krotnie większy “Bandwidth Amplification Factor” od DNS, co…

Na sekuraku mamy już sporo tekstów, ale zawsze może być więcej, prawda? Tylko razem zachęcamy Was do wzięcia udziału w konkursie na najlepszy tekst o tematyce związanej z bezpieczeństwem IT. Do wygrania iPad Air (lub gotówka) oraz szkolenie z bezpieczeństwa.

Twórcy Metasploita chwalą się ciekawym nowym modułem: Android Browser and WebView addJavascriptInterface Code Execution. Ponoć 70% androidowców jest podatnych. Na czym polega problem? Zobaczmy.

Tym razem warsztatowe szkolenie z bezpieczeństwa aplikacji www, organizowane przez Securitum i wspierane przez sekuraka odbywa się w Warszawie (10-12 marca 2014).

02.02.2013 ruszył publicznie sekurak – mimo, że wygląd serwisu planowany był na początku jako wersja ‘beta’, to przyjął się jako wersja finalna :-) Zresztą sam layout planowaliśmy od początku jako prosty, w miarę estetyczny, bez zbytnich udziwnień i nie koniecznie z czarnym tłem (mniej bolą oczy ;-)

Tym razem mogliście się zmierzyć z taką tematyką jak: różne rodzaje kodowania, postscript, aplikacja androidowa czy inne ‘niespodzianki’ ;-) Lista zwycięzców, którzy poprawnie podali w pełni poprawne odpowiedzi: PL (RaspberryPi) Jarosław Pukacki (RaspberryPi) Anita Łukowska (RaspberryPi) Tomasz Danielewski (książka) Bartłomiej Balcerek (książka) Łukasz Jankowski (książka) Marcin Piosek (gratulacje) Paweł Sroczyński…

Organizacja OWASP pracuje nad odmianą znanego projektu OWASP TOP 10. Nowe przedsięwzięcie – OWASP Internet of Things Top Ten Project – ma na celu rozpowszechnienie informacji o najczęściej spotykanych błędach wśród nowoczesnych gadżetów oraz inteligentnego sprzętu domowego. Oto obecne propozycje najpowszechniejszych zagrożeń czających się w “Internet of Things“: Administrative Interface with Weak/Default Credentials…

Razem z firmą HP zapraszamy Was do wzięcia udziału w prostym ale dość urozmaiconym hackme. Mamy tym razem aż 6 nagród: 3 zestawy Raspberry Pi oraz książki.

Ciekawe zachowanie zauważyliśmy w oficjalnym sklepie międzynarodowej organizacji ISO (International Organization for Standardization): funkcjonalność przypominania hasła wysyła nasze stare hasło w plaintext.