Niedawno informowaliśmy o uruchomieniu nowego, ciekawego programu SecUniversity. W kolejnym odcinku mowa będzie o systemach IPS (Intrusion Prevention Systems). Firma Cisco już wiele lat temu postawiła na lubianego, opensource-owego Snorta, którego uzupełnia o dodatkowe, przydatne komponenty. No właśnie pamiętajcie, że kompletne rozwiązanie IPS (ewentualnie w pasywnym trybie – IDS) to poza…
Czytaj dalej »
Chodzi o firmę Xplora, a dość rozbudowaną analizę bezpieczeństwa tych produktów znajdziecie tutaj. W największym skrócie, firma była ostatnio brana pod lupę i inna ekipa nie wykryła żadnych istotnych podatności. Z drugiej strony cytowani na początek newsa badacze pokazali, że do urządzenia wystarczy wysłać SMS (zaszyfrowany symetrycznym RC4) aby zupełnie…
Czytaj dalej »
Jeśli ktoś jeszcze nie zna tematu sekurak.tv – zapraszamy jutro na nasz kanał (kto jeszcze nie dał suba i dzwonka – można nadrobić zaległości ;). O 19:00, 6. sierpnia Marek Rzepecki z Securitum pokaże pod tym linkiem w jak prosty sposób można było zaatakować pewną aplikację mobilną (czy raczej jej użytkowników) i…
Czytaj dalej »
J00ru, znany nam z ostatnich bardzo mocnych podatności w urządzeniach Samsunga, tym razem wziął na warsztat również „gołe „Androidy. Exploita da się dostarczyć np. MMS-em: In July, there is a lot going on for the security of Android image decoding, so I recommend installing this month’s update ASAP. This includes…
Czytaj dalej »
Wstęp: Jedna z najpopularniejszych platform Bug Bounty, Hackerone – w ramach promocji swojego wirtualnego eventu H12006 – uruchomiła konkurs w formule Capture The Flag. Nagrodą było zaproszenie na wspomniany ekskluzywny event oraz zaproszenia do prywatnych programów bug bounty. Co ciekawe, główną nagrodę otrzymywało się nie za najszybsze rozwiązanie zadania, a…
Czytaj dalej »
Można by odnieść wrażenie, że ostatnio wszystkie nowinki technologiczne przeniosły się na grunt medyczny, a tymczasem narzędzia pentesterskie także ewoluują. Na rynku pojawił się niedawno Key Croc (https://shop.hak5.org/products/key-croc), nowy gadżet od Hak5 – tych samych, od których pochodzi chociażby Rubber Ducky, opisywane już jakiś czas temu na Sekuraku. Czym jest…
Czytaj dalej »
Chciałbyś się dowiedzieć jak wygląda temat prywatności korzystających z aplikacji do monitorowania koronawirusa w różnych krajach? Kto stosuje zasadę privacy-first? Czy były jakieś problemy z bezpieczeństwem? Czy ktoś w ogóle pochylił się nad analizą ryzyka kontekście tematu?
Czytaj dalej »
Dość nietypowe ostrzeżenie można przeczytać w tym miejscu. Nieco w kontekście Black Friday, FBI ostrzega użytkowników o możliwości hackowania telewizorów: Hackers can also take control of your unsecured TV. At the low end of the risk spectrum, they can change channels, play with the volume, and show your kids inappropriate videos….
Czytaj dalej »
Jeśli Wasze dziecko używa smartwatcha SMA-WATCH-M2, polecamy wyłączenie tego sprzętu i zaprzestanie używania, przynajmniej do czasu zabezpieczenia całości. W czym problem? Wg tych doniesień, serwer przechowujący wrażliwe dane Waszych dzieci (lokalizacje, numery telefonów, zdjęcia, rozmowy, …) nie posiada w zasadzie żadnych zabezpieczeń (tj wrażliwe dane przypisane do konta mogą być pobrane…
Czytaj dalej »
Chodzi o znany zapewne większości naszych czytelników incydent, który doprowadził do ujawnienia rekordów o przeszło 2 milionach osób. Poza danymi osobowymi były tam też zahashowane hasła, (na temat szybkości ich łamania przygotowaliśmy osobny tekst). O nałożonej karze przez UODO można poczytać tutaj („kara za niewystarczające zabezpieczenia organizacyjne i techniczne”): Zastosowane…
Czytaj dalej »
Na początek wiele mediów, relacjonując tę podatność wpadło w nieco owczy pęd pisząc o Remote Code Execution w Proftpd: Luka czasem może doprowadzić do RCE, ale nie tyle w samym serwerze FTP co np. w web serwerze. Dlaczego? Podatność umożliwia kopiowanie plików na serwerze nawet jeśli nie mamy żadnych uprawnień…
Czytaj dalej »
Czy chcemy, by obecne aplikacje webowe mogły działać szybciej bez ponoszenia nakładów na lepsze łącza sieciowe czy infrastrukturę serwerową? Oczywiście, że tak – i taki właśnie główny cel przyświecał twórcom protokołu HTTP/2. Dokładniej rzecz ujmując, chodziło o zwiększenie wydajności komunikacji pomiędzy klientem (czyli najczęściej przeglądarką internetową) a serwerem, przy jednoczesnym…
Czytaj dalej »
Tak, to nie pomyłka, wiele osób nie wie, że komunikacją z bezprzewodowej myszy można wciskać klawisze na klawiaturze. I nie chodzi tutaj o jakieś ślepe nawigowanie po klawiaturze wizualnej. Zwykłe klawisze. Tym razem ktoś wziął na warsztat mysz Logitech M185 – gdzie bez problemu udało się zrealizować operację, o której…
Czytaj dalej »
Co konkretnego znajdziesz w certyfikatach? Do czego wykorzystywane są konkretne wartości? Obiły ci się o uszy terminy: X.509, ASN.1, OIDs, DER, PEM, PKCS, ale nie pamiętasz już szczegółów? Potrzebujesz narzędzia które w prosty sposób przeanalizuje twoje certyfikaty czy klucze? Odpowiedzi na te pytania znajdziesz w tym poradniku – uwaga, do przeczytania…
Czytaj dalej »
Szukając możliwości użycia hashcata w cloud, napotkałem taki serwis. Jedni oferują swoje maszyny na wynajem, drudzy je wynajmują. Ceny bywają rzeczywiście niskie – $0,082 za godzinę systemu z bardzo mocną kartą NVIDIA GTX 1080, do tego 24-corowy Xeon i 128 GB RAM. Jeśli się nam nie spieszy (i dobrze rozumiem…
Czytaj dalej »