Sekurak - piszemy o bezpieczeństwie

Tym razem nie jest to bezczelny phishing kierujący bezpośrednio do dziwnie wyglądającej domeny, na której jest hostowana niby strona ze zmianą hasła do Google.

TL;DR – różne wersje pakietu Microsoft Office w nieco losowych sytuacjach wysyłają Wasze edytowane dokumenty do Microsoftu – w celu konwersji…

Rozmiar typowej biblioteki waha się w granicach od 10 000 do 200 000 linii kodu, a przeprowadzone badania wskazują, że w przeciętnej aplikacji Javy znajduje się od 5 do 10 luk na każde 10.000 linii kodu. Bazując na tych danych, trzeba stwierdzić, że prawdopodobieństwo nie wystąpienia żadnej luki w bibliotece…

13 stycznia 2017r. mieliśmy pierwsze Sekurak Hacking Party we Wrocławiu, które wzbudziło wyjątkowe zainteresowanie uczestników. W imprezie uczestniczyło około 540 osób!

W maju 2018 roku wymagane będzie spełnienie zapisów określonych w rozporządzeniu parlamentu EU w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (w skrócie: GDPR). Największym chyba problemem jest możliwa do nałożenia kara za niespełnienie wymogów…

Akcja zaczęła się od publikacji raportu firmy MedSec – działającej w porozumieniu z funduszem Muddy Waters. Ta ostatnia nazwa wydaje się podejrzana, pardon, mętna?

Tak, ma to znaczenie – raport miał obniżyć cenę akcji firmy St Jude Medical, w której urządzeniach zostały wykryte podatności.

Zupełnie przypadkiem wpadła mi w ręce, wydana listopadzie 2016 roku, książka „Hash Crack”. Nowe wersje rozmaitych narzędzi, dużo różnych przykładów i linków – na 60 stronach. Czy warto kupić?

Mamy dostępnych kilka dokumentów: dekret prezydencki w temacie, wspólne oświadczenie FBI, ODNI, DHS. Trochę technicznych konkretów mamy w raporcie tutaj. W ramach całej operacji wskazany jest też m.in. adres z Polski…

Trzeci numer magazynu Sekurak/Offline dotyczy ponownie tematu bezpieczeństwa aplikacji webowych. Jest to jak dotąd najbardziej rozbudowany numer – ponad 80 stron tekstów.

Wszyscy przyzwyczajeni jesteśmy do autoryzacji finansowych transakcji SMS-ami. Bad news – od pewnego czasu NIST chce odejść od tej metody: Out-of-band authentication using the PSTN (SMS or voice) is deprecated, and is being considered for removal in future editions of this guideline. Generator kodów na telefonie? Bad news – co z malware i dostępem do systemu transakcyjnego…

Ostatnia akcja promocyjna tego szkolenia, kierowanego do osób stawiających swoje pierwsze kroki w technicznym bezpieczeństwie IT skończyła się absolutnie pełną grupą. Tym razem mamy dla Was możliwość uczestnictwa za połowę ceny jeśli spełnicie dowolny z trzech warunków poniżej.

Startujemy z sekurak hacking party 20 grudnia w Poznaniu. Można się już finalnie zapisać. Wstęp wolny.

Badanie prowadzone na żywych systemach – 400 największych sklepów on-line (ranking Alexa). Okazuje się, że system wykrywania fraudów nie działa dla wielu prób autoryzacji, realizowanych z różnych sklepów on-line. Po drugie – różne sklepy wymagają różnych pól karty płatniczej do realizacji transakcji. Efekt – skuteczny brute-force numerów CVV2 i dat ważności.

W 2017 roku dodamy do zadań labowych 3 profesjonalne kamery CCTV (jedna z nich kosztuje ~5000 PLN) – wykorzystywane są choćby chętnie w instytucjach rządowych. Do kamer można uzyskać dostęp zdalny bez uwierzytelnienia (OS root), a wszystko będziecie mogli przećwiczyć samodzielnie w LAB-ie (łącznie ze zdalnym obracaniem kamerą na żywo…).

Rozmaite serwisy rozpisują się o nowej podatności w Windows 10. W trakcie aktualizacji typu Feature Update, następuje wymuszony restart systemu i instalowane są aktualizacje. Nic w tym dziwnego, prawda…?