Sekurak - piszemy o bezpieczeństwie

TL;DR: można wygrać nagrodę z puli: 10 czarnych ręczników sekuraka, 2 koszulek sekuraka, 2 książek „Zrozumieć Programowanie” z autografem autora.

W 2014 roku na Sekuraku (oraz w pierwszym e-zinie) pisaliśmy czym jest Content Security Policy. Była to wtedy młoda technologia utrudniająca eksploatację ataków XSS. Od tego czasu standard mocno się rozwinął. Czy obecna wersja CSP 2.0 jest remedium na nieznane luki XSS? Na jakie problemy można natknąć się podczas wdrożeń CSP?

Skincential Sciences to mało jeszcze znana firma kosmetyczna, która oferuje rzekomo rewolucyjną linię kosmetyków Clearista. Resurfacing (głęboki peeling) oferowany przez kosmetyki tego producenta jest na tyle obiecujący, że zainteresował nawet CIA…

Panama Papers, czyli ogromny wyciek poufnych dokumentów pochodzących z kancelarii Mossack Fonseca w Panamie, mógł być wynikiem włamania na serwer pocztowy.

Drugi numer Sekurak/Offline to przeszło 60 stron tekstów o bezpieczeństwie aplikacji webowych. Całość w niezmienionej formie: bezpłatnie, w atrakcyjnej oprawie, treściwie i dostępne również na urządzenia mobilne.

Niektórzy internauci ponieśli wymierne szkody w wyniku tegorocznego żartu primaaprilisowego przygotowanego przez firmę Google w Gmailu…

Niedawno opublikowano wersję 1.1 projektu OWASP SAMM (Software Assurance Maturity Model), umożliwiającego zbudowanie modelu tworzenia oprogramowania tak aby: było ono bezpieczne – przy jednoczesnym optymalizowaniu kosztów całego procesu.

Do 1. kwietnia pozostało jeszcze trochę czasu, wygląda więc na to, że zaskakującą zapowiedź Microsoftu na temat natywnej powłoki Bash w Windows 10 należy traktować poważnie.

Tribler to stosunkowo mało znany klient sieci BitTorrent, który posiada kilka unikalnych zalet. Program ten jest otwartoźródłowy, jest aktywnie rozwijany i już od dłuższego czasu oferuje wbudowane funkcje wyszukiwania oraz anonimowego pobierania plików z popularnej sieci P2P. Spójrzmy jak sprawuje się w praktyce.

Wzorem słynnych poprzedników, takich jak Stagefright, Heartbleed, czy też Ghost, Badlock Bug ma już chwytliwą nazwę oraz logo. Jakiekolwiek szczegóły na jego temat poznamy jednak dopiero 12. kwietnia…

Wydawałoby się, że badanie najróżniejszych przypadków przestępstw komputerowych jest zajęciem bardzo spokojnym i nie wiąże się z dużym ryzykiem. Niestety w ostatnim czasie badacze coraz częściej padają ofiarą poważnych przestępstw zagrażających ich reputacji, zdrowiu, a nawet życiu…

Pokazała się zupełnie nowa klasa realnie krytycznych i wykorzystywalnych w najnowszych kościach pamięci podatności. Już jakiś czas temu badacze z googlowego Projektu Zero zaprezentowali w pełni softwareowy atak na sprzęt – a dokładniej na kości pamięci. Efekt? Uzyskanie pełnych uprawnień w OS.

Sporo uwagi poświęcamy w ostatnim czasie złośliwemu oprogramowaniu klasy ransomware. Znacząca większość wirusów szyfrujących dane swych ofiar atakuje użytkowników systemów Windows. Co ciekawe, właściciele sprzętu Apple padają ofiarą jeszcze bardziej zuchwałych szantażystów.

Niestety, bliskie spotkanie ze złośliwym oprogramowaniem klasy ransomware może nam się przytrafić nawet podczas przeglądania dużych i renomowanych serwisów internetowych. W ostatnich dniach przekonali się o tym internauci odwiedzający m.in. msn.com, nytimes.com, czy też bbc.com.

Pokazano praktyczny, szybki do realizacji oraz tani atak omijający zabezpieczenie telefonu odciskiem palca. Całość to daleko idąca optymalizacja ataku polegającego na stworzeniu lateksowego opuszka. Tym razem jednak obeszło się bez budowania trójwymiarowej formy palca ofiary – wystarczy najzwyklejsza drukarka.