Sekurak - piszemy o bezpieczeństwie

Aplikacja FOCA to pewnego rodzaju 'kombajn’ ułatwiający analizę metadanych, które być może nieświadomie umieszczamy w Sieci. Tego typu narzędzia mogą wprawdzie służyć intruzom, ale równie dobrze sprawdzą się w roli strażników naszego bezpieczeństwa. Warto więc z nich skorzystać, zanim ktoś inny zrobi to przed nami w złej wierze! Tym bardziej, że w całym programie zarządzania bezpieczeństwem informacji często pominięty zostaje temat metadanych…

Serwis s3cur1ty.de rozpoczął akcję „home-network-horror-days”. W ciągu 2 tygodni publikowane będą nowo znalezione błędy w urządzeniach sieciowych klasy domowej. Na początek polecamy prześledzenie możliwości uzyskania zdalnego root-a (bez uwierzytelnienia) na routerach D-Link: DIR-600 oraz DIR-300 (producent nie wypuścił jeszcze aktualizacji…).

Każde hasło może zostać złamane w skończonym przedziale czasu. Za wszelką cenę trzeba więc zadbać, aby atak był procesem żmudnym i długotrwałym. Programista musi mieć świadomość, że hasło jest jednym z najważniejszym zasobów systemu. Cyberprzestępca próbuje sforsować wszystkie zabezpieczenia tylko po to, aby przejąć kontrolę nad tym krótkim ciągiem znaków.
Czy można się skutecznie bronić? Można próbować.

Jak dostać zdalnego roota na systemie monitoringu video? Okazuje się, że bardzo prosto. someLuser parę dni temu opublikował analizę urządzenia Ray Sharp (brandowanego też pod takimi markami jak: Swann, Lorex, Night Owl, Zmodo, URMET, kguard security, i pewnie jeszcze masą innych). W arsenale analizy znalazły się takie elementy jak dostęp fizyczny do konsoli…

Tails to stosunkowo mało znana dystrybucja Linuksa, która ma do zaoferowania szereg narzędzi i funkcji z zakresu ochrony prywatnoœści oraz bezpieczeństwa internetowego, niespotykanych w typowych systemach operacyjnych. Twórcy postarali się o maksymalną wygodę użytkownika, który już od chwili startu systemu może skorzystać ze wszystkich zaawansowanych rozwiązań ochronnych, i to nawet w trakcie korzystania z praktycznie dowolnego komputera na œświecie. Spójrzmy więc – przy okazji niedawnego wydania wersji 0.16 – jak wiele Tails jest w stanie dla nas zrobić.

Niedawne badanie firmy rapid7 pokazało pewien interesujący fakt – spora liczba urządzeń dostępnych w Internecie (głównie routery klasy domowej, ale nie tylko) udostępnia na zewnątrz usługę UPnP.
W czym problem?
Przede wszystkim w znacznej ilości krytycznych podatności w implementacji obsługi tego protokołu.

Amerykański Twitter, czyli jeden z najpopularniejszych obecnie serwisów społecznoœściowych, stał się w ostatnim czasie ofiarą udanego ataku, w wyniku którego intruzom udało się uzyskać dostęp do prywatnych danych należących do około 250 tysięcy jego użytkowników. Chociaż jest to tylko niewielki odsetek wszystkich zarejestrowanych tam osób, sam atak był bardzo wyrafinowany i powinien zwrócić uwagę każdego internauty. Zobaczmy więc, czego możemy się przy tej okazji nauczyć.

Włamania do serwisów, nawet tych największych, już tak nie szokują. Co jakiś czas w Internecie publikowane są bazy danych – a to Sony albo Blizzard. Czasem hasła użytkowników można sobie po prostu pobrać, nawet z tak elitarnej instytucji jak IEEE.
Czy można spać spokojnie, gdy publikowany jest zrzut bazy danych Twojego ulubionego wortalu?
W jaki sposób łamanie haseł może przerodzić się w hobby?
Czy warto na co dzień używać systemu zarządzania hasłami?
Zapraszamy do lektury serii artykułów poświęconych bezpieczeństwu haseł.

Celem artykułu jest wyjaśnienie zasady działania środowiska chroot, przedstawienie proponowanej konfiguracji sprzętowej, jak i programowej dla domowego serwera. Ważne dla nas będzie oczywiście nie tylko stworzenie środowiska chroot, ale udostępnienie w nim użytkownikom takich usług jak ssh, ftp czy www dostępnych z poziomu sieci Internet.

Artykuł traktuje o sieciach VPN utworzonych z wykorzystaniem bezpłatnego oprogramowania OpenVPN. Krótko omawia część teoretyczną i skupia się w głównej mierze na praktycznej implementacji dwóch scenariuszy wykorzystania tej technologii.

Poczta elektroniczna jest niezmiernie wygodnym i popularnym sposobem komunikacji. Nagminnie jednak za pośrednictwem e-maili przesyłane są poufne informacje. Często nie są one w żaden sposób chronione – mogą być przechwytywane, a następnie odczytywane przez osoby postronne. Jednym z popularnych, a zarazem stosunkowo prostych sposobów na zapewnienie poufności e-maili, jest szyfrowanie wiadomości.

Tekst przybliża zabezpieczenia dostępne z poziomu konfiguracji aplikacji zbudowanych z wykorzystaniem platformy ASP.NET. Wdrożeniowcy odnajdą tutaj zwięzły przewodnik po właściwych ustawieniach zabezpieczeń aplikacji na produkcji wraz z krótkim wyjaśnieniem działania każdego z mechanizmów. Pentesterzy, wykonujący przegląd konfiguracji aplikacji opartej o ASP.NET po lekturze tekstu będą w stanie stwierdzić, jakie słabości dana konfiguracja kryje. Także programiści znajdą tutaj coś dla siebie – część z opisywanych zabezpieczeń można wprowadzić jedynie z poziomu kodu źródłowego aplikacji.

Coraz częściej słyszy się o dostępnych w Internecie bazach haseł wykradzionych z popularnych portali – w czerwcu 2012 był to LinkedIn, z którego wyciekło około 6.5 miliona haseł użytkowników, kilka miesięcy wcześniej – popularny serwis dla graczy Steam. Najczęściej tego typu bazy zawierają hasła użytkowników przechowywane w formie tzw. „zaszyfrowanej” (zahashowanej), choć czasem różnie z tym bywa…