Teksty

W tekście przedstawiam kilka prostych kroków, które pomogą zwiększyć bezpieczeństwo aplikacji webowej. Są to techniki podstawowe i nie obejmują lokalizacji / usuwania bardziej technicznych podatności jak SQL injection / XSS / OS Command Execution, Path Traversal, Authorization Bypass, itd.

Możecie wierzyć lub nie, ale system Windows przechowuje wasze hasło w pamięci operacyjnej w zupełnie jawnej postaci, a jego wyciągnięcie jest banalnie proste. Również przez innych użytkowników zalogowanych do tego samego systemu…

Obecnie nie jest już żadną tajemnicą fakt, że odkrywcy nowych luk obecnych w oprogramowaniu oraz w najpopularniejszych serwisach internetowych mogą zarobić znaczne sumy pieniędzy. Za informacje o nowych podatnościach płacą zarówno producenci oprogramowania, pośrednicy, ale również kupcy z czarnego rynku, a nawet władze państwowe. Sprawdźmy, jakie kwoty może zarobić łowca…

Bardzo często zdarza się tak, że pewne ukryte przekazy są wystawione na widok publiczny, a mimo to ich zauważenie nie jest wcale proste. Spójrzmy na pewien bardzo interesujący przykład…

W ramach weekendowego relaksu przedstawiamy dziś prawdziwą perełkę — autentyczny zapis włamania dokonanego przez anonimowego hakera do systemów amerykańskiej armii. Nagranie pochodzi z 1991 roku i jest bardzo interesujące z co najmniej z kilku powodów. Po pierwsze, możemy się przekonać, jak słabe w tamtych czasach były wojskowe zabezpieczenia. Po drugie,…

Poczta elektroniczna jest niezmiernie wygodnym i popularnym sposobem komunikacji. Nagminnie jednak w e-mailach przesyłane są tak poufne informacje jak hasła dostępowe do systemów, dokumentacje projektowe, szczegółowe dane osobowe klientów i inne istotne informacje (np. listy płac), do których dostęp powinny mieć tylko uprawnione osoby. Informacje te często nie są w żaden sposób chronione – w odpowiednich warunkach mogą być przechwytywane, a następnie odczytywane przez osoby postronne.
Jednym z popularnych, a zarazem relatywnie prostych sposobów na zapewnienie poufności e-maili, jest szyfrowanie wiadomości.

W tym rozdziale zostaną opisane podstawowe wskazówki dotyczące budowy słowników haseł. Rozmiar słownika ma bezpośredni wpływ na czas ataku. Im większy słownik, tym bardziej zbliżamy się do wariantu ataku siłowego, a właśnie tego chcemy zazwyczaj uniknąć. Aby skutecznie przeprowadzać ataki słownikowe warto posiadać nie jeden, a kilka słowników.

Każde hasło może zostać złamane w skończonym przedziale czasu. Za wszelką cenę trzeba więc zadbać, aby atak był procesem żmudnym i długotrwałym. Programista musi mieć świadomość, że hasło jest jednym z najważniejszym zasobów systemu. Cyberprzestępca próbuje sforsować wszystkie zabezpieczenia tylko po to, aby przejąć kontrolę nad tym krótkim ciągiem znaków.
Czy można się skutecznie bronić? Można próbować.

Włamania do serwisów, nawet tych największych, już tak nie szokują. Co jakiś czas w Internecie publikowane są bazy danych – a to Sony albo Blizzard. Czasem hasła użytkowników można sobie po prostu pobrać, nawet z tak elitarnej instytucji jak IEEE.
Czy można spać spokojnie, gdy publikowany jest zrzut bazy danych Twojego ulubionego wortalu?
W jaki sposób łamanie haseł może przerodzić się w hobby?
Czy warto na co dzień używać systemu zarządzania hasłami?
Zapraszamy do lektury serii artykułów poświęconych bezpieczeństwu haseł.

Celem artykułu jest wyjaśnienie zasady działania środowiska chroot, przedstawienie proponowanej konfiguracji sprzętowej, jak i programowej dla domowego serwera. Ważne dla nas będzie oczywiście nie tylko stworzenie środowiska chroot, ale udostępnienie w nim użytkownikom takich usług jak ssh, ftp czy www dostępnych z poziomu sieci Internet.

Artykuł traktuje o sieciach VPN utworzonych z wykorzystaniem bezpłatnego oprogramowania OpenVPN. Krótko omawia część teoretyczną i skupia się w głównej mierze na praktycznej implementacji dwóch scenariuszy wykorzystania tej technologii.

Poczta elektroniczna jest niezmiernie wygodnym i popularnym sposobem komunikacji. Nagminnie jednak za pośrednictwem e-maili przesyłane są poufne informacje. Często nie są one w żaden sposób chronione – mogą być przechwytywane, a następnie odczytywane przez osoby postronne. Jednym z popularnych, a zarazem stosunkowo prostych sposobów na zapewnienie poufności e-maili, jest szyfrowanie wiadomości.

Tekst przybliża zabezpieczenia dostępne z poziomu konfiguracji aplikacji zbudowanych z wykorzystaniem platformy ASP.NET. Wdrożeniowcy odnajdą tutaj zwięzły przewodnik po właściwych ustawieniach zabezpieczeń aplikacji na produkcji wraz z krótkim wyjaśnieniem działania każdego z mechanizmów. Pentesterzy, wykonujący przegląd konfiguracji aplikacji opartej o ASP.NET po lekturze tekstu będą w stanie stwierdzić, jakie słabości dana konfiguracja kryje. Także programiści znajdą tutaj coś dla siebie – część z opisywanych zabezpieczeń można wprowadzić jedynie z poziomu kodu źródłowego aplikacji.

Coraz częściej słyszy się o dostępnych w Internecie bazach haseł wykradzionych z popularnych portali – w czerwcu 2012 był to LinkedIn, z którego wyciekło około 6.5 miliona haseł użytkowników, kilka miesięcy wcześniej – popularny serwis dla graczy Steam. Najczęściej tego typu bazy zawierają hasła użytkowników przechowywane w formie tzw. “zaszyfrowanej” (zahashowanej), choć czasem różnie z tym bywa…