Było już u nas o zdalnym (tj. z wykorzystaniem radia) wykradaniu kluczy z klasycznych PC-tów. Tym razem Izraelscy naukowcy przedstawili pracę opisującą eksperyment ze smartfonami: Ze wstępu cytowanego badania: We show that elliptic-curve cryptography implementations on mobile devices are vulnerable to electromagnetic and power side-channel attacks. We demonstrate full extraction of…
Czytaj dalej »Niedawno pokazano ataki na popularne javowe serwery aplikacyjne (Jboss, WebLogic, Websphere, itd), wskazując na bardziej ogólny problem – tj. z niewalidowaną deserializacją prowadzącą często do nieautoryzowanego wykonania kodu w systemie operacyjnym (problem zresztą nie dotyczy jedynie Javy). Obecnie dostępny jest nawet dodatek do popularnego narzędzia pentesterskiego burp suite, umożliwiający większą automatyzację ataków…
Czytaj dalej »Wygląda na to, że Amazon dmucha na zimne i chce uniknąć problemów podobnych do tych, z którymi boryka się obecnie firma Apple.
Czytaj dalej »Opublikowany został błąd w OpenSSL (Severity: High) , umożliwiający odszyfrowanie przechwyconej komunikacji zaszyfrowanej bezpiecznym protokołem TLS. Całość wymaga aby na serwerze terminującym TLS obsługiwany był też SSLv2. Istotne jest, że przechwycona sesja wcale nie musi korzystać z tego starego protokołu, wystarczy że jest on obsługiwany po stronie serwerowej. Co więcej,…
Czytaj dalej »Najnowszy numer Programisty ponownie wkracza na głębokie wody algorytmiki. Na łamach prezentujemy całkiem nowy cykl zatytułowany “Algorytmy w chmurach”, którego głównym celem jest stopniowe omawianie rozwiązań specyficznych dla aplikacji rozproszonych. W tym numerze pilotażowy artykuł „gossip” – czyli o modelu propagowania informacji wzorowanym na sposobie rozchodzenia się plotek między ludźmi….
Czytaj dalej »Niedawno wspominaliśmy o hollywoodzkim centrum medycznym sparaliżowanym przez złośliwe oprogramowanie klasy ransomware. W ostatnim czasie kilka innych szpitali wpadło w podobne tarapaty.
Czytaj dalej »Google udostępnił bezpłatną ochronę anty DDoS dla serwisów informacyjnych. Szczegółowe informacje o Project Shield – można znaleźć tutaj, a FAQ – tutaj. –ms
Czytaj dalej »W oficjalnym AppStore dostępna była aplikacja umożliwiająca pobieranie nieoficjalnych aplikacji na telefony bez jailbreak. Oczywiście te aplikacje to albo lewizna, albo coś omijającego oryginalne restrykcje Apple. Normalnie (dla użytkowników spoza Chin) aplikacja wyglądała jak system do nauki angielskiego (patrz zrzut ekranowy poniżej – lewa strona), ale już dla użytkowników Chińskich…
Czytaj dalej »Projekt OWASP Mobile Top Ten ma się nieźle, a niedawno wypuszczono checklistę przydatną wszystkim osobom testującym bezpieczeństwo aplikacji mobilnych (OWASP Mobile Checklist Final 2016). Do projektu OWASP ASVS jeszcze trochę brakuję, ale i tak mamy 91 rzeczy do sprawdzenia – podzielone na elementy klienckie oraz server-side. –Michał Sajdak
Czytaj dalej »Kolejny malware szyfrujący dane, zbiera dość obfite żniwo. Locky zaczyna infekcję od otwarcia w Wordzie pliku z rzekomą fakturą i dalej prosi o włączenie makr. Teraz idzie już z górki, bo po odpaleniu odpowiedniego makra, szyfrowane są nasze dyski (w tym dyski sieciowe): Locky contains code to spread across network drives, allowing…
Czytaj dalej »W ciągu ostatnich kilku dni liczba tzw. ukrytych usług dostępnych w sieci Tor za pośrednictwem domen .onion zwiększyła się o ponad 20 tysięcy.
Czytaj dalej »Pamiętacie szpital Hollywood Presbyterian Medical Center, który od wielu dni był sparaliżowany przez rozległą infekcję tamtejszych systemów komputerowych oprogramowaniem ransomware? Nie widząc innego wyjścia placówka zapłaciła okup komputerowym przestępcom…
Czytaj dalej »Ostatnio pokazał się krótki ale treściwy opis podatności w routerze: D-Link DSL-2750B. Całość jest bezczelnie prosta do wykorzystania: wystarczy przekazać (bez uwierzytelnienia) odpowiedni parametr cli – do strony logowania, po czym uzyskujemy uprawnienia root na urządzeniu. Jeśli macie D-Linka warto sprawdzić czy nie macie podobnego problemu: –ms
Czytaj dalej »Interesujący wpis o jednym z urządzeń DVR (Digital Video Recorder) – tego typu sprzęt pobiera strumienie video z kamer i zapisuje je na swoim dysku (w celu ewentualnej późniejszej analizy). Autor analizy przyznaje, że samo urządzenie nie jest wprawdzie najdroższe, ale w domyślnym firmware… krowa? ;-) Dalej, tylko ciekawiej – nawet nie…
Czytaj dalej »Rok temu wykryto krytyczną podatność (nieuwierzytelnione wykonanie kodu na systemie operacyjnym) w niezmiernie popularnym systemie klasy eCommerce – Magento: A cały czas wiele systemów jest podatna (po 2 miesiącach od wydania patcha było to około 100 000 sklepów). Co więcej – obecnie aktywny jest malware wykradający ze sklepów opartych o Magento…
Czytaj dalej »