W biegu

O tym dość niebezpiecznym fakcie informował niedawno na twitterze serwis BGPMon. Na szczęście akcją objęte były jedynie sieci w Brazylii oraz Wenezueli a całość przejęcia trwała 22 minuty – zważając jednak na popularność publicznej usługi DNS oferowanej przez Google (150 miliardów zapytań dziennie) historia wygląda dość poważnie. PS Nie akceptujecie…

Dostępne mamy już nowy termin szkolenia z bezpieczeństwa aplikacji webowych, które zostało uzupełnione o nowe elementy (podatności związane z XXE – XML External Entity, oraz przykład Remote Code Execution w jednej z bibliotek Java) – oczywiście wszystko pokazywane jest w formie praktycznej z możliwością samodzielnego ćwiczenia. A warsztatów jest tutaj naprawdę…

W nawiązaniu do ostatniego odcinka, dzisiaj kilka być może trochę już zapomnianych (a wartych do przeczytania) tekstów na sekuraku: Bezpieczeństwo node.js Jak zautomatyzować wysyłkę i odbiór SMSów pod systemem Linux? Skanowanie podatności: nmap NSE Skanowanie podatności: OpenVAS Trenowanie testów penetracyjnych na żywych systemach –ms

Naszym Czytelnikom przypominam o trwającym na sekuraku konkursie. Macie jeszcze ponad miesiąc czasu na przesyłanie propozycji tekstu, a do wygrania jest iPad (z możliwością wymiany na gotówkę), druga nagroda to udział w jednym ze szkoleń z bezpieczeństwa by Securitum. –ms

Pewnie części z Was wydaje się, że w miarę prosto: zwraca content… ewentualnie zwraca błąd. Tymczasem sprawa bywa bardziej skomplikowana. Zobaczcie tylko na ten (i tak dość uproszczony) diagram obsługi protokołu http (start w lewym dolnym rogu). PS Czytelników zainteresowanych tego typu tematyką odsyłam też do naszego dużego opracowania: jak…

Tym razem w ramach ciekawostki polecamy zerknąć na innowacyjny projekt japońskich fascynatów, którzy chcą niebawem umożliwić tworzenie obwodów drukowanych na zwykłych drukarkach atramentowych. W zasadzie jedyne czego potrzeba to odpowiedni tusz :-)

Jakiś czas temu pisaliśmy o funkcjonalności click-to-play, która jest dostępna w większości przeglądarek. Umożliwia ona domyślne wyłączenie wszystkich pluginów i odpowiednie monity proszące o zgodę na uruchomienie, w momencie kiedy plugin jest uruchamiany. Niedługo ta opcja będzie domyślna dla niemal wszystkich pluginów.

Wygląda na to, że być może po raz kolejny mamy podobną sytuację jak ze słynnym już bugiem ‘goto fail’ w produktach Apple. Tym razem ofiarą jest biblioteka GNU-TLS (problem został oznaczony z severity: high), a całość udało się zlokalizować podczas realizacji audytu bezpieczeństwa dla RedHat-a.

Zapraszam na już 12 edycję konferencji PLNOG. Tegoroczna agenda zapowiada się wyjątkowo ciekawie i mamy dostępne aż 4 ścieżki tematyczne – więc szansa na nudę w zasadzie zerowa :-)

Ciekawa, choć mająca już dobrych kilka miesięcy praca pokazująca ‘wyhodowanego’ w środowisku laboratoryjnym wirusa rozpowszechniającego się przez WiFi.

Firma Apple – czy raczej jej klienci – nie mają ostatnio szczęścia. Kilka dni temu ogłoszono podatność w systemie iOS (również w OS X) umożliwiającą ominięcie weryfikacji tożsamości serwera przy połączeniach SSL/TLS, a tym razem możliwe jest uruchomienie przez wrogą aplikację procesu monitorowania działań użytkownika. Monitorowane mogą być m.in. zdarzenia…

Szczegółowe opracowanie na ten temat (łącznie z fragmentami kodu / bibliotekami dla najistotniejszych języków programowania) publikuje crackstation, o którym była już mowa na sekuraku.

Serwis The Verge donosi o ciekawym projekcie telefonu – Blackphone. Całość z jednej strony bazuje na systemie Android – z drugiej – zawiera domyślnie wykonany hardening systemu oraz zestaw aplikacji zapewniających pewne przydatne funkcjonalności chroniące prywatność.

US Cert opublikował zestawienie potencjalnych protokołów mogących posłużyć do amplifikacji (czyli sztucznego zwiększenia) wolumenu ruchu używanego w ataku DDoS. Do tej pory najpopularniejszym protokołem tego typu był DNS, a ostatnimi czasy zyskuje na popularności NTP (zauważmy swoją drogą, że NTP posiada ponad 10-krotnie większy “Bandwidth Amplification Factor” od DNS, co…

Tym razem warsztatowe szkolenie z bezpieczeństwa aplikacji www, organizowane przez Securitum i wspierane przez sekuraka odbywa się w Warszawie (10-12 marca 2014).