markasblog

Pwn2Own 2012 zapasem. Tradycyjnie turniej hakerów odbędzie się w ramach konferencji poświęconej bezpieczeństwu sieci komputerowych w Vancouver o nazwie CanSecWest. Tym razem zawody będą rozgrywane na przestrzeni trzech dni, między 7 i 9 marca. Ten rok będzie przełomowy, jeżeli chodzi o zasady przeprowadzania konkursu. O ile w latach poprzednich Pwn2Own był zorganizowany tak, aby wzbudzał sensację wśród obserwujących (konkurs był nastawiony na szybkość łamania zabezpieczeń i zdolność wykorzystywania znanych luk bezpieczeństwa), tak teraz zawodnicy będą oceniani za pomocą skali punktowej, co spowoduje, że faktycznie zawodnicy będą zmuszeni do rywalizacji. Wycofano zasadę ograniczająca ilość luk 0-day wykorzystanych do skutecznego ataku do jednej. Według nowych zasad ilość luk znalezionych i wykorzystanych będzie dowolna i za każdą lukę znalezioną w przeglądarce, zawodnik otrzyma punkty. Celem organizatorów jest przede wszystkim wykazanie maksymalne dużej liczby uchybień w temacie zabezpieczeń, a także zwrócenie uwagi producentów na konieczność starannego przygotowania łat dla swoich produktów, ponieważ w tym momencie często jest tak, że pomimo wydania łaty bezpieczeństwa, podatność na ataki danego produktu wcale się nie zmniejsza. Nowe zasady mają za zadanie dać równe szanse wszystkim startującym w konkursie. Nie będzie losowania kolejności podejścia do konkretnego zadania. Zawodnicy będą zmuszeni opracować exploity wykorzystujące luki w zabezpieczeniach w czasie trwania rywalizacji. Dzięki temu konkurs będzie trzymał w napięciu od początku do końca.

Dodatkowo atmosferę podgrzewa Google, które oferuje 20 000 dolarów za każdą lukę wskazaną i wykorzystaną do skutecznego ataku w przeglądarce Google Chrome. Stawka więc wyraźnie rośnie, ponieważ przy założeniu, że limit luk znalezionych w przeglądarkach został zdjęty, można dorobić się pokaźnego bonusu od samego wydawcy Chrome. Oczywiście gigant z Mountain View jest pewny swego i zakłada, że ich mechanizm sandbox jest na tyle skuteczny, że raczej przeglądarka obroni się przed atakami. Pytanie tylko, co się stanie jeżeli haker skorzysta z dwóch exploitów, z których pierwszy złamie zabezpieczenia sandboxa, a drugi uderzy już bezpośrednio w jądro przeglądarki?

Należy pamiętać oczywiście, że podczas dotychczasowych konkursów PWN2OWN, Google Chrome ani razu nie poddał się atakom hakerów. Może jednak było to spowodowane ograniczeniami wynikającymi z regulaminu. Teraz hakerzy mają więcej wolności i mogą puścić wodze fantazji.

Oczywiście oprócz nagrody ufundowanej przez Google, również organizator, którym jest TippingPoint ze swojej strony ufundował nagrody pieniężne dla trzech pierwszych miejsc.

Podstawowe zasady:

Przeglądarki będące celem ataków:

• Microsoft Internet Explorer
• Apple Safari
• Google Chrome
• Mozilla Firefox

Systemy operacyjne:

• Windows 7
• Mac OS X Lion

Oba systemy wyposażone będą w najnowsze łaty bezpieczeństwa.

Punktowanie:

• Każdy zawodnik (lub zespół) który opublikuje działający exploit wykorzystujący lukę 0-day w przeglądarce otrzymuje 32 punkty
• podczas rozpoczęcia konkursu zostaną ogłoszone 2 luki załatane w ostatnich latach , które należy wykorzystać do ataku; pierwszy zawodnik, który stworzy exploit wykorzystujący te luki otrzyma 10, 9 lub 8 punktów w zależności od dnia demostracji
• żaden zespół ani indywidualny zawodnik nie wygra jeżeli nie wykaże chociaż jednej luki 0-day w zabezpieczeniach
• o zaliczeniu punktów za zadanie będzie decydować grupa sędziów, którzy sprawdzą, czy dana luka nie jest wykorzystywana jednocześnie przez kilka zespołów

Nagrody:

• I miejsce: 60 000$
• II miejsce: 30 000$
• III miejsce 15 000$

Zdecydowanie nowa konwencja konkursu PWN2OWN jest ciekawsza nie tylko ze względu na postawienie na większą konkurencję biorących w nim udział hakerów, ale również ze względu na możliwość wykrycia nowych podatności na ataki produktów czołowych firm. Internet Explorer, Safari oraz Firefox co roku poddawały się naporom atakujących . Jedynie Google Chrome opierał się atakom, głownie dzięki mechanizmowi sandbox. Uważam, że teraz może się to zmienić. Nie tylko podbicie stawki przez Google za złamanie ich zabezpieczeń, ale przede wszystkim większa dowolność w podejściu do tematu, może obalić mit bezpiecznego Chrome.

Czekam z niecierpliwością na tegoroczny konkurs. Może będzie mniej spektakularny patrząc od strony mediów, ale według mnie, wniesie więcej w poprawę bezpieczeństwa przeglądarek internetowych, a co za tym idzie, naszych komputerów i danych na nich zgromadzonych.

18 stycznia OpenSSL Project wydał poprawkę, która wyeliminowała podatność na ataki DoS, która z kolei została zaimplementowana przy okazji wydania krytycznych łat bezpieczeństwa 6 stycznia tego roku. Luka oznaczona kodem CVE-2011-4108 dotyczy implementacji protokołu DTLS, pozwala na odszyfrowanie zabezpieczonej transmisji bez znajomości klucza szyfrowania. Wydawcy zalecają aktualizację OpenSSL do wersji 1.0.0g lub 0.9.8t, z pominięciem wersji 1.0.0f i 0.9.8s.

Kilka dni temu firma SplashData opublikowała raport o najczęściej używanych i zarazem najgorszych hasłach w roku 2011. Okazuje się, że wciąż najpopularniejsze hasła to takie, które wprost wynikają z układu klawiatury, lub są nazwami własnymi, którymi są na przykład imiona użytkowników.

Specjaliści zauważają jednocześnie, że skomplikowanie haseł wciąż rośnie, ale do miana bezpiecznych wciąż im sporo brakuje. Coraz więcej dostawców narzuca na użytkowników określone minimalne kryteria złożoności haseł (np.: minimum jedna cyfra w haśle, lub minimum jedna wielka litera), ale te bardziej „złożone” hasła i tak przybierają formę „abc123″. Innym problemem jest powtarzalność haseł w wielu miejscach. Najczęściej stosowane są te sama hasła do wielu serwisów. Hakerzy pomimo, że mają już narzędzia do łamania bardziej wyrafinowanych haseł i tak w pierwszej kolejności uderzają w łatwe cele, a takimi bez wątpienia są użytkownicy używający jednego hasła do zabezpieczenia różnych miejsc w sieci.

Poniżej zamieszczam 25 haseł, które uchodzą za najczęściej używane i zarazem za najłatwiejsze do złamania w roku 2011 według firmy SplashData:

• password
• 123456
• 12345678
• qwerty
• abc123
• monkey
• 1234567
• letmein
• trustno1
• dragon
• baseball
• 111111
• iloveyou
• master
• sunshine
• ashley
• bailey
• passw0rd
• shadow
• 123123
• 654321
• superman
• qazwsx
• michael
• football

Oczywiście jest to angielskojęzyczna lista. Z doświadczenia jednak wiem, że wielu użytkowników (również moich znajomych) używa haseł, które ja bez problemu mógłbym odgadnąć, chociaż z hakerem mam niewiele wspólnego.

Kluczem do dobrego hasła jest jego złożoność. Nie bójmy się haseł długich, składających się z liter dużych i małych, cyfr oraz znaków specjalnych (%, ^, * itp.). Unikajcie stosowania tych samych haseł w miejscach ważnych ze względu na bezpieczeństwo informacji tam przechowywanych. Jeżeli nie jesteście przekonani do programów zarządzających hasłami, stwórzcie listę papierową i przechowujcie ją w miejscu bezpiecznym. Są to naprawdę proste środki i tanie we wdrożeniu, a mogą wam zaoszczędzić wiele stresu w przypadku włamania na komputer i przechwycenia ewentualnie zapisanych na dysku haseł.

W Regionie Autonomicznym Mongolii Wewnętrznej wybuchły protesty przeciw wydobyciu na tym terenie węgla przez Chiny. Mongołowie zarzucają Chińczykom niszczenie stepów oraz pastwisk przez ciężarówki. Według informacji prasowych, do tej pory zginęło w wyniku protestów dwóch Mongołów. Mongolia Wewnętrzna będąca autonomią chińską jest na chwilę obecną największym chińskim producentem węgla. Niestety rdzenna ludność stanowi jedynie 20% ogólnej liczby mieszkańców regionu. Zdecydowana większość to Chińczycy, którzy w dalszym ciągu napływają do Mongolii Wewnętrznej. Mongołowie obawiają uważają, że zagrożony jest ich tradycyjny sposób życia.

Chiny jak zwykle w takich sytuacjach ograniczają dostęp do informacji obywatelom, wykorzystując w tym celu cenzurę.

Chińskie mikroblogi uniemożliwiają wyszukiwanie terminu „Mongolia Wewnętrzna„. Blokowany jest w ten sposób dostęp do informacji na temat protestów w chińskich serwisach społecznościowych takich jak Sina i Tencent, które w sumie mają około 300 mln użytkowników.

Renren, czyli chiński Facebook również został ocenzurowany. Zablokowano wyszukiwanie dla zwrotu „Mongolia Wewnętrzna”, co poskutkowało tym, że użytkownicy odwiedzający osoby, które na swoim profilu zaznaczyły jako rodzinne strony region Mongolii Wewnętrznej, mają ograniczony dostęp do ich profili.

Chiny mogą się  pochwalić ponad 450 mln internautów oraz permanentną kontrolą treści publikowanych w sieci. W tym roku poziom kontroli znacznie wzrósł w obawie przed Jaśminową Rewolucją, która miałaby uderzyć w chiński rząd.

26 maja (środa) pojawiła się kolejna aktualizacja platformy WordPress. Wersja 3.1.3 wprowadza kilka poprawek bezpieczeństwa. Między innymi poprawiono bezpieczeństwo przesyłania plików z komputerów o niskim poziomie zabezpieczeń oraz poprawiono bezpieczeństwo obsługi mediów. Dodatkowo pojawiła się funkcjonalność, która usuwa stare pliki importu WordPress, jeżeli taki import nie został zakończony pomyślnie. Wprowadzono także mechanizm ochrony przed atakiem typu clickjacking na stronie administratora oraz na stronie logowania. Niestety (dla niektórych) mechanizm ten działa tylko i wyłącznie w nowoczesnych przeglądarkach.

Pełną listę zmian można znaleźć tutaj.

Jednocześnie trwają pracę nad gałęzią 3.2 platformy WordPress. Jednocześnie z wersją 3.1.3 pojawiła się druga beta odłamu 3.2. Wydanie wersji RC planowane jest na początek czerwca, a wersja finalna planowana jest na koniec miesiąca. Najważniejszą ze zmian w wersji WordPress 3.2 Beta 2 w stosunku do pierwszej wersji beta jest zaimplementowanie obsługi biblioteki jQuery 1.6.1.

W zeszłym tygodniu na blogu skupiającym się na systemie Android opublikowano informację, że oprogramowanie Skype wyprodukowane dla platformy Android nie blokuje dostępu do wielu poufnych informacji znajdujących się na telefonach.

W niepowołane ręce mogą wpaść takie dane jak nazwa użytkownika, adres e-mail, lista kontaktów oraz logi rozmów z klienta Skype. Sam producent oprogramowania Skype potwierdził zarzuty w piątek.

Problem polega na tym, że Skype nadaje błędne uprawnienia do plików, pozwalając na dostęp do nich każdemu.

Producent oprogramowania Skype obiecał zająć się problemem prywatności, ale działania mające na celu wyeliminowanie problemu nie zostały ujęte w żadnym harmonogramie.

Chet Wiśniewski, specjalista ds. bezpieczeństwa z Sophos powiedział, że problemy z prywatnością oprogramowania Skype dla Androida mogły

powstać z niechlujstwa w kodowaniu w najlepszym razie, lub braku szacunku dla prywatności w najgorszym.

Na chwilę obecną problem z prywatnością oprogramowania Skype dla Androida nie została wyeliminowana.

W dniu wczorajszym pojawiła się aktualizacja platformy blogowej WordPress. Wersja 3.1.1 niesie ze sobą zwiększone bezpieczeństwo w module odpowiedzialnym za upload mediów, zwiększoną odporność na awarie związane z przesyłaniem złożonych linków. Dodatkowo jest wyeliminowana podatność na ataki XSS w procesie aktualizacji bazy danych. Ponadto poprawiono 26 innych błędów, których listę można zobaczyć tutaj.

Zaleca się zaktualizowanie swoich platform najszybciej jak to będzie możliwe.

Po tym jak Adobe w poniedziałek opublikował informację o istnieniu luki zero-day  w odtwarzaczu Flash Player, która umożliwia przeprowadzenie ataku przy użyciu odpowiednio spreparowanego pliku Excel, Google we wtorek wydał aktualizacje przeglądarki Chrome, w której ten problem został wyeliminowany. Tak szybka reakcja jest efektem ścisłej współpracy Adobe z Google, która trwa od kwietnia 2010. Na mocy umowy spisanej pomiędzy dwoma gigantami, Adobe udostępnia nowe wersje oprogramowania Flash programistą Google w celu testów i późniejszej integracji.

Często w tej sytuacji zdarza się, że przeglądarka od Google pracuje z najnowszą wersją Flasha, zanim jeszcze jest ona dostępna do pobrania przez użytkowników innych przeglądarek internetowych. I tak jest i w tym przypadku. Firefox, Safari, IE oraz Opera muszą czekać na oficjalne udostępnienie najnowszej wersji Flasha, a tymczasem Chrome już teraz pracuje z wersją 10.2.154.25 programu Flash Player.

Najnowszą wersję Chrome oznaczoną numerem 10.0.648.134 można pobrać ze stron producenta odpowiednio dla systemu: Windows, Linux, Mac OS X.

Użytkownicy, którzy już korzystają z przeglądarki Chrome mogą, a nawet powinni skorzystać z opcji automatycznych aktualizacji.

Adobe po raz kolejny ma problem z bezpieczeństwem swoich produktów. Tym razem problem, jak nie trudno się domyślić, dotyczy luki w w Flash Playerze. Producent potwierdził w tym tygodniu, że w ich produkcie istnieje poważny błąd związany z bezpieczeństwem i jest on wykorzystywany przez cyberprzestępców. Do ataków wykorzystywany jest plik Excel, w którym osadzony jest obiekt Flash. W chwili obecnej atak w takiej formie ma dość mały zasięg działania. Należy jednak pamiętać, że sposób ataku z wykorzystaniem powszechnie zaufanych plików Excel może dość szybko stać się potężną bronią w rękach hakerów. W efekcie skutecznie przeprowadzonego ataku, cyberprzestępca może przejąć kontrolę nad systemem. Do tej pory Adobe nie otrzymało informacji o podatności na atak programu Adobe Reader oraz Adobe Creator.

Producent programu zapowiada wydanie poprawek dla Flasha, Adobe Readera oraz Adobe Creatora w przyszłym tygodniu. Wydana aktualizacja bezpieczeństwa uszczelni kod, który umożliwia zamieszczanie obiektów Flash w dokumentach PDF.

Aktualizacji nie zostanie natomiast poddany Reader X. Twórcy programu twierdzą, że mechanizm sandbox wbudowany w najnowszą przeglądarkę plików PDF skutecznie niweluje ryzyko ataku przeprowadzonego z użyciem luki w platformie Flash. Dodatkowym argumentem za pominięciem Readera X w cyklu aktualizacji jest możliwość opóźnienia prac nad wydaniem poprawek dla programów Flash oraz Adobe Reader.

Pwn2Own, jeden z największych na świecie konkursów przygotowanych dla hakerów rusza już w przyszłym tygodniu. Tymczasem Mozilla idąc w ślady Google, wydała poprawki bezpieczeństwa dla przeglądarki Firefox. Firefox w wersji 3.5.17 oraz 3.6.14 pozbawiony został 11 błędów oznaczonych jako krytyczne oraz jednego oznaczonego jako ważny oraz jednego oznaczonego jako umiarkowany. Należy zwrócić uwagę, że jest to pierwsza od dłuższego czasu aktualizacja Firefoksa. Ostatnia miała miejsce w grudniu 2010. Jednym z powodów, dla którego wydanie aktualizacji było opóźnione, była konieczność zbadania błędu występującego we wcześniejszej wersji przeglądarki, który doprowadzał w pewnych sytuacjach do awarii programu.

Poprawki wydane we wtorek wyeliminowały między innymi 3 usterki w obsłudze JavaScript, 2 błędy w silniku przeglądarki, jeden błąd w obsłudze plików JPEG (pisałem również o tym przy okazji klienta Thunderbird 3.1.8), oraz poważny błąd CSRF, który mógł być wykorzystany do przeprowadzenia ataku z wykorzystaniem odpowiednio spreparowanych plików Flash.

Google aktualizacje do przeglądarki Chrome wydał w poniedziałek. W przeglądarce oznaczonej numerem 9.0.597.107 wyeliminowano 16 luk bezpieczeństwa oznaczonych jako ważne oraz 3 oznaczone jako średnie. W nomenklaturze wprowadzonej przez Google jako krytyczne określa się luki w zabezpieczeniach, które umożliwiają wykonanie kodu poza mechanizmem sandbox. Błędy wyeliminowane w poniedziałek dotyczyły przede wszystkim mechanizmu WebGL, API dla sprzętowej akceleracji grafiki 3D, SVG renderingu i animacji oraz błędów związanych z paskiem adresu przeglądarki.

Ciekawe jak w tym roku wypadną przeglądarki internetowe w konkursie. Rok temu przed atakiem hakerów uchroniła się jedynie przeglądarka ze stajni Google. Safari, IE8 oraz Firefox uległy, chociaż w tym miejscu należy podkreślić, że IE od Microsoftu postawiło najmniejszy opór.

Konkursy takie jak Pwn2Own przede wszystkim pomagają  twórcą przeglądarek w tworzeniu bezpieczniejszego oprogramowania. Nam, jako użytkownikom końcowym zwracają uwagę na niedociągnięcia jakie w przeglądarkach są codziennością. Wydaje się, że i w tym roku Internet Explorer po raz kolejny wypadnie blado w stosunku do konkurencji, a  Google po raz kolejny udowodni, że mechanizm sandbox zaimplementowany w ich produkcie jest ciężki, a może nawet niemożliwy do przejścia.

Edit:

Firefoksa w wersji 3.5.17 można pobrać z oficjalnych serwerów Mozilli odpowiednio dla systemów: Windows, Linux, Mac OS X.

Firefoksa w wersji 3.6.14 można pobrać z oficjalnych serwerów Mozilli odpowiednio dla systemów: Windows, Linux, Mac OS X.

Chrome można pobrać z oficjalnych serwerów Google odpowiednio dla systemów Windows, Linux, Mac OS X.