markasblog

Pwn2Own 2012 zapasem. Tradycyjnie turniej hakerów odbędzie się w ramach konferencji poświęconej bezpieczeństwu sieci komputerowych w Vancouver o nazwie CanSecWest. Tym razem zawody będą rozgrywane na przestrzeni trzech dni, między 7 i 9 marca. Ten rok będzie przełomowy, jeżeli chodzi o zasady przeprowadzania konkursu. O ile w latach poprzednich Pwn2Own był zorganizowany tak, aby wzbudzał sensację wśród obserwujących (konkurs był nastawiony na szybkość łamania zabezpieczeń i zdolność wykorzystywania znanych luk bezpieczeństwa), tak teraz zawodnicy będą oceniani za pomocą skali punktowej, co spowoduje, że faktycznie zawodnicy będą zmuszeni do rywalizacji. Wycofano zasadę ograniczająca ilość luk 0-day wykorzystanych do skutecznego ataku do jednej. Według nowych zasad ilość luk znalezionych i wykorzystanych będzie dowolna i za każdą lukę znalezioną w przeglądarce, zawodnik otrzyma punkty. Celem organizatorów jest przede wszystkim wykazanie maksymalne dużej liczby uchybień w temacie zabezpieczeń, a także zwrócenie uwagi producentów na konieczność starannego przygotowania łat dla swoich produktów, ponieważ w tym momencie często jest tak, że pomimo wydania łaty bezpieczeństwa, podatność na ataki danego produktu wcale się nie zmniejsza. Nowe zasady mają za zadanie dać równe szanse wszystkim startującym w konkursie. Nie będzie losowania kolejności podejścia do konkretnego zadania. Zawodnicy będą zmuszeni opracować exploity wykorzystujące luki w zabezpieczeniach w czasie trwania rywalizacji. Dzięki temu konkurs będzie trzymał w napięciu od początku do końca.

Dodatkowo atmosferę podgrzewa Google, które oferuje 20 000 dolarów za każdą lukę wskazaną i wykorzystaną do skutecznego ataku w przeglądarce Google Chrome. Stawka więc wyraźnie rośnie, ponieważ przy założeniu, że limit luk znalezionych w przeglądarkach został zdjęty, można dorobić się pokaźnego bonusu od samego wydawcy Chrome. Oczywiście gigant z Mountain View jest pewny swego i zakłada, że ich mechanizm sandbox jest na tyle skuteczny, że raczej przeglądarka obroni się przed atakami. Pytanie tylko, co się stanie jeżeli haker skorzysta z dwóch exploitów, z których pierwszy złamie zabezpieczenia sandboxa, a drugi uderzy już bezpośrednio w jądro przeglądarki?

Należy pamiętać oczywiście, że podczas dotychczasowych konkursów PWN2OWN, Google Chrome ani razu nie poddał się atakom hakerów. Może jednak było to spowodowane ograniczeniami wynikającymi z regulaminu. Teraz hakerzy mają więcej wolności i mogą puścić wodze fantazji.

Oczywiście oprócz nagrody ufundowanej przez Google, również organizator, którym jest TippingPoint ze swojej strony ufundował nagrody pieniężne dla trzech pierwszych miejsc.

Podstawowe zasady:

Przeglądarki będące celem ataków:

• Microsoft Internet Explorer
• Apple Safari
• Google Chrome
• Mozilla Firefox

Systemy operacyjne:

• Windows 7
• Mac OS X Lion

Oba systemy wyposażone będą w najnowsze łaty bezpieczeństwa.

Punktowanie:

• Każdy zawodnik (lub zespół) który opublikuje działający exploit wykorzystujący lukę 0-day w przeglądarce otrzymuje 32 punkty
• podczas rozpoczęcia konkursu zostaną ogłoszone 2 luki załatane w ostatnich latach , które należy wykorzystać do ataku; pierwszy zawodnik, który stworzy exploit wykorzystujący te luki otrzyma 10, 9 lub 8 punktów w zależności od dnia demostracji
• żaden zespół ani indywidualny zawodnik nie wygra jeżeli nie wykaże chociaż jednej luki 0-day w zabezpieczeniach
• o zaliczeniu punktów za zadanie będzie decydować grupa sędziów, którzy sprawdzą, czy dana luka nie jest wykorzystywana jednocześnie przez kilka zespołów

Nagrody:

• I miejsce: 60 000$
• II miejsce: 30 000$
• III miejsce 15 000$

Zdecydowanie nowa konwencja konkursu PWN2OWN jest ciekawsza nie tylko ze względu na postawienie na większą konkurencję biorących w nim udział hakerów, ale również ze względu na możliwość wykrycia nowych podatności na ataki produktów czołowych firm. Internet Explorer, Safari oraz Firefox co roku poddawały się naporom atakujących . Jedynie Google Chrome opierał się atakom, głownie dzięki mechanizmowi sandbox. Uważam, że teraz może się to zmienić. Nie tylko podbicie stawki przez Google za złamanie ich zabezpieczeń, ale przede wszystkim większa dowolność w podejściu do tematu, może obalić mit bezpiecznego Chrome.

Czekam z niecierpliwością na tegoroczny konkurs. Może będzie mniej spektakularny patrząc od strony mediów, ale według mnie, wniesie więcej w poprawę bezpieczeństwa przeglądarek internetowych, a co za tym idzie, naszych komputerów i danych na nich zgromadzonych.

18 stycznia OpenSSL Project wydał poprawkę, która wyeliminowała podatność na ataki DoS, która z kolei została zaimplementowana przy okazji wydania krytycznych łat bezpieczeństwa 6 stycznia tego roku. Luka oznaczona kodem CVE-2011-4108 dotyczy implementacji protokołu DTLS, pozwala na odszyfrowanie zabezpieczonej transmisji bez znajomości klucza szyfrowania. Wydawcy zalecają aktualizację OpenSSL do wersji 1.0.0g lub 0.9.8t, z pominięciem wersji 1.0.0f i 0.9.8s.

Kilka dni temu firma SplashData opublikowała raport o najczęściej używanych i zarazem najgorszych hasłach w roku 2011. Okazuje się, że wciąż najpopularniejsze hasła to takie, które wprost wynikają z układu klawiatury, lub są nazwami własnymi, którymi są na przykład imiona użytkowników.

Specjaliści zauważają jednocześnie, że skomplikowanie haseł wciąż rośnie, ale do miana bezpiecznych wciąż im sporo brakuje. Coraz więcej dostawców narzuca na użytkowników określone minimalne kryteria złożoności haseł (np.: minimum jedna cyfra w haśle, lub minimum jedna wielka litera), ale te bardziej „złożone” hasła i tak przybierają formę „abc123″. Innym problemem jest powtarzalność haseł w wielu miejscach. Najczęściej stosowane są te sama hasła do wielu serwisów. Hakerzy pomimo, że mają już narzędzia do łamania bardziej wyrafinowanych haseł i tak w pierwszej kolejności uderzają w łatwe cele, a takimi bez wątpienia są użytkownicy używający jednego hasła do zabezpieczenia różnych miejsc w sieci.

Poniżej zamieszczam 25 haseł, które uchodzą za najczęściej używane i zarazem za najłatwiejsze do złamania w roku 2011 według firmy SplashData:

• password
• 123456
• 12345678
• qwerty
• abc123
• monkey
• 1234567
• letmein
• trustno1
• dragon
• baseball
• 111111
• iloveyou
• master
• sunshine
• ashley
• bailey
• passw0rd
• shadow
• 123123
• 654321
• superman
• qazwsx
• michael
• football

Oczywiście jest to angielskojęzyczna lista. Z doświadczenia jednak wiem, że wielu użytkowników (również moich znajomych) używa haseł, które ja bez problemu mógłbym odgadnąć, chociaż z hakerem mam niewiele wspólnego.

Kluczem do dobrego hasła jest jego złożoność. Nie bójmy się haseł długich, składających się z liter dużych i małych, cyfr oraz znaków specjalnych (%, ^, * itp.). Unikajcie stosowania tych samych haseł w miejscach ważnych ze względu na bezpieczeństwo informacji tam przechowywanych. Jeżeli nie jesteście przekonani do programów zarządzających hasłami, stwórzcie listę papierową i przechowujcie ją w miejscu bezpiecznym. Są to naprawdę proste środki i tanie we wdrożeniu, a mogą wam zaoszczędzić wiele stresu w przypadku włamania na komputer i przechwycenia ewentualnie zapisanych na dysku haseł.

26 maja (środa) pojawiła się kolejna aktualizacja platformy WordPress. Wersja 3.1.3 wprowadza kilka poprawek bezpieczeństwa. Między innymi poprawiono bezpieczeństwo przesyłania plików z komputerów o niskim poziomie zabezpieczeń oraz poprawiono bezpieczeństwo obsługi mediów. Dodatkowo pojawiła się funkcjonalność, która usuwa stare pliki importu WordPress, jeżeli taki import nie został zakończony pomyślnie. Wprowadzono także mechanizm ochrony przed atakiem typu clickjacking na stronie administratora oraz na stronie logowania. Niestety (dla niektórych) mechanizm ten działa tylko i wyłącznie w nowoczesnych przeglądarkach.

Pełną listę zmian można znaleźć tutaj.

Jednocześnie trwają pracę nad gałęzią 3.2 platformy WordPress. Jednocześnie z wersją 3.1.3 pojawiła się druga beta odłamu 3.2. Wydanie wersji RC planowane jest na początek czerwca, a wersja finalna planowana jest na koniec miesiąca. Najważniejszą ze zmian w wersji WordPress 3.2 Beta 2 w stosunku do pierwszej wersji beta jest zaimplementowanie obsługi biblioteki jQuery 1.6.1.

W dniu wczorajszym pojawiła się aktualizacja platformy blogowej WordPress. Wersja 3.1.1 niesie ze sobą zwiększone bezpieczeństwo w module odpowiedzialnym za upload mediów, zwiększoną odporność na awarie związane z przesyłaniem złożonych linków. Dodatkowo jest wyeliminowana podatność na ataki XSS w procesie aktualizacji bazy danych. Ponadto poprawiono 26 innych błędów, których listę można zobaczyć tutaj.

Zaleca się zaktualizowanie swoich platform najszybciej jak to będzie możliwe.

Po tym jak Adobe w poniedziałek opublikował informację o istnieniu luki zero-day  w odtwarzaczu Flash Player, która umożliwia przeprowadzenie ataku przy użyciu odpowiednio spreparowanego pliku Excel, Google we wtorek wydał aktualizacje przeglądarki Chrome, w której ten problem został wyeliminowany. Tak szybka reakcja jest efektem ścisłej współpracy Adobe z Google, która trwa od kwietnia 2010. Na mocy umowy spisanej pomiędzy dwoma gigantami, Adobe udostępnia nowe wersje oprogramowania Flash programistą Google w celu testów i późniejszej integracji.

Często w tej sytuacji zdarza się, że przeglądarka od Google pracuje z najnowszą wersją Flasha, zanim jeszcze jest ona dostępna do pobrania przez użytkowników innych przeglądarek internetowych. I tak jest i w tym przypadku. Firefox, Safari, IE oraz Opera muszą czekać na oficjalne udostępnienie najnowszej wersji Flasha, a tymczasem Chrome już teraz pracuje z wersją 10.2.154.25 programu Flash Player.

Najnowszą wersję Chrome oznaczoną numerem 10.0.648.134 można pobrać ze stron producenta odpowiednio dla systemu: Windows, Linux, Mac OS X.

Użytkownicy, którzy już korzystają z przeglądarki Chrome mogą, a nawet powinni skorzystać z opcji automatycznych aktualizacji.

Adobe po raz kolejny ma problem z bezpieczeństwem swoich produktów. Tym razem problem, jak nie trudno się domyślić, dotyczy luki w w Flash Playerze. Producent potwierdził w tym tygodniu, że w ich produkcie istnieje poważny błąd związany z bezpieczeństwem i jest on wykorzystywany przez cyberprzestępców. Do ataków wykorzystywany jest plik Excel, w którym osadzony jest obiekt Flash. W chwili obecnej atak w takiej formie ma dość mały zasięg działania. Należy jednak pamiętać, że sposób ataku z wykorzystaniem powszechnie zaufanych plików Excel może dość szybko stać się potężną bronią w rękach hakerów. W efekcie skutecznie przeprowadzonego ataku, cyberprzestępca może przejąć kontrolę nad systemem. Do tej pory Adobe nie otrzymało informacji o podatności na atak programu Adobe Reader oraz Adobe Creator.

Producent programu zapowiada wydanie poprawek dla Flasha, Adobe Readera oraz Adobe Creatora w przyszłym tygodniu. Wydana aktualizacja bezpieczeństwa uszczelni kod, który umożliwia zamieszczanie obiektów Flash w dokumentach PDF.

Aktualizacji nie zostanie natomiast poddany Reader X. Twórcy programu twierdzą, że mechanizm sandbox wbudowany w najnowszą przeglądarkę plików PDF skutecznie niweluje ryzyko ataku przeprowadzonego z użyciem luki w platformie Flash. Dodatkowym argumentem za pominięciem Readera X w cyklu aktualizacji jest możliwość opóźnienia prac nad wydaniem poprawek dla programów Flash oraz Adobe Reader.

Pwn2Own, jeden z największych na świecie konkursów przygotowanych dla hakerów rusza już w przyszłym tygodniu. Tymczasem Mozilla idąc w ślady Google, wydała poprawki bezpieczeństwa dla przeglądarki Firefox. Firefox w wersji 3.5.17 oraz 3.6.14 pozbawiony został 11 błędów oznaczonych jako krytyczne oraz jednego oznaczonego jako ważny oraz jednego oznaczonego jako umiarkowany. Należy zwrócić uwagę, że jest to pierwsza od dłuższego czasu aktualizacja Firefoksa. Ostatnia miała miejsce w grudniu 2010. Jednym z powodów, dla którego wydanie aktualizacji było opóźnione, była konieczność zbadania błędu występującego we wcześniejszej wersji przeglądarki, który doprowadzał w pewnych sytuacjach do awarii programu.

Poprawki wydane we wtorek wyeliminowały między innymi 3 usterki w obsłudze JavaScript, 2 błędy w silniku przeglądarki, jeden błąd w obsłudze plików JPEG (pisałem również o tym przy okazji klienta Thunderbird 3.1.8), oraz poważny błąd CSRF, który mógł być wykorzystany do przeprowadzenia ataku z wykorzystaniem odpowiednio spreparowanych plików Flash.

Google aktualizacje do przeglądarki Chrome wydał w poniedziałek. W przeglądarce oznaczonej numerem 9.0.597.107 wyeliminowano 16 luk bezpieczeństwa oznaczonych jako ważne oraz 3 oznaczone jako średnie. W nomenklaturze wprowadzonej przez Google jako krytyczne określa się luki w zabezpieczeniach, które umożliwiają wykonanie kodu poza mechanizmem sandbox. Błędy wyeliminowane w poniedziałek dotyczyły przede wszystkim mechanizmu WebGL, API dla sprzętowej akceleracji grafiki 3D, SVG renderingu i animacji oraz błędów związanych z paskiem adresu przeglądarki.

Ciekawe jak w tym roku wypadną przeglądarki internetowe w konkursie. Rok temu przed atakiem hakerów uchroniła się jedynie przeglądarka ze stajni Google. Safari, IE8 oraz Firefox uległy, chociaż w tym miejscu należy podkreślić, że IE od Microsoftu postawiło najmniejszy opór.

Konkursy takie jak Pwn2Own przede wszystkim pomagają  twórcą przeglądarek w tworzeniu bezpieczniejszego oprogramowania. Nam, jako użytkownikom końcowym zwracają uwagę na niedociągnięcia jakie w przeglądarkach są codziennością. Wydaje się, że i w tym roku Internet Explorer po raz kolejny wypadnie blado w stosunku do konkurencji, a  Google po raz kolejny udowodni, że mechanizm sandbox zaimplementowany w ich produkcie jest ciężki, a może nawet niemożliwy do przejścia.

Edit:

Firefoksa w wersji 3.5.17 można pobrać z oficjalnych serwerów Mozilli odpowiednio dla systemów: Windows, Linux, Mac OS X.

Firefoksa w wersji 3.6.14 można pobrać z oficjalnych serwerów Mozilli odpowiednio dla systemów: Windows, Linux, Mac OS X.

Chrome można pobrać z oficjalnych serwerów Google odpowiednio dla systemów Windows, Linux, Mac OS X.

W dniu wczorajszym Mozilla poinformowała o wydaniu Thunderbirda 3.1.8, jednego z najpopularniejszych na świecie darmowych klientów pocztowych. W nowej wersji poprawiono bezpieczeństwo oraz stabilność programu.

Jeden z wyeliminowanych błędów dotyczył obsługi plików JPEG i był oznaczony jako krytyczny. Mógł on zostać wykorzystany w celu wstrzyknięcia na komputer ofiary złośliwego kodu za pośrednictwem odpowiednio spreparowanego pliku JPEG. Inny krytyczny błąd dotyczył obsługi pamięci nie tylko w kliencie poczty, ale również innych produktów Mozilli. Programiści Mozilli informowali, że przy odrobinie wysiłku również ten błąd mógł umożliwić zainfekowanie komputera ofiary. Usunięto również błąd w obsłudze klasy ParanoidFragmentSink oznaczony jako średnio ważny.

Równocześnie z gałęzią 3.1 trwają pracę nad gałęzią 3.3 klienta pocztowego Thunderbird. W chwili obecnej dostępna jest druga już wersja alfa nowej odsłony programu, którą również można pobrać z serwerów Mozilli.

Wersję 3.1.8 Thunderbirda, którą osobiście polecam wszystkim użytkownikom można pobrać tutaj. Najnowszą wersję alfa gałęzi 3.3 można pobrać tutaj, jednak należy pamiętać, że wersje rozwojowe programu mogą zachowywać się niestabilnie i użytkowanie ich może wiązać się z ryzykiem utraty ważnych danych.

W najbliższym czasie można spodziewać się wydania trzeciej wersji alfa Thunderbirda 3.3. Według informacji zamieszczonych na Wiki Mozilli w pierwszym tygodniu marca ma nastąpić zamrożenie kodu programu, a chwilę później udostępnienie tej wersji do testów użytkownikom końcowym.

Cisco System  w swoim raporcie wskazuje jasno, że Chiny z dotychczas piątego miejsca zajmowanego w rankingu największych spamerów świata spadła na miejsce 18. To ogromny postęp w walce ze spamem. Według rankingu opublikowanego przez firmę Sophos sytuacja Chin jest jeszcze lepsza, ponieważ według nich Chiny w tym momencie są na 20 miejscu zaraz za Hiszpanią, podczas gdy w 2009 roku plasowali się w pierwszej trójce.

Według Patricka Petersona, pracownika Cisco Research Fellow jest to efekt uruchomienia w Chinach programu anty-spamowego, w który zostali zaangażowani dostawcy internetu oraz firmy zajmujące się  bezpieczeństwem sieci.

Inny specjalista z branży IT, pracujący między innymi w Comcast, Michael O’Reirdan zauważa, że w chwili obecnej zacieśnia się współpraca z instytucjami zwalczającymi spam w USA ze specjalistami z Chin. Okazuje się bowiem, że doświadczenie specjalistów z Państwa Środka może stać się nieocenione, tym bardziej, że według Sophos, Stany Zjednoczone odpowiadają za 20% spamu generowanego w globalnej sieci.

Oczywiście eksperci zwracają uwagę na fakt, że wcale nie musi być tak, że to Amerykanie kryją się za tak ogromnym ruchem, ale faktem jest, że wiele komputerów w Stanach jest zainfekowanych złośliwym oprogramowaniem, którego twórcami może być każdy.

Według Cisco za tak dużym spadkiem generowanego spamu w Chinach może stać ściślejsza współpraca pomiędzy dostawcami internetu a klientami.

Chet Wisniewski z firmy Sophos idzie o krok dalej i zwraca uwagę na fakt, iż zmniejszenie ilości generowanego spamu w Chinach może być efektem ściślejszej kontroli całego internetu w tym państwie. W chinach trudniejsze stało się rejestrowanie nowych domen, a także bardziej restrykcyjna stałą się kontrola nad tym, kto może wysyłać maile. Mówi również, że

My naprawdę nie mamy wystarczającego wglądu w to, co dokładnie dzieje się w Chinach, ponieważ wiele działań jest utrzymywane w tajemnicy.

Dodając:

To chyba bardziej chodzi o cenzurę niż o próbę walki ze spamem, ale efekt końcowy jest taki, że spam został zatrzymany.

Po takich wiadomościach zastanawiam się nad sensem cenzury internetu. Czy faktycznie nie jest tak, że mądra cenzura,a raczej mądrze zorganizowane ograniczenia w dostępie do internetu wielu problemów nie rozwiążą. Nie jestem zwolennikiem cenzury, ale jestem za ograniczeniem dostępności pewnych funkcjonalności jakie internet oferuje. Wszelkie czaty powinny podlegać ścisłej kontroli i restrykcją wiekowym, choćby po to, aby wyeliminować pedofilię. Powinny pojawić się internetowe dowody osobiste, bez których dostęp do sieci byłby niemożliwy. I tyle…