Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

Hírek - 2012/5. hét

2012.02.05. 21:16 | buherator | 1 komment

Verisign

Egy új szabályozásnak megfelelően a Verisign-nak negyedéves jelentésben kellett beszámolnia az őt ért biztonsági incidensekről. A kiadott dokumentum szerint a céget 2010-ben több sikeres támadás is érte, és bár a beszámoló homályosan fogalmaz, arra lehet következtetni, hogy államilag szponzorált akciókról volt szó. A Verisign Inc. és a Symantec mostani közleményei szerint sem az előbbi társaság által kezelt DNS infrastruktúrához, sem az időközben felvásárolt hitelesítő szolgáltatásokra nem volt hatással a támadás - ezt az állítást ennyi idő elteltével ellenőrizni persze lehetetlen. 

A témában jó összefoglaló olvasható a berta.hu-n.

PHP bénázás

A héten már írtam egy remek PHP sérülékenységről, azonban nem ez volt az egyetlen esemény a futtatókörnyezet háza táján. Érdemes elolvasni ezt a szösszenetet Stefan Essertől, amiből megtudhatjuk, hogy hasonlóan a már tárgyalt esethez, a nagy javítási lázban még egy védelmet sikerült kigyilkolni, majd a változást commitolni a PHP 5.3 fő ágába. Mindez igen siralmas képet fest a PHP fejlesztési alapelveiről, és a kód minőségéről is. A kedélyeket pedig nem javítja az sem, hogy a Debian unstable ágában alapértelmezetten kikapcsolták a Suhosin-t, miközben a fenti esetekben is ez a megerősítés jelentette az utolsó(előtti) védelmi vonalat. Ja, itt is megjelent egy PoC.

Visszafejtették egyes műholdas telefonok titkosítási algoritmusait

Német szakértők állítólag visszafejtették a GMR-1 és GMR-2 titkosítási algoritmusokat, melyeket a Közel-Keleten és Afrikában népszerű Thuraya műholdas telefonok is használnak. A zárt titkosítási algoritmust alkalmazó beszélgetések megfejtéséhez fél óra és nagyjából 2000 dolláros felszerelés szükséges, de drágább cuccal akár valósidejű lehallgatás is megvalósítható. Technikai részleteket egyelőre nem találtam, a kutatók az algoritmusok közzétételét ígérik, azt gyanítom, hogy egyelőre nyers-erőn alapuló támadással érhető el eredmény. 

Apple biztonsági frissítések

Az Apple kiadta rendszeres frissítőcsomagját, a szokásosan szűkszavú összefoglaló itt olvasható.

Két és fél évet kapott a Mariott-hacker

Anno elmondtam a véleményemet azzal kapcsolatban, hogy valaki egy cég bizalmas adatait lobogtatva próbál állásoz (vagy más előnyhöz jutni). Szerencsétlen srác nem úszta meg annyival, mint erdélyi kollegája, bár az eredetileg kilátásba helyezett 10 évhez képest a két és fél év még egészen barátinak tűnik. 

Srácok, csak ésszel!

Alább élvezzétek a Hacktion 15. részét, melyből többek között azt is megtudhatjátok, hogy egy laminált papírdarabbal kiadhatjuk magunkat az orosz titkosztolgálat emberének :)

Címkék: apple hírek php patch bukta debian incidens symantec marriott verisign thuraya suhosin gmr-1 gmr-2

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

synapse · http://www.synsecblog.com 2012.02.12. 22:43:09

Eleve nem birom Stefan Essert, de ez nevetseges:

"...And it would be broken. And if I would not sit on every single commit to PHP this would happen, because obviously inside PHP no one cares about reviewing security patches."

Unfollowoltam egy eve, mert minden 10. twitjeben azon parazott, hogy nem kap penzt a followerek utan es hogy azok milyen buzik hogy nem unfollowoljak. Also buzik a php fejlesztok mert nem azt csinaljak amit O mond. Ehhez inkabb nem fuznek hozza semmit, ez egy idiota.

Masik tajgetoszpozitiv a marriot hacker, nem is ertem hogy fordulhat meg ilyen egy normalis ember fejeben. Mondjuk testkozelbol lattunk mi is peldat erre, nem fiuk?

synapse