DKIM

A héten elég nagy port kavart Zachary Harris felfedezése, miszerint a Google, a Yahoo!, az Apple és más informatikai óriások még mindig az ajánlott 1024 bitnél rövidebb kulcsokat használnak a levelezésük DKIM hitelesítéséhez. A Google 512 bites kulcsát Harris az Amazon EC2-n három nap alatt képes volt faktorizálni, így  többek között képes volt levelet küldeni a keresőóriás alapítóinak a saját nevükben (egyébként a számítási kapacitást biztosító Amazon kulcsai is érintettek voltak). Apró szépséghiba a filmbe illő sztoriban, hogy Harris az után lett figyelmes a problémára, hogy maga is egy hamisított levelet kapott egy kamu álláshírdetéssel, feltételezhető tehát, hogy rosszindulatú felek már korábban felfedezték a problémát, melyet aktívan ki is használtak*.

A fentiektől elvileg teljesen függetlenül puffer túlcsordulásos sérülékenységet javítottak a népszerű Exim levelezőszerver DKIM feldolgozását végző kódjában. A probléma speciális DNS rekordok megadásával használható ki. 

* Jelezték hogy az eredeti cikkben ilyen nem szerepel, ami igaz, én úgy emlékszem, hogy valahol ezt olvastam, de forrást keresni most pár napig tuti nem lesz időm/energiám, bocs!

PS3 LV0 kulcsok

Nyilvánosságra kerültek a Playstation 3 legalacsonyabb szintű titkosító kulcsai. A Három Muskétás hackercsoport úgy tűnik már korábban megszerezte ezeket az adatokat, de megpróbálták titkokban tartani. Ez egészen addig sikerül, míg egy jóakarójuk ki nem szivárogtatta a kulcsokat, melynek eredményeként egy másik csoport elkezdte őket pénzért árulni. Minden mindegy alapon a Muskétások most bárki számára elérhetővé tették a kulcsokat, melyek segítségével a Sony összes jövőbeni frissítőcsomagja visszafejthető és módosítható lesz (a bootloader pedig meg fogja enni őket), úgy tűnik tehát, hogy a cég ezt a csatát most végleg elvesztette az alternatív felhasználási módok kedvelőivel szemben.

Google Drive

A Google Drive mellé járó Windows-os illetve Mac-es kliensei úgy tűnik, hogy egy speciális bejelentkezési módot használnak a felhasználók bejelentkeztetésére: miután a fióktulajdonos telepítés után megadja a felhasználónevét és jelszavát, a kliens eltárolja ezeket az információkat, majd képes a belépést elvégezni akár a kétfaktoros autentikáció második lépésének kihagyásával is. Az eddigi beszámolók a "hátsó ajtót" (FTR: ez nem egy hátsó ajtó) trójai programok szempontjából vélik veszélyesnek, én azonban azt mondom, hogy ha már valaki benyalt egy ilyet, az nem a Drive kliense miatt kell hogy aggódjon. Sokkal érdekesebb lenne megnézni a kliensek által használt alternatív belépési útvonalat, ennek ismeretében ugyanis egy felhasználónév és egy jelszó birtokában trójai programok nélkül is megkerülhető lehet az autentikáció. De ez csak egy ötlet... 

ASP.NET biztonság

Balássy György blogján az elmúlt időszakban igen jó írások jelentek meg ASP.NET biztonsági témában, érdemes elolvasni őket:

• Az ASP.NET Medium trust halála
• Biztonsági fejlesztések az ASP.NET 4.5-ben

Shockwave Player frissítések

Az Adobe hat sérülélkenységet javított a Shockwave Playerben. A foltok 2-es prioritást kaptak, tehát kihasználható, kritikus sérülékenységekről van szó, aktív exploitokról azonban nem áll rendelkezésre információ. A frissítés emellett természetesen mihamarabb ajánlott.