A HUP-on már ki volt linkelve a SecurityFocus interjúja Wietse Venema-val, a fizikusból lett biztonsági szakértővel. A hajtás után olvashatjátok az interjú fordítását, okuljatok belőle!

Köszönet GHost-nak a fordításban nyújtott segítségért!

A szigorú német szabályozás miatt illegalitásba kényszerült The Hackers Choise egy elektronikus útlevelek klónozására és hamisítására alkalmas módszert mutatott be. Ahogy blogbejegyzésükben rávilágítanak, a problémát az okozza, hogy a leolvasó terminálok elfogadnak saját magunk által aláírt tanúsítványt is a kártyákon, ezért a nyilvános kulcsú infrastruktúra megbízhatatlanná válik: tetszőleges adat felvihető egy fillérekért beszerezhető okoskártyára, a megadott adatokat pedig az ellenőrző terminálok el fogják fogadni. Itt pl. személyesen Elvis próbálkozását láthatjuk az amszterdami reptéren:

 A megoldás egy központi tanúsítószerv megalakítása lehetne, de ez a támadások első számú célpontjává válna, és elestével az egész rendszer "megdőlne", ráadásul egy szervezetet kellene elfogadnia az összes országnak, ami útlevelek kérdésében nem túl szerencsés.

Több, nemzeti hitelesítő szervezet felállítása megnöveli a hibalehetőséget, a tanúsítványok visszavonása pedig szintén elég bajos ügy.* A THC ezért az emberi erőforrást ajánlja.

* A THC egy további problémát is felvet: több tanúsító szervezet esetén A ország készíthet egy útlevelet B országhoz tartozó adatokkal, majd aláírhatja azt a saját kulcsával, a terminál mégis úgy fogja érzékelni, hogy az útlevél B-hez tartozik. Ez a probléma szvsz. azonban könnyen kiküszöbölhető, de javítsatok ki ha tévedek!

Ha zavar, hogy a reptéren fürkésző röntgen-tekintetek merednek csomagod bugyraiba, vess egy pillantást Evan Roth trükkös fémtálcáira, melyekkel hangot (vagy inkább képet?) adhatsz a magánszféra védelmével kapcsolatos álláspontodnak:

Persze ettől még nem úszod meg az átvilágítást, de jobb esetben okozol néhány vidám pillanatot magadnak és a reptér biztonsági személyzetének. Rosszabb esetben ez a jókedv csak a testnyílás-vizsgáló részleg munkatársainak jut ki...

A korai időpont ellenére majdnem lecsukódik a szemem, de muszáj ejtenem néhány szót a mostanában feltűnt clickjacking "támadásról".

A szemfülesek már majdnem két hete olvashattak róla, hogy RSnake és Jeremiah Grossman igen súlyos, több nagy böngészőt is érintő hibát fedeztek fel. A szakértők több nagyobb szoftvergyártóval kezdtek egyeztetésbe, többek között a Microsofttal és Adobe-bal is, a részletek nyilvánosságra hozatalát pedig a pénteki OWASP konferenciára tervezték. (Külön érdekesség, hogy az Adobe úgy is komolyan veszi a kérdést, hogy a hiba valószínűleg nem is az ő termékükben van.) A problémára azonban eddig nem találtak megfelelő, könnyen implementálható megoldást, ezért a két előadó úgy döntött, hogy nem tartják meg az előadást.

Elindultak persze a spekulációk: többen mutatták nekem ezt a szkriptet, ami ugyan egy trükkös darab, de most komolyan: néhány egymásra húzott IFRAME miatt kezdene patchelésbe a Microsoft? És különben is, hogy jön ehhez az Adobe?

Mivel jelen pillanatban még azt sem lehet tudni, hogy mi a támadás pontos hatása, semmit sem lehet kétségek nélkül kijelenteni. Csupán egy dologban lehetünk biztosak: ez a történet szerepelni fog a legközelebbi Pwnie-díj "Leginkább túllihegett hiba" kategóriájának jelöltjei között!

A Napi Gazdaság informatikai mellékletében (2008. IX.) olvasható:

[...] A NetAcademia oktatórendszere világviszonylatban is egyedülálló, ezért a Microsoft nemzetközi vezetősége is elismerte a projektet, aminek nyomán a jövőben várható, hogy több környező országban is elindulnak a helyi Ördöglakat mutációk.

A több ezer informatikust és biztonsági szakértőt folyamatosan, leállás nélkül kiszolgáló Ördöglakat teljes egészében Microsoft-szoftvereken fut [de jó neki...], a pályák megtervezését pedig Certified Ethical Hacker minősítéssel rendelkező szakoktatók végezték. [..]

Ne legyünk rosszmájúak, tényleg jó, hogy van ilyen lehetőség, de ez a bullshit már kissé büdösebb annál, mint amit szó nélkül el lehet viselni...

Az O'Reilly elérhetővé tette Jonathan Zdziarski-val készült interjúját, amely annak idején rávilágított az Apple szupertelefonjának kíváncsi természetére  és bemutatta azokat az "igazságügyi" módszereket, melyek segítségével bejutahatunk egy lezárt készülékbe. Íme:

A Mac OS X legújabb frissítésében az Apple 27 biztonsági hibát orvosol. Ezek nagy része a Sun által már hónapokkal ezelőtt javított Java futattókörnyezetet érintő sebezhetőség, melyek kódfuttatásra adtak lehetőséget. 

A Cisco is kiadott egy javítócsomagot, amely egy tucatnyi IOS foltot tartalmaz. Ezek közül a legveszélyesebb a uBR10012 sorozatú eszközöket érinti, amelyek vonali kártyás redundanciához konfigurálva automatikusan SNMP írási jogokat állítanak be, amely lehetővé teszi, hogy bárki átvegye az irányítást az érintett eszköz fölött. A többi sebezhetőségt DoS-re ad lehetőséget.

• Egy 60 éves amerikai férfit gyanusítanak azzal, hogy betört a Maserati rendszerébe, és letöltötte az autógyártó tesztútjain részt vett ügyfelek listáját. A férfi az információk nyilvánosságrahozatalával fenyegette a céget.
• Megjelent a Firefox böngésző 3.0.2-es verziója, ami egyebek mellett 12 darab biztonsági természetű hibát is javít. Ezek között vannak távoli kódfuttatásra és jogosulatlan könyvtárböngészésre alkalmas sebezhetőségek is.
• A 18 éves Hammaad Mushi elnyerte a Nagy-Britannia Legifjabb Terroristája címet, miután a helyi terrorellenes törvény alapján nem régiben elítélték. A híradások szerint a fiú radikális iszlamista csoportokkal tartotta a kapcsolatott többek között azonnali üzenetküldő szolgáltatásokon keresztül, valamint napalm, és egyéb robbanóanyagok receptjeit találták meg a számítógépén... Utóbbiakra bárki szert tehet, aki pl. megveszi a Harcosok Klubját (a könyv változat most újra megjelent magyarul), az üzengetős problémára pedig már vannak jól bevált eljárások: azokat használják az igazi terroristák.
• A Palin szenátor e-mail postafiókjának "feltörése" ügyében indult nyomozás keretében az FBI házkutatást tartott David Kernell házában. David a demokrata képviselő, Mike Kernell fia. A 20 éves fiatal ember egy 4Chan-en hagyott üzenet után került képbe, de egyelőre nem gyanúsítják semmivel. Úgy látszik nem csak nálunk jó eszköze az informatika a politikai csatározásoknak.

A slidejaimat felraktam ide. A demo scripteket megtaláljátok a http://buhera.cwi.hu címen (A jelszó hacktivity, ha valaki hozzá szeretne férni a MySQL adatbázishoz). Az előadás után felmerült néhány kérdést igyekszem itt tisztázni:

Az UPDATE-es subquery-s móka pl. ezzel a bemenettel működik, figyeljetek rá, hogy az utolsó komment után szükség van egy space-re:

 asdads',fullname=(select ar from porszivo limit 1 ) where id='1' -- 

A blind injection-re a példakód itt van. Tudom, tudom, elég gagyi, meg nincs felkommentezve, de nem akartam vele sokat szórakozni. Így kell futtatni:

./blind http://buhera.cwi.hu/blind.php

 Kell hozzá libcurl! Hirtelen más nem jut az eszembe, ha nektek igen, kérdezzetek!

Frissítés: Mivel a CWI-t elvittéka  rendőrbácsik, felraktam az ott lévő dolgokat ide. A blog.hu nem enged .zip-et feltölteni, szedjétek le a .txt kiterjesztést!

Néhány hete futótűzként terjedt a hír, miszerint az iPhone automatikusan képernyőképeket készít minden tevékenységünkről, csúnyán belegázolva ezzel magánszféránkat oly' annyira féltő kis lelkünkbe.  

Aggodalomra azonban semmi ok, megérkezett a megoldás:

1. Nyomj egy Jailbreaket
2. SSH-val jelentkezz be a telefonra
3. Add ki a következő parancsokat:
   rm -rf /var/mobile/Library/Caches/Snapshots
   ln -s /dev/null /var/mobile/Library/Caches/Snapshots

És többé nem kell féltett titkaid miatt aggódnod :)

Elöljáróban: Ez a hétvége nagyon nem volt egyszerű, köszönömmindenkinek aki részvételével emelte az esemény fényét! A jelszavam megváltoztattam (könyörgöm blog.hu, adj SSL-t!) :)

Most pedig megyek elájulni.

 Ma 10 órakor csúnya látvány fogadta a CriticalMass.hu látogatóit. Aggodalomra azonban semmi ok, a vicces kedvű bringások csak így akarták feldobni a szerverkarbantartással töltött szolgáltatásmentes órákat. Hétfőn felvonulás, menjetek tekerni!

Feltörték a republikánus alelnök-jelölt, Sarah Palin Yahoo!-s e-mail postafiókját. Az akciót az Anonymous csoport (kövezz meg, Udi!) nevében követték el, az eredményeket pedia  Wikileaks-en tették közzé. Igazi csemege az amerikai belpolitika iránt érdeklődőknek! Palint egyébként többször kritizálták, amiért privát e-mail címeket használ a kormányzati átvilágító eljárások kivédésére.

Azoknak, akik esetleg úgy érzik, hogy anyagi megfontolásból az idei Hacktivity helyett inkább otthon WoW-oznak CS-znek unatkoznak, hasznos információ lehet, hogy a rendezvény második napján, vasárnap 15:00 órától a belépés ingyenes lesz. Így mindenkinek alkalma lesz megnézni a Privátszféra és anonimitás az interneten: pro és kontra című kerekasztal-beszélgetést, valamint találkozni néhány könyörtelenül másnapos hackerrel :)

Majdnem elfelejtettem: az első 40 látogató Hacker sört kap ajándékba! Jó cucc, siessetek :)

Tegnap kaptam egy levelet sghctomától, melyben arról értesített, hogy ígéretéhez híven utánajárt a Google Chrome DLL-ben tárolt template-jeinek, és összehozott egy pöpec cikket a témában, amit a hajtás után elolvashattok.

Lemaradtam: Görög hackerek feltörtek néhány, a Large Hadron Collider-hez tartozó számítógépet. A támadás a CMSMON-t, a Compact Muon Solenoidot monitorozó rendszert, valamint a hozzá tartozó weboldalt érintette. A támadók különböző üzeneteket hagytak, valamint belenyúltak egy fájlba, de (a hírek szerint legalábbis) nem backdoorozták a rendszert.

Egyes értesülések szerint az incidens mögött két rivális banda versengése áll, melynek célja az LHC-ba történő illetéktelen bejutás volt. Az ütköztető szakemberei arra gyanakodnak, hogy egy amerikai kutatóintézet egyik munkatársának belépési adatai kerültek illetéktelen kezekbe, így sikerülhetett véghezvinni az akciót.

Frissítés:

Ha valaki maga szeretné megtalálni a Higgs-bozont, annak rvdh megadja a kiindulási pontot:

http://hcc.web.cern.ch/hcc/safety_subsec.php?safetysub=A45' OR 1=1--

Ma egyébként azt álmodtam, hogy az egész ügy csak egy jól sikerült médiahack... úgy tűnik azért van dolog mögött valami :)

Biztos sokan ismeritek azt a városi legendát, amely arról szól, hogy az űrkutatás hajnalán a NASA rengeteg pénzt ölt egy gravitációmentes térben is működő toll kifejlesztésére - míg az oroszok ceruzát használtak.

Ez a kis történet jutott eszembe, mikor először olvastam arról a brit cégről, amelyik egy új technológiát szabadalmaztatott az RFID kártyák védelmére: egy kapcsolót. Az ötlet triviális, ugynakkor - véleményem szerint - zseniális. A kártya akkor és csak akkor lép működésbe, ha tulajdonosa a plasztikkártyára laminált kapcsolót az ujja közé szorítja, így hatákonyan elkerülhetőek azok a gyakran felmerülő támadási forgatókönyvek, melyek során csak a tulajdonos közelébe kell kerülni ahhoz, hogy leolvassák a kártyáján található érzékeny adatokat.

A megoldás előnye, hogy csupán egy 70 mikron vastag, speciális polimerréteggel kell a kártyát kiegészíteni, nem kell nagy és kényelmetlen árnyékoló tokokkal vacakolni. Bár az újítás nyilvánvalóan nem helyettesíti a többi biztonsági eljárást - pl. a megfelelően implementált kriptográfiai eljárásokat - de a távoli letapogatások kivédésének utolsó, masszív bástyája lehet.

fuck yeah, mondja udi

exploit, exploit engedj be! nem engedlek nmap a seggedbe! - mondja dnet

eq mondja hogy elírtam, meg hogy arany ászok!

google hackerek vagyunk vazeg, üzeni depth

szerintem andrei dnet buzi, mondja synapse

bsh azt mutatja, királyság

hadonkoájjde' tumeegedett, ez meg bíz _2501 szájából hangott vala.

én meg csak annyit mondok, sajnálhatja az aki nincs itt :)

élő közvetítésünket hallották a buherasörözésről...

Remélem már mindenkinek csörgött a naptára, de azért ide is leírom: ma este 7-től sörözés az Egyetem Kávézóban, várok mindenkit szeretettel!

PLANETDAMAGE-en találtam, ezt látni kell:

Ha sok újdonságot nem is tanul belőle az ember, azért rendkívül szórakoztató :D

Egy bangladesi hackercsoport deface-elte Banglades elit biztonsági alakulatának weboldalát, hogy így tiltakozzanak az újonnan hatályba lépett kiberbűnözési törvény ellen, amely véleményük szerint nincs jó hatással az IT ipar fejlődésére. Szokatlan módon Shahee Mirza, aki feltehetően a csapat vezetője volt megadta nevét és e-mail címét az átváltoztatott weboldalon, ezen információk alapján pedig őt és három barátját hamarosan letartóztatta a rendőrség. A meggondolatlan ifjakra most akár 10 éves büntetést is kiszabhatnak. Persze a megtört oldal még mindig lyukas.

Annyi hír jött össze vele kapcsoaltban, hogy muszáj egy kis összefoglalót írnom a HUP-on is emlegetett, Mike Perry-féle CookieMonsterről:

Az eszköz által használt módszer lényegében a már bemutatott SideJacking támadás egy módosított, nyílt WLAN hálózatokhoz igazított változata. Az eszköz a környéken található összes HTTPS kapcsolathoz tartozó hoszthoz létrehoz titkosítatlan kéréseket, amelyeket beszúr a kliens böngészője felé tartó valamely HTTP adatfolyamba, melynek hatására a böngésző titkosítatlanul szétkürtöli az eredetileg biztonságos csatornán érkezett sütijeit, melyeket a Sütiszörny annak rendje és módja szerint el is kapkod.

Nem muszáj tehát a támadónak speciális hosztokra utaznia ahhoz, hogy hasznos információkhoz jusson, a hatósugarában érvényes munkamenettel rendelkező és nem-biztonságos sütikkel működő összes oldalhoz (akár az általad üzemeltetetthez is) instant hozzáférést nyer.

A Gmail már áttért biztonságos sütikre, de több jelentős társaság mellett még a Google-nek is van elmaradása. Kliens oldalon a NoScript 1.8.0.5-ös változata már megelőzi a problémát.

Kíváncsi vagyok, hány Sütiszörny fog majd a Hacktivityn garázdálkodni, arra meg főleg, hogy milyen eredménnyel :)

csabika25 hívta fel a figyelmem erre:

Egy folyamatban lévő bűnügy miatt péntekre soron kívül összehívta Szilvásy György titkosszolgálatokért felelős miniszter a nemzetbiztonsági kabinetet - erősítették meg kormányzati forrásokból a Népszabadság információját. 

A lépésre azt követően került sor, hogy a Nemzeti Nyomozó Iroda tegnap délután házkutatást tartott egy ismert biztonsági cég telephelyén és a cég több vezető munkatársának lakásán, ahol informatikai eszközöket foglaltak le.

Az akció összefügg egy internetes szolgáltató ellen a közelmúltban végrehajtott elektronikus támadással, melynek során felmerült az illetéktelen adatkezelés gyanúja: a gyanúsítottak milliónyi postafiók tartalmába nyerhettek betekintést, az így nyert adatok révén rekonstruálható a felhasználók üzleti és más kapcsolatrendszere - Híradó.hu

Kíváncsian várjuk a fejleményeket...

Friss linkek:

http://index.hu/politika/belfold/uds2128/

http://napi.hu/default.asp?cCenter=article.asp&nID=380893&place=friss (ez az oldal is egy bugbányának tűnik...)

Megoldás:

http://index.hu/politika/belfold/udzrt058/

A liliomtiprót a lány szülei kapták el úgy, hogy kémprogramot telepítettek gyerekük gépére - Index

Ahelyett, hogy néha leültek volna vele beszélgetni...

Más: Ma ebéd közben egy közeli kis kifőzdében hallgattam Juventus rádió csodálatos műsorát, amiben éppen valami SMS-játék zajlott. A szerencsés nyertest visszahívták telefonon, a hatás fokozása érdekében pedig bejátszották a készülék gombjainak sípolását is. Nem vagyok nagy Juventus rajongó (mostanában inkább innen csemegézek), lehet, hogy ez valami előre felvett hangsorozat volt, de nekem egyből az a régi történet jutott eszembe, amikor a rosszfiúk úgy kaparintották meg a bankkártyákhoz tartozó PIN kódot, hogy lehallgatták az ATM billentyűzetének hangját. A rádióban lejátszott hangsor alapján tehát elméletben a nyertes száma is visszaállítható, kíváncsi vagyok tényleg működik-e a dolog :)

A hétvégi depth-féle 1337 lealjasodás után kicsit félve írom le, hogy pénteken BuheraSörözés 7-től az Egyetem Kávézóban. Ez alkalommal kivételesen igyekszem egészen a buli végéig beszámítható maradni :)

Hacktivity-ig kevesebb mint két hét van hátra, ki is került az előadások végleges beosztása, valamint egy sor egyéb hasznos infó (pl. hogy mennyi a sör :) a hivatalos oldalra. 15-éig még van lehetőség kedvezményes árú jegyváltásra, és ez a határideje a Capture the Flagre történő nevezésnek is. Az érintetteknek emlékeztetőül mondom, hogy szerda az előadás slide-ok leadási határideje.