Az OpenSSL 1.0.1-es főverziójában olyan problémát azonosítottak, ami távoli támadók számára kiszivárogtathatja a kommunikációs csatornák titkosítására használt privát kulcso(ka)t. Igen, jól olvastátok, a hibán keresztül kiszivárgohat a szerver tanúsítvány privát kulcsa…
OpenSSL - Fejlövés
2014.04.08. 10:35 | buherator | 25 komment
Címkék: openssl fail heartbleed
GnuTLS vs. SSL - GOTO cleanup
2014.03.04. 22:52 | buherator | 3 komment
Ha nem látom a saját szememmel, nem hiszem el: az Apple fiaskója után kiderült, hogy a nyílt forrású alkalmazások százai által használt GnuTLS könyvtár is tartalmazott egy ránézésra hasonló, lényegében azonos hatású (köszönj el a tanúsítvány hitelesítéstől), bár…
Címkék: ssl tls fail gnutls
Apple vs. SSL - GOTO fail;
2014.02.22. 12:14 | buherator | 14 komment
Az Apple ma kiadott iOS frissítésében (7.0.6, 6.1.6) egy különösen veszélyes problémát javított a készülékekkel szállított SSL könyvtárban. Úgy tűnik, Stefan Essernek sikerült megtalálnia a problémát okozó kódrészletet, amivel az Apple előkelő pozícióra tett szert a…
Címkék: apple ssl os x fail ios
Adobe breach - A forráskódokat is vitték
2013.10.04. 10:46 | buherator | Szólj hozzá!
Reménykedtem abban, hogy a Silk Road mellett már nem lesz több sokk a héten, de tévedtem. Az MTI 90-es éveket idéző híre már ugyan a legtöbb hírportálra kiment, azért próbáljuk meg a kor igényeinek megfelelően összefolglalni a történteket:
A támadók megszerezték 2.9…
Címkék: adobe incidens fail breach
Decryptocat
2013.07.04. 13:21 | buherator | Szólj hozzá!
A PRISM botrány kapcsán ismét sorra születnek az átlagemberek számára elérhető titkosítási lehetőségeket bemutató cikkek és blogposztok, melyek szinte állandó szereplője a Cryptocat csevegőalkalmazás. Be kell vallanom, hogy az ilyen cikkekkel kapcsolatban erősek az…
Címkék: privacy kriptográfia fail cryptocat decryptocat
TURKTRUST - Újabb PKI fiaskó
2013.01.03. 23:23 | buherator | 7 komment
A Google, a Mozilla és a Microsoft is biztonsági figyelmeztetést adott ki, miután kiderült, hogy a TURKTRUST hitelesítő szolgáltató "véletlenül" köztes CA tanúsítványokat osztott ki arra jogosulatlan szervek számára. A kibocsátott tanúsítványok tetszőleges domain-hez tartozó…
Címkék: microsoft google mozilla fail pki turktrust
Hírek - 2012/27. hét
2012.07.16. 11:47 | buherator | Szólj hozzá!
Kapcsold ki a kütyüket!
A Microsoft arra bíztatja felhasználóit, hogy kapcsolják ki a Windows Sidebar és Gadgets komponenseit, mivel az ezeken elhelyezendő, harmadik féltől származó kütyük sok esetben nem követik a biztonságos programozás alapelveit, sérülékenységeket vezetve…
Címkék: hírek incidens xss 0day rat fail tumblr auscert darkcomet plesk andoridforums
Büdös a Cisco felhője
2012.07.05. 13:33 | buherator | 4 komment
Jó esélyekkel indulna a Cisco a "hogyan szúrjunk ki a saját vásárlóinkkal" bajnokság IT kategóriájában: A Linksys EA szériás otthoni routereire az anyacég nem rég letolt egy frissítést, melynek hatására az eszközök helyi adminisztrációs felülete szépen ki lett lőve a Cisco…
Címkék: privacy linksys cisco felhő fail
Hírek - 2012/23. hét
2012.06.17. 21:30 | buherator | Szólj hozzá!
Breach merge
A héten leültünk dumálni _2501-el és Detritussal, a Breach Blog szerzőivel, és arra jutottunk, hogy teszünk egy próbát erőink egyesítésére: a két bitbetyár mostantól itt osztja az észt. Reményeink szerint az újítás gyorsabb reakcíióidőt, nagyobb lefedettséget…
Címkék: microsoft firefox apple flash itunes hírek php ruby on rails ssh mozilla vmware fail f5 goole
Itt a Yahoo! titkos kulcsa
2012.05.24. 16:00 | buherator | 4 komment
A Yahoo! a frissen kiadott Axis böngészővel együtt sikeresen nyilvánosságra hozta a Chrome bővítmények aláírására szolgáló titkos kulcsát is, melynek birtokában bárki készíthetne olyan - potenciálisan rosszindulatú, man-in-the-browser - kiegészítőket, melyek látszólag az…
Címkék: yahoo axis fail google chrome
Lulz
2012.03.07. 20:24 | buherator | 1 komment
Máris tele van a padlás a LulzSec tagjainak lekapcsolásáról szóló hírekkel. Ami a lényeg: Sabu-t, a LulzSec és az Anonymous prominens tagját tavaly júniusban lekapcsolta és beszervezte az FBI, segítségével lenyomozták a LulzSec többi tagját, akikre tegnap egy összehangolt akció…
Címkék: bukta fbi fail sabu lulzsec
BuheraBlog 0wned
2012.02.27. 15:52 | buherator | 16 komment
Nagyjából a blog indulása óta vártam erre: 0xFF admin jogosultságot szerzett a BuheraBlogon: Ehhez nem kellett más, mint egy jól elhelyezett CSRF támadás (óvatosan kattintsatok!). Szerencsére a kollegialitás győzedelmeskedett, azonnal jelzést kaptam a helyzetről, és még a…
Címkék: incidens csrf buherablog fail 0xff xsrf
Móka mára: Ericsson programozóverseny
2011.10.04. 15:32 | buherator | 4 komment
Ez annyira fájdalmas, hogy muszáj kiraknom: A fiatal tehetségek támogatása mindig szép gesztus egy-egy vállalat részéről, ezeket a kezdeményezéseket én is mindig szívesen propagálom. Nem rég megosztottam Twitteren az idei Ericsson programozóbajnokság kiírását, amire nem sokkal…
Címkék: verseny móka ericsson fail az olvasó ír
MD5 számítási hiba a PHP 5.3.7 crypt()-ben
2011.08.23. 13:34 | buherator | Szólj hozzá!
Nem sokkal a PHP legújabb, 5.3.7-es változatának kiadása után derült ki, hogy a nyelv beépített könyvtárának crypt() függvényében elszúrták a saltolt MD5 hash-ek számítását. A problémát egy helytelenül használt strlcat() hívás okozza, melyet a veszélyesnek ítélt…
Címkék: php md5 crypt fail
Dropbox - Szabad a vásár
2011.06.21. 11:04 | buherator | 3 komment
Egy kódfrissítés következtében tegnap 4 órán keresztül hozzá lehetett férni tetszőleges felhasználó Dropbox fiókjához, tetszőleges jelszóval. A problémát az egyik kísérletező kedvű felhasznáó jelezte. A cég szerint a kérdéses időszakban a felhasználók 1%-a…
Címkék: dropbox fail
PHP biztonsági hírek
2010.03.03. 18:00 | buherator | 1 komment
Kicsit le vagyok maradva, de jobb később, mint soha: történt néhány érdekesség a PHP háza táján az utóbbi időben.Megjelent a PHP 5.2.13, ami több biztonsági hiányosságot is orvosol. Konkrétan a régebbi változatokban a safe_mode-ot lehet kikerülni a tempnam() függvény…
