Za informatičare

Otkrivena je zero-day ranjivost u poslužiteljskim programima tvrtke Apache Software Foundation. Ranjivost je moguće iskoristiti samo ako je povratni posrednički poslužitelj (eng. proxy) loše podešen, što svakako nije jednostavno. Međutim ranjivost postoji i potrebno ju je ukloniti. Dok razvojni tim radi na uklanjanju ranjivosti, programer iz tvrtke Red Hat predložio je privremenu programsku nadogradnju koju je još potrebno detaljnije provjeriti. Iz tvrtke upozoravaju mrežne administratore na oprez, iako većina stranica vjerojatno nije ugrožena. Ranjivost je slučajno otkrio istraživač računalne sigurnosti Prutha Parikh istražujući jedan drugi problem s korištenjem povratnog posredničkog poslužitelja. Cijeli opis ranjivosti dostupan je na blogu tvrtke Qualys. A privremeno rješenje ranjivosti može se pronaći na stranicama tvrtke Apache Software Foundation. Detaljniji opis moguće je pogledati na web stranicama portala The Register.

Tvrtka Recurity Labs već jedno vrijeme radi na primjeni algoritma otvorenog koda za šifriranje poruka elektroničke pošte, OpenPGP, u programskom jeziku JavaScript. Prototip njihovog projekta GPG4Browser već je dostupan za Internet preglednik tvrtke Google, Chrome, te se može koristiti s njihovom uslugom razmjene elektroničke pošte. Dodatak već korisnicima omogućuje šifriranje i dešifriranje poruka elektroničke pošte, dodavanje i provjeru potpisa te rukovanje certifikatima. Korištenjem tog dodatka PGP (eng. Pretty Good Privacy) šifriranje poruka elektroničke pošte se može koristi izravno iz Internet preglednika i usluge za razmjenu poruka elektroničke pošte. Za sada dodatak ne omogućuje kompresiju podataka, ali sposoban je raditi sve ostale zadatke kao i program za šifriranje elektroničke pošte otvorenog koda, GnuPG (GNU Privacy Guard). Dodatak GPG4Browsers (inačica 2.1) dostupan je za preuzimanje u obliku izvornog koda i njegovim prevođenjem u Google Chrome Internet pregledniku, a licenciran je LGPL (eng. GNU Lesser General Public License) licencom. Originalna vijest nalazi se na web stranicama portala The H Security.

Iz udruge ISC (eng. Internet Systems Consortium) upozoravaju na novootkrivenu zero-day ranjivost u najkorištenijem DNS (eng. Domain Name System) programu BIND (eng. Berkeley Internet Name Domain). DNS programi i poslužitelji pretvaraju simboličke adrese Internet stranica u odgovarajuće numeričke kako bi korisnika preusmjerili na odgovarajući poslužitelj. Greška je otkrivena u programu BIND inačice 9, a stručnjaci su zabrinuti kako bi mogla biti iskorištena za napade i krađu podataka. Prestanak rada BIND poslužitelja zabilježen je diljem svijeta, greške su prijavljene iz Njemačke, Francuske i Amerike, a udruga ISC savjetuje preuzimanje najsvježije nadogradnje. Nadogradnja ne rješava navedeni problem, ali ga za sada uspješno zaobilazi pazeći na format upita i odgovora poslužitelja i klijenta. Prema riječima stručnjaka, ova greška je upravo rezultat straha razvojnog tima,. Naime ako poslužitelj ne može najbolje prepoznati upit klijenta, on se gasi iz sigurnosnih razloga. Ovdje se za sada ne radi o zlonamjernim upitima pa je možda ova predostrožnost pretjerana, no razvojnim tim programa BIND imao je dovoljno poteškoća u prošlosti, zbog kojih su možda pribjegli ovakvim mjerama. Za dodatne informacije moguće je posjetiti web stranice portala The Register.

Prošli mjesec na konferenciji o računalnoj sigurnosti Hacker Halted Conference istraživači su objavili rezultate istraživanja o računalnoj sigurnosti u zatvorima. Ukratko, otkrili su brojne ranjivosti u sustavima za upravljanje drugim uređajima SCADA (eng. supervisory control and data acquisition) te u logičkim kontrolorima koji se koriste za obavljanje automatiziranih radnji, PLC-ovima (eng. programmable logic controller). Istraživači su prilikom istraživanja pokušali onesposobiti razne sustave u zatvorima te su, nažalost, uspjeli u tome i više nego su očekivali. Koristeći opremu vrijednu samo 2500 $ (istu oprema moguće je nelegalno nabaviti za 500 $) uspjeli su otvarati vrata ćelija, onemogućiti alarmne sustave te čak i lažirati signale koje sustav šalje, na primjer da su vrata zaključana iako su bila širom otvorena. Uredi američke vlade zaduženi za zatvorski sustav izjavili su kako istraživanje shvaćaju ozbiljno te surađuju s istraživačima i brojnim proizvođačima nadzornih sustava kako bi riješili navedene ranjivosti. Savjeti stručnjaka su, između ostalog, zabrana uporabe osobne vanjske memorije kako bi se zlonamjerni programi teže širili te zabrana korištenja računala u zatvoru za osobne potrebe, a ako je moguće i gašenje pristupa Internetu. Originalna vijest objaljena je na stranicama portala Information Week.