Za sigurnjake

Godinu dana nakon što je prvi put otkriven propust u programskom alatu za industrijsku mrežu tvrtke Canadian RuggedCom uskoro bi trebao biti popravljen. Tvrtka koja je podružnica tvrtke Siemens putem nabavke u ožujku, najavila je kako će objaviti novo radno okruženje koje će onemogućiti ranije otkriveni propust te na taj način spriječiti pristup uređaju na kojem se nalazi operacijski sustav ROS (eng. Robot Operating System). Justin W. Clarke objavio je ovu ranjivost javnosti na listi „Full Disclosure“ te tvrdi kako je prošle godine obavijestio prodavače, a nakon osam mjeseci pauze obavijestio je CERT (egg. Computer Emergency Readiness Team) u SAD-u. Tvrtka RuggedCom kaže kako su radna okruženja ranija od inačice ROS 3.3 ranjiva i može im se pristupiti putem serijske konzole, protokola SSH, HTTPS, TELNET i RSH. Kasnije inačice ne mogu biti napadnute putem protokola SSH i HTTPS, ali su još uvijek ranjive putem protokola TELNET i RSH. Ranjivost je stvorena iz pokušaja omogućavanja pristupa uređaju ako je korisnik izgubio svoju lozinku. Izvorna vijest dostupna je na web stranicama portala The Register.

Izvor: LSS Security

Student je otkrio kritičnu ranjivost u inačici BackTrack operacijskog sustava Linux, popularnoj kod sigurnosnih stručnjaka. Prethodno neotkriven (zero-day ranjivost) propust eskalacije privilegije u sigurnosnom ispitivanju mreže otkriven je tijekom etičkog napada klase kojeg je organizirao institut InfoSec Institute. Jack Koziol, sigurnosni programski menadžer na institutu, objasnio je kako je propust u inačici BackTrack 5 R2 omogućio studentu pisanje preko postavki kako bi dobio administratorske ovlasti korisničke ljuske (eng. Root shell). Propust koji se nije mogao iskoristiti s daljine proizašao je iz pogreške u pozadinskom procesu veze bežičnog sučelja (eng. Wireless Interface Connection Daemon). Inačica BackTrack operacijskog sustava Linux omiljena je među sigurnosnim stručnjacima osobito onima koji testiraju sigurnost. Kontroverzni sigurnosni propust otkriven je tijekom procesa „fuzzing“, tehnike koja daje slučajne i neočekivane podatke programu za pokretanje ranjivosti. Nije poznato može li se ranjivost iskoristiti s udaljenosti, no svejedno je potreban njezin popravak. Sigurnosna pogreška proizlazi iz neuspjeha popravljanja korisničkih unosa te je to nedostatak koji stvara mehanizam za pokretanje danih izvršnih datoteka ili skripti koje imaju administratorske privilegije u sustavu koji pokreće pozadinske procese i na taj način pruža napadaču lokalni pristup. Detaljniji opis moguće je pročitati na stranicama portala The Register.

Izvor: LSS Security

Prošle godine Sveučilište Oxford demonstriralo je korištenje kvantnih fluktuacija kako bi generirali nasumične brojeve. Danas Australsko nacionalno sveučilište ide korak dalje te postavlja svoje kvantno generirane brojeve na Internet. „Šum vakuuma“ je jedno od svojstava mehanike za koje se mislilo kako ne može biti stvarno, ali ipak je. Član tima dr. Thomas Symul objašnjava kako je šum vakuuma jedan od konačnih izvora slučajnosti jer ima urođenu širokopojasnost i njegova nepredvidljivost jamči s kvantnom teorijom. Upravo zbog toga moguće je proizvesti milijardu nasumičnih brojeva svake sekunde. Generator slučajnih brojeva s Australskog nacionalnog sveučilišta istražuje utjecaj fluktuacija vakuuma na snop svjetlosti. Izvor iz lasera je podijeljen te se mjeri snaga u svakom snopu. Budući da je svjetlost kvantizirana, intenzitet svjetlosti u svakom snopu fluktuira oko srednje vrijednosti te su krajnji izvor tog šuma kvantne fluktuacije. Korisnici na njihovoj web stranici mogu dobiti slučajne brojeve u heksadecimalnoj ili binarnoj bazi, a mogu biti kodirani kao RGB (eng. Red, Green, Blue) boje. Svatko tko preuzme slučajne brojeve s njihove web stranice dobit će jedinstveni niz koji je različit za sve korisnike. Sveučilište sada radi s australskom tvrtkom QuintessenceLabs kako bi komercijalizirali i umanjili svoje istraživanje. Za dodatni opis potrebno je posjetiti web stranice portala The Register.

Izvor: LSS Security

Europska unija mogla bi uskoro predstaviti pravila za nadziranje razvoja tehnologije za cenzuru Interneta zajedno s Kinom i Saudijskom Arabijom. Europski parlament predlaže rješenje za povećanje odgovornosti zemalja koje izvoze opremu za blokiranje web stranica i prisluškivanje mobilnih komunikacija. Odluka, za koju se očekuje da će uskoro biti donesena u Strasbourgu, tražit će od Europske komisije donošenje pravila za poboljšanje nadzora europskih zemalja u izvozu alata koji se mogu koristiti za cenzuru. Korištenje programa za nadziranje, cenzuru i špijuniranje došlo je na vidjelo nakon što je narodima zabranjen pristup informacijskim i komunikacijskim kanalima pa su se okrenuli zemljama gdje su sloboda govora i ostala ljudska prava trebali biti prihvaćeni. Prošle godine Lord David Alton iz Liverpoola prozvao je vladu Velike Britanije kako bi zabranila izvoz programa i opreme za špijuniranje te je doveo u pitanje prodaju opreme napravljene u Engleskoj, Iranu i Jemenu. Ministar vanjskih poslova Lord David Howell iz Guildforda odgovorio je kako nije bilo dokaza da su se kontrolirana vojna dobra izvezena iz Velike Britanije koristila za unutarnju represiju na Bliskom istoku i sjevernoj Africi. Izvorna vijest objavljena je na stranicama portala The Register.

Izvor: LSS Security