Bezpečnostní střípky: konference RSA 2012

Konference RSA 2012

Jakými tématy se konference zabývala? Jejich stručný přehled najdete na stránce RSA 2012: Mobile Security, Hacktivists, APT, Social Engineering. Další takovýto přehled je na stránce RSA Conference 2012 opens in San Francisco.
Dění na konferenci mapuje stránka coverage page for RSA Conference 2012.

RSA Conference 2012: Former NSA director says secure clouds can't come fast enough – bývalý ředitel NSA na konferenci RSA říká: bezpečný cloud nepřichází dostatečně rychle. Michael McConnell apeluje proto na přítomné bezpečnostní odborníky.
Popisu stavu této problematiky je věnován článek Cloud security: How to make the switch.
Dalším vystoupením v debatách na konferenci je věnován článek Debate Over Active Defense and Hacking Back Crops Up at RSA.
Viz také – Head of NSA says hacker group Anonymous could bring down power grid.

Vystoupení Bruce Schneiera na konferenci RSA 2012 je věnován článek RSA 2012: Bruce Schneier on the Threat of „Big Data, Inc.“. Vzal si na mušku pojem Big Data, kterým nás straší zástupci dodavatelů IT (“industry”). Kritizoval otázky ochrany soukromí ve vztahu k Facebooku či současným chytrým mobilům.
Viz také článek – Government, business, military are internet security threats. Security guru tells industry to suit up for battle.

Ředitel FBI Robert Mueller na konferenci RSA 2012 hovořil k tomu, že kybernetické hrozby mění i podstatu aktivit FBI. Komentář k tomuto vystoupení obsahují články:

• Cyber threats a game changer for the FBI
• FBI boss warns online threats will outpace terrorism
• FBI Director:Infor­mation Sharing Is Key to Battling Cyber-Crime

Při zahájení konference vystoupil šéf RSA Arthur Coviello – Cyber-Defenses Are About Managing Risk: RSA's Coviello. Kybernetické obrany jsou o řiditelném riziku, říká Coviello. Formuloval ve svém vystoupení tři prvky bezpečnostních technologií, které by organizace měly zvažovat:

• Vztah k rizikům
• Agilita
• Uvědomění si souvislostí

Viz komentář – RSA Conference 2012: Security industry “at serious risk of failing”.

RSA Conference: On the Subject of Cyber War and Industrial Espionage  – RSA konference k tématu: kybernetická válka a průmyslová špionáž. Brian Prince informuje o panelu, který k tomuto tématu na konferenci proběhl. K článku je připojeno video s vystoupením náměstka ministra obrany USA Ashtona Cartera.

Nepodceňujte hrozby kyberteroristů, prohlašují bezpečnostní odborníci na konferenci RSA 2012 – Don't underestimate cyberterrorism threat, security experts say. Některá individua s extremistickými názory mají dostatečné hackerské znalosti k tomu, abychom tyto hrozby nepodceňovali, říká Mikko Hypponen (F-Secure). Viz také – Terrorist hackers waiting in the wings, says F-Secure.

RSA konferenci uzavíral Tony Blair, pranýřoval WikiLeaks – Tony Blair closes RSA 2012, denounces WikiLeaks. Autor článku přibližuje čtenářům jeho vystoupení. Je chystána nová legislativa (v řadě zemí), politici by měli hovořit s lidmi z přední linie IT bezpečnosti, a to s cílem, aby formulované zákony měly smysl a fungovaly v reálném světě.

10 poučení z konference RSA 2012 shromáždil Eric Lundquist (10 Lessons From RSA Security Conference):

• 10. Use social tools to create a secure advantage.
• 9. A return to MAD isn´t out of the question.
• 8. Hackers are creating their own tiers.
• 7. Detect “low-and-slow” APTs.
• 6. The new (or revived) mantra: defense in tiers.
• 5. Even the most secure companies get hacked.
• 4. The shift is on to attacks focusing on intellectual property.
• 3. The analysis of big data will help create a new security model.
• 2. Protect the data, not the device.
• 1. The borderless enterprise is here.

Jiný shrnující pohled (význačné citáty z konference) přináší článek Notable quotes from RSA 2012.

Přehledy

Řada společností využila čas zvýšené pozornosti k bezpečnosti IT, čas, kdy se konala konference RSA 2012 a u této příležitosti vydala své přehledy.

Byla vydána zpráva společnosti Imperva – Hacker Intelligence Summary Report. The Anatomy of an Anonymous Attack. Komentář ke zprávě je obsahem článku Companies should secure their websites before worrying about DDoS attacks from Anonymous. Společnosti, které hledají obranu před DDoS útoky od Anonymous, by v první řadě se měly ujistit, že jejich webové aplikace jsou bezpečné. A to dříve, než použijí anti-DDoS řešení.
Další komentáře ke zprávě Impervy jsou na stránkách:

• How Anonymous attacked the Vatican
• Anonymous´ Vatican Cyberattack Revealed by Researchers (Anonymous se pokusili zaútočit také na Vatikán)
• In Attack on Vatican Web Site, a Glimpse of Hackers´ Tactics (New York Times)
• ´Anatomy of an Anonymous Attack´ laid bare by Imperva

State of Cloud Security Report, to je zpráva společnosti Alert Logic. Komentář k tomuto 14stránkovému dokumentu najdete na stránce The true state of cloud security. Společnost takovouto zprávu vydává poprvé, při jejím zpracování byla využita bezpečnostní data (za 12 měsíců) od více než 1500 zákazníků, to vedlo k 62 000 ověřeným bezpečnostním incidentům. Podle zde uvedeného zjištění: tvrzení, že prostředí cloudu a prostředí poskytovatelů služeb jsou méně bezpečná než tradiční prostředí, neodpovídá zjištěným faktům.

Verizon připravuje vydání své zprávy: 2012 Data Breach Investigations Report. Na stránce Verizon 2011 Investigative Response (IR) Caseload Review jsou uvedeny předběžné výsledky této zprávy. Jejímu vydání se věnují komentáře:

• Verizon Previews Data Breach Investigations Report
• Malware, Hacking Most Common Attacks in 2011 Data Breaches: Verizon DBIR

Tedy k dispozici jsou zatím jen předběžné informace a jen některé výsledky. Na prvních místech v roce 2011 v prostředcích útočníků jsou malware a hacking. Zpráva bude obsahovat informace k 850 průnikům, Verizon z nich analyzoval 10 procent. Viz také:

• Most organizations take months, years to discover a breach

2012 Carnegie Mellon CyLab Governance survey, to je další z řady přehledů dokumentujících situaci na poli bezpečnosti IT, která se objevila v návaznosti na konferenci RSA 2012. Méně než třetina respondentů uvádí, že jejich management přebírá alespoň jakous takous odpovědnost ve vztahu k IT. Tyto výsledky jsou komentovány v článku Most executives don´t pay attention to cyber risks.

K přehledu společnosti Thales: 2011 Global Encryption Trends Study se obrací článek Encryption critical to improved security posture. Podle výsledků této studie organizace zvyšují svoje investice do šifrovacích technologií a začínají chápat šifrování jako strategický předmět. Viz také informaci – Study Reveals That Encryption is Critical to Increase Security Posture, Report Thales and Ponemon Institute.

Není to všechno, výsledky řady dalších přehledů jsou zmíněny v následujících odstavcích.

Obecná a firemní bezpečnost IT

Bruce Schneier on Trust, to je interview s Bruce Schneierem, jeho předmětem jsou některé nedávno vydané knihy, které se zabývají otázkami důvěry. Na prvním místě je pochopitelně zmíněna jeho čerstvě vydaná kniha Liars and Outliers. Článek doplňuje diskuze na Schneierově blogu – Liars and Outliers: Interview on The Browser.

Autory eseje Cyberwar Is the New Yellowcake jsou Jerry Brito a Tate Watkins. Citát:
Stop the apocalyptic rhetoric. The alarmist scenarios dominating policy discourse may be good for the cybersecurity-industrial complex, but they aren’t doing real security any favors.
Bruce Schneier k této námětem jistě zajímavé eseji (a protiřečící některým frekventovaným názorům) otevřel diskuzi na svém blogu – Cyberwar Is the New Yellowcake. Objevují se zde nesouhlasná, ale i souhlasná stanoviska.

USA, Federal Trade Commission: v roce 2011 si Američané nejvíce stěžovali na krádeže ID – ID theft again tops consumer concerns. Ty činily 15 procent ze 1,8 miliónu všech stížností. Oproti roku 2010 je to nárůst o 17 procent. Za posledních deset let počet stížností každým rokem narůstá (s výjimkou jednoho roku).

CSO vydalo příručku: Ultimate Guide to Social Engineering. Nezbytná je registrace. Z obsahu 13stránkové příručky:

• Social engineering defined
• How social engineers work and the psychology they rely on
• Awareness and prevention techniques
• Lots of examples of social engineering in action

Report: NATO needs more cyber capabilities – NATO potřebuje více kybernetické kapacity, zaznívá kriticky. Je to komentář ke zprávě NATO´s Cyber Capabilities: Yesterday, Today, and Tomorrow (10 stran).

Desítka největších online pověr a jak se jim vyhnout – The 10 Biggest Online Security Myths — And How to Avoid Them. V slideshow jsou rozebrány některé časté omyly (v dobré víře) uživatelů.

Kdy je kybernetický útok záležitostí obrany? Článek When is a cyberattack a matter of defense? rozebírá diskuze ohledně pozice NSA v chystané americké legislativě. Pojem aktivní obrany budí protichůdné názory.

Německo chce čelit hackerům svým zabezpečeným cloudem – Germany Creates a Secure Cloud to Counter Anonymous Hacktivism. Chystaný German Cloud by měl poskytovat vyšší stupeň ochrany než běžný internet. Weby – každý by měl svůj bezpečnostní certifikát. Popisy v článku jsou poměrně mlhavé, ale myšlenka zajímavá.

Colorado: vyšetřovatelé se dostali do zašifrovaného disku na notebooku obžalované – Feds crack suspect's encrypted drive, avoid Constitution meltdown. Federálové nějakým způsobem prolomili klíč. Obžalovaná Fricosu měla vyšetřovatelům na základě soudního příkazu do konce února sdělit vyšetřovatelům klíč (použitá věta pro vygenerování hesla – passphrase), to zřejmě neprovedla. Z článku není jasné, jak se prolomení klíče vyšetřovatelům podařilo.

Pentagon má problémy s internetem – Internet Outage at Pentagon. Jednalo se o blíže nespecifikovaný problém armádního systému DISA (Defense Information Systems Agency) mající dopad na přístup k internetu a k službám blackberry. Podle sdělení Pentagonu nebyla situace zapříčiněna jakýmkoliv útokem zvenku. V článku je řečeno, že na řešení problému technici pracují (ve čtvrtek 1.3.2012).

Internetové hlasovací systémy jsou příliš nezabezpečené – Internet voting systems too insecure, researcher warns. Zaznělo to na konferenci RSA – David Jefferson (Lawrence Livermore National Laboratories), který mimo jiné poukázal na Haldemanův útok z roku 2010 – D.C. Web voting flaw could have led to compromised ballots.

Jak se vyhnout některým rizikům internetu? Vhodné bezpečnostní strategie předkládá Dominic Vogel (IT security strategies for mitigating web-based risks):

• Stop relying on outdated URL filtering and IP blacklisting technologies
• Install web security gateway (or web-filtering products)
• Gateway malware scanning alone will not save you
• Ensure browser plug-ins/add-ons are regularly updated
• Follow secure coding practices for company websites

ČR: Trendy v bezpečnosti 2012: soukromí, Facebook, mobilní platby a stará dobrá havěť, to je informace k průběhu čtvrtého ročníku konference Trendy v internetové bezpečnosti.

Online advertising isn't creepy enough aneb online reklamy a ochrana soukromí. Zamyšlení nad problémem, který nepochybně zatěžuje každého z nás. Reklamní společnosti sledují každý náš krok, aby mohly lépe na nás zacílit své reklamy.

10 tipů pro boj s interními podvody obsahuje článek 10 Tips to Fight Insider Fraud. Tracy Kitten v něm tlumočí doporučení od Dawn Capelli (the Software Engineering Institute at CERT).

USA a ochrana rozvodných sítí, jakou roli má sehrávat NSA? Takováto diskuze probíhala na panelu konference RSA 2012 – Should US intelligence agency have a role in protecting electric grid?. Hrozbám kyberterorizmu a stanovisku silových institucí USA je věnován článek FBI: Cyberattacks could shove aside terrorism as No. 1 threat to US.

Google a ochrana soukromí

Co znamená technologie “Do Not Track” (Google)? V článku FAQ: What Google's ‚Do Not Track‘ move means se to pokouší vysvětlit Greg Keizer. Viz také – Google Chrome to Support ´Do Not Track´ Privacy Policy.

Jak chránit své soukromí vůči Google – How to protect your privacy on Google. To jsou další doporučení vydaná těsně před 1. březnem.

Google mění svou politiku ochrany soukromí i přes námitky EU – Google revises privacy policy despite EU protests. Od prvního března Google sdílí data uživatele dohromady pro všechny své produkty. Částečně pro pohodlnost a částečně tak proto, protože to umožňuje lépe cílit reklamy.
Nesouhlasné pohledy uživatelů a institucí shrnuje článek Google privacy change draws ´firestorm´.

Jak se můžete vypořádat ze změnami politik Google ohledně soukromí – Google Privacy Policy Changes Are Live: Here Are Your Options. Clint Boulton prostřednictvím slideshow vysvětluje uživatelům Google jejich možnosti.

Sociální sítě

Sociální sítě se stávají vzhledem k soukromí uživatelů méně přívětivými – Social network users getting less friendly. Článek informuje o výsledcích šetření, které jsou obsaženy v studii Pew Internet & American Life Project. Zejména je v této souvislosti poukazováno na změny politiky Facebooku.

Na Facebooku a Twitteru se objevují podvodné nabídky – iPad 3 zdarma. Podvodníci využívají očekávání zájemců (7. března má Apple oznámit nový svůj produkt) – „Free iPad 3“ scams popping up.

Dokument Privacy management on social media sites připravil Pew Internet & American Life Project (viz komentář – Women Take Social Privacy More Seriously Than Men Do). Lidé se nyní začínají více starat o své soukromí v sociálních sítích, říká zpráva. Citace: “Over time, as social networking sites have become a mainstream communications channel in everyday life, profile owners have become more active managers of their profiles and the content that is posted by others in their network.”

Software

PSI 3.0: Auto-Patching for Dummies – k nástroji, který ohlídá záplaty – Personal Software Inspector (PSI). Nyní je ve verzi PSI 3.0 Beta. Ohlídá programy třetích stran, ty, které nemají v sobě zabudovanou automatickou aktualizaci.
Viz také informace v článku Free tool silently updates most Windows software a komentář Secunia bets on open information for security growth.

Po tři měsíce byly šířeny aplikace obsahující zadní vrátka pro maligní SW – Malicious backdoor in open-source messaging apps not spotted for 3 months. Jednalo se o open source SW od Horde.org, který byl šířen nejméně dvěma linuxovými distribucemi (Ubuntu a Debian).

Na světě je nová verze Backtrack – BackTrack 5 update expands security toolkit. Tato verze Backtrack 5 R2 linuxové distribuce pro penetrační testování obsahuje některá vylepšení svého souboru bezpečnostních nástrojů a přidává více než 40 nových nástrojů.

Malware

ZeuS Trojan embraces P2P – becomes even more sneaky and sticky – k nové variantě trojana ZeuS. Autor článku komentuje současnou podobu tohoto trojana, kdy instrukce se šíří technikami P2P a není tedy nutné využívat povelová a řídící centra (C&C ).
Viz také – Malware Authors Expand Use of Domain Generation Algorithms to Evade Detection.

Podrobnější informace jsou ve zprávě společnosti Damballa – DGAs in the Hands of Cyber-Criminals.
Viz komentář – #RSAC: Domain generation algorithm tricks used by 6 crimeware families to carry out attacks.

Boj s botnety, co je k tomu třeba? Autor článku Combating Botnets – Think Globally and Act Locally říká: Myslete globálně a konejte lokálně. Rozvádí pak tuto tezi.

Hackeři a jiní útočníci

Íránská Cyber Army útočí na stránky v Azerbajdžánu – Iran Cyber Army in Action, Azerbaijani TV Down !. Naposledy byly napadeny stránky azerbajdžánské televize (defacement).

Za největším množstvím prozrazených dat jsou nyní hackeři – Hacking now responsible for most of exposed records. Ještě nedávno to byly ukradené či ztracené notebooky. V článku jsou citovány výsledky zprávy Data Breach Intelligence společnosti Risk Based Security, viz také Historically, Over 1.2 Billion Records Exposed.

Došlo k průniku hackerů do agentury OSN, ukradena byla interní citlivá data – Hackers chop down UN eco-agency, release rare data into wild. Jedná se o United Nations Environment Programme (UNEP). Skupina s označením r00tw0rm zveřejnila 82 MB dat na Pastebin.
Viz také – r00tw0rm leak United Nations Environment Programme database.

Competitors blamed for over half of the DDoS attacks in the US – nejvíce se útoků DDoS obává maloobchod. Říkají to čísla z přehledu, který zpracovala společnost Corero Network Security.

Polsko: byla ukradena osobní data 236 351 uživatelů fóra Gram24 – 236,351 Accounts From Polish Forum Gram24. Ukradená data obsahují uživatelská jména, e-maily a zašifrovaná hesla. Viz také informace o dalším čerstvém průniku v Polsku – 12,000 Accounts Leaked from Polish website Vista.pl.

Hacker zveřejnil data k 1400 uživatelů Steamu – 1400+ Steam User Accounts Leaked. Také zde se jedná o polské uživatele.

Anonymous

Anonymous chtějí zasáhnout do voleb – Anonymous, Occupy Movement Announce ‚Occupy the Vote‘ Campaign. Vyhlásili (spolu s hnutím Occupy) kampaň “Occupy the Vote”.

O uvěznění 25 Anonymous informuje článek 25 Alleged Anons Arrested in International Crackdown. Jedná se o účastníky útoku na weby v Kolumbii a v Chile. Dotyční byli dopadeni díky spolupráci policistů ve čtyřech zemích – Argentina, Chile, Kolumbie a Španělsko. Viz také:

• Zátah Interpolu na hackery z Anonymous, 25 zatčených
• Interpol Site Attacked After Arrest of Anonymous Hackers (v odvetě Anonymous zaútočili na stránky Interpolu)
• Spain Police under Anonymous attacks after another Arrests in Spain
• 25 mutmaßliche Anons in Spanien und Südamerika festgenommen
• Police Arrest 25 Alleged Anonymous Members, Angry Hackers Retaliate
• ´Operation Unmasked´ Targets Anonymous

Anonymous říkají, že byli infiltrováni – Anonymous hackers claim they were infiltrated. Co se týká zatčení 25 Anonymous – podle nich to neumožnily technické prostředky, ale policejní infiltrace.

Anonymous Leaves Clues In Failed Vatican Attack – Anonymous a nepodařený útok na Vatikán. Autor článku komentuje informace obsažené v nedávné zprávě společnosti Imperva a také diskuzi, která k ní proběhla na konferenci RSA.

Antisec zveřejnil data z databáze giganta zemědělské biotechniky společnosti Monsanto – AntiSec dumps Monsanto data on the Web. Hackeři blízce propojení s Anonymous oznamují: “Your continued attack on the worlds food supply… has earned you our full attention”. Monsanto se angažuje ve směru vytváření geneticky modifikovaných produktů a pesticidů.

Anonymous mohou být jednoho dne chápáni jako teroristická organizace, říká nadpis článku Anonymous hacktivists might one day be classed as terrorists. V této souvislosti jeho autor zmiňuje útok na bazické DNS servery. Jedni Anonymous ho oznamují, druzí to popírají.

WikiLeaks a Stratfor

WikiLeaks zveřejňuje 5 miliónů e-mailů ze Stratforu – WikiLeaks Publishes 5 Million STRATFOR eMails. Stránka WikiLeaks měla sice některé potíže, ale posléze fungovala. Viz také – WikiLeaks veröffentlicht interne Stratfor-Mails a UPDATE: Wikileaks Dumps First of 5 Million Stratfor E-Mails.

Stratfor vydal vyjádření k datům zveřejněným na WikiLeaks – George Friedman on Email Theft and the Wikileaks Release. Pod videem s vystoupením George Friedmana (CEO Stratforu) je i jeho přepis.

Zveřejněným e-mailům Stratforu se věnuje článek WikiLeaks' Stratfor Email Release Raises Uncomfortable Questions. Nejprve 167 publikovaných e-mailů byla jen nepatrná část z oznámených 5 miliónů. Autor článku rozebírá obsah některých z nich. WikiLeaks tvrdí, že se jim podařilo prokázat zpravodajskou spolupráci Stratforu s některými velkými společnostmi jako jsou Lockheed Martin, Northrop Grumman, Raytheon a několika vládními agenturami.

Další informace k zveřejněným e-mailům společnosti Stratfor – WikiLeaks obsahují články:

• Wikileaks begins publishing Stratfor emails
• Wikileaks Pairs with Anonymous to Publish Intelligence Firm’s Dirty Laundry
• WikiLeaks Reveals 5 Million Emails from Intelligence Firm
• WikiLeaks Publishes Stratfor E-Mails
• UPDATE: Wikileaks Dumps First of 5 Million Stratfor E-Mails
• WikiLeaks Stratfor Disclosure Highlights Email Encryption Failure

Z uniklých dat Stratforu: USA mají tajné obvinění proti Julianu Assangeovi – Stratfor leak: US ‚has secret indictment‘ of Julian Assange. Dostupné informace komentuje John Leyden.

Global Intelligence Files: Stratfor-Analysen zur Occupy-Bewegung – uniklá data Stratforu k hnutí Occupy. Z e-mailů vyplývá, že Stratfor se intenzivně pokouší pochopit záměry hnutí. V článku je komentován obsah některých e-mailů.

Z e-mailů Stratforu k Anonymous a LulzSec čerpá článek Global Intelligence Files: Stratfor über Anonymous und LulzSec. Jeho autorka shrnuje některá zajímavá vyjádření obsažená v ukradených e-mailech. Jsou rozebírány cíle hacktivistů v různých zemích. Jiná zajímavá poznámka: skutečně schopní hackeři nepracují pro hacktivistické skupiny, nýbrž pro NSA anebo Čínu.

Hardware

Jen 34 procent podnikání (USA a Kanada) vyžaduje šifrování na vyjímatelných zařízeních – Only 34 % of businesses enforce encryption on removable devices. V tomto článku jsou uvedena některá čísla z přehledu, který zpracovala společnost Imation. V jeho závěru jsou pak některá doporučení této firmy, například – veškerá přenosná média a mobilní zařízení by měla být zašifrována.

Pro přístup k studii Managing your employees´ devices je zapotřebí registrace. Z obsahu 11stránkového dokumentu:

• BYOD struggle: From writing custom apps to defining security
• Four keys to successful BYOD
• Can employee-owned devices save companies money?
• ‘Bring your own device’ will bedevil IT security in 2012
• A vision for secure mobility management in the enterprise
• Employee-owned devices are double-edged swords

Ukradený notebook NASA obsahoval nezašifrované informace umožňující řídit a kontrolovat ISS – Space station control codes on stolen NASA laptop. ISS (International Space Station) se tak ocitla v ohrožení, to je jen jeden z výsledků kontroly NASA – NASA Cybersecurity: An Examination of the Agency’s Infor­mation Security.

Tisíce zabudovaných systémů je na internetu bez ochran – Report: Thousands of embedded systems on the net without protection. Michael Sutton (ZScaler) na konferenci RSA 2012 přinesl další důkazy k tomuto tvrzení. Oskenoval milióny webových serverů, vytvořil si katalog všech zabudovaných webserverů, které našel. Použil pak online skener Shodan, nalezl tak tisícovky multifunkčních zařízení, která nevyžadují autentizaci. Každý uživatel internetu tak prohlížečem přes webové rozhraní může prohlížet například dokumenty uložené v kopírce či tiskárně. Sken Suttona také identifikoval konferenční systémy společnosti Polycom and Tandberg (nyní Cisco). Sutton předvedl video demonstrující, jak lze monitorovat konferenční místnosti.

Některé inzulinové pumpy společnosti Medtronic jsou zranitelné – McAfee Hacker Says Medtronic Insulin Pumps Vulnerable to Attack. Útočník může být přitom vzdálen od oběti desítky metrů. Barnaby Jack (pracuje jako profesionální hacker pro společnost McAfee), který se touto problematikou zabývá, a informoval o svých výsledcích již před rokem, přišel nyní na další cesty útoků.

Mobilní zařízení

Byla vydána příručka Privacy Design Guidelines for Mobile Application Development. Příloha k příručce je na tomto odkazu – Annex of illustrative examples. Komentář k jejímu vydáni (vydala ji GSM Association – GSMA) je na stránce Design guidelines for mobile app privacy.

Windows Phone bude umožňovat zasílání šifrovaných e-mailů – Windows Phone armed with ‚military-grade‘ email upgrade. Použita bude šifra AES-192, realizace algoritmu má certifikát NISTu.

Aplikace pro iPhone pracují s uživatelovými daty bez jeho svolení – iPhone photo-slurping loophole sparks app privacy fears. SW pro vyhledávání lokací má přístup k uživatelovým fotografiím, aplikace pro Facebook čte SMS, tyto a další příklady uvádí autor článku. Zmiňuje také článek v New York Times – Apple Loophole Gives Developers Access to Photos – věnující se této problematice.
Viz také – NTIA: Mobile privacy may be a top priority in new push.

Malware, které umožňuje získat plnou kontrolu nad chytrým mobilem, se stává rostoucí hrozbou – Remote access tools a growing threat to smartphones. Zaznělo to na konferenci RSA ve vystoupení George Kurtze a Dmitrije Alperovitche (firma Crowdstrike), kteří zde provedli demonstraci takovéhoto útoku. Využili k tomu nezáplatovanou chybu ve Webkitu (to je defaultní prohlížeč v OS).

National Security Agency defines smartphone strategy: Think Android (maybe) – NSA k strategii mobilní bezpečnosti. Fishbowl – tak se nazývají mobily, jejichž design vychází z Androidu. Výsledek projektu by měl umožnit práci s utajovanými informacemi. Pracovníci NSA přítomní na konferenci měli již vzorky těchto mobilů při sobě. Přes použité dvojí šifrování vykazují tato zařízení překvapivě malá zpoždění. Mobilům Fishbowl je věnován článek NSA Develops New, Super-Secure Android Phone.

Spam

Klíčové výsledky přehledu společnosti GFI Software on the state of spam obsahuje článek 44 Percent of U.S. Businesses Say Their Networks Have Been Breached Due to Malware-Laden Spam. V tomto shrnutí se například říká, že 44 procent organizací se stalo obětí průniku díky spamovým e-mailům.

Elektronické bankovnictví a obchod

Na stopě podvodů. Testovali jsme e-shop. Náhle skončil, z úvodu: Nedoručené zboží, e-maily bez odpovědi a telefony, které nikdo nezvedá. Hned na tři internetové obchody si v lednu stěžovali lidé na srovnávači cen Heureka.cz. Na obchody www.ibko.cz, www.televiznis­tolky.com a www.i-centrum.eu upozornil před pěti týdny také online deník Aktuálně.cz.

K útokům Shylock malware se vrací článek Speaking with the Devil – Malware Adds Live Chat to Commit Fraud. Bankovní malware je stále vynalézavější. Viz také komentář Banking Trojan hijacks live chat to run real-time fraud.

Anonymous při útocích používají i skrytého bankovního trojana – Anonymous web weapon backfires with hidden banking Trojan. Nástroj Slowloris, který používají pro útoky DDoS,obsahuje i trojana Zeus. Takovéto útoky začaly 20. ledna, ten samý den, kdy byl ukončen Megaupload.
Viz zpráva Symantecu – Anonymous Supporters Tricked into Installing Zeus Trojan.
Další komentář je na stránce Anonymous Supporters Downloaded Zeus Banking Trojan.

Autentizace, hesla

Kybernetická kriminalita a ověření online identity, to je téma článku Cybercrime and the problem of online identity verification. Deb Shinderová se hlouběji zabývá rolí identity v kyberkriminalitě. Zmiňuje existující i navrhovaná řešení. Citace ze závěru článku: “one day, it will be illegal to log onto the Internet without providing proof of identity”.

Phishing

Researchers to Detail WebKit Zero-Day on Android Phones at RSA Conference – K demonstraci phishingového útoku end-to-end na mobily Google Android (na konferenci RSA). Byla k tomu použita technologie společnosti Apple – Webkit. Viz také komentář – Android smartphones infected via drive-by exploit.

Biometrie

UK, jejich biometrické povolení k pobytu, informuje o něm článek UK.gov to double number of biometric chips for immigrants. Používaný čip obsahuje otisk prstu a fotografii dotyčného a umožňuje této osobě potvrzovat informace o sobě v zaměstnání a jinde. Většina z dosud vydaných 650 000 čipů se týká studentů, kteří v UK jsou déle než 6 měsíců.

Normy a normativní dokumenty

Americký NIST v uplynulém týdnu vydal:

• Draft of Special Publication (SP) 800–53, Revision 4, Security and Privacy Controls for Federal Information Systems and Organizations

Kryptografie

Kryptografický panel na konferenci RSA 2012, informace k jeho průběhu přináší článek Cryptosystems Showing Signs of ‚Wear and Tear‘. Vystoupili zde Whit Diffie, Ron Rivest a Adi Shamir. Pochopitelně reagovali na nedávný výsledek ohledně problému s generováním prvočísel pro RSA algoritmus. Rivest hovořil také o problémech s bezpečným uchováním utajovaného kryptografického klíče. Viz také článek Alleged RSA crypto flaw hotly debated.

Různé

Přehled vychází z průběžně publikovaných novinek na Crypto – News.