Nová chyba nazývaná FREAK (Factoring Attack on RSA-EXPORT Keys, CVE-2015–0204) byla objevena výzkumníky institutu Inria a Microsoftu. Postižené jsou všechny verze OpenSSL starší než 1.01k, ale chyba existuje i v Secure Transportu od Applu a Schannelu od Microsoftu. Podle prvotních informací je postiženo 36 % ze 14 milionů testovaných webů + každá aplikace používající výše zmíněné SSL/TLS knihovny. Uživatelé Chrome a Firefoxu nejsou ohroženi, protože nepoužívají výše zmíněné knihovny. Systémy Windows, Linux, OS X, Android i iOS však ano.
V devadesátých letech se americké úřady snažily regulovat používání a vývoz „silných“ šifer, a tak se do zařízení/softwaru před jejich vývozem do zahraničí implementovaly algoritmy používající slabé klíče. Maximem byl tehdy klíč o velikosti 512 bitů. V roce 2000 se toto omezení změnilo, ale některá zařízení do této doby obsahují exportní šifrování, i když už není nezbytné. V té době bylo prolomení 512 bit klíče možné jen na superpočítačích, ale v dnešním světě elastických cloudů to zvládnete za pár korun.
Jedná se konkrétně o šifrovací sadu s názvem TLS_RSA_EXPORT_WITH_DES40_CBC_SHA a útok je podobný jako v případě POODLE chyby. Pokud váš operační systém a cílový server podporuje výše zmíněnou sadu, tak je možné, aby útočník na cestě mezi vámi a cílovým serverem upravil komunikaci a obě strany se dohodnou na používání právě této sady. Útočník není schopen komunikaci dešifrovat hned, ale celou si ji uloží a pak pomocí dostatečné výpočetní kapacity zlomí privátní klíč. Podle odhadů to na běžném počítači trvá dva týdny, v cloudu pak i třeba jen 12 hodin. Bohužel dalším problémem je, že útočníkovi stačí toto provést jen jednou a dostane se i ke všem dalším komunikacím serveru, protože server negeneruje nový klíč pro každé spojení. Vzhledem k tomu, že bude mít útočník privátní klíč, tak se od té doby může vydávat i za cílový server.
Zda je k tomuto útoku náchylný i váš web, zjistíte například pomocí jednoduché webové aplikace.
Naše postřehy
Jan Krissler (Starbug) ze známé skupiny Chaos Computer Club (CCC), který je známý především tím, že s pomocí standardního fotoaparátu byl schopen vyrobit kopii otisku prstu německé ministryně obrany, nyní tvrdí, že je schopen pokořit další biometrii, a to scan oční duhovky jen pomocí fotek na Internetu. Detaily prozradí na konferenci CanSecWest ve Vancouveru. Scan oční duhovky se vyznačuje především vysokou přesností (FRR: 0,00066%; FAR: 0,00078%) a pomocí testu životnosti nestačí jen vytisknout oko ve vysokém rozlišení.
Společnost Xiaomi (tzv. čínský Apple) do svého nejpopulárnějšího telefonu Xiaomi Mi4 LTE uživatelům předinstalovala několik aplikací obsahující malware. Některé se dokonce snažily maskovat jako aplikace od Googlu, a přitom šlo o adware známý jako DarthPusher. Fork Androidu běžící na tomto telefonu navíc není certifikovaný a aktuální verze obsahuje několik zranitelností. Snad se instalace malwaru do OS, po vzoru Lenova, nestává trendem. Můžete si OS přepsat vlastním, ale když výrobce chce, cestu si najde (většinou přes firmware). Trochu odbočím: pokud byste byli schopni detekovat změnu firmwaru (všeobecně), tak se mi, prosím, ozvěte na email.
Aby toho s instalacemi nežádoucího softwaru tento týden nebylo málo, tak spolu s aktualizací uTorrentu (3.4.2 Build 28913) jste si nainstalovali také doplněk, který těží bitcoiny na vašem počítači. Má tak činit, když je počítač nevytížený a vytěžené bitcoiny jdou pak společnosti Epic Scale a měly by být použité na dobročinné účely. Alespoň to tvrdí. Tento doplněk nelze jednoduše vypnout, ale existuje video s instrukcemi.
Adobe spustila formu bug bounty programu na platformě HackerOne, ve kterém však nedostanete peníze, ale s každou nahlášenou chybou si zvýšíte vaši reputaci. Můžete v tomto programu nahlásit jen webové zranitelnosti na serverech Adobe. Cíl všech útočníků, kterým je Adobe Reader, v tomto programu není.
Jste jedním z mála vývojářů, kterým záleží na bezpečnosti svého kódu? OWASP pro vás připravil deset nejdůležitějších proaktivních kontrol, které musíte provést a předejít tak hned několika vektorům útoků či chybám designu.
OpenDNS uvolnilo informace o analytickém nástroji, který je schopen pomocí vlastního modelu upozornit na domény, které jsou podezřelé a které by mohli používat kriminálníci v rámci spear phishing kampaní či v APT útocích. NLPRank používá hned několik údajů o doméně (ASN, WHOIS) a snaží se i o analýzu webu, aby škodlivé domény lépe rozpoznal.
O BadUSB jsme si už říkali, ale Stephen Tomkinson teď přišel s něčím, co by se dalo označit jako BadDisk. Jedná o Blu-ray disk, který po vložení do mechaniky nebo přehravače spustí, díky kombinaci několika chyb, škodlivý kód. Disk je v tuto chvíli schopen infikovat počítače používající PowerDVD nebo samostatné přehrávače založené na BD-J Java frameworku od Oraclu.
Jedno upozornění. Na serveru Novinky.cz se vyskytl článek popisující, jak počítač proměnit v nedobytnou pevnost před „hackery“. Rozmluvte, prosím, lidem ve svém okolí, co článek četli, alespoň ten Symantec.
Ve zkratce
Pro pobavení
Závěr
Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a redaktorů serveru Security-Portal.cz. Uvítali bychom i vaši spolupráci na tvorbě obsahu tohoto seriálu. Pokud byste nás chtěli upozornit na zajímavý článek, tak nám napište na FB stránku, případně na Twitter. Děkujeme.
ČLÁNKY DO MAILU