Nemzetközi IT biztonsági sajtószemle
Nemzetközi
IT biztonsági sajtószemle
Címkefelhő
privát böngészés China Telecom Industroyer Akamai Huawei Pakisztán Gamaredon Nardello & Co. e-Személyi Cloudflare RSA Unbubble káros alkalmazás kiberbűnözés Snowden EternalBlue Apple Pay Spanyolország VirusTotal e-ügyintézés Motherboard SOHO Egyesült Királyság NotPetya ENISA dezinformáció adatszivárgás Irán SBU GCSB
 október 31. 10:05

A biztonsági szempontból piacvezető csevegő alkalmazás, a Signal nyilvánosságra hozta legújabb fejlesztését, miszerint a jövőben nem csupán az üzenetek kerülnek titkosításra, hanem a feladók személye is rejtve marad.

Bővebben

A biztonsági szempontból piacvezető csevegő alkalmazás, a Signal nyilvánosságra hozta legújabb fejlesztését, miszerint a jövőben nem csupán az üzenetek kerülnek titkosításra, hanem a feladók személye is rejtve marad. Mindez azért fontos, mert bár a rendszer nem logolja a hálózatán történő tevékenységeket, a feladó és a címzett alapján is tehetők megállapítások a platform használatára vonatkozóan. A jelenleg még tesztfázisban lévő „rejtett feladó” bevezetésével nem szűnik meg annak a lehetősége, hogy a felhasználók megállapíthassák egy üzenet feladóját ─ erről a fejlesztők megkerülő megoldással gondoskodnak. A funkció alapértelmezetten a megbízható kapcsolatok számára készült, mindazonáltal egyéni preferencia alapján az is beállítható, hogy a felhasználó olyan személytől is fogadjon rejtett üzeneteket, aki nem szerepel a kontaktlistájában ─ azzal a megjegyzéssel, hogy ez az opció magas biztonsági kockázatot hordoz magában. 

(www.wired.com)
Kevesebb
Hasonló hírek
 Tegnap, 14:52

Az ESET szakértői felfedeztek egy akkumulátor optimalizáló applikációba (Optimization Battery) rejtett trójai kártevőt, amely az áldozat PayPal fiókjához igyekszik hozzáférést szerezni, majd a háttérben utalást indítani, anélkül, hogy a felhasználónak esélye legyen ennek megakadályozására.

Bővebben

Az ESET szakértői felfedeztek egy akkumulátor optimalizáló applikációba (Optimization Battery) rejtett trójai kártevőt, amely az áldozat PayPal fiókjához igyekszik hozzáférést szerezni, majd a háttérben utalást indítani, anélkül, hogy a felhasználónak esélye legyen ennek megakadályozására. Mindezt úgy éri el, hogy telepítéskor engedélyt kér az Android Accessibility használatához, amely többek között lehetővé teszi a képernyő és az operációs rendszer közötti interakciók automatizálását, ezzel szimulálva a felhasználói utasításokat (koppintásokat). A jogosultság megszerzése után az app addig várakozik, amíg a felhasználó meg nem nyitja a PayPal applikációt, és sikeresen be nem jelentkezik a fiókjába. Ezt követően azonban a káros kód hamar aktivizálja magát: az Accessibility segítségével új tranzakciót kezdeményez ─ ennek folyamata mindössze nagyjából 5 másodpercet vesz igénybe ─ amit minden alkalommal megismétel, amikor a felhasználó a PayPal alkalmazást használja. A trójai alapértelmezésként egy-egy ilyen alkalommal 1 000 egységet tulajdonít el a felhasználók számlájáról, a felfedező szakértő esetében ez 1 000 eurót jelentett. Az alkalmazás szerencsére a Play Store-ból nem elérhető, így mindeddig kevés fertőzést okozott, az ESET munkatársai mindazonáltal fokozott figyelmet javasolnak új alkalmazások telepítésekor.

(zdnet.com)
Kevesebb
 december 11. 09:31

Svájc Genf kantonja 2020 februárjáig kivezeti a használatból az elektronikus szavazási rendszert, az erre vonatkozó döntésnek nagyrészt financiális okai vannak.

Bővebben

Svájc Genf kantonja 2020 februárjáig kivezeti a használatból az elektronikus szavazási rendszert, az erre vonatkozó döntésnek nagyrészt financiális okai vannak. A rendszer 2003-as bevezetése óta több mint százötvenszer került használatra; 2017-ben a genfi szavazók közel hatvan százaléka ezzel a módszerrel adta le szavazatát. Időközben azonban állami szinten olyan fejlesztési követelmények kerültek meghatározásra az elektronikus szavazási rendszerrel összefüggésben, amelynek pénzügyi vonzatait – médiahírek szerint – a kanton már nem kívánja biztosítani. A fejlesztés egyrészt 2,3 millió euró plusz kiadást jelentene, emellett meg kell említeni a hivatalosan ugyan nem közreadott, de mégis fennálló, manipulálásra alkalmas biztonsági problémákat is, amelyeket egy civil informatikai klub munkatársa fedezett fel a rendszerben. Az elektronikus szavazási rendszer jövője egyelőre nyitott Svájcban: a központi kormányzat szándéka szerint ezen lehetőséget 2019-ig biztosítani kellene a kantonok többségében, azonban csatlakozásra nem kötelezhetőek.

(heise.de)
Kevesebb
 december 10. 15:21

Az ausztrál parlament elfogadta a törvényt, amely a technológiai vállalatok számára kötelezővé teszi, hogy hátsó ajtó (backdoor) segítségével hatósági kérelemre hozzáférést biztosítsanak a hálózatukon áthaladó titkosított kommunikációhoz.

Bővebben

Az ausztrál parlament elfogadta a törvényt, amely a technológiai vállalatok számára kötelezővé teszi, hogy hatósági kérelemre hozzáférést biztosítsanak a hálózatukon áthaladó titkosított kommunikációkhoz. Azon cégek, amelyek nem felelnek meg az elvárásoknak, bírságra számíthatnak. Az intézkedést komoly kritika éri a tech cégek részéről, mondván a hátsó ajtók a hackerek számára is lehetőséget adnak az információszerzésre, valamint maguk a kormányok is visszaélhetnek a lehetőséggel. Lizzie O’Shea, emberi jogi jogász úgy véli ez csupán az első lépés, és előbb-utóbb a többi „Öt Szem” nemzet is hasonló szabályozást fog hozni.

(cyberscoop.com)
Kevesebb
 december 06. 12:22

Reddit felhasználók jelentették, hogy az Apple App Store-on két olyan, magas értékelésű alkalmazás található, amelyek egy megtévesztés révén 100 dollár körüli összeget emelnek le az áldozat számlájáról; ezeket az Apple idő közben már el is távolította. 

Bővebben

Reddit felhasználók jelentették, hogy az Apple App Store-on két olyan, magas értékelésű alkalmazás található, amelyek egy megtévesztés révén 100 dollár körüli összeget emelnek le az áldozat számlájáról; ezeket az Apple idő közben már el is távolította. A szóban forgó alkalmazások (Fitness Balance, valamint a Calories Tracker) azt állították magukról, hogy egészségügyi szolgáltatást nyújtanak (kalóriaszámlálás, testtömegindex mérés, stb.) azonban ehelyett megterhelték azon felhasználók számláit, akik megadták bankkártyaadataikat az Apple fiókjukban. A konkrét összegek 99.99 dollár, 119 dollár, vagy 139 euró között változtak ─ országtól függően. A megtévesztés úgy működött, hogy az alkalmazások megnyitás után megjelenítettek egy üzenetet, amelyben arra kérték a felhasználót, hogy olvastassa le ujjlenyomatát egy kalória-figyelő funkció miatt. Amennyiben a felhasználó így tett, egy hirtelen felugró újabb ablak már a fentebb említett összegek valamelyikének terheléséhez kért engedélyt, az üzenet azonban olyan gyorsan jelent meg, hogy a felhasználónak ne legyen ideje levenni ujját a leolvasóról, szándékán kívül engedélyezve a fizetést. Az ESET ennek kapcsán felhívja a figyelmet, hogy az iPhone X ─ vagy annál újabb ─ Apple készülékeknél lehetőség van az ún. „Double Click to Pay” fizetés aktiválására, amely után a mobilfizetések a készülék oldalán található gomb kétszeri megnyomásával kerülnek engedélyezésre.

(arstechnica.com)
Kevesebb
 november 27. 12:01

A brit parlament Digitális, Kulturális, Média- és Sportbizottsága bizalmas Facebookos dokumentumokat szerzett meg egy már megszűnt fotó kereső alkalmazás (Pikinis) fejlesztőjétől.

Bővebben

A brit parlament Digitális, Kulturális, Média- és Sportbizottsága bizalmas Facebookos dokumentumokat szerzett meg egy már megszűnt fotó kereső alkalmazás (Pikinis) fejlesztőjétől, a bizottság elnöke szerint pedig a hatályos brit jogszabályok értelmében nyilvánosságra is hozhatják azok tartalmát. A kérdés azonban jogi szempontból összetett, ugyanis ─ amint arra Richard Allan, a héten esedékes, dezinformációs témájú nemzetközi meghallgatásra beidézett Facebook vezető felhívta a figyelmet ─ a tech óriás szándékát, miszerint a kérdéses anyagokat titokban tartaná, egy kaliforniai bíróság korábban jóváhagyta. A szóban forgó, 2013/14-ből származó dokumentumokhoz az alkalmazásfejlesztő cég ─ Six4Three ─ egy 2015-ös policy változtatás miatt indított peres eljárás során fért hozzá. A The Observer brit hetilap szerint a bizottság kétszer is felszólította a Six4Three vezetőjét, Theodore Kramert a dokumentumok átadására, valamint egy londoni üzleti útja során a parlament elé is idézték.

(securityweek.com)
Kevesebb
 november 06. 15:28

A Kamerka nevű tool segítségével cím alapján kereshetőek a közeli, internet felől hozzáférhető kamerák.

Bővebben

A Kamerka nevű tool segítségével cím alapján kereshetőek a közeli, internet felől hozzáférhető kamerák. Készítője szerint az alkalmazás több különálló programból tevődik össze: az egyik a Shodan, ami az internetre kötött eszközök felderítéséért felel, a Geopy modul a helymeghatározást, a Folium pedig az eredményeket tartalmazó, HTML alapú térkép előállítását végzi. A Motherboard validálta a program működését, aminek a segítségével London, New York és Párizs területén is tártak fel nem biztosított kamerákat. Bár a teszt során olyan eszközt nem találtak, ami élő képet közvetített volna ─ valamint a legtöbbjük nem bizonyult autentikáció nélkül hozzáférhetőnek ─ több esetben is elértek olyan admin felületeket, amelyekről ismert, hogy könnyen kitalálható jelszavakkal rendelkeznek. 

(motherboard.vice.com)
Kevesebb
 október 03. 15:19

A Google Jigsaw nevű részlege bemutatta az Intra nevű mobil applikációt, amellyel a cég szerint megelőzhetőek a DNS manipulációs támadások, amelyeket egyes országok az állami cenzúra eszközeként hír és közösségi oldalak elérésének blokkolására használnak ─ a TechCrunch cikke ezzel kapcsolatban név szerint említi Törökországot és Venezuelát.

Bővebben

A Google Jigsaw nevű részlege bemutatta az Intra nevű mobil applikációt, amellyel a cég szerint megelőzhetőek a DNS manipulációs támadások, amelyeket egyes országok az állami cenzúra eszközeként hír és közösségi oldalak elérésének blokkolására használnak ─ a TechCrunch cikke ezzel kapcsolatban név szerint említi Törökországot és Venezuelát. Az Intra azáltal nyújt védelmet, hogy gondoskodik a DNS szerver felé irányuló forgalom titkosításáról, ehhez alapértelmezetten a Google DNS szolgáltatását veszi igénybe, alternatívaként beállítható még a Cloudflare publikus DNS-e. A kevéssé ismert Google divízió egyéb cenzúra ellenes appokat is fejleszt, mint például a DDoS védelmi Project Shield, vagy az Outline, ami újságíróknak és aktivistáknak nyújt VPN szolgáltatást.

(techcrunch.com)
Kevesebb
 szeptember 27. 12:01

A Sophos munkatársai 25, a felhasználók tudtán kívül kriptovalutát bányászó applikációt fedeztek fel a Google Play-en, amely tevékenységet a Google már egy ideje kitiltott az alkalmazás áruházából.

Bővebben

A Sophos munkatársai 25, a felhasználók tudtán kívül kriptovalutát bányászó applikációt fedeztek fel a Google Play-en, amely tevékenységet a Google már egy ideje tilt az alkalmazás áruházában megjelenő appok számára. A biztonsági cég szerint eddig több, mint 120 000 felhasználó tölthette le a szóban forgó alkalmazásokat, amelyek a káros tevékenységet játékoknak és egyéb segédprogramoknak álcázták. Legtöbbjük Monero kriptopénzt termelő Coinhive kódokat használ, amelyek a szokványos megoldástól eltérő módon nem az eszköz grafikus vezérlőjét veszik célba a számításokhoz, hanem a CPU-t. Ezek az appok az észrevétlenség érdekében már szabályozzák a CPU használatot és figyelnek az akkumulátor merülésére és a túlmelegedésre, így sokszor a felhasználó nem is vesz észre teljesítményromlást. A szakemberek szerint az ilyen kódok lényegében bármilyen mobilos alkalmazásba beilleszthetőek, amelyek a beágyazott WebView böngészőt használják a webes tartalmak megjelenítésére. A Google-t már augusztusban értesítették a problémáról, azonban az alkalmazások egy része továbbra is letölthető a Google Play-ből. 

(www.securityweek.com)
Kevesebb