Nemzetközi IT biztonsági sajtószemle
Nemzetközi
IT biztonsági sajtószemle
Címkefelhő
TLS SNI Bloomberg MSP ISAC kétfaktoros autentikáció Ariane kriptovaluta internet szolgáltatók ISIS Ukrajna ICDS backdoor e-szavazás RocketChat MQTT ProtonMail API Apple Air Canada United Airlines Ausztrália Apple CoreTLS GDPR.eu Google közlemény biometrikus azonosítás Genf kanton mobil Apache Struts adathalászat
 2018. november 22. 16:51

Biztonsági kutatók sérülékenységet tártak fel egy német állami portálok által elektronikus személyi igazolvánnyal történő webes bejelentkezések kezelését végző szoftver komponensben (Governikus Autent SDK).

Bővebben

Biztonsági kutatók sérülékenységet tártak fel egy német állami portálok által elektronikus személyi igazolvánnyal történő webes bejelentkezések kezelését végző szoftver komponensben (Governikus Autent SDK); a biztonsági hiba kihasználásával lehetőség nyílt más állampolgárok nevében történő bejelentkezésre az érintett site-okon. A problémát csak most nyilvánosságra hozó SEC Consult azt már 2018 júliusában felfedezte, a detektálást követően pedig azonnal értesítette a CERT-Bundot, a gyártói hibajavítás így már augusztusban megtörtént. Az esetről tudósító ZDNet hivatalos megkeresés útján igényelt információt a német Szövetségi Informatikai Biztonsági Hivataltól (BSI) azzal kapcsolatban, hogy a német kormányzati portálokon telepítették-e a hibajavítást, illetve, hogy az érintett weboldalak autentikációs naplóbejegyzéseit átvizsgálták-e a szóban forgó sérülékenység kihasználásának nyomai után kutatva.

(zdnet.com)
Kevesebb
Hasonló hírek
 január 18. 12:16

Egy Twittert érintő biztonsági hiba vált ismertté, amelynek következtében egyes usereik privát tweetjei publikussá válhattak

Bővebben

Egy Twittert érintő biztonsági hiba vált ismertté, amelynek következtében egyes usereik privát tweetjei publikussá válhattak. Az esetről a Twitter adott hírt, eszerint amennyiben androidos felhasználóik 2014. november 3-a és 2019. január 14-e között a „Protect your tweets” funkció engedélyezése után további beállítást is módosítottak ─ például új e-mail címet adtak meg a fiókjukhoz ─ lehetséges, hogy ezzel az előbbit  tudtukon kívül kikapcsolták. Mindez azért lényeges, mert a „Protect your tweets” beállítás teszi lehetővé, hogy csak a követők láthassák a felhasználó posztjait, illetve az ily módon közzétett posztok nem retweetelhetőek. A cég elmondása szerint értesítette azon felhasználóit, akiknek érintettségéről tudomást szereztek, azonban azt javasolják, hogy lehetőség szerint minden felhasználó ellenőrizze a beállítást, mivel az összes potenciális érintettet nem tudják azonosítani. Az esetről értesült az egyébként más GDPR szabályszegés miatt a Twitter ellen éppen vizsgálatot folytató ír adatvédelmi hatóság is (Irish Data Protection Commission), azonban a mostani ügy miatt még nem kezdeményeztek eljárást.

(mashable.com)
Kevesebb
 január 17. 12:09

Az Europol megtette az első konkrét lépéseket, hogy az unióban működő bűnüldöző hatóságokat támogassa abban, hogy a titkosított kommunikációt használó messenger-szolgátások (mint a Whatapp, Signal, Threema), illetve a Skype révén továbbított tartalmakat megismerhessék.

Bővebben

Az Europol a vonatkozó német szabályozásnak megfelelően a messenger-szolgáltatások felügyelete érdekében felmérést folytat a szoftverpiacon. Kijelenthető ezzel párhuzamosan általános érvénnyel, hogy az Europol megtette az első konkrét lépéseket, hogy az unióban működő bűnüldöző hatóságokat támogassa abban, hogy a titkosított kommunikációt használó messenger-szolgátások (mint a Whatapp, Signal, Threema), illetve a Skype révén továbbított tartalmakat megismerhessék. Az Európai Bizottság még 2017 szeptemberében nyilvánosságra hozta, hogy az Europol keretein belül létrehoznak egy kódfejtő egységet, amely bűnüldözői célokat fog megvalósítani; a miniszterek tanácsa ezen kezdeményezést még az említett év végén jóvá is hagyta, így megalakulhatott a szóban forgó információ-biztonságtechnikai központ. Ekkortól az Europol megtette a lépéseket arra vonatkozóan, hogy biztonsági célok érdekében szakembereket toborozzon az államilag bevethető trójai vírus megkonstruálóira, amely projektre csak Németországban 5,77 millió eurót szántak. 

(heise.de)
Kevesebb
 január 17. 11:53

A Safety Detective kutatója komoly hibát fedezett fel az Amadeus online repülőjegy foglalási rendszerben, amelynek következtében illetéktelen személyek képesek lehettek hozzáférni az utasok adataihoz, valamint módosítani is azokat.

Bővebben

A Safety Detective egy biztonsági kutatója komoly hibát fedezett fel az Amadeus online repülőjegy foglalási rendszerben, amelynek következtében illetéktelen személyek képesek lehettek hozzáférni az utasok adataihoz, valamint módosítani is azokat. A rendszer igen népszerű, mintegy 140 nemzetközi légitársaság használja, ezzel a piacon jelentős (44%) részesedést tudhat magáénak ─ olyan ügyfelekkel, mint például a United Airlines, Lufthansa, vagy az Air Canada ─ így a problémában több millió utas vált potenciálisan érintetté. A kutató akkor fedezte fel a hibát, amikor egy izraeli társaság (EL AL) járatára szeretett volna foglalni. Egy paraméter átírásával képes volt megtekinteni az utas-nyilvántartási adatállományokat (Passenger Name Record - PNR), amelyek birtokában az EL AL ügyfélportálján lehetősége nyílt megváltoztatni az utasok kontakt adatait, ezt kihasználva pedig többek közt törölhette volna a foglalásokat. További probléma, hogy a PNR kódokat nem titkosítva, hanem szabad szöveges állományként küldte az EL AL rendszere, ami kitettséget jelent a közbeékelődéses (Man-in-the-Middle) támadásokkal szemben. Az Amadeus közleménye szerint a hibát elhárították.

(bleepingcomputer.com)
Kevesebb
 január 10. 10:50

Egy újonnan közzétett biztonsági rés kihasználásával a Skype alkalmazáson keresztül fogadott hívások lehetővé tették az Androidos eszközök zárolásának megkerülését, így a feloldási művelet végrehajtása nélkül megtekinthetők voltak az eszközökön tárolt fényképek, névjegyek és böngészőablakok.

Bővebben

Egy biztonsági rés kihasználásával a Skype alkalmazáson keresztül fogadott hívások lehetővé tették az androidos eszközök zárolásának megkerülését, így a feloldási művelet végrehajtása nélkül megtekinthetővé váltak az eszközökön tárolt fényképek, és névjegyek, valamint üzenet küldésére is mód nyílt. A sérülékenységre egy 19 éves, koszovói számítógépes programhiba-kutató hívta fel még októberben a Microsoft figyelmét, a december 23-án kiadott frissítésben pedig már javításra került a hiba. A sebezhetőségben minden 8.15.0.416 ─ és ennél alacsonyabb ─ verziószámú androidos Skype alkalmazás érintett. 

(theregister.co.uk)
Kevesebb
 január 08. 15:25

Egy jelentés szerint a német távközlési szolgáltatók a 2012-ben kiadott hivatalos állami ajánlásban foglaltak ellenére általánosságban nézve hat hónapos – ezen belül is például az IP-címek esetében három hónapos – adattárolást realizálnak a törvényes megőrzési kötelezettségtől függetlenül.

Bővebben

Egy jelentés szerint a német távközlési szolgáltatók a 2012-ben kiadott hivatalos állami ajánlásban foglaltak ellenére általánosságban nézve hat hónapos – ezen belül is például az IP-címek esetében három hónapos – adattárolást realizálnak a törvényes megőrzési kötelezettségtől függetlenül, önkéntes alapon, annak ellenére, hogy a hatóságilag irrelevánsnak minősülő adatokat legkésőbb hét napon belül törölniük kellene. A mobilszolgáltatók a készülék egyedi azonosítójának adatait négy hónapig, a helymeghatározási adatokat egy hétig tárolják, a hívószámokat, a dátumot, időpontot, illetve az IMSI-azonosítót pedig hat hónapig. A szolgáltatói önkéntes, de egyúttal önkényes adattárolás ezen mértéke egyértelműen jogsértő – vélik egyes szakértők, akik régóta harcot vívnak a túlzottan kontrollálatlan adattárolás visszaszorításáért. 

(heise.de)
Kevesebb
 január 08. 14:34

Észtország biztonsági és védelmi kérdések terén vezető think tank szervezete, az International Centre for Defence and Security (ICDS) összehasonlító tanulmányt készített öt európai nemzet ─ jelesül Észtország, Finnország, Németország, Hollandia és Norvégia ─ kiberparancsnokságának képességeiről.

Bővebben

Észtország biztonsági és védelmi kérdések terén vezető agytröszt (think tank) szervezete, az International Centre for Defence and Security (ICDS) összehasonlító tanulmányt készített öt európai nemzet ─ jelesül Észtország, Finnország, Németország, Hollandia és Norvégia ─ kiberparancsnokságának képességeiről, amely az első nyilvánosan elérhető kiadvány ebben a témában. Az anyag több szempontból vizsgálja a szerveket, többek között a stratégiai iránymutatások, a szervezeti felépítés, vagy például a parancsnoki lánc függvényében. A második rész elemzéseket tartalmaz minden egyes szervezeti felépítés tekintetében, számba véve az adott modell előnyeit és hátrányait, az utolsó szekció pedig szabályozási javaslatokat fogalmaz meg. 

(icds.ee)
Kevesebb
 január 07. 11:42

Német politikusok és prominens közéleti személyek privát adatait hozták nyilvánosságra hackerek a Twitteren.

Bővebben

Német politikusok és prominens közéleti személyek privát adatait hozták nyilvánosságra hackerek a Twitteren. Az érzékeny adatok ─ amelyeket 2018 karácsonyát megelőző héten kezdték el kiposztolni a közösségi oldalon ─ nagy változatosságot mutatnak: jórészt kontakt információk (telefonszámok, e-mail címek, stb.) szivárogtak ki, azonban kissebb számban szenzitívebb adatok is megtalálhatóak közöttük, mint például különböző politikai pártok belső kommunikációi, személyi okmány információk, vagy bankkártya adatok. Ugyanígy az érintett személyek köre is heterogén, így nem egyértelmű, hogy tisztán politikai motiváció húzódott-e meg a támadás mögött. Jelenleg arról sincs információ, hogy az adatok milyen forrás(ok)ból származnak, ahogy az elkövetők kilétével kapcsolatban sem alakult ki konszenzus, azonban a tény, hogy a német parlament csupán egy pártját, a szélsőjobboldali AfD-t nem érintette az incidens, egyesek szerint nagyban emlékeztet Oroszország stratégiájára, akit a Nyugati szélsőséges csoportok támogatásával vádolnak. Martina Fietz kormányzati szóvivő arra is felhívja a figyelmet, hogy az adatok között hamis információk is megjelenhetnek. 

(theregister.co.uk)
Kevesebb
 2018. december 19. 14:33

A német Szövetségi Információs Biztonsági Hivatal ─ az Egyesült Államoktól származó információkra alapozva ─ figyelmeztetést adott ki egyes német vállalkozások számára, amelyek feltételezhetően kibertámadások célpontjaivá válhattak ─ írja a Reuters.

Bővebben

A német Szövetségi Információs Biztonsági Hivatal ─ az Egyesült Államoktól származó információkra alapozva ─ figyelmeztetést adott ki egyes német vállalkozások számára, amelyek feltételezhetően kibertámadások célpontjaivá válhattak ─ írja a Reuters. A témával kapcsolatban először a Sueddeutsche Zeitung cikkezett, eszerint német épitőipari, anyagtudományi, gépipari és nagyobb kereskedelmi cégek állhattak a támadások középpontjában. A publikációban emellett említésre kerül a kínai államhoz kötött kiberkémkedési célú Cloudhopper APT tevékenység, valamint, hogy Kína részéről megnövekedett aktivitást észlelnek német vállalkozások irányába. A kínai befektetők által történő nagy arányú felvásárlások elleni fellépés részeként a német kabinet várhatóan csökkenteni fogja a nemzetbiztonsági átvilágítás-köteles részesedési arányt a nem európai vállalatok vonatkozásában. 

(reuters.com)
Kevesebb