Nemzetközi IT biztonsági sajtószemle
Nemzetközi
IT biztonsági sajtószemle
Címkefelhő
OpEdNews EU-Parlament sérülékenység szavazórendszer Flash MikroTik Netflix Pluto Adobe IoT Facebook ujjlenyomat elemzés Németország Amazon DNS ausztrál parlament malvertising cenzúra biztonsági elemzés StealthWorker Vietnám böngésző bővítmény Skylight Cyber CrowdStrike US-CERT BSI Ransomware választások kiberbűnözés
 2018. július 05. 09:47

A május végén Tallinnban megrendezett CyCon X konferencián került bemutatásra egy svájci kutatócsoport munkája, mely egy új, a belső alkalmazottak által végrehajtott adatlopások elleni technológiára vonatkozóan tett javaslatokat.

Bővebben

A május végén Tallinnban megrendezett CyCon X konferencián került bemutatásra egy svájci kutatócsoport munkája, mely egy új, a belső alkalmazottak által végrehajtott adatlopások elleni technológiára vonatkozóan tett javaslatokat. A tanulmányban arra hívják fel a figyelmet, hogy a rosszindulatú munkatársak oly módon is eltulajdoníthatnak érzékeny, bizalmas információkat, hogy azt a képernyőjükön megjelenítik, és a képernyőről mobiltelefonjuk segítségével képet készítenek, amit később illetékteleneknek továbbítanak. Az ilyen típusú adatlopás vizsgálata során általában közel lehetetlen a felelős azonosítása, azonban a konferencián bemutatott új módszer ezt nagymértékben megkönnyítheti. A kutatók javaslata alapján olyan vízjelezési technológiát célszerű alkalmazni, mely az emberi szem számára láthatatlan, de a gépi értelmezés során információt szolgáltathat a bejelentkezett felhasználóról, a kép készítésének idejéről, vagy akár a kép elkészítésének helyéről is. A javasolt technológia lehetővé teszi, hogy a képernyőről készült fénykép is hordozza ezeket az információkat, illetve biztosítja, hogy a vízjel elemeinek törlése, sérülése esetén is lehessen releváns adatokat visszanyerni. Emellett biztosítja azt is, hogy a vízjelek felismerése esetén se lehessen azokat meghamisítani, ezzel a gyanút más személyre terelni, vagy a vízjelben kódolt adatokat bármilyen eljárással módosítani.

(www.ccdcoe.org)
Kevesebb
Hasonló hírek
 április 03. 12:38

A telekommunikációs rendszerek a modern társadalmak számára kritikus tényezőnek számítanak, éppen ezért a távközlési ipart érő fenyegetések és sérülékenységek megértése kiemelten fontos az iparági szereplők számára.

Bővebben

A telekommunikációs rendszerek a modern társadalmak számára kritikus tényezőnek számítanak, éppen ezért a távközlési ipart érő fenyegetések és sérülékenységek megértése kiemelten fontos az iparági szereplők számára. Ezt szeretné elősegíteni a Trend Micro és az Europol közös kiadványa (Cyber-Telecom Crime Report 2019), amely átfogó, magas szintű képet kíván nyújtani a távközlési hálózatokat célzó kiberbűnözői tevékenységekről (cyber-telecom fraud) és az alkalmazott főbb technikákról. Az összefoglaló alapvetően kétféle típusú fenyegetést tárgyal: a fizikai telekommunikációs infrastruktúrákat célzó, valamint a számítógépes hálózat-alapú támadásokat. A valós eseteket is bemutató anyag konklúziója, hogy az információcsere, valamint az együttműködés az, amivel sikerrel vehető fel a harc az egyre gyakoribb és nagyszabásúbb támadásokkal szemben.

(europol.europa.eu)
Kevesebb
 március 27. 07:37

Az Észak-Karolinai Egyetem (NCSU) egyes kutatói átfogó vizsgálatnak vetették alá a legnépszerűbb online forráskód kezelő platformot, a GitHubot.

Bővebben

Az Észak-Karolinai Egyetem (NCSU) egyes kutatói átfogó vizsgálatnak vetették alá a legnépszerűbb online forráskód kezelő platformot, a GitHubot. Az ellenőrzés során megállapították, hogy arról nap mint nap több ezer, visszaélésre alkalmas hitelesítő adat (SSH kulcsok API tokenek, stb.) szivárog ki, amelyek komolyabb erőfeszítés nélkül visszakereshetőek. A probléma emberi mulasztásból fakad, a fejlesztők ugyanis gyakorta elkövetik azt a hibát, hogy a különböző online szolgáltatásokhoz ─ például Google, Twitter, Amazon Web Services, Facebook ─ használt hitelesítő kulcsaikat ugyanabban a könyvtárban tárolják, mint a Git repository-ba (tároló) feltöltendő kódot, amelyet ilyenformán véletlenül tesznek közzé egy-egy parancssorból indított feltöltés során. Mindemellett tipikus hiba még, hogy az API kulcsot beágyazzák magába a kódba. Az ilyen szituációk elkerülése végett javasolt a .gitignore file használata, amelyben meghatározhatóak, hogy melyek azok az információk, amelyeket nem szeretnénk feltölteni a repository-ba. A kutatók felhívják a figyelmet arra is, hogy a Git szerves részét képező verziókövetési mechanizmus miatt az érintett fejlesztőknek a repository history-ját is újra kell írniuk, mert az érzékeny információk korábbi verziókban is megtalálhatóak lehetnek. Egy másik lehetséges megoldás a tároló teljes törlése, majd újrakezdése.

(nakedsecurity.sophos.com)
Kevesebb
 február 06. 15:50

Az Európai Uniós Hálózat- és Információbiztonsági Ügynökség (ENISA) kiadta a számítógép-biztonsági és incidenskezelő csoportok (CSIRT) és incidens reagálási képességek (IRC) Európai viszonylatban tapasztalt fejlődéseiről szóló jelentését.

Bővebben

Az Európai Uniós Hálózat- és Információbiztonsági Ügynökség (ENISA) összefoglaló jelentésében szeretne átfogó képet nyújtani az európai számítógép-biztonsági és incidenskezelő csoportok (CSIRT-ek), valamint az incidens reagálási képességek (IR) utóbbi öt év során tapasztalt fejlődéséről. Az elemzés során mintegy 81 új CSIRT-et azonosítottak, és 36 szabályozó dokumentum került átvizsgálásra. A tanulmány főbb megállapításai között szerepel, hogy a NIS irányelv implementálása pozitív hatást gyakorol az incidenskezelési képességek fejlesztésére, valamint egy uniós norma kialakítására, illetve, hogy lényeges fejlesztés tapasztalható az európai magánszektor tekintetében, ugyanakkor az EU-n kívül gyártott hardverelemek egyre nagyobb kockázati tényezőt jelentenek. Az együttműködési kezdeményezésekkel kapcsolatban az összefoglaló szerzői a köz- és a magánszektor közötti kapcsolat fontosságát emelik ki. 

(www.enisa.europa.eu)
Kevesebb
 január 08. 14:34

Észtország biztonsági és védelmi kérdések terén vezető think tank szervezete, az International Centre for Defence and Security (ICDS) összehasonlító tanulmányt készített öt európai nemzet ─ jelesül Észtország, Finnország, Németország, Hollandia és Norvégia ─ kiberparancsnokságának képességeiről.

Bővebben

Észtország biztonsági és védelmi kérdések terén vezető agytröszt (think tank) szervezete, az International Centre for Defence and Security (ICDS) összehasonlító tanulmányt készített öt európai nemzet ─ jelesül Észtország, Finnország, Németország, Hollandia és Norvégia ─ kiberparancsnokságának képességeiről, amely az első nyilvánosan elérhető kiadvány ebben a témában. Az anyag több szempontból vizsgálja a szerveket, többek között a stratégiai iránymutatások, a szervezeti felépítés, vagy például a parancsnoki lánc függvényében. A második rész elemzéseket tartalmaz minden egyes szervezeti felépítés tekintetében, számba véve az adott modell előnyeit és hátrányait, az utolsó szekció pedig szabályozási javaslatokat fogalmaz meg. 

(icds.ee)
Kevesebb
 2018. december 05. 15:59

Tervezési hiányosságokból és hibás implementációkból fakadó komoly biztonsági problémákat találtak kettő, gépek közötti kommunikációra (M2M) használt protokollban ─ állítja a japán Trend Micro új tanulmányában.

Bővebben

Tervezési hiányosságokból és hibás implementációkból fakadó súlyos biztonsági problémákat találtak kettő, gépek közötti kommunikációra (M2M) használt protokollban ─ közli a japán Trend Micro új tanulmányában. Mind a Message Queueing Telemetry Transport (MQTT), mind a Constrained Application Protocol (CoAP) széles körben használt IoT rendszerek esetében, nem ritkán ipari környezetekben. A kutatók csupán egyszerű kulcsszavas keresésekkel képesek voltak sérülékeny szervereket találni, és hozzáférni közel 200 millió MQTT, valamint 19 millió CoAP üzenethez, amelyek akár ipari kémkedés, DoS, vagy egyéb célzott támadások alapjául is szolgálhatnának. A vizsgálat során mintegy 4 310 mezőgazdasági rekordot gyűjtöttek be okos farmokról, emellett szép számmal találtak különböző bizalmas egészségügyi adatokat is, közöttük betegekre csatlakoztatott monitoring eszközök által közölt információkkal. A tanulmány emellett kiemeli, hogy az MQTT-t olyan csevegő alkalmazások is alkalmazzák, mint a Facebook Messenger. A kockázatok csökkentése érdekében a szervezetek számára javasolják minden olyan M2M szolgáltatás megszüntetését, amely nem elengedhetetlen a működéshez, valamint az érintett rendszerek sérülékenység vizsgálatát, az esetleges információ szivárgások felderítéséhez. 

(thenextweb.com)
Kevesebb
 2018. december 05. 12:23

A DuckDuckGo internetes keresője friss tanulmányában azt állítja, a böngészők privát böngészési (inkognitó) módja sem véd meg a Google profilozó tevékenységétől. 

Bővebben

A Google bevallott módon bizonyos mértékben személyre szabottan jeleníti meg a keresési találatokat, például a keresés ideje, valamint a földrajzi helyzet függvényében. Egy szakmai körökben viták kereszttüzében álló nézet szerint azonban ezen túlmenően a felhasználók profilozásával, a böngészési szokásokat ─ például további kereséseket ─ is figyelembe veszi az eredménylisták összeállításához, ez az ún. „buborék hatás” (filter bubble). A DuckDuckGo internetes kereső friss tanulmányában pedig azt állítja, a böngészők privát böngészési (inkognitó) módja sem véd meg ettől. A profilozást nyíltan elutasító DuckDuckGo 87 ember bevonásával készült vizsgálata során a szimultán indított keresések a várakozásokkal ellentétben minden egyes, a vizsgálatban részt vevő személy esetében egyedi keresési eredményeket produkáltak, amelyekre ráadásul semmilyen befolyást nem gyakorolt, hogy a kereséseket privát böngészés során végezték-e. A Google reagált a tanulmányra, amelynek következtetéseit hibásnak tartják, kezdve a feltételezéssel, hogy az eredmények demográfiai profilozáson alapulnak, amelyet határozottan visszautasítanak. Több poszton keresztül fejtik ki álláspontjukat, miszerint a keresési eredmények ─ állításuk szerint minimális ─ eltérése alapvetően a helyszín, a nyelvi beállítások, valamint a platform különbözőségéből fakadhatnak, említve még a keresési rendszer dinamikus jellegét. 

(thenextweb.com)
Kevesebb
 2018. december 04. 15:11

Biztonsági kutatók egy új támadási metódusról közöltek információkat, amellyel a legújabb TLS implementációk régebbi, sérülékeny verzióra kényszeríthetők.

Bővebben

Biztonsági kutatók egy új támadási metódusról közöltek információkat, amellyel a legújabb TLS implementációk régebbi, sérülékeny verzióra kényszeríthetők. A kutatók 9 különböző RSA-alapú biztonsági protokoll legfrissebb verzióját vizsgáltak át (OpenSSL, Amazon s2n, MbedTLS, Apple CoreTLS, Mozilla NSS, WolfSSL, GnuTLS, BearSSL és a BoringSSL), ezek közül csupán az utolsó kettő volt ellenálló a szóban forgó módszerrel („FLUSH+RELOAD”) szemben. Az eredményeket összefoglaló, „The 9 Lives of Bleichenbacher’s CAT: New Cache ATtacks on TLS Implementations” című tanulmány ajánlásokat is tartalmaz, például javasolja az RSA kulcs csere helyett a Diffie-Hellman eljárásra történő áttérést. Martin Thorpe, a Venafi munkatársa az eset kapcsán arra hívja fel a figyelmet, hogy bizonyos biztonsági intézkedések megnehezíthetik egy-egy támadás végrehajtását, ilyen például a gépazonosítók (tanúsítványok, kulcsok, stb.) átgondolt használata és fokozott védelme.

(scmagazineuk.com)
Kevesebb
 2018. november 19. 16:09

A már zajló 4. ipari forradalom szorosan összekapcsolódik a kiberbiztonsággal, az egyre nagyobb számban előforduló biztonsági események pedig komoly hajtóerőt jelentenek az ellenállóképesség növeléséhez.

Bővebben

A már zajló 4. ipari forradalom szorosan összekapcsolódik a kiberbiztonsággal, az egyre nagyobb számban előforduló biztonsági események pedig komoly hajtóerőt jelentenek az ellenállóképesség növeléséhez. Az ENISA friss tanulmányában azon automatizált rendszerekkel dolgozó ipari cégek számára fogalmaz meg javaslatokat és biztonsági megoldásokat, amelyek ipari IoT berendezéseket alkalmaznak, vagy terveznek használni. Az összefoglaló többek között definiálja a releváns terminológiákat ─ mint például az Ipar 4.0, okos gyártás, ipari IoT, stb. ─, rendszerezi a digitális ipari asseteket, valamint támadásokon és kockázatokon alapuló átfogó fenyegetési taxonómiát vezet be. A teljességre törekvő anyag összeállításakor az ügynökség szem előtt tartotta, hogy az IoT eszközök teljes életciklusát végigkövesse biztonsági szempontból. 

(enisa.europa.eu)
Kevesebb