Bohužel čím dál tím víc nabývám názoru, že bezpečný počítač prostě neexistuje. Vidím totiž, kolik je možností rootnout stroj můj i ostatních.
Používáte na spolupráci nějaký VCS? Máte ho na nějakém serveru, kde má účet víc lidí, nebo k němu má někdo fyzický přístup nebo nedej bože je to VPS? Co když někdo cinkne zdrojové kódy v repozitáři?
Co když vyownují GitHub nebo se nějaký jeho správce rozhodne páchat zlo? Každý projekt, který si stáhnete, může obsahovat malé překvapení.
Znáte správce mirroru, ze kterého stahujete svou linuxovou distribuci? Dbá na bezpečnost? Zamyká počítač, když odchází, a nekompromitoval nikdo jeho SSH klíče? Můžete zaručit, že to LiveCD, které jste si stáhli, on nebo kdokoli, kdo nějak získal přístup, neupravil, aby získal remote shell?
Kolik chyb bylo v prohlížeči, který používáte, ve Flashi a v dalších pluginech? Kolik chyb bylo ve vašem mailovém klientu a, zobrazuje-li automaticky přílohy, slyšeli jste o průseru s libpng?
Zamykáte terminál, když odcházíte? Nemůže vám nikdo do USB portu zasunout miniaturní phantom keyboard nebo keylogger? Nezadáváte heslo na veřejných místech, pod kamerami, pod dohledem dalekohledu útočníka? Nemůže vám nikdo počítač ukrást a vydumpovat paměť přes firewire, dokovací konektor, PCI-Express, Thunderbolt nebo cold-boot útokem?
…a když všechno selže, pořád jsou tu tisíciletími osvědčené metody extrakce informací s použitím násilí. Kryptotoken s možností zničení vydáním špatného hesla v současné době neexistuje.
Podle výsledků čerstvé studie nemusí mít telefonování při řízení tak významné negativní dopady, jak se dosud myslelo. Výzkumníci se zaměřili hlavně na páteční večerní skokový nárůst hovorů z vozidel (způsobený poklesem ceny za volání v USA) a jeho korelaci s nehodovostí. Předpokládaný nárůst nehodovosti nebyl prokázán.
Admina Freedom Hostingu (poskytoval prostor pro stránky v anonymizační síti Tor, běžela na něm snad polovina .onion webů) sebrala policie. Současně byly hostované stránky hacknuty a byl na ně umístěn škodlivý JavaScript, který zřejmě přes díru ve Firefoxu leakoval skutečnou identitu návštěvníků někam dopryč. Nedávno byl také zveřejněn zajímavý článek popisující útoky na Tor.
Obyvatelka New Yorku byla vyšetřována policií poté, co na Internetu hledala tlakové hrnce. Společně s tím, že její manžel sháněl batohy a její syn zjišťoval informace o útoku v Bostonu, bylo toto chování detekováno jako „profil teroristy“ a rodinu přišla vyšetřovat skupina policistů z protiteroristické jednotky.
Můžete si stáhnout brožuru o tom, jak to vypadá s internetem a mobilními sítěmi v Barmě (Myanmaru). Nutno podotknout, že v Barmě momentálně probíhají pogromy.
Americký federální soudce William Pauley nevyhověl požadavku vlády, aby odložil slyšení v případu, kde ACLU napadá masivní sběr metadat, který firma Verizon provozovala ve prospěch NSA. Vláda chtěla získat více času na to, aby mohla z utajovaných materiálů vybrat, co lze před soudem zveřejnit (viz přípis).
Britský premiér Cameron plánuje ještě do konce tohoto roku spustit celostátní internetový filtr, který bude blokovat přístup k veškeré pornografii. Kdo bude chtít omezení zrušit, bude o to muset explicitně požádat.
Kryptolog Karsten Nohl oznámil, že se mu po tříletém úsilí podařilo odhalit díru v zabezpečení SIM karet (k průlomu stačí „správná“ SMS). Zhruba osmina SIM na světě je tak ohrožena například odposlechy, odesíláním Premium SMS nebo ovlivněním mobilního bankovnictví.
Tato věc zajímá „nejvyššího šéfa tajných služeb“ (DNI) Jamese Clappera. Záležitost vysvětluje Robert Litt, který ve své zprávě také ujišťuje, že tajné služby nevyužívají své schopnosti ke krádežím obchodních informací ani k represím proti občanům kteréhokoli státu.
Můžete svému počítači věřit?
Bohužel čím dál tím víc nabývám názoru, že bezpečný počítač prostě neexistuje. Vidím totiž, kolik je možností rootnout stroj můj i ostatních.
Používáte na spolupráci nějaký VCS? Máte ho na nějakém serveru, kde má účet víc lidí, nebo k němu má někdo fyzický přístup nebo nedej bože je to VPS? Co když někdo cinkne zdrojové kódy v repozitáři?
Co když vyownují GitHub nebo se nějaký jeho správce rozhodne páchat zlo? Každý projekt, který si stáhnete, může obsahovat malé překvapení.
Znáte správce mirroru, ze kterého stahujete svou linuxovou distribuci? Dbá na bezpečnost? Zamyká počítač, když odchází, a nekompromitoval nikdo jeho SSH klíče? Můžete zaručit, že to LiveCD, které jste si stáhli, on nebo kdokoli, kdo nějak získal přístup, neupravil, aby získal remote shell?
Kolik chyb bylo v prohlížeči, který používáte, ve Flashi a v dalších pluginech? Kolik chyb bylo ve vašem mailovém klientu a, zobrazuje-li automaticky přílohy, slyšeli jste o průseru s libpng?
Že to máte oddělené virtualizací? Co ta díra v KVM? Co interakce aplikací na jednom X serveru? Co díra přímo ve vašem procesoru?
Zamykáte terminál, když odcházíte? Nemůže vám nikdo do USB portu zasunout miniaturní phantom keyboard nebo keylogger? Nezadáváte heslo na veřejných místech, pod kamerami, pod dohledem dalekohledu útočníka? Nemůže vám nikdo počítač ukrást a vydumpovat paměť přes firewire, dokovací konektor, PCI-Express, Thunderbolt nebo cold-boot útokem?
…a když všechno selže, pořád jsou tu tisíciletími osvědčené metody extrakce informací s použitím násilí. Kryptotoken s možností zničení vydáním špatného hesla v současné době neexistuje.