Bohužel čím dál tím víc nabývám názoru, že bezpečný počítač prostě neexistuje. Vidím totiž, kolik je možností rootnout stroj můj i ostatních.
Používáte na spolupráci nějaký VCS? Máte ho na nějakém serveru, kde má účet víc lidí, nebo k němu má někdo fyzický přístup nebo nedej bože je to VPS? Co když někdo cinkne zdrojové kódy v repozitáři?
Co když vyownují GitHub nebo se nějaký jeho správce rozhodne páchat zlo? Každý projekt, který si stáhnete, může obsahovat malé překvapení.
Znáte správce mirroru, ze kterého stahujete svou linuxovou distribuci? Dbá na bezpečnost? Zamyká počítač, když odchází, a nekompromitoval nikdo jeho SSH klíče? Můžete zaručit, že to LiveCD, které jste si stáhli, on nebo kdokoli, kdo nějak získal přístup, neupravil, aby získal remote shell?
Kolik chyb bylo v prohlížeči, který používáte, ve Flashi a v dalších pluginech? Kolik chyb bylo ve vašem mailovém klientu a, zobrazuje-li automaticky přílohy, slyšeli jste o průseru s libpng?
Zamykáte terminál, když odcházíte? Nemůže vám nikdo do USB portu zasunout miniaturní phantom keyboard nebo keylogger? Nezadáváte heslo na veřejných místech, pod kamerami, pod dohledem dalekohledu útočníka? Nemůže vám nikdo počítač ukrást a vydumpovat paměť přes firewire, dokovací konektor, PCI-Express, Thunderbolt nebo cold-boot útokem?
…a když všechno selže, pořád jsou tu tisíciletími osvědčené metody extrakce informací s použitím násilí. Kryptotoken s možností zničení vydáním špatného hesla v současné době neexistuje.
Zneužitelnost povinností zavedených DMCA ukazuje případ stránky, která kopíruje obsah z cizích webů a pak s využitím požadavků podle DMCA nechává odstraňovat původní články.
Cibi vytáhl z T-Mobile (část) dat, která o něm TMo shromažďuje na základě zákona o data retention. Zároveň několik dní těchto logů vizualizoval. O tom, jak postupovat, pokud chcete dosáhnout téhož, bude mít ve čtvrtek (7.2.2013) v brmlabu lightning talk.
Unikl tajný dokument Ministerstva spravedlnosti USA o podrobnostech programu „cíleného zabíjení“ (v jehož rámci jsou zabíjeni i američtí občané, aniž by byli z něčeho obviněni). Dokument například obsahuje mnohem širší definici „sebeobrany“ nebo „hrozícího útoku“, než jak bylo veřejně předkládáno.
Oskar píše o případu nelegálního výlepu reklam. I když se nepodařilo prokázat, že žalovaná firma samolepky opravdu vylepila, musí platit - díky reklamě (kterou si nevyžádala) jí totiž prý stoupl zisk, což je neoprávněné obohacení.
V Javě bylo nalezeno několik nepříjemných bezpečnostních děr, a proto je pochopitelně doporučeno aktualizovat. Co a jakým způsobem Oracle do aktualizací přibalil rozebírá ZDNet.
Řada běžně prodávaných kamerových systémů komunikující protokolem TCP/IP je náchylná na k nabourání hackerským útokem. Útočník pak může systém zcela ovládnout, tedy nejen sledovat či kopírovat záznam, ale také ho smazat nebo upravit. Některé kamery postrádají jakoukoli ochranu a pro přístup k nim se stačí připojit na port, na kterém naslouchají.
Ministerstvo práce a sociálních věcí dostane pokutu za sKartu. Úřad pro ochranu osobních údajů při kontrole zjistil vážné porušení zákona v souvislosti s předáním osobních údajů České spořitelně.
Podle reportu firmy Google se za poslední tři roky zdvojnásobil počet požadavků na údaje o uživatelích, které přišly ze států Evropské unie. V USA byl nárůst „jen“ 70 %. Celkově o 10 procentních bodů (ze 76 na 66 %) klesl počet žádostí, kterým firma vyhověla. Z Česka přišly první požadavky až v roce 2012, a to celkem 95 (týkaly se 128 uživatelů); firma jich však většinu zamítla (69, resp. 68 % v každém z pololetí).
Můžete svému počítači věřit?
Bohužel čím dál tím víc nabývám názoru, že bezpečný počítač prostě neexistuje. Vidím totiž, kolik je možností rootnout stroj můj i ostatních.
Používáte na spolupráci nějaký VCS? Máte ho na nějakém serveru, kde má účet víc lidí, nebo k němu má někdo fyzický přístup nebo nedej bože je to VPS? Co když někdo cinkne zdrojové kódy v repozitáři?
Co když vyownují GitHub nebo se nějaký jeho správce rozhodne páchat zlo? Každý projekt, který si stáhnete, může obsahovat malé překvapení.
Znáte správce mirroru, ze kterého stahujete svou linuxovou distribuci? Dbá na bezpečnost? Zamyká počítač, když odchází, a nekompromitoval nikdo jeho SSH klíče? Můžete zaručit, že to LiveCD, které jste si stáhli, on nebo kdokoli, kdo nějak získal přístup, neupravil, aby získal remote shell?
Kolik chyb bylo v prohlížeči, který používáte, ve Flashi a v dalších pluginech? Kolik chyb bylo ve vašem mailovém klientu a, zobrazuje-li automaticky přílohy, slyšeli jste o průseru s libpng?
Že to máte oddělené virtualizací? Co ta díra v KVM? Co interakce aplikací na jednom X serveru? Co díra přímo ve vašem procesoru?
Zamykáte terminál, když odcházíte? Nemůže vám nikdo do USB portu zasunout miniaturní phantom keyboard nebo keylogger? Nezadáváte heslo na veřejných místech, pod kamerami, pod dohledem dalekohledu útočníka? Nemůže vám nikdo počítač ukrást a vydumpovat paměť přes firewire, dokovací konektor, PCI-Express, Thunderbolt nebo cold-boot útokem?
…a když všechno selže, pořád jsou tu tisíciletími osvědčené metody extrakce informací s použitím násilí. Kryptotoken s možností zničení vydáním špatného hesla v současné době neexistuje.