wizzard | Entries tagged with security

"Реакция красноглазой братии на хабре и опеннете, кстати, показательна: "кривой PoC из публичных источников не запускается на моей системе == уязвимость не опасна". Вот же, блядь, идиоты: нет что бы изучить уязвимый фрагмент кода, провести нормальный бинарный анализ на предмет тонкостей, reliability и mitigation factors эксплуатации данной баги в боевых условиях, итд. и только после этого делать какие-либо выводы подкрепленные реальными доводами.

Самое неприятное -- какие-то из людей с подобным мышлением наверняка ведь администрируют серверный парк каких-то сервисов, которыми пользуюсь втч. и я.

via

cr4sh_0x48k

будто доработать PoC до надежного эксплоита такая проблема. нет, для них, конечно, проблема, но это всего лишь показывает, что доверять таким людям безопасность своих систем - нельзя.

но, как обычно, чем человек глупее, тем он шумнее. такие дела (речь о CVE-2013-2094, если кто не понял)

Current Location: L2
Crossposts: http://wizzard0.livejournal.com/305690.html

Итак, сейф в соседнем номере процедуре не поддался.

Потому что сейф в моем номере был ранее вскрыт механически, и что-то там в механизме было повреждено.

Вскрыт он в свое время был потому, что кто-то из постояльцев сменил на нем мастер-код. Остальные сейфы открываются дефолтным. %)

Current Location: Парк-отель Галерея
Crossposts: http://wizzard0.livejournal.com/305385.html

Взломал сейф в номере. Даже без инструкций из интернета. Ололо.

Вообще говоря, мне давно говорили, что сейфы - это хуйня, но у меня как-то не доходили руки проверить... Блин, не думал, что это *настолько* просто.

После обеда придет коллега, попробую и над его сейфом тоже поиздеваться)))

А вообще отель неплохой.

Current Location: Парк-отель Галерея
Crossposts: http://wizzard0.livejournal.com/305023.html

Спрос на шифрованные сервисы явно растет - судя по цифрам, публикуемым http://www.ciphercloud.com/

К сожалению, вот тут есть небольшой разбор, который показывает что это, кхм, довольно-таки бесполезная штука.

http://crypto.stackexchange.com/questions/3645/how-is-ciphercloud-doing-homomorphic-encryption

Вообще, всегда, когда от публикации дырок в криптографии пытаются закрыться наездами на исследователей - это дает абсолютно точную и стопроцентную уверенность в том, что сервис внутри сделан крайне косячно.

Что самое смешное, конкретно *поиск* по шифрованным данным - вполне решаемая задача, обсуждавшаяся неоднократно.

А вот презентации и сэйлзы у них отличные. Эх, нам бы такие %)

Current Location: L2
Crossposts: http://wizzard0.livejournal.com/301711.html

а вот, предположим, у нас есть классное долгоживущее приложение.

схему базы данных (sql, nosql, неважно) время от времени приходится менять, данные конвертить, и прочее. предположим, мы эту проблему даже решили

предположим также, что у нас все круто пошифровано, и сервер не может ничего расшифровать, только клиенты.

и, эээ, ммм, ыыы, а как *в этом случае* апгрейдить базу? )

Current Location: L2
Crossposts: http://wizzard0.livejournal.com/276361.html

Казалось бы, сколько времени уже интересуюсь разнообразной криптографией и около того - но мысль, что "криптосистема, собранная из доказанно надежных элементов, вставленных в доказанно надежную схему, не является доказанно надежной до построения отдельного доказательства", до сих пор не укладывается в моей голове %)

Хотя, казалось бы, математика, все четко и предсказуемо, то-се, не какие-нибудь там философские выкладки или плохо специфицированные интерфейсы - ан нет..

Crossposts: http://wizzard0.livejournal.com/272408.html

Мда, товарищи из Dropbox продолжают не думать над дизайном ;)

1. Регистрируем себе Dropbox for Teams
2. Приглашаем жертв (ну кто не купится на 1 терабайт места?)
3. Удаляем их аккаунты документированным путем
4. Profit (?)

Короче, имейте в виду. И еще вот Dropbox's Mental Models are broken можно почитать.

P.S. Да, я продолжаю пользоваться дропбоксом. Потому что свой собственный сервис все еще не доделал ;)

Current Location: L2
Crossposts: http://wizzard0.livejournal.com/271010.html

Many devices are concerned :
- Samsung Galaxy S2
- Samsung Galxy Note 2
- MEIZU MX
- potentialy all devices who embed exynos processor (4210 and 4412) which use Samsung kernel sources.

http://www.xda-developers.com/android/no-odin-root-exploit-found-for-exynos-4412-and-4210/

keep your encryption keys away from these devices, вообщем.

Current Location: L0
Crossposts: http://wizzard0.livejournal.com/269949.html

Ну что, у всех ОС уже научилась подписывать бинарники, запрещать выполнение кода на стеке и в куче, рандомизировать адреса загрузки и т.д. и т.п.?

Внезапно, снова приходят бизнес-требования, конкуренты и т.д. и т.п. которым надо здесь и сейчас.

И поскольку теперь всем лень писать нэйтивный секьюрный код - дорого же! - мы просто ляпаем JS (или какой-нибудь другой рантайм) поверх суперсекьюрной песочницы, и радостно возвращаемся в исходную точку!

http://blog.kotowicz.net/2012/09/owning-system-through-chrome-extension.html

Короче, поскольку у нас везде есть тьюринг-полный интерпретатор, который *снова* не отличает код от данных - только теперь это не странички в памяти, а строки, байткод и логика в рантайме, то вуаля, arbitrary remote code execution. Часто кроссплатформенное.

И полное поимение системы, теперь уже на другом уровне. Да, у нас всё в песочнице. Только теперь из нее даже не обязательно вылазить. Хотя на каждом втором pwnium Pinkie Pie все равно из нее вылазит :)

We need to go deeper!

Current Location: L2
Current Music: L'ame Immortelle - Life Will Never Be The Same Again
Crossposts: http://wizzard0.livejournal.com/261389.html

А вот вы много встречали сервисов, в которых можно при регистрации указать свой PGP ключ, и они будут шифровать исходящую почту?

UPD: Для устранения непоняток: Когда контент создается другим пользователем сервиса - понятно, что и шифровать должен сам этот пользователь :)

Речь идет о уведомлениях, счетах, выписках и прочих случаях, когда незашифрованный контент создается самим сервисом.

Я пока видел (и использую) один такой сервис. А вы?

Crossposts: http://wizzard0.livejournal.com/258067.html

The newly discovered bug is special for several reasons. This
is our "anniversary" finding (Issue number 50). We discovered
it exclusively for JavaOne 2012 [1]. Finally, the bug allows
to violate a fundamental security constraint of a Java Virtual
Machine (type safety).

The following Java SE versions were verified to be vulnerable:
- Java SE 5 Update 22 (build 1.5.0_22-b03)
- Java SE 6 Update 35 (build 1.6.0_35-b10)
- Java SE 7 Update 7  (build 1.7.0_07-b10)

All tests were successfully conducted in the environment of a
fully patched Windows 7 32-bit system and with the following
web browser applications:
- Firefox 15.0.1
- Google Chrome 21.0.1180.89
- Internet Explorer 9.0.8112.16421 (update 9.0.10)
- Opera 12.02 (build 1578)
- Safari 5.1.7 (7534.57.2)

http://seclists.org/fulldisclosure/2012/Sep/170 it's official :)

Current Location: L2
Crossposts: http://wizzard0.livejournal.com/257421.html

<html>
<body>
<iframe src="tel:*2767*3855#" ></iframe>
</body>
</html>

discussion: http://www.pocket-lint.com/news/47698/samsung-galaxy-s-3-reset :D

Current Location: L2
Crossposts: http://wizzard0.livejournal.com/257034.html

http://www.emptyage.com/post/28679875595/yes-i-was-hacked-hard

провтык пароля к iCloud + remote wipe позволяет вполне необратимо потерять данные на всех iДевайсах сразу, просто отлично.

Crossposts: http://wizzard0.livejournal.com/249268.html

1. Microsoft, ранее зарегистрировавшая патент на перехват трафика в Skype, зароутила весь служебный скайпотрафик через свой датацентр. Для майкрософта - сплошные плюшки (в отличие от маленького стартапа, которым был Skype, им держать такую инфраструктуру - не проблема), для юзеров - не уверен.

2. в свете суда Google vs Oracle: Xamarin портировал Android с Dalvik/Java на Mono/C# (код и синтетические бенчмарки на гитхабе), получив нефиговый прирост производительности (а значит - и времени работы от батареи)

Такие дела.

Current Location: L2
Crossposts: http://wizzard0.livejournal.com/241040.html

37signals: "the 100 000 000th picture uploaded by our customers was a picture of the cat". Облачные сервисы такие облачные...

Crossposts: http://wizzard0.livejournal.com/230746.html

Вкратце, T-Mobile UK на предоплаченных симках режет TLS-шифрованные smtp, openvpn и т.д. соединения точно так же, как это делает китайский фаервол - вставкой фейковых RST пакетов.

Лечится, соответственно, зафильтровыванием RST на фаерволе.

Больше текста и ссылки на форумы недовольных пользователей тут -https://grepular.com/Punching_through_The_Great_Firewall_of_TMobile

Current Location: "Дивосвiт"
Crossposts: http://wizzard0.livejournal.com/227778.html

Казалось бы, чего общего у Zeus, Conficker, TDL4 и Google, Amazon, Facebook?

Давайте посмотрим на бизнес-процессы.

Шаг 1: написание софта, собирающего данные.

Шаг 2: раздача софта не участвующим в договорных отношениях с авторами софта юзерам (эксплоиты, партнерки, тулбары vs партнерки, тулбары, Like-кнопки на сайтах, Kingle Fire, etc.)

Шаг 3: сбор данных (кредитных карт, сертификатов, логинов-паролей vs история посещений, покупок, поисков)

Шаг 4: обработка данных

Шаг 5: обирание пользователя (прямой увод денег, отбор ресурсов компьютера vs импульсивные покупки, отбор внимания, времени, ресурсов компьютера и т.д.)

Шаг 6: ликвидация собранных данных (отмыв vs обмен на деньги рекламодателей и пр.)

Между этими двумя крайностями (явно нелегальной и санкционированной юзером легальной) есть много промежуточных вариантов, вроде печально известного CarrierIQ, например.

Discuss!

Crossposts: http://wizzard0.livejournal.com/226866.html

мой маленький карманный хостинг внезапно ддосят. очень вовремя, блин…

впрочем ддосят жиденько, фильтрование реквестов на уровне IIS вполне себе помогает :)

UPD: ага, я теперь знаю примерно какого клиента, кто и почему. ржака.

Crossposts: http://wizzard0.livejournal.com/226051.html

MS11-083 was discovered by Chuck Norris. “Chuck Norris can exploit sockets that aren’t even listening”

Crossposts: http://wizzard0.livejournal.com/223103.html

теперь вот Valve (Steam Forums). Рекомендуют поменять пароль от форумов. Заодно можно поменять пароль на Steam-аккаунте. Отдельные параноики могут перевыпустить и кредитку,с которой покупались игры (правда лично я в последнее время Steam оплачивал исключительно через Webmoney)

http://arstechnica.com/gaming/news/2011/11/valve-confirms-steam-hack-credit-cards-personal-info-may-be-stolen.ars