Статьи из рубрики «security» RSS

Безопасность, о которой все так много говорят

Интернет-провайдер: как не надо делать. Часть вторая

Снова приветствую всех читателей. Как вы уже, вероятно, читали в моем длинном рассказе о халтуре одного из городских интернет-провайдеров, проблемой безопасности там заниматься никто не хочет. Сегодня я вам снова докажу это.

Итак. С момента заключения моего договора с «Оптима-Телеком», а именно 17 октября 2007 года, прошел почти год. Порядковый номер договора, присвоенный мне, имел значение 1720. Сегодня, 16 сентября, на домашний телефон позвонил человек из Оптимы, внятно не представившись, очень грубо объяснил, что у них имеются, цитирую, «неопровержимые доказательства пользования мною чужих аккаунтов», а по поводу технической стороны вопроса мне предложили пообщаться завтра в месте, которое мне озвучат по телефону, а в случае отказа меня ждет суд.

Глубоко задумавшись, я проверил, насколько Оптима справилась с задачей восстановления уровня безопасности клиентов. Для начала я совершил звонок товарищу, который сообщил мне о точно такой же проблеме в Днепропетровске, которая продолжается до сих пор. Теперь уже я, ничуть не удивившись, прогулялся в веб-статистику провайдера. Так вот. С момента моей публикации о дырище в безопасности, севастопольских аккаунтов Оптима заимела около полутысячи и сегодня, кажется, последний найденный мною договор под номером 2680 датировался от 1 сентября сего года. К сожалению, не смог проверить догадку о оставшейся проблеме для интернет-аккаунтов, поскольку мой кросс уже отцепили от дслама, а текущий отключен за неуплату и довольно давно, поскольку я находился в разъездах по стране и мне просто не до Оптимы было.

В связи с этим, принимаю все возможные юридические консультации ниже, в комментариях, а также на мыло sigmaone@ya.ru. И еще раз спасибо Владимиру за размещение статьи на его отличном блоге.

Автор: , опубликовано в: Безопасность, комментариев: 4
17
Сен
2008

Водка с феназепамом? Или всё-таки правда?

Наткнулся сегодня на очень интересную статью:

Российский хакер, известный как Крис Касперски, обнаружил в процессорах , которая позволяет совершить удаленный взлом системы при помощи скрипта на JavaScript или TCP/IP-пакета вне зависимости от операционной системы. Об этом пишет PC World со ссылкой на краткое описание презентации, подготовленной Касперски.

Хакер намерен в октябре продемонстрировать свою методику на конференции Hack In The Box в малайзийском Куала-Лумпуре. Касперски заявил, что намерен показать работающий код и сделать его общедоступным. Он добавил, что ошибки в микропроцессорах становятся все более серьезной угрозой, так как уже пишутся использующие их зловредные программы.

По словам хакера, некоторые ошибки процессоров позволяют просто обрушить систему, другие помогают злоумышленнику получить доступ на уровне ядра ОС, а использование третьих отключает защиту Vista.

Крис Касперски продемонстрирует свою методику взлома на компьютерах с XP, Vista, Server 2003, Server 2008, ОС на базе ядра и BSD. Возможно, также добавится Mac. На все эти системы будут установлены последние обновления.

Всё же интересно: правда ли это? Или доблестные щелкопёры всё приукрасили?

В оригинале статьи сказано:

In this presentation, I will share with the participants the finding of my CPU malware detection research which was funded by Endeavor Security. I will also present to the participants my improved POC code and will show participants how it’s possible to make an attack via JavaScript code or just TCP/IP packets storms against Intel based machine. Some of the bugs that will be shown are exploitable via common instruction sequences and by knowing the mechanics behind certain JIT Java-compilers, attackers can force the compiler to do what they want (for example: short nested loops lead to system crashes on many CPUs). I will also share with the participants my experience in data recovery and how CPU bugs have actually contributed in damaging our hard drives without our knowledge.

И я вот не могу отделаться от подозрения, что всё это розыгрыш: начать уж с того, что Java != JavaScript, и не факт, что любой движок для JavaScript будет компилировать JavaScript в родной код процессора. И я не уверен, что процессор может напрямую повредить жесткий диск (разве что он будет скармливать контроллеру соответствующие команды). Обработкой TCP/IP-пакетов процессор напрямую вообще не занимается (если только я что-то не пропустил).

Очень подозреваю, что выяснится десяток жутко специальных требований, необходимых для успешной реализации данной уязвимости.

Но всё-таки, вдруг это не самореклама и Крис прав?

Автор: , опубликовано в: Безопасность, комментариев: 21
16
Июл
2008

Доказана критичность уязвимости в Safari для Windows

Всё-таки как можно переставить всё с ног на голову… Прочитал сегодня статью на CNews.com; она небольшая, привожу полностью:

Исследователь безопасности разработал сайт, наглядно демонстрирующий риск, с которым сталкиваются пользователи при использовании браузера от Apple.

ИБ-команда уже предупредила, что «смешанная угроза» настолько серьезна, что пользователям Windows следует ограничить использование Safari до тех пор, пока не выйдет патч. В своем блоге исследователь Лю Ди Ю (Liu Die Yu) показал, что это предупреждение не было преувеличением.

При клике по указанной исследователем ссылке в Safari с настройками по умолчанию на рабочий стол пользователя Windows загружается файл-ловушка. В следующий раз, когда пользователь открывает Internet Explorer, файл автоматически запускает notepad.exe и открывает несуществующий файл. Разумеется, злоумышленники могут найти менее безобидное применение данной уязвимости, пишет The Register.

По словам Apple, не является критической. Эта демонстрация свидетельствует об обратном.

Далее »

Автор: , опубликовано в: Windows, Безопасность, комментариев: 5
15
Июн
2008

Скажи «Нет!» взломщику

Устав от того, что ко мне на компьютер ломятся всякие придурки юные кулхацкеры, я решил принять меры.

Товарищи кулхацкеры лезут в систему с трёх сторон:

  1. Путем подбора пароля на .
  2. Путем подбора пароля на FTP.
  3. Пытаясь использовать компьютер в качестве релея (это уже спамеры).

Есть и другие поползновения (например, попытки достучаться до MySQL, к которому снаружи добраться в принципе невозможно; или пытаясь навести «злобные пинги»), но три вышеописанных метода меня раздражают больше всего.

Стратегия защиты: Далее »

Автор: , опубликовано в: Безопасность, комментариев: 15
14
Июн
2008

Криптография, C++ и безопасное освобождение памяти

Разбираясь с деталями реализации распределителей памяти (allocator) в C++, я решил вспомнить своё криптографическое прошлое :-) Не в том плане, что я эксперт в криптографии, а в том, что приходилось читать соответствующую литературу (до сих порэтот гигабайт на винте валяется), разбираться с ней, анализировать , оценивать их с точки зрения безопасности и в том же духе. Но это не важно. Разбираясь с деталями реализации, я вспомнил интересную статью Питера Гутмана, «Secure Deletion of Data from Magnetic and Solid-State Memory». Еще в то время, когда я этим всем активно занимался и читал, мне в голову прочно врезалась фраза, смысл которой сводился к тому, что очень немногие криптографические библиотеки действительно заботятся о конфиденциальности чувствительной информации (например, ключи шифрования). Ведь информацию можно «вытащить» и из памяти выключенного компьютера; или с жесткого диска, даже если информация была переписана. Всех, кому интересна практическая реализация восстановления информации, отсылаю к статье Питера Гутмана (ссылка приведена выше).

Итак, сегодня выдалось очень подходящее настроение для копания в чужом C++ коде. Вот что из этого получилось. Далее »

Автор: , опубликовано в: C/C++, Безопасность, комментариев: 3
21
Май
2008

Список адресов, с которых осуществляются попытки вторжения в систему

Анализируя журнал безопасности системы, я добавляю в правила, блокирующие доступ с адресов, с которых замечены попытки вторжения. В большинстве случаев в черный список попадают товарищи, пытающиеся залезть в систему по ; иногда я добавляю злостных хакеров, пытающихся устроить DoS или проводящих SQL injection/сканирование на наличие уязвимостей (поиск таких вот товарищей приходится осуществлять вручную, ибо их методы очень различны, и автоматический анализатор, дающий хотя бы 85% гарантию обнаружения, я пока еще не написал).

В надежде, что этот список (оформленный в виде правил для iptables) окажется кому-нибудь полезным (он будет периодически обновляться), выкладываю его в общее пользование. Далее »

Автор: , опубликовано в: Linux, Администрирование, Безопасность, комментариев: 5
5
Май
2008

Forward Confirmed reverse DNS, или, Зомби не пройдут

, или Forward Confirmed Reverse , это когда IP-адрес имеет прямую (имя -> IP) и обратную (IP -> имя) DNS-записи, которые, к тому же, соответствуют друг другу.

Сначала выполняется обратный DNS-запрос для получения списка PTR-записей (обычно возвращается только одна запись, но это не всегда так). Затем для каждого доменного имени, указанного в PTR-записях, выполняется обычный (прямой) DNS-запрос с целью проверки, что существует запись A или AAAA, совпадающая с исходным IP-адресом. Если это так, то проверка считается пройденной.

Проверка FCrDNS может считаться слабой формой аутентификации, устанавливающей, что есть действительная связь между владельцем доменного имени и владельцем сети, получившим данный IP-адрес. Хотя такая аутентификация и слаба, она достаточно хороша, для того, чтобы отсеивать спамеров и иже с ними, использующих компьютеры-зобми для подделки доменов.

Перевод Forward Confirmed reverse DNS.

А теперь о практической реализации. Далее »

Автор: , опубликовано в: Linux, PHP, Безопасность, комментариев: 4
2
Май
2008

Использование DNSBL для борьбы со спамом в комментариях

Как-то на досуге я занялся анализом приходящего спама и обратил внимание, что практически 98% спама в комментариях приходят с IP-адресов, замеченных в рассылке спама по электронной почте. А спамеры обычно попадают в черные списки (blacklist).

— blacklist или DNS blocklist — списки хостов, хранимые с использованием системы архитектуры DNS. Обычно используются для борьбы со спамом. Почтовый сервер обращается к DNSBL, и проверят в нём наличие IP-адреса клиента, с которого он принимает сообщение. При положительном ответе считается, что происходит попытка приёма -сообщения, и оно блокируется (не принимается сервером, и, как правило, отправителю отсылается уведомление об этом).

Идея состоит в том, чтобы написать расширение для , проверяющее наличие IP-адреса комментатора в чёрном списке. Далее »

Автор: , опубликовано в: PHP, WordPress, Безопасность, комментариев: 6
2
Май
2008

Доступ к удалённому MySQL-серверу по SSH

Как известно, в целях безопасности сервер MySQL по умолчанию открыт для доступа только с локальной системы. Поэтому, когда на сервере не установлен phpMyAdmin, а консольной версией клиента пользоваться просто неудобно (ненаглядно), приходится открывать доступ для удаленного пользователя. Но такое решение не самое безопасное.

В таких случаях рекомендуется использовать методику, имеющую название (перенаправление портов). Далее »

Автор: , опубликовано в: Linux, MySQL, Администрирование, Безопасность, комментариев: 4
28
Апр
2008

Реализация криптографического протокола Диффи-Хеллмана обмена ключами с использованием GMP

Криптографический протокол Диффи–Хеллмана ( Key Exchange) — алгоритм, позволяющий двум сторонам получить общий секретный ключ, используя частично защищенный канал связи. Под частично защищенным понимается канал, данные в котором защищены от модификации, но не от прослушивания (как утверждает Wikipedia, такие условия имеют место довольно часто).

В данной статье я приведу реализацию криптографического протокола Диффи-Хеллмана на языке С с использованием библиотеки GMP. Далее »

Автор: , опубликовано в: C/C++, Безопасность, комментариев: 5
15
Апр
2008
«
»