информационная безопасность
без паники и всерьез
 подробно о проекте
Rambler's Top100Страшный баг в WindowsПортрет посетителяЗа кого нас держат?
BugTraq.Ru
Русский BugTraq
 Анализ криптографических сетевых... 
 Модель надежности двухузлового... 
 Специальные марковские модели надежности... 
 И ещё раз об интернет-голосовании 
 Типовые уязвимости в драйверах... 
 Logitech готовится закрыть очередную... 
главная обзор RSN блог библиотека закон бред форум dnet о проекте
bugtraq.ru / обзор / архив / 2002
АРХИВ
главная
2019
2018
2017
2016
2015
2014
2013
2012
2011
2010
2009
2008
2007
2006
2005
2004
2003
2002
2001
2000
1999
1998
1997




Paragon Partition Manager 7.0

Подписка:
BuqTraq: Обзор
RSN
РВС
БСК




OGR: проблемы в обработке результатов; Когда оптимизация вредна; Семинар по ISO 17799; Прикрыли kavkaz.org? Подмена документа в новом американском стандарте ЭЦП ECDSA; Отключение шифрования московскими GSM-операторами; Онлайновое сканирование; Раскрытие информации в доменах первого уровня.

#123, 06.11.2002

OGR: проблемы в обработке результатов
dl // 06.11.02 16:55
Проект OGR, оставаясь несколько в тени старшего собрата RC5, жил более-менее спокойно, без особых скандалов. Однако ж совсем недавно выяснилось, что и его не минул баг, отловленный в RC5 давным давно - повторно отправленные блоки воспринимаются при обработке статистики как вполне полноценные, только что обсчитанные. Частично истоки этого бага лежат в принципах организации проекта, предусматривающих многократную проверку одних и тех же блоков, но какой-никакой контроль все же можно было предусмотреть.

Для демонстрации данного бага участниками HZTeam была создана отдельная команда, которая и "накачивалась" такими вот блоками. К сожалению, при подготовке к этой акции ребята забыли, что идентификатор участника содержится и в самом блоке, в итоге за прошедший день на счет HZTeam свалилось 9 миллионов лишних блоков. Чем закончится дело, я пока не представляю, в худшем случае речь может пойти и о дисквалификации всей команды (естественно, я очень и очень сгущаю краски). Что было бы весьма прискорбно, поскольку и без этих накруток мы взяли вполне достойный темп, продвинувшись за месяц на десяток позиций и уверенно входя в лидирующую тройку по результатам дня. Ну да посмотрим.

Напоследок хочу призвать всех участников не поддаваться искушению - помимо того, что такое поведение просто неспортивно, это может серьезно навредить команде.
Источник: Форум HZTeam


Когда оптимизация вредна
dl // 06.11.02 02:22
Естественным желанием разработчика является очистка после использования участков памяти, хранящих критичную информацию - пароли, счета, явки... Естественным способом такой очистки является вызов, например, функции memset, забивающей данный участок нулями. Проблема в том, что если очищаемый буфер является локальным и более не используется, многие современные C/C++ компиляторы в процессе оптимизации просто выкинут вызов, сведя на нет все благие намерения программиста.
Источник: MSDN / Code Secure


Семинар по ISO 17799
dl // 28.10.02 18:24
14 ноября в Москве пройдет семинар "Практическое применение международного стандарта безопасности информационных систем ISO 17799". Семинар проводит эксперт по информационной безопасности, автор книги "Атака на Internet", к.т.н. Илья Медведовский. На семинаре подробно рассматриваются вопросы внедрения стандарта ISO 17799 в реальную информационную систему компании и возникающие в связи с этим проблемы и возможные пути их решения.
Источник: CitForum


Прикрыли kavkaz.org?
dl // 27.10.02 03:01
Похоже, что последние события сделали то, чего не достигали ранее многочисленные просьбы и попытки взлома - сайт kavkaz.org встречает теперь стандартной страницей "Under construction" от Network Solutions.

Уточнение от 27.10.02 17:40. Вопросительный знак из заголовка можно убрать, сейчас запись о kavkaz.org просто удалена из DNS.
Источник: kavkaz.org


Подмена документа в новом американском стандарте ЭЦП ECDSA
dl // 25.10.02 17:44
В матаппарате новейшего американского стандарта ЭЦП известного как ECDSA (DSA для эллиптических кривых) [1 cтр. 25-30] существует серьёзная ошибка позволяющая выбрать такое значение секретного ключа, чтобы получить одинаковые подписи для разных документов. Это позволяет мошеннику отказаться от подписанных документов.

Описанная ошибка отличается от уже известных и сходных по смыслу DSKS (Duplicate Signature Key Selection) [1 стр. 30-32] , тем, что не требует участия злоумышленника в выборе параметров подписи (G,q и т.д.). Таким образом она доступна практически любому пользователю ЭЦП.

Подробное описание и обсуждение ошибки, контрольный пример исходники эксплойта расположены по адресу //bugtraq.ru/cgi-bin/forum.mcgi?type=sb&b=15&m=62248
Источник: //bugtraq.ru/cgi-bin/forum.mcgi?type=sb&b=15&


Отключение шифрования московскими GSM-операторами
dl // 25.10.02 13:09
Владельцы GSM-трубок, прошивки которых позволяют заметить сей факт, могли убедиться, что, по крайней мере со вчерашнего дня в МТС и Билайне отключено шифрование трафика. Впрочем, есть подозрение, что сие проделано не столько для облегчения прослушки сами знаете каких телефонов (поскольку, как я понимаю, это и так можно проделать на уровне оператора без особых проблем), сколько для снижения нагрузки на сети. Квалифицированное мнение по этому поводу крайне приветствуется.
Источник: Alex Povolotsky


Онлайновое сканирование
dl // 24.10.02 00:47
Свежеоткрывшийся сайт Inprotect.com предлагает своим посетителям воспользоваться услугами онлайнового сканера безопасности (используется популярный сканер Nessus) и сканера портов (nmap). Интересно, сколько продержится данная услуга, прежде чем сайт захлебнется под волной жалоб администраторов сканируемых серверов...
Источник: Inprotect.com


Раскрытие информации в доменах первого уровня
dl // 19.10.02 15:48
Вопрос о том, стоит ли полностью запрещать на своих DNS-серверах поддержку AXFR-запросов, позволяющих получить полную информацию о поддерживаемой зоне, остается спорным - с одной стороны, запрет повышает уровень privacy, с другой, они позволяют получить и приличное количество отладочной информации. Так что правильным решением, по-видимому, было бы предоставление доступа только ограниченному списку хостов.

Так вот, на днях выяснилось, что в ряде доменов первого уровня эти запросы разрешены (не то, чтобы это стало каким-то откровением, просто раньше на это особо не обращали внимания). Список уверенно возглавляет зона .ru, отдающая более 600 тысяч запросов, что превращает ее в рай для спаммеров - не надо возиться со сканированием хостов, просто одной командой получаем полный список существующих доменов.

Для проверки достаточно выполнить команду
host -l ru (ежели, конечно, она есть в вашей операционной системе :).
Источник: BUGTRAQ




обсудить  |  все отзывы (0)  
[8124]

анонимность клоуны конференции спам уязвимости .net acrobat activex adobe android apple beta bgp bitcoin blaster borland botnet chrome cisco crypto ctf ddos dmca dnet dns dos dropbox eclipse ecurrency eeye elcomsoft excel facebook firefox flash freebsd gnome google gpl hp https ibm icq ie intel ios iphone java javascript l0pht leak linux livejournal mac mcafee meltdown microsoft mozilla mysql netware nginx novell ny open source opera oracle os/2 outlook password patch php powerpoint pwn2own quicktime rc5 redhat retro rip router rsa safari sco secunia server service pack shopping skype smb solaris sony spyware sql injection ssl stuff sun symantec torrents unix virus vista vmware vpn wikipedia windows word xp xss yahoo yandex youtube



Rambler's Top100
Рейтинг@Mail.ru



назад «     » вперед


  Copyright © 2001-2019 Dmitry Leonov   Page build time: 0 s   Design: Vadim Derkach