информационная безопасность
без паники и всерьез
 подробно о проекте
Rambler's Top100Атака на InternetПортрет посетителяСетевые кракеры и правда о деле Левина
BugTraq.Ru
Русский BugTraq
 Модель надежности двухузлового... 
 Специальные марковские модели надежности... 
 Модель надежности отказоустойчивой... 
 Google по-тихому включила изоляцию... 
 25 лет FreeBSD 
 Microsoft покупает GitHub 
главная обзор RSN блог библиотека закон бред форум dnet о проекте
bugtraq.ru / обзор / архив / 2015
АРХИВ
главная
2018
2017
2016
2015
2014
2013
2012
2011
2010
2009
2008
2007
2006
2005
2004
2003
2002
2001
2000
1999
1998
1997






Подписка:
BuqTraq: Обзор
RSN
РВС
БСК




Microsoft взялась за Superfish; Потенциальные проблемы с двухфакторной аутентификацией в Яндекс.Деньгах; Андроидный троян, работающий после выключения смартфона; Крупная утечка ключей шифрования SIM-карт; Lenovo опубликовала инструкцию по избавлению от Superfish.

#364, 20.02.2015

Microsoft взялась за Superfish
dl // 20.02.15 20:20
Microsoft решила не полагаться на способность пользователей самостоятельно избавиться от Superfish и обновила Windows Defender, включив в него удаление этого творения Lenovo.
Источник: The Verge


Потенциальные проблемы с двухфакторной аутентификацией в Яндекс.Деньгах
dl // 20.02.15 19:22
Недавний не очень удачный подход Яндекса к двухфакторной аутентификации, похоже, заставил попристальней посмотреть и на другие их сервисы, в которых эта самая двухфакторность используется давно.

Разработчики еще одного решения для двухфакторной аутентификации TeddyID обратили внимание на то, что в Яндекс.Деньгах помимо традиционного получения кода транзакции через SMS используется и набирающая популярность схема TOTP (меняющийся каждые 30 секунд секретный код, который можно получить, например, с помощью Google Authenticator).

Проблема в том, что если в случае SMS вы, как правило, получаете не только код, но и информацию о транзакции (т.е. вы четко представляете, передачу какой суммы и куда подтверждаете), передать ее при использовании TOTP физически невозможно. И если на вашем компьютере завелся троян, способный подправить реквизиты вашего платежа, в SMS вы эту правку немедленно увидите, а c помощью Google Authenticator - уж что ушло, то ушло.

В качестве демонстрации легкости подобной подмены было даже создано расширение для Chrome, активирующееся при попытке пополнить счет мобильного через Яндекс.Деньги на сумму менее 20 рублей. Расширение на лету увеличит последнюю цифру номера пополняемого телефона на единицу.

Строго говоря, подобные проблемы характерны не только для Яндекс.Денег, ряд банков использует аналогичный механизм, исключающий передачу информации о транзакции при подтверждении. Но Яндекс.Деньги все-таки достаточно популярны, чтобы подобная уязвимость из теоретической превратилась в практически используемую.
Источник: TeddyID


Андроидный троян, работающий после выключения смартфона
dl // 20.02.15 18:22
AVG сообщает о свежеобнаруженном трояне, заражающем смартфоны с Android и перехватывающем процесс выключения устройства. Далее троян демонстрирует ничему не подозревающему владельцу черный экран, а сам распоряжается телефоном по своему усмотрению - делает снимки, отправляет сообщения и т.п.

Обнаружено по крайней мере 10 тысяч зараженных устройств, в основном из Китая, где троян спокойно распространяется через официальные локальные аппсторы.

Желающим гарантированно выключить свой телефон AVG рекомендует вынимать аккумулятор.
Источник: AVG


Крупная утечка ключей шифрования SIM-карт
dl // 20.02.15 17:49
The Intercept опубликовал очередную утечку от Сноудена, посвященную краже ключей шифрования SIM-карт у их крупного производителя Gemalto. Кража стала результатом совместной операции NSA и британской GCHQ, проникновение в компьютерную сеть Gemalto предположительно осуществлялось с помощью методов социальной инженерии. Результатом кражи стала "потенциальная возможность мониторинга существенной части мирового сотового трафика".

Согласно одному из слайдов GCHQ, организации также удалось проникнуть во внутренние сети ряда неназванных сотовых компаний, получить возможность манипуляции биллиноговыми серверами, а также проникнуть в серверы аутентификации.
Источник: The Intercept


Lenovo опубликовала инструкцию по избавлению от Superfish
dl // 20.02.15 17:26
После шума, вполне справедливо поднятого вокруг предустановки на компьютеры Lenovo рекламной малвари Superfish, компания повинилась, опубликовала список затронутых продуктов, заверила, что играла в эти игры только с сентября 2014, и опубликовала инструкцию по удалению как самой Superfish, так и корневого сертификата, используемого Superfish для перехвата https-соединений (последнее, пожалуй, даже важней).

Основная проблема с Superfish заключалась в том, что она встраивалась в систему в качестве прокси-сервера, управление которым могло быть относительно легко перехвачено.
Источник: Lenovo




обсудить  |  все отзывы (0)  
[10787]

анонимность клоуны конференции спам уязвимости .net acrobat activex adobe android apple beta bgp bitcoin blaster borland botnet chrome cisco crypto ctf ddos dmca dnet dns dos dropbox eclipse ecurrency eeye elcomsoft excel facebook firefox flash freebsd gnome google gpl hp ibm icq ie intel ios iphone java javascript l0pht leak linux livejournal mac mcafee meltdown microsoft mozilla mysql netware nginx novell ny open source opera oracle os/2 outlook password patch php powerpoint pwn2own quicktime rc5 redhat retro rip router rsa safari sco secunia server service pack shopping skype smb solaris sony spyware sql injection ssl stuff sun symantec torrents unix virus vista vmware vpn wikipedia windows word xp xss yahoo yandex youtube



Rambler's Top100
Рейтинг@Mail.ru



назад «     » вперед


  Copyright © 2001-2018 Dmitry Leonov   Page build time: 0 s   Design: Vadim Derkach