https://bugtraq.ru/review/archive/2016/28-09-16.html

Mozilla планирует перестать доверять сертификатам WoSign и Startcom; Запароленные бэкапы iOS 10 взламываются в 2500 раз легче; Срочное обновление iOS; 25 лет первому сообщению о Linux; Шпионские средства NSA выставлены на аукцион.

#381, 28.09.2016

Mozilla планирует перестать доверять сертификатам WoSign и Startcom
dl // 28.09.16 03:31
Проведя расследование того, что творится с сертификатами, выданными китайским CA WoSign и предположительно купленным им StartCom (факт покупки скрывался и отрицался, но анализ показал, что с конца 2015 года StartCom использует либо инфраструктуру WoSign, либо ее клон), Mozilla опубликовала план действий, который предполагает столь жесткую меру как отзыв доверия сертификатам WoSign и StartCom в продуктах Mozilla с возможным восстановлением не ранее чем через год - и только в случае устранения замечаний.

Т.е. сертификаты, выданные WoSign/StartCom начиная с некой еще на названной даты, в этот счастливый момент превратятся в тыкву. У владельцев же старых сертификатов останется некоторое время на переезд к новому CA. Что является слабым утешением - из альтернативных бесплатных вариантов в голову приходит только Let's Encrypt, требующий установки своих скриптов для регулярного обновления сертификатов, живущих всего три месяца.
Источник: Slashdot

Запароленные бэкапы iOS 10 взламываются в 2500 раз легче
dl // 26.09.16 00:40
В блоге компании Элкомсофт опубликована информация об уязвимости в механизме защиты резервных копий iOS 10, связанной с добавлением альтернативного механизма верификации пароля. Пропуск ряда проверок в его реализации позволил многократно повысить скорость подбора пароля.

Включенная в очередную версию Elcomsoft Phone Breaker реализация пока не использует GPU, но разница все равно впечатляющая - если в случае iOS 9 перебор идет со скоростью 2400 паролей в секунду на i5 и 150 тысяч паролей в секунду на GTX 1080, в случае iOS 10 этот показатель вырос до 6 миллионов на i5. Т.е. в 40 раз быстрей, чем при использовании топового GPU и в 2500 раз быстрей, чем без него.
Источник: Elcomsoft

Срочное обновление iOS
dl // 26.08.16 19:17
Apple выпустила iOS 9.3.5, закрывающую три уязвимости, позволяющие получить доступ к положению устройств, почте, sms, списку контактов, включить микрофон и т.п. Сообщившие Apple об этих уязвимостях 10 дней назад Citizen Lab и Lookout обнаружили их во вредоносном софте, который использовался для слежки за правозащитником из ОАЕ Ахмедом Мансуром и предположительно был создан израильской компанией NSO Group.
Источник: ZDNet

25 лет первому сообщению о Linux
dl // 25.08.16 20:57
Собственно, к тексту пятилетней давности мне добавить нечего :)

25 августа 1991 года в 20:57:08 GMT некий студент из Хельсинки с адресом torvalds@kruuna.helsinki.fi отправил в конференцию comp.os.minix сообщение под заголовком "What would you like to see most in minix?", в котором рассказал, что пишет бесплатную операционную систему, свободную от кода minix (чисто хобби, не будет такой большой и профессиональной, как gnu), в которой уже вроде работают bash 1.08 и gcc 1.40, но нет переносимости, и вряд ли когда-нибудь она будет работать с чем-то помимо ATшных винчестеров.
Источник: comp.os.minix

Шпионские средства NSA выставлены на аукцион
dl // 18.08.16 12:14
Группа Shadow Brokers запустила онлайн-акцион программного обеспечения для кибератак, по ее словам, украденного у Equation Group, предположительно связанной с NSA. При достижении суммы в 1 миллион долларов (в биткойнах) код будет раскрыт для всех желающих.

В качестве подтверждения было опубликовано примерно 40% украденного кода. Предварительный анализ показал, что целью были в основном уязвимости в роутерах. Cisco уже подтвердила существование двух засвеченных уязвимостей в своих маршрутизаторах, одна из которых была закрыта в 2011, а другая относительно новая и еще не устраненная.
Источник: The Register