Поиск по тегу: безопасности

Google сообщила об улучшении двухэтапной аутентификации для своих сервисов, в том числе почты Gmail. Теперь при авторизации в качестве второго шага можно использовать физический USB-ключ Security Key, передает SecurityLab.

В компании отмечают, что устройство срабатывает только после проверки того, что сайт действительно принадлежит Google, а не является подделкой.

Вместо обязательного введения кода достаточно подключить ключ безопасности к USB-порту компьютера. Таким образом, учетная запись пользователя будет защищена от несанкционированного доступа, похищения файлов cookie и фишинговых атак.

«Security Key и Chrome поддерживают открытый стандарт Universal 2nd Factor (U2F), разработанный FIDO Alliance, так что в настоящее время другие web-сайты с системой авторизации могут использовать FIDO U2F для работы в Chrome. Мы надеемся, что другие браузеры также реализуют поддержку FIDO U2F», — говорится в сообщении Google.

Само по себе использование Security Key бесплатное, однако пользователю необходимо будет купить совместимое USB-устройство непосредственно у поставщика U2F.

Global Look Press

Глава отдела кибербезопастности Белого дома Майкл Дэниэл предлагает отказаться от традиционных методов защиты данных, в частности паролей, и использовать альтернативные варианты.

Об этом Дэниэл сообщил 9 октября в ходе дискуссии, организованной Центром по вопросам национальной политики США и новостным порталом The Christian Science Monitor. Также координатор Белого дома обсудил проблемы, касающиеся, по его мнению, «ужасного» механизма безопасности, передает SecurityLab.

«Честно говоря, я бы уничтожил понятие пароля как первичного метода безопасности, потому что оно ужасно», — заявил Дэниэл.

Глава отдела кибербезопастности предложил заменить пароли альтернативными методами, например биометрическими, такими как сканер отпечатков пальцев или даже селфи, пишет National Journal. Дэниэл уверен, что таким образом доступ к устройствам или учетным записям будут получать их законные владельцы, а не злоумышленники.

Не успели администраторы вздохнуть с облегчением после устранения нашумевшей ошибки в протоколе OpenSSL, как специалисты компании Positive Technologies обнаружили брешь в безопасности одного из фундаментальных компонентов операционной системы Linux — командной оболочке Bash.

Новая уязвимость получила название ShellShock, если её своевременно не устранить, по негативным последствиям она будет сопоставима с Heartbleed. В зоне риска находятся все общедоступные серверы GNU/Linux без последних обновлений безопасности, а в особенности — корпоративные сети с устаревшими версиями программного обеспечения. Кроме того, взлому подвержены маршрутизаторы, встраиваемые устройства и любое другое оборудование, связанное с «интернетом вещей».

ShellShock позволяет злоумышленнику удаленно запускать произвольные команды операционной системы. По этой причине пользователям Android-устройств и владельцам портативных компьютеров, работающих под управлением ОС Linux или OS X, не рекомендуется подключаться к незнакомым точкам доступа. В первую очередь это касается мест массового скопления людей, где вероятность хакерских атак максимальна.

Среди уязвимых веб-приложений значатся популярная панель управления хостингом cPanel и проекты, использующие интерфейс CGI, shell-технологии, вызовы system/exec в PHP или os.system/os.popen в Python.

Представители Positive Technologies также отмечают, что встроенные механизмы защиты приложений в фирменном ПО Application Firewall смогут выявить и блокировать атаку ShellShock.

Ранее редакция  опубликовала самых известных приложений, стоящих на страже конфиденциальности пользователей. Разглашённые Эдвардом Сноуденом сенсационные сведения о масштабах слежки, осуществляемых АНБ, потрясли весь мир и заставили многих людей задуматься. Эра «после Сноудена» ознаменовалась тем, что обычные пользователя стали отличаться высокой осведомлённостью о том, как скрыть своё общение от назойливых глаз. Насколько данный настрой характерен для наших российских читателей, неясно. Но то, что в отрасли намечается бум анонимайзеров для браузеров и приложений для обеспечения конфиденциальности, в том числе от рекламы, — вполне очевидный факт. Мы в свою очередь составили список самых интересных приложений для параноидальных владельцев мобильных устройств. Подробнее об этом читайте в статье «Как бороться со слежкой: самые известные приложения».

Громкий взлом iPhone американских звезд мог быть связан не со взломом облачного хранилища Apple iCloud, а с брешью в системе безопасности сервиса Find My iPhone.

Некоторые программисты обратили внимание, что за день до публикации интимных фотографий звезд на сайте Github была опубликована уязвимость в сервисе Find my iPhone (предназначен для удаленной блокировки потерявшихся или украденных девайсов). Как выяснилось, данный сервис не имел брутфорс-защиты — т. е. злоумышленники, зная e-mail жертвы, могли методом перебора подобрать пароль к Apple ID, не вызвав подозрения у системы защиты.

Перебор возможных паролей, разумеется, был не ручной, а при помощи специальной программы ibrute. Предположительно, стал известен e-mail одной из знаменитостей, после получения доступа к ее iCloud хакеры узнали e-mail других звезд, а остальное уже было делом техники. Хорошей новостью является то, что Apple отреагировала на скандал и на данный момент уже закрыла возможность брутфорса Find my iPhone — об этом написал сам разработчик программы для перебора паролей.

Учитывая тот факт, что Apple отказалась комментировать инцидент, проверить достоверность этой теории не представляется возможным. Однако в ее пользу говорит временной интервал взлома (фото появились спустя несколько часов после выпуска инструмента для перебора паролей), а также массовость взлома (злоумышленники вошли во вкус и начали «громить» все аккаунты подряд).

Напомним, что ранее российские хакеры предупредили о том, что iPhone легко подвержены взлому.

Уже на следующей неделе будет представлен iPhone 6.

Как сообщает Bloomberg News со ссылкой на китайских чиновников, местным государственным учреждениям теперь запрещено покупать продукты компании Apple по соображениям безопасности.

Сообщается, что правительственным учреждениям запретили приобретать 10 наименований девайсов Apple, в том числе, планшеты iPad и ноутбуки MacBook. Запрет будет распространяться на все центральные и местные органы управления Китая.

После разоблачений Эдварда Сноудена, китайские власти стали очень настороженно относиться к продукции американских компаний. К примеру, в июле влиятельный в стране государственный телеканал (Центральное Телевидение Китая) назвал ряд функций iOS 7, в частности отслеживание местоположения пользователя (функция «frequent locations», «часто посещаемые места»), «вероятной угрозой для национальной безопасности». Китайские журналисты процитировали местных экспертов, которые утверждают, что те, кто получит собираемые iOS геолокационные данные, может в том числе узнать о государственных тайнах.

А еще чуть раньше китайцы с критикой обрушились на Microsoft Windows 8. Местные специалисты обнаружили в ней ряд скрытых функций, которые якобы собирают данные о китайских пользователях. Именно их Эдвард Сноуден ранее называл инструментами шпионажа АНБ США. Он же ранее утверждал, что Китай является одной из основных целей слежки для АНБ.

Напомним, недавно, также по соображениям безопасности, в китайских правительственных и государственных учреждениях отказались от антивирусных продуктов Symantec и «Лаборатории Касперского».

Специалист компании IOActive, разрабатывающей решения в сфере информационной безопасности,  Рубен Сантамарта сообщил о возможности взлома систем спутниковой связи пассажирских самолетов при помощи бортовых Wi-Fi сетей и развлекательных систем.

Подробности Сантамарта обещает рассказать в ходе конференции хакеров Black Hat 7 августа, пока же суть возможных кибератак изложена в общих чертах.

Сообщается, что уязвимости были обнаружены в результате анализа программного обеспечения, которое используется для контроля над коммуникационным оборудованием в авиалайнерах.

Сантамарта рассказал, что злоумышленники могут использовать бортовую Wi-Fi сеть или развлекательную систему авиалайнера, чтобы получить доступ к оборудованию. Результатом такого вмешательства может стать невозможность получения информации от спутника, модификация спутниковых данных, нарушение работы систем навигации и безопасности полета.

Специалисты скептически отнеслись к заявлению Рубена Сантамарты, да и сам он говорит о нахождении уязвимостей в лабораторных, а не в «полевых» условиях. Тем не менее если данные «дыры» в безопасности узлов лайнеров будут подтверждены, это приведет к пересмотру систем кибербезопасности самолетов авиакомпаниями.

Агентство Синьхуа сообщает, что российская компания «Лаборатория Касперского» была исключена из списка поставщиков программного обеспечения в сфере безопасности для китайского правительства.

Как сообщает китайское информационное агентство, данное решение не направлено против России и не является результатом неудовлетворенности работой российской компании. Просто новая политика в сфере информационной безопасности предполагает закупку соответствующего программного обеспечения лишь у местных компаний. На данный момент таких компаний пять — Qihoo 360, Venustech, CAJinchen, Beijing Jiangmin и Rising. Также известно, что помимо российской компании пострадала и американская Symantec (поставляла Norton Antivirus и другие решения).

Напомним, что после серии разоблачений Эдварда Сноудена китайские власти начали предпринимать действия, направленные на отказ от использования иностранного оборудования и программного обеспечения в правительственных учреждениях и финансовой сфере. К примеру, в мае 2014 года в правительственных структурах Китая было запрещено использование новых компьютеров с Microsoft Windows 8, а местным банкам пришлось отказаться от серверов, выпущенных корпорацией IBM.

Известно, что «Лаборатория Касперского» активно присутствует на рынке Китая с 2003 года. В 2009 году генеральный директор компании Евгений Касперский был награжден орденом Дружбы КНР за выдающийся вклад в развитие индустрии информационной безопасности в стране. Кроме того, в прошлом году китайский интернет-поисковик Baidu выпустил совместно с «Лабораторией Касперского» собственный антивирус.

Неожиданные данные опубликовали специалисты по безопасности Карстен Нол и Джейкоб Лелл. Они нашли очень серьезную неустранимую уязвимость в стандарте USB, которая позволяет злоумышленникам легко получить доступ к устройству пользователя.

Эксперты доказали наличие серьезной проблемы, создав вредоносное приложение BadUSB, которое распространяется через USB-устройства. С его помощью можно, например, подменять файлы на компьютере, перенаправлять интернет-трафик без ведома пользователя и в обход существующих на данный момент защитных средств.
Вирусы, которые находятся в памяти USB-устройств, уже давно не являются проблемой для антивирусных программ, но BadUSB — это перепрограммированная прошивка, управляющая устройством. Благодаря измененному ПО, любое USB-устройство может «показать» себя компьютеру тем, чем оно на самом деле не является. К примеру, USB-клавиатурой, которая может без проблем отдавать команды компьютеру и т. д. При этом USB-вирус заражает сам компьютер и далее может передаваться на другие USB-девайсы.

Нашедшие уязвимость исследователи утверждают, что простых средств для защиты от подобных зловредных программ не существует и универсальный патч тут создать не получится — проблема находится в корне самой технологии USB. Поэтому лучшим способом избежать проблемы является использование проверенных накопителей в проверенных компьютерах и ноутбуках. Подробнее о найденной ими проблеме Карстен Нол и Джейкоб Лелл планируют рассказать в ходе «мирной» хакерской конференции Black Hat, которая пройдет в Лас-Вегасе 2—7 августа.
 

Бывший сотрудник ЦРУ Эдвард Сноуден, находящийся сейчас в России, продолжает раскрывать секреты АНБ США (Агентство национальной безопасности). На сей раз он рассказал, как развлекаются сотрудники Агентства во время работы.

По его словам, контроль руководства за рядовыми сотрудниками АНБ США практически отсутствует. Молодые парни 18-22 лет во время перехвата информации об объектах слежки (которые, как мы знаем, зачастую являются обычными интернет-пользователями, а не преступниками) «натыкаются» на интимные фотографии и видеоролики. При этом они не просто просматривают их, но и сохраняют себе снимки наиболее понравившихся девушек из США, азиатских стран, России и т.д., показывают найденный материал своим коллегам и обсуждают фото и видео во время перекуров.

Сноуден рассказал, что сотрудники АНБ не передают данную информацию по сети, поэтому руководство и не знает об их «увлечениях». Более того, все настолько запущенно, что возможность доступа к интимной информации интернет-пользователей, по словам Сноудена, уже стало одним из неофициальных преимуществ работы в данном ведомстве.

В АНБ, разумеется, поспешили ответить на заявление Сноудена. Представитель американской спецслужбы заявил, что у ведомства «нулевая толерантность» к умышленному нарушению сотрудниками профессиональных стандартов или превышению полномочий, поэтому реакция Агентства будет такой же, как к любым другим серьезным обвинениям в нарушении дисциплины. Нужно отметить, что из заявления АНБ вовсе не следует того, что они опровергают факт нарушений. Однако, возможно, теперь контроль за сотрудниками спецслужб все же усилится.

Напомним, что после рассекречивания данных АНБ, не касающихся напрямую национальной безопасности страны, выяснилось, что спецслужбы в прошлом году собирали данные о 89 138 объектах. Слежка проводилась при помощи особой секретной программы PRISM, которая перехватывала трафик с самых популярных сайтов и программ, в том числе Skype, Google и Facebook.

Давление со стороны общественности и крупных интернет-компаний привело к тому, что президент США Барак Обама заставил рассекретить данные Агентства национальной безопасности (АНБ), не касающиеся напрямую собственно национальной безопасности страны, за прошлый год.

Выяснилось, что в прошлом году Агентство собирало данные о 89 138 объектах. Ими могли быть как частные лица, так и целые компании. Слежка проводилась при помощи особой секретной программы PRISM, которая перехватывала трафик с самых популярных сайтов и программ, в том числе Skype, Google и Facebook. Слежка, разумеется, велась не только за гражданами США. В отчете указано, что объектами наблюдения могли быть «иностранные объекты, которые обладали или передавали иностранные разведданные, которые США имеет право собирать».

Для того чтобы начать слежку за тем или иным субъектом, АНБ не нужно было получать какие-то особые разрешения. Достаточно лишь одного постановления суда по надзору за деятельностью иностранных разведок (так как сбор электронной информации проводился (и проводится) согласно 702 статье соответствующего закона о надзоре за деятельностью зарубежных спецслужб).

Напомним, что особенности деятельности АНБ США были раскрыты около года назад благодаря экс-сотруднику ЦРУ Эдварду Сноудену, передавшему детали сверхсекретной PRISM ведущим мировым средствам массовой информации.

Напомним, что благодаря Сноудену мир также узнал о том, что США прослушивали телефоны лидеров 35 стран (из-за этого немецкие политики теперь не пользуются iPhone). Он также рассказал, что США следит за интернет-трафиком при помощи сетевого оборудования, экспортируемого из страны.

Читайте о том, что в Англии легализована слежка за пользователями социальных сетей.