20313
Чаще про c̶y̶b̶e̶r̶s̶e̶x̶ cybersec Нет, «опасносте» не опечатка @alexmaknet Размещение рекламы остановлено в связи с войной России против Украины
Очередной привет от Apple своим пользователям в плане безопасности. Если зайти в системные настройки macOS, раздел App Store, то на 10.13.2 разблокировать доступ к настройкам можно любым паролем. Я у себя на бете 10.13.3 воспроизвести не смог, так что, похоже, что в бете это уже исправили. В статье пишут, что на 10.12.6 тоже не воспроизводится, так что проблема характерна только для High Sierra. Знаете, как шутят, что жизнь как зебра, где белая полоса, черная полоса, белая полоса, черная полоса... Так вот, что-то в последнее время у Apple с темой безопасности мало того, что какая-то черная зебра попалась, так, чувствую, мы еще и к жопе подбираемся.
https://www.macrumors.com/2018/01/10/macos-high-sierra-app-store-password-bug/
Я где-то между Security technicians и Programmers/Engineers, но тренд вниз
Читать полностью…
Microsoft поделилась информацией о том, как исправления для уязвимости Spectre повлияют на производительность компьютеров с Windows:
– Windows 10 running on Skylake, Kaby Lake or newer CPU show benchmarks show “single-digit slowdowns”, but most users shouldn’t expect to see noticeable slowdowns
– Windows 10 running on Haswell or older CPUs “show more significant slowdowns” and “some users will notice a decrease in system performance”
– Windows 7 or Windows 8 running on Haswell or older CPUs means “most users will notice a decrease in system performance
Касательно вышедших сегодня апдейтов для iOS/macOS/Safari языковые эксперты настаивают на том, чтобы я уточнил, что речь не идет о полном фиксе Spectre, а о недопущении (смягчении) отрицательных последствий. Это важно, %username%! Возможно, что полного фикса для Spectre вообще не будет. А может, и будет. Но в любом случае, после установки вышедшего апдейта должно быть лучше (в смысле безопасней)
Читать полностью…
Еще вышел дополнительный апдейт для macOS 10.13.2, который тоже исправляет проблему Spectre на Маке, и может содержать дополнительные улучшения для исправлений против Meltdown
https://support.apple.com/en-us/HT208397
Но есть и хорошие новости! анонсирован WPA3 и его фичи!
Four new capabilities for personal and enterprise Wi-Fi networks will emerge in 2018 as part of Wi-Fi CERTIFIED WPA3™. Two of the features will deliver robust protections even when users choose passwords that fall short of typical complexity recommendations, and will simplify the process of configuring security for devices that have limited or no display interface. Another feature will strengthen user privacy in open networks through individualized data encryption. Finally, a 192-bit security suite, aligned with the Commercial National Security Algorithm (CNSA) Suite from the Committee on National Security Systems, will further protect Wi-Fi networks with higher security requirements such as government, defense, and industrial.
https://www.wi-fi.org/news-events/newsroom/wi-fi-alliance-introduces-security-enhancements
Кстати, еще про Meltdown — сразу несколько важных моментов для пользователей Windows:
1. Апдейт для Windows 10 может не устанавливаться на некоторых компьютерах с чипсетами AMD. А если устанавливается, то компьютер после этого не загружается (успех!) — за ссылку спасибо читателю Евгению
https://www.windowslatest.com/2018/01/05/windows-10-kb4056892-16299-192-not-installing-error-0x800f0845/
Вот официальная информация от Microsoft по этому поводу
https://answers.microsoft.com/en-us/windows/forum/windows_7-update/stop-0x000000c4-after-installing-kb4056894-2018-01/f09a8be3-5313-40bb-9cef-727fcdd4cd56?auth=1&rtAction=1515190079156
2. а еще апдейт оказывается несовместим с некоторыми антивирусными продуктами, которые ломятся куда-то в область памяти ядра и вызывают BSOD.
разработчик антивирусного ПО должен добавить следующую запись в реестр
Key="HKEY_LOCAL_MACHINE" Subkey="SOFTWARE\Microsoft\Windows\CurrentVersion\QualityCompat" Value="cadca5fe-87d3-4b96-b7fb-a231484277cc" Type="REG_DWORD”
Data="0x00000000”
Без нее, если у вас установлен "несовместимый" антивирус, апдейт, исправляющий Meltdown, не поставится. более того, и ВСЕ ПОСЛЕДУЮЩИЕ обновления безопасности тоже не будут ставиться. Сюрприз!
https://support.microsoft.com/en-us/help/4072699/january-3-2018-windows-security-updates-and-antivirus-software
(я не проверял, но по слухам, если у вас на машине отключен Windows Defender, то апдейт тоже не будет автоматически ставиться. wtf?)
И такая дребедень - каждый день (после апдейта для meltdown)
Читать полностью…
https://twitter.com/_MG_/status/949684949614907395
На видео - базовая демонстрация возможностей в виде шутки для запугивания коллег, например. Но вообще - возможность доставки payload для воровства информации, например.
Какое-то время уже собирался написать, но все никак руки не доходили из-за историй с процессорами. Если у вас диск Western Digital с WDMyCloud, то у меня для вас очень плохие новости. Там обнаружены множественные уязвимости с возможностью удаленного исполнения кода и бэкдор с админскими входом. http://gulftech.org/advisories/WDMyCloud%20Multiple%20Vulnerabilities/125
Читать полностью…
Облачным сервисам, конечно, не позавидуешь после апдейтов для исправления meltdown
Читать полностью…
В компанию Intel, AMD и ARM подтянулись и IBM со своими процессорами IBM POWER. Компания пообещала обновление прошивок и операционных систем для своих платформ, которые должны исправить уязвимость.
https://www.ibm.com/blogs/psirt/potential-impact-processors-power-family/
Брейкинг ньюс! Подвезли уязвимость для Xerox Alto (компьютера, которому 45 лет!). Уязвимость позволяет взламывать диски, защищенные паролем, и получать доступ к данным на диске. Есть подозрение, что вендор не станет выпускать апдейт для устройств с защитой от этой уязвимости 🙂
http://www.righto.com/2018/01/xerox-alto-zero-day-cracking-disk.html
Похоже, что Meltdown исправлен в macOS X 10.12 и 10.11
https://support.apple.com/en-gb/HT208331
Kernel
Available for: macOS High Sierra 10.13.1, macOS Sierra 10.12.6, OS X El Capitan 10.11.6
Impact: An application may be able to read kernel memory
Description: Systems with microprocessors utilizing speculative execution and indirect branch prediction may allow unauthorized disclosure of information to an attacker with local user access via a side-channel analysis of the data cache.
CVE-2017-5754: Jann Horn of Google Project Zero, Werner Haas and Thomas Prescher of Cyberus Technology GmbH, and Daniel Gruss, Moritz Lipp, Stefan Mangard and Michael Schwarz from Graz University of Technology
Entry added January 4, 2018
Хорошие новости! US-CERT изменила рекомендацию по решению проблемы с Meltdown/Spectre. Раньше у них был совет “заменить процессор” (см картинку выше вчера), теперь — “установить апдейты”. Таки рассасывается истерика, и, глядишь, обойдется.
https://www.kb.cert.org/vuls/id/584653
Эпичная история про чувака, который сделал пакет, включенный в зависмости многих других пакетов для веба, и распространялся через nmp. На первый взгляд пакет обладал полезной функциональностью, но также умел воровать пользовательские данные из форм на страницах — в частности, юзернеймы, пароли, данные банковских карточек. Демонстрирует, насколько легко взять и распространить свой код на тысячи вебсайтов.
https://hackernoon.com/im-harvesting-credit-card-numbers-and-passwords-from-your-site-here-s-how-9a8cb347c5b5
и об утечках. наверно, самая маленькая утечка, о которой когда либо сообщалось в этом канале. Есть такой сервис — Wag, это для владельцев собак, которые через сервис находят желающих прогулять их собачку. Так вот, этот сервис случайно опубликовал данные на 100 пользователей, включая коды домофонов. Причем там какая-то хитрая история о том, что вроде как подобные данные публиковались каждый день, и поэтому утечка может быть гораздо больше. Компания утверждает, что, по их мнению, этими данными никто не успел воспользоваться. "по крайней мере, никого пока не ограбили", говорит компания. ссылка на WSJ, но там paywall
https://www.wsj.com/articles/dog-walking-app-exposed-home-addresses-and-lockbox-codes-1515524881
Поскольку новостей про Meltdown и Spectre по-прежнему много, то я буду собирать их и публиковать отдельным постом, чтобы не частить. А то, подозреваю, количество сообщений в канале утомило не только меня, но и вас. Так вот:
1. Что нужно знать пользователям Android и Chrome о Meltdown/Spectre
https://www.androidcentral.com/meltdown-spectre
если вкратце: да, вас это, скорей всего, затрагивает. да, надо ставить апдейты. нужно больше осторожности.
2. Что Meltdown/Spectre значат для WebKit
https://webkit.org/blog/8048/what-spectre-and-meltdown-mean-for-webkit/
Это относится к iOS, macOS и Safari. Соответствующие апдейты, минимизирующие риски, уже выпущены. Потеря производительности незначительна.
3. CEO Intel пообещал, что апдейты для 90+% затронутых процессоров выйдут в течение следующей (то есть этой) недели
https://techcrunch.com/2018/01/08/intel-ces/
4. Microsoft временно приостановила раздачу апдейтов, защищающих от Meltdown/Spectre в связи с тем, что многие пользователи жалуются на проблемы после апдейтов. В частности, пользователи жалуются на такую мелочь, как то, что компьютеры перестают загружаться. Подумаешь!
https://www.theverge.com/2018/1/9/16867068/microsoft-meltdown-spectre-security-updates-amd-pcs-issues
Берегите там себя!
О! Для пользователей чуть более старых версий macOS — El Capitan 10.11.6 и Sierra 10.12.6 — вышел апдейт Safari 11.0.2, который защищает пользователей от Spectre
https://support.apple.com/en-us/HT208403
И еще хорошие новости для пользователей iOS — вышел апдейт iOS 11.2.2, исправляющий проблему уязвимости Spectre. Там, в результате уязвимости, напомню, вредоносный JavaScript мог воровать данные из памяти других приложений. Вы знаете, что делать!
Available for: iPhone 5s and later, iPad Air and later, and iPod touch 6th generation
Description: iOS 11.2.2 includes security improvements to Safari and WebKit to mitigate the effects of Spectre (CVE-2017-5753 and CVE-2017-5715).
https://support.apple.com/en-us/HT208401
И снова здравствуйте! У большинства из вас продолжаются праздники, но уже подбирается паника по поводу того, что завтра начнутся трудо выебудни, так что немного полезной информации вам в ленту для постепенного погружения в рабочий режим (хотя тема с Meltdown/Spectre не давала вам расслабиться всю неделю). Например, сразу две интересные статьи о том, как сразу несколько команд одновременно пришли к обнаружению таких серьезных уязвимостей в процессорах:
https://cyber.wtf/2018/01/05/behind-the-scene-of-a-bug-collision/
и
https://www.wired.com/story/meltdown-spectre-bug-collision-intel-chip-flaw-discovery/
если вкратце, то "звезды сошлись", а точнее — наконец-то сошлось многолетнее знание о безопасности процессоров различных экспертов.
Конечно, нужен физический доступ к разлоченному компьютеру, но все равно стремно
Читать полностью…
Больше уязвимостей в процессорах, и разных! Обнаружена уязвимость в fTMP - прошивке чипа AMD PSP, специальном процессоре, встроенном в ядро процессоров AMD. Паниковать не стоит, поскольку там какая-то сложная эксплуатация этой уязвимости с локальным доступом, и AMD начала выкатывать апдейты для своих процессоров с фиксом уже в середине декабря, но вообще тренд какой-то нехороший. Процессоров вокруг нас все больше, они все сложнее, и это становится вопросом времени, когда нас реально накроет какая-то серьезная жопа с этими процессорами. Ну, или не накроет. Вероятность 50/50 ;)
http://seclists.org/fulldisclosure/2018/Jan/12
Инфа отсюда, если что https://www.epicgames.com/fortnite/forums/news/announcements/132642-epic-services-stability-update
Читать полностью…
У Apple какой-то бардак и неразбериха. Теперь упоминания про Sierra и El Capitan с фиксами Meltdown убрали из документа https://support.apple.com/en-gb/HT208331
Читать полностью…
Полезный скрипт для проверки машин с Linux на предмет уязвимости к атаке Meltdown https://github.com/raphaelsc/Am-I-affected-by-Meltdown
Читать полностью…
Cisco тоже доложилась о статусе своих продуктов в отношении Meltdown/Spectre, пообещала выпустить апдейты продуктов против этих уязвимостей и порекомендовала обновляться почаще https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180104-cpusidechannel
Читать полностью…
Хорошая шутка про Meltdown:
Explaining #Meltdown to non-technical spouse.
“You know how we finish each other’s...”
“Sandwiches?”
“No, sentences. But you guessed ‘sandwiches’ and it was in your mind for an instant. And it was a password. And someone stole it while it was there, fleeting.”
“Oh, that IS bad.”
Кстати, интересный момент про производительность у Apple. В случае с фиксами про Meltdown — "no measurable reduction in the performance of macOS and iOS", то есть сколько-нибудь заметной потери производительности не заметно. В случае с фиксом для Spectre потеря производительности составляет "an impact of less than 2.5% on the JetStream benchmark", то есть не более 2,5%.
Читать полностью…