Утечка корневых сертификатов TurkTrust привела к атаке на Google

Microsoft, Mozilla и Google одновременно объявили о прекращении доверия двум корневым сертификатам удостоверяющего центра TurkTrust и отзыве данных сертификатов из базы, поставляемой в составе их веб-браузеров. Причиной удаления сертификатов, являются вскрывшиеся факты использования выписанных от лица сервиса TurkTrust SSL-сертификатов для совершения MITM-атак (man-in-the-middle), направленных на транзитный перехват и расшифровку SSL-трафика на промежуточном узле. 24 декабря компанией Google был...

Взломать сайт на ASP.NET? Сложно, но можно. Новый вебинар Positive Technologies

Очередной вебинар Positive Technologies посвящен специфике анализа защищенности приложений ASP.NET/MVC. Очередной вебинар Positive Technologies посвящен специфике анализа защищенности приложений ASP.NET/MVC, обусловленной как операционной системой Windows, так и платформой .NET Framework. Анализ защищенности веб-приложений ASP.NET/MVC практически всегда является вызовом для ИБ-специалистов, которые обычно вынуждены собирать сценарий атаки из небольшого числа допущенных разработчиками незначительных...

Сервис Amazon устранил брешь в собственной безопасности

В результате скандального взлома интернет-магазин изменил политику безопасности для своих пользователей. Политика безопасности интернет-магазина Amazon крайне строга в положениях о том, как пользователь может осуществить регистрацию на их web-сайте, прежде чем приступить к совершению покупок. Однако хакерской группировке, называющей себя Clan VV3, удалось найти слабое место в процессе изменения адреса электронной почты, привязанного к учетной записи. Там, в свою очередь, хранятся такие личные...

Исследователи представили новый способ обнаружения вирусов

Программа выявляет вредоносные образцы приложений в Интернет-магазинах до момента попадания вируса в мобильное устройство жертвы. По данным Help Net Security, ученые из исследовательского центра мобильной безопасности NQ Mobile в сотрудничестве с исследователями государственного университета Северной Каролины представили новый способ обнаружения образцов известных вредоносных программ, а также их сигнатур. Как отмечают разработчики, на сегодняшний день вредоносное ПО чаще всего скрывается в...

Эксплоит к уязвимости в Microsoft XML Core Services появился в отрытом доступе

Всем пользователям рекомендуется установить временное решение с сайта производителя. Как мы уже ранее сообщали, компания Microsoft выпустила бюллетень безопасности, в котором сообщается об активной эксплуатации уязвимости CVE-2012-1889 в XML Core Services. Эта уязвимость позволяет удаленному пользователю с помощью специально сформированной web-страницы, открытой в Internet Explorer, а также файлов Office 2003 и 2007, выполнить произвольный код на целевой системе. Производитель еще не выпустил обновление...

Автор md5crypt просит им больше не пользоваться

Автор md5crypt Пол-Хеннинг Камп (Poul-Henning Kamp) опубликовал на персональном сайте призыв ко всем разработчикам прекратить использовать этот алгоритм для шифрования (скремблирования) паролей. Камп говорит, что для своего времени md5crypt был достаточно надёжной защитой для паролей, но с момента его выхода в 1995 году прошло очень много времени. Последние тесты показывают, что на коммерчески доступном GPU можно перебирать варианты со скоростью 1 миллион в секунду, то есть MD5 сейчас уязвим...

Zxcvbn: реалистичная оценка надёжности пароля

Многие веб-сайты сейчас при регистрации показывают «индикатор сложности пароля». Это модная фишка последнего времени, и к тому же действительно полезная. Она заставляет задуматься пользователя о надёжности своего пароля и не даёт вводить слабые комбинации. Вопрос в том, каким образом сайты определяют сложность пароля? Каждый использует свой алгоритм, и зачастую он неидеален. Например, программа может не учитывать длину пароля, и если вы используете парольную фразу из 40 символов, то она...

Количество дыр в защите ПО в этом году уменьшилось

Количество публично раскрытых уязвимостей в 2011 сократилось, равно как и доля ошибок, которые эксплуатировались. Сказывается безопасная разработка? Атакующие в этом году достигли серьезных успехов, но общий вектор атаки - эксплуатация уязвимостей в ПО - похоже идет на спад. Согласно предварительным данным компаний, собирающих информацию об уязвимостях, количество публично раскрытых уязвимостей в этом году сократилось по сравнению с предыдущим, и намного меньше ошибок были использованы для проведения...

Symantec: Хакеры совершенствуют собственные стратегии кибератак

Согласно данным отчета компании Symantec об информационной безопасности в сентябре текущего года, хакеры начали использовать усовершенствованные методы атак. Мошенники отходят от старых проверенных методов и переходят к использованию новых технологий. Помимо этого, хакеры распространяют более сложные полиморфные образцы вредоносных программ. Специалисты компании Symantec сообщают о том, что в 72% случаев атак с помощью email-сообщений , содержащих вирусы, кибермошенники использовали полиморфное...

Google подготовил Chrome к отражению атаки BEAST

Google приготовил обновление для браузера Chrome, которое защищает пользователей от атаки, декодирующей данные, передающиеся между браузером и веб-сайтами, защищенными SSL-протоколом.Обновление, которое уже является частью последней версии Chrome, было разработано для предотвращения атак BEAST, осуществляемых с помощью пилотного кода, который, по словам его создателей, эксплуатирует серьезную уязвимость SSL-протокола, используемого сайтами для шифрования конфиденциальных данных. Исследователи Хулиано...

Anonymous выпустили новое приложение для осуществления DDOS-атак

Хакеры из группы Anonymous запустили новый инструмент, с помощью которого будут осуществляться DDoS-атаки. Предположительно, новая разработка от Anonymous заменит нынешнее приложение Low Orbit Ion Cannon, которое используется для проведения массовых DDoS-атак. Согласно заявлению Anonymous, новая разработка, в отличие от Low Orbit Ion Cannon, будет использовать ресурсы самого сервера против него же. Напомним, что при использовании Low Orbit Ion Cannon, для того чтобы вывести сервер или сайт из...

Android: наиболее атакуемая мобильная операционная система

Как сообщает McAfee, количество вредоносного ПО, нацеленного на Android, увеличилось более чем на 70% за истекший квартал, что позволило Android стать самой атакуемой мобильной ОС "В этом году установлен "рекорд" по количеству вредоносного ПО, направленного на мобильные устройства В заявлении сделанном Винсентом Уифером ( старший вице-президент McAfee Labs) сообщается: "В этом году мы стали свидетелями рекордного количества вредоносных программ, особенно на мобильных устройствах, где всплеск находится...

Составлен рейтинг самых опасных ошибок при создании программ

Институт SANS (SysAdmin, Audit, Network, Security), совместно с организацией MITRE и ведущими экспертами по компьютерной безопасности, подготовил новую редакцию рейтинга 25 самых опасных ошибок, приводящих к возникновению серьезных уязвимостей. Рейтинг построен на основе анализа уязвимостей, обнаруженных в течение 2010 года. Ошибки были отобраны с учетом их распространенности, трудоемкости обнаружения и простоты эксплуатации уязвимости. В опубликованном документе подробно разбирается каждый из 25...

Правительство Великобритании планирует заблокировать пиратские web-ресурсы

На совместном заседании министра связи Великобритании Эда Вайси (Ed Vaisey), интернет провайдеров и владельцев авторских прав было принято решение заблокировать пиратские web-ресурсы. Блокировка рассматривается, как способ борьбы с незаконно распространяемыми материалами, защищенными авторским правом. Представители кампании The Open Right Group (ORG) возмущены тем, что их просьба присутствовать на заседании была отклонена. Они призывают к публичным дебатам по этому вопросу. Представители...

Sony объявила хакерам войну

Несмотря на значительный ущерб от действий группировки Anonymous, корпорация Sony не сдаётся и продолжает воевать с хакерами, моддерами, модификаторами её продуктов и похитителями интеллектуальной собственности. Сейчас Sony хочет наказать немецкого разработчика Александра Егоренкова (graf_chokolo), который, как и GeoHot, в начале 2011 года распространял прошивку для приставки PS3. С помощью модификации можно было установить туда Linux. Как известно, Sony с некоторых пор запретила это делать...

Apple выпустила обновление безопасности

Пользователи Mac OS X могут теперь оградить себя от вредоносного приложения Mac Defender. Apple выпустила обновление безопасности для Mac OS X 10.6.7, которое обнаруживает и удаляет вредоносное ПО, попадавшее к пользователям, по их мнению, через сервис Google Images. Для обнаружения всех файлов, связанных с пребыванием Mac Defender и его вариантов (включая Mac Guard) на компьютере, и перемещения их в карантин Apple предлагает установить обновление безопасности 2011-003. После загрузки нового...

p-CAPTCHA - новая система защиты информации в интернете

Совместная группа разработчиков из Физического института имени Макса Планка в Германии и компании Axioma Research предложили новый метод создания паролей, которые с одной стороны трудно взломать, а с другой - легко запомнить. Исследователи говорят, что они объединили так называемую "нелинейную динамику" и хаос для создания зашифрованной системы p-CAPTCHA (p от Password). Суть новинки заключается в следующем: пользователь запоминает лишь часть пароля, а специальный Java-апплет "вспоминает" остальную...

Завершена работа по внедрению протокола безопасности DNSSEC в зону .com

Протокол безопасности DNSSEC постепенно интегрируется во все крупнейшие доменные зоны Сети. Так, 31 марта была подписана зона .com, которая является лидером среди всех доменных зон по количеству делегированных доменов. Согласно данным, предоставленных VeriSign, в настоящее время в этой зоне зарегистрировано более 90 миллионов .com имен. «Важность DNSSEC в том, что эта технология позволяет решить проблемы безопасности в Сети, что в особенности важно для зоны .com. Подписание этой зоны ключом DNSSEC...

Исследователи использовали USB для атаки на смартфоны

Профессор информатики Ангелос Ставру и его студент Жаохай Ванг создали программное обеспечение, которое позволяет модифицировать функциональность драйвера USB и предоставляет возможность проведения скрытной атаки во время зарядки смартфона или синхронизации данных между мобильным устройством и компьютером. Профессор Ставру и его партнер готовы продемонстрировать свою разработку в действии на проходящей в эти дни конференции Black Hat DC. Эксплойт оказался возможным благодаря уникальной особенности...

Исследователи рассказали о новом типе DDoS-атак

Технические специалисты из компании Trustwave-SpuderLabs рассказали о новых образцах атак на технической конференции BlackHat в США. Кроме того, они предложили вероятные способы защиты от нового поколения DoS-атак. "DoS-атака на четвертом уровне затрагивает одновременные подключения в нескольких сетевых уровнях, что вызывает блокировку сетевого канала. Теоретически, можно использовать сразу все семь уровней сетевого протокола TCP/IP и провоцировать DoS на уровне конечных приложений", - говорит...