Kaspersky - īpaša aizsardzība pret šifrējošajiem izspiedējvīrusiem!
Sākumlapa » Apdraudējumi » Drošības nedēļa 2016 20: gadījumskaitļi, 7-Zip ievainojamība, Microsoft ierobežo Wi-Fi Sense

Drošības nedēļa 2016 20: gadījumskaitļi, 7-Zip ievainojamība, Microsoft ierobežo Wi-Fi Sense

Šoreiz sāksim ar entropiju, jo viens no svarīgākajiem nedēļas jaunumiem ir tieši par to. Precīzāk, par iespējamiem iespaidīgiem panākumiem gadījumskaitļu ģenerēšanas problēmas risināšanā. Teksasas Universitātes pētnieku Deivida Cukermana un Ešana Čatopadjas zinātniskais darbs pierāda, ka, izmantojot divus zemākas kvalitātes avotus, ir iespējams ģenerēt augstākas kvalitātes gadījumskaitļus.

Pareizāk sakot, tāda iespēja bija arī agrāk — pirms desmit gadiem to pierādīja beļģu matemātiķis Žans Burgeins. Bet Burgeina darbā šiem „ne visai kvalitatīvajiem avotiem” patiesībā tika izvirzītas diezgan augstas prasības no entropijas viedokļa. Tādēļ viņa pētījumam bija tikai zinātniska vērtība. Taču tagadējam pētījumam var būt arī praktiska nozīme: tas ļaus ātri un lēti ģenerēt gadījumskaitļus, samazinot risku, ka, piemēram, sarakstes šifrs tiks uzlauzts ģenerēšanas algoritma trūkumu dēļ.

Galvenā prasība abiem avotiem — lai tiem nebūtu savstarpējas korelācijas. Vārdu sakot, laba (lai gan ļoti grūti izprotama) ziņa par zinātnes sasniegumu, kurš, iespējams, tiks izmantots kriptogrāfijā un arī citur. Atsauksmes par šo zinātnisko darbu kopumā ir pozitīvas, tomēr šajā BBC rakstā pareizi norādīts, ka pētījums nepiedāvā neko principiāli jaunu. Bet tas varbūt ļaus uzlabot līdzšinējās gadījumskaitļu ģenerēšanas metodes un ģenerēšanas ātrumu.

Microsoft ierobežo tehnoloģijas Wi-Fi Sense iespējas

Wi-Fi Sense tehnoloģija piedāvā interesantu funkcionalitāti. Tā ļauj jūsu draugiem vai kolēģiem piekļūt jums zināmiem Wi-Fi tīkliem, aiztaupot jums rūpes par savas paroles nodošanu šiem draugiem. Pēc noklusējuma Windows automātiski sniedz informāciju par paroli jūsu Outlook un Skype kontaktiem, bet ar pāris peles klikšķiem varat to nodot arī saviem Facebook draugiem.

 

Windows-10-Wi-Fi-Sense

 

Pērn Microsoft par šo funkciju saņēma daudz kritikas no lietotājiem un no plašsaziņas līdzekļiem. Taču uz pārējo Windows 10 informācijas vākšanas funkciju fona Wi-Fi Sense bija tikai nenozīmīgs papildinājums. Turklāt šī tehnoloģija tika ieviesta vēl pirms Windows 10, 2014. gada aprīlī, tikai toreiz tai netika pievērsta liela uzmanība. Vārdu sakot, neveiksme: šo funkciju reti izmanto, un pagājušajā nedēļā Microsoft paziņoja par tās likvidēšanu, bet automātisku pieslēgšanos atļaus tikai pie zināmiem atvērtiem piekļuves punktiem.

Vai ir vērts kritizēt Microsoft par šādiem „uzlabojumiem”? No vienas puses, Wi-Fi Sense piemērs parāda, ka lietotājiem arvien grūtāk kontrolēt, kāda informācija par viņiem tiek izplatīta. Skype kontaktos var būt visādi cilvēki, un diez vai Jūs visiem viņiem vēlētos sniegt informāciju par sevi, kur nu vēl laist viņus pie saviem Wi-Fi piekļuves punktiem.

Bet no otras puses, informācija par lietotājiem ir vajadzīga, lai uzlabotu tiešsaistes pakalpojumu kvalitāti un lai izstrādātu jaunas tehnoloģijas. To dara visi, ne tikai Microsoft. Šo tehnoloģiju attīstība neizbēgami mainīs lietotāju un tiešsaistes pakalpojumu un programmatūras izstrādātāju attiecības. Vēl nevar zināt, kādā veidā tas izpaudīsies, taču ļoti stingri ierobežot informācijas vākšanu arī laikam nebūs pareizi, jo tad būs grūtāk izstrādāt jaunas tehnoloģijas. Vienīgais, ko vajadzētu nodrošināt, ir lietotāja tiesības pašam izlemt, kādu informāciju un kam viņš atklās. Viņam vismaz būtu jāzina, kas un kur tiek vākts. Tā nu iznāk, ka tehnoloģija Wi-Fi Sense kļuvusi par privātuma diskusijas upuri, kas būs devis vismaz kaut kādu labumu, turklāt bez ilgām tiesas prāvām un neveikliem likumiem. Sabiedrība ir likusi saprast Microsoft, ka šī eksperimentālā funkcija nav tai izdevīga.

Atrasta un likvidēta atklātā pirmkoda arhivatora 7-Zip ievainojamība

Atklātā pirmkoda projektu ievainojamības ir ērtas, ja tā vispār var teikt, tādēļ, ka to jebkuru pirmkoda rindiņu var analizēt, lai uzzinātu, kā problēma radusies un kā to novērst. Cisco Talos pētniecības nodaļas speciālisti konstatēja, ka arhivētājs 7-Zip nekorekti apstrādā formātu UDF. Daudzi varbūt jau vairs neatceras, ka tas ir atkalierakstāmu kompaktdisku (CD-RW), bet vēlāk — arī dažādu DVD-RW standarts. Šāda formāta īpatnība — iespēja izmantot vairākus nodalījumus vienā diskā. Izrādās, ka var izveidot speciālu diska attēlu UDF formātā, un kad arhivētājs to apstrādā, notiek bufera pārpilde un rodas iespēja izpildīt patvaļīgu kodu.

Atvērtā pirmkoda ievainojamībām ir arī trūkums — ļoti grūti noteikt problēmas mērogus. Lai gan šī ievainojamība nebūt nav tik nozīmīga kā, piemēram, Heartbleed, tā var skart daudzas programmas un pat ierīces, kuras kaut kādā veidā izmanto 7-Zip kodu. Visiem, kas izmanto 7-Zip, ieteicams uzstādīt arhivētāja jaunāko, 16. versiju.

Kas vēl notika pagājušajā nedēļā?

Melnajā tirgū parādījās datubāze ar miljoniem LinkedIn paroļu (tās gan nozagtas jau 2012. gadā), tādēļ visiem, kuri izmanto šo pakalpojumu, ieteicams nomainīt paroli. Dell pētnieki ziņoja, ka atraduši gandrīz simtu mobilo ierīču bloķētāju modifikāciju, ko galvenokārt izplata pornogrāfijas vietnes. Un visbeidzot, kļuva zināms, ka arī Tumblr paroli būtu jānomaina.

Notikumi Latvijā

Interneta lietotāji parasti tiek mudināti savlaicīgi uzstādīt programmatūras atjauninājumus, bet izrādās, ka interneta pakalpojumu sniedzēji arī nebūt nav tik čakli atjauninājumu instalēšanā. Kā ziņo CERT.LV, tūkstošiem Ubiquiti tīkla maršrutētāju novecojuša aparatūras programmnodrošinājuma dēļ kļuvuši par mērķi datortārpam, kas skāris arī Latvijas Interneta pakalpojuma sniedzējus.

 

Nenoguliet programmatūras atjauninājumu uzstādīšanu!

Nenoguliet programmatūras atjauninājumu uzstādīšanu!

CERT.LV rīcībā ir informācija, ka uzbrukuma rezultātā Latvijā ir vairāki simti cietušu ievainojamo ierīču, taču šis skaits varētu pieaugt līdz pat vairākiem tūkstošiem. Lai novērstu šo ievainojamību, Ubiquiti jau pirms gada izlaida atjauninājumus, taču vēl aizvien daudzās iekārtās tas nav uzstādīts.

Izmantoti Kaspersky Lab un CERT.LV materiāli.

Birkas:
Iepriekšējais raksts
Nākošais raksts

Komentēt

Jūsu e-pasts netiks publicēts. Obligātie lauki ir iezīmēti *

*

− 5 = 3

Kaspersky - īpaša aizsardzība pret šifrējošajiem izspiedējvīrusiem!
Uz augšu