altair.blog

Rubrika Bezpečnost

Hrůza z Huawei
Poslední měsíc není pro Huawei příliš příjemný. Čínský telekomunikační obr se stal terčem útoků ze stran bezpečnostních služeb hned několika zemí včetně České republiky. Médii zesilovaná kritika a varování před bezpečnostními riziky vykazují prvky obchodní války. Na pozadí je ale mnohem důležitější otázka – nakolik je Huawei hrozbou pro každodenní i tu kritickou komunikaci.
HoneyESP: Falešné AP pro sociální útoky za stovku
Ještě nepříliš dávno jste pro vytvoření falešného přístupového bodu pro sociálně-inženýrské útoky potřebovali aspoň notebook s ne zcela běžnou Wi-Fi kartou. O něco později vám stačilo Raspberry Pi. Teď stačí mikrokontroler za dva dolary.
Když disky lžou
Používáte šifrování celého disku nabízené operačním systémem (příkladmo BitLocker ve Windows) nebo třetími stranami (příkladmo následovníky TrueCryptu, jako je třeba VeraCrypt)? Možná jsou vaše data přesto v ohrožení. Ne chybou Microsoftu nebo VeraCryptu, ale protože příliš důvěřují výrobcům pevných disků.
Vlastní rozumná politika hesel v ASP.NET Identity
ASP.NET Identity je nástupce Membership a Role providerů z .NET 2.0. Obecně se jedná o úkaz pozitivní, nicméně jeho výchozí politika hesel je dosti pomýlená. Naštěstí ji lze poměrně snadno změnit a dokonce si napsat vlastní, lepší.
Zázraky se dějí
Žijeme v turbulentní době a skutečnosti, dříve pokládány za neměnné, se hroutí jako domečky z karet. Naposledy se tímto stylem zhroutila jedna z konstant českého Internetu, když weby Ministerstva vnitra a Policie ČR začaly podporovat HTTPS. Samozřejmě, není všechno zlato co se třpytí, takže i když mají weby mvcr.cz a policie.cz ono magické "S" na konci protokolu, v testu kvality implementace dostaly od Qualysu známku F - tedy nejhorší možnou.
Chyba do které můžete kopnout
Stará programátorská moudrost praví, že hardware je ta část počítače, do níž můžete kopnout, pokud se porouchá. Toto přísloví už ale neplatí stoprocentně, a to má obrovské důsledky. Na jedné straně je mizení hranice mezi hardwarem a softwarem pozitivní, protože rozšiřuje možnosti využití počítačových čipů. Na straně druhé to znamená změnu celého vnímání počítačové bezpečnosti.
Jenom "S" nestačí: HTTPS správně
O důležitosti použití zabezpečeného protokolu HTTPS na webových stránkách již není sporu a z větších webů už odolávají jenom ty obzvláště zatvrzelé, jako například české ministerstvo vnitra nebo Policie ČR. Jenomže mít prosté "S" na konci již dnes nestačí.
GitHub Security Alerts nyní i pro .NET aplikace
Koncem loňského roku spustil GitHub funkci, která vás varuje v případě, že používáte závislosti se známými bezpečnostními chybami. Nyní je dostupná i pro aplikace psané v .NETu a umí vás upozornit na to, že používáte potenciálně nebezpečné verze NuGet balíčků.
Instalace a konfigurace Kali Linuxu na Hyper-V
Kali je speciální distribuce Linuxu pro bezpečnostní účely, penetrační testy a další bohulibé aktivity. Přináším návod, jak ji nainstalovat na Hyper-V a jak ji zkonfigurovat pro účely dema/labu.
Hack Facebooku: padesát miliónů účtů v ohrožení
Odhlásil vás v pátek ráno Facebook a museli jste se znovu přihlásit? Možná jste byli jednou z obětí nejnovějšího bezpečnostního průšvihu, který FB řeší. Webová aplikace Facebooku obsahovala chybu ve funkci "View As", která umožňuje zobrazit obsah tak, jak ho vidí jiný uživatel (např. pro otestování viditelnosti postu). Vinou této chyby mohl útočník získat autentizační token, který se používá pro přístup k aplikaci a různým API. S tímto tokenem pak mohl učinit cokoliv, co může učinit standardní uživatel.