Quantum Computers Explained – Limits of Human Technology
Ohjelmiston haavoittuvuus ohjelmassa, jota käytetään turvallisesti Internet-palvelimiin, on todennäköisesti huijaus SANS Internet Storm Centerin analyytikon mukaan.
OpenSSH: n (Secure Shell), on asennettu kymmeniin miljooniin palvelimiin, kuten Red Hat, Hewlett-Packard, Apple ja IBM. Järjestelmänvalvojat käyttävät salattuja yhteyksiä muiden tietokoneiden kanssa ja tekevät tehtäviä, kuten tiedostojen päivittämistä etänä. OpenSSH on avoimen lähdekoodin versio, ja ohjelman kaupalliset versiot ovat olemassa.
Aiemmin tällä viikolla SANS sai nimettömän sähköpostin, joka vaati OpenSSH: n nollapäivän haavoittuvuutta, mikä tarkoittaa, että ohjelmisto on jo kun sitä julkistetaan.
[Lue lisää: Haittaohjelmien poistaminen Windows-tietokoneelta]Todellinen nollapäivän haavoittuvuus. Se on vaarallinen ohjelmiston haavoittuvuus, koska se tarkoittaa, että siinä ei ole korjausta. OpenSSH: ssa voi olla tuhoisaa Internetissä, jolloin hakkereilla voi olla avoin pääsy palvelimiin ja tietokoneisiin, kunnes kiertotapaa tai korjaustiedostoa luetaan.
"Siksi uskon, että ihmiset todella luovat melkoisen paniikkia", sanoo Bojan Zdrnja, SANS-analyytikko ja tietoturvakonsultti Infigossa, tietoturva- ja tunkeutumisen testausyritys Zagrebissa, Kroatiassa. "Ihmiset eivät saa paniikkia juuri nyt. Mikään tässä vaiheessa ei osoita, että luonnonvastaista hyödyntämistä on käytetty."
OpenSSH: n todellinen nollapäivän haavoittuvuus on heikko, Zdrnja sanoi. Toistaiseksi analyytikot eivät ole nähneet työhyötyä huolimatta huolista, joita Anti-Sec-niminen ryhmä on löytänyt nollapäivän, joka antoi heille mahdollisuuden hallita Web-palvelinta. Yksityiskohtaiset tiedot hackista julkaistiin Full Disclosure -turvallisuustiedotteissa, jotka eivät ole moderni foorumi.
Lisätietojen saamiseksi henkilö, joka väittää olevansa osa Anti-Secia, kirjoitti IDG-uutispalvelulle sähköpostiviestin, jossa sanottiin: "Minä "Minulla ei ole oikeutta keskustella hyödyntämisestä (tai siitä, onko se olemassa)", joka allekirjoitettiin "Anonyymi".
Zdrnja sanoi, että sama ryhmä vaarantui toista palvelinta vastaan äskettäin, mutta se näytti olevan raa'alta hyökävä OpenSSH. Hyökkäävä hyökkäys on silloin, kun hakkeri yrittää monia tunnistusoikeuden yhdistelmiä saadakseen pääsyn palvelimelle. Jos ylläpitäjä käyttää yksinkertaisia kirjautumisia ja salasanoja, se tekee palvelimelle alttiimpia hyökkäyksille, Zdrnja sanoi.
Molemmat palvelimista, jotka ovat vaarantuneet, suorittivat sama henkilö. "Oletan, että tässä on kaksi hakkeria, jotka ovat keskenään sodassa", Zdrnja sanoi.
Mutta on olemassa muita tekijöitä, jotka osoittavat nollapäivää, sillä OpenSSH ei ole olemassa. Jos nollapäivä oli olemassa, hakkerit todennäköisesti käyttäisivät sitä todennäköisemmin korkeammalle palvelimelle kuin viimeisimmästä, mikä on vaarantunut, Zdrnja sanoi.
Yksi OpenSSH: n kehittäjistä, Damien Miller, heitti myös kylmä vesi nollapäivän mahdollisuudesta. Miller kirjoitti OpenSSH: n foorumille keskiviikkona, että hän vaihtoi sähköpostiviestejä nollapäivän väitetyn uhrin kanssa, mutta hyökkäykset näyttivät olevan "yksinkertaisia raa'at voima".
"Joten en ole vakuuttunut siitä, että nollapäivä on täysi, Miller kirjoitti. "Ainoa todiste tähän mennessä on joitain nimettömiä huhuja ja verifioitumattomia tunkeutumisen transkriptejä."
Näyttää siltä, että myös OpenSSH: n väitetyn nollapäivän ja erilaisen haavoittuvuuden välillä on sekaannusta, Zdrnja sanoi. Tämä haavoittuvuus, joka on vielä epäsuorittua, voi antaa hyökkääjälle mahdollisuuden palauttaa jopa 32 bittiä tavallisesta tekstistä mielivaltaisesta salakirjoitustilasta SSH-protokollaa käyttäen suojatusta yhteydestä vakiokokoonpanossa UK: n neuvonnan mukaan. (CPNI).
Haavoittuvuuden vakavuutta pidetään korkeana, mutta CPNI: n mukaan onnistunut hyödyntäminen on vähäistä. Zdrnja sanoi, että ylläpitäjät voivat toteuttaa vahvempia autentikointimekanismeja OpenSSH: ssa käyttämällä julkisia ja yksityisiä avaimia estääkseen onnistuneen hyökkäyksen. Avoimessa neuvonnassa OpenSSH ilmoitti myös, että menestyksekkään hyökkäyksen mahdollisuus oli pieni.
Se vain näkyy kuin vain uutiset Onko talous
Kaikki tämän viikon uutiset eivät aiheuttaneet globaalia rahoitusmarkkinoiden häiriötä, kun taas IT-budjetit leikataan ja AMD murtaa itsensä ...
Viime vuonna WabiSabiLabi avasi online-huutokauppasivuston, joka koski epäonnistuneita tietoturvahaavoittuvuuksia, joita kutsutaan myös 0daysiksi. Yhtiön tavoitteena oli tarjota markkinat, joiden avulla riippumattomat tietoturva-tutkijat voisivat ansaita elantonsa havaitsemistaan haavoittuvuuksista. Jotta haavoittuvuudet eivät päätyisi rikollisten käsiin, vain päteviä ostajia saa käyttää WabiSabiLabi-huutokauppasivua.
Vaikka tietoturvayhtiöt rutiininomaisesti maksavat tutkijoille haavoittuvuuksia ja pitävät nämä tiedot pakotettuna, jotkut uskovat, että tutkijoiden on ensin julkistettava sellaiset haavoittuvuuksia myyjille ilmaiseksi ja kun korjaustiedosto julkaistaan, julkistetaan haavoittuvuuden yksityiskohtia, tietoturvayhteisössä tunnettu käytäntö eettisesti paljastetuksi.
Kansallisen turvallisuusviranomaisen tehtävänä on suojella Yhdysvaltojen kansallisia turvajärjestelmiä, joihin sisältyy kriittinen infrastruktuuri julkisella tai yksityisellä sektorilla - joka muodostaa maan puolustuksen ja kaupan selkärangan. NSA: n "Perfect Citizen" -aloite on vain yksi askel kohti suurempaa tietoturvaprosessia, johon yksityisen sektorin tietoturva-alan ammattilaiset voivat olla tehokkaita.
NSA: n verkkosivusto kertoo, että "Tietoturvamissio kohdistaa suuren haasteen estää ulkomaisten vastustajien pääsyä arkaluonteisiin tai luokiteltuun kansalliseen turvallisuuteen liittyviin tietoihin. " Tämä ei kuitenkaan rajoita perustuslain rikkomista tai lain rikkomista, ja Kansallisen turvallisuusviranomaisen "Perfect Citizen" -ohjelman alustavat raportit ovat saattaneet olla liioiteltuja.