HAZAI HÍREK

Támogatja a „Do Not Track” (DNT) szabványt az Adverticum AdServere, jelentette be a cég. Idén tavasz óta a Mozilla böngészők DNT fejléceket fűznek a weboldal-kérésekhez, ha így vannak beállítva. Ha a webszerver illetve a rajta futó, érdeklődést, viselkedést figyelő alkalmazás „érti” ezt a fejlécet, akkor nem gyűjt adatot a használóról. Ily módon a DNT alkalmas az adatgyűjtésből való tudatos kimaradás kezdeményezésére. Az első nagyobb médiavállalkozás az Associated Press, amely bevezette a DNT-t. A beavatkozás a szerveroldalon egyszerű és gyors. (Mégis nagyon kevesek végezték el, mert nem szolgálja a webszerver-üzemeltetők érdekeit. Csak a Firefox és az IE9 támogatja, a többi böngésző nem. Kívülről csak utólag és nehezen lehet deríthető ki, hogy a szerver tényleg nem gyűjt adatot. A Microsoft tesztoldalán lehet meggyőződni, hogy a Firefoxunk DNT-je be van-e állítva – alapértelmezésben nincs... )

HÍREK

Egyre nehezebb a rosszindulatú webhelyek felderítése, állítja a Google egy munkacsoportja, amely a Safe Browsing Service kialakításában is részt vett. Mivel a vizsgáló módszerek minden körmönfontságuk ellenére sem tudjál a használó tudatos egérkattintását utánozni, a rossz fiúk minden igyekezetükkel pont erre kívánják rávenni a kiszemelt áldozatot, azaz átverést (social engineeringet) alkalmaznak. (Ha már kattintott az áldozat, akkor beengedte a „farkast”, és csak a védelmi rendszerén műlik, mekkora lesz a kár.) Ezen kívül összekavarják a kódot, hogy az elemző szoftver ne ismerje fel a kártevőt, és elfedik az IP-címüket: nem adnak káros tartalmat azokra az IP-címekre, amelyekről tudják, hogy biztonsági elemző helyekhez tartoznak. A munkacsoport több mint 200 ezer ilyen rejtőző webhelyet tárt fel...

Több biztonsági terméket is kipróbálnak a használók, és jellemzően letöltéssel jutnak hozzájuk, tártja fel a Forrester egy friss, 60 országra és minden nagy régióra kiterjedő felmérése. A használók jobban ismerik az internet fenyegetéseit, mint a múltban, és a számos ingyenes termékkel rendelkező márkák felé vonzódnak - és nem hűségesek: váltogatják a szállítóikat. Ez a helyzet nem kedvez a kis gyártóknak – konszolidációra lehet számítani. A Forrester szerint 300- 250 millió PC-n futnak ingyenes védelmi szoftverek.

Holland kutatók jobb eljárást találtak az AES titkosítás feltörésére. A Microsoft támogatásával kidolgozott módszerük segítségével a feladat 3 – 5-ször gyorsabban megoldható, mint eddig, de szerencsére így is milliárd évekig tart a jelenlegi szuperszámítógépekkel. Ezért a lehetőség bőven csak elméleti, de a biztonsági szakma az „első repedésnek” tartja az AES páncélján. A 2000-ben szabványosított AES kidolgozói megvizsgálták az eljárást, és igazolták az elméleti hatásosságát az AES minden formájára.

Hőkamerával le lehet olvasni az ATM-be legutóbb beütött PIN-t, mert a megérintett gombok sokáig melegebbek a környezetüknél. A lehetőség évek óta ismert, de az Usenix biztonsági konferencián azt a valós idejű képfeldolgozó szoftvert mutatták be, amely automatizálja a kód megállapítását. A hőkamerás lejárás jobb, mint a „hagyományos” kamerás, mert az áldozat távozása után használható – akik egyre gyakrabban szándékosan el is takarják a számbillentyűzetet. Az eljárás előnyeit csökkenti, hogy nagyon könnyű védekezni ellene: rossz hővezetésű, nagy hőkapacitású gombokkal – vagy néhány másodperces, az összes gombot érintő „előmelegítéssel...”

RÉSEK, FRISSÍTÉSEK

Frissíti a Debian a Mozilla termékeket, az Iceweaselt (Firefoxot) és a z Iceape-t (Seamonkey-t).A beavatkozás a mostani 6-os illetve 2.3-as verziókra frissítésnek felel meg, számos, tetszőleges kód futtatására kihasználható hiba szűnik meg. Érintett verziók: Debian GNU/Linux 6.0. Megoldás: a vonatkozó frissítések végrehajtása. Forrás: Secunia. (Súlyos nyomás alá helyezi a Mozilla 6 hetes frissítési ciklusa a kiegészítők fejlesztőit, és sok bosszúságot okoz a használóknak is: az új változattal összeférhetetlen kiegészítőket a szoftver letiltja. Akkor kelnek újra életre, amikor megjelenik a kompatibilis változat.)

Hibás DVD-író modult tartalmaz a StudioLine PhotoBasic szoftver. Az NMS DVD Burning SDK ActiveX vezérlő egyes metódusai tetszőleges állomány betöltését és végrehajtását teszik lehetővé. ) Érintett verziók: Studioline PhotoBasic 3.70.34.0. és korábbiak. Megoldás: frissítés a 3.70.38.0 verzióra, és az ActiveX letiltása a „kill bitje” segítségével. Forrás: Secunia.

Paraméter-ellenőrzési hibát találtak a Mantis Bug Trackerben. A „search.php” modul „project_id” paramétere marad őrizetlenül, amit tetszőleges HTML illetve PHP betöltésére és végrehajtására lehet kihasználni. Érintett változatok: MantisBT 1.2.6. Megoldás: javították a GIT kódtárat, újra kell telepíteni. Forrás: Secunia.