![[ Networks Research ]](http://www.x25.com.ru/wp-content/themes/BlackHosting/images/logo.png "[ Networks Research ]"){kind=logo}
Май 20th, 2012 
sk1mer 
Вышел релиз Lightspark 0.5.7, свободного Flash-плеера, основанного на технологиях LLVM и базирующегося на использовании JIT-компилятора, транслирующего ActionScript код в x86-инструкции. В новой версии отдельно отмечается улучшение графических возможностей, связанных с созданием игр на Flash. Началась работа по реализации поддержки Stage3D с полным аппаратным ускорением, но такая функциональность пока находится в фазе начального проектирования. Кроме того, в новой версии устранена порция утечек памяти, улучшена поддержка BitmapData::draw, реализована поддержка BitmapData::copyPixels, профилирования расхода памяти и мягких масок (Soft Mask).
Основные особенности Lightspark:
За счет тесного использования OpenGL и JIT-компиляции нагрузка на систему при работе Lightspark заметно меньше, чем при просмотре того же ролика в Gnash или Adobe Flash. Графическая архитектура Lightspark построена по комбинированной схеме, в которой использованы и программные методы формирования изображения (вывод геометрических примитивов через Cairo, используя многопоточную схему обработки) и аппаратные механизмы акселерации (декодирование видео с использованием Pixel Buffer Objects; задействование OpenGL для работы фильтров и эффектов);
Поддержка SWF 9+ и языка ActionScript 3.0, впервые представленного в Adobe Flash 9 (в Gnash полная поддержка ActionScript 3.0 еще не реализована);
Задействование OpenGL при формировании вывода геометрических объектов и видео (для работы требуется видеокарта с поддержкой шейдеров);
Возможность подключения фильтров и эффектов, изменяющих параметры видео, благодаря задействованию текстурированного вывода с использованием OpenGL;
Реализация в виде плагина, совместимого с интерфейсом плагинов Mozilla;
Наличие встроенных средств для отладки, профилирования и инспектирования объектов на экране;
Несмотря на то, что еще не завершена разработка runtime-библиотек Flash, которые предоставляют разработчикам широкий спектр функций, от вывода видео до разбора XML, в Lightspark архитектура проекта позволяет создавать подобные функции на чистом C++ или в смешанном со сгенерированным в VM кодом представлении, что дает возможность вызывать подобные функции из любого контекста, не заботясь об их источнике.
Проект развивается при поддержке организации GNOME Foundation. Исходные тексты Lightspark написаны на языке C++ и распространяются в рамках лицензии GPLv3. Пользователи Ubuntu могут установить новую версию из специального PPA-репозитория. Пакеты для Fedora Linux в ближайшее время появятся в репозитории RPM Fusion.
Релиз свободного Flash-плеера Lightspark 0.5.7
Хакеры украли SSL-сертификаты у NASA
Национальное управление аэронавтики и космоса (NASA) в интервью SecurityWeek подтвердила заявление иранских хакеров, которым удалось скомпрометировать SSL-сертификаты научно-исследовательского центра NASA (NRESS). Группа иранских студентов, состоящих в хакерской группировке Cyber Warriors Team, заявили в сообщение на Pastebin, что им удалось перехватить сертификаты безопасности NASA. Атака производилась в несколько этапов. В результате первого этапа были обнаружены уязвимости в системе авторизации исследователей NASA на сервере NASA Solicitation and Proposal Integrated Review and Evaluation System (NSPIRES). Затем, путем внедрения кода была произведена MITM-атака, в результате которой сертификат оказался у хакеров. Кроме сертификата были скомпрометированы сотни учетных записей активных исследователей NASA по всему миру. По сообщению хакеров, более детальная информация была отправлена NASA для изучения и последующего устранения уязвимости. Напомним, что недавно с похожими сценариями атак сталкивались службы корневых сертификатов Comodo, DigiNotar и Trustwave, за этими взломами также стояли иранские хакеры.
Googlebot эмулирует поведение юзеров
Поисковый бот Google становится умнее. С 2008 года Googlebot умеет сабмиттить GET-формы. Летом 2011-го года он научился исполнять Javascript, а полгода назад — делать POST-запросы через Ajax.
Такой функционал нужен боту, чтобы нажимать Ajax-кнопки и индексировать страницы сайта, которые спрятаны за ними.
Интеллект «гуглобота» постепенно повышается. Веб-мастер одного из сайтов сообщает, что Googlebot успешно разобрал на части сложное Ajax-меню и «понял» встроенные функции JavaScript. В логах остались такие строчки:
66.249.67.106 ... "GET /ajax/xr/ready?x=clcgvsgizgxhfzvf HTTP/1.1" ...
66.249.67.106 ... "GET /content/halloc/index.html?&x=clcgvsgizgxhfzvf ...
IP-адрес 66.249.67.106 резолвится как crawl-66-249-67-106.googlebot.com, то есть принадлежит поисковому боту Google.
В данном случае нужно отметить, что бот добавил к запросу аргумент x для конкретной функции. Таким образом, он эмулирует живых пользователей, а именно — нажимает на кнопки Ajax-меню и смотрит, какие страницы после этого открываются.
Другие веб-мастеры дополняют, что на самом деле Googlebot не только успешно исполняет скрипты, но и замеряет время отклика сайта, что тоже влияет на позицию сайта в поисковой выдаче.
Видеонаблюдение открыто для хакеров
Американская компания Gotham Digital Science совместно с разработчиками Metasploit из команды Rapid7 выпустили новый модуль cctv_dvr_login для взлома, то есть тестирования на проникновение, видеокамер наружного наблюдения (CCTV).
Как сообщает ведущий программист Gotham Digital Science, они нашли уязвимости в системе удалённого доступа к CCTV трёх крупнейших производителей: MicroDigital, HIVISION и CTRing, а также в большом количестве ребрендинговых моделей, которые продают эти камеры под своими названиями. Камеры указанных фирм чрезвычайно популярны в США, они устанавливаются в банках, магазинах, гостиницах, госпиталях, студенческих общежитиях, на улицах городов и т.д. По умолчанию доступ к видеокамере возможен через интернет, а парольная защита контрольной панели не выдерживает никакой критики, зачастую это 1111 или 1234. Имя пользователя — admin или user. В 70% случаев имя пользователя и пароль не меняются с дефолтных значений.
Во время предварительного тестирования хакеры из Gotham Digital Science сумели получить доступ к видеопотоку десятков различных видеокамер, работающих в разных точках США.
По мнению исследователей, некоторые компании специально оставляют интернет-доступ к видеокамерам, чтобы уполномоченные на это сотрудники имели возможность посмотреть видео со своего смартфона или ноутбука. Однако, многие просто оставляют настройки по умолчанию, даже если в этом нет необходимости. Они не догадываются, что изначально устройство может быть не с оптимальными настройками, и нужно приложить усилия, дабы обеспечить свою безопасность.
Вышеупомянутый модуль Metasploit осуществляет попытку авторизации в системе CCTV с использованием нескольких дефолтных логинов и паролей. HD Moore — ведущий специалист по безопасности компании Rapid7 — говорит, что они сейчас работают над модулем для сканирования и автоматического выявления CCTV.
Недавно HD Moore разработал модуль Metasploit для выявления уязвимых систем видеоконференцсвязи.
Преступник забыл выйти из Facebook
Колумбийская газета El Tempo сообщает о забавном случае, который произошёл с местными бандитами, ограбившими интернет-кафе в городе Кали. Они проникли в заведение под видом посетителей, провели некоторое время за компьютерами, после чего встали, достали оружие и заставили администратора сдать всю наличность. На первый взгляд, ограбление прошло удачно: преступникам с деньгами удалось скрыться.
Грабители тщательно продумали план и скрылись с места преступления на краденом мотоцикле, чтобы их невозможно было отследить. Однако, подвела мелочь. Один из преступников непосредственно перед ограблением заходил в свой аккаунт Facebook — и забыл выйти из него.
Прибывшие на место преступления следователи без труда определили имя пользователя, домашний адрес — и немедленно произвели арест.
Добавим, что кретинизм грабителя заключается не в том, что он забыл разлогиниться из Facebook, а в том, что он вообще туда заходил под своим именем. Даже если бы он разлогинился и стёр cookies, следователи всё равно могли бы выяснить, какой пользователь заходил на сайт с данного IP-адреса в определённое время.
Полицейские начинают всё более активно использовать форензику и цифровые улики для доказательства преступлений. Похоже, они не учитывают при этом, что такие «улики» можно легко подделать.
Криптографическое голосование в Android и iOS
Испанский разработчик систем онлайнового голосования Scytl портировал систему криптографической защиты онлайновых голосований на смартфоны/планшеты Android и iOS. Таким образом, становится возможной организация голосований с использованием мобильных устройств. Защита каждого избирательного бюллетеня делает невозможной его подмену и подделку.
Шифрование и подпись бюллетеня осуществляется непосредственно на устройстве пользователя его «половинкой» секретного ключа, которую он получает перед выборами от избирательной комиссии (как вариант, сертификаты для подписи может раздавать независимый центр раздачи сертификатов). Вторая «половинка» хранится в комиссии и используется для расшифровки. Система спроектирована так, что ключ не может существовать после разделения — реализация архитектуры, предложенная Scytl, уже получила ряд наград.
Если грамотно спроектировать остальные компоненты, в том числе систему онлайновой проверки результатов — чтобы каждый избиратель мог убедиться, что его голос правильно учтён — то можно создать надёжную платформу для проведения любых голосований, начиная от сбора мнений жильцов дома по бытовым вопросам и заканчивая национальными выборами парламента и президента.
Конечно, даже в самой защищённой системе будут попытки незаконного проникновения с целью подмены результатов голосования, так что здесь очень важно с самого начала продумать неуязвимую архитектуру, потому что цена ошибки очень высока.
До сих пор слабым звеном системы цифровых голосований были терминальные устройства на участках голосований. С участием в выборах мобильных устройств вообще отпадает необходимость в посещении избирательного участка.
Компания Scytl занимается разработками в области защиты электронных голосований с 1994 года, с того времени опубликовано 25 научных работ и получен ряд патентов. Спустя почти двадцать лет технология, наконец-то, готова для использования в реальных проектах. Аудит безопасности криптографической системы Scytl проводили многие международные организации и эксперты, в том числе из технологического института при ВВС США, университет Фрибура (Швейцария) и Норвежского технологического университета в Тронхейме (Норвегия).
Правила конкурса Hack2Own на PHDays 2012
Одним из гвоздей конкурсной программы станет легендарный конкурс Hack2Own.
Все меньше времени остается до Positive Hack Days 2012, в разгаре онлайн-конкурсы, в которых разыгрываются инвайты . Однако на самой площадке форума в техноцентре Digital October тоже будет происходить много всего интересного. Одним из гвоздей конкурсной программы станет легендарный конкурс Hack2Own.
В 2011 году, продемонстрировав уязвимость нулевого дня (CVE-2011-0222) в последней на тот момент версии интернет-браузера Safari для Windows , призерами соревнования Hack2Own стали Никита Тараканов и Александр Бажанюк — представители компании CISSRT, которые и получили главный приз — ноутбук и 50 тыс. руб. В этом году бюджет конкурса значительно увеличен и составит более 20 000 $. Победителям будет чем заполнить новенькие кейсы 
Конкурс делится на три категории: эксплуатация уязвимостей браузера, эксплуатация уязвимостей мобильных устройств и эксплуатация уязвимостей уровня ядра. Под катом подробные правила участия в соревновании.
Внимание! Для участия в конкурсе необходим ноутбук.
Зачем нам это?
Мы просто хотим сделать мир безопасней. Мы стремимся поддерживать ответственный подход к разглашению информации о найденных уязвимостях. Поэтому конкурс содержит важное условие: участнику следует в течение 6 месяцев с момента обнаружения уязвимости уведомить о ней производителя программного обеспечения.
Взлом веб-браузеров: правила проведения конкурса
В каждом раунде атака осуществляется на один из указанных браузеров; организаторы конкурса переходят по ссылке, предоставленной участником конкурса. Допускается использование одного вектора атаки за раунд. Добившись успеха в первом раунде — участник занимает первое место, во втором или третьем раунде — второе и третье соответственно. Критерием успеха является контролируемый участником запуск приложения в операционной системе путем проведения удаленной атаки клиента. Организаторы оставляют за собой право снижать рейтинг участника в зависимости от типа используемой уязвимости и условий ее эксплуатации (необходимости вмешательства пользователя, ограничения развития атаки и других условий, влияющих на степень риска согласно методике CVSS).
Программное обеспечение, предлагаемое для эксплуатации
Первый раунд: Microsoft Internet Explorer 9, Google Chrome 19.0.1084, Mozilla Firefox 12.
Второй раунд: Microsoft Internet Explorer 8/9, Mozilla Firefox 10/11/12, Google Chrome 16/17/18/19, Opera 11/12, Apple Safari 5.0/5.1.1/5.1.2.
В третьем раунде допускается эксплуатация последних версий типовых сторонних компонентов для браузеров: Adobe Flash Player (11.2.202.235), Adobe Reader (10.1.3), Java (7 update 4). Перечень браузеров идентичен таковому во втором раунде.
Используемые платформы
Первый раунд — Windows 7 Service Pack 1 (x64). Второй и третий раунды: Windows 7 Service Pack 1 (x64/x86) и Windows XP SP3 (x86).
Условия участия
К конкурсу допускаются специалисты, которые прошли предварительную регистрацию. Заявки принимаются по адресу phdcontests@ptsecurity.ru. Дата окончания регистрации — 28 мая 2012 года. В заявке необходимо указать имя участника, название браузера, выбранного в качестве цели атаки, используемый вектор атаки. Организаторы конкурса оставляют за собой право отклонить заявку, если участник не подтвердит свою компетентность в вопросах, являющихся темой конкурса.
Призы
I место — 137 000 руб.
II место — 75 137 руб.
III место — 50 137 руб.
В случае если на определенное место претендуют несколько участников соревнования, победитель выявляется посредством экспертной оценки технических характеристик эксплойта (сложности эксплуатации, стабильности и т. п.).
Посещение всех мероприятий форума Positive Hack Days для участников конкурса бесплатное.
Технические детали
Окончательно решение о версиях программного обеспечения, которое будет использоваться для проведения конкурса, принимается не менее чем за две недели до начала мероприятия. Соответствующая информация публикуется на сайте форума PHD по адресу http://www.phdays.ru. После проведения каждой попытки эксплуатации уязвимости операционная система восстанавливается в начальное состояние. Все ПО, необходимое для проведения атаки, участник выбирает и использует самостоятельно. Каждому участнику предоставляется подключение к проводной или беспроводной сети.
Взлом мобильных устройств: правила
Атака на одно устройство осуществляется за один раунд с использованием одного вектора атаки; организаторы конкурса переходят по ссылке, предоставленной участником конкурса. Добившись успеха в первом раунде — участник занимает первое место, во втором или третьем раунде — второе и третье соответственно. После каждой попытки эксплуатации уязвимости операционная система восстанавливается в первоначальное состояние. Критерием успеха является контролируемый участником запуск приложения на устройстве путем проведения удаленной сетевой атаки. Организаторы оставляют за собой право снижать рейтинг участника в зависимости от типа используемой уязвимости и условий ее эксплуатации (необходимости вмешательства пользователя, ограничения развития атаки и других условий, влияющих на степень риска согласно методике CVSS).
Условия участия
К конкурсу допускаются участники, прошедшие предварительную регистрацию. Заявки принимаются по адресу phdcontests@ptsecurity.ru. Дата окончания регистрации — 28 мая 2012 года. В заявке необходимо указать имя участника, операционную систему, выбранную в качестве цели атаки, тип устройства (планшет или смартфон) и планируемый вектор атаки. Организаторы конкурса оставляют за собой право отклонить заявку, если участник не подтвердит свою компетентность в вопросах, являющихся темой конкурса.
Призы
I место — 137 000 руб.
II место — 75 137 руб. + iPhone 4S
III место — 50 137 руб.
В случае если на определенное место претендуют нескольку участников соревнования, победитель выявляется посредством экспертной оценки технических характеристик эксплойта (сложности эксплуатации, стабильности и т. п.).
Посещение всех мероприятий форума Positive Hack Days для участников конкурса бесплатное. Кроме того, все участники получат ценные призы и подарки от организаторов форума, компании Positive Technologies, и спонсоров мероприятия.
Используемые платформы
Первый раунд: планшет или смартфон с iOS 5.1.1 или Android 4.0.4.
Второй раунд: планшет или смартфон с iOS 5.1.1 или Android 4.0.4 + популярное ПО стороннего производителя (обсуждается с организаторами при регистрации на конкурс).
Третий раунд: планшет или смартфон с iOS 5.0, планшет с Android 3.0, смартфон с Android 2.3.
Технические детали
Окончательно решение о версиях ПО, которое будет использоваться для проведения конкурса, принимается не менее чем за две недели до начала мероприятия (информация об этом публикуется на сайте форума PHDays по адресу http://www.phdays.ru). Для участия в конкурсе используются устройства в стандартной конфигурации «из коробки» — за исключением настроек, необходимых для организации сетевого подключения. После проведения каждой попытки эксплуатации уязвимости устройство перезагружается и возвращается в начальное состояние.
Обычным вектором атаки является посещение специально сформированного сайта через стандартный браузер устройства. В случае использования других векторов атаки (получение SMS или MMS, просмотр электронной почты и т. п.) участник указывает на это в заявке при регистрации.
Все программное и аппаратное обеспечение, необходимое для проведения атаки, участник выбирает и использует самостоятельно. Каждому участнику предоставляется подключение к проводной или беспроводной сети.
Эксплуатация уязвимостей уровня ядра: правила конкурса
Каждый участник получает возможность продемонстрировать эксплуатацию уязвимость уровня ядра операционной системы. Эксплойт, предложенный претендентом, должен давать непривилегированному пользователю возможность повысить свои привилегии в системе до уровня суперпользователя.
В каждом раунде атака осуществляется на одну из указанных платформ; организаторы конкурса запускают исполняемый файл, предоставленный участником конкурса. Допускается использование одного вектора атаки за раунд. Добившись успеха в первом раунде — участник занимает первое место, во втором или третьем раунде — второе и третье соответственно. Критерием успеха является изменение участником уровня привилегий с непривилегированного пользователя — до максимально возможного в системе. Организаторы оставляют за собой право снижать рейтинг участника в зависимости от типа используемой уязвимости и условий ее эксплуатации (необходимости вмешательства пользователя, ограничения развития атаки и других условий, влияющие на степень риска согласно методике CVSS).
Используемые платформы
Первый раунд:
Windows 7 Service Pack 1 (x64);
Windows Server 2008 SP2 (x64);
Debian Linux 3.3.5;
FreeBSD 9.0;
OpenBSD 5.1;
OS X 10.7.4.
Второй раунд:
Windows 7 Service Pack 1 (x86);
Windows Server 2003 SP2;
Windows XP SP3 (x86);
Debian Linux 2.6.32-45;
FreeBSD 8.0;
OpenBSD 5.0;
OS X 10.7.1.
Третий раунд: набор платформ идентичен таковому для первого раунда. Возможно использование популярного ПО для обеспечения безопасности (антивирусов, HIPS, и т. п.) стороннего производителя (обсуждается с организаторами при регистрации на конкурс).
Условия участия
К конкурсу допускаются специалисты, которые прошли предварительную регистрацию. Заявки принимаются по адресу phdcontests@ptsecurity.ru. Дата окончания регистрации — 28 мая 2012 года. В заявке необходимо указать имя участника и платформу, выбранную в качестве цели атаки. Организаторы конкурса оставляют за собой право отклонить заявку, если участник не подтвердит свою компетентность.
Призы
I место — 75 000 руб.
II место — 50 000 руб.
III место — 30 000 руб.
В случае если на определенное место претендуют несколько участников соревнования, победитель выявляется посредством экспертной оценки технических характеристик эксплойта (сложности эксплуатации, стабильности и т. п.).
Посещение всех мероприятий форума Positive Hack Days для участников конкурса бесплатное.
Технические детали
Окончательно решение о версиях ПО, которое будет использоваться для проведения конкурса, принимается не менее чем за две недели до начала мероприятия (информация публикуется на сайте форума PHDays по адресу http://www.phdays.ru). После каждой попытки эксплуатации уязвимости операционная система восстанавливается в начальное состояние. Все программное обеспечение, необходимое для проведения атаки, участник выбирает и использует самостоятельно.
Чтобы ответственно подойти к разглашению информации, можно:
связаться с разработчиком ПО и предоставить непосредственно ему подробное описание найденных уязвимостей;
передать информацию об уязвимостях в CERT ( https://www.cert.org );
передать сведения об уязвимостях через UpSploit ( https://www.upsploit.com );
передать описание уязвимостей, приняв участие в одной из официальных программ вознаграждения за найденные уязвимости, например в Zero Day Initiative ( http://www.zerodayinitiative.com/ ).
Социальные сети могут стать жертвами кибератак со стороны властей
По мнению IT-специалистов, в настоящее время социальные сети, к примеру, Facebook и Twitter, должны считать себя более уязвимыми к киберугрозам чем ранее, что связано с большим вниманием к угрозам безопасности со стороны властей различных государств. Об этом сообщает The Register.
Вице-президент компании Comodo Group Филипп Халлам-Баркер (Phillip Hallam-Barker) заявил: «Так как государства вступают в игру, пользователи должны серьезно относиться к безопасности. Facebook и Twitter должны считать себя мишенью, потому что они представляют интерес для стран».
По словам эксперта, уровень заинтересованности стран в Интернет возрастает, в частности это касается государственных атак различных видов. Со времен заражения компьютерных систем вирусом Stuxnet в 2010 году количество атак со стороны государств значительно возросло.
Халлам-Баркер также напомнил о взломе серверов компаний, которые занимались выдачей цифровых сертификатов. Наиболее известным инцидентом безопасности в этой сфере был взлом который DigiNotar, который негативно повлиял на деятельность большого количества компаний.
Эксперт отметил необходимость создания инструмента для предоставления безопасности, который будет «соответствовать старым требованиям, а также добавит новшества для защиты инфраструктуры от угроз со стороны властей.
Студентка приговорена к заключению за призывы к убийствам
Студентка юридического факультета приговорена к 17 месяцам тюремного заключения за распространение в социальной сети Twitter расистских и антиправительственных сообщений, в которых призывала выступить против жителей северо-восточного региона страны.
Согласно информации The Associated Press, в ноябре 2010 года, когда нынешний президент страны Дилма Русеф (Dilma Rousseff) баллотировалась на выборах, студентка Маяра Петрусо (Mayara Petruso) на своей странице в Twitter призывала к убийству сторонников кандидата.
Прокуратурой было возбуждено уголовное дело, по результатам рассмотрения которого суд вынес решение о тюремном заключении обвиняемой, сроком на 17 месяцев.
Учитывая чистосердечное признание подсудимой, суд изменил меру наказания, приговорив Петрусо к общественным работам и уплате штрафа в размере $250.
Positive Technologies поможет клиентам RU-CENTER
Сегодня интернет-адрес в глазах потребителей прочно ассоциируется с торговой маркой, и потеря доменного имени в результате мошеннических действий грозит любой организации серьезными финансовыми и репутационными убытками. Доступ хакера к управляющей панели хостинг-провайдера также чреват серьезнейшими проблемами, включая утрату конфиденциальной информации (клиентской базы, корпоративной почты и т. п.). Кроме того, потеря технического контроля над ресурсом может привести к внедрению вредоносного кода, включению в ботнет и рассылке спама, грозящего санкциями со стороны поисковых сервисов.
Многообразие рисков требует от всех представителей интернет-индустрии внимания к повышению безопасности конечных пользователей. Плодотворное взаимодействие RU-CENTER и Positive Technologies позволит владельцам доменных имен и сайтов контролировать уровень своей защищенности и предупреждать большинство возможных кибератак.
Над проблемой повышения уровня безопасности конечных пользователей эксперты компании Positive Technologies работают более 10 лет. Одним из результатов кропотливой работы является SurfPatrol — удобный и бесплатный онлайн-помощник для защиты браузера и его надстроек. SurfPatrol проверяет на уязвимости практически любой популярный браузер и большинство распространенных плагинов, функционирующих на четырех платформах — Windows, MacOS, iOS и Android.
Помимо задачи повышения защищенности клиентов можно выделить еще одно направление совместной деятельности Positive Technologies и RU-CENTER — пропаганду безопасного использования сети Интернет.
«Сотрудничество с компанией Positive Technologies позволит нам повысить уровень информационной безопасности владельцев доменных имен и потребителей услуг хостинга. В дальнейшем база потенциальных потребителей услуги может прирасти всей клиентской базой группы компаний Hosting Community, процесс слияния с которой компании RU-CENTER находится в завершающей стадии», — рассказывает Андрей Воробьев, директор по связям с общественностью и взаимодействию с органами государственной власти RU-CENTER.
«Низкий уровень информационной безопасности конечных пользователей требует безотлагательного объединения усилий государства, бизнеса и IT-сообщества, — замечает Евгений Гринь, директор ритейл-направления Positive Technologies. — Наши исследования показали, что примерно 90% пользователей Рунета уязвимы для кибератак. Компания Positive Technologies вносит свою лепту в процесс оздоровления российского интернет-пространства, в повышение уровня безопасности каждого владельца компьютера. Благодаря сотрудничеству Positive Technologies с крупнейшим регистратором доменных имен в России, компанией RU-CENTER, нашими технологиями сможет воспользоваться значительно более широкий круг пользователей».
О компании RU-CENTER
RU-CENTER (ЗАО «Региональный Сетевой Информационный Центр») — первый в России и крупнейший профессиональный регистратор доменов и один из ведущих хостинг-провайдеров. RU-CENTER работает на рынке регистрации доменов уже больше 10 лет и в настоящее время обслуживает свыше 3 млн доменных имен. RU-CENTER предоставляет высоконадежные хостинг и DNS-серверы, защищенные от DDoS-атак, а также сервисы вторичного рынка — «Аукцион» (Премия Рунета 2007) и «Паркинг доменов».
О компании Positive Technologies
Positive Technologies — лидер европейского рынка систем анализа защищенности и соответствия стандартам. В основе продуктов и услуг компании — опыт крупнейшего в Европе исследовательского центра Positive Research, обладающего уникальными знаниями в сфере практической информационной безопасности. Продукты Positive Technologies — MaxPatrol и XSpider — обладают репутацией лучших разработок в этой области.
Сайты госорганов не соответствуют законодательству ЕС
Большинство сайтов госорганов Великобритании, скорее всего, уже не успеют привести в соответствие с новым законом ЕС о cookie-файлах, который вступает в силу на следующей неделе. Закон о конфиденциальности коммуникаций ЕС вступил в силу ещё 26 мая прошлого года. Законодательный акт требует от интернет сайтов, размещённых на территории ЕС, запрашивать согласие пользователей на загрузку cookie-файлов сайта на их компьютеры.
Учитывая неготовность Великобритании к выполнению данной директивы, Комиссар по информации (ICO) сообщил, что британским сайтам будет предоставлена отсрочка сроком на 1 год. За это время им следовало подготовиться и решить, каким образом получать согласие пользователей на загрузку cookie-файлов, не превратив при этом их работу в бесконечную серию щелчков по всплывающим окнам.
Хотя с момента введения отсрочки прошел уже год, оказалось, что сайты госорганов Великобритании все еще не готовы к вступлению закона в действие.
В интервью BBC представитель секретариата кабинета министров Великобритании заявил: «Большинство правительственных сайтов, скорее всего, не удастся привести в соответствие с новым законом ЕС к 26 мая этого года». По информации, полученной PC Pro в секретариате кабинета министров, работа в данном направлении ведётся непрерывно. Имеющийся прогресс вцелом, удовлетворяет Комиссара по информации. Это обстоятельство позволяет администраторам государственных сайтов, получить ещё немного времени, чтобы решить, как использовать необходимые для навигации cookie-файлы не перегружая пользователей запросами.
В случае невыполнения требований законодательства, Комиссар по информации вправе наложить на несоответствующие законодательству сайты штраф в размере до 500000 фунтов. Однако, большинство специалистов в сфере интернет-права сходится во мнении, что Комиссар вряд ли прибегнет к мерам подобного рода, если только тот или иной сайт не будет уличен в преднамеренном уклонении от выполнения требований действующего законодательства и применении наиболее навязчивых cookie-файлов.
Из больницы утекли данные и деньги
Через месяц после утечки 34 тыс. персданных в больнице университета Говарда разыгрался новый скандал: сотрудника обвиняют в разглашении личных данных пациентов. В конце марта больница университета Говарда уведомила более чем 34 тыс. пациентов о краже ноутбука подрядчика, где была записана их личная информация. А всего несколько дней назад федеральные власти начали уголовное преследование сотрудницы больницы, которая обвиняется в продаже медицинских карточек пациентов.
В обвинительных документах, поданных на этой неделе в федеральный суд Вашингтона, говорится о том, что Лори Нэппер (Laurie Napper), техник отделения хирургии, с августа 2010 года по декабрь 2011 года продавала имена, адреса, даты рождения и номера полисов страхования здоровья по старости.
В судебных документах не сказано, какую сумму она получила или как именно покупатель использовал информацию; представитель больницы также не ответил на эти вопросы. Федеральные власти предъявили Г-же Наппер обвинение в нелегальном разглашении личной медицинской информации граждан, и ей грозит до 10 лет тюремного заключения, если будет доказано, что она продала информацию за деньги.
Обвинение предъявлено после того, как официальные представители Говарда уведомили пациентов о том, что из машины подрядчика украден ноутбук с охраняемой медицинской информацией. Во вторник адвокат г-жи Нэппер заявил в электронном сообщении о том, что дело его клиента «не имеет ничего общего» с украденным ноутбуком. Адвокат Дани Джан (Dani Jahn), помощник федерального государственного защитника, отказался от дальнейших комментариев в отношении предъявленных обвинений.
Комментирует Николай Федотов, главный аналитик InfoWatch: «Давно отмечено, что страховая медицина весьма склонна к коррупции и хищениям. Особенно когда страхование осуществляется в масштабах страны, как в США. Стоит копнуть в любом месте - обнаруживаются мошенничества и прочие злоупотребления. Разумеется, конфиденциальность персональных данных тут не поможет, даже если её удастся обеспечить.
Ни больница, ни страховая компания, ни застрахованный - никто из участников игры не заинтересован в предотвращении утечки денег. А когда свободно текут деньги, мы, специалисты по утечкам данных - бессильны. Всеобщему материальному интересу нам нечего противопоставить».
Хакеры атаковали официальный сайт Евровидения 2012
Официальный сайт эстрадного конкурса «Евровидиние 2012» подвергся хакерской атаке. По информации новостного портала Gun.az, атака на официальный сайт эстрадного конкурса «Евровидиние 2012» (www.eurovision.az) произошла сегодня. Работа сайта была приостановлена. Источник атаки не установлен.
Также сообщается об атаке на крупный новостной портал ann.az (портал новостей Азербайджана), освещавший события Евровидения.
По сведениям бакинского информагентства «Азери Пресс» (АРА), атаку осуществила группа хакеров, именующих себя «Федаи свободы» (Fədailər), по заявлениям сотрудников сайта, атака предпринята из Ирана. На сайте ann.az были выставлены требования хакерской группы и размещено фото писателя и журналиста Рафика Таги, убитого в ноябре 2011 года в Баку, а также лозунги, направленные против «Евровидения».
Между тем, организаторы конкурса не подтвердили информацию о хакерской атаке, заявив лишь, что сайт эстрадного конкурса недоступен по техническим причинам.
e4rat оптимизатор Ext4
Доступно обновление проекта e4rat 0.2.3, в рамках которого развивается система для увеличения скорости загрузки системы и отдельных приложений, использующая для достижения данной цели перераспределение блоков в файловой системе Ext4. Утилита пытается оценить порядок загрузки и участвующие в загрузке компоненты, после чего физически перераспределяет их на диске таким образом, чтобы сократить число перемещений головок и минимизировать время доступа к данным.
В работе утилиты используется ioctl EXT4_IOC_MOVE_EXT, позволяющий выполнять на лету операции дефрагментации данных. Данный ioctl реализован в ядрах Linux начиная с версии 2.6.31. Готовые установочные пакеты с e4rat подготовлены для Debian Linux.
Судя по тестам эффективность работы e4rat выше, чем можно ожидать - заявлено об ускорении фазы загрузки данных до трёх раз. При оценке общего времени загрузки с использованием инструмента bootchart, e4rat позволил ускорить загрузку свежеустановленного Debian Squeeze с GNOME с 55 до 40 секунд.
Релиз систем мониторинга Icinga 1.7 и Monit 5.4
Представлен релиз системы мониторинга Icinga 1.7, которая представляет собой форк системы мониторинга Nagios, отделившийся в начале мая 2009 года вследствие конфликта независимых разработчиков с компанией Nagios Enterprises. Исходные тексты Icinga распространяются в рамках лицензии GPL. Для загрузки подготовлены два архива - с классическим интерфейсом на языке С++ и новым интерфейсом на языке PHP. Дополнительно поставляется пакет icinga-reporting, с реализацией аналитического модуля для генерации отчетов, написанного на языке Java и работающего вкупе с системой JasperServer.
От Nagios проект Icinga отличается переработанной архитектурой, переведенной на использование прослоек IDOMOD и IDO2DB, позволяющих организовать хранение данных мониторинга и конфигурационной информации в СУБД MySQL, Oracle или PostgreSQL. Структура Icinga оптимизирована для развертывания распределенных систем мониторинга, при которой возможно создание нескольких агентов мониторинга, осуществляющих проверки и направляющих результаты на основной узел. В состав Icinga входит более гибкий и удобный модульный web-интерфейс, переписанный на языке PHP, активно использующий AJAX и и представляющий статистику в виде графиков. Для обеспечения интеграции с внешними сервисами предусмотрено несколько API: XML, JSON, SOAP.
В новой версии расширены возможности как классического интерфейса, продолжающего развитие web-интерфейса Nagios, так и принципиально нового web-интерфейса, переписанного на языке PHP. В классическом интерфейсе добавлено два новых режима просмотра конфигурации - "опции конфигурации CGI" для просмотра параметров авторизации пользователей и "изменённые атрибуты" для просмотра просмотра конфигурации хостов и сервисов в сравнении с последними атрибутами добавленными через фронтэнд. Также добавлены дополнительные опции для управления детализацией лога и карты состояния, реализован гибкий метод рассчёта времени простоя.
В новом web-интерфейсе, кроме вышеотмеченных экранов просмотра конфигурации, добавлена возможность сохранения и загрузки собственных фильтров отображения. В бэкенд интегрировано дополнение DQL (Doctrine Query Language), позволяющее продвинутым пользователям и разработчикам создавать свои собственные модули просмотра (cronk), получающие данные в том числе из внешних БД и систем. В обоих web-интерфейсах унифицированы многие вычисления, включая проверки времени запуска, продолжительности проблем, ожидающих проверки состояний, информации о производительности и т.д.
Дополнительно можно упомянуть о выходе новой версии Monit 5.4 - легковесного пакета для организации мониторинга серверов. Monit устанавливается на конечные серверы и обеспечивает возможность отправки уведомлений в случае обнаружения проблем, таких как нарушение доступности хоста, нехватка места на диске, изменение контрольной суммы для файла и т.п. Кроме того, Monit может автономно выполнять определенное действие в качестве реакции на заданные события (например, перезапустить упавший процесс или принять какие-то меры в случае нехватки памяти и большой нагрузки на CPU). Для просмотра состояния и внешнего управления в Monit встроен небольшой http-сервер . Программа написана на языке Си и может работать с минимальным числом внешних зависимостей. Дополнительно развивается web-интерфейс M/Monit для обеспечения централизованного мониторинга за группой серверов, на которых установлен Monit.
Новая версия Monit примечательна обеспечением поддержки сборки с использованием библиотеки uCLibc, часто используемой во встраиваемых Linux-системах. Кроме того, добавлена возможность проверки времени работы процесса, что позволяет предпринять определённые действия, если указанный процесс выполняется дольше заданной величины, например, указав "if uptime > 3 days then restart" можно перезапускать процесс раз в три дня.
Уязвимости в sudo OpenOffice Sympa Libxml2 gdk-pixbuf QuickTime RealPlayer Pidgin
Несколько недавно обнаруженных уязвимостей:
В корректирующих обновлениях утилиты sudo 1.8.5p1 и 1.7.9p1 устранена уязвимость, позволяющая обойти заданное в конфигурации sudoers ограничение выполнения операций для заданных IPv4-подсетей. Проблема вызвана ошибкой в коде разбора сетевых масок и может быть использована пользователем для выполнения команд на любом доступном хосте, невзирая на заданное в настройках явное перечисление подсетей на которые распространяется действие выполняемой команды. Проблема наблюдается в sudo с 1.6.9p3 по 1.8.4p4 версии. В качестве обходного пути защиты вместо подсети можно использовать netgroup, имена хостов или перечисления IP;
Разработчики Apache OpenOffice раскрыли информацию о том, что в недавно выпущенном OpenOffice 3.4 были исправлены две уязвимости, проявляющиеся в OpenOffice.org 3.3 и 3.4 Beta. Уязвимости позволяли организовать выполнение кода при открытии в офисном пакете DOC-файлов с интегрированными специально оформленными JPEG-объектами и при импорте файлов в формате WPD (Wordperfect);
В открытом менеджере почтовых рассылок Sympa выявлена уязвимость, позволяющая получить доступ к функциям архивирования без предварительной проверки параметров аутентификации, что может быть использовано для создания, удаления и загрузки архивов. Проблема исправлена в версии 6.1.11;
В Libxml2 найдено переполнение буфера в реализации функции "xmlXPtrEvalXPtrPart()", используемой для декодирования значений XPointer. Проблема может привести к инициированию записи за допустимые границы буфера при обработке специально оформленного XML-контента в приложениях, использующих Libxml2. Проблема исправлена в Git-репозитории проекта;
В библиотеке gdk-pixbuf найдена уязвимость, которая может привести к выполнению кода при открытии специально оформленного XBM-файла в приложении, использующем библиотеку gdk-pixbuf. Проблема исправлена в Git-репозитории проекта;
В мультимедиа плеере RealPlayer 15.0.4.53 устранены 3 уязвимости, позволяющие организовать выполнение кода при обработке специально скомпонованных файлов в форматах MP4, ASMRuleBook и RealJukebox;
В обновлении Apple QuickTime 7.7.2 устранено 17 уязвимостей, большинство из которых могут привести к выполнению кода злоумышленника при открытии специально оформленных данных (например, TeXML, H.264, MP4, MPEG, QTMovie, PNG, QTVR, JPEG2000, RLE, Sorenson);
В плагине к программе для мгновенного обмена сообщениями Pidgin pidgin-otr версии 3.2.1 устранена уязвимость, которая может быть использована для организации выполнения кода на машине пользователя через отправку специально оформленного сообщения, в случае использования плагина pidgin-otr (проблема вызвана ошибкой форматирования строки при помещении записей в лог).
Релиз системы управления проектами Redmine 2.0.0
Представлен релиз web-ориентированной свободной системы управления проектами Redmine 2.0.0, написанной на языке Ruby с использованием фреймворка Ruby on Rails. Представленный выпуск целиком был посвящен миграции на третью ветку Rails (3.2.3), каких либо существенных улучшений функциональности не добавлено. Добавление порции новшеств ожидается в следующем выпуске Redmine 2.1.0. Поддержка Rails 2.3 прекращена.
Архитектура системы и интерфейс для взаимодействия с плагинами оставлены в неизменном виде, что позволяет использовать в Redmine 2.0.0 некоторые ранее написанные плагины, уже поддерживающие Rails 3. Для остальных плагинов потребуется внесение незначительных изменений, направленных на обеспечение совместимости с Rails 3.
Релиз дистрибутива Chakra Linux 2012.05
Представлен релиз Linux-дистрибутива с непрерывным циклом выпуска обновлений Chakra 2012.05, основанного на наработках проекта Arch Linux. Дистрибутив поставляется с десктоп-окружением KDE 4.8.3, снабжён графическим инсталлятором и конфигураторами, упрощающими настройку оборудования и системных параметров. Chakra GNU/Linux может работать в Live-режиме и устанавливаться на жёсткий диск.
Для загрузки доступны сборки DVD (1.4 Гб) и CD (720 Мб). DVD-сборка отличается более полной подборкой программ (LibreOffice, Clementine, Tomahawk, XBMC, Calibre, Minitube, K3b) и включает пакеты для поддержки дополнительных языков. В состав CD входит только минимальный набор стандартных приложений KDE, но в процессе инсталляции с CD-диска можно выбрать установку по сети Chromium, OpenOffice.org, LibreOffice, FileZilla, aMule, GIMP, Inkscape, Kompozer, TrueCrypt, DeVeDe, Scummvm и других программ. В репозитории проекта представлено более 5 тыс. пакетов, которые могут быть установлены при помощи пакетного менеджера pacman (ранее поставляемый GUI-интерфейс Appset-qt более не используется, так как не способен обеспечить корректный процесс обработки сложных обновлений). Дополнительные пакеты могут быть установлены через систему Click'n'Run, путём выбора соответствующей программы в web-каталоге.
Среди особенностей Chakra GNU/Linux 2012.05:
KDE 4.8.3;
ядро Linux 3.2.8 (опционально 3.0.22);
Qt 4.8.1 и QtWebkit 2.2.1;
В базовую поставку добавлен инструментарий tomoyo-tools 2.5 (аналог AppArmor); Осуществлён переход с module-init-tools на kmod, новый инструментарий для управления загрузкой модулей ядра;
Обновление набора компиляторов gcc 4.7 и системной библиотеки glib2 2.15;
Обновление проприетарных драйверов nvidia и catalyst;
Обновление группы приложений sqlite3, unixodbc и python.
Релиз системы видеомонтажа Kdenlive 0.9
После года разработки представлен релиз системы нелинейного видеомонтажа Kdenlive 0.9, поддерживающей редактирование видеозаписей в форматах DV, HDV и AVCHD. Редактор предназначен для полупрофессионального использования и поддерживает все базовые операции по редактированию видео, например, позволяет используя шкалу времени произвольно смешивать видео, звук и изображения, а также применять многочисленные эффекты. При работе программы используются такие внешние компоненты, как FFmpeg, фреймворк MLT и система оформления эффектов Frei0r. Благодаря использованию FFmpeg поддерживается большое число форматов и кодеков, как обычных Mpeg2, mp4, h264, SNOW lossless, Ogg vorbis, так и профессиональных XDCAM-HD, IMX (D10), DVCAM (D10), DVCAM, DVCPRO, DVCPRO50.
Ключевые улучшения:
Поддержка выравнивания нескольких видеотреков на основании совпадения звукового потока. Например, Kdenlive позволяет автоматически выравнять по звуку записанные с разных камер видеоклипы на шкале времени;
Переписанная система управления эффектами, значительное упрощение использования эффектов. Поддержка одновременной настройки параметров разных эффектов через единый виджет. Возможность группировки эффектов, сохранение/чтение группы, и применение группы путем простого перетаскивания мышью на другой клип (drag&drop);
Поддержка предварительного просмотра и импорта контента из online-сервисов. В настоящее время предоставлена возможность загрузки графики, видео и звука из archive.org, FreeSound и Open clip art;
Поддержка мониторинга корректности процесса записи по критериям наличия звука и сохранения цвета определённых областей, для улучшения результата может применяться анализ на основе нормализации звука;
Режим записи только звука, без видео;
Поддержка сортировки клипов по дате;
Новые эффекты от проектов MLT и frei0r: стабилизация видео, IIR-размывание и т.д.
Режим редактирования в offline-режиме (работа с предварительно созданным архивом через прокси);
Релиз web-браузера Chrome 19
Компания Google представила релиз web-браузера Chrome 19, доступного для платформ Linux, Mac OS X и Windows. Браузер построен на кодовой базе свободного проекта Chromium и отличается использованием логотипов Google, встроенной поддержкой Flash и PDF, наличием системы отправки уведомлений в случае краха, системой автоматической установки обновлений и передачей при поиске RLZ-параметров.
Основные улучшения:
Поддержка синхронизации открытых вкладок между разными устройствами. После включения данной функции все привязанные к аккаунту пользователя браузеры на разных устройствах (включая смартфоны), дадут возможность просмотреть содержимое открытых вкладок на других устройствах через меню "Другие устройства" ("Other devices"). Возможность работает только при привязке Chrome к аккаунту Google. Кроме синхронизации вкладок при такой привязке в прошлых выпусках была обеспечена синхронизация установленных web-приложений, закладок, расширений, истории посещений, визуальных тем и других настроек.
JavaScript-движок V8 обновлён до версии 3.9.24.7;
Многочисленные изменения, направленные на повышение стабильности работы.
Кроме нововведений и исправления ошибок, в новой версии устранено 20 уязвимостей, из которых 8 помечены как опасные, 7 - умеренные и 5 - незначительные. Среди уязвимостей не отмечено критических проблем, которые позволили бы обойти все уровни защиты браузера. Многие из исправленных уязвимостей выявлены при помощи инструментария address-sanitizer, предназначенного для автоматизированного определения фактов обращения к освобождённым областям памяти, выхода за пределы границ выделенного буфера и некоторых других типов ошибок при работе с памятью.
Среди опасных уязвимостей: обращение к уже освобождённой памяти через манипуляции с элементом style, через API Indexed DB, при обработке таблиц и PDF-файлов, некорректная запись данных в реализации регулярных выражений движка v8, запись за границы буфера при работе OGG-контейнеров, выход за границы буфера в PDF-просмотрщике. Отдельно отмечены уязвимости проявляющиеся из-за проблем в сторонних компонентах: уязвимость из-за ошибки в Linux-драйвере для видеокарт NVIDIA и выход за границы буфера в libxml.
В рамках программы по выплате денежного вознаграждения за обнаружение уязвимостей для текущего релиза компания Google выплатила исследователям безопасности 7500 долларов США (одна премия 1500$, четыре премии по 1000$ и четыре по 500$). Дополнительно шести исследователям безопасности выплачена премия в размере 9000$, в качестве поощрения за помощь в работе над исправлением уязвимостей.
