Velkommen til januarudgaven af SSL.coms sikkerhedssammensætning! Den første måned i 2021 har været ret actionfyldt, nyhedsmæssigt. Og det inkluderer nyheder om digital sikkerhed og krypteringsfejl, så vi afrundede et par nytårshistorier til dig:
NSA udsteder Enterprise-krypterede DNS-anbefalinger
Denne måned udstedte National Security Agency nye anbefalinger [PDF-link] vedrørende DNS over HTTPS (DoH) i virksomhedsmiljøer. Som vi har gjort nævnt før, DoH forhindrer aflytning af DNS-forespørgsler og svar, som historisk er sendt som almindelig tekst.
Implementering af DoH giver særlige udfordringer for virksomhedsnetværk. NSA'erne pressemeddelelse om anbefalingerne hedder det:
Selvom de ikke formelt er vedtaget af virksomheden, kan nyere browsere og anden software muligvis forsøge at bruge krypteret DNS alligevel og omgå virksomhedens traditionelle DNS-baserede forsvar ... Selvom det er godt for at sikre privatlivets fred i hjemmenetværk, kan DoH udgøre risici for virksomhedsnetværk, hvis det ikke er ikke korrekt implementeret.
...
NSA anbefaler, at et virksomheds netværks DNS-trafik, krypteret eller ej, kun sendes til den udpegede virksomheds DNS-resolver. Dette sikrer korrekt brug af vigtige sikkerhedskontroller i virksomheden, letter adgang til lokale netværksressourcer og beskytter interne netværksoplysninger. Alle andre DNS-opløsere skal deaktiveres og blokeres.
Dokumentet advarer også om, at DoH er "ikke et universalmiddel" og opfordrer administratorer til at være opmærksomme på en falsk følelse af sikkerhed: "DoH garanterer ikke beskyttelse mod cybertrusselhandlingors og deres evne til at se, hvor en klient går på nettet. ” Agenturet bemærker også, at hvis DoH ikke implementeres med omhu, kan det forstyrre virksomhedernes egen sikkerhedsrelaterede trafikinspektion.
Apple fjerner Firewall Bypass “Feature” i macOS
Husk vej ind igen november da Apple tog det upopulære valg om at lade sine egne apps omgå firewalls og andre tredjepartsapplikationer? Nå, i år har Apple besluttet ikke at gøre det længere. Som rapporteret af Ravie Lakshmanan for The Hacker News, rejste problemet først øjenbrynene i efteråret efter frigivelsen af Big Sur og fremkaldte advarsler om, at valget “var modent til misbrug ... det kunne udnyttes af en angriber til at exfiltrere følsomme data ved at piggybacke det videre til legitime Apple-apps inkluderet i listen og derefter omgå firewalls og sikkerhedssoftware. ” Artiklen citerer Patrick Wardle, en hovedforsker i sikkerhed JAMF, om Apple's backtrack: "Efter masser af dårlig presse og masser af feedback / fejlrapporter til Apple fra udviklere som mig selv, ser det ud til, at klogere (mere sikkerhedsbevidste) sind hos Cupertino sejrede."
Adobe Flash er endelig forbi
Ligesom vores browsere har advaret os for evigt, er Adobe Flash forbi. Eller som Simon Sharwood er meget dramatisk overskrift proklamerer på The Register, “Det er det. Det er overstået. Det er virkelig forbi. Fra i dag fungerer Adobe Flash Player ikke længere. Vi er fri. Vi kan bare forlade ... Post-Flashpocalypse, vi snubler udenfor og håber, at ingen nogensinde skaber software så usikker som den nogensinde igen.”Fra den 12. januar 2021 vil enhver, der forsøger at få adgang til indhold i Adobes Flash Player, se en" dødsmeddelelse ", der fører til en" generel informationsside ", hvor" Adobe anbefaler alle brugere omgående at afinstallere Flash Player til hjælpe med at beskytte deres systemer. ”
Da Register-artiklen hylder Flash, var softwaren et uvurderligt værktøj i årtier, indtil dets usikkerhed blev for meget at bære:
I 2005 erhvervede Adobe, som på det tidspunkt rigtigt havde fundet ud af, at onlineindhold skulle være temmelig større end desktop-udgivelse, Macromedia til dels for at få fat i Flash.
Dette hjalp Adobe med at cementere sin rolle som de facto-standarden for kreative værktøjer. Men Adobe fik også en stigende sikkerhedsbyrde, fordi Flash ikke var godt bygget. Hackere bemærkede, at pluginet var den schweiziske ost inden for computersikkerhed - fuld af huller - og udnyttede softwaren nådesløst til at inficere ofre rundt om i verden med malware.
Efter mange års overgreb og stigningen i alternativer annoncerede Adobe Flashens bortfald i juli 2017 og sagde, at supporten blev droppet den 31. december 2020.
Og nu har virksomheden opfyldt dette løfte med en “logisk bombe” i de nyere versioner af Flash Player, der har forhindret koden i at gengive indhold siden 12. januar. Selv med den store advarsel medførte Flashs død nogle problemer. Betydeligt og underligt kørte byen Dalian i det nordlige Kina sit jernbanesystem med Flash. Det var nede i 20 timer inden den kørte igen på en piratkopieret version.
MalwareBytes ramt af SolarWinds hackere
I december 2020 angreb SolarWinds skabte store overskrifter, da hackere var i stand til at bruge dets softwarefordelingssystem til at inficere kundenetværk. Denne måned afslørede sikkerhedsfirmaet Malwarebytes, at det var kompromitteret af den samme gruppe, der kompromitterede mindst et dusin amerikanske regeringsorganer og private virksomheder. Ifølge en artikel af Dan Goodin i Ars Technica, har efterforskere fundet ud af, at hackerne havde adgang til nogle interne virksomheds-e-mails og "intet bevis for uautoriseret adgang eller kompromis i nogen Malwarebytes-produktionsmiljøer." Det betyder dog ikke, at angrebet var ubetydeligt. Fra artiklen:
"I vores særlige tilfælde tilføjede trusselsaktøren et selvsigneret certifikat med legitimationsoplysninger til service-hovedkontoen," skrev Malwarebytes-forsker Marcin Kleczynski. "Derfra kan de godkende ved hjælp af nøglen og foretage API-opkald for at anmode om e-mails via MSGraph."
Sidste uge sagde e-mailadministrationsudbyder Mimecast også, at hackere kompromitterede et digitalt certifikat, det udstedte, og brugte det til at målrette udvalgte kunder, der bruger det til at kryptere data, de sendte og modtog gennem virksomhedens skybaserede service. Mens Mimecast ikke sagde, at certifikatkompromiset var relateret til det igangværende angreb, gør lighederne det sandsynligt, at de to angreb er relateret.
Ifølge artiklen er Malwarebytes-overtrædelsen for fjerde gang, en virksomhed afslører, at den blev målrettet af de nationalstatssponsorerede hackere, der var ansvarlige for SolarWinds-hændelsen. Derudover blev en række regeringsorganer, som angiveligt inkluderer forsvarsdepartementet, retfærdighed, finansministeriet og de nationale sundhedsinstitutter, også målrettet af agenterne.
