Hyvää kevät kaikille lukijoillemme! Tervetuloa tänä maaliskuussa julkaistuun SSL.com Security Roundup -sarjaan, jossa tarkastelemme jälleen erästä kuukautta, joka kului vuonna 2021. Tarkastelemme erityisesti viimeistä kuukautta digitaalisen turvallisuuden alalla ja olemme keränneet sen, mitä pidämme kaikkein uutisarvoisimpana. asioita tuossa valtakunnassa, sinulle, alla.
IETF poistuu käytöstä TLS 1.0 ja 1.1
Olemme tienneet siitä jo jonkin aikaa TLS versiot 1.0 ja 1.1 ovat epävarmoja. Internet Engineering Task Force (IETF) vain teki siitä virallisen RFC 8996, joka muodollisesti vanhentaa näitä vanhentuneita TLS versiot.
Abstraktista:
Tämä asiakirja poistaa muodollisesti Transport Layer Securityn (TLS) versiot 1.0 (RFC 2246) ja 1.1 (RFC 4346). Niinpä nämä asiakirjat on siirretty historialliseen asemaan. Näistä versioista puuttuu tuki nykyisille ja suositelluille salausalgoritmeille ja -mekanismeille sekä erilaisille julkishallinnon ja teollisuuden sovellusten profiileille TLS nyt mandaatti välttää näitä vanhoja TLS versiot. TLS versiosta 1.2 tuli suositeltu versio IETF - protokollille vuonna 2008 (sen jälkeen vanhentunut TLS versio 1.3 vuonna 2018), mikä tarjoaa riittävästi aikaa siirtyä pois vanhemmista versioista. Vanhempien versioiden tuen poistaminen toteutuksista vähentää hyökkäyspintaa, vähentää virheellisiä määrityksiä ja virtaviivaistaa kirjaston ja tuotteiden ylläpitoa.
Chrome 90: n oletusarvo on HTTPS
Versiosta 90 lähtien Chromen osoitepalkki käyttää HTTPS: ää oletusprotokollana. Tämä tarkoittaa, että URL-osoitteet, jotka on syötetty ilman etuliitettä, kuten useimmat käyttäjät yleensä tekevät, ovat turvallisempia https:// sijasta http://, joka oli Chromen oletus tähän asti. Kytkimellä on ilmeisiä turvallisuusvaikutuksia - HTTPS on turvallisempi ja estää salakuuntelun ja sieppauksen salaamalla liikenteen. Chrome-kytkin tarjoaa myös parannuksen suorituskykyyn, koska se poistaa tarpeen ohjata edellisestä oletusasetuksesta laajemmin käytettyyn protokollaan. Ilmoittamat Ishayoiden opettaman Chromium-blogi:
Sen lisäksi, että tämä muutos on selkeä tietoturvan ja yksityisyyden parannus, se parantaa HTTPS: ää tukevien sivustojen alkuperäistä latausnopeutta, koska Chrome muodostaa yhteyden suoraan HTTPS-päätepisteeseen ilman, että sitä on ohjattava osoitteesta http: // osoitteeseen https: //. Sivustoilla, jotka eivät vielä tue HTTPS: ää, Chrome palaa takaisin HTTP: ksi, kun HTTPS-yritys epäonnistuu (myös silloin, kun on olemassa varmentevirheitä, kuten nimen ristiriita tai epäluotettava itse allekirjoitettu varmenne, tai yhteysvirheitä, kuten DNS-resoluution epäonnistuminen) .
Aluksi kytkin otetaan käyttöön Chrome Desktopissa ja Chrome Androidille. Seuraavaksi vaihdetaan Chrome iOS: ssä.
Verkada Hack paljastaa 150,000 XNUMX turvakameraa
Melko epämiellyttävässä alussa Silicon Valley -yritys, joka tunnetaan nimellä Verkada, kärsi massiivisesta tietoturvaloukkauksesta. Hakkerit ottivat hallintaansa yli 150,000 XNUMX kameraa, jotka sijaitsevat vankiloissa, poliisiasemilla, Teslan tehtaissa, sairaaloissa, kuntosaleilla ja jopa yrityksen toimistoissa. Miksi nämä kamerat olivat niin herkissä paikoissa? No, koska Verkada on valitettavasti turva-alan yritys. Mukaan laaja raportti by Bloombergin William Turton, hakkerit saivat käyttöoikeuden käyttäjätunnuksen ja salasanan avulla, joka löytyi verkosta "Super Admin" -tilille, ja ne antoivat pääsyn kaikkien yrityksen asiakkaiden kameroihin.
Tämä pääsy antoi tunkeilijoille mahdollisuuden nähdä sairaalahuoneita, todistajahaastatteluja poliisin ja rikoksesta epäiltyjen välillä sekä nähdä, kuka oli käyttänyt kulunvalvontakorttia Tempen sairaalassa. Mitä tulee hakkerin motivaatioon, Bloomberg raportit:
Tietorikkomuksen teki kansainvälinen hakkeriyhdistys, ja sen tarkoituksena oli osoittaa videovalvonnan yleisyys ja helppous, jolla järjestelmiin voidaan murtautua, kertoi yksi hakkereista Tillie Kottmann, joka väitti luottoa San Mateossa, Kaliforniassa sijaitsevan, rikkomisesta Verkada. Kottmann, joka käyttää heitä / heitä pronomineja, on aiemmin hakenut hyvitystä hakkerointiyrityksen Intel Corp.:n ja autonvalmistajan Nissan Motor Co: n hakkeroinnista. Kottmann sanoi, että syyt hakkerointiin ovat "paljon uteliaisuutta, taistelua tiedon vapauden puolesta ja henkistä omaisuutta vastaan, valtava annos antikapitalismi, vihje anarkismista - ja on myös liian hauskaa olla tekemättä sitä. "
Hakkerointi "paljastaa kuinka laajasti meitä seurataan ja kuinka vähän huolta kiinnitetään ainakin siihen käytettyjen alustojen turvaamiseen tavoittelematta muuta kuin voittoa", Kottmann sanoi.
Tapahtuman jälkeen Verkada poisti kaikki sisäiset järjestelmänvalvojien tilit ja aloitti tutkinnan.
Netop Vision -ohjelmiston suurimmat tietoturvaongelmat
Pelottavissa uutisissa vanhemmille, jotka yrittävät vain selviytyä muusta kotona oppimisesta, Netop Visionista on löydetty suuria tietoturva-aukkoja - suosittu virtuaalinen oppimisohjelmisto, jota noin 3 miljoonaa opettajaa ja opiskelijaa käyttää. Netop mahdollistaa kotona oppimisen toimimalla opiskelijoiden seurantajärjestelmänä, jonka avulla opettajat voivat työskennellä etänä opiskelijoiden tietokoneiden kanssa. Sitä käytetään pääasiassa koulun tietokonelaboratorioiden tai luokkahuoneiden hallintaan. Covidin takia opiskelijat ovat kuitenkin ottaneet kotitietokoneet etäopetuksen ohjelmiston kanssa lisäämällä sen ulottuvuutta ja haavoittuvuutta.
Tutkijat McAfeessa ilmoittivat että he olivat löytäneet neljä kriittistä puutetta luokanhallintaohjelmistossa. Virheet voivat antaa hyökkääjille mahdollisuuden hallita tietokoneita, varastaa tunnistetietoja tai asentaa lunnasohjelmia. Huolestuttavaa on, että turvallisuuskysymykset voivat myös sallia hakkereiden poseerata opettajina ja tarkkailla opiskelijoita.
Benjamin vapautui EdScoop raportoitu asiasta maaliskuussa:
McAfee's Advanced Threat Research Groupin jäsenet testasivat Netop-ohjelmaa luomalla simuloidun virtuaaliluokan, jossa yksi tietokone toimii opettajan asemana ja kolme opiskelijalaitetta. Yksi ensimmäisistä asioista, joita tutkijat huomasivat, oli se, että opettajien ja opiskelijoiden käyttäjäprofiileilla oli erilaiset käyttöoikeustasot. He havaitsivat myös nopeasti, että kaikki verkkoliikenne opettajan ja opiskelijoiden välillä lähetettiin salaamattomina paketteina - mukaan lukien kuvakaappaukset opiskelijoiden näytöistä, jotka lähetetään opettajalle - ilman mahdollisuutta ottaa salausta käyttöön.
"Näiden tietojen avulla tiimi pystyi naamioimaan itsensä opettajaksi muuttamalla koodia", McAfeen tutkijat kirjoittivat.
Saatuaan tiedon hyökkäyksestä yritys toimi nopeasti korjatakseen suurimman osan ongelmista. Ohjelmisto kuitenkin käyttää edelleen salaamattomia yhteyksiä, mikä on jatkuva riski.
