Välkommen till januariutgåvan av SSL.coms säkerhetsomgång! Den första månaden 2021 har varit ganska actionfylld, nyhetsmässigt. Och det inkluderar nyheter om digital säkerhet och krypteringsfel, så vi sammanfattade några nyårsberättelser åt dig:
NSA utfärdar företagskrypterade DNS-rekommendationer
Den här månaden utfärdade National Security Agency nya rekommendationer [PDF-länk] angående DNS över HTTPS (DoH) i företagsmiljöer. Som vi har gjort nämnts tidigare, DoH förhindrar avlyssning av DNS-frågor och svar, som historiskt har skickats som klartext.
Implementering av DoH ger speciella utmaningar för företagsnätverk. NSA: erna pressmeddelande om rekommendationerna anges att:
Även om de inte formellt antas av företaget kan nyare webbläsare och annan programvara försöka använda krypterad DNS ändå och kringgå företagets traditionella DNS-baserade försvar ... Även om det är bra för att säkerställa integritet i hemnätverk kan DoH utgöra risker för företagsnätverk om det inte är inte korrekt genomfört.
.
NSA rekommenderar att ett företags nätverks DNS-trafik, krypterad eller inte, bara skickas till den utsedda företagets DNS-resolver. Detta säkerställer korrekt användning av viktiga säkerhetskontroller för företag, underlättar åtkomst till lokala nätverksresurser och skyddar intern nätverksinformation. Alla andra DNS-upplösare ska inaktiveras och blockeras.
Dokumentet varnar också för att DoH är "inte ett universalmedel" och uppmanar administratörer att vara vaksamma mot en falsk känsla av säkerhet: "DoH garanterar inte skydd mot cyberhotors och deras förmåga att se vart en klient går på nätet. ” Byrån noterar också att DoH kan störa företagens egen säkerhetsrelaterade trafikinspektion, om den inte genomförs med försiktighet.
Apple tar bort "Feature" för brandväggsbypass i macOS
Kom ihåg vägen tillbaka November när Apple gjorde det opopulära valet att låta sina egna appar kringgå brandväggar och andra tredjepartsapplikationer? I år har Apple beslutat att inte göra det längre. Som rapporterats av Ravie Lakshmanan för Hacker News, lyfte frågan först ögonbrynen på hösten, efter släppet av Big Sur, och framkallade varningar om att valet "var mogen för missbruk ... det kunde utnyttjas av en angripare att exfiltrera känsliga data genom att piggybacka det till legitima Apple-appar som ingår i listan och kringgå sedan brandväggar och säkerhetsprogramvara. ” I artikeln citeras Patrick Wardle, en huvud säkerhetsforskare med Jamf, om backtracket från Apple: "Efter massor av dålig press och massor av feedback / bugrapporter till Apple från utvecklare som jag själv, verkar det klokare (mer säkerhetsmedvetna) sinnen hos Cupertino rådde."
Adobe Flash är äntligen över
Precis som våra webbläsare har varnat oss för alltid är Adobe Flash över. Eller som Simon Sharwood verkligen dramatisk rubrik utropar på The Register, “Det är allt. Det är över. Det är verkligen över. Från och med idag fungerar inte Adobe Flash Player längre. Vi är fria. Vi kan bara lämna ... Post-Flashpocalypse, vi snubblar utanför, hoppas att ingen någonsin skapar programvara så osäker som den någonsin igen.”Från och med den 12 januari 2021 kommer alla som försöker komma åt innehåll i Adobes Flash Player att se ett” dödsmeddelande ”som leder till en” allmän informationssida ”om livets slut, där“ Adobe rekommenderar alla användare omedelbart att avinstallera Flash Player till hjälpa till att skydda sina system. ”
Eftersom Register-artikeln hyllar Flash var programvaran ett ovärderligt verktyg i årtionden tills dess osäkerhet blev för mycket att bära:
År 2005 förvärvade Adobe, som vid det tillfället väl och riktigt räknat ut att onlineinnehåll skulle bli ganska större än skrivbordspublicering, Macromedia delvis för att få tag på Flash.
Detta hjälpte Adobe att cementera sin roll som de facto-standard för kreativa verktyg. Men Adobe fick också en ökande säkerhetsbörda eftersom Flash inte var välbyggt. Hackare märkte att insticksprogrammet var den schweiziska osten för datasäkerhet - full av hål - och utnyttjade programvaran nådelöst för att infektera offer runt om i världen med skadlig kod.
Efter år av övergrepp och ökningen av alternativ tillkännagav Adobe Flashens bortgång i juli 2017 och sa att supporten skulle tappas den 31 december 2020.
Och nu har företaget gjort det löftet med en "logisk bomb" i de senaste versionerna av Flash Player som har hindrat koden från att återge innehåll sedan den 12 januari. Även med den stora varningen orsakade Flashs död några problem. Betydligt och konstigt nog körde staden Dalian i norra Kina sitt järnvägssystem med Flash. Det var nere i 20 timmar innan den startade igen på en piratkopierad version.
MalwareBytes Hit av SolarWinds Hackers
I december 2020 attackerade SolarWinds gjorde stora rubriker, när hackare kunde använda sitt mjukvarudistributionssystem för att infektera kundnätverk. Den här månaden avslöjade säkerhetsföretaget Malwarebytes att det komprometterades av samma grupp, som komprometterade åtminstone ett dussin amerikanska myndigheter och privata företag. Enligt en artikel av Dan Goodin i Ars Technicahar utredare funnit att hackarna hade tillgång till vissa interna e-postmeddelanden från företaget och "inga bevis för obehörig åtkomst eller kompromiss i någon Malwarebytes-produktionsmiljö." Men det betyder inte att attacken var obetydlig. Från artikeln:
"I vårt speciella fall lade hotaktören till ett självsignerat certifikat med referenser till tjänstens huvudkonto", skrev Malwarebytes-forskaren Marcin Kleczynski. "Därifrån kan de autentisera med nyckeln och ringa API-samtal för att begära e-post via MSGraph."
Förra veckan sa e-posthanteringsleverantören Mimecast också att hackare komprometterade ett digitalt certifikat som det utfärdade och använde det för att rikta sig till utvalda kunder som använder det för att kryptera data som de skickade och fick genom företagets molnbaserade tjänst. Medan Mimecast inte sa att certifikatkompromissen var relaterad till den pågående attacken, gör likheterna det troligt att de två attackerna är relaterade.
Enligt artikeln är Malwarebytes-överträdelsen fjärde gången som ett företag avslöjar att det var riktat av de nationalstatssponserade hackare som ansvarar för SolarWinds-incidenten. Dessutom var ett antal statliga myndigheter, som enligt uppgift inkluderar försvar, rättsväsende, statskassan och National Institutes of Health, riktade av agenterna.
