H

TTP Strict Transport Security (HSTS) jest opcjonalnym mechanizmem zabezpieczeń, w którym serwer WWW oświadcza klientowi (np. przeglądarce internetowej), że komunikacja powinna odbywać się tylko po bezpiecznym połączeniu. Oświadczenie serwera WWW odbywa się poprzez zastosowanie specjalnego nagłówka odpowiedzi HTTP: “Strict-Transport-Security“. Klient obsługujący mechanizm HSTS otrzymując ten nagłówek będzie zapobiegał wszelkiej łączności poprzez protokół HTTP w określonej domenie i starał się, aby wszystkie połączenia odbywały się przez HTTPS.
[ czytaj całość… ]

“B

lisko 1% stron internetowych opartych na systemach CMS (takich jak WordPress lub Joomla) nieświadomie udostępnia dane do baz danych, dla tych którzy wiedzą gdzie ich szukać.” – do takiego wniosku doszedł Feross Aboukhadijeh pisząc mały programik o nazwie CMSploit. Ideą, na której polega jego działanie jest następująca:
[ czytaj całość… ]

Ostrzeżenie od firmy Microsoft dla całego Internetu: upewnijcie się, że wasze certyfikaty posiadają co najmniej 1024 bity. Z dniem 9 października 2012 roku – tylko dłuższe klucze będą obowiązkowe dla wszystkich cyfrowych certyfikatów szyfrowania, które dotykają systemów Windows. Oznacza to, że Internet Explorer będzie odmawiał dostępu do stron internetowych, które nie mają kluczy RSA o minimum długości 1024 bitów. Z tego samego powodu w systemie Windows nie będzie można wymieniać zaszyfrowanych wiadomości, uruchamiać formatów ActiveX i instalować aplikacji.
[ czytaj całość… ]

G

oogle Dorks, czyli Googlowi Idioci – odnosi się do ludzi, których wrażliwe dane prowadzonych serwisów zostały ujawnione poprzez specyficzne zapytania zadane wyszukiwarce Google, w celu znalezienia konkretnych błędów zwracanych przez źle zakodowane lub skonfigurowane aplikacje webowe. Na przykład wpisanie w wyszukiwarce Google frazy “inurl:eStore/index.cgi?” może zwrócić listę stron korzystających z oprogramowania eStore, które w 2006 roku posiadało podatność na atak directory traversal: http://serwis.pl/sklep/eStore/index.cgi?page=../../../../../../../../etc/passwd. Cały ten proces określany jest mianem Google Hacking, czyli stosowaniem specjalnie dobranych zapytań do wyszukiwarki Google, które pozwalają na odszukanie wrażliwych informacji przydatnych z punktu widzenia analizy bezpieczeństwa aplikacji i stron WWW.
[ czytaj całość… ]

L

ibvde jest projektem open source, w którego zestaw chodzą biblioteki i narzędzia umożliwiające dostęp do partycji, które zostały zaszyfrowane za pomocą Apple FileVault2 w systemie Mac OS X 10.7 Lion. Za pomocą libfvde oraz fvdetools zaszyfrowane partycje mogą zostać podmontowane i odczytane na innym niż macierzysty systemie – tj. Mac OS X lub Linux.
[ czytaj całość… ]

P

rogram diskscrub potrafi nadpisywać dane dysków twardych, plików i innych urządzeń za pomocą powtarzających się wzorów, co powoduje, że odzyskiwanie danych z tych urządzeń staje się trudniejsze lub wręcz niemożliwe. Choć najbardziej wiarygodną metodą usunięcia poufnych danych jest fizyczne zniszczenie nośników, co to jest bardzo uciążliwe i kosztowne to dla niektórych klas danych wystarczy ich nadpisanie w taki sposób, aby ich odzyskanie wymagało heroicznych wysiłków w laboratorium.
[ czytaj całość… ]

A

plikcja openssl, która jest dostarczana z biblioteką OpenSSL umożliwia wykorzystanie szerokiego wachlarzu kryptograficznych operacji. Staje się ona szczególnie przydatna w przypadku wykonywania pojedynczych zadań związanych z protokołem SSL. Program ten posiada bardzo obszerną dokumentację – dlatego poniżej postaram się przedstawić kilka praktycznych opcji i zastosowań tego programu. Zakładam, że w systemie jest już zainstalowany binarny pakiet tego oprogramowania i znajduje się w poprawnej ścieżce systemowej ($PATH).
[ czytaj całość… ]

H

ULK (HTTP Unbearable Load King) skrypt do przeprowadzania ataków DoS został napisany jako proof-of-concept przez Barry’ego Shteiman’a – głównego inżyniera bezpieczeństwa w firmie Imperva. Narzędzie to zostało opublikowane na jego prywatnym blogu sectronix.com 17 maja 2012 roku. Pierwotnym zamysłem autora było opracowanie tego narzędzia jako ćwiczenia w celu analizy i badania ataku Denial of Service. Pierwotna wersja skryptu używała statycznych wartości dla wielu nagłówków HTTP, co powodowało, że był on bardzo przewidywalny i łatwy do zablokowania.
[ czytaj całość… ]

S

uhosin jest zaawansowanym systemem bezpieczeństwa dla języka PHP. Został on zaprojektowany tak, aby chronić serwery przed już znanymi, jak i dopiero nowymi lukami w aplikacjach oraz samym rdzeniu PHP. Składa się z dwóch niezależnych części: łaty nakładanej na sam interpreter jak i rozszerzenia, które można dołączyć do już skompilowanej instalacji. Mogą zostać one wykorzystane oddzielnie lub równocześnie. Pierwsza z nich implementuje kilka niskopoziomowych mechanizmów ochrony przed przepełnieniem buforów (ang. buffer overflows), czy nadużyciami z wykorzystaniem ciągów formatujących (ang. format string vulnerabilities). Druga część jest potężnym rozszerzeniem, które pozwala na implementację reszty ochrony.
[ czytaj całość… ]

Z

e względu na opóźnienia w wydawaniu aktualizacji bezpieczeństwa w dystrybucji CentOS – w przypadku krytycznych błędów aplikacji istnieje możliwość skorzystania z łatek dostarczonych przez jego protoplastę, czyli RedHat Enterprise. Za przykład może posłużyć niedawna luka znaleziona w serwerze Apache umożliwiająca przeprowadzenie ataku DoS, w tym wersji Apache’a 2.2.15 dostarczonego wraz z 6’stą wersją tej dystrybucji, a do której do dziś nie została wydana poprawka.
[ czytaj całość… ]