Adatok
Aron bacsi
0 bejegyzést írt és 66 hozzászólása volt az általa látogatott blogokban.
Aki nagy naivan arra gondolt, hogy még tömegével létezik a naptárban olyan üres dátum, ami nem pont éppen valaminek a világnapja, annak ezúton üzenjük, hogy mélységesen téved. Mert szinte minden napra jut valami, például van Planetáris tudat világnapja, a Szellemi Tulajdon…..
Aron bacsi
2015.04.02 22:11:16
Az M-Disc technológiás cuccok elvileg pont jók lehetnek, nem? Igaz, azóta már Verbatim is re-brandeli, láttam is neten webshopban Blu-ray lemezt: 1000+ évre 25 GB 1.400 Ft-ért. Hozzá pedig, ha jól tudom akkor az ASUS írókban van most Pioneer elektronika (pl. ASUS BW-12D1S-U), ami jónak mondható.
Az OpenSSL 1.0.1-es főverziójában olyan problémát azonosítottak, ami távoli támadók számára kiszivárogtathatja a kommunikációs csatornák titkosítására használt privát kulcso(ka)t. Igen, jól olvastátok, a hibán keresztül kiszivárgohat a szerver tanúsítvány privát kulcsa…..
Aron bacsi
2014.04.09 14:08:30
@igorx: Sajna, az sem megoldás. Ha már az ERSTE RSA titkos kulcsa kiszivárgott, akkor man-in-the-middle is lehetséges, és ha közbeékelődött támadón keresztül küldöd az SMS egyszeri jelszavadat a webes form-ban, akkor azt a támadó fogja továbbjátszani és vele épül ki a netbanki session. Szóval, ez ellen nem véd... ERSTE-nél OpenSSL/mod_ssl frissítés ÉS kulcs/tanúsítványcsere kell (+ PFS miatt DH-ra való átállás)! Utána lehet netbankolni ismét biztonságosan!
Aron bacsi
2014.04.10 10:59:17
"The bug has been patched. After you patch your systems, you have to get a new public/private key pair, update your SSL certificate, and then change every password that could potentially be affected. [...] At this point, the probability is close to one that every target has had its private keys extracted by multiple intelligence agencies. [...] Has anyone looked at all the low-margin non-upgradable embedded systems that use OpenSSL?"
www.schneier.com/blog/archives/2014/04/heartbleed.html
www.schneier.com/blog/archives/2014/04/heartbleed.html
Aron bacsi
2014.04.12 16:15:31
A Reuters Snowden dokumentumokra hivatkozva arról számolt be, hogy az NSA 10 millió dollárt fizetett a jelenleg az EMC részeként működő RSA Security társaságnak, hogy azok Bsafe nevű kriptográfiai könyvtárában a minden bizonnyal hátsó kaput tartalmazó Dual_EC_DRBG…..
Aron bacsi
2013.12.25 23:23:23
@Szolo: Nem kell meglepődni, hiszen van benne: pont ez a lényeg, hogy aki az NSA által "sugalmazott" paraméterekkel implementálta ezt a PRNG-t, az már problémás lehet. A Dual_EC_DRBG viszont csak egy dolog, ezen felül nyilván számtalan egyéb - kriptot érintő és nem érintő - backdoor is lehet mindenféle rendszerben, ezt nem vitatom...
Update: The english counterpart of this post by synapse can be found here.
Az utóbbi napokban több ismerős is belefutott a MySecureZone nevű, katonai szintű e-mail titkosítást ígérő IndieGoGo kampányba, ami nem érdemelne külön posztot, ha nem honfitársaink (akik 10 másodperc alatt…..
Aron bacsi
2013.11.08 13:41:06
@Venona project: :-) Pont ezen gondolkodtam én is, hogy akkor már minek kellene az a részesedés? Egy kanyi BTC-t se tudnék venni rajta...
HC olvasóimtól előre is elnézést kérek, de szükségét láttam egy újságíró-kompatibilis poszt összedobásának, mielőtt a legújabb Snowden-folyást szétkenik a magyar sajtóban.
Mint kiderült, az NSA már egy ideje rácuppant minimum a Google és a Yahoo! adatközpontjait…..
Aron bacsi
2013.10.31 21:44:44
@nevergone: "Still, I trust the mathematics!" Nem a matekkal van baj, hanem az implementációval, illetve az általa használt környezeti elemekkel. Azaz, sajna, az AES is lehet vacak pl. rossz PRNG-vel... A TrueCrypt mondjuk pont több forrást használ a leírása szerint randomként egy kulcsgenerálásnál, de egy csomó Windows-os szoftverben elintézik az egészet egy MS CryptoAPI hívással, ami aztán szerencsétlen esetben egy Dual_EC_DRBG-t hív meg... Az NSA-ügynökök meg örvendeznek vala Bluffdale-ben! ;-)
A lehallgatási botrány árnyékában kisebb pánikot okozott, mikor kiderült, hogy az Android fejlesztőknek szánt API-ja a 2.3-as verziótól kezdve a hírhetden gyenge RC4-MD5 algoritmus-kombinációt részesíti előnyben SSL kapcsolatok kiépítésekor. Ez azt jelenti, hogy az API-t naívan…..
Aron bacsi
2013.10.19 08:41:11
@dnet: Nice! És akkor csodálkozunk, hogy egyre könnyebb MitM-lel támadni? OK, még egy vastagkliensbe (mobilon, desktopon) be tudok rakni valami védelmet ez ellen, de a böngészőn keresztül pl. netbankoló egyszerű júzer észre sem veszi a fake rootCA cert-et...
A BitCoin.com-on megjelent figyelmeztető szerint az Android biztonságos véletlengenerátorának hibája miatt elcsenhető a készülékeken generált címekről azok tartalma. A HackerNews kommentelői szerint - és ezt a BitCoin Talk fórumbejegyzései is alátámasztják - a problémát az…..
Az árfolyam esésére spekulálva DDoS-olják a legnagyobb Bitcoin váltó Mt.Gox-t. A kriptovaluta árfolyama a héten elérte a 142 dollárt, de 117-re esett vissza szerdán, így aki a csúcson eladott, most pedig vesz - az árfolyam visszaerősödése esetén - szépet kaszálhat.
Az…..
Aron bacsi
2013.04.05 16:42:49
A KrebsOnSecurity szerint már el is kelt a BlackHole készítő által piacra dobott, Java7u11-t is lenyomó 0-day exploit. Az árusok az első két szerencsés vásárlónak 5000-5000 dollárért adták tovább a széles tömegek számítógépének lenyúlását lehetővé tevő kódot. Ha jól…..
Aron bacsi
2013.01.17 09:03:30
@boldii10: Hehe, Boldi, ez mekkora életfilozófia már! :D Like!
A Google, a Mozilla és a Microsoft is biztonsági figyelmeztetést adott ki, miután kiderült, hogy a TURKTRUST hitelesítő szolgáltató "véletlenül" köztes CA tanúsítványokat osztott ki arra jogosulatlan szervek számára. A kibocsátott tanúsítványok tetszőleges domain-hez tartozó…..
Aron bacsi
2013.01.04 14:43:37
@Prefetch: A tanúsítványtárat (annak trusted root szintjét is) lehet kézzel állítgatni. Ha valami nem tetszik, lehet törölni. De arra figyelni kell, hogy a böngészőknél a Chrome és IE közös tárat (Windows) használ, a Firefox-nak saját tára van, de ugyanígy külön tárból táplálkozik pl. az Acrobat is, szóval, sokmindent kell figyelni. Ráadásul ezen tárakba nem mindig kerülnek bele a root cert-ek automatikusan a frissítésekkel. Pl. a hazai közigazgatási root CA (KGYHSZ) alatti ág emiatt mindig bajos (pedig nem kerülne azért olyan sok pénzbe megoldani)...
Aron bacsi
2013.01.04 14:57:56
@Prefetch: Egyébként ha lehetne tudni, hogy milyen a CA kialakítása, akkor az alapján már tudnék egyet szűrni. Gondolok arra, hogy a DigiNotar, Comodo esetében is az volt a baj, hogy kívülről, végülis online el lehetett érni a központi modult. A működés alapján azonban egy CA (a HSM-jével) lehetne offline is, valóban elszigetelve a külső hálótól, persze, akkor másképp kell megoldani pl. a kiadott tanúsítványok exportálását, vagy a napi CRL-ek publikálását, de istenem, ennyi kézimunka beleférhetne, ha nagyobb lehet tőle a biztonság. (OK, persze, pendrive-on is bemehet trójai, meg a rendszergazda is kaphat kenőpénzt...) Az egész CA rendszerből az időbélyeg, meg az OCSP modul az, ami tényleg online kell, hogy legyen, de bumm neki, ha ezeket megtörik, akkor max. kapnak ingyen időbélyeget, de mégsem fognak tudni kiadogatni SSL server vagy code signer certeket senkinek a nevében sem... A külső modulokra pedig még rá lehet ereszteni pentesztet is...
A magyar sajtóban is több helyen megjelent hír, hogy az USA titkosszolgálati bizottsága egy jelentéstervezetben nemzetbiztonsági kockázatnak nyilváníttatná a kínai Huaweit és ZTE-t. A téma már csak azért is érdekes, mert a két gyártó Magyarországon is jelentős beszállítója…..
A másfél héttel ezelőtti hírekben mi is megemlékeztünk a Dropbox felhasználókat érintő állítólagos célzott spamekről. Mostanra derült ki, hogy valóban történt incidens, azonban az majdnem csak annyiban érinti a Dropboxot, hogy most ők kénytelenek magyarázkodni. A támadók…..
Amerikai kriptográfusok és neurológusok kidolgoztak egy módszert, melynek segítségével jelszavainkat úgy tudjuk megjegyezni, hogy nem emlékszünk rájuk. Pontosabban a jelszavakat a tudatalattinkba égetjük, ahonnan megfelelő módon elő tudjuk őket hívni, de szándékosan nem fogjuk…..
Aron bacsi
2012.07.20 15:04:37
Megjelent a népszerű jelszótörő program, a John the Ripper legújabb, 1.7.9-es, valamint közösségileg kiegészített 1.7.9-jumb-6-os változata. A kiadás számos jelentős újdonságot tartalmaz, ezek közül talán a legfontosabb a GPU támogatás (CUDA, OpenCL), melynek segítségével a…..
Aron bacsi
2012.07.11 12:20:59
@hokuszpk: Jaja, publikáld az eredményeket! ;-)
Na, meg akkor érdekelne az is, hogy a GI John patch-csel mikor lesz összelőve a GPU-s JTR...
Na, meg akkor érdekelne az is, hogy a GI John patch-csel mikor lesz összelőve a GPU-s JTR...
Ha az "RSA" és a "feltörés" kifejezések egy mondatban szerepelnek, az általában masszív hírfolyamot generál, nem történt ez másként a Project-Team Prosecco legújabb, hardver tokeneket és biztonsági kártyákat vizsgáló kutatásának esetében sem. Az persze általában kimarad az…..
Hajnalban robbant a hír, hogy a sKyKWper/Flamer kártevő microsoftos aláírást használ egyes komponensei megbízhatóságának igazolásához. Az SRD posztja szerint minderre a Terminal Server Licencing Service gyengesége miatt volt lehetőség, ami gyenge kriptográfiai algoritmust (tipp:…..
Aron bacsi
2012.06.04 15:40:42
@buherator: OK, codeSigning bit az extKeyUsage-ba megoldható, meg, persze, Wang-ék csináltak 2005-ben már kamu MD5-RSA tanúsítványt... Én csak arra utaltam, hogy ha ez ennyire katonai dolog volt, akkor lehet, hogy 1-2 beavatott Microsoft-os segítségével, trükközés nélkül adtak ki ilyen kulcsot... Ha nem így volt, akkor viszont még nagyobb teljesítmény, az tény! ;-)
Aron bacsi
2012.06.11 22:41:32
A Yahoo! a frissen kiadott Axis böngészővel együtt sikeresen nyilvánosságra hozta a Chrome bővítmények aláírására szolgáló titkos kulcsát is, melynek birtokában bárki készíthetne olyan - potenciálisan rosszindulatú, man-in-the-browser - kiegészítőket, melyek látszólag az…..
A Te Bankod
Még a Subbát is megjárta bra felfedezése (a tükrözésért thx Gabucionnak!), mely szerint a yourbank.hu kint hagyta az OTP-vel folytatott SZÉP kártyás tranzakciók naplóit a weben, így gond nélkül lehetett böngészni, milyen értékben és kinél fogyasztottak a kedves…..
Aron bacsi
2012.05.24 14:13:40
@RockWood1911: Hmm, ez a post most arra jó, hogy lássuk mi volt a lényege a SZÉP kártyára való áttérésnek! A számokat és indokokat látva erre adok én is egy +1-et! De... Pont a számok és a rendszer fontossága miatt valóban oda kellett volna figyelni a tervezésre és a kialakításra is! Szoktak olyanokat mondogatni a szakmában, hogy "a védelemre költött összeg mindig arányban kell, hogy álljon a védendő információ értékével"... És erre nem lehet mentség az sem, hogy sietni kellett! Manapság minden kutyafuttában történik, de mi sem adhatunk át pl. olyan e-köziges rendszert, ahol nincs jól megcsinálva az IT biztonság! Az egymásnak esés helyett inkább pont az itteni srácokkal együtt kellene megoldani a problémát!
Index:
Feltételezhetően vasárnapra virradóra írták át az AB oldaláról elérhető alaptörvény szövegét a magukat az Anonymous hackercsoporthoz tartozónak nevező hackerek.
Az alábbi bekezésekkel egészítették ki többek között az alaptörvény Nemzeti hitvallását és az…..
És újra csak Symantec
Kezdem úgy érezni, hogy ez az egész kódlopós történet valami gerillamarketing akció része, a Symantek ugyanis év eleje óta nem tud kikerülni a hírekből az eset kapcsán. Ezen a héten az okozott kisebb felbojdulást, hogy kiderült, a pcAnywhere szoftver…..
Aron bacsi
2012.01.29 23:19:51
@synapse: Szimmetrikus (RC4) kriptoval megy a rejtjelezés, aszimmetrikussal (a username/password mellett) a felhasználó-hitelesítés, legalábbis ezt írják... Ennyiben ugyanolyan jóféle hybrid megoldás lehet, mint egy SSL handshake, vagy PGP. Azt viszont jó lenne kideríteni, hogy milyen a kulcsmenedzsment, hol és hogyan tárolja a kliensen a titkos kulcsot (ld. Dropbox esete a plain text titkos kulccsal az SQLite db-ben)...
Német kutatók súlyos hibákat fedeztek fel az Amazon Web Services-ben és az Ubuntu cloudjában is használt Eucalyptus platformban. A legkritikusabb - azóta már javított - sebezhetőségek ún. XML Signature Wrapping támadásokra adtak lehetőséget. Ezek a szolgáltatások SOAP…..
Aron bacsi
2011.10.31 13:09:39
@buherator: Mondjuk mi csak DOM-os parser-eket használtunk, de ott mind a Java, mind a .NET cuccai jók voltak, sémákat lehet (kell is) használni létrehozásnál és validálásnál egyaránt. Esetleg a SAX-osoknál lehet olyan, hogy a sémát nem nézik, ezt nem tudom...
Tibor Jager és Somorovsky Juraj olyan problémát demontráltak a World Wide Web Consortium által szabványosított XML titkosítási eljárásával kapcsolatban, amely lehetővé teszi a titkosított üzenetek kulcs nélkül történő megfejtését. Ugyan a kutatási anyag egyelőre nem érhető…..
Aron bacsi
2011.10.23 12:09:28
Aron bacsi
2011.10.23 12:10:46
Tovább gyűrűzik a DigiNotar ügy, naponta látnak napvilágot újabb és újabb információk az esettel kapcsolatban. A szervezet örökre lekerül a Mozilla, a Google és a Microsoft megbízható tanúsítókat gyűjtő listáiról, a példát pedig követte a holland kormány - melynek a…..
Aron bacsi
2011.09.07 00:33:49
@Bumika: Igen, tudtommal ugyanaz, csak netHSM-nél egy licensz árában 3 IP-címet is tudsz konfigolni (pl. CA, TSA, OCSP responder). Egyébként én is erre céloztam: ha be van dugva a kártya, akkor "csak" passphrase kell, de ez a passphrase pl. OpenCA esetében plaintext-ként csücsül vmelyik konfig állományban (ha ugyanígy működik az RSA megoldásánál is, akkor csak meg kell keresni az állományt, még keylogger sem kell). És ha már passphrase is van, akkor elég lehet egy OpenSSL cmd is a kulcs- és tanúsítvány-generáláshoz...
Aron bacsi
2011.09.07 23:06:15
pastebin.com/85WV10EL
A DigiNotar-nál valóban minden automatizált lehetett, legalábbis a GlobalSign és StartCom pontosan azért úszta meg, mert "lucky Eddy (CEO) was sitting behind HSM and was doing manual verification".
Az aláírt Windows Update csomag is nagy fun lehet... :D
A DigiNotar-nál valóban minden automatizált lehetett, legalábbis a GlobalSign és StartCom pontosan azért úszta meg, mert "lucky Eddy (CEO) was sitting behind HSM and was doing manual verification".
Az aláírt Windows Update csomag is nagy fun lehet... :D
Az iOS 4.3.5-ös illetve 4.2.10-es verzóiban egy olyan X.509 tanúsítványok kezelésével kapcsolatos problémát javítottak, melynek első változatát kilenc éve az Internet Explorerrel kapcsolatban fedezte fel Moxie Marlinspike. A probléma oka, hogy az operációs rendszer…..
Régen hallatott magáról a német THC csapat, eddig úgy tűnik az Egyesült-Királyságban forgalmazott Vodafone femtocellák reverse engineeringjével voltak elfoglalva. A most publikált wikiben részletesen elemzik az eszköz felépítését és interakcióit a hálózat többi…..
Belépve többet láthatsz. Itt beléphetsz