Специалист по безопасности Марк Бернетт (Mark Burnett) опубликовал в открытом доступе базу из 10 миллионов имён пользователей с паролями — случайную выборку из миллиардной базы, куда входят пароли из взломов последнего времени, включая Yahoo, LinkedIn и прочих.
Цели чисто академические. Его коллеги и студенты часто просили дать ссылку на базу с паролями для исследования. И желательно, чтобы у всех студентов была одинаковая база, тогда учебный процесс станет более эффективным.
Поэтому Бернетт взял на себя смелость стать первым, кто выдал «академическую» базу всему миру, опубликовав ссылку на торрент (84,7 МБ).
Специалист осознаёт риск такого поступка в свете последних событий с журналистом и хакером Барреттом Брауном, который недавно был приговорён к 63 месяцам тюремного заключения, минус 31 месяц, которые он уже отбыл. Вдобавок, ему придётся выплатить $890 000 в виде штрафов и компенсации убытков и два года после освобождения провести под надзором.
Журналист изучал документы и почтовую переписку, полученную Anonymous в результате взлома частной фирмы Stratfor, которая занималась внешней разведкой. Как выяснилось позже, Браун и сам участвует в движении Anonymous.
Ему инкриминировали несколько статей, в том числе участие во взломе Stratfor и угрозы агенту ФБР. Но изначально была ещё одна, от которой власти отказались только в обмен на то, что хакер признал свою вину по остальным.
После взлома Stratfor журналист общался на IRC-канале с активистами Anonymous. В какой-то момент он скопировал ссылку на файлы с информацией об украденных кредитных картах на одном IRC-канале — и опубликовал её на другом IRC-канале. То есть совершил операцию «копипаст». В результате, его обвинили в распространении краденых функций аутентификации (код из трёх цифр на оборотной стороне карты) и краже личных данных с отягчающими обстоятельствами.
То есть он опубликовал ссылку, точно так же, как это сейчас сделал Марк Бернетт.
Свою озабоченность тем, что журналиста обвиняют в публикации гиперссылки, выразил даже Фонд электронных рубежей.
Так или иначе, для Бернетта всё равно существует определённый риск. В своём блоге он подчёркивает, что по закону Computer Fraud and Abuse такое обвинение возможно только при условии, если подозреваемый «намерен причинить ущерб». Здесь такого нет.
Но Белый дом сейчас предлагает поправку к закону: фразу «намерен причинить ущерб» заменить на «умышленно» распространяет информацию. Тогда его юридические позиции станут неусточивыми.
Разумеется, специалист призывает законодателей отказаться от такой поправки. Она ещё более ужесточает наказание для хакеров, которых и так сажают на 5-10 лет, а то и доводят до самоубийства.
Браузер Firefox любим многими за огромный набор расширений. После появления Chrome постепенно расширения продублировали для него, одно за другим. Сейчас продублировано практически всё. Но есть исключения.
Хотя Chrome и самый популярный браузер в мире, но эти расширения для него, вероятно, никогда не появятся из-за специфических ограничений, которые умышленно поставили разработчики для расширений. Есть и другие такие расширения, но эти — самые известные.
Private Tab
Когда в большинстве браузеров режим «инкогнито» работает только в отдельных окнах, расширение Private Tab позволяет открыть отдельную вкладку в таком режиме. В некоторых случаях это действительно удобнее. Кроме того, оно позволяет любую вкладку превратить в приватную.
NoScript
Известное расширение NoScript для безопасности блокирует абсолютно все скрипты на странице. Разработчик этого расширения утверждает, что по каким-то таинственные причинам под Chrome такое невозможно.
Tile Tabs и Tile View
Расширения Tile Tabs и Tile View раскладывают отдельные страницы внутри одного окна браузера. Ничего не скажешь, красиво.
Hide Tab Bar with One Tab
Зачем показывать панель вкладок, если открыта всего одна вкладка? Чтобы освободить пиксели, есть расширение Hide Tab Bar with One Tab.
Tab Mix Plus
Расширение Tab Mix Plus — одно из самых популярных, оно добавляет много полезных функций, в том числе разрешает размещать табы в несколько рядов, так что заголовки становятся читаемы.
Вот, кажется, всё, если обозреватель ничего не упустил или не добавил лишнего. В любом случае,
по набору расширений Firefox остаётся уникальным, несмотря ни на что.
Компьютерный и ИТ-гигант Hewlett-Packard достиг соглашения о покупке компании Voltage Security, которая занимается шифрованием данных в облаке и на мобильных устройствах.
Voltage Security последний раз привлекала венчурное финансирование в 2007 году, в размере $12 млн.
Покупка Hewlett-Packard продолжает тренд, когда купные компании скупают фирмы в сфере ИБ. Им нужно добавлять соответствующую функциональность в свои корпоративные и потребительские продукты. По требованиям последнего времени, повышенная безопасность и шифрование стали корпоративным стандартом.
«Сегодня чувствительная информация есть везде — в облаке и крупных хранилищах данных, на мобильных платформах, — пишет Арт Гиллилэнд (Art Gilliland), старший вице-президент и главный директор подразделения Enterprise Security Products. — ведь сотрудники распространены по всему миру, и растёт интернет вещей, так что станет даже больше устройств, чем мы можем себе представить».
В результате, корпорации «сталкиваются с новой парадигмой, когда нужно защищать не только свои системы, но сами данные. Клиенты требуют, чтобы чувствительная информация защищалась с момента её создания на всём жизненном цикле». В этом м-р Гиллилэнд совершенно прав.
Технологии Voltage Security дополнят портфель корпоративных решений HP Atalla, они должны устранить существующие бреши в принятых подходах к шифрованию и токенизации.
Большинство SSD-дисков, выпущенных в последний год, работают слишком быстро для той шины, к которой подключены. Это понятно, ведь спецификации SATA III на 6 Гбит/с вышли в эпоху жёстких дисков.
Предлагается две альтернативы: SATA Express и более новая шина M.2 (предыдущее название NGFF, Next-Generation Form Factor). Это интересная технология, поскольку предусматривает возможность подключения по нескольким типам разъёмов, нескольким типам интерфейсов и картам разного размера. Всё это указано в официальных спецификациях.
Четыре карты изображены на кликабельной иллюстрации вверху. Первая слева — карта WiFi/Bluetooth, далее Sandisk SSD на шине SATA, потом Intel SSD на такой же шине и Samsung SSD, способный задействовать четыре линии PCI Express.
Стандартом предусмотрены разные слоты, которым соответствуют свои интерфейсы и рекомендации по типичному использованию. Шина очень универсальная, так что поддерживает разные варианты размеров карт. При этом разъёмы тоже пригодны для карт разной ширины.
Разъём типа A (key A) принимает карты шириной 16, 22, 30 мм, а длиной 30 мм.
Разъём типа B (key B) принимает карты шириной 22 и 30 мм, а длиной 30, 42, 60, 80 и 110 мм.
Разъём типа E (key E) принимает карты шириной 16, 22, 30 мм, а длиной 30 мм.
Разъём типа M (key M) принимает карты шириной 22 мм, а длиной 42, 60, 80 и 110 мм.
Для каждого разъёма предусмотрены разные интерфейсы.
A: PCIe x2, USB 2.0, I2C, DisplayPort x4
B: PCIe x2, SATA, USB 2.0, USB 3.0, audio, PCM, IUM, SSIC, I2C
E: PCIe x2, USB 2.0, I2C, SDIO, UART, PCM
M: PCIe x4, SATA
Так, WiFi-карта с первой фотографии имеет код AE, так что подходит для двух вариантов разъёмов. Ну, а внешний вид разъёмов показан на второй фотографии с материнской платой HP Stream Mini.
Слева — разъём E, справа — B.
Шина M.2 довольно интересная и многопрофильная, но пока редко встречается из-за дефицита компонентов. Скажем, в интернет-магазинах пока нет карт M.2 со всеми возможными вариантами размеров.
Вчера вышел традиционный ежемесячный бюллетень Patch Tuesday за февраль 2015 года от компании Microsoft со списком закрытых уязвимостей. Этот бюллетень отличается от остальных. В нём есть три критичные уязвимости, но одна особенная: MS15-011. Это баг в Active Directory с возможностью удалённого исполнения кода. Причём уязвимость находится в дизайне системы и присутствовала там с самого начала, то есть с 2000 года (вроде, эксплоитов не было).
Джефф Шмидт из компании JAS Global Advisors сообщили в найденном баге в январе 2014 года. Специалисты Microsoft оказались настолько шокированы этой информацией, что им пришлось действовать очень осторожно, говорит Шмидт. Быстро, но осторожно. Поэтому срок 12 месяцев он считает вполне нормальным, всё сделано правильно.
Шмидт называет уязвимость JASBUG (по странному совпадению с компанией, которую он возглавляет), потому что сейчас всем багам такого масштаба принято давать имена.
Так в чём же дело? Итак, Active Directory позволяет администраторам использовать групповые политики для обеспечения единообразия настройки пользовательской рабочей среды, разворачивать программное обеспечение на множестве компьютеров через групповые политики, устанавливать обновления операционной системы, прикладного и серверного программного обеспечения на компьютерах в сети, используя службу обновления. Active Directory хранит данные и настройки среды в централизованной базе данных и связывается с клиентами, где Active Directory встроена в ОС Windiows.
Так вот, именно в этой системе оказался баг. Клиентские машины, которые взаимодействовали с централизованной базой Active Directory, зачастую не выполняли корректную проверку аутентичности сервера, от которого получали команды. Из-за некорректной проверки имени DNS злоумышленник мог перенаправить трафик, который предназначался серверу Active Directory, на посторонний сервер и выступить от имени оригинального сервера Active Directory.
Поскольку это атака типа MiTM, то она особенно опасна, если жертва находится в удалённости от центрального сервера своего предприятия, а не в локальной сети вместе с ним. Например, использует публичный хотспот.
Если бы уязвимость заметила Google, в которой отдел хакеров гуманно даёт компаниям 90 дней, а потом выкладывает информацию в открытый доступ, то возникли бы серьёзные проблемы. Поэтому Редмонду остаётся только благодарить Джеффа Шмидта за его спокойствие в течение года.
Администрация Обамы создаёт агентство для разведки противников, которые действуют через интернет. Оно будет называться Интеграционный центр разведки киберугроз (Cyber Threats Intelligence Integration Center) и займётся высокотехнологической разведывательной деятельностью. О создании центра объявила 10 февраля Лиса Монако (Lisa Monaco), старший советник президента по контртерроризму в своём выступлении перед прессой в Центре Уилсона в Вашингтоне.
Новое ведомство организовано по образцу Национального антитеррористического центра (National Counterterrorism Center), который запустили после 11 сентября, пишет The Washington Post.
Сейчас у США похожая ситуация: страна сталкивается с кибератаками на крупнейшие корпорации. Страдают сотни миллионов граждан — такого нет больше ни в одной стране мира. В то же время США совершенно не понимают, от каких хакерских групп идут эти атаки. Только предположения: Иран? Северная Корея? Россия? Международные банды «кибертеррористов»?
Просвета на будущее нет, ситуация ухудшается. Если экстраполировать потери во времени, то уже в ближайшие годы можно ожидать что-то совсем страшное. Поэтому Интеграционный центр разведки киберугроз — вполне естественная мера. Некоторые считают, что даже запоздалая.
Высказывают своё мнение и противники. Они говорят: зачем новое агентство, когда сильные киберподразделения имеются у Министерства национальной безопасности, ФБР и АНБ? Мол, это всё только лишняя бюрократия и распил средств, а вместо этого следует улучшить эффективность действующих подразделений и держать их подотчётными за свою работу.
Так или иначе, скоро Обама подпишет меморандум о создании организации, которая войдёт в состав Управления директора Национальной разведки.
Для начала, Интеграционному центру разведки киберугроз выделят скромный бюджет $35 млн и штат 50 человек. Персонала мало, зато у них будет широкая сеть информаторов, куда могут войти и частные компании, работающие в области информационной безопасности и сталкивающиеся со следами зарубежных хакерских групп в интернете.
