Archiwum IPSec.pl od 28. stycznia 2003 do 8. kwietnia 2003

Multimedia, które bronią swoich praw same
- tam można podsumować zaprezentowane przez Cryptography
Research podejście do ochrony praw autorskich. Twórcy wyciągnęli
daleko idące wnioski z porażek poprzednich systemów (SDMI, HDCP). Nowa
propozycja polega na wbudowaniu mechanizmów sterujących dekodowaniem
i deszyfrowaniem treści w nią samą, w postaci pseudokodu wykonywalnego
przez wirtualną maszynę działającą w odtwarzaczu. Niezależnie od tego,
czy ten ostatni będzie programowy czy sprzętowy i czy kod VM będzie
jawny czy nie, odtworzenie treści nie będzie możliwe jeśli sam plik
muzyczny na to nie zezwoli (na przykład nie otrzyma od odtwarzacza
odpowiedniego klucza).

Self Protecting Digital Content http://www.cryptography.com/resources/whitepapers/SPDC.htm

T. Kohno, J. Viega, D. Whiting opublikowali propozycję
kolejnego trybu szyfrowania dla szyfrów blokowych zapewniających zarówno
ochronę poufności, jak i integralności oraz autentyczności przetwarzanych
informacji. Tryb Carter-Wegman Counter (CWC) jest oparty o szyfr AES i
posiada szereg atrakcyjnych cech, m.in. dowiedzione bezpieczeństwo,
równoległość oraz wysoką wydajność w implementacjach sprzętowych
i programowych.

T. Kohno, J. Viega, D.&bnsp;Whiting ,,The CWC-AES Dual-Use Mode'' http://www.ietf.org/internet-drafts/draft-irtf-cfrg-cwc-00.txt

Na pierwszego maja zapowiedziano premierę nowej wersji systemu
OpenBSD 3.3, który
posiada szereg nowatorskich zabezpieczeń, chroniących głównie
przed potencjalnymi nowymi atakami przez przepełnienie bufora. Nowe
zabezpieczenia to zaimplementowana na poziomie kernela randomizacja
przestrzeni adresowej procesów (ale nie na i386), zablokowanie
wykonywalnego stosu, domyślnym kompilatorem jest natomiast GCC z łatą
ProPolice,
która również dodaje ochronę przed przepełnieniem bufora na poziomie
procesu. OpenBSD 3.3 jest pierwszym systemem operacyjnym, który
takie zabezpieczenia włączył do oficjalnej dystrybucji. Gwoli
sprawiedliwości należy dodać, że znacznie bogatszy zestaw
zabezpieczeń jest dostępny dla Linuxa w łacie na kernel grsecurity, ProPolice jest
także dostępne dla Linuxa. Do stosowania obydwu w swoich systemach
gorąco zachęcam, jako wieloletni użytkownik jednego i drugiego.

OpenBSD 3.3 http://www.openbsd.org/33.html
ProPolice http://www.trl.ibm.com/projects/security/ssp/
http://www.grsecurity.net/

Organizacja Privacy
International zakończyła pierwszą edycję konkursu Stupid
Security, na który zgłoszono prawie 5000 nominacji z 40
krajów. Celem konkursu jest wyłonienie najbardziej upierdliwych,
drogich, bezsensownych - a przy tym całkowicie nieprzydatnych -
środków bezpieczeństwa jakie w ostatnich latach obficie wprowadzono
w najróżniejszych miejscach na całym świecie. Wśród nagrodzonych
znaleźli się rząd Australii, mer Moskwy (to akurat nic dziwnego),
liczne służby ochrony lotnisk i wiele innych. Warto przejrzeć
wszystkie nominacje, należy uważać z jedzeniem aby nie opluć
monitora ;)

Privacy International Stupid Security http://www.privacyinternational.org/activities/stupidsecurity/

Jolyon Clulow opublikował artykuł ,,PIN Recovery Attacks'' omawiający znane ataki pozwalające na złamanie lub odzyskanie kodów
PIN z modułów kryptogaficznych stosowanych przez banki. Nowe ataki,
podobnie jak poprzednie,
nie obniżają bezpośrednio bezpieczeństwa transakcji kartami
bankowymi, ale ułatwiają popełnianie trudnych do wykrycia
nadużyć nieuczciwym pracownikom banków. A ci, jak pokazuje niedawny przykład,
występują także u nas.

Lolyon Clulow ,,PIN Recovery Attacks'' http://arch.ipsec.pl/Clulow.pdf
hacking.pl, ,,Informatyk okradał konta klientów'' http://hacking.pl/news.php?id=2153

Miłośników Debiana zainteresuje na pewno projekt Trusted Debian, który jako
stosunkowo prosty ugprade do Debiana 3.0 Woody wprowadza szereg funkcji
poprawiających bezpieczeństwo systemu. Nowe pakiety są w większości
skompilowane GCC z dodaną ochroną przed przepełnieniem bufora (drugim
poziomem jest PaX w kernelu), domyślnie zainstalowany jest FreeS/WAN
1.99 z X.509, najnowszy Snort i Zorp oraz sterowniki WLAN wyposażone
m.in. w funkcje monitorowania oraz pracy w trybie AP.

Trusted Debian http://www.trusteddebian.org/

Biblioteka OpenSSL stała się
ostatnio obiektem dociekliwych badań kryptologów, na co zapewne
zasługuje jako jedna z najpopularniejszych obecnie implementacji
protokołów SSL/TLS. Tym razem naukowcy ze Stanfordu opublikowali
praktyczny atak czasowy (timing attack) na serwery niewłaściwie
wykorzystujące bibliotekę. A ściślej, nie wykorzystujące wbudowanego
w nią zabezpieczenia (blinding) przed atakami tego typu. Atak jest
możliwy do przeprowadzenia wyłączenie w sieci lokalnej i pozwala na
odzyskanie klucza prywatnego serwera po ok. milionie zapytań.

Boneh, Brumley ,, Remote timing attacks are practical'' http://crypto.stanford.edu/~dabo/abstracts/ssl-timing.html

Wykryto poważnie dziury w popularnym oprogramowaniu: Sendmail -
buffer overflow pozwalający na zdalne zdobycie praw roota, BIND - nie wiadomo o co chodzi, ale ISC zaleca szybki upgrade do 9.2.2,
Snort - buffer overflow w preprocesorze RPC pozwala na zdalne
zdobycie praw, z jakimi chodzi snort, domyślnie root. Jednocześnie
warto przypomnieć, że snort ma opcję -u user, która pozwala mu działać
z prawami normalnego użytkownika.

CERT Sendmail http://www.kb.cert.org/vuls/id/398025
BIND 9.2.2 http://www.isc.org/products/BIND/
CERT Snort http://www.kb.cert.org/vuls/id/916785

Niewykluczone że już wkrótce nasze telefony komórkowe
zaczną żyć własnym życiem i kilka razy do roku wybuchać
będą epidemie wirusów zbliżonych do tych, które
emailem mnożą się w programie Outlook Express. Firma @Stake ogłosiła pierwszy atak
DoS na telefony komórkowe, w tym konkretnym przypadku Nokia
6250. Odpowiednio skonstruowany SMS zawierający wizytówkę może
zawiesić aparat i konieczne będzie jego zrestartowanie przez wyjęcie
baterii. Ze względu na zamkniętość oprogramowania telefonów komórkowych
i ograniczone możliwości grzebania w nim napisanie wirusa pod to
środowisko będzie zadaniem nietrywialnym. Nie należy jednak zapominać
o tym że komórki bliższe są już komputerom przenośnym niż zwykłym
aparatom telefonicznym i istnieją systemy operacyjne dedykowane dla
tych architektur, a Motorola posunęła się jeszcze dalej, wkładając
do telefonu zmodyfikowanego Linuksa.

@Stake ,,Nokia 6210 DoS SMS Issue'' http://www.atstake.com/research/advisories/2003/a022503-1.txt

Polityka opublikowała
interesujący artykuł autorstwa panów Bendyka i Ścibora poświęcony
polskim realiom w zakresie inwigilacji z majestacie prawa i poza nim.
W artykule m.in. wypowiedzi ludzi z ABW, polityków i operatorów
telekomunikacyjnych.

Polityka: E. Bendyk, M. Ścibior, ,,Spisane czyny i rozmowy'' http://polityka.onet.pl/162,1112387,1,0,2390-2003-09,artykul.html

Ministerstwo Infrastruktury opublikowało w końcu rozporządzenie do art. 40 ustawy
telekomunikacyjnej, który reguluje obowiązki operatorów
w zakresie udostępniania swoich sieci do podsłuchu przed
uprawnione służby. W porównaniu do poprzedniej wersji
usunięto m.in. absurdalne z technicznego punktu widzenia
zapisy o archiwizacji danych oraz konieczności dostarczania
ich do służb na koszt operatora. Dodajmy także, że nowy projekt
zmian w prawie telekomunikacyjnej również przewiduje wprowadzenie
dodatkowych regulacji w zakresie korzystania z telefonów komórkowych
na karty (prepaid). Niestety nie wiadomo jeszcze jakich...
Michał Trojnara zwrócił uwagę, że po pierwsze paragraf 5
rozporządzenia może być również rozumiany jako wymóg archiwizacji
treści, a w paragrafie 6, pkt 1 określenie ,,uzgadniać'' jest o wiele
bardziej wiążące dla operatora niż dla służb specjalnych, co oznacza
że te ostatnie mogą po prostu nakazać zestawienie dedykowanego łącza
do siebie na koszt operatora. Interesująca jest również wymagana
zdolność przechwytywania wynosząca 0,2% przepustowości operatora,
co według szacunków Michała (15 mln abonentów w Polsce) oznacza, że
władze przewidują podsłuchiwanie ok. 30 tys. osób w tym samym momencie.

Podsłuch ISP http://ipsec.pl/podsluch/

Oracle i Red Hat planują przeprowadzenie certyfikacji dystrybucji
Red Hat Linux Advanced Server wraz z bazą Oracle 9i działającą na
tej platformie na poziomie Common Criteria Evaluation Assurance Level
(EAL) 4. Osiągnięcie celu: najpierw EAL2, potem EAL4 dla RH, a potem
EAL4 dla Oracle, ma kosztować ok. 1 mln USD i trwać około 10 miesięcy.

Wydatek to spory, ale ma szansę się opłacić. Certyfikat, którym
od jakiegoś czasu szczyci się Microsoft Windows 2000, może otworzyć
Linuksowi (choć w zasadzie na razie tylko tej konkretnej wersji) drogę
do wielu amerykańskich agend rządowych, które wydają się ponętnym
kąskiem i dobrym łupem marketingowym dla samego Linuksa.

Common Criteria to certyfikaty uznawane w wielu krajach, a przyznawane
przez National Institute of Standards and Technology. Jonathan Shapiro
z okazji uzyskania EAL4 przez MS Windows 2000 opisał dokładnie,
co oznacza posiadanie takiego certyfikatu dla systemu operacyjnego.

LinuxNews: Paweł Kot ,,Red Hat i Oracle w kolejce po certyfikat'' http://hedera.linuxnews.pl/_news/2003/02/13/_long/1735.html

Amerykańskie ministerstwo sprawiedliwości po cichu przygotowuje do
legislacji obszerną (120 stron) ustawę, która - jeśli zostanie wprowadzona
w życie - radykalnie zmieni dotychczasowe uprawnienia organów ścigania
w zakresie inwigilacji i prowadzenia czynności śledczych w przypadkach
uzasadnionych dość ogólnym pojęciem ,,bezpieczeństwa narodowego''. Trudno
powiedzieć jaka będzie przyszłość tego projektu, ale w razie inwazji
USA na Irak rząd Busha może mieć w tym względzie większą siłę przebicia
niż w przypadku równie kontrowersyjnego projektu TIA.

Declan McCullagh ,,Ashcroft's worrisome spy plans'' http://news.com.com/2010-1071-983921.html

Magazyn GoMemphis prezentuje
interesujący artykuł na temat prowadzenia przez USA wojny na ,,froncie
elektronicznym''. Według autora wojna elektroniczna (information
operations), mająca na celu sparaliżowanie wrogich systemów
łączności oraz sterowania walką, jest jednym z priorytetowych elementów
strategii USA w planowanej wojnie o iracką ropę. Jako przykład podaje
się przeprowadzoną w 1991 roku operację dywersyjną, która zablokowała
iracki system obrony przeciwlotniczej KARI podczas wojny w Zatoce
Perskiej. W trakcie wcześniejszych przygotowań do systemu wprowadzono
wirusopodobne oprogramowanie, które uaktywnione zostało w momencie
ataku amerykańskich sił.

GoMemphis: Gary Pounder ,,Taking byte from Baghdad'' http://www.gomemphis.com/mca/opinion_columnists/article/0,1426,MCA_539_1726690,00.html

Daniel Wasyliszyn opublikował artykuł ,,Enumeracja i omówienie słabości protokołu CIFS/SMB'', w którym pokazuje praktyczne strony ataków na systemy Windows.

Daniel Wasyliszyn ,,Enumeracja i omówienie słabości protokołu CIFS/SMB'' http://arch.ipsec.pl/SMB_ver1.0.html

Dzięki Arturowi Poczekalewiczowi wiadomo już jak zostały
wykradzione hasła Gadu-Gadu, opublikowane na serwisie Interceptor. Wraz
z Marcinem Bukowskim odkryli oni dziurę w skryptach ASP na serwerze
firmy obsługującej GG. Elementarny błąd umożliwiał łatwe pobieranie
z bazy hasła oraz adresu email dowolnego użytkownika o znanym
UID. Wybierając kolejne lub losowe UID można było oglądać hasła
przypadkowych użytkowników Gadu-Gadu.

Odkrywcy poinformowali o tym firmę 26. grudnia 2002, jednak błąd został
naprawiony dopiero 1. stycznia 2003, czyli równo po tygodniu. Przez ten
czas jednak błąd został jednak odkryty przez innych, którzy zdobyte
w ten sposób informacje zaczęli wykorzystywać do podszywania się pod
dowolnych użytkowników Gadu-Gadu. Po fali nadużyć operator zalecił
użytkownikom zmianę hasła ,,ze względów bezpieczeństwa''.

Jak wyjaśnia Tomasz Słodkowicz, rozwiązanie to ma również swoje
wady, ponieważ GG nie doczekało się jeszcze żadnej ochrony poufności
przesyłanych danych podczas operacji na bazie (np. zmiana hasła),
pomimo że samo logowanie użytkownika nie naraża go już na podsłuchanie
hasła. Próby tuszowania własnych błędów oraz brak silnej ochrony
poufności w protokole Gadu-Gadu sugeruje, że operator GG nie nauczył
się niczego na błędach swoich poprzedników.

Wykradzione hasła Gadu-Gadu http://www.interceptor.g3.pl/gg/gg.htm
Program ggfun.c http://arch.ipsec.pl/ggfun.c

Senat USA zablokował wprowadzenie w życie opracowanego przez Pentagon
systemu komputerowego wglądu w dane osobiste wszystkich Amerykanów, który
krytycy porównali do orwellowskiego "Wielkiego Brata".

Senatorowie bez dyskusji i jednomyślnie zabronili instalacji systemu,
zwanego Total Information Awareness Program (dosł. Program Totalnej
Świadomości Informacyjnej). Przewiduje on skanowanie informacji zawartych w
poczcie internetowej obywateli oraz w komercyjnych bazach danych firm
finansowych, biur podróży i instytucji służby zdrowia, które gromadzą dane o
swoich klientach.

USA: Senat kontra ,,Wielki Brat'' http://fakty.interia.pl/news?inf=348614