Týden v bezpečnosti - 1. týden

Dovolte mi popřát vám úspěšný rok 2013, ve kterém vás nepřestaneme informovat o aktuálním dění v oblasti kyber-bezpečnosti.

Na české mobily s Androidem se zaměřuje trojský kůň

Čeští majitelé mobilních telefonů s operačním systémem Android by měli být ve střehu před novou hrozbou. O problému šířícího se trojského koně SMS Boxer informoval Eset a v článku Na telefony Čechů útočí trojský kůň také Aktuálně.cz.

Jedná se o variantu známého útoku, kdy se malware v telefonu bez vědomí uživatele přihlásí k odběru placených SMS zpráv a okrádá tak nic netušícího majitele zařízení. Ten se o podezřelé činnosti většinou dozví až z vyúčtování služeb operátora. Jak uvádí zdroj, telefon se může nakazit například při instalaci falešných aplikací z obchodu Google Play, případně poté, co byly tyto služby stažené z různých stránek nebo úložišť. Například v Google Play bylo v prosinci k dispozici 22 škodlivých aplikací.

Nejlepší ochranou proti této nákaze je pozornost při instalování aplikací a čtení podmínek a ujednání, se kterými při instalaci souhlasíte. Bohužel se tak neděje a nepozornost je hlavní výhodou pro útočníka.

Objevily se podvržené certifikáty pro google.com od CA Turktrust

The Register informuje v článku Browser makers rush to block fake Google.com security cert o omylu certifikační autority Turktrust, která v srpnu 2011 vydala omylem místo běžného certifikátu dva Intermediate certifikáty. Tím vlastně vytvořili další dvě certifikační autority *.EGO.GOV.TR a e-islem.kktcmerkezbankasi.org, které byly díky vazbě na Root certifikát plně důvěryhodné.

Jedním z těchto Intermediate certifikátů byl jménem této autority vydán i Wildcard certifikát pro *.google.com. Google na problém přišel během Vánoc a informoval o vyřešení problému na svém blogu o online bezpečnosti; prohlížeč Chrome byl updatován hned následující den. Na problém reagovala i Mozilla a Microsoft, který aktualizoval Certificate Trust List (CTL) (viz zpráva Microsoftu). Google také uvedl, že v lednu provede update svého prohlížeče a přestane zobrazovat Extended validation status (zelený pruh rozšířeného ověření) pro certifikáty této autority.

Uživatelé systémů Windows Vista a novějších se zapnutými aktualizacemi se tedy nemusí ničeho obávat, problém vyřešil sám Microsoft. Nejpoužívanější prohlížeče již na tento problém též reagují a zamezí riziku použití certifikátů vydaných touto Intermediate autoritou.

Jak se bránit proti kompromitovaným certifikátům

Postup jak se bránit proti kompromitovaným certifikátům nabízí organizace nejpovolanější - NSA (National Security Agency). Ve stručném dvoustránkovém dokumentu naleznete užitečné rady pro nejpoužívanější operační systémy jak na PC, tak mobilních zařízeních. Můžete se přesvědčit, že tyto kroky nejdou vůbec složité.

McAfee varuje před ransomwarem v roce 2013

O nebezpečí nákazy ransomwarem jsme vás informovali v předchozích dílech našeho týdeníku. Ve stručnosti se jedná o nákazu, která se snaží u postiženého vyvolat paniku a využít ji k obohacení útočníka. Typické jsou například výhružky zformátování počítače, pokud útočníkovi nepošlete v daném termínu peníze.

Společnost McAfee v článku McAfee Says Beware of Ransom-Ware Attacks in 2013 očekává nárust této nákazy zejména na mobilních zařízeních a tabletech. Hackeři se podle McAfee budou více zaměřovat na tento způsob útoků než na "hacktivismus", tedy spojení hackování s ideologií a napadáním cílů za účelem politického manifestu.

Konference 29C3 a "prolomení" Opencard

Možná jste zaznamenali v masových médiích informace o "prolomení" či kompromitaci bezpečnosti Opencard, které by mělo vyústit ve zneužití těchto karet. Jedná se o nepřesnou reprodukci závěrů jedné přednášky letošní konference 29C311, kde bylo prakticky předvedeno získání klíče pro typ karet DESFire MF3ICD40, které využívá i projekt Opencard (k "prolomení" došlo už v toce 2011). Karta používá 112bitové DES klíče, které přednášející získali po sedmi hodinách snažení. 

V článku Karty MIFARE DESFire (Opencard) prolomeny naleznete originální video.

Způsob ochrany Opencard je diskutabilní (jeden Master klíč pro všechny karty), nicméně nemusíte se momentálně cítit ohroženi. Způsob využití karty je naprosto odlišný například od karet bankovních a zřejmě se ani nestane cílem útočníků, jelikož není co ukrást. Domácí média však podávají tuto zprávu dosti bulvárním a nadsazeným způsobem.

Další aktuality z oblasti bezpečnosti naleznete na našem blogu opět za týden.