Błędy

Jak czytelnik zorientował się, że jego konto w mBanku nie jest już jego

Jak czytelnik zorientował się, że jego konto w mBanku nie jest już jego

mBank ostatnio nie ma dobrej passy. Testy powiadomień sprawiły, że klienci spanikowali, a bankowi padł system. Potem była afera, w której kilkuset klientów zorientowało się, że ich konta nie są ich. Jeden z nich opowiedział nam swoją historię.… Czytaj dalej

Takiej afery w mBanku jeszcze nie było – sprawdźcie, czy wasze konta są nadal wasze

Takiej afery w mBanku jeszcze nie było – sprawdźcie, czy wasze konta są nadal wasze

Wygląda na to, że wysłanie tysięcy przypadkowych powiadomień to nic w porównaniu z najnowszymi problemami mBanku. Dzisiaj mBank zaczął przypisywać rachunki istniejących klientów do kont klientów, którzy właśnie zakładali swoje konto.… Czytaj dalej

Fatalny poziom bezpieczeństwa stron WWW polskich posłów

Fatalny poziom bezpieczeństwa stron WWW polskich posłów

Czy możecie sobie wyobrazić większe cmentarzysko starych, niezaktualizowanych WordPressów niż strony WWW, które często powstały tylko na potrzeby kampanii wyborczej i to kilka lat temu? Niestety tak właśnie wygląda sytuacja.… Czytaj dalej

Pułapki wideokonferencji, czyli czy Zoom jest taki zły jak go malują

Pułapki wideokonferencji, czyli czy Zoom jest taki zły jak go malują

Ostatnio Zoom znalazł się w centrum uwagi. Nagle miliony ludzi na całym świecie zaczęły z niego intensywnie korzystać, a badacze zaczęli wykrywać różne, mniejsze lub większe podatności. Nie tylko badacze zajęli się tym tematem. … Czytaj dalej

Kryptografia jest trudna, czyli CVE-2020-0601 aka CurveBall aka ChainOfFools

Kryptografia jest trudna, czyli CVE-2020-0601 aka CurveBall aka ChainOfFools

Kryptografia jest trudna, a jej implementacja jeszcze bardziej skomplikowana, gdyż nawet subtelne błędy mogą skutkować bardzo poważnymi konsekwencjami. Nawet Microsoftowi zdarza się robić bardzo poważne w skutkach błędy.… Czytaj dalej

Allegro uruchamia pierwszy duży, publiczny program bug bounty w Polsce

Allegro uruchamia pierwszy duży, publiczny program bug bounty w Polsce

Facebook, Google, Intel, Snapchat, Cisco, Mozilla, Twitter, Dropbox, Uber – wszystkie te marki oferują od dawna programy bug bounty. Polskie firmy musiały dopiero do tego rozwiązania dorosnąć – a drogę przecierać będzie w naszym kraju Allegro.… Czytaj dalej

A miało być tak bezpiecznie: WPA3, Dragonfly, Dragonblood

A miało być tak bezpiecznie: WPA3, Dragonfly, Dragonblood

W niecały rok od ogłoszenia przez Wi-Fi Alliance standardu WPA3 badacze Mathy Vanhoef oraz Eyal Ronen przeprowadzili jego analizę i wskazali szereg słabości. Wyjaśniamy, czy jest się czego obawiać i co można z tym zrobić.… Czytaj dalej

Setki tysięcy faktur były dostępne dla każdego klienta Selgros24.pl

Setki tysięcy faktur były dostępne dla każdego klienta Selgros24.pl

Czy można w roku 2019 mieć na stronie dużego sklepu trywialny błąd umożliwiający pobieranie cudzych faktur i twierdzić, że stosowane zabezpieczenia nie odbiegają od standardów na innych stronach? Niestety można.… Czytaj dalej

Jak pewien Polak mógł latami przejmować ruch milionów komputerów

Jak pewien Polak mógł latami przejmować ruch milionów komputerów

CERT Polska pochwalił się niedawno przejęciem domeny wpad.pl. Dlaczego to takie ważne? Kto i po co 10 lat temu zarejestrował tę i wiele podobnych domen? Jak dzisiaj można wykorzystać podatność sprzed 20 lat? Dowiecie się z tego artykułu.… Czytaj dalej

GPG: co poszło nie tak?

GPG: co poszło nie tak?

Kochani, szanujmy idealistów. To ginący gatunek. Szanujmy ludzi, którzy zobaczyli ważny temat i postanowili poświęcić bardzo wiele, żeby go zrealizować. Idealistów nie brak również w kryptologii. Na przykład idealistów antysystemowych.… Czytaj dalej

Czynnik ludzki i nie tylko, czyli mrożące krew w żyłach historie medyczne

Czynnik ludzki i nie tylko, czyli mrożące krew w żyłach historie medyczne

A gdyby tak w środku operacji zaczął aktualizować się komputer? Lub oszalały robot medyczny poszlachtował pacjenta na kotlet siekany? To niemożliwe, prawda? Nowoczesne rozwiązania służyć mają bezpieczeństwu pacjentów i wygodzie lekarzy. Ale czy zawsze? … Czytaj dalej

L1TF Foreshadow – atak na mechanizmy ochrony sprzętowej Intela

L1TF Foreshadow – atak na mechanizmy ochrony sprzętowej Intela

Czy Foreshadow jest groźniejszy niż poprzednie luki Intela? Czy jest się czego bać? W tekście przedstawiamy zasady działania zagrożenia oraz opisujemy, jaki wpływ na wydajność ma luka L1TF.… Czytaj dalej

Aktualizujcie Tor Browsera – w starszych wersjach jest poważny, trywialny błąd

Aktualizujcie Tor Browsera – w starszych wersjach jest poważny, trywialny błąd

Firma zajmująca się handlem exploitami ujawniła dzisiaj, że w przeglądarce Tor Browser istniał bardzo poważny błąd, umożliwiający ominięcie jej wysokich ustawień bezpieczeństwa i uruchomienie kodu JavaScript mimo obecności wtyczki NoScript.… Czytaj dalej

Uwaga na nieustające ataki na klientów BZ WBK w sklepie Google Play

Uwaga na nieustające ataki na klientów BZ WBK w sklepie Google Play

Od 27 dni trwają regularne ataki na klientów Banku Zachodniego WBK. W sklepie Google Play publikowane są aplikacje podszywające się pod program do obsługi mobilnej bankowości elektronicznej BZWBK24 mobile. Niestety ofiar nie brakuje.… Czytaj dalej

Luka w procesorach Intela – TLBleed ujawnia tajne klucze

Luka w procesorach Intela – TLBleed ujawnia tajne klucze

Na konferencji Black Hat USA 2018 Ben Gras z Uniwersytetu Vrije w Amsterdamie przedstawił lukę w zabezpieczeniach procesorów Intela, nazwaną roboczo TLBleed. Jak groźny jest TLBleed dla mojego systemu i instytucji?… Czytaj dalej

Signal – kiedy okazuje się, że znikające wiadomości nie zawsze znikają

Signal – kiedy okazuje się, że znikające wiadomości nie zawsze znikają

Od czasu rewelacji Snowdena trwa wielki boom na bezpieczne komunikatory. Kilka z nich zyskało sporą popularność, ale jak pokazują problemy jednego z nich, nawet te dobre mogą nie ustrzec się wpadek.… Czytaj dalej

Uwaga na błędy w switchach Cisco, używane własnie w atakach na Iran i Rosję

Uwaga na błędy w switchach Cisco, używane własnie w atakach na Iran i Rosję

Docierają do nas sygnały o trwających właśnie atakach na switche Cisco z użyciem ujawnionego kilka dni temu błędu w usłudze Smart Install. Ktoś usuwa konfigurację urządzeń w Iranie i Rosji, ale skala ataku może lada moment wzrosnąć.… Czytaj dalej

Tysiące polskich stron korzysta z podatnej wersji Drupala

Tysiące polskich stron korzysta z podatnej wersji Drupala

Jeśli korzystacie z Drupala, to upewnijcie się, że zaktualizowaliście go do najnowszej wersji. Od dwóch dni znany jest błąd umożliwiający zdalne wykonanie kodu bez uwierzytelniania. Niestety tysiące polskich stron nie dokonało jeszcze aktualizacji.… Czytaj dalej

Meltdown i Spectre wyjaśnione, czyli hakowanie procesorów #4: Spectre

Meltdown i Spectre wyjaśnione, czyli hakowanie procesorów #4: Spectre

Zwieńczeniem cyklu o hakowaniu procesorów jest omówienie dwóch typów podatności nazywanych Spectre. Prezentujemy exploity, tłumaczymy sposób ich działania i wyjaśniamy, jakie kroki podjęli producenci.… Czytaj dalej

Meltdown i Spectre wyjaśnione, czyli hakowanie procesorów #3: Meltdown

Meltdown i Spectre wyjaśnione, czyli hakowanie procesorów #3: Meltdown

Po przebrnięciu przez podstawowe informacje na temat optymalizacji procesorów oraz sposobu działania bocznych kanałów pora na omówienie kontrowersyjnego Meltdowna. Odkrycie ataku kosztowało Intela miliony.… Czytaj dalej

Meltdown i Spectre wyjaśnione, czyli hakowanie procesorów #2: Side channel

Meltdown i Spectre wyjaśnione, czyli hakowanie procesorów #2: Side channel

Poprzedni artykuł z tej serii opisywał podstawowe optymalizacje stosowane w procesorach. Pora na zaprezentowanie kilku sztuczek, czyli obszerne wyjaśnienie, czym są i jak działają boczne kanały.… Czytaj dalej

Uważajcie! Menadżer paczek Node (NPM) brickuje systemy

Uważajcie! Menadżer paczek Node (NPM) brickuje systemy

To nie jest najlepszy dzień dla użytkowników NPM. Błąd w wersji 5.7.0 może uszkodzić wasz system operacyjny. Wygląda na to, że na skutek pomyłek twórców narzędzia do użytkowników trafiła bardzo popsuta jego wersja.… Czytaj dalej

Meltdown i Spectre wyjaśnione, czyli hakowanie procesorów #1: Optymalizacje

Meltdown i Spectre wyjaśnione, czyli hakowanie procesorów #1: Optymalizacje

Ujawnienie podatności Meltdown i Spectre wywołało niemałe zamieszanie. Teraz, gdy emocje opadły, pora na wyjaśnienie. O co tam właściwie chodzi? Wyjaśnimy to krok po kroku w specjalnym cyklu artykułów.… Czytaj dalej

Linux Kernel Runtime Guard – ochrona przed (jeszcze) nieznanymi exploitami

Linux Kernel Runtime Guard – ochrona przed (jeszcze) nieznanymi exploitami

W dobie wszechobecnych exploitów warto zastanowić się nad zabezpieczeniami. Solar Designer, założyciel inicjatywy OpenWall niedawno poinformował o pojawieniu się nowego projektu do proaktywnej ochrony systemów opartych na Linuxie.… Czytaj dalej

Microsoft ukrył kradzież bazy danych swoich niezałatanych błędów

Microsoft ukrył kradzież bazy danych swoich niezałatanych błędów

Kilka lat temu nad wyraz profesjonalna grupa włamywaczy wykradła z Microsoftu bazę danych, zawierającą informacje o niezałatanych błędach w systemach i aplikacjach. Informacja o tym zdarzeniu dopiero teraz wyciekła do mediów.… Czytaj dalej