Zapraszamy do nowego wydania Weekendowej Lektury, w którym – jak co tydzień – znajdziecie opisy nowych ataków, szczegóły świeżo odkrytych luk, analizy niedawno namierzonych szkodników itp. Życzymy udanej lektury.
W dzisiejszym wydaniu szczególnie polecamy w części fabularnej obszerny materiał dotyczący wpływu komunikatora Telegram na protesty odbywające się na Białorusi (pkt 6) oraz artykuł o świeżo ujawnionym włamaniu do wewnętrznej bazy danych Microsoftu, które miało miejsce w 2013 r. (pkt 9). W części technicznej spójrzcie na artykuł – w jęz. polskim – na temat ataków AIR-FI (pkt 3), na uwagę zasługuje też opis ataku, który pozwala na sklonowanie kluczy Google Titan i YubiKey (pkt 9) oraz analiza operacji Kremlin (pkt 18). Miłego klikania!
Wersja anglojęzyczna
Część bardziej fabularna
- [PL] Kara za brak zgłoszenia naruszenia ochrony danych osobowych
- [PL] Kara za wyciek danych osobowych z serwisu MoneyMan.pl
- [PL] Czy dostęp służb do informacji finansowych może być pod kontrolą
- [PL] WhatsApp stawia ultimatum: albo oddasz swoje dane, albo nie skorzystasz
- [PL] Gdy platformy cyfrowe blokują prezydenta USA, to kto ma władzę?
- [PL] Telegram z Białorusi: wpływ komunikatora na protesty w kraju
- Dlaczego Google od tygodni nie aktualizował swoich aplikacji na iOS
- Kody źródłowe Nissana wyciekły do sieci
- Ujawniono atak z 2013 r. na wewnętrzną bazę danych Microsoftu
- Singapurska policja może uzyskiwać dostęp do danych z antycovidowej aplikacji
- Które amerykańskie agencje rządowe ucierpiały w ataku za pośrednictwem SolarWinds
- Sąd odebrał brytyjskim służbom możliwość masowego hakowania urządzeń
- Rosjanin, który włamał się do JPMorgan Chase, trafi do więzienia na 12 lat
- DDoSecrets opublikowało dane ofiar ataków ransomware’u
Część bardziej techniczna
- [PL][WIDEO] Rozmowa Kontrolowana z Pawłem Krawczykiem
- [PL][WIDEO] Rozmowa Kontrolowana z Wojtkiem Dworakowskim
- [PL] Ataki AIR-FI. RAM jako nadajnik radiowy
- [PL] NordVPN – zabawy z API i Cloudflare X-Forwarder-For
- [PL] Od .git do panelu administracyjnego systemu z fakturami/paragonami
- [PL] Subiektywna lista najlepszych programów narzędziowych pod Windows
- [PL] Czy Amazon śledzi każdy nasz ruch na Kindle
- Tylna furtka w sprzęcie marki Zyxel + łatka
- Atak pozwalający na sklonowanie kluczy Google Titan i YubiKey (PDF)
- Luki w Firefoksie, Chrome i Edge umożliwiające przejęcie kontroli nad systemem
- Luka w Telegramie pozwala ustalić lokalizację użytkowników + więcej informacji
- 86% stron używających Google Analytics nie anonimizuje adresów IP użytkowników
- Przejmowanie kont Oculusa i Facebooka z wykorzystaniem XSS
- Analiza wycieku danych z firmy Leonardo działającej w branży lotniczej i obronnej
- Upubliczniono kod źródłowy szkodnika blokującego męskie pasy cnoty
- Kompleksowa analiza złośliwego oprogramowania na macOS wykrytego w 2020 r.
- ElectroRAT pozostawał niewykryty przez prawie rok
- Techniczne kulisy operacji Kremlin
- [WIDEO] Kurs z podstaw cyberbezpieczeństwa Uniwersytetu Stanu Iowa
- Jak używać kluczy YubiKey podczas logowania do serwerów przez SSH
Dziękujemy wszystkim, którzy dzielą się z nami znalezionymi w sieci ciekawymi artykułami. Linki możecie przesyłać na adres anna (at) zaufanatrzeciastrona.pl – są szanse, że trafią do kolejnego wydania Weekendowej Lektury.
Komentarze
Ale jak to 399? Jak ten czas może tak lecieć?
Pozdrawiam z siwą brodą!
„Kurs z podstaw cyberbezpieczeństwa Uniwersytetu Stanu Iowa” – to chyba oblali od razu bo nie mają https :)
Tytuł linku do artykułu o kluczach U2F jest mylący, tylko jeden klucz Yubikey oparty na starym module jest podatny (przynajmniej w tym przypadku) i tu cytat:
„The impacted Yubico Yubikey Neo is an old product no more available for sale. All FIDO U2F Yubico Yubikeys currently available on their webstore are based on a newer secure element from Infineon, and are not impacted by our work to our knowledge.” Warto by poprawić ;)
YubiKeye są fajne ale istnieją ciekawe i znane alternatywy:
https://www.ftsafe.com/Products/FIDO
https://www.nitrokey.com/#comparison
Są też mniej znane brandy, tu przykładowy:
https://www.amazon.com/Somu-Security-Two-Factor-Authentication-USB/dp/B07ZYG89SF
Ciekawym zastosowaniem tych kluczy jest autoryzacja do systemu operacyjnego zamiast ryzykownego loginu i hasła. Używam tego od lat i bangla bezproblemowo.
No właśnie. Klucze U2F są dość drogie. To znaczy: o wiele tańsze niż naprawianie skutków włamu. Ale kupić coś 5 razy droższego od pendrive-a, a mającego „tak małe” możliwości, to dla przeciętnego użytkownika bariera psychiczna nie do przeskoczenia.
Z logowaniem do systemu, to jak masz? Do prywatnego kompa, czy w robocie, do kompa w AD? Jeśli to drugie, to czy może to działać na każdym kompie w AD (czyli przypisane do konta), czy tylko na tym, na którym to skonfigurowałeś?
Na domowym kompie mam to na Linuksie który jest hipervizorem, działa to poprzez moduł PAM. Dużo pożytku mam z tych dongli.
O służbowym kompie i jego zabezpieczeniu nie będę się wypowiadał. Dziwię się że mnie o to pytasz… Ktoś kto paple o służbowych zabezpieczeniach, nie jest prawdziwym gliną tylko pizd* !!!
Dobra, dobra, niech Ci będzie, że jesteś tym prawdziwym. Albo, że ukrywasz, że hasło jest pod klawiaturą ;)
To jest fajny bajer i tylko 60 USD:
BioPass FIDO Security Key
https://www.ftsafe.com/store/product/biopass-fido-security-key/
Specification:
Key verification method: Fingerprint
Application: FIDO U2F & FIDO2 & HOTP(optional)
Interface Type: USB-A / USB-C
Security Key for Windows Hello
https://www.youtube.com/watch?v=bgyNfUawXJo&feature=emb_logo