Články - Hacking

Zajímá v česku někoho bezpečnost? Ač mnoho firem staví ve svých prohlášeních bezpečnost IT na první místo, realita je naprosto odlišná. Když vidíte, jak se firmy ve své malosti k bezpečnostní otázce staví, tak vám zůstává rozum stát.

Z minulého dílu seriálu o manipulaci soutěží založených na hlasování uživatelů vyplynulo, že kontrolovat a znemožňovat opakované hlasování na základě údajů uložených v cookies není pro pořadatele soutěží tím nejlepším nápadem. Vzhledem k tomu, že informace uložené na straně uživatele je možné velice snadno zmanipulovat, bude nutné použít pro kontrolu a zamezení vícenásobného hlasování kontrolu až na straně serveru.

Po dříve zveřejněné sérii článků o ovlivňování výsledků internetových soutěží, které byly založeny na získání nejvyššího skóre ve flashových hrách, bych chtěl na tento seriál navázat další sérií článků o ovlivňování soutěží založených na hlasování, tedy těch, kde je potřeba získat největší množství hlasů od hlasujících uživatelů.

Hardwarový keylogger představuje nejsnadnější způsob získání uživatelských hesel na počítačích, k nimž získá útočník alespoň na chvilku fyzický přístup. Pojďme se podívat, kam se za posledních několik let posunuly technologie v této oblasti a co můžeme na trhu získat.

Google Play umožňuje nakupovat aplikace, knihy a hudbu. Jakmile jednou vyplníte způsob platby (např. platební karta nebo vyúčtování operátora), uloží se a můžete toho využít při přístím nákupu. Od určité doby se Google rozhodl ochránit tyto nákupy heslem. Tato snaha je určitě chvályhodná, pokud by to ale nešlo obejít. Takto máme místo zabezpečení spíše nesplněný slib, který může mít spíše opačné účinky – uživatel se může na zabezpečení spoléhat, to ale nebude fungovat.

Dnes nejsou na trhu téměř žádné telefony, které by nabízeli možnost zkontrolovat, jaký typ šifrování se používá k zabezpečení aktuálního GSM provozu.

Jeden by si řekl, že (s)prosté obrázky vložené do HTML stránky, nebo do obsahu e-mailové zprávy, nemohou mít na svědomí krádež přihlašovacích údajů uživatelů, kteří obsah s těmito obrázky zobrazí. Je to ale skutečně tak?

Na internetu se neustále objevují články o nových zranitelnostech, popř. nových zařízeních, která jsou zranitelná. V drtivé většině je řeč o routerech povětšinou zabezpečených defaultním heslem. Defaultní hesla k těmto zařízením najedeme téměř vždy na stránkách výrobce nebo po pár vteřinách pátrání na google.com.

Ne, nebojte se, tento článek opravdu nebude o Cross-Site Scriptingu :) Povíme si o jedné nepříliš známé, ale zato poměrně rozšířené zranitelnosti, způsobené zapomenutou tečkou v DNS záznamu. Útoky Same-Site Scripting ohrožují hlavně uživatele víceuživatelských systémů, kteří mohou snadno podlehnout phishingovému útoku, nebo přijít o svá cookies. To vše i bez použití JavaScriptu a bez sniffingu sítě.

Když jsem byl před časem s FORPSI v kontaktu, dostalo se mi ujištění, že při vývoji jejich nových aplikací budou na zabezpečení klást veliký důraz. Pokud má být výsledkem jejich aktuální webová aplikace, tak Bůh ochraňuj naše domény. Forpsi to za něj totiž asi neudělá.