Tietoturvauutiset ja blogipostaukset

Viestiketju alueella 'Internet, tietoliikenne ja tietoturva' , aloittaja oselotti, 17.07.2017.

  1. oselotti

    oselotti

    Viestejä:
    317
    Rekisteröitynyt:
    02.11.2016
    Tähän ketjuun voi linkittää uusimpia tietoturvauutisia ja blogipostauksia, sekä keskustella niistä. (Edellinen ketju hävisi bittiavaruuteen, jonka takia tämä uusi ketju.)
     
  2. Rantakemisti

    Rantakemisti Moderator Ylläpidon jäsen

    Viestejä:
    2 512
    Rekisteröitynyt:
    18.10.2016
    Laitettu nostoksi! :tup:
     
    Ryydike, Sampsa ja oselotti tykkäävät tästä.
  3. Ryydike

    Ryydike BANNATTU BANNED

    Viestejä:
    981
    Rekisteröitynyt:
    04.11.2016
    oselotti ja Sampsa tykkäävät tästä.
  4. neko

    neko Make ATK Great Again

    Viestejä:
    1 677
    Rekisteröitynyt:
    18.10.2016
    No ihmettelinkin että eikös täällä ollutkaan tällainen ketju.

    Miksi ihmeessä tuo edellinen poistui?
     
  5. Ryydike

    Ryydike BANNATTU BANNED

    Viestejä:
    981
    Rekisteröitynyt:
    04.11.2016
     
  6. oselotti

    oselotti

    Viestejä:
    317
    Rekisteröitynyt:
    02.11.2016
    Devil's Ivy

    Devil's Ivy: Flaw in Widely Used Third-party Code Impacts Millions
    Mielenkiintoinen tekninen osuus: Devil's Ivy: The Technical Details

     
  7. oselotti

    oselotti

    Viestejä:
    317
    Rekisteröitynyt:
    02.11.2016
    Kun Valven Source-moottoria käyttävissä videopeleissä tappoi vihollisen, sai samalla ujutettua haitallista koodia vastustajalle.

    Remote Code Execution In Source Games
    Kolmannen osapuolen modeja ei ole vielä korjattu, joten nyt olisi syytä kaventaa hyökkäyspintaa estämällä lisäsisällön lataus:
     
  8. user9999

    user9999 Platinum-jäsen Premium-jäsen

    Viestejä:
    825
    Rekisteröitynyt:
    17.10.2016
  9. oselotti

    oselotti

    Viestejä:
    317
    Rekisteröitynyt:
    02.11.2016
    How I tricked Symantec with a Fake Private Key - Hanno's blog

    Mielenkiintoinen blogipostaus siitä, kuinka Symantec ei tarkista kunnolla mitätöitäviä SSL-avaimia. Kuka tahansa on ainakin tähän asti voinut huijata Symantecin mitätöimään jonkun toisen omistaman salaisen avaimen lähettämällä Symantecille väärennetyn avaimen, joka ei oikeasti täsmää julkiseen puoliskoon.
     
  10. oselotti

    oselotti

    Viestejä:
    317
    Rekisteröitynyt:
    02.11.2016
  11. neko

    neko Make ATK Great Again

    Viestejä:
    1 677
    Rekisteröitynyt:
    18.10.2016
    Liian pitkä juttu meikäläisen ymmärrykselle, joten te viisaammat: onko tavallisen käyttäjän tehtävissä jotain? Esim. ko. juttu koskee kai esim. Samsung Galaxy S7:aa, mitä teen? Otan paniikit? ;)
     
  12. oselotti

    oselotti

    Viestejä:
    317
    Rekisteröitynyt:
    02.11.2016
    Tarkista ja asenna uusimmat tietoturvapäivitykset. Ei loppukäyttäjä voi usein juurikaan muuta tehdä, kuin pitää ohjelmistonsa päivitykset ajan tasalla. ;)

    Aiheesta lisää mediassa:
     
  13. user9999

    user9999 Platinum-jäsen Premium-jäsen

    Viestejä:
    825
    Rekisteröitynyt:
    17.10.2016
    Apple ja Google on näköjään pätsänny tuon Broadpwn jutun.
    About the security content of iOS 10.3.3

    Wi-Fi

    Available for: iPhone 5 and later, iPad 4th generation and later, and iPod touch 6th generation
    Impact: An attacker within range may be able to execute arbitrary code on the Wi-Fi chip
    Description: A memory corruption issue was addressed with improved memory handling.
    CVE-2017-9417: Nitay Artenstein of Exodus Intelligence

    CVE - CVE-2017-9417


    Sitä en tiedä miten tuo valuu eri valmistajien Android laitteisiin.
     
    Viimeksi muokattu: 29.07.2017
  14. olkitu

    olkitu

    Viestejä:
    966
    Rekisteröitynyt:
    17.10.2016
    Android Security Bulletin—July 2017  |  Android Open Source Project

    Eli pitäisi luultavasti olla 1.7 tai uudempi Security patch asennettuna. Samsungin omistajilla se on vähän niin ja näin kuten monella muullakin. Pixel / Nexus puhelimet tämän ovat saaneet. Toisaalta tuo ongelma koskee jos on WLAN päällä eli WLAN pois vaan, mihin sitä Suomessa tartteekaan :)
     
  15. oselotti

    oselotti

    Viestejä:
    317
    Rekisteröitynyt:
    02.11.2016
  16. oselotti

    oselotti

    Viestejä:
    317
    Rekisteröitynyt:
    02.11.2016
    Modern Alchemy: Turning XSS into RCE · Doyensec's Blog
     
  17. oselotti

    oselotti

    Viestejä:
    317
    Rekisteröitynyt:
    02.11.2016
    LKML: Junio C Hamano: [ANNOUNCE] Git v2.14.1, v2.13.5, and others

    Vihamielinen taho voi huijata Gitin käyttäjää sopivasti muotoillulla ssh:// -osoitteella ja näin suorittaa ohjelmia käyttäjän järjestelmässä.
     
  18. Cobolt

    Cobolt

    Viestejä:
    182
    Rekisteröitynyt:
    19.07.2017
    Itsehän en muuta käytäkään kotona kuin wlania :bored:
    Onkohan mitään tietoa milloin muut saa tuon viimeisimmän patchin?
     
  19. olkitu

    olkitu

    Viestejä:
    966
    Rekisteröitynyt:
    17.10.2016
    Silloin kun valmistaja julkaisee...

    Sony saanut jo, Nokian Androidit ainakin.... Mutta muuten aikanaan, voi aina valitella valmistajan suuntaan että laittaisivat patchin...
     
  20. leripe

    leripe Ehdotuksia otetaan vastaan Köyhä

    Viestejä:
    632
    Rekisteröitynyt:
    19.10.2016
    Jos puhelimesi on julkaistu yli vuosi sitten, niin tod näk voit lopettaa jo odottelun. Tai ainakin jos puhelimesi ovh hinta oli alle 400-500e.
     
  21. Cobolt

    Cobolt

    Viestejä:
    182
    Rekisteröitynyt:
    19.07.2017
    Tabletille tarvitsisin, siinä on seiska....samsung, luulisi tulevan patchin jos tarvetta on. Vai koskiko tämä vain puhelimia..
     
  22. user9999

    user9999 Platinum-jäsen Premium-jäsen

    Viestejä:
    825
    Rekisteröitynyt:
    17.10.2016
    Viimeksi muokattu: 13.08.2017
  23. oselotti

    oselotti

    Viestejä:
    317
    Rekisteröitynyt:
    02.11.2016
    Tämä koskee kaikkia Android ja iOS -laitteita, joissa on BCM43xx-sarjan Wifi-chippi. Bugi on siis firmware imagessa, eli siinä ohjelmistossa, joka pyörii kyseisellä chipillä.
     
  24. Cobolt

    Cobolt

    Viestejä:
    182
    Rekisteröitynyt:
    19.07.2017
    Mistä näitä numerosarjahirviöitä tavan käyttäjä edes löytää. Omassa tabussa lukee että Androidin tietoturvakorj.taso: 1.toukokuuta 2017
     
  25. user9999

    user9999 Platinum-jäsen Premium-jäsen

    Viestejä:
    825
    Rekisteröitynyt:
    17.10.2016
    Siinä pitäisi varmaan olla heinäkuun tai elokuun Android tietoturvataso. Google paikannut tuon heinäkuun alussa.
    Android Security Bulletin—July 2017  |  Android Open Source Project
     
  26. Pertti Kosunen

    Pertti Kosunen Basic Input/Output System

    Viestejä:
    3 144
    Rekisteröitynyt:
    19.10.2016
    Tämä taitaa koskea vain Googlen "omia" laitteita. Luulisin, että WLAN firmwaret on device treen puolella eli eivät tule Googlelta.
     
  27. user9999

    user9999 Platinum-jäsen Premium-jäsen

    Viestejä:
    825
    Rekisteröitynyt:
    17.10.2016
    Samsung Mobile Security Blog

    Tuossa tuon katoin:

    Google patches include patches up to Android Security Bulletin - August 2017 package.

    The Bulletin (August 2017) contains the following CVE items:
    Critical: CVE-2017-0714, CVE-2017-0715, CVE-2017-0716, CVE-2017-0718, CVE-2017-0719, CVE-2017-0720, CVE-2017-0721, CVE-2017-0722, CVE-2017-0723, CVE-2017-0745, CVE-2017-0407, CVE-2017-9417
    High: CVE-2017-0576, CVE-2016-10286, CVE-2016-10244, CVE-2017-0713, CVE-2017-0724, CVE-2017-0725, CVE-2017-0726, CVE-2017-0727, CVE-2017-0728, CVE-2017-0729, CVE-2017-0730, CVE-2017-0731, CVE-2017-0732, CVE-2017-0733, CVE-2017-0734, CVE-2017-0735, CVE-2017-0736, CVE-2017-0687, CVE-2017-0737
    Moderate: CVE-2017-0583, CVE-2016-5346, CVE-2017-6425, CVE-2016-10236, CVE-2017-6426, CVE-2017-7370, CVE-2017-7372, CVE-2017-7373, CVE-2017-0451, CVE-2017-7308, CVE-2017-8264, CVE-2017-8266, CVE-2017-8268, CVE-2017-8258, CVE-2017-0560, CVE-2017-0712, CVE-2017-0738, CVE-2017-0739
    Low: CVE-2017-0452

    ※ Please see Android Security Bulletin for detailed information on Google patches.

    Toki Broadcom mukana kun koskee sen piirejä...

     
  28. Pertti Kosunen

    Pertti Kosunen Basic Input/Output System

    Viestejä:
    3 144
    Rekisteröitynyt:
    19.10.2016
    Se taitaakin kuulua vendor treen alle. Samsung taitaa siis käyttää Googlen tarjoamaa Broadcom ajuria ja firmwarea.



    Koodi:
    strings /system/vendor/firmware/fw_bcmdhd.bin | tail
    Tuolla komennolla voi tarkistaa onko firmware ajan tasalla eli kesäkuulta tai uudempi. Komento saattaa vaatia, että Busybox on asennettuna.
     
  29. lxmo

    lxmo

    Viestejä:
    81
    Rekisteröitynyt:
    20.10.2016
    Enemmän tai vähemmän tietoturvaan liittyvä uutinen:

    Secret chips in replacement parts can completely hijack your phone’s security

    Eli siis älypuhelimen alkuperäisen, hajonneen näytön tilalle voidaan luonnollisesti vaihtaa uusi näyttöosa, mutta se voikin kaapata näytön lukituskoodisi, ottaa kuvia, asentaa sovelluksia jne. (pahoittelut jos pieniä asiavirheitä, en ole koskaan ollut kympin oppilas englannin kielessä)
     
  30. oselotti

    oselotti

    Viestejä:
    317
    Rekisteröitynyt:
    02.11.2016
    lxmo tykkää tästä.
  31. oselotti

    oselotti

    Viestejä:
    317
    Rekisteröitynyt:
    02.11.2016
  32. Cobolt

    Cobolt

    Viestejä:
    182
    Rekisteröitynyt:
    19.07.2017
  33. neko

    neko Make ATK Great Again

    Viestejä:
    1 677
    Rekisteröitynyt:
    18.10.2016
  34. oselotti

    oselotti

    Viestejä:
    317
    Rekisteröitynyt:
    02.11.2016
    Joo ei se kyllä turvallinen ole. Tuossa on muuten vielä kiinnostuneille alkuperäinen lähde: Igexin advertising network put user privacy at risk

    Tässä on nyt viime päivinä ollut muitakin vastaavia ongelmia Google Playn kanssa. Google on päästänyt läpi muun muassa haittaohjelmia, jotka lataavat ja asentavat puhelimeen pankkitroijalaisia. Ideana on, että latausohjelma ujutetaan Google Play -sovelluskauppaan, jolloin asennettaessa se hakee payloadin rikollisten palvelimelta ja asentaa sen laitteelle.
    Kuten muutakin AV:ta, myös Googlen haittaohjelmien tunnistusmekanismia pystyy huijaamaan helposti:
    Eli kiteytettynä: Hälytyskellojen pitäisi soida, jos joku sovellus pyytää lupaa piirtää muiden sovellusten päälle tai haluaa järjestelmänvalvojan oikeuksia (tai muita sille selvästi kuulumattomia oikeuksia).
     
  35. leripe

    leripe Ehdotuksia otetaan vastaan Köyhä

    Viestejä:
    632
    Rekisteröitynyt:
    19.10.2016
    Ja suurinosa käyttäjistä painelee vaan yesyesyesnextnextfinish.
    Applella on kyllä tuo sovelluspuoli ja kauppa paljon paremmassa gripissä.
     
    oselotti tykkää tästä.
  36. Ormu

    Ormu Tukijäsen

    Viestejä:
    918
    Rekisteröitynyt:
    17.10.2016
    Olisikohan ensimmäinen järkevä askel haittaohjelmia vastaan ihan se, että Google kieltäisi tällaisten käytön? Googlen laillinen sovelluskauppa on tehty niin helpoksi, että piratismillakaan on hankala perustella näitä.

    Edellyttääkö Google, että ohjelmien lähdekoodi on heidän tarkastettavissaan?
     
    lxmo tykkää tästä.
  37. oselotti

    oselotti

    Viestejä:
    317
    Rekisteröitynyt:
    02.11.2016
    Ei tietääkseni, toisaalta en ole käyttöehtoihin juurikaan tutustunut.

    Nyt uudessa Android Oreossa tietoturvaa on parannettu. Sovellukset tarvitsevat tulevaisuudessa erikseen luvan muiden sovellusten asentamiseen. Tarkoituksena juurikin torjua näitä Google Playn troijalaisia.

    Android Developers Blog: Making it safer to get apps on Android O
     
  38. Vauhtimursu

    Vauhtimursu

    Viestejä:
    203
    Rekisteröitynyt:
    30.07.2017
    Hälytyskellojen pitäiäs soida jo siinä vaiheessa, jos puhelimesta löytyy googleappsit ja kauppa :) Google on itsessään jo iso julkisesti lymyilevä troijalainen. Saati sitten vielä että ihmiset tuonne laittaa sovelluksia saataville niin kellään ei ole varmuutta mistään. No se on näköjään 2000lukua eikä sille mitään mahda.

    edit: Mahtaapas, onneksi on custom romit ilman googlea , harmittaa eniten tässä se että vaatii hirveän määrän opettelua jos haluat huolehtia yksityisyydestä. Kun sen pitäis olla niin enemmänkin että jo päätelaitteen liittäminen verkkoon olisi tässä vaiheessa yksityisyys sillä tasolla kun sen kuuluisi olla. Nyt yksityisyys on tehty lähes mahdottomaksi tavalliselle ihmiselle jota ei tietotekniikka niin kiinnosta mutta ei haluais siltikää luopua helpolla omasta yksityisyydestään. Pikkusen menee väärinpäin :(
     
    Viimeksi muokattu: 26.08.2017
  39. dragon age

    dragon age

    Viestejä:
    504
    Rekisteröitynyt:
    18.10.2016
    Kyllä näin on. Jos ei kyseenalaista eikä vastusta mitään vakoilua eikä muutakaan hämäperäistä touhua, niin silloin ei välitä yksityisyydestä eikä mistään muustakaan ja kulkee vain massojen mukana.
    Ei vielä edes tiedetä miten vakoilua tulevaisuudessa voidaan mahdollisesti haitallisesti hyödyntää...
     
  40. Vauhtimursu

    Vauhtimursu

    Viestejä:
    203
    Rekisteröitynyt:
    30.07.2017
    Nyt turun tero tapaus saattaa vain olla lopullinen kuolinisku verkon yksityisyydelle...pahoin pelkään että kohta ei vpn enää auta.

    En nyt löydä äkkiseltään mistään mitään.

    "Poliittisella tasolla esillä ovat toistaiseksi tiedustelulainsäädännön muuttaminen"
     
    Viimeksi muokattu: 26.08.2017
  41. escalibur

    escalibur ATK-harjoittelija Ylläpidon jäsen

    Viestejä:
    2 437
    Rekisteröitynyt:
    17.10.2016
  42. neko

    neko Make ATK Great Again

    Viestejä:
    1 677
    Rekisteröitynyt:
    18.10.2016
    Kaikkea ne keksii.
     
  43. Ryydike

    Ryydike BANNATTU BANNED

    Viestejä:
    981
    Rekisteröitynyt:
    04.11.2016
    Raha on hyvä motivaattori.
     
  44. escalibur

    escalibur ATK-harjoittelija Ylläpidon jäsen

    Viestejä:
    2 437
    Rekisteröitynyt:
    17.10.2016
  45. Obi-Lan

    Obi-Lan ¯\_(ツ)_/¯

    Viestejä:
    550
    Rekisteröitynyt:
    17.10.2016
    Apache Strutsissa on aukko, mikä mahdollistaa ilmeisesti about suoraan minkä tahansa koodin ajamisen www serverillä:

    lgtm

    Listattu aika isoja firmoja tuolla.
     
  46. escalibur

    escalibur ATK-harjoittelija Ylläpidon jäsen

    Viestejä:
    2 437
    Rekisteröitynyt:
    17.10.2016


    :)
     
  47. leripe

    leripe Ehdotuksia otetaan vastaan Köyhä

    Viestejä:
    632
    Rekisteröitynyt:
    19.10.2016
    Fakenews?

    "
    ‍✈️
    ‍✈️ @pyla924
    ·
    5 Sep
    Replying to @MelTajon and @LeoDuffOff
    Wait a minute
    In the démonstration mode, the Phone unclocks what ever the face, so it's not a security issue here"