Kuin myös Debianin:Ubuntun kohdalla korjattu käsittääkseni.
CVE-2021-33909 | Ubuntu
Ubuntu is an open source software operating system that runs from the desktop, to the cloud, to all your internet connected things.ubuntu.com
USN-5017-1: Linux kernel vulnerabilities | Ubuntu security notices | Ubuntu
Ubuntu is an open source software operating system that runs from the desktop, to the cloud, to all your internet connected things.
blog.mozilla.org
Tuo http-yhteyksien tuen poisto vähän hirvittää kun on paljon laitteita joihin mennään suoraan kaapelilla kiinni ja selaimella konffaillaan http:n yli. Toivottavasti tuohon tulee sitten joku tapa millä noihin vanhoihin laitteisiin pääsee käsiksi, koska kaikkien ympäri maata olevien laitteiden päivittäminen ei tule kysymykseen. Ymmärrän kyllä hyvin että tavalliselle käyttäjälle tuo on kohtalainen tietoturvaparannus mutta vielä on olemassa paljon laitteita joiden konffauskäyttöliittymä ei vaan tue muuta kuin http:tä.Firefox poistaa tuen ftp tiedonsiirrolle seuraavasta selainversiostaan, johtuen ftp turvattomuudesta ja vanhentumisesta tekniikkana. Ftp siirtää tiedostoja salaamattomana verkon läpi. Tämän takia kuka tahansa välissä (man-in-the-middle hyökkäyksellä) voi lukea tiedoston sisällön, muokata tiedoston sisältöä lennossa tai lisätä tiedostoon lennossa vaikka haittaohjelman ennen kuin se saavuttaa käyttäjän. Kryptatuissa yhteyksissä tälläinen tiedonsiirron manipulointi ei onnistu, koska vain serveri ja vastaanottaja voivat lukea tiedonsiirtopaketit selväkielisinä.
Built-in FTP implementation to be removed in Firefox 90 – Mozilla Add-ons Community Blog
Firefox's built-in FTP implementation will be removed in Firefox 90. To offset this removal, 'ftp' has been added as a supported protocol handler for extensions.
Myös tuki http yhteyksille www sivujen siirrossa tulee poistumaan tulevaisuudessa firefoxista samoista syistä, koska https suojaa serverin ja käyttäjän välistä viestintää paremmin.
mobiili.fi
msrc.microsoft.com
Eilen ilmestyneessä iOS 14.7 Beta 5 on korjattu tuo Wifi SSID merkkijonobugi. Tuo iOS/iPadOS 14.7 voi ilmestyä aika pian.
Edit: Nyt tuosta on Macrumors sivustolla uutinen
Latest iOS 14.7 Beta Patches Bug That Disables iPhone's Ability to Connect to Wi-Fi
The latest beta for iOS and iPadOS 14.7, released to developers this week, patches a bug that disabled an iPhone's ability to connect to Wi-Fi if...www.macrumors.com
Wi-Fi
Available for: iPhone 6s and later, iPad Pro (all models), iPad Air 2 and later, iPad 5th generation and later, iPad mini 4 and later, and iPod touch (7th generation)
Impact: Joining a malicious Wi-Fi network may result in a denial of service or arbitrary code execution
Description: This issue was addressed with improved checks.
CVE-2021-30800: vm_call, Nozhdar Abdulkhaleq ShukriApplen Safari ei ole mun muistin mukaan koskaan tukenut tuota ftp:tä. Finder tukee ja jos yrittää mennä Safarilla ftp osoitteeseen niin tulee seuraava ilmoitus.Firefox poistaa tuen ftp tiedonsiirrolle seuraavasta selainversiostaan, johtuen ftp turvattomuudesta ja vanhentumisesta tekniikkana. Ftp siirtää tiedostoja salaamattomana verkon läpi. Tämän takia kuka tahansa välissä (man-in-the-middle hyökkäyksellä) voi lukea tiedoston sisällön, muokata tiedoston sisältöä lennossa tai lisätä tiedostoon lennossa vaikka haittaohjelman ennen kuin se saavuttaa käyttäjän. Kryptatuissa yhteyksissä tälläinen tiedonsiirron manipulointi ei onnistu, koska vain serveri ja vastaanottaja voivat lukea tiedonsiirtopaketit selväkielisinä.
Built-in FTP implementation to be removed in Firefox 90 – Mozilla Add-ons Community Blog
Firefox's built-in FTP implementation will be removed in Firefox 90. To offset this removal, 'ftp' has been added as a supported protocol handler for extensions.
Myös tuki http yhteyksille www sivujen siirrossa tulee poistumaan tulevaisuudessa firefoxista samoista syistä, koska https suojaa serverin ja käyttäjän välistä viestintää paremmin.
Kohta tarve selaimella jossa toimii peruskilkkeet ja jota ylläpidetään jotekin.
Tuon hyökkäyksen takana olevalle ryhmälle mahdollisesti tapahtui jotain:
REvil ransomware gang's web sites mysteriously shut down
The infrastructure and websites for the REvil ransomware operation have mysteriously gone offline as of last night.www.bleepingcomputer.com
WatchOS 7.6.1 on myös julkaistu tänään ja sama korjaus.Apple julkaissut iOS/iPadOS 14.7.1 ja macOS 11.5.1 versiopäivitykset, jotka korjaavat IOMobileFrameBufferista löytyneen haavoittuvuuden.
About the security content of macOS Big Sur 11.5.1 - Apple Support
This document describes the security content of macOS Big Sur 11.5.1.support.apple.com
About the security content of iOS 14.7.1 and iPadOS 14.7.1 - Apple Support
This document describes the security content of iOS 14.7.1 and iPadOS 14.7.1.
dolosgroup.io
Suositeltava tapa salauksessakin on käyttää multifactoria. Microsoftin Bitlocker-guidessa selvästi sanotaan, että TPM only voi altistaa hardware-tason haavoittuvuuksille ja best practice olisi käyttää PIN tai jotain muuta lisäauthentikaatiota. PIN olisi estänyt tämänkin hyökkäyksen. Eli kyllä oikein käytettynä TPM on varsin hyödyllinen.
Ja siinähän se jutun ydin onkin, ikävä kyllä vaan tuntuu aina ne default asetukset jäävän voimaan suurimmalla osalla, vaikka onkin ohjeistukset/suositukset sitten jossain olemassa...
Onko tuosta jotain tilastoa, jos siis puhutaan firmoista jotka nykyisen lainsäädännön takia joutuvat oikeasti pitämään huolen.
Edgeen (Canary, Dev ja Beta) tullut uusi Super Duper Secure Mode -toiminto, joka parantaa selaimen tietoturvaa ottamalla Javascriptin JIT-kääntämisen pois käytöstä, jolloin hyökkääjät eivät voi hyödyntää noita JIT-kääntäjästä löytyviä tietoturvaongelmia
Apple aikoo vastaisuudessa skannata jenkkien puhelimet laittoman kuvasisällön varalta. On vähän epäselvää perustuuko tuo pelkkien kuvien hashiin vai johonkin muuhun. Joka tapauksessa tuo avaa melkoisen aukon tietoturvan kannalta, jonka perään Apple on viime vuosina liputtanut.
EDIT: Toki tämä ei ole mitään uutta. Facebook on tehnyt samaa jo vuodesta 2011, eikä sovi unohtaa Microsoftia ja Googlea (2008 alkaen) ym.
Apple Plans To Scan US iPhones for Child Abuse Imagery - Slashdot
Apple intends to install software on American iPhones to scan for child abuse imagery, Financial Times is reporting citing people briefed on the plans, raising alarm among security researchers who warn that it could open the door to surveillance of millions of people's personal devices. From the...apple.slashdot.org
Suomessakin on tomijoita, joilla samanlaisia velvoitteita ja toimintoja ainakin työntekijöitään kohtaan.Applen "Expanded Protections for Children" linkki
Linkin lopussa PDF -tiedostoja, joissa tarkemmin miten toimii.
Erona tässä on se, että Google ja Microsoft taitavat tehdä tuota "vain" pilvessä, jos sinne siirtää tiedostojaan, kun nyt tämä Applen toiminto on suoraan käyttäjän luurissa.
mobiili.fi
Täällä on selitetty tarkemmin miten Applen uusi kuvien skannaus toimii. Kaikista Applen laitteisiin tallennetuista kuvista luodaan hash tiiviiste ja sen jälkeen tiivistettä verrataan suojattuun tietokantaan, joka tapahtuu tapahtuu käyttäjän laitteessa ja vasta kun tietty match ylittyy menee ilmoitus eteenpäin.
Apple julkisti lapsiin liittyviä suojaominaisuuksia – kuvien tarkistaminen lapsipornon varalta herättää myös huolia
Apple tiedottaa verkkosivuillaan uusista suojaominaisuuksista, joiden on tarkoitus tehdä esimerkiksi viestittelystä turvallisempaa lapsille. Yhteensä uud
Itseäni tässä huolestuttaa lähinnä se, että jos tämä skannailu tekniikka yleistyy muuhunkin käyttöön esim. skannaillaan muutakin sisältöä käyttäjien laitteilla ja verrataan johonkin tietokantaan ja kun tietty kynnys ylittyy aletaan käyttämään tietoa vaikka mainontaan esimerkiksi yksityisviesteissä mainittuja avainsanoja ja samalla väitetään, että kenenkään yksityisyys ei vaarannu kun siinä verrataan vain hash tiivisteitä ja kaikki tapahtuu vain käyttäjän laitteessa. Myös mainokset voidaan ladata valmiiksi käyttäjän laitteeseen etukäteen ja käyttäjän oma laite skannailujen perusteella päättää mitä mainoksia näytetään, jolloin periaatteessa mitään ei missään vaiheessa mene käyttäjän laitteen ulkopuolelle, jolloin voidaan väittää, että yksityisyys ei vaarannu ja kaikki viestit ovat edelleen end-to-end encrypted.
Eikös tämäkin tule kohta loppumaan? Olikos se jo esim. EU:ssä päätetty näin, vai oliko vielä esitysasteella? Ei kyllä kohta ole enää mitään yksityisyyttä jäljellä. Kohta on valtion valvontakameratkin varmaan jokaisen kodissa..
Eipä se taida olla edennyt mihinkään, kyllä varmasti näkyisi jossain, jos tuo olisi ajettu jo läpi...
Eipä tuota voi oikein mitenkään voi estää, kun teknologia on olemassa. Salausteknologia on käytettävissä, eikä sitä voi estää. Ellei sitten tehdä kokonaan laittomaksi ja riittävän kovat sanktiot, joka sekään ei auta oikeasti. Mutta tietysti saa 99% ihmistä välttelemään rikollisia asioita. Toisaalta, rikollisia se ei hetkauta pätkän vertaa. - Mutta toi tulee kestämään varmasti pitkään ja onhan tuo kädenvääntö jatkunut jo vuosikymmeniä ja tulee varmasti jatkossakin jatkumaan suuntaan jos toiseen on paineita.
Sen verran kyyniseksi tullut, että en uskokaan, että se on tavoite vaan ei-rikollisten massavalvonta. Joku Signal-tyyppisen ohjelman käyttö loppuu kokonaan JOS haluaa pitää kiinni yksityisyydestään. Mitä suurin osa ihmisistä tekee? Lopettaa kaiken sellaisen toiminnan jota valvotaan? Ja siirtyy käyttämään jotain ei helposti saatavilla/käytettävissä olevia keinoja? Nope. Varsinkin jos nämä asiat hivutetaan hitaasti ihmisten arkeen jollain tekosyillä kuten lapo:lla joka saa ihmiset reagoimaan tunnemyrskyllä eikä järjellä.
Luuletko tosiaan, että tuollaisia asioita ajetaan ilman, että niitä valvottaisiin, että ne toteutuvat käytännössäkin? Esim. kännykät joilla viestitellään valtavasti, eihän se vaadi kuin bannaamista vähänkään isoimmilta kauppapaikoilta ja rahahanojen katkaisemista jos eivät pääse lakiteknisesti kiinni sellaisiin jotka operoivat sellaisissa valtioissa jotka eivät tee yhteistyötä muun maailman kanssa. Se riittää, että valtaosa on sen massavalvonnan alaisena, ei he kaikkia yritäkään saada kiinni, se ei ole mahdollista. Enkä näe mitään sellaista miksi edes vähänkään merkittävä määrä ihmisistä siirtyisivät jonkun laittoman ja vaikeasti käyttöönotettavan ratkaisun käyttäjiksi, varsinkin kun se tarkoittaisi sitä, että iso osa omista kontakteista jäisi ulkopuolelle. Ihmiset yleisesti ovat hyvin alttiita luopumaan yksityisyydestään jos se perustellaan heille oikeilla argumenteilla ja epäkäytännöllisyyden vaaralla. Omassa elämässäkin olen nähnyt hyvinkin muuten viisaita ihmisiä jotka toistavat "ei minulla ole mitään salattavaa, ei tämä haittaa ollenkaan" mantraa kuin laumaeläimet kun heidän yksityisyyttään yritetään rajoittaa tajuamatta edes, että kyse on kahdesta eri asiasta. Oman kokemukseni mukaan ihmiset eivät ole kovin hyviä hahmottamaan pidemmän aikajakson aikana tapahtuvaa hidasta kehitystä.. jotkut eivät edes hahmota koko asiaa vaikka sitä kuinka vääntäisi rautalangasta.
www.patrick-breyer.de
Takaisin vähän topikin tarkoitukseen; tätä uutista ei käsittääkseni vielä ole täällä nähty, vähän tulee myöhässä mutta ehkä on postaamisen arvoinen.
Signal fixes bug that sent random images to wrong contacts
Signal has fixed a serious bug in its Android app that, in some cases, sent random unintended pictures to contacts without an obvious explanation. Although the issue was reported in December 2020, given the difficulty of reproducing the bug, it isn't until this month that a fix was pushed out.
On pätsätty siis mutta se kesti todella kauan. Olihan tämä aika paha bugi ja iso lommo Signalille.
Tästä EU:n muutoksesta ihan hyvää tiivistelmää:
Messaging and Chat Control
The End of the Privacy of Digital Correspondence The EU decided to let providers search all private chats, messages, and emails automatically for suspicious content - generally and indiscriminately. The stated aim: To prosecute child pornography. The result: Mass surveillance by means of fu
