Новости про безопасность

Компания Check Point нашла уязвимости в цифровом сигнальном процессоре (DSP) в Qualcomm Snapdragon. Всего найдено более 400 элементов уязвимостей, который вместе получили название Achilles. Эта уязвимость может воздействовать на смартфон тремя способами.

В любом случае, вначале злоумышленникам нужно заставить жертву установить приложение, которое обойдёт обычные меры безопасности. После этого хакеры могут превратить телефон в инструмент шпионажа.

Они могут получить доступ к фотографиям, видеозаписям, данным GPS и геолокации. Также они могут осуществлять запись звонков и включать микрофон без ведома хозяина.

Другой вариант использования уязвимости — окирпичивание устройства. Злоумышленники могут закрыть доступ ко всем данным на устройстве, что приведёт к отказу в работе.

И в последнем варианте есть возможность скрыть другой вредоносный код на устройстве так, чтобы он не был заметен жертве и его нельзя было удалить.

Одной из причин столь массивной уязвимости называется то, что DSP представляет собой типичный «чёрный ящик», и только производитель может понять, какие именно процессы в нём протекают.

Информация об уязвимости была опубликована после того, как Qualcomm предприняла меры по её устранению, однако некоторые производители устройств ещё не выпустили соответствующие патчи, а потому их смартфоны находятся в опасности.

Суть Fast Charging заключается в повышении напряжения зарядки, что позволяет снизить силу тока и обеспечить большую скорость зарядки устройства с тем же кабелем. Уязвимость BadPower приводит к тому, что на устройство подаётся повышенное напряжение, которое это устройство не поддерживает.

Специалисты из Xuanwu Lab. установили, что к прошивкам многих из зарядных устройств крайне просто добраться, чтобы изменить стандартное напряжение. При попытке зарядки литий-ионного аккумулятора повышенным напряжением он скорее всего взорвётся. А это, как известно, приводит к травмам, пожарам и даже к гибели владельца.

Протестировав 34 модели устройств быстрой зарядки, исследователи смогли легко обойти системы безопасности на 18 из них. Эта проблема вряд ли коснётся тех, кто заряжает устройства из дома, а вот в общественных местах недоброжелатели вполне могут подбросить скомпрометированное зарядное устройство.

Так, для новых учётных записей Google будет удалять историю поиска и местоположения через полтора года. Для старых учётных записей не меняется ничего. Нынешние пользователи смогут вручную или автоматически удалять историю в различных сервисах компании.

Теперь, если вы новый пользователь, то для вас история местоположения выключена по умолчанию. Включив её, вы получите настройку автоудаления истории, выставленную на 18 месяцев. В Web & App Activity автоудаление также будет установлено на 18 месяцев. При этом у пользователя всегда есть возможность выключить автоудаление.

Если же у вас уже включена опция истории местоположений и активности, то для вас ничего не меняется.

Что касается YouTube, то его новая политика предусматривает хранение истории в течение 3 лет.

Все эти настройки, как обычно, обеспечивают баланс между приватностью и удобством работы. Многим не нравится, что Google хранит данные пользователей, и они предпочитают удалять их. Однако доступ к собственной истории является крайне удобным.

Согласно исследованию «Тёмная реальность Open Source», опубликованному RiskSense, за последний год количество уязвимостей в 54 самых популярных проектах с открытым исходным кодом удвоилось. В 2019 году исследователи выявили 968 ошибок, а в 2018 — 421.

За период с 2015 по март 2020 года было выявлено 2694 ошибки в популярных проектах с открытым исходным кодом. Исследование не включало такие проекты как Linux, WordPress, Drupal, поскольку к ним привлечено огромное внимание и ошибки в их безопасности исправляются очень быстро.

Исследователи обратили внимание на другие популярные проекты, которые не так широко известны, но имеют огромную поддержку технологического и программистского сообществ. К ним относятся Jenkins, MongoDB, Elasticsearch, Chef, GitLab, Spark, Puppet и другие.

Компания отметила, что основной проблемой, выявленной при исследовании, было то, что большое количество найденных ошибок в безопасности, были переданы в национальную базу данных уязвимостей (National Vulnerability Database) через много недель после их публичного открытия. Исследователи отметили, что в среднем между нахождением ошибки и передачей её в NVD проходило 54 дня. Рекордсменом стал проект PostgreSQL, в котором передача сведений об уязвимости заняла 8 месяцев.

Тестирование новой функции начнётся в июле. Компания, чей бизнес невероятно вырос за время коронавирусного карантина, пытается привлечь к себе всё больше клиентов, работающих из дома, превратив свой сервис в глобальное средство телеконференций для бизнес-ориентированных пользователей.

Компания долгое время находится под шквалом критики из-за низкого уровня безопасности, в частности, отсутствия сквозного шифрования.

После того, как несколько предприятий запретили использовать Zoom, калифорнийской компании пришлось нанять директора по безопасности, который и начал вносить изменения в работу сервиса.

Система Windows Defender System Guard защищает от атак в прошивке, гарантируя безопасную загрузку посредством аппаратных решений в области безопасности, включая аттестацию на уровне гипервизора и технологии Secure Launch, известной как Dynamic Root of Trust (DRTM), которая включает безопасное ядро на ПК по умолчанию. Новый движок сканирования UEFI распространяется на эти защиты, делая сканирование прошивки более широкой практикой.

Сканер UEFI является новым компонентов встроенного в Windows 10 антивируса. Он даёт Microsoft Defender ATP уникальную возможность сканирования файловой системы прошивки и выполнять обслуживание в области безопасности.

Суть метода заключается в том, что блок питания издаёт звуки на высокой частоте. И это звучание меняется в зависимости от нагрузки. Таким образом, записывая звук блока питания на расстоянии 5 метров, удалось получить данные с компьютера. Для этого не требовалось ни специальное оборудование, ни системные привилегии, ни сложной подготовки.

В процессе контролируется ультразвук на частотах от 20 кГц до 20 МГц, издаваемый трансформаторами. Чтобы блок питания передавал данные, на компьютер жертвы нужно установить специальное зловредное приложение, которое считывает системные данные и вносит изменения в нагрузку процессора. Уязвимость получила название POWER-SUPPLaY.

Стоит ли правительственным организациям, военным или операторам атомных электростанций бояться этой уязвимости? Вряд ли. Угнать таким образом данные довольно просто, однако для начала процесса всё равно нужен доступ к компьютеру. Да и скорость передачи данных оставляет желать лучшего — 50 бит в секунду. То есть для передачи текстового документа латиницей в 10 000 слов нужно потратить около часа.

Не очень эффективно.

О проблеме заявил университет Эдинбурга, с его суперкомпьютером ARCHER.

Организация bwHPC, координирующая исследовательские проекты на суперкомпьютерах в Германии, сообщила об инцидентах в области безопасности, касательно суперкомпьютеров в Университете Штутгарта, Технологическом Институте Карлсруэ, Университетах Ульма и Тюбингена, Баварской Академии Наук. Также проблемы выявлены в Швейцарском вычислительном центре Цюриха и в испанской Барселоне.

Злоумышленники получили логины для доступа к этим суперкомпьютерам по SSH. Угнанные логины принадлежат различным университетам Польши, Канады и Китая. Затем, воспользовавшись уязвимостью CVE-2019-15666 в ядре Linux, они начали использовать суперкомпьютеры для майнинга Monero.

Отмечается, что это не первая попытка майнинга криптовалют на суперкомпьютерах. Однако ранее этим занимались сотрудники научных центров, имеющие непосредственный доступ к системам, а вот столь массированная распределённая атака проведена впервые.

Разработчик сообщил, что удалил множество участков кода, которые отправляли персональные данные на удалённый сервер без согласия пользователей.

«Мы не сканируем данные в вашем телефоне или вашем облачном пространстве, и мы не отслеживаем ваше перемещение сотни раз в день или собираем данные о том, что вы делаете со своими приложениями».

Телефон Firephone 3 с e/OS доступен к покупке за 480 евро, «на 30 евро дороже стандартного Fairphone 3 с флёром Googl’а». Установить /e/OS на Fairphone 3 можно вручную через специальный инсталлятор на сайте.

Смартфон Fairphone 3 предлагает модульную конструкцию с высокой ремонтопригодностью. Он «изготовлен из бесконфликтных, перерабатываемых материалов, выбранных с высокой ответственностью».

Что касается аппаратного обеспечения, то телефон имеет экран FullHD+ (2160×1080 пикс.) с защитой Gorilla Glass, заднюю камеру Sony разрешением 12 Мпикс., батарею ёмкостью 3000 мА×ч, накопитель на 64 ГБ с расширением через microSD. Устройство основано на процессоре Qualcomm Snapdragon 632 и имеет 4 ГБ оперативной памяти.

Из дополнительных функций можно отметить 8 Мпикс. фронтальную камеру, NFC и поддержку двух SIM-карт.

Система Tails OS создана на основе Debian, однако полностью переработана для обеспечения максимальной безопасности. Её запуск осуществляется только со съёмного накопителя, и она не оставляет никаких следов на основном компьютере. В ней все подключения к интернету осуществляются через Tor.

И вот, последнее обновление Tails OS 4.5 получило поддержку UEFI Secure Boot, которую можно найти в большинстве ОС. Безопасная загрузка использует криптографическую защиту для проверки целостности файлов прошивки, загружаемых при запуске системы, и гарантирует, что они не были изменены.

Эта технология является частью спецификации UEFI более двух десятилетий, однако используется нечасто из-за проблем с совместимостью. Несмотря на это, сам факт отсутствия безопасной загрузки в самой безопасной ОС настораживал. Ну а если Secure Boot на компьютере использовался, то чтобы запустить Tails OS приходилось его выключать, что усложняло применение системы.

Работа над внедрением Secure Boot в Tails OS длилась 6 лет, и теперь, она завершена и готова к использованию.