Table of Contents
Hay un peligro en l. a. investigación de seguridad que hemos discutido algunas veces antes. Si descubre una vulnerabilidad de seguridad en un sistema de producción y no hay recompensa por errores, es possible que haya infringido un puñado de leyes informáticas. Entregue l. a. falla que encontró y lo más possible es que reciba un “gracias”, pero existe una pequeña posibilidad de que en su lugar lo acusen por un delito informático. Los angeles investigación de seguridad en los EE. UU. es un poco más segura ahora, ya que El Departamento de Justicia de los Estados Unidos ha emitido una nueva política afirmando que “no se debe cobrar l. a. investigación de seguridad de buena fe”.
Si bien esta es una infección bienvenida del buen sentido, sería aún mejor que tal protección se codificara en l. a. ley. Los angeles otra advertencia es que esta política solo se aplica a casos federales en los EE. UU. Otras naciones, o incluso estados individuales, son libres de presentar cargos. Entonces, si bien estas son buenas noticias, siga teniendo cuidado. También hay algunas advertencias sobre lo que cuenta como buena fe: si un investigador u.s. un descubrimiento de fallas para extorsionar, no es buena fe.
identificación virtual
En Nueva Gales del Sur, Australia, los ciudadanos pueden usar licencias de conducir digitales. Esto se hace a través de l. a. aplicación Carrier NSW, disponible en Android e iOS. ¿Qué podría salir mal? Hay un problema evidente con esto, es una idea terrible entregar voluntariamente su teléfono a un oficial de la ley. Aparte de eso, l. a. aplicación genera l. a. imagen de identificación sobre l. a. marcha a partir de los datos almacenados en el dispositivo. En un teléfono liberado, esto es trivial de modificar, pero en cualquier otro iPhone, uno puede manipular los datos de l. a. aplicación mediante una copia de seguridad y restauración. ServiceNSW encripta estos datos… usando un código numérico de 4 dígitos. Es trivial manipular los datos almacenados en el teléfono y, por lo tanto, l. a. identificación presentada. Curiosamente, después de l. a. extracción inicial, l. a. aplicación nunca verifica su almacén de datos con l. a. base de datos oficial. Los angeles aplicación incluso incluye una función de extracción para actualizar que pretende actualizar los datos de identificación. Esta función actualiza l. a. fecha, l. a. hora y el código QR, pero no los datos potencialmente falsificados.
Los angeles capacidad de modificar una identificación, así como falsificar l. a. de otra personality, significa que l. a. aplicación hace que el robo de identidad sea dolorosamente fácil. El código QR obtiene información actualizada cuando se escanea, pero solo el nombre y el estado de menor de 18 años. Los angeles imagen no es parte de esos datos. Gown una identificación, coloque su foto en ella y el código QR se comprobará. Carrier NSW ha respondido, emitiendo una declaración que indica claramente que no entienden el problema:
Este problema es conocido y no representa un riesgo para l. a. información del cliente. El bloguero ha manipulado l. a. información de su propia licencia de conducir virtual (DDL) en su dispositivo native. Ningún otro dato de cliente o fuente de datos se ha visto comprometido. Tampoco representa ningún riesgo en relación con el acceso no autorizado o los cambios en los sistemas de back-end, como Drives. Es importante destacar que, si l. a. policía escaneó l. a. licencia manipulada, l. a. verificación en tiempo actual utilizada por l. a. policía de Nueva Gales del Sur (escaneado de mobipol) mostraría l. a. información private correcta, ya que recurre a DRIVES. Al escanear l. a. licencia, sería claro para l. a. policía que ha sido manipulada. Alterar el DDL es ilegal. Los angeles DDL ha sido evaluada de forma independiente por ciberespecialistas y es más segura que l. a. tarjeta de plástico.
Justo aquí para l. a. traducción de i18n
Bonita es una plataforma de automatización empresarial, diseñada principalmente para permitir que las empresas armen flujos de trabajo con un código mínimo. Es una aplicación Java, que normalmente se ejecuta en Tomcat y se distribuye como una imagen acoplable entre otros canales. Esa imagen de Docker, con más de cinco millones de descargas, tenía un gran problema. los internet.xml El archivo contiene estrofas de filtro utilizadas para controlar cómo se manejan las solicitudes. Un par de esos filtros estaban destinados a hacer coincidir los archivos i18n (internacionalización) y entregar esos puntos finales sin ninguna verificación de autorización. Esto tiene sentido, ya que permite al usuario cambiar el idioma de l. a. interfaz en l. a. página de inicio de sesión. Es un filtro ingenuo, que coincide literalmente con cualquier URL que contenga i18ntranslation. Entonces, cualquier punto ultimate se puede agregar con ;i18ntranslationy un usuario no autorizado tiene acceso. ¡Vaya! Los angeles imagen de Docker y otras versiones se actualizaron para solucionar el problema.
Zoom arreglado, actualización!
Primero, si tiene Zoom instalado, verifique l. a. versión. Si tiene más de 5.10.4, inicie una actualización. Y si ejecuta Zoom en Linux, probablemente tendrá que descargar el instalador nuevamente manualmente para actualizar, aunque eso hace que las cosas sean un poco más seguras en este caso.
Con eso fuera del camino, hablemos de la serie de problemas que podrían haber permitido la ejecución remota de código (RCE). Zoom hace mensajes XMPP, que son mensajes sobre XML. Zoom también envía mensajes de regulate sobre este flujo XML. El truco es que el servidor u.s. una biblioteca para validar esos mensajes XML y el cliente u.s. una diferente, con diferentes peculiaridades. ¿Suena acquainted? Solicitar subject material de contrabando clásico. Uno de los trucos divertidos es enviar un clusterswitch mensaje, apuntando a un cliente a un servidor diferente, potencialmente controlado por un atacante.
Si un ataque MitM no fue lo suficientemente malo, un atacante puede enviar una “actualización” en Home windows, que consiste en un .exe instalador y un .cab archivo a instalar. El cliente de Zoom en ejecución verifica el exe para confirmar que está firmado y luego lo ejecuta. Un instalador moderno de Zoom también confirma l. a. cab firma del archivo, pero es posible un ataque de degradación. Enviar una versión anterior, como 4.4, y un malicioso .cab expediente. El exe está firmado, por lo que Zoom lo ejecuta, y este no verifica el .cab, lo que lleva a un fácil RCE. El contrabando de solicitudes se arregló en el lado del servidor en febrero, pero las correcciones del cliente no llegaron hasta abril en 5.10.4.
Consejo rapido
Esta semana, estaba ayudando a un amigo a pensar cómo configurar una cuenta de Google para un uso de utilidad poco ortodoxo. Se vio obligado a activar l. a. autenticación de dos factores, pero descubrió que technology bastante molesto, ya que reinstala Android a menudo para desarrollo y pruebas. Ojalá, reflexionamos, pudiera instalar Google Authenticator en una máquina Linux y hacer una copia de seguridad de l. a. clave usted mismo. Y por lo tanto este consejo, ya que de hecho puede hacer esto. Google Authenticator es solo una contraseña TOTP de un solo uso basada en el tiempo. Toma una clave secreta y l. a. hora precise, y las ejecuta a través de un algoritmo para producir un código (en este caso) de 6 dígitos.
Entonces, ¿cómo sacas esa clave secreta de tu dispositivo? En un teléfono rooteado, es bastante fácil extraer de l. a. sqlite base de datos. Afortunadamente, l. a. aplicación de autenticación puede exportar una clave guardada como un código QR. Seize los datos contenidos en el código QR, y luego use este práctico script de Python para convertirlo de nuevo al secreto en bruto. (En muchos casos, incluso puede obtener l. a. clave secreta directamente diciendo que el código QR no funcionó). A partir de ahí es un comando facil: oathtool --totp -b secret_key
Si desea ver cómo funciona TOTP debajo del capó, escribimos sobre eso hace un tiempo.
Pasaporte En Linea