Geopolitické hry
Microsoft publikoval analýzu v ktorej vysvetľuje ako Čína využíva falošné účty na sociálnych sieťach, aby zasiala rozdelenie a prípadne ovplyvnila výsledok prezidentských volieb v USA a tiež ako obsah generovaný s použitím AI využíva pri svojich geopolitických záujmoch co svete.
The Intercept_ informoval o tom, že spoločnosť Microsoft minulý rok prezentovala nástroje umelej inteligencie od spoločnosti OpenAI americkému ministerstvu obrany. Medzi iným spoločnosť prezentovala nástroj na generovanie obrázkov DALL-E ako softvér schopný generovať trénovacie data pre armádny bojový softvér.
Spoločnosť Cloudflare publikovala kvartálny sumár výpadkov internetu, ktoré zaregistrovali pri prevádzkovaní svojich služieb. Zoznam obsahuje poškodenie niekoľkých pozemných aj podmorských káblov, výpadky súvisiace s vojenskými operáciami či politikmi nariadené vypnutia internetu v afrických krajinách a Pakistane.
Rada EÚ pre ochranu údajov (EDPB) povedala spoločnosti Meta, že používateľom nemôže ponúkať binárnu voľbu medzi platbou za službu a súhlasom s tým, aby sa ich osobné údaje použili na poskytovanie cielenej reklamy.
Research & Engineering
Výskumníci z fínskej Aalto University skúmali nastavenia zdieľania osobných údajov v aplikáciách predinštalovaných na zariadeniach od spoločnosti Apple. Výsledkom je, že aplikácie ako Safari, Siri, iMessage, FaceTime a ďalšie majú často predvolené nastavenia, ktoré nie sú v súlade s marketingovými tvrdeniami, ktoré o ochrane súkromia spoločnosť Apple prezentuje.
Výskumníci Henry Bambury a Phong Q. Nhuyen vyvinuli metódu, ktorá dokázateľne znižuje rozmernosť potrebnú na prelomenie kryptosystému NTRU. Niektoré kryptosystémy, o ktorých sa predtým verilo, že sú odolné voči útokom kvantových počítačov, budú pravdepodobne potrebovať aktualizáciu alebo výmenu.
David Malcolm, developer zo spoločnosti RedHat, publikoval zaujímavý článok o vylepšeniach v oblasti statickej analýzy kódu v kompilátore GCC14. Nová funkcionalita dokáže rozpoznať jednoduché prípady nekonečných slučiek či vizualizovať buffer overflow problémy.
Začiatkom tohto mesiaca spoločnosť Nintendo ukončila sieť Nintendo Network, ktorá umožňovala herným zariadeniam fungovať online predošlých 12 rokov. Ako odpoveď fanušikovská komunita zverejnila exploit, ktorý využíva chybu zavedenú do kódu v roku 2021. Exploit je neinvazívny, využíva chybu vo Wii U SSL module a v praxi stačí nastaviť adresu špecifického DNS servera, aby sa zariadenie dokázalo pripojiť na alternatívne Nintendo siete.
Medzinárodná Asociácia pre Kryptologický Výskum (IACR) publikovala prvé číslo online časopisu Communications in Cryptology. Ide o publikáciu s otvoreným prístupom, ktorá sa venuje rýchlemu šíreniu výskumných prác na akúkoľvek tému zaujímavú pre kryptologickú komunitu.
Ako zaujímavú publikáciu odporúčam napríklad „Survey: Recovering cryptographic keys from partial information, by example“ od Gabrielle De Micheli a Nadia Heninger. Publikácia je súhrn existujúcich metód ako zistiť kompletný šifrovací kľúč ak vieme jeho niektorú časť.
Len 60 kryptografických podpisov stačí na odhalenie súkromného kľúča typu NIST P521 vďaka novoobjavenej zraniteľnosti (CVE-2024-31497) v softvéri PuTTY verzie 0.68 až 0.80.
William Brown, autor webauthn-rs knižnice, publikoval blog v ktorom vysvetľuje prečo si myslí, že Passkeys ako technológia bola unesená platformami a jej ideál sa nenaplnil.
Zločin a úniky informácií
Google opravil dve aktívne zneužívané zero-day zraniteľnosti (CVE-2024-29745, CVE-2024-29748) v telefónoch Google Pixel. Zraniteľnosti boli využívané forenznými firmami na odomknutie telefónov a získanie prístupu k údajom v nich uloženým bez použitia PIN kódu.
Americká agentúra pre kybernetickú bezpečnosť a bezpečnosť infraštruktúry (CISA) vyšetruje narušenie bezpečnosti v spoločnosti Sisense, ktorá iným spoločnostiam umožňuje zobraziť stav online služieb tretích strán na jednom paneli. Po tom čo útočníci získali prístup do Gitlabu spoločnosti, získali prístup do S3 úložiska odkiaľ exfiltrovali terabajty citlivých dát, medzi ktorými boli aj prístupové údaje do zákazníckych systémov.
Spoločnosť Palo Alto Networks varuje, že neopravená kritická zraniteľnosť v PAN-OS firewalle (CVE-2024-3400) je aktívne zneužívaná pri útokoch.
Ostatné
Tisíce sieťových brán Ivanti Connect Secure a Poly Secure vystavených na internete môžu byť zraniteľných voči chybe spustenia vzdialeného kódu CVE-2024-21894. Chybu je možné zneužiť na zamedzenie prístupu k službe (DoS) či spustenie kódu útočníka.
Čilské dátové centrum a poskytovateľ hostingu, spoločnosť IxMetro Powerhost, sa stala obeťou ransomvér gangu známeho pod názvom SEXi. Skupina spoločnosti zašifrovala VMware ESXi servery a zálohy.
Google Workspace zavádza schvaľovanie viacerými stranami, kde jeden administrátor (supersprávca) musí schváliť určité citlivé akcie iniciované iným správcom. Funkcionalita bude zapnutá pre viaceré citlivé nastavenia ako napríklad obnovenie účtu, 2-stupňové overenie, pokročilá ochrana a iné.
Instagram plánuje spustiť novú funkciu, ktorá v súkromných spravách rozmaže obrázky obsahujúce nahotu. Chcú tak zabrániť podvodom, ktoré zneužívajú citlivé fotografie na vydieranie obete. Funkciu zapnú automaticky všetkým, ktorý majú pod 18 rokov.
Tento newsletter je rozosielaný odberateľom newsletteru kratkespravy.sk, členom Asociácie kybernetickej bezpečnosti a členom ISACA Slovensko.