Oglas
Kot potrošniki smo vsi prisiljeni v zaupanje v tehnološka podjetja, ki jih uporabljamo. Navsezadnje večina od nas ni dovolj usposobljena, da odkrijemo varnostne vrzeli in ranljivosti sami.
Razprava o zasebnosti in nedavnih furor, ki ga povzroča Windows 10 Ali funkcija funkcije WiFi Sense Windows 10 predstavlja varnostno tveganje? Preberi več je le en del sestavljanke. Drug - povsem bolj zlovešč del - je, ko ima strojna oprema sama pomanjkljivosti.
Zmogljiv uporabnik računalnika lahko upravlja svojo prisotnost v spletu in prilagodi zadostne nastavitve omejite njihove pomisleke glede zasebnosti Vse, kar morate vedeti o težavah z zasebnostjo sistema Windows 10Medtem ko ima Windows 10 nekaj težav, ki se jih morajo uporabniki zavedati, je veliko trditev odpuščeno nesorazmerno. Tu je naš vodič po vsem, kar morate vedeti o težavah z zasebnostjo sistema Windows 10. Preberi več , vendar je težava z osnovno kodo izdelka resnejša; mnogo težje je opaziti in težje nagovoriti končnega uporabnika.
Kaj se je zgodilo?
Najnovejše podjetje, ki se je v varnostno nočno moro sprehodilo, je priljubljeni tajvanski proizvajalec omrežne opreme D-Link. Mnogi naši bralci bodo svoje izdelke uporabljali doma ali v pisarni; marca 2008 so postali prvi prodajalec izdelkov Wi-Fi na svetu in trenutno obvladujejo približno 35 odstotkov trga.
Novice so se zgodile že danes, ko je podjetje izdalo svoje ključe za podpisovanje zasebne kode znotraj izvorne kode nedavne posodobitve programske opreme. Zasebni ključi se uporabljajo kot način, da računalnik preveri, ali je izdelek pristen in da koda izdelka ni bila spremenjena ali poškodovana, ker je bila prvotno ustvarjena.
Po besedah laika torej ta vrzel pomeni, da bi heker lahko objavljene ključe uporabljal sam programov, da računalnik zavedejo, da je njegova zlonamerna koda dejansko legitimna povezava D-Link izdelek.
Kako se je to zgodilo?
D-Link se že dlje časa ponaša s svojo odprtostjo. Del te odprtosti je zaveza, da bo vse svoje vdelane programske opreme odprla na podlagi licence General Public License (GPL). V praksi to pomeni, da lahko vsakdo dostopa do kode katerega koli izdelka D-Link - omogoči mu, da ga prilagodi in spremeni tako, da ustreza njihovim lastnim natančnim zahtevam.
Teoretično je to hvalevredno stališče. Tisti od vas, ki ste v koraku z razpravo o Apple iOS proti Androidu, se bodo brez dvoma zavedali, da je ena največjih kritik izravnana v podjetju s sedežem v Cupertinu je njihova neomajna zavezanost, da ostanejo zaprti do ljudi, ki bi radi prilagodili vir Koda. To je razlog, zakaj takšnih ROM-ov po meri ni Androidov model Cyanogen Mod Kako namestiti CyanogenMod na napravo AndroidVeliko ljudi se lahko strinja, da je operacijski sistem Android precej osupljiv. Ne samo, da je odličen za uporabo, ampak je tudi brezplačen kot v odprtem kodu, tako da ga je mogoče spremeniti ... Preberi več za Apple-ove mobilne naprave.
Nasprotna stran kovanca je, da imajo lahko velike odprte napake napake velik učinek. Če bi bila njihova vdelana programska oprema zaprta, bi bila enaka napaka veliko manjša težava in veliko manj verjetno, da bi jo odkrili.
Kako je bilo odkriti?
Napako je odkril norveški razvijalec, znan kot "bartvbl", ki je pred kratkim kupil D-Link-jevo nadzorno kamero DCS-5020L.
Kot kompetenten in radoveden razvijalci se je odločil, da v izvorni kodi programske opreme naprave pokuka "pod pokrov motorja". Znotraj njega je našel tako zasebne ključe kot gesle, potrebne za podpisovanje programske opreme.
Začel je izvajati lastne poskuse, hitro je ugotovil, da je sposoben ustvariti Windows aplikacijo, ki jo je podpisal eden od štirih ključev - tako je videz, da prihaja od D-Link. Ostali trije ključi niso delovali.
Svoje ugotovitve je delil z nizozemskim spletnim mestom za tehnološke novice Tweakers, ki je to odkritje prenesel na nizozemsko varnostno podjetje Fox IT.
Potrdili so ranljivost in izdali naslednjo izjavo:
„Potrdilo o podpisu kode je resnično za paket vdelane programske opreme, različice programske opreme 1.00b03. Njen izvorni datum je bil 27. februarja letos, kar pomeni, da so bili ključi tega potrdila izdani veliko preden je certifikat potekel. To je velika napaka. "
Zakaj je tako resno?
Na več ravneh je resno.
Najprej je Fox IT poročal, da so v isti mapi štirje certifikati. Ta potrdila so prišla od Starfield Technologies, KEEBOX Inc. in Alpha Networks. Vsi bi jih lahko uporabili za ustvarjanje zlonamerne kode, ki ima možnost zaobiti protivirusna programska oprema Primerjajte delovanje protivirusnih programov s temi petimi najboljšimi spletnimi mestiKatero protivirusno programsko opremo naj uporablja? Kateri je "najboljši"? Tu si oglejmo pet najboljših spletnih virov za preverjanje učinkovitosti protivirusnih informacij, da vam pomagamo pri sprejemanju premišljene odločitve. Preberi več in druga tradicionalna varnostna preverjanja - resda bo večina varnostnih tehnologij zaupala datotekam, ki so podpisane, in jih brez dvoma prepuščajo.
Drugič, napredni napadi s stalnimi grožnjami (APT) postajajo vse bolj priljubljeni modusi delovanja za hekerje. Skoraj vedno uporabljajo izgubljene ali ukradene certifikate in ključe, da bi podredili svoje žrtve. Nedavni primeri vključujejo Odstranjevanje zlonamerne programske opreme brisalcev Končna polemika leta 2014: Sony Hack, Intervju in Severna KorejaAli je Severna Koreja resnično lovila Sony Pictures? Kje so dokazi? Se je še kdo zdržal zaradi napada in kako se je incident vrtel v promocijo filma? Preberi več uporabljen proti Sonyju leta 2014 in napad Duqu 2.0 na kitajske proizvajalce Apple.
Dodati več moči v orožarsko orožje očitno ni smiselno in se vrne k elementu zaupanja, ki je bil omenjen na začetku. Kot potrošniki moramo ta podjetja biti pozorni pri varovanju premoženja, ki temelji na varnosti, da bi pomagali v boju proti grožnji kibernetskih kriminalcev.
Kdo je prizadet?
Iskreni odgovor tukaj je, da ne vemo.
Čeprav je D-Link že izdal nove različice vdelane programske opreme, ni mogoče povedati, ali so hekerji uspeli izvleči in uporabiti ključe pred javnim odkritjem bartvbl-ja.
Upamo, da bomo z analizo vzorcev zlonamerne programske opreme za storitve, kot je VirusTotal, na koncu lahko dobili odgovor na vprašanje, najprej moramo počakati, da odkrijemo potencialni virus.
Ali ta incident pretresa vaše zaupanje v tehnologijo?
Kakšno je vaše mnenje o tej situaciji? So takšne pomanjkljivosti neizogibne v tehnološkem svetu ali so podjetja kriva za svoj slab odnos do varnosti?
Ali bi vas takšen incident v prihodnosti odložil z uporabo izdelkov D-Link ali bi težavo sprejeli in nadaljevali ne glede na to?
Kot vedno bi se radi oglasili od vas. Sporočite nam svoje misli v spodnjem razdelku s komentarji.
Kreditna slika: Matthias Ripp prek Flickr.com
Dan je britanski izseljenec, ki živi v Mehiki. Je glavni urednik za sestrino spletno mesto MUO, Blocks Decoded. V različnih obdobjih je bil družbeni urednik, kreativni urednik in finančni urednik pri MUO. Vsako leto ga lahko najdete na gostovanju na razstavnem prizorišču na CES v Las Vegasu (ljudje iz PR-a, pojdite!), On pa veliko zakulisno stran...
