|
 |
dimarts, 16 / gener / 2007 |
|
|
2007 serà l'any de la (in)seguretat als terminals mòbils. D'una banda, creix vertiginosament el nombre d'amenaces de programari maliciós detectades. I per un altre, es descobreixen nous punts febles, com la possibilitat d'utilitzar els SMS de servei de les operadores per propagar infeccions de virus.
Si heu seguit les prediccions per a l'any 2007 que es publiquen aquí i allà durant aquestes dates, ben segur que en més d'un lloc haureu llegit que els telèfons mòbils donaran de parlar en temes de seguretat informàtica. I molt em temo que realment serà així.
En aquests moments es compleixen ja dos requeriments previs per permetre la proliferació de virus als telèfons mòbils.
D'una banda, els telèfons mòbils són equips amb la suficient potència de procés per permetre fer coses interessants. De fet, qualsevol telèfon mòbil actual té com a mínim la mateixa capacitat de procés que la d'un ordinador personal de fa uns quants anys.
En segon lloc, tenim l'estandardització dels seus sistemes operatius. Fins a la data, cada model de telèfon de cada fabricant disposava del seu sistema operatiu únic i particular. Això impedia, per la simple regla del nombre de víctimes potencials, la proliferació d'atacs massius. Si un equip concret era vulnerable d'alguna forma, el seu nombre d'usuaris (sempre reduït comparat amb el global) feia que no hi hagués al·licients per als autors de virus, per la qual cosa continuaven concentrant-se allà on les seves accions continuaven sent més conegudes.
Avui en dia, els telèfons mòbils comencen a mostrar una unificació en el seu programari de base. La majoria de telèfons avançats actuals ja utilitzen algun d'aquests quatre sistemes operatius: Symbian, Windows Mobile, Java (J2ME) o bé Palm OS. Si a tot això li sumem l'interès que desperta la propagació de virus i cucs en els telèfons mòbils, el còctel explosiu s'està remenant... i en breu serà servit.
Recopilem algunes dades. Fa unes setmanes, el fabricant d'antivirus F-Secure realitzava un recompte del programari maliciós ja existent per a les diverses plataformes mòbils i constatava l'important augment: de 27 espècimens identificats al 2004 hem passat 334 el passat 2006. Destaca especialment l'explosió de malware per al sistema operatiu Symbian, que representa el 98% del total.
Tenim per tant, la demostració de l'interès dels autors de virus en desenvolupar codi maliciós per a telèfons mòbils.
Hi ha un altre problema per completar l'amenaça: com distribuïm el cuc. Bé, un investigador alemany ja ha aconseguit solucionar-lo. Es tracta de utilitzar els missatges de servei que envien els operadors de la xarxa per configurar els telèfons dels usuaris. Són ideals per a aquest objectiu: quan el telèfon rep un d'aquests missatges, l'executa sense verificar qui l'està enviant. En alguns casos, requereix que l'usuari llegeixi el missatge (una cosa que fem tots quan el telèfon emet els dos bips curts) abans d'executar el programa associat. En altres telèfons, s'executa automàticament tot just rebre'l.
Per tant, és tot just qüestió de temps que es descobreixi algun mètode per forçar la tramesa d'aquests missatges de servei i utilitzar-los per a la difusió massiva de cucs o virus. No costa gaire imaginar un cuc que, quan infecti un telèfon, comenci a enviar còpies d'ell mateix a tots els contactes de la nostra agenda... o, fins i tot més radical, que truqui i enviï els missatges de forma aleatòria a qualsevol número de telèfon. Això causaria pànic a la nostra factura telefònica i, més encara, en les companyies telefòniques que veurien com les seves xarxes són incapaces d'aguantar l'allau de missatges enviats de forma indiscriminada.
Definitivament, l'any 2007 serà el de la seguretat als telèfons mòbils!
Original publicat a CanalPDA.
|
  | 13:40 (# Enllaç permanent) | Comentaris: | Trackback:
|
|
NGSSoftware ha publicat el document «Oracle Passwords and OraBrute» on es tracta com protegir l'Oracle davant atacs de força bruta contra les contrasenyes i es presenta l'eina d'atac de força bruta OraBrute.
This paper will discuss the weakness of Oracle passwords and how they are implemented with reference to a number of current security issues. Lastly this paper will introduce a tool to exploit this weakness in Oracle's most privileged account.
Passwords currently represent a problem for Oracle databases in a number of ways. The first problem is the design of the password algorithm which is limited by the fact that the salt is the username for the password hash.
(...)
The second problem is the limited character set of a standard Oracle password.
(...)
This paper introduces OraBrute, a command line tool which will brute force the SYS AS SYSDBA account for as long as is needed. OraBrute is simple and fast so it will easily execute 10 attempts per second on an Intel 1.6GHz laptop. OraBrute will exit when the account has been brute forced at which point it dumps the SYS.USER$ table to a local file as well as the brute force password to Standard Out.
El codi font d'OraBrute, en C, es troba dins el document.
|
| 11:52 (# Enllaç permanent) | Comentaris: | Trackback:
|
|
[SecurityFocus] Rainbow table targets Word, Excel crypto. Qualsevol document xifrat amb Word o Excel pot desxifrat en qüestió de pocs minuts, com a molt.
Swiss information-technology firm Objectif Sécurité announced last week that its latest pre-generated list of passwords and their hashes, known as a rainbow table, can now crack the standard encryption on Word and Excel documents in about 5 minutes on average. Using about 4 gigabytes of data, the program--named Ophcrack_office--can quickly defeate almost 99.6 percent of all passwords, according to the company.
|
| 11:18 (# Enllaç permanent) | Comentaris: | Trackback:
|
|
[Wi-Fi Planet] Is Wi-Fi Bad For Humans? Les radiacions de microones utilitzades a Wi-Fi tenen algun efecte sobre el cos humà?
There has been some concern lately, mostly in the UK, that the radio frequency radiation (RFR) emitted by Wi-Fi devices poses a health risk to people. Individuals suffering from a variety of innocuous but unpleasant symptoms including nausea and "brain fog" have attributed their ailments to Wi-Fi signals. The complaints have resulted in the banning of Wi-Fi in some areas, particularly those frequented by children. However, according to the most recent scientific studies, the fears are much ado about nothing.
(...)
"In virtually all the environments I surveyed, the RF signal from WLANs was a small fraction of the total RF fields in the environment," Foster says. "Other sources included mobile base stations, and broadcast radio and TV stations in the region."
While the study was not designed to assess health risks to humans, the measurements taken by Dr. Foster provide clear data on real world exposure levels (versus lab environments or estimates.) Based on the levels he consistently detected, Dr. Foster concludes that there is no cause for concern.
|
| 00:13 (# Enllaç permanent) | Comentaris: | Trackback:
|
|
Oracle Applications 11i Password Decryption
The fundamental issue is that the Oracle Applications 11i application account passwords are stored in the database encrypted using the APPS database password as the encryption key rather than using a strong, one-way hash algorithm.
(...)
The fundamental issue is that the Oracle Applications 11i application account passwords are stored in the database encrypted using the APPS database password as the encryption key rather than using a strong, one-way hash algorithm.
Improving the Oracle Applications 11i user password storage is a complex change and we don't expect Oracle to fix it in 11i for the foreseeable future (remember 11.5.10 is supported until November 2012). Hopefully in Release 12, (1) a strong, one-way hash algorithm will be implemented, (2) the APPLSYSPUB database account will be eliminated, and (3) the GUEST account will be eliminated.
|
| 00:08 (# Enllaç permanent) | Comentaris: | Trackback:
|
|
© Copyright 1996-2007 Xavier Caballe.  . Si no s'indica expressament el contrari, el material publicat en aquest weblog es distribueix d'acord amb la llicència Creative Commons. El contingut és responsabilitat única i exclusivament del seu autor i no té cap relació amb les seves activitats professionals.
|
 |
 |
 |
 |
Contingut actualitzat
Categories
Darrers comentaris
Arxiu
Contingut antic
(ja no s'actualitza)
Versions anteriors
d'aquesta pàgina
|
 |
 |
 |
 |
|
