Archiwa roczne

2006

Paszporty elektroniczne nie są bezpieczne

Paszporty elektroniczne nie są bardziej odporne na fałszerstwa niż obecnie stosowane dokumenty.

Lukas Grunwald, specjalista ds. zabezpieczeń z niemieckiej firmy DN-Systems, udowodnił, że dane z tego typu dokumentów mogą być z łatwością przechwycone.

Podczas pokazu wykorzystał europejski paszport biometryczny. Użył urządzenia zdolnego do odczytywania danych z układów RFID wykorzystywanych w tego typu paszportach.

Przechwycone w ten sposób dane zapisał następnie na karcie chipowej, która udawała dokument. Eksperci już od pewnego czasu krytykowali pomysł rządu USA, który jako pierwszy zdecydował się na stosowanie biometrycznych paszportów.

Podkreślali oni, że bez wiedzy właściciela takiego dokumentu można poznać jego pełne dane. W odpowiedzi na te obawy w paszportach zostaną zastosowane dwa dodatkowe zabezpieczenia.

Pierwszym będzie warstwa ze specjalnego materiału, która zabezpieczy dane przed przypadkowym odczytaniem, drugim – technologia BAC (Basic Access Control) odpowiedzialna za autoryzację czytnika.

Źródło: Arcabit
Amerykańskie paszporty z RFID
Paszporty biometryczne od 2006
USA może zrezygnować z planu bio-paszportów
Unia chce odroczyć wprowadzenie e-paszportów
Będziemy wymieniać paszporty?

MacBooki narażone na włamanie

David Maynor z Internet Security System (ISS) i Jon Ellch z US Naval Postgratudate School w Monterey zaprezentowali sposób włamania do notebooka MacBook za pomocą błędu w sterownikach sieci bezprzewodowej.

Prezentacja odbyła się podczas hakerskiej konferencji Black Hat. Obaj panowie nie zdradzili szczegółów na temat techniki włamania. Za pomocą nagrania wideo pokazali dokonane przez siebie włamanie.

Dzięki temu uniknęli niebezpieczeństwa, że któryś z uczestników konferencji przechwyci komunikację pomiędzy komputerami, przeanalizuje pakiety i pozna szczegóły dotyczące włamania. Tak mogłoby się stać, gdyby prezentacji dokonano na żywo.

Luki w sterownikach urządzeń są uznawane za szczególnie niebezpieczne, ponieważ spreparowane pakiety, za pomocą których dokonywany jest atak, nie są zatrzymywane przez systemy zabezpieczające. Często pozwalają one również na przejęcie kontroli nad komputerem.

Maynor i Ellch podkreślili, że MacBooki nie są jedynymi maszynami, które podatne są na tego typu atak. Podobnej techniki można użyć przeciwko pecetom i notebookom z systemem Windows. Obaj panowie poinformowali, że w sterownikach WLAN dla tego systemu znaleźli podobne błędy.

Ellch poinformował ponadto, że pracuje obecnie nad narzędziem, które będzie w stanie zidentyfikować układ i wersję sterownika sieci bezprzewodowej, co ułatwi przeprowadzanie ataków. W tej chwili narzędzie to potrafi obecnie rozróżnić 13 różnych sterowników.

Źródło: Arcabit

Nie mamy nic do ukrycia?

Dyplomacja ma to do siebie, że lubi gdy informacje są tajne przez poufne. Ale czy zawsze tak jest?

Czy taka zasada przyświecała Ministerstwu Spraw Zagranicznych gdy zakupowało urządzenia szyfrujące dla najważniejszych placówek dyplomatycznych naszego kraju?

Ze śledztwa dziennikarzy Życia Warszawy i Wprost wynika, że co do pełnej tajności polskiej korespondencji dyplomatycznej można mieć wątpliwości.

W 2002 roku zakupiono urządzenia szyfrujące szwajcarskiej firmy Crypto AG.

Rzecz jednak w tym, że już wcześniej firma ta była oskarżana o dość ścisłe powiązania z wywiadem niemieckim BND, a po jednej ze spraw były pracownik Crypto AG stwierdził, że niektóre ze sprzedawanych urządzeń były tak spreparowane, by amerykański i niemiecki wywiad mogły łatwo dekodować przesyłane informacje.

Co ważne, zakup nie był konsultowany z Agencją Bezpieczeństwa Wewnętrznego. Więcej informacji na temat sprawy zakupu urządzeń szyfrujących Crypto AG znaleźć można na stronie Życia Warszawy.

8,75 Mb/s między okiem a mózgiem – wolniej niż USB 1.1

Amerykańscy naukowcy wyliczyli, że neurony znajdujące się między okiem a mózgiem są w stanie przesyłać dane z szybkością Ethernetu. Oznacza to przepustowość na poziomie ok. 10 Mb/s.

Co ciekawe, połączenie wcale nie jest nastawione na maksymalną przepustowość – dane o obrazie przesyłane są z taką szybkością, by operacja nie wymagała zbyt wiele energii.

W badaniu podłączono siatkówkę świnki morskiej do elektrod i stymulowano ją obrazami. Mierzono aktywność neuronów biegnących między siatkówką a fragmentem kory mózgowej odpowiedzialnej za obróbkę obrazów. Na tej podstawie wyliczono przepustowość komórek nerwowych – wyniosła ona 875 kb/s.

Jako że ludzie mają mniej więcej 10 razy więcej neuronów, oszacowano, że w ich przypadku pasmo wynosi 8,75 Mb/s (nieco ponad 1 MB/s).

Vijay Balasubramanian, jeden z naukowców, twierdzi, że przepustowość mogłaby być dużo wyższa – wiele neuronów jest w stanie przekazywać sygnał nie cztery, ale nawet tysiąc razy na sekundę! Niestety, wykształcone w trakcie ewolucji mechanizmy nałożyły na nas ograniczenia: nawet niewielkie zwiększenie ilości danych wymagałoby znaczących nakładów energetycznych.

Źródło: gazeta.pl

Microsoft chce uniknąć kary

Microsoft ugiął się przed groźbą olbrzymiej kary, nałożonej przez Komisję Europejską i dostarczył dokumentację techniczną, która ma pomóc mniejszym producentom w opracowaniu nowych rozwiązań informatycznych zgodnych z systemem Windows.

Rzeczniczka KE przyznaje jednak, że wszystkie nadesłane informacje zostaną najpierw dokładnie przeanalizowane i dopiero po ich weryfikacji będzie można wydać decyzję w sprawie ewentualnego umorzenia kary finansowej.

W lipcu koncern Microsoft został ukarany kwotą 280,5 mln euro za niewypełnienie postanowień z 2004 roku, które zakazywały monopolistycznych praktyk na terenie Unii Europejskiej. Sytuacja zaogniła się w ostatnich tygodniach, kiedy amerykański gigant został ostrzeżony o zwiększeniu kary nawet o trzy miliony euro dziennie, jeśli nadal nie będzie współpracował z Komisją Europejską.

W obliczu nieuchronnej przegranej Microsoft przyznał, że postanowił spełnić wszystkie żadania, angażując blisko 300 pracowników, którzy rozpoczęli prace nad opracowaniem wymaganej dokumentacji. Zdaniem koncernu, wszystkie dostarczone informacje powinny zakończyć sprawę i w związku z tym będzie wnosił o kasację wyroku.

Źródło: CDRInfo

Dorabiają kserując tajemnicę bankową Citibanku

Szczegółowe dane klientów Citibanku Handlowego krążą po rynku. Sprzedają je innym bankom i firmom ubezpieczeniowym pracownicy spółki DSA, która zajmuje się sprzedażą kart kredytowych Citibanku.

Do „Gazety” w Łodzi zgłosiło się kilku byłych i obecnych pracowników spółki DSA, agencji sprzedaży podległej Citibankowi.

Z ich opowieści wynika, że dane klientów banku nie są należycie chronione, a co więcej – są przedmiotem handlu.

Manipulujemy i zarabiamy

Na dowód przynieśli kilkadziesiąt skserowanych formularzy ze szczegółowymi informacjami o klientach: danymi osobowymi, adresem, posiadanym samochodem, zarobkami, telefonem, stażem pracy, rachunkiem w banku itp.

– Tych dokumentów nie powinniśmy mieć – przyznają. – Kserujemy dane, żeby dorobić – tłumaczą swoje postępowanie doradcy spółki Citibanku.

DSA została założona przez Citibank pięć lat temu tylko w jednym celu – by sprzedawała jak najwięcej kart kredytowych Citibanku. Działa we wszystkich największych miastach Polski. Jej doradcy organizują spotkania w najróżniejszych firmach, podczas których namawiają pracowników do wyrobienia karty kredytowej Citibanku.

– Im więcej kart sprzedamy, tym więcej zarobimy – opowiadają anonimowo doradcy DSA. – Żyjemy z prowizji, a presja jest ogromna. Miesięcznie musimy namówić na kartę kredytową 42 klientów, a 36 z nich musi zostać zaakceptowanych przez Citibank. Taki jest plan, kto go nie wykona, żegna się z pracą.

Żeby wyrobić normę, doradcy DSA chwytają się najróżniejszych metod. – Wnioski o wydanie kart są podrasowywane w ten sposób, by podczas weryfikacji przez Citibank klient nie został „zrejectowany” (odrzucony) – tłumaczą. – I rzucają przykładami:

* podnosi się wykształcenie takiej osobie, * zarobki, * zamienia mieszkanie wynajmowane na własnościowe, * podwyższa staż pracy.

– Citibank to później sprawdza, ale wyrywkowo i wiele takich wniosków przechodzi. Jak nam klienta odrzucą, mamy problem. Teoretycznie ktoś taki może starać się o kartę po sześciu miesiącach. Omijamy to tak, że zretuszowany wniosek składa na drugi dzień inny doradca, który swój kod wpisuje na wniosku. Wypisuje go sam, co też jest niezgodne z prawem. W końcu wniosek przechodzi, a my mamy kasę za kartę. Gdy klient ją jeszcze aktywuje, albo zrobi nią choć jedną transakcję, mamy z tego kilkaset złotych. Jak się zadłuży – nawet kilka tysięcy. Oczywiście tych klientów musi być co najmniej kilkunastu.

Wnioski w bagażniku

Ale doradcy DSA zarabiają też w inny sposób. – Kserujemy wnioski, co w Citi jest absolutnie zakazane. Żeby nie wpaść podczas audytu, wozimy je w bagażnikach naszych aut. Nie trzymamy w biurze. Takich wniosków mamy tysiące.

Dane klientów są potem sprzedawane firmom ubezpieczeniowym i doradcom finansowym z konkurencji. – To idealne do telemarketingu. Konkurencja potem dzwoni do klienta i proponuje na przykład kredyt. Wie, ile zarabia, i ma większe szanse na sukces. Za wniosek dostajemy po 20 zł – przyznają.

Pracownicy DSA mówią, że Citibank nie wie o ich manipulacjach. Dodają także, że narażają klientów. – Ludzie nie zdają sobie sprawy, że wpisując wyższe zarobki od prawdziwych, narażają się na odpowiedzialność karną. Jak Citi to w końcu sprawdzi, okaże się, że połowa klientów nie spełnia kryteriów koniecznych do posiadania karty kredytowej. Ale na razie jesteśmy liderem w sprzedaży kart. I szefostwo nasze metody akceptuje.

– Nic o tym nie wiem – zapewnia Robert Narloch, dyrektor DSA na region łódzki. – Będziemy to dokładnie badali, bo mamy do czynienia z działaniami kryminogennymi. Nic więcej nie powiem.

Po naszych pytaniach wysłanych do Citibanku w DSA rozpoczęła się błyskawiczna kontrola zarządzona przez bank. – Mamy bardzo rygorystyczne procedury, więc zaistnienie sytuacji, o które pan pyta, mogłoby mieć miejsce tylko i wyłącznie w przypadku złamania procedur, czyli przez popełnienia przestępstwa. – mówi Paweł Zegarłowicz, dyrektor biura prasowego Citibanku.

Zegarłowicz nie wykluczał prowokacji, ale po wysłaniu faksem przez „Gazetę” skserowanych wniosków klientów Citibanku zmienił zdanie. – Sprawą musi się zająć policja i prokuratura – deklaruje.

– Wiem, jakie dane trzeba podać przy staraniu się o kredyt czy kartę i jestem przerażona. Po raz kolejny okazuje się, że warte miliony złotych zabezpieczenia danych klientów banku mogą zawieść, gdy zawodzi najsłabsze ogniwo, czyli człowiek – komentuje Małgorzata Kałużyńska-Jasak z biura Generalnego Inspektora Ochrony Danych Osobowych. – Mamy do czynienia nie tylko ze złamaniem tajemnicy bankowej, ale także zwykłą kradzieżą.

Autor: Marcin Masłowski
Źródło: Gazeta.pl

Atak na Firefoksa

H.D. Moore, twórca zestawu hakerskich narzędzi Metasploit, który ogłosił lipiec „miesiącem dziur w przeglądarkach”, stworzył prototypowy kod atakujący Firefoksa.

Kod wykorzystuje luki załatane w wersji 1.5.0.5 przeglądarki. Podczas prezentacji kod Moore’a był w stanie uruchomić Kalkulator na komputerze z zainstalowanym systemem Windows.

Można się jednak spodziewać, że wkrótce na jego podstawie zostanie stworzony bardziej niebezpieczny robak. Do infekcji szkodliwym kodem dochodzi podczas wizyty na specjalnie spreparowanej stronie.

Moore twierdzi, że jego kod działa także pod kontrolą systemu Linux z zainstalowaną obsługą języka Java. Można go wykorzystać np. do utworzenia pliku na dysku zarażonego komputera. Zaatakowany może również zostać maszyna z Mac OS X.

Źródło: Arcabit

Undelete w MS Windows Vista

Z Windows Vista zniknęło kilka rewolucyjnych rozwiązań. Ale za to pojawiło się coś nowego.

Jak poinformował Microsoft w swoim TechNet Windows Vista będzie umożliwiał przywrócenie skasowanego pliku.

Operacja ma być bardzo łatwa do zrealizowania z poziomu użytkownika, a szczególną pomocą ma być odpowiedni interfejs. Undelete ma być pomocne w wielu działaniach, a zwłaszcza przy przypadkowym usuwaniu plików. Usługę będzie można wyłączyć.

Źródło: x86.pl

Koń trojański ukryty w pokazie slajdów

Internauci zostali ostrzeżeni przed koniem trojańskim, który ukrywa się w pokazie slajdów.

Zdjęcia prezentują kobietę, która jakoby nazywa się Wiktoria Stasowa. Uruchomienie trzyslajdowego pokazu prowadzi za zainfekowania komputera trojanem.

„Internauci mogą myśleć, że oglądają zdjęcia pięknej Rosjanki, która szuka miłości. Jednak w tle cyberprzestępcy kradną informacje, wśród nich nazwy użytkownika i hasła” – mówią specjaliści. Ostrzegają oni, by nie otwierali załączników od osób, które zostały poznane na serwisach randkowych.

Trojan nie rozpowszechnił się szeroko, a przed infekcją może nas uchronić aktualizowane na bieżąco oprogramowanie antywirusowe.

Źródło: Arcabit

Neostrada bez abonamentu

Instalacja oferowanej przez TP neostrady (dostęp do internetu) bez konieczności opłacania abonamentu telefonicznego powinna być możliwa wszędzie tam, gdzie będzie to technicznie wykonalne.

Uważa Urząd Komunikacji Elektronicznej (UKE).

Jak poinformowało w piątek PAP biuro prasowe TP, Telekomunikacja „pracuje obecnie nad stanowiskiem dla UKE” dotyczącym oferty neostrady. Do czasu udzielenia oficjalnej odpowiedzi Urzędowi, TP nie będzie komentować stanowiska regulatora.

Jak stwierdza przesłany w piątek PAP komunikat UKE, prezes Urzędu wezwał w zaleceniach pokontrolnych Telekomunikację Polską do usunięcia nieprawidłowości polegającej na „uzależnieniu zawarcia umowy o świadczenie usługi neostrada tp, od świadczenia usługi telefonicznej w oparciu o dostęp analogowy”.

Zdaniem UKE, takie uzależnianie jest – zgodnie z art. 57 ust. 1 pkt 1 Prawa telekomunikacyjnego – bezprawne. Dostawca usług czyli Telekomunikacja Polska nie może bowiem uzależniać zawarcia umowy o świadczenie publicznie dostępnych usług telekomunikacyjnych, w tym o zapewnienie przyłączenia do publicznej sieci telekomunikacyjnej, od zawarcia przez użytkownika umowy o świadczenie innych usług.

Jednak, jak stwierdza komunikat UKE, prezes Urzędu na razie tylko wezwał TP do usunięcia w ciągu 30 dni nieprawidłowości spowodowanych takimi praktykami lub złożenia wyjaśnień w tej sprawie, a nie zaś wydał decyzję nakazującą rozdzielenie neostrady od abonamentu telefonicznego.

Decyzja taka, według UKE, może zostać wydana, jeśli TP nie udzieli wyjaśnień w ciągu 30 dni lub UKE uzna je za niewystarczające. Wówczas Urząd Komunikacji Elektronicznej wydaje decyzję, w której wskazuje środki zmierzające do usunięcia nieprawidłowości, wyznacza termin ich usunięcia oraz nakłada karę.

Jak stwierdza UKE, „do czasu wyegzekwowania przez prezesa UKE wykonania zalecenia, czyli zmiany oferty TP (umowy i regulaminu usługi), ubieganie się o rozwiązanie umowy o abonament telefoniczny i świadczenia wyłącznie neostrady tp nie będzie skuteczne, natomiast wypowiedzenie umowy o abonament telefoniczny może spowodować zaprzestanie przez TP świadczenia wszystkich usług”. To oznacza, iż obecnie abonenci nie mogą żądać rozdzielenia usługi neostrady i abonamentu telefonicznego.

Według UKE, Telekomunikacja Polska powinna wprowadzić usługę neostrady bez abonamentu telefonicznego wszędzie tam, gdzie dotąd świadczona ona była wraz abonamentem telefonicznym oraz wszędzie tam, gdzie pozwalają na to warunki techniczne.

Urząd nie wyklucza, że TP będzie próbowała podwyższyć cenę neostrady, aby zrekompensować spadek przychodów z abonamentu telefonicznego, ale nowy cennik TP zawierający taką podwyżkę musi zostać najpierw zaakceptowany przez UKE.

Źródło: PAP