The Dutch HackInfo

Information about Hacking, Security & Tweaking

Security issues

1 1 1 1 1 1 1 1 1 1 Rating 4.75 (2 Votes)

chromecastEen hacker die zichzelf HackerGiraffe noemt heeft op allerlei publiek toegankelijke Chromecasts en smart-tv's een YouTube-video afgespeeld waarin reclame wordt gemaakt voor de Zweedse Youtuber PewDiePie en wordt uitgelegd hoe gebruikers hun apparaat kunnen beveiligen.

Op een website die de hacker over "CastHack" online zette wordt gesteld dat meer dan 72.000 Chromecasts en smart-tv's met ingebouwde Chromecast via internet benaderbaar zijn, maar op Twitter laat de hacker weten dat er bijna 180.000 Chromecasts direct met internet zijn verbonden. Via een Chromecast kunnen gebruikers beelden van hun telefoon of laptop naar een televisie streamen.

1 1 1 1 1 1 1 1 1 1 Rating 5.00 (3 Votes)

linkedin_logoOp een Russische hackersite is een bestand met de versleutelde wachtwoorden van 6,5 miljoen LinkedIn-gebruikers geplaatst. Vervolgens werd opgeroepen om de hashes te achterhalen, wat inmiddels 300.000 wachtwoorden heeft opgeleverd, zo meldt de Noorse website Dagensit.no. De oproep om te helpen met het kraken van de hashes wordt bevestigd door beveiligingsonderzoeker Per Thorsheim. Ook op andere websites probeert men de hashes te kraken. 
Ook op Twitter zijn inmiddels talloze berichten over het lek verschenen, waaronder een link naar de 118MB grote database. Gebruikers krijgen dan ook het advies hun wachtwoord te wijzigen. Het Finse CERT heeft inmiddels een waarschuwing afgegeven. 

 De Duitse beveiligingsexpert Stefan Esser merkt op dat het wijzigen van het wachtwoord niet zoveel zin heeft, zolang het lek waardoor de aanvallers de database wisten te bemachtigen niet wordt verholpen. LinkedIn heeft nog altijd niet gereageerd

 Overzicht van geraden hashes online, alsmede mirror van database-hashes
 Volgens een persbericht van LinkedIn uit februari, heeft de sociale netwerksite 161 miljoen gebruikers. Dat zou betekenen dat de aanvallers de hashes van 4% van de gebruikers hebben bemachtigd.

Inmiddels laat LinkedIn via Twitter weten dat het de zaak in onderzoek heeft.

Check of je wachtwoord er ook tussen zit http://leakedin.org

Bron: security.nl

1 1 1 1 1 1 1 1 1 1 Rating 5.00 (3 Votes)

firewallOnderzoekers hebben nieuwe aanvalsmethodes gepubliceerd die een ernstige kwetsbaarheid blootlegt in het initial sequence numbers-protocol. Het gat zou in firewalls van een groot aantal mobiele aanbieders voorkomen.

Het toevoegen van initial sequence numbers (ISN) aan datapakketten is als een patch ingevoerd om eerdere hacks via spoofing op tcp-verbindingen tegen te gaan. ISN gebruikt daarvoor pseudowillekeurige volgnummers. Een groot aantal firewalls van bekende fabrikanten zoals Cisco, Juniper en Check Point implementeren ISN en verwerpen pakketten die incorrect zijn. Juist deze eigenschap maakt de weg vrij voor een aantal nieuwe aanvalsmethoden, zo stellen onderzoekers van de universiteit van Michigan in een rapport.

De onderzoekers stellen in 'Off-Path TCP Sequence Number Inference Attack' dat zij een tcp-verbinding konden kapen door gebruik te maken van software op een Android-smartphone en een mobiele provider die ISN ingeschakeld heeft op zijn firewalls. Zo was het onder andere mogelijk om http-verbindingen met diensten als Facebook, Twitter en Windows Live Messenger over te nemen door middel van een zogenaamdeon-site tcp hijacking-aanval. Daarbij wordt de oorspronkelijke server in de communicatie buiten spel gezet en communiceert een slachtoffer ongemerkt met de aanvaller.

Een andere aanvalsmethode kan bijvoorbeeld cookies stelen van een gebruiker die is ingelogd op een website, zo schrijft Ars Technica. Ook zou het mogelijk zijn om met behulp van malware uit de veilig geachte sandboxomgeving van een browser te breken om zo data van andere applicaties buit te kunnen maken.

Uit een onderzoek naar de mogelijke kwetsbaarheid van 150 mobiele aanbieders blijkt dat 48 van hen ISN ingeschakeld hebben op hun firewalls. Via een Android-applicatie kan een smartphonebezitter ook zelf testen of zijn telco kwetsbaar is; een snelle test op de redactie van Tweakers.net laat zien dat de firewalls van KPN door de app als kwetsbaar worden gekwalificeerd, terwijl er geen definitief oordeel wordt geveld over de netwerkapparatuur van Vodafone. Het netwerk van T-Mobile is niet getest.

Ondanks dat het merendeel van de aanvalsmethoden alleen ingezet kan worden als applicaties of websites data zonder encryptie versturen, en het gebruik van ssl- en tls-protocollen dus enige bescherming zouden bieden, kunnen de technieken ook ingezet worden voor dos-aanvallen. Daarnaast is het de vraag of mobiele aanbieders ISN zullen uitschakelen op hun firewalls omdat zij veel dataverkeer kunnen besparen door verdachte ip-pakketjes al bij de toegangspoort te weigeren.

fire3wall-middlebox-detection

Bron: tweakers.net

1 1 1 1 1 1 1 1 1 1 Rating 0.00 (0 Votes)

linux-lekHet kersverse lek in de Linux-kernel wordt al misbruikt. Het gaat weliswaar om een lek voor lokale gebruikers, maar servers worden via gekaapte webserveraccounts geheel overgenomen.

Dit beveiligingsgat zit in de 32-bit compatibiliteitslaag voor 64-bit uitvoeringen van Linux en is vorige week ontdekt. Feitelijk is het lek herontdekt, want het is eerder al ontdekt én gedicht. De patch van 2007 blijkt echter per ongeluk weer 'ingetrokken' te zijn door kernelontwikkelaars.

Snel op gesprongen
Hackers duiken nu snel op dit lek. Hostingbedrijf iWeb geeft aan dat diverse websites op één van zijn gedeelde hostingservers zijn gekaapt via dit Linux-lek. Security-expert Manuel Humberto Santander Pelaez van het Internet Storm Center (ISC) meldt in een ISC-waarschuwing dat zijn bedrijf, het Colombiaanse EPM, verdacht gedrag waarnam op een Linux-server.

Voor succesvol misbruik moet een aanvaller wel een lokaal account op de Linux-server hebben. Machines die webservers hosten, hebben vaak veel lokale accounts; voor elk van de klanten die een website draaien. Een ssh-inlog met beperkte rechten, veelgebruikt voor beperkt beheer van websites, zou al afdoende zijn om binnen te komen via dit lek.

De code om misbruik te maken van dit beveiligingsgat in Linux is ook al publiekelijk beschikbaar gesteld. Daarbij heeft hacker Ac1db1tch3z zijn exploitcode voorzien van de mogelijkheid een backdoor te installeren op een gekraakt Linux-systeem. Via die achterdeur kan een hacker later nog binnenkomen, ook als dit kernellek is gedicht.

Rebooten
Er is al een algemene patch voor Linux, die leveranciers zoals Red Hat, ook hebben verwerkt in hun Linux-distributies. Installatie van die patch vereist wel een reboot van de server, wat het dichten van dit kritieke gat kan uitstellen.

Ook is er een workaround beschikbaar. Die dicht het lek echter niet volledig, meldt securityleverancier KSplice. Deze maatregel beschermt alleen tegen de exploitcode die nu rondwaart.

Workaround onvolledig
"Een vrij makkelijke aanpassing aan de exploit stelt die in staat om te blijven werken, dus zelfs als die workaround is toegepast", waarschuwt mede-oprichter en coo Waseem Daher van KSplice. Bovendien schakelt die workaround de ondersteuning voor 32-bit applicaties uit, wat een probleem kan zijn voor servers die niet 'puur' 64-bit zijn.

KSplice biedt een tool waarmee beheerders van Linux-servers kunnen controleren of zo'n backdoor aanwezig is op hun machines. Ontwikkelaar en ceo Jeff Arnold van KSplice blogt dat zijn bedrijf betalende klanten ook een fix biedt voor dit lek waarvoor de server niet opnieuw gestart hoeft te worden. Die fix is voor Red Hat Enterprise Linux, CentOS, Debian, Ubuntu, Parallels Virtuozzo Containers, OpenVZ en CloudLinux.

Bron: Techworld

1 1 1 1 1 1 1 1 1 1 Rating 4.82 (22 Votes)

Programma's die helpen om veilig/anoniem te kunnen mailen/internetten.

  • PGP
    Pretty Good Privacy (lett: redelijk goede privacy) wordt meestal afgekort tot PGP en is één van de veel gebruikte vercijferingsmethodes op internet. De standaard die aan PGP ontsproten is wordt thans OpenPGP genoemd en er zijn tegenwoordig vele programma's, zowel commercieel als open source, die deze standaard implementeren en ook grotendeels onderling compatibel zijn.
  • Small Sister
    Het Small Sister Project probeert een digitale omgeving te maken voor alle gebruikers om een privacy-vriendlijke omgeving te creeren, waar persoonlijke gegevens fatsoenlijk zijn beschermd.

  • Cryptophone
    Dit stuk hardware (De CryptoPhone Secure Mobile Terminal (SMT)) versleutelt niet alleen de gegevens die op het apparaat zelf staan, maar ook gesprekken, e-mails en sms-berichten. Afluisteren of verlies of diefstal van gevoelige gegevens moet zo onmogelijk worden. De CryptoPhone-software van GSMK versleutelt de telefonie en tekstberichten.
  • Bitlocker (MS only)
    BitLocker Drive Encryption is een schijfencryptie-programma ontworpen om gegevens te beschermen door encryptie voor alle gegevens en opgenomen in de Microsoft-besturingssystemen Windows Vista, Windows Server 2008 en Windows 7. Standaard gebruikt het het AES encryptie-algoritme in CBC-modus met een 128 bits sleutel, gecombineerd met de Elephant Diffuser voor extra specifieke schijfencryptie beveiliging die niet door AES ondersteund wordt.

 

1 1 1 1 1 1 1 1 1 1 Rating 4.97 (15 Votes)

Website veilig? 80% Van de websites op het internet hebben beveiligingslekken. Als je geen programmeer taal gebruikt, dan heb je waarschijnlijk geen beveiligingslekken in je website zitten. Dat wil nog niet zeggen dat jouw website cracker proof is. 

Webapplicatie check Er zijn verschillende niveaus om te checken of je website (webapplicatie) veilig is. Zo is het belangrijk om naast veilig programmeren ook een veilige webserver en de bijbehorende infrastructuur te hebben. Op de website van Certified Secure staan een aantal checklisten die helpen om bij het veilig programmeren, het configureren van de server en het uitvoeren van een security test.

Hacken webapplicatie Een andere manierom je website te testen op veiligheid is door deze zelf te hacken. In het PDF document 'webprogrammers hacking guide' geeft Sijmen Ruwhof aan hoe webprogrammeurs veilig kunnen programmeren. Dit doet hij door de meest voorkomende beveiligingslekken de revue te laten passeren.

Veel voorkomende beveiligingslekken
De meeste beveiligingslekken worden veroorzaakt doordat de user input niet gecontroleerd wordt. Een overzicht van wat voor lekken er ontstaan wanneer de user input niet gecontroleerd wordt:

  1. - Cross Site Scripting;
  2. - SQL Injection;
  3. - UBB Hacks;
  4. - Arbitrary Command Execution;
  5. - Remote PHP execution;
  6. - Mime Content Type Hack;
  7. - Session Hijacking;
  8. - Cookies;

(Zie ook top 10 webhacking technieken 2008)

10 Security tips

  1. Hernoem het administrator-account
  2. Verwijder overbodige administrator-accounts
  3. Gebruik honeypots
  4. Gebruik geen standaard poorten
  5. Installeer niet in standaard directories
  6. Gebruik tarpits
  7. Analyseer het netwerkverkeer
  8. Schakel een met wachtwoord beveiligde screensaver in
  9. Schakel web browsen vanaf servers uit
  10. Hou tijdens de ontwikkeling rekening met security

 

1 1 1 1 1 1 1 1 1 1 Rating 4.10 (5 Votes)
  • Phrack    - Digital hacking magazine.
  • BFi - Butchered From Inside is an electronic publication of free speech and distribution written by the Italian hacker community.
  • Binary Revolution Magazine - Offers printed magazine, radio show and tv show geared for hackers.
  • The Collusion Webzine - Exploring technology and culture from a hacker's perspective.
  • The Hackademy Journal - Subscription based quarterly printed magazine with technical articles about computer security and hacking.
  • HackWire - Hacker news, a daily eZine for hackers and computer security experts.
  • Hakin9 - Bi-monthly magazine offering in-depth looks at both attack and defense techniques and concentrates on difficult technical issues.
  • Make Magazine - Magazine that celebrates your right to tweak, hack, and bend any technology to your own will.
  • Radical Future - Downloadable eZine in PDF format focusing on computer hacking, freedom of speech, and political beliefs.
  • 2600 - The Hacker Quarterly - Printed American magazine dealing with hacking and phreaking.


Copyright © 2019. All Rights Reserved.