27.3.22 חדשות

לינוקס

האם bcachefs תצליח להיכנס לליבה הפעם?

קוד פתוח

10 דברים שאפשר לעשות לינוקס ואי אפשר לעשות ב- WSL.

קורא ה- PDF של KDE, הידוע בתור Okular, קיבל אישור שהוא עומד בתקן קיימות סביבתית.

שפה חדשה: OpenCOBOL. נועדה להחליף את קובול.

חברת Snyk מתריעה על השימוש שעשו מפתחי חבילת node-ipc כדי לגרום נזק למפתחים ברוסיה או בלארוס. האפשרות הזו מסוכנת מאוד לקוד הפתוח. מדובר על שימוש בהרשאות המפתח שניתנו כדי לשפר את התוכנה על מנת לקדם אג'נדות אישיות. כרגע מדובר בפגיעה ברוסיה ובעלות בריתה. מעניין מי זה יהיה מחר?

אבטחת מידע

חולשה חדשה ב- openssl. נא לשדרג ל- 1.1.1n.

מפתחים שכחו לסגור גישה למסדי נתונים של סביבות פיתוח. 2100 מסדי נתונים.

עוד 14 חולשות הצטרפו לרשימת החולשות הנפוצות של CISA.

מדריך של CISA וה- NSA להקשחת k8s.

כתבת דיעה לפיה השימוש במתודלוגיות פיתוח של קוד פתוח, בעיקר בדיקת תוכנה בפרויקטים גדולים, יכולה לעזור במלחמה נגד כנופיות הכופר. הכותב מתייחס בעיקר למערכות ניטור.

איך לוודא שההזדמנות הממש מגניבה שקיבלתם במייל או בהודעה היא אמיתית ולא הונאה.

60% ממתחזים במיילים מזייפים כתובת של מיקרוסופט כדי לרכוש את אמונו של הקורבן.

הזכויות לקיום כנס RSA נמכרו. מעתה חברת שירותי אבטחת המידע RSA ומפעילת הכנס יהיו שתי יישויות שונות.

על תפקידם של בוטים חכמים בתקיפות שבהן התוקפים מנסים לשכנע את נותן השירות שמדובר על בן אדם ולא על בוט. העלייה בשימוש במטהוורס, תאפשר לתוקפים לאסוף יותר מידע על משתמשים ולהתחזות אליהם.

סקר מראה שחצי מהארגונים משתמשים במערכות WAF במקום לתקן חולשות. נשים לב שבסקר השתתפו טיפה פחות מ- 150 ארגונים. ועדיין אני חושב שהוא מדויק. בעיקר בארגונים שבהם מערכות המידע הן מערכות תומכות ולא הליבה של העסק.

סקר שכלל 500 ארגונים בארה"ב ובריטניה מצביע שרק 30% מהארגונים ערוכים להתמודדות עם איומי הסייבר החדשים. האיומים הללו מכונים HEAT. מדובר על מתקפות שנועדו לפרוץ לרשת הארגונית מבלי לעורר חשד של מערכות ניטור.

התראה של CISA נגד פריצה ללווינים. לא כתוב בפרסום מי הם הגורמים שמתכוונים לפרוץ.

מתקפה חדשה: BITB. דפדפן בתוך דפדפן. אתר אמין ולגיטימי פותח חלון הזדהות שמתחזה לאתר לגיטימי.

עוד 200 חבילות זדוניות ב-NPM. נראה לי שאפשר לסכם ש-NPM היא פלטפורמה פרוצה.

או שחברת נסטלה נפרצה או שהייתה לה דליפה. תלוי את מי שואלים.

התראה של CISA על אפשרות שרוסיה או תוקפים שמזוהים איתה, יתקפו חברות אנרגיה אמריקאיות.

כללי

פייסבוק ספגה עוד קנס על הפרת GDPR. הפעם מהרגולטור באירלנד שידוע כמקל אז רק כ-20 מיליון דולר. אבל ייתכן שהרגולטור של האיחוד יתערב, כמו במקרים קודמים והקנס יקבל עוד אפס בסוף.

מדריך להקמת שרת אחסון אתרים ביתי.

בשעה טובה בית משפט בארה"ב דרש מחברה שפרסמה שהמוצר שלה קוד פתוח למרות שהוא לא להסיר את הפרסום.

הרגולטורים באיחוד האירופאי מזהירים מפני השקעה במטבעות וירטואליים. למה? כי אין עליהם רגולציה. למה אין עליהם רגולציה באיחוד? כי האיחוד לא מכיר בהם. משעשע למדי.

וירוס חדש שמתקין את chocolatey (מנהל חבילות קוד פתוח לחלונות), כדי שזה יתקין את pip ואז כמה חבילות פייתון שהווירוס צריך. רעיון מעניין.

מלחמת רוסיה אוקראינה

5.3.22 חדשות

לינוקס

קוד פתוח

אבטחת מידע

על וקטור תקיפה חדש: קוד פתוח. על ידי החדרת קוד זדוני לפרויקטי קוד פתוח כדי לחדור למערכות של מי שמשתמש בהן.

מדיניות חדשה בארה"ב נגד פושעי סייבר: מנטרלים את האיום גם במחיר פגיעה ביכולת להביא אותם למשפט.

חוקרים מצאו דרך להוציא את מפתח ההצפנה מכופרת Hive.

אתר למכירת מטבעות קריפטוגרפיים שילם 250 אלף דולר עבור חולשת אבטחה שהתגלתה אצלו.

על עלילות משטרת ישראל והפגסוס. אני לא מאמין לדוח החקירה של הוועדה הממלכתית. אתם?

עוד 25 ספריות זדוניות התגלו ב- NPM.

מאז ה-23.2 האיחוד האירופאי עוזר לאוקראינה להתגונן מפני מתקפות סייבר. מעניין אם זו רק עזרה הגנתית או התקפתית?

תוקפים שכותבים וירוסים מנהלים מלחמות אחד עם השני. בין השאר דרך ספריות NPM זדוניות.

גיטהאב תאפשר תרומות למאגר הנחיות אבטחת המידע שלה.

קבוצות האקרים בוחרות צד במלחמה באוקראינה. מעניין.

וירוס חדש שמיועד להשתלטות על חשבונות ברשתות חברתיות משתמש בחנות האפליקציות של MS להפצה.

חוקרים מאוניברסיטת תל אביב מצאו דרך לעקוף את ההצפנה במכשירי סמסונג גלקסי.

רשות אבטחת המידע של האיחוד האירופאי הוציאה מסמך עם 14 המלצות בסיסיות לאבטחת הארגון.

מערכת קוד פתוח חדשה למעקב אחרי הרשת הארגונית. גם משמשת לעמידה ברגולציה.

כנופיית כופרה רוסית נפרצה אחרי שאיימה שתתקוף אם המערב יתקוף תשתיות ברוסיה.

מחקר חדש חושף את האיומים על מערכות לניתוח מידע של למידת מכונה.

פורסם הגיליון ה-137 של digital whisper.

מתקפת סייבר על שותפים וספקים של טויוטה ביפן גרמה לעצירת הייצור.

רשויות אירופאיות שהחליטו לסייע לפליטים אוקראינים הפכו למטרה.

בארה"ב עבר חוק שמחייב רשויות אזרחיות וחברות שמפעילות תשתיות קריטיות לדווח על כל פריצה ל- CISA תוך 72 שעות.

חוקרים מצאו חולשה בספריה של MS שמממשת הצפנה הומומורפית.

כללי

תיעוד של התקרית המביכה שבה מושל מיזורי הורה לפתוח בחקירה באשמת האקינג נגד עיתונאי שהסתכל על קוד המקור של דף אינטרנט וגילה דברים שהביכו את המושל.

האיחוד האירופאי מתכנן להעביר חוק שיגביל את השימוש של חברות במידע של חברי האיחוד.

CISA פרסמה מדריך קצר להתמודדות עם פייק ניוז שמכוון נגד ארגונים.

28.2.22 חדשות

לינוקס

חולשות אבטחה בליבה של לינוקס מתוקנות הכי מהר לפי המדידה של Google Project Zero.

קוד פתוח

אנדרואיד 13 תתמוך בוירטואליזציה. היא תאפשר להריץ תוכנות של חלונות ולינוקס.

תוכנות להעברת קבצים מאנדרואיד ללינוקס.

למי שצריך טרמינל באנדרואיד.

סקירה של תוכנות להזרמת מסך בלינוקס.

הרצאה על השתלבות בפרויקט קוד פתוח.

פורסם הדוח השנתי של ה-OSI בנושא אימוץ קוד פתוח בארגונים.

נפח השוק של דפדפן פיירפוקס צונח לאורך השנים. ב-2008 הוא עמד על 20%. היום הוא עומד על 4%. בשלוש השנים האחרונות, הדפדפן איבד 30 מיליון משתמשים.

אבטחת מידע

כתבה על הצורך בגישת אבטחת מידע חדשה. ליתר דיוק חדשה לחלקינו. מדבר על הצורך לאבטח את המערכות לא משנה מאיפה ניגשים אליהם בניגוד לגישה הקודמת שמדברת על אבטחת מערכות שיושבות בחוות השרתים הפרטית של הארגון.

ארה"ב ובריטניה מאשימות את רוסיה בתקיפות הסייבר נגד אוקראינה.

אזהרה של CISA על תקיפות סייבר במימון רוסיה נגד ספקים של משרד ההגנה האמריקאי.

CISA אספה ופרסמה רשימה של משאבים חינמיים לאבטחה.

כלי לניחוש טקסט שהוסתר על ידי פיקסליזציה.

תיעוד של צורת הפעולה של תוקפים במימון איראני שתוקפים מטרות ישראליות.

מודיע של ה- MI6 בבריטניה מתריע על שימוש במוצרי Huawei בתשתיות התקשורת במדינה עקב אפשרות שסין תעשה שימוש בתשתית כדי לפגוע בבריטניה.

דו"ח לפיו כמות ההדלפות בעקבות אירועי כופרה הוכפלה (כלומר התוקפים מפרסמים את המידע או חלקו אחרי פריצה לרשתות).

משתמשים בלמידת מכונה כדי לאבטח את הרשת? מסתבר שאפשר להוציא ממנה הרבה מידע על הרשת אם הם לא מאובטחים.

דו"ח שמראה שניחוש סיסמאות היא עדיין השיטה המועדפת ב-2021 לפריצה לרשתות. זאת למרות החולשות הקריטיות שפורסמו שנה שעברה (log4j, MS Exchange וכו').

עוד אתר של מפתח תוספים ותבניות ל- WP נפרץ. הפעם מדובר על AccessPress. הפריצה בוצעה בספטמבר 2021 והתגלתה בסוף ינואר 2022.

כללי

חסימת אינטרנט וסלולר בעיירה בצרפת כתוצאה מאב שרצה למנוע מילדיו לגלוש בשעות בשעות הלילה ללא השגחה.

הארגון להגנה על המידע באיחוד האירופאי קורא לחסום שימוש ופיתוח של תוכנות דומות לפגסוס עקב הפגיעה העצומה שלהן בזכויות אדם.

פייסבוק תשלם 90 מיליון דולר על תביעה ייצוגית שהוגשה בארה"ב ב-2012 עקב מעקב אחר משתמשים.

הרגולטור הצרפתי לענייני פרטיות בענן קבע ש- Google Analytics מפר את GDPR. קביעה זו מצטרפת לקביעה קודמת של אוסטריה. נראה שגוגל בדרך לקנס.

מוזילה ופייסבוק חברו ביחד כדי לנסח מסמך על זיהוי משתמשים לצורך התאמת פרסומות. באמת מוזילה? פייסבוק?

סדרת מעבדי רייזן 6000 של AMD תתמוך ב- USB4 ועוד כמה דברים.

אינטל תאפשר להפעיל יכולות כבויות במעבד דרך מערכת ההפעלה. מתי? לא ידוע אבל הקוד שיאפשר את זה קיים בליבה של לינוקס.

מסתבר שהרבה אתרים יתקשו להתמודד עם גרסה 100 של פיירפוקס וכרום. למה? כי הם מצפים לשתי ספרות בגרסה.

פורט של Commodore 64 ל- NES.

גוגל מכריזה שתוסיף בקרות לשמירה על פרטיות מפני מפרסמים באנדרואיד. מעניין מה יצא מזה.

7.2.22 חדשות

לינוקס

הסבר על הבעייה שמאחורי חולשות במעבדים או בדרייברים למעבדים.

בשעה טובה, סלאקוור שחרור את גרסה 15. שש שנים אחרי הגרסה הקודמת.

קוד פתוח

הפצות ופקודות משעשעות.

מקרן לבנייה עצמית. מבוסס רספברי.

סקירה של תוכנות לוח או עם תמיכה בעט דיגיטלי.

שפת תכנות שנבנתה בהשראת מחזות שייקספיריים. בשפה הזו אתם כותבים מחזה ולא קוד. וגם אני לא הבנתי מה הולך שם :/

אבטחת מידע

דוח שמציג את הווקטור העיקרי לתקיפה בשנים האחרונות. בשליש מהתקיפות הווקטור לא ידוע. חלק ניכר מהתקיפות מתחילות מפישינג וכופרות.

קבוצות תוקפים שמזוהות עם השלטון הסיני מנהלות מערכת סייבר נגד מטרות בטיוואן בחודשים האחרונים.

רשימת משאבים למחפשי חולשות.

ה-FBI פרסם שרוב המתקפות נגד מטרות אמריקאיות מגיעות מסין.

התגלות כ- 1300 חבילות זדוניות ב- NPM.

האו"ם מציג את הברור מאליו: צפון קוריאה משתמשת בתקיפות סייבר כמקור מימון.

כללי

27.1.22 חדשות

לינוקס

על Unaccepted Memory בליבה של לינוקס: טכנולוגיה של אינטל שתשפר אבטחת מידע של מכונות וירטואליות וזמני עלייה של מכונות. יש גם מקבילה אצל AMD.

פקודות לינוקס משעשעות.

אם יש לכם צורך להריץ לינוקס על 486SX, הנה פיתרון.

איך אפשר לגרום ללינוקס לקרוס? או אילו פקודות לא כדאי להריץ.

על הבעיות והיתרונות של NixOS. הפצה שניסתה לממש לקחים שנלמדו ממנהלי חבילות. כותב הכתבה חושב שהרעיונות מצוינים אבל המימוש רע.

קוד פתוח

מדריך בעברית לגישה למיילים של ג'מייל (אם הורדתם את המיילים לצרכי גיבוי).

פלוטון של MS הוא רכיב TPM שצמוד למעבד. הוא יגיע עם מחשבים חדשים. למרות החששות בנושא, הוא יופעל כברירת מחדל ולא ינעל את המחשב לחלונות 11 בלבד. כמוכן, בינתיים, הוא מגיע כבוי כברירת מחדל.

על מימון של פרויקטים קוד פתוח ודרכים בהן משתמשים יכולים להחזיר לקהילה גם בלי לתרום קוד לפרויקט.

9 תוספים שימושיים ל- Firefox.

טיפים להשתלבות מוצלחת בפרויקט קוד פתוח.

משהו מסריח קורה בדביאן.

מנהלי התחברות ל- SSH ללינוקס.

ה- FSF מגדיר חומרה פתוחה בצורה טיפה קיצונית (בלי רכיבי חומרה שאינם פתוחים). זה בלתי אפשרי בימינו כי אין חומרה פתוחה למחשבי קצה (יש כמה פרויקטי מחקר). אז ההגדרה מכירה בזה ומוסיפה החרגה. גם ההגדרה עצמה בעייתית מבחינה תוכנתית. בכתבה יש סקירה של שני מחשבים. אחד מהם ניצל פרצה בהגדרה למרות שהוא אינו פתוח והשני בחר להתעלם ממנה כדי שהמכשיר יהיה שימושי ללקוחות.

אבטחת מידע

ארה"ב הפעילה לחץ ורוסיה התחילה לעצור כנופיות סייבר שפועלות משטחה. הפושעים בתגובה מתחילים לחשוש שרוסיה היא כבר לא מדינת מקלט.

מספר התקיפות על שרשרת אספקה שילש את עצמו ב- 2021.

מערכות מידע של הצלב האדום נפרצו. הצלב האדום מעוניין לנהל מו"מ עם התוקפים כדי שלא ישחררו את המידע. מדובר על מערכת שעוזרת לאחד משפחות, גם כאלו שהופרדו בגלל מלחמות או דיקטטורות ועל פרסומו עשוי לגרום למותם של אנשים.

על הסיכונים שבשימוש באתר להמרת סרטוני וידיאו. רמז: צריך לקרוא את הצהרת הפרטיות של השירות. הם לא תמיד מתחייבים שלא להשתמש בסרטון שהועלה.

ארה"ב הטילה סנקציות על ארבעה בכירים בשלטון האוקראיני שמסייעים לרוסיה. נראה שלתוקפים הייתה גישה למערכות כבר כמה חודשים.

תוקפים סיניים השתמשו בוירוס שמיועד ל- UEFI. הוירוס מאפשר לתוקפים לחמוק מגילוי ולעקוף פרמוטים כיוון שאין היום כלים לגילוי וירוסים ב- UEFI. מדובר על תוקפים סיניים ששייכים או מקושרים למשטר.

תוקפים שולחים לחברות בארה"ב כונני USB עם תוכנה זדונית.

תקיפת שרשרת אספקה נגד WordPress. התוקפים פרצו לשרתי חברת שמפתחת תוספים ותבניות ושתלו בכולם קוד זדוני.

מערכות המידע של משרד החוץ הקנדי הותקפו על ידי גורם לא ידוע.

חברת EyeMed בארה"ב, שמספקת שירותי בריאות עיניים לחברות ביטוח בארה"ב, נקנסה ב- 600 אלף דולר. בעקבות חקירה, הסתבר שהחברה התרשלה בשמירת על נתוני המטופלים שלה, מה שהוביל לפריצה.

הבית הלבן פרסם הוראה שמחייבת ארגונים פדרליים לממש Zero Trust עד 2024.

עקב בעייה ב- Let's Encrypt, חלק מתעודות ה- SSL שניתנו על ידם יפוגו ב- 28.1.22, ב- 16:00 UTC. מדובר על תעודות שתומכות ב- TLS 1.0 שכבר לא נתמך על ידי Let's Encrypt.

כללי

הקנסות על ההפרה של GDPR גדלו ב- 2021 פי 7. מכ- 180 מיליון דולר לכ- 1.25 מיליארד דולר. נשים לב שסוגיית התאימות בין FISA (תקנות בארה"ב שמאפשרות לארגוני מודיעין לגשת למידע של חברות שמושבן בארה"ב) לבין GDPR עדיין לא נפתרה. כרגע יש חקירה נגד גוגל בנושא.
כמוכן נראה שלא ניתן לנסות להעביר את החקירה למדינה שלרוב נותנת קנסות מקלים כי בכל אופן לאיחוד תיהיה אפשרות להגדיל את הקנס (כמו שפייסבוק גילו בדרך הקשה כשהקנס גדל מ- 30 עד 50 מיליון יורו ל- 225 מיליון יורו).

תביעה בארה"ב נגד גוגל שמקשה על משתמשים לבטל את אפשרויות המעקב.

מערכת הפעלה רב תהליכית למעבד Z80. מוזמנים להציץ בקוד אם זה מעניין. Z80 הוא מעבד משנות ה-70.

נראה ש- Nvidia לא תרכוש את ARM בסוף.

הנדסה לאחור של פרוטוקול המקלדת של מערכת ההפעלה NeXT.

6.1.22 חדשות

לינוקס

פרויקט חדש בפיתוח הליבה: סדר בקבצי ה- Header.

יכולת לעדכן את ה-UEFI בלי לאתחל את השרת תיכנס לליבה בגרסה 5.17.

ב-2021 אחוז משתמשי Steam עבר את ה-1% (מכלל משתמשי Steam).

קוד פתוח

אבטחת מידע

סיכום הפריצות של השנה החולפת.

וירוס משתמש בחולשה בחלונות שהתגלתה וטופלה ב-2013 אבל ב-2014 מיקרוסופט שינתה הגדרות כך שצריך להפעיל את ההגדרה (והיא לא מופעלת כברירת מחדל כך שהחולשה עדיין קיימת). אולי זה זמן טוב לבדוק אם יש עוד חולשות כאלו?

ה- FTC יקנוס ארגונים אמריקאיים שלא יטפלו בחולשות ה- log4j במוצרים שלהן.

חוקרים מצאו דרך לזייף אתחול וכיבוי באייפון. אפשר גם לזייף התראות סוללה חלשה ועל ידי כך המשתמש חושב שהמכשיר כבוי בעוד הוא למעשה דולק ומשדר כרגיל.

כללי

מיקרוסופט תיקנה את באג התאריך ב- Exchange שגורם לשרת לקרוס כי הוא לא יכול להתמודד עם התאריך 1.1.22.

קוסבו אסרה על כריית מטבעות קריפטוגרפיים עקב הפסקות חשמל מרובות. המדינה מתקשה לספק חשמל עקב העלייה במחירי הדלקים והכרייה לא תורמת למצב.

הרשויות בצרפת קנסו את גוגל ופייסבוק כיוון שהן לא מאפשרות לגולשים לסרב לעוגיות. כלומר אמנם מוצגת הודעה אבל המשתמש חייב להסכים לה כדי להמשיך.

דפדפן ל- DOS.

11.12.21 חדשות

לינוקס

אמולטור ללינוקס בדפדפן.

סקירת עלויות של הפצות לינוקס ארגוניות למחשבי קצה.

קוד פתוח

מנהלי אתר Whatsup הישראלי שהיווה במשך שנים מקום להתייעץ וללמוד על קוד פתוח ולינוקס, רוצים לדעת האם האתר עדיין רלוונטי בעידן של תוכנות למסרים מיידיים ורשתות חברתיות.

אבטחת מידע

חוקרים מצאו חולשות XS בכל הדפדפנים הפופולריים. החולשות מאפשרות לתוקף לאסוף מידע בלבד לשמחתנו. החולשות עוקפות את מנגנון ה- CSP.

צבא ארה"ב נקט פעולות התקפיות נגד כנופיות כופרה. לא נאמר אילו פעולות ננקטו. מפקד יחידת הסייבר של הצבא אמר שהם מוכנים להגיב נגד איומים על המדינה, גם מצד כופרות.
ב-2019 ישראל תקפה את מטה הטכנולוגיות של חמאס בעזה תוך כדי מתקפה של חמאס על תשתיות צה"ליות כך שזו לא הפעם הראשונה שאירועים במימד הקיברנטי הופכים לפעולה צבאית מסורתית.

מחקר על ההשלכות של שחיקה אצל עובדים על הרגלי אבטחת המידע שלהם. בקצרה: שחיקה גורמת לעובדים לעקוף נהלים אבטחת מידע.

נמצאו עוד 17 חבילות NPM שמכילות נוזקות.

דיווח על קמפיין תקיפה נגד אתרים מבוססי WordPress.

חולשה קריטית ב- Apache Log4j 2, רכיב שמספק שירותי יומן (לוגים) לתוכנות Java ונמצא בשימוש נרחב.

כללי

מחקר חדש מראה שכשליש מהקונים ביום שישי השחור האחרון היו בוטים למיניהם.

מיקרוסופט נסוגה והחליטה לאפשר למשתמשים להגדיר דפדפן ברירת מחדל בקלות בחלונות 11.

מבחר פרוייקטי מחשוב לביש לארדואינו.

רוסיה חסמה את הגישה ל- TOR לאזרחיה וכן גישה ל-6 מפעילי VPN.

1.11.21 אבטחת מידע

מישהו פרץ למערכת אספקת הדלק של איראן. מה שאומר שאין דלק בתחנות הדלק.

גיליון חדש ל- DigitalWhisper.

רשימת החולשות הנפוצות ביותר בחומרה לשנת 2021.

שימוש גובר בהרעלת קידום אתרים (SEO Poisoning) להפצת וירוסים. כלומר פורצים לאתר כלשהו, מכניסים וירוס ומקדמים אותו בגוגל עם מילות חיפוש נפוצות. המטרה היא להגיע לעובדים שעובדים מהבית.

ארה"ב תמנע מ- China Telecom לפעול בשטחה מסיבות של אבטחת מידע.

דילוג לתוכן