Vadå säkerhet?

Håller på att klä av mig halvt naken för att komma igenom säkerhetsspärren på Arlanda Terminal 3 när jag hör följande dialog på andra sidan disken.
- Du kan sitta om du vill (och titta på röntgen)
- Nä, det är ok. Dessutom är du inloggad.
- Äh, det gör inget.
Jag ska inte ha med mig någon farlig prylar på flyget, men vem som kollar att så är fallet är inte så intressant.
Låt aldrig någon annan än du använda dina konton.

MS11-083 och MSKD 4.1 - del 2

Nu har de första analyserna av sårbarheten MS11-083 börjar dyka upp i bloggar och Tweets.

Och som det ser ut nu så går det att utnyttja sårbarheten över större routeade nätverk, som t.ex. internet, men….

Sårbarheten beror på hur Windows hanterar ICMP reject för UDP-portar utan tjänster. Av olika anledningar så skickar den inte ICMP rejects direkt utan väntar en stund mellan varje. Skickar du då många UDP-paket till en port som inte används så buffrar rejectsen. Antalet rejects sparas i refcount och det är hantering av den bufferten när den blir full som inte är snyggt löst. Eller snarare icke hanteringen. Man tror att refcount har en standard storlek på 2^32 bitar, men eftersom Microsoft sätter den till Critical spekuleras det om den kan vara 2^16 bitar stor istället.

Med en 2¨32 bitar stor buffer skulle man behöva skicka mer än 110 GB med data för att fylla bufferten, men bara 2 MB om den är på 2^16 bitar.

Än så länge har jag inte hittat någon demo på hur det skulle gå till, förutom rent spekulativa som den ovan. Vi får vänta och se.

Jag känner att jag behöver förklara varför jag skrev MSKD i titeln.

Det är alltid intressant när en tillverkare vill att man ska köpa allt ifrån dem. Det finns stora fördelar som t.ex. kompabilitet, integration och administration. Det intressanta blir i sådana scenarion som just denna då det finns ett dokument för hur Microsoft tycker att ni ska lösa eran design i kombinationen med en sårbarhet som kan slå väldigt hårt mot just MS OS.

I sin förlängning så har det inte bara med Microsoft att göra utan alla större tillverkare som kan erbjuda en helhets lösning av något slag. T.ex. IBM, HP, Cisco eller Apple.

Ordspråket lyder: Lägg inte alla ägg i samma korg

Vilka ligger då i riskzonen? Alla som har ett system som exponerar en UDP-port.

Om attacken skulle komma från internet så är följande system utsatta för riken:

Klienter som sitter mot internet utan annan brandvägg en den lokala (oavsett märke på brandvägg) – T.ex. klienter på 3G modem är ett exempel.

Servrar som siter mor internet utan annan brandvägg en den lokala - T.ex. ISA och TMG

Servar som sitter bakom en, regelmässigt, lite för frikostig brandvägg – T.ex. där man har låter DNS (UDP 53) vara öppet mot flera servrar än de som har tjänsten. Ett helt DMZ.

I den senare kategorin så hittar vi tyvärr den senaste trenden när det gäller brandväggar – Applikationsbrandväggen. Entusiasterna för denna typ av brandvägg har ifrågasatt syftet med portfiltrering när man ändå filtrerar på vilka applikationer som får gå igenom.

Det kommer bli mycket mer jobb för dessa entusiaster att täppa till alla portar som inte används om det kommer ett färdigt exploit för MS11-083

Så hur skyddar man sig.

Det lustiga är att som hem användare så räcker din D-Link eller Thomson. Bara den inte släpper in UDP-trafik till servrar utan tjänster.

För företag och offentliga sektorn så gäller mer eller mindre samma sak.

Säkra att din MS servrar inte exponerar UDP-portar utan tjänster mot internet. Brandväggs och IPS revision.

http://exploitshop.wordpress.com/2011/11/10/on-the-impossibility-of-ms11-083/

 

På internet sparas allt...om du har tryckt på send

Hade skrivet klart ett nytt blogginlägg igår, men var tvungen att kliva av bussen. Så jag gjorde så jag allt gör. Jag stängde lockat på min dator och klev av.

30 minuter senare så sitter jag vid mitt skrivbord och öppnar datorn..... Den hade startat om för det var ett fel på drivrutinen till grafikkortet.

Allt sparas om det ligger på internet. Det finns hela siter som mer eller mindre går ut på att spara hur andra siter såg ut för 5, 10, 15 år sedan, men det förutsätter att du har tryckt på Send.

Får hädan efter skriva mina blogginlägg i notepad och klicka på Crtl-S.

Jag hade nästan glömt hur man satt förr. Jag tryckte på Ctrl-S maniskt, men eftersom datorerna gav upp hela tiden så var man ju tvungen.

Nu är det bara att skriva om......

MS11-083 och MSKD 4.1

Vatten på min kvarn.

Igår kom Microsoft Security Bulletin MS11-083 (Critical) och det är först nu på förmiddagen som jag har hunnit titta på det och redan efter 4 rader så tappar jag hakan.

Man beskriver en bug som ligger på en nivå som är så låg (i TCP/IP stacken), så om jag inte har missförstått det helt, så är den interna Windowsbrandväggen verkningslös.

......Tid för dig som läsaren att begrunda.....

Utan att vet hur lätt det är att utnyttja buggen, ibland är dom så svåra att det inte blir något allvarligt hot, så betyder det att alla Windows system som exponeras mot ett nät med någon som vill göra elakheter, utsatta för risken. Det vill säga alla Windows system som inte har en annan brandvägg framför sig än en MS-brandvägg.
Det räcker inte med en annan brandvägg installerad på datorn.

Bara för att nämna 2 olika system: Alla datorer som sitter på 3G modem, alla TMG (MS Forefront Threat Management Gateway) om sitter mot internet.

Varför har jag satt MSKD 4.1 i titeln?

Jo, MSDK 4.1 står för Microsoft Kommundesign 4.1. Det är ett förslag på hur en kommun ska designa sitt nät och bara kör MS produkter så långt som möjligt.

Hela MSKD tänket känns inte rätt alls. Det finns delar i MSKD som är användbara och som jag tycker att man ska titta närmare på, men jag skulle aldrig använda hela tänkte.
Men om man nu har valt att följa denna till punkt och pricka så har man nu seriösa problem.

I och med denna bugg så kan alla som har valt att säkra sina IT-miljöer med brandväggar från annan tillverkar än MS, lugnare pusta ut.

Med stor sannolikhet ger deras icke MS lösningen ett skydd som inte går att underskatta.

Detta förutsatt att dom har inte öppnat några UDP-portar mot några av sina Windows system.

Kanske läge för en brandväggs revision???

Så, även om jag tidigare har sagt att man ska inte köpa alla sina system från en och samma tillverkare, så kan jag inte låta bli att säga det igen.

En tillverkare + en sårbarhet = Nya utmaningar. :)

http://technet.microsoft.com/en-us/security/bulletin/ms11-083

http://www.microsoft.com/en-us/server-cloud/forefront/threat-management-gateway.aspx

http://www.microsoft.com/sv-se/business/bransch/offentlig-sektor/mskd.aspx

Bloggtoppen hackat

Så…

Ytterligare en gång så har en ”hackare” dumpat ut en hel användardatabas med användarnamn och lösenordshashar. Intet nytt under solen. Det enda som ändras i namnen på de ”hackade” sajterna.

Anledningen till att jag skriver ”hackare” med apostrofer är den att med största sannolikhet så var det inte ens avancerat, utan det gick nog till och med att använda fina GUIn för att få ut datan och med det säger jag inget om hur kompetent hackaren är utan mer hur inkompetent utvecklarna av sajterna är eller för att inte slå på de som ligger, de som varken får tid eller betalt för att säkra koden.

Observera nu att bara för att lösen orden är hashade så betyder det inte att lösenorden INTE är knäckta (dubbla negationer, jag vet). Med program från t.ex. Elcomsoft så är den biffen snabbt löst.

Så de stora frågorna är hur många gånger ska detta ske innan vi konsumenter ställer krav på leverantören, i detta fall en webbsajt, att våran information ska sparas på ett säkert sätt. Där säkerheten på något sätt också är verifierad

När ska utvecklare får betalt och tid för att säkerställa att koden är säker. För varför betala för något som inte händer. Det tog ju 15 år innan jag för första gången behövde ett säkerhetsbälte, så varför ska jag betala för det innan.

När ska det bli ett krav i Sverige att om en sajt, leverantör eller dyrligt blir hackat, så ska jag, som konsument, bli informerad om att min data (personnummer, email, lösenord) kan vara uthämtad av en icke av mig godkänd person? Och med det så menar jag att om jag skapar ett konto på en sajt så innebär det att administratören för den sajt har full tillgång till min data.

Så nu är det bara att välja. Antingen lutar vi oss tillbaka och väntar på nästa ”nyhet” eller så ifrågasätter vi och ställer krav.

Jag vet att det inte alltid är lätt, men kom ihåg att konsumenten har alltid rätt och ha inte samma lösen på alla inloggningar.

PS. Sido spår på ämnet. ” Innebär det att administratören för den sajt har full tillgång till min data”? Hade mail hos spray förut och upptäckte till min förvåning att när jag ringde in till supporten så såg dom mitt lösenord i klarttext. Det kan vara svårt att veta sådan innan man upptäcker det men efter den incidenten säkerställde jag att alla min lösenord var olika. Använd t.ex. PasswordSafe för att hålla koll.

Länk

http://www.aftonbladet.se/nyheter/article13838087.ab

http://www.elcomsoft.com/edpr.html

http://passwordsafe.sourceforge.net/

Start

Detta är ett första blogginlägg och blir lite av test hur verktygen fungerar, men jag tänkte också ta tillfället i akt att berätta lite om vad bloggen kommer att handla om.

Fokus kommer att hamna, av naturliga själ, på IT-säkerhetsrelaterade frågor, men även samhällesfrågor och förändrafrågor.

Mycket nöje.

/Karl