Tietoturvauutiset ja blogipostaukset

=JP= sanoi:
Saapas nähdä, onko tällä positiivista vaikutusta tulevaisuutta ajatellen, vai ilmestyykö kohta markkinoille ties mitä "tietoturva" kouluttajia viemään rahoja...
www.yrittajat.fi

Tietoturvaseteli tulee: Tämä siitä kannattaa tietää

Valtioneuvosto on antanut asetuksen tietoturvan kehittämisen tuesta eli niin kutsutusta tietoturvasetelistä.
www.yrittajat.fi www.yrittajat.fi
Määräaikaisella tuella yritykset voivat parantaa järjestelmiensä tietoturvaa ja kehittää tietoturvaosaamistaan.
Tietoturvaseteli on suunnattu yhteiskunnan toiminnan kannalta kriittisten alojen yrityksille.
Uusi asetus tulee voimaan 1. joulukuuta, jolloin tietoturvan kehittämisen tukea voi hakea Liikenne- ja viestintäviraston Kyberturvallisuuskeskukselta.
Napsauta laajentaaksesi...
Iänkaikenhan niitä erinäisiä helppoheikkejä on konsulttipuolella ollut, ettei sinäänsä ihmetyttäisi.

Itse olen omassa työssä joutunut tekemään myös erilaisten isojen asiakkaiden pakollisia tietoturvakoulutuksia ja vuosien mittaan nuo ovat kehittyneet sisällön puolesta melko vähän. Erilaiset tekniset ratkaisut taustalla ovat kyllä vuosien mittaan parantunut mutta ilmeisesti edelleen tietoturvan pahin vihollinen on käyttäjä itse.
 
Mulla kävi tällainen tapaus. Poistin maksullisen virustorjuntaohjelman ja se kertoi vielä, että meillä tulee sinua ikävä. Laitoin defenderin tilalle, niin eikö mitä virustorjunta firmalta tuli vuoden kuluttua ilmoitus, että olemme laskuttaneet luottokortilta vuoden maksun. Pankki neuvoi vaihtamaan pankkikortin uuteen, niin sitten laskutus loppuu. Tein niin ja eikö mitä, vuoden kuluttua tuli taas ilmoitus, että olemme laskuttaneet luottokorttianne. Soitin taas pankkiin, jossa sanoivat, että uusitaan kortti nyt niin, että varmasti laskutus loppuu. Kysyin, että miten ne ovat voineet löytää minun uusitun kortin tiedot. Pankin virkailija sanoin, että vanhasta kortista menee joitain tietoja uudelle kortille ja sen avulla ovat ehkä saaneet tiedon uudesta kortista. En kysynyt tarkemmin, kun pankin virkailija oli niin vaivautunut. Sanoi sitten, että nyt uusitaan kortti niin, että mitään tietoja ei siirry uuteen korttiin. Osaako täällä kukaan sanoi, miten tuon uusitun kortin virustorjunta firma on voinut selvittää? Siinä kai menee uuteen korttiin joitakin tietoja. Jotenkin kai sen avulla ovat löytäneet uuden kortin tiedot. Nyt odottelen ensi syksyä, että tuleeko taas lasku. Tuo on ulkomainen firma eikä siihen saa millään yhteyttä, vaikka linkkejä tarjoavat, mutta ne eivät johda minnekään.
 
simu2020 sanoi:
Mulla kävi tällainen tapaus. Poistin maksullisen virustorjuntaohjelman ja se kertoi vielä, että meillä tulee sinua ikävä. Laitoin defenderin tilalle, niin eikö mitä virustorjunta firmalta tuli vuoden kuluttua ilmoitus, että olemme laskuttaneet luottokortilta vuoden maksun. Pankki neuvoi vaihtamaan pankkikortin uuteen, niin sitten laskutus loppuu. Tein niin ja eikö mitä, vuoden kuluttua tuli taas ilmoitus, että olemme laskuttaneet luottokorttianne. Soitin taas pankkiin, jossa sanoivat, että uusitaan kortti nyt niin, että varmasti laskutus loppuu. Kysyin, että miten ne ovat voineet löytää minun uusitun kortin tiedot. Pankin virkailija sanoin, että vanhasta kortista menee joitain tietoja uudelle kortille ja sen avulla ovat ehkä saaneet tiedon uudesta kortista. En kysynyt tarkemmin, kun pankin virkailija oli niin vaivautunut. Sanoi sitten, että nyt uusitaan kortti niin, että mitään tietoja ei siirry uuteen korttiin. Osaako täällä kukaan sanoi, miten tuon uusitun kortin virustorjunta firma on voinut selvittää? Siinä kai menee uuteen korttiin joitakin tietoja. Jotenkin kai sen avulla ovat löytäneet uuden kortin tiedot. Nyt odottelen ensi syksyä, että tuleeko taas lasku. Tuo on ulkomainen firma eikä siihen saa millään yhteyttä, vaikka linkkejä tarjoavat, mutta ne eivät johda minnekään.
Napsauta laajentaaksesi...
Sulta vaan unohtui kertoa että mikä ohjelma kyseessä oli. Näin niinkuin ihan vaan hyödyllisyyden kannalta.
 
simu2020 sanoi:
Mulla kävi tällainen tapaus. Poistin maksullisen virustorjuntaohjelman ja se kertoi vielä, että meillä tulee sinua ikävä. Laitoin defenderin tilalle, niin eikö mitä virustorjunta firmalta tuli vuoden kuluttua ilmoitus, että olemme laskuttaneet luottokortilta vuoden maksun. Pankki neuvoi vaihtamaan pankkikortin uuteen, niin sitten laskutus loppuu. Tein niin ja eikö mitä, vuoden kuluttua tuli taas ilmoitus, että olemme laskuttaneet luottokorttianne. Soitin taas pankkiin, jossa sanoivat, että uusitaan kortti nyt niin, että varmasti laskutus loppuu. Kysyin, että miten ne ovat voineet löytää minun uusitun kortin tiedot. Pankin virkailija sanoin, että vanhasta kortista menee joitain tietoja uudelle kortille ja sen avulla ovat ehkä saaneet tiedon uudesta kortista. En kysynyt tarkemmin, kun pankin virkailija oli niin vaivautunut. Sanoi sitten, että nyt uusitaan kortti niin, että mitään tietoja ei siirry uuteen korttiin. Osaako täällä kukaan sanoi, miten tuon uusitun kortin virustorjunta firma on voinut selvittää? Siinä kai menee uuteen korttiin joitakin tietoja. Jotenkin kai sen avulla ovat löytäneet uuden kortin tiedot. Nyt odottelen ensi syksyä, että tuleeko taas lasku. Tuo on ulkomainen firma eikä siihen saa millään yhteyttä, vaikka linkkejä tarjoavat, mutta ne eivät johda minnekään.
Napsauta laajentaaksesi...
Visa ja MasterCard tarjoavat tuommoista palvelua yrityksille. Tarkoitus on se jos vaikka Netflix käyttää eikä muista päivittää korttia niin ne tiedot päivittyvät sinne automaattisesti. Identify Merchants Receiving Automatic Card Updates
 
simu2020 sanoi:
Mulla kävi tällainen tapaus. Poistin maksullisen virustorjuntaohjelman ja se kertoi vielä, että meillä tulee sinua ikävä. Laitoin defenderin tilalle, niin eikö mitä virustorjunta firmalta tuli vuoden kuluttua ilmoitus, että olemme laskuttaneet luottokortilta vuoden maksun. Pankki neuvoi vaihtamaan pankkikortin uuteen, niin sitten laskutus loppuu. Tein niin ja eikö mitä, vuoden kuluttua tuli taas ilmoitus, että olemme laskuttaneet luottokorttianne. Soitin taas pankkiin, jossa sanoivat, että uusitaan kortti nyt niin, että varmasti laskutus loppuu. Kysyin, että miten ne ovat voineet löytää minun uusitun kortin tiedot. Pankin virkailija sanoin, että vanhasta kortista menee joitain tietoja uudelle kortille ja sen avulla ovat ehkä saaneet tiedon uudesta kortista. En kysynyt tarkemmin, kun pankin virkailija oli niin vaivautunut. Sanoi sitten, että nyt uusitaan kortti niin, että mitään tietoja ei siirry uuteen korttiin. Osaako täällä kukaan sanoi, miten tuon uusitun kortin virustorjunta firma on voinut selvittää? Siinä kai menee uuteen korttiin joitakin tietoja. Jotenkin kai sen avulla ovat löytäneet uuden kortin tiedot. Nyt odottelen ensi syksyä, että tuleeko taas lasku. Tuo on ulkomainen firma eikä siihen saa millään yhteyttä, vaikka linkkejä tarjoavat, mutta ne eivät johda minnekään.
Napsauta laajentaaksesi...

Toi kuulostaa omaan korvaan siltä, että pankki mokas ja on sitä kautta korvaus velvollinen asiassa. Edellyttää tietenkin, että sulla on näyttää toteen, että tilaus on katkaistu. Ei ole pankin asiakkaan ongelma, jos pankki vuotaa tietoja firmalle ja jatkaa laskutusta sitä kautta, vaikka asiakas on katkaissut tilauksen firman tuotteesta X.

Vaaditko muuten firmalta, tai pankilta rahojen palautusta?
 
leripe sanoi:
Suositus on olla käyttämättä Microsoftin tarjoamaa sähköpostisalaus ominaisuutta.

https://labs.withsecure.com/advisor...message-encryption-insecure-mode-of-operation
Napsauta laajentaaksesi...
Jos oikein ymmärsin niin salaus ei suoranaisesti vuoda, vaan sitä että salataan palasina, joka voi helpottaa osittaista murtamista. Ominaisuuden käyttämättä jättäminen taasen tarkoittaa että viestit on selkokielisiä.

Jos vastuussa organisaation tietoturvasta, niin kannattaa toki selivitellä riskit, ennen kuin postaa käyttäjille käyttökiellosta.
Siinä sitten onkin selviteltävää onko kukaan käyttänyt niin että GDPR alaista vuotia tullut.
 
Tuo tapaus oli vain sellainen, että kun olin lopettamassa tuota virusturvaa, niin yritin löytää miten poistan sen, että ei jatku tilaus. Ajattelin sitten, että kyllä ohjelman poisto riittää. Tuo kun sitten lähettivät jatko veloituksen, niin siinä oli ruksattuna jatkuva tilaus. Sen poistamisen firma oli hoitanut niin, että kun sitä yrittää ruksia pois, niin tulee ponnahdusikkuna jossa voi ruksin poistaa. Monet selaimet taas estävät ponnahdusikkunat, joten sitä ei aina näe. Tuo käytäntöhän kertoo, että firma ei haluakaan, että asiakas pääsee sen poistamaan ja vaikka poistais sen, niin mikään ei takaa, etteikö firman ohjelma laita sitä takaisin. Tämän takia pankki ei lähtenyt viemään asiaa eteenpäin, ymmärsin, että tuota oli joskus yritetty, mutta kun firma esittää, että on jatkuva tilaus, niin ei kai siinä voi silloin mitään. Kaikkiaaan ihan rikollista toimintaa. Lisäksi sieltä ei koskaan tullut mitään vastinetta tai mitään tietoa mistään. Virusohjelma oli valmiina uudessa koneessa ja kun tarjosivat eka vuotena edullisesti, niin otin sen. Harva tavan tallaaja heti aluksi poistaa koneesta virusturvan, vaan monet ottavat sen mikä koneessa tulee mukana. Virusfirma oli McAfee, enkä enää koskaan oli missään tekemisessä ko. firmaan. Netissä on paljon kysymyksiä, että miten voi lopettaa McAfeen tilauksen eli ongelma on hyvin tiedossa.
 
Viimeksi muokattu:
simu2020 sanoi:
Tuo tapaus oli vain sellainen, että kun olin lopettamassa tuota virusturvaa, niin yritin löytää miten poistan sen, että ei jatku tilaus. Ajattelin sitten, että kyllä ohjelman poisto riittää. Tuo kun sitten lähettivät jatko veloituksen, niin siinä oli ruksattuna jatkuva tilaus. Sen poistamisen firma oli hoitanut niin, että kun sitä yrittää ruksia pois, niin tulee ponnahdusikkuna jossa voi ruksin poistaa. Monet selaimet taas estävät ponnahdusikkunat, joten sitä ei aina näe. Tuo käytäntöhän kertoo, että firma ei haluakaan, että asiakas pääsee sen poistamaan ja vaikka poistais sen, niin mikään ei takaa, etteikö firman ohjelma laita sitä takaisin. Tämän takia pankki ei lähtenyt viemään asiaa eteenpäin, ymmärsin, että tuota oli joskus yritetty, mutta kun firma esittää, että on jatkuva tilaus, niin ei kai siinä voi silloin mitään. Kaikkiaaan ihan rikollista toimintaa. Lisäksi sieltä ei koskaan tullut mitään vastinetta tai mitään tietoa mistään. Virusohjelma oli valmiina uudessa koneessa ja kun tarjosivat eka vuotena edullisesti, niin otin sen. Harva tavan tallaaja heti aluksi poistaa koneesta virusturvan, vaan monet ottavat sen mikä koneessa tulee mukana. Virusfirma oli McAfee, enkä enää koskaan oli missään tekemisessä ko. firmaan. Netissä on paljon kysymyksiä, että miten voi lopettaa McAfeen tilauksen eli ongelma on hyvin tiedossa.
Napsauta laajentaaksesi...

Ohjelman poistohan ei poista tilausta yleensäkään. Mutta mitä itse koittaisin, on ottaa yhteyttä noiden tukeen, kun nähtävästi kertovat, että sitä kautta voi hakea refundia. Siellä näytti olevan vaihtoehto "unexpected renewal" tjsp.


(Ei videon perusteella muuten ole ponnahdusikkuna vaan overlay elementti, jonka selaimet kyllä näyttää)
 
Tuo ohjelman poistaminen ja sen perusteella olettaminen että myös jatkuva tilaus peruuntuu on vähän sama kuin että poistaisi netflixin sovelluksen puhelimesta ja olettaisi että tilaus päättyy samalla.
 
Mää en usko mihinkään, mitä McAfee kirjoittaa. Yritin todella eri vaihtoehdoilla yhteyttä, mutta mikään linkki ei johtanut mihinkään. Jos tämä toimisi, niin ei kai maailmalla olis niin paljon kysymyksiä tuon tilauksen päättämisestä. Eihän tuossa suurista summista oli kyse, mutta harmittaa, kun tulee huijatuksi. Netissä on myös ohjeita siitä, kuinka helppoa tilauksen päättäminen on, siis varmaan McAfeen kirjoittamana, mutta käytäntö on sitten toista. Nythän luottokorttien voimassaolo päättyy joskus kaikilla ja tilataan uusi ja harvoin kukaan muistaa ilmoittaa uuden kortin tietoja eli McAfee jotenkin hoitaa homman niin, että selvittävät uuden kortin tiedot ja laskutus jatkuu. Tuo olis mukava tietää, miten tuon homman tekevät, nehän tietävät tietotekniikasta kuitenkin kaiken.
 
simu2020 sanoi:
Nythän luottokorttien voimassaolo päättyy joskus kaikilla ja tilataan uusi ja harvoin kukaan muistaa ilmoittaa uuden kortin tietoja eli McAfee jotenkin hoitaa homman niin, että selvittävät uuden kortin tiedot ja laskutus jatkuu. Tuo olis mukava tietää, miten tuon homman tekevät, nehän tietävät tietotekniikasta kuitenkin kaiken.
Napsauta laajentaaksesi...
Sinulle jo kertaalleen kerrottiin miten tuo luultavasti tapahtui, koska luottokorttiyhtiöt mahdollistavat nykyään tuollaisen palvelun...
 
Sitten tälläinen uutinen, kertoo taasen miten pihalla monet päättäjätkin ovat tietoturva asioissa...
www.iltalehti.fi

Kansanedustaja käyttää metron avointa wifiä – ”Tämän on oltava vitsi”

Vasemmistoliiton kansanedustaja Anna Kontulan Twitter-avaus on aiheuttanut kummastusta. Tietoturva-asiantuntija pitää toimintaa hälyttävänä.
www.iltalehti.fi www.iltalehti.fi

Mitähän päivityksiä siellä muka on ollut, jotka ei mobiilidatan yli ole onnistunut (vieläkö iPhone estää käyttöjärjestelmä päivitykset Suomessa mobiilidatan kautta?).

Mutta kyllä nyt pitäisi olla sen verta järkeä päässä, että työpuhelimella ei p*rseillä, etenkin jos kyse jostain maan hallituksen tietoturvasta. Mutta onhan näitä tapauksia nähty jatkuvasti ympäri maailmaa tapahtuvan...
Älypuhelin on kirous mielestäni, kun kyse on erittäin tärkeistä/salaisista asioista monessakin tapauksessa.
 
=JP= sanoi:
Sitten tälläinen uutinen, kertoo taasen miten pihalla monet päättäjätkin ovat tietoturva asioissa...
https://www.iltalehti.fi/digiuutiset/a/4a2b8852-2674-4051-9a82-e5f99df5eb59

Mitähän päivityksiä siellä muka on ollut, jotka ei mobiilidatan yli ole onnistunut (vieläkö iPhone estää käyttöjärjestelmä päivitykset Suomessa mobiilidatan kautta?).

Mutta kyllä nyt pitäisi olla sen verta järkeä päässä, että työpuhelimella ei p*rseillä, etenkin jos kyse jostain maan hallituksen tietoturvasta. Mutta onhan näitä tapauksia nähty jatkuvasti ympäri maailmaa tapahtuvan...
Älypuhelin on kirous mielestäni, kun kyse on erittäin tärkeistä/salaisista asioista monessakin tapauksessa.
Napsauta laajentaaksesi...
Tuossa osoittaisin ko laitoksen tieturvaosastoa, ne jotka ylläpitää laitteita. Jos firman laitteella sallittu avoimien wifi verkkojen käyttö, niin se on harkittu päätös, tai ainakin pitäisi olla harkittu, johon ehkä kuuluu jotain muitakin tekijöitä.

Tosin en ihan varma mitä tuossa avoimella tarkoitetaan, No jos käyttäjä voi liittyä vapaasti ns suljettuihin WLAN verkkoihin, niin se on riski, onko isoa riski eroa johonkin metroverkkoon. (en nyt osaa sano miten se metron avoin on toteutettu)
 
Avoimet langattomat verkot, siis salaamattomat, missä muut saman verkon käyttäjät näkevät verkkoliikenteesi, ei ole enää niin iso ongelma kuin joskus muinoin. Tänä päivänä käytönnässä kaikki verkkoliikenne on HTTPS-salattua.
 
Infy sanoi:
Avoimet langattomat verkot, siis salaamattomat, missä muut saman verkon käyttäjät näkevät verkkoliikenteesi, ei ole enää niin iso ongelma kuin joskus muinoin. Tänä päivänä käytönnässä kaikki verkkoliikenne on HTTPS-salattua.
Napsauta laajentaaksesi...
Se salaa sisältöä, mutta paljon selkokielistä.

Tosin siihen aikaan kun liikenne sisältöineen kulki salaamatta, mm sähköpostit, niin siihen verrattuna toki eri. Ei mene läpi jos väittää twitterin tilin kaapatun tuon takia....

Noissa käyttäjä voi vapaasti liittyä verkkoihin saattaa tarkoittaa myös sitä että vihollinen voi tehtä feikki tukiasemia, esim kohteen kodin tuntumaan ja kohde liittyykin kotiverkon sijaan vihamieliseen verkkoon, jolloin paljon enemmän välineitä vs kuunelle jotain liikennettä.

Tosin lähtökohta noissa työntekijöiden kotiin kannettavissa laitteissa että ne ovat yhteydessä verkkoon jossa oletetaan olevan vihamielinen tahoa. (jos siis laitteella voi ja saa liittyä julkiseen nettiin)
 
pulatunnus sanoi:
Se salaa sisältöä, mutta paljon selkokielistä.
Napsauta laajentaaksesi...
DNS taitaa olla suurin jäljellä oleva (DoH:ia ja DoT:ia on ainakin itselle tullut vastaan toistaiseksi aika vähän). Ja jos on työpaikan puolesta VPN aina päällä niin ongelma on aika olematon. Valtiolliset toimijat voivat kuitenkin hyökätä ihan WPA2-verkkojakin vastaan, ja WPA3:sta näkyy harmillisen vähän missään.
 
Ensi viikolla on luvassa päivitys OpenSSL:n 3-versiolle. Päivityksessä korjataan kriittinen tietoturva-aukko, jonka tarkemmat tiedot selviävät vasta päivityksen julkaisun yhteydessä.
www.zdnet.com

OpenSSL warns of critical security vulnerability with upcoming patch

We don't have the details yet, but we can safely say that come Nov. 1, everyone -- and I mean everyone -- will need to patch OpenSSL 3.x.
www.zdnet.com www.zdnet.com
 
Agent_007 sanoi:
Ensi viikolla on luvassa päivitys OpenSSL:n 3-versiolle. Päivityksessä korjataan kriittinen tietoturva-aukko, jonka tarkemmat tiedot selviävät vasta päivityksen julkaisun yhteydessä.
www.zdnet.com

OpenSSL warns of critical security vulnerability with upcoming patch

We don't have the details yet, but we can safely say that come Nov. 1, everyone -- and I mean everyone -- will need to patch OpenSSL 3.x.
www.zdnet.com www.zdnet.com
Napsauta laajentaaksesi...
Muutamia linkkejä (DAILY NCSC-FI NEWS FOLLOWUP 2022-10-28):

Web Application Security, Testing, & Scanning - PortSwigger

PortSwigger offers tools for web application security, testing, & scanning. Choose from a range of security tools, & identify the very latest vulnerabilities.
portswigger.net portswigger.net
isc.sans.edu

InfoSec Handlers Diary Blog - SANS Internet Storm Center

Upcoming Critical OpenSSL Vulnerability: What will be Affected?, Author: Johannes Ullrich
isc.sans.edu isc.sans.edu
 
Viimeksi muokattu:
Jahas

Tämän sisällön näkemiseksi tarvitsemme suostumuksesi kolmannen osapuolen evästeiden hyväksymiseen.
Lisätietoja löydät evästesivultamme.



Yli 200 000 suomalaisen Linkedin-käyttäjän tietoja jaettu hakkerifoorumilla

Yli 200 000 suomalaisen Linkedin-käyttäjän tietoja on jaettu hakkerifoorumilla, kertoo F-Secure.

F-Securen mukaan tietoihin kuuluu muun muassa nimiä, puhelinnumeroita ja sähköpostiosoitteita.

F-Securen mukaan tietoja voidaan käyttää hyväksi esimerkiksi tietojenkalasteluun, jolla pyritään saamaan tilitietoja tai muita arkaluonteisia tietoja.
Napsauta laajentaaksesi...
 
Taitaa olla perus alustan raivausta ja "julkisten" tietojen indeksointia. Muistaakseni tästä oli vastaava case joskus aiemminkin.

Luultavasti tästä aiheutuu jonkinlainen kalasteluviestien hyökkäysaalto.
 
user9999 sanoi:
Muutamia linkkejä (DAILY NCSC-FI NEWS FOLLOWUP 2022-10-28):

Web Application Security, Testing, & Scanning - PortSwigger

PortSwigger offers tools for web application security, testing, & scanning. Choose from a range of security tools, & identify the very latest vulnerabilities.
portswigger.net portswigger.net
isc.sans.edu

InfoSec Handlers Diary Blog - SANS Internet Storm Center

Upcoming Critical OpenSSL Vulnerability: What will be Affected?, Author: Johannes Ullrich
isc.sans.edu isc.sans.edu
Napsauta laajentaaksesi...
Päivittyvä lista OpenSSL 3.0.0 - 3.0.6 haavoittuvista laitteista.
github.com

OpenSSL-2022/software/README.md at main · NCSC-NL/OpenSSL-2022

Operational information regarding CVE-2022-3602 and CVE-2022-3786, two vulnerabilities in OpenSSL 3 - NCSC-NL/OpenSSL-2022
github.com github.com
Tänään julkaistaan klo. 15-19 Suomen aikaa korjaus 3.0.7. Saa nähdä milloin päivitys on saatavilla esim. Ubuntu 22.04 LTS versioon.
 
user9999 sanoi:
Päivittyvä lista OpenSSL 3.0.0 - 3.0.6 haavoittuvista laitteista.
github.com

OpenSSL-2022/software/README.md at main · NCSC-NL/OpenSSL-2022

Operational information regarding CVE-2022-3602 and CVE-2022-3786, two vulnerabilities in OpenSSL 3 - NCSC-NL/OpenSSL-2022
github.com github.com
Tänään julkaistaan klo. 15-19 Suomen aikaa korjaus 3.0.7. Saa nähdä milloin päivitys on saatavilla esim. Ubuntu 22.04 LTS versioon.
Napsauta laajentaaksesi...
OpenSSL CVE-2022-3786 ja CVE-2022-3602

Vulnerabilities | OpenSSL Library

www.openssl.org

CVE-2022-3786 and CVE-2022-3602: X.509 Email address buffer overflows | OpenSSL Library

www.openssl.org

www.kyberturvallisuuskeskus.fi

Kaksi vakavaa haavoittuvuutta OpenSSL 3.0 -versiossa | Kyberturvallisuuskeskus

Tietojen salaamiseen ja salattuun välittämiseen käytetyn OpenSSL-kirjaston versiosta 3.0 on löydetty kaksi vakavaa haavoittuvuutta. Uusin versio 3.0.7 on syytä päivittää mahdollisimman pian. Haavoittuvuudet eivät koske vanhempia 1.1.1 tai sitä edeltäneitä versioita.
www.kyberturvallisuuskeskus.fi www.kyberturvallisuuskeskus.fi
 
Viimeksi muokattu:
Eipä se ollutkaan niin iso reikä mitä maalailtiin.

"Actually exploiting this will be really really hard even for very competent exploit writers, and will require a large number of relatively unlikely scenarios to all align for the exploit writer for it to pan out"

www.theregister.com

OpenSSL downgrades horror bug after week of speculation

Relax, there's more chance of Babbage coming back to life to hack your system than this flaw being exploited
www.theregister.com www.theregister.com
 
Humanoid sanoi:
Tämä ei varmaan tullut kellekään yllätyksenä, mutta TikTokilla on varsin vapaa pääsy myös eurooppalaisten dataan:
yro.slashdot.org

TikTok Tells European Users Its Staff in China Get Access To Their Data - Slashdot

TikTok is spelling out to its European users of the platform that their data can be accessed by employees outside the continent, including in China, amid political and regulatory concerns about Chinese access to user information on the site. From a report: The Chinese-owned social video app is...
yro.slashdot.org
Napsauta laajentaaksesi...

Voipi olla vain että EU sanoo tähän lopulta oman sanansa, GDPR ja tiedonsäilyvyys EU:n sisällä ja sillain, tai jos on rahaa kuin roskaa niin kuukausittain voi tiktok maksaa GDPR mätkyt.
 
JiiPee sanoi:
Sitten null reititys toktikin palvelimille euroopan laajuisesti niin homma loppuu siihen.
Napsauta laajentaaksesi...
Käytännössä ei.

Aluksi riittää että tiktok vaan vakuuttaa ettei enää tehdä niin. Jos selviä todisteita datan virtaamidesta kiinaan pystytään keräämään luokkaa vuoden ajan tuon jälkeenkin, byrokratian rattaat lähtee pyörimään.

Siellä on ensin virallisia kirjeitä, vuoden oikeudessa väännön jälkeen jotain uhkasakkoja, ja uhkasakon lankeamisen jälkeen sitä koitetaan periä, jonka jälkeen oikeusruljannssi taas alusta jolla se tiktok oikeasti koitetaan piilottaa.

Käytännössähän sitä ei voida estää, mutta sinne tiktokiin pääseminen voidaan tehdä peruskäyttäjälle hankalaksi, joka tietysti tässä tapauksessa riittää.

Käytännössä tietysti koko tiktok voi olla käytännössä kuollut 5 vuoden aikana.
 
Pakana sanoi:
Käytännössä ei.

Aluksi riittää että tiktok vaan vakuuttaa ettei enää tehdä niin. Jos selviä todisteita datan virtaamidesta kiinaan pystytään keräämään luokkaa vuoden ajan tuon jälkeenkin, byrokratian rattaat lähtee pyörimään.

Siellä on ensin virallisia kirjeitä, vuoden oikeudessa väännön jälkeen jotain uhkasakkoja, ja uhkasakon lankeamisen jälkeen sitä koitetaan periä, jonka jälkeen oikeusruljannssi taas alusta jolla se tiktok oikeasti koitetaan piilottaa.

Käytännössähän sitä ei voida estää, mutta sinne tiktokiin pääseminen voidaan tehdä peruskäyttäjälle hankalaksi, joka tietysti tässä tapauksessa riittää.

Käytännössä tietysti koko tiktok voi olla käytännössä kuollut 5 vuoden aikana.
Napsauta laajentaaksesi...

No kyllä noita näemmä maaliin asti saadaan ('vastikään' Instagram):

Record fine for Instagram following EDPB intervention | European Data Protection Board

edpb.europa.eu edpb.europa.eu
techcrunch.com

Instagram fined ~$403M in EU over children's privacy

A fat fine -- of €405 million -- is headed Instagram's way after European Union privacy regulators came to a decision on a long-running complaint related
techcrunch.com techcrunch.com

TikTokinkin tutkinta on käynnissä, vaikka siinä toki vielä kestää
techcrunch.com

Ireland probes TikTok's handling of kids' data and transfers to China | TechCrunch

Ireland's Data Protection Commission (DPC) has yet another Big Tech GDPR probe to add to its pile: The regulator said yesterday it has opened two
techcrunch.com techcrunch.com
 
Googlelta on tullut hyvä dokumenttisarja tietoturvasta ja siitä miten Google turvaa omia palveluitaan. Jokainen jakso liittyy yhteen Googlella työskentelevään tiimiin ja samoin noissa käydään isompia keissejä läpi. Vahvat suosittelut.

Tämän sisällön näkemiseksi tarvitsemme suostumuksesi kolmannen osapuolen evästeiden hyväksymiseen.
Lisätietoja löydät evästesivultamme.
 
blog.lastpass.com

Security Incident December 2022 Update - LastPass

We are working diligently to understand the scope of the incident and identify what specific information has been accessed.
blog.lastpass.com blog.lastpass.com
We have determined that an unauthorized party, using information obtained in the August 2022 incident, was able to gain access to certain elements of our customers’ information. Our customers’ passwords remain safely encrypted due to LastPass’s Zero Knowledge architecture.
Napsauta laajentaaksesi...
 
Ilmeisesti Androidin certejä vuotanu ja niitä käytetty malwaren allekirjoittamiseen. Jos nyt oikein ymmärsin niin vuotaneilla certeillä allekirjotetut ohjelmat voivat ajaa itseään käyttöjärjestelmän oikeuksin.

100 - apvi - Android Partner Vulnerability Initiative - Monorail

bugs.chromium.org bugs.chromium.org

Edit: Jos tuosta bugisivulta nyt oikein ymmärtää, on tämä vissiin ollut jo joitakin kuukausia sisäisesti tiedossa ja nyt vasta julkaistu, eli ehkä on korjattukkin jo nykyisistä android versioista, jos vaan päivitykset on ihmisillä ajantasalla.
 
Viimeksi muokattu:
teppomies sanoi:
Ilmeisesti Androidin certejä vuotanu ja niitä käytetty malwaren allekirjoittamiseen. Jos nyt oikein ymmärsin niin vuotaneilla certeillä allekirjotetut ohjelmat voivat ajaa itseään käyttöjärjestelmän oikeuksin.
Napsauta laajentaaksesi...
Tämähän kuullostaa ihan siltä millä devaajat voisi tehdä oikeita älypuhelin sovelluksia.


Edit, io-tech oli tehnyt asiasta uutisen jossa kerrottu seikkaperäisemmin mistä kyse

FlyingAntero sanoi:
Googlen palveluksessa työskentelevä insinööri Łukasz Siewierski on havainnut joidenkin OEM-valmistajien käyttämien Android-alustan allekirjoitusvarmenteiden vuotaneen vääriin käsiin. Vuoto on mahdollistanut haittaohjelmien allekirjoittamisen OEM-valmistajien varmententeilla, mikä on tehnyt haitallisten sovellusten tunnistamisesta haastavaa. Koska kyseessä on koko Android-alustan allekirjoitusvarmenne, voidaan samalla varmenteella allekirjoitetulle haittaohjelmalle myöntää koko järjestelmätason käyttöoikeudet. Alla on lueteltu vuodetuilla varmenteilla allekirjoitettuja haittaohjelmia mutta periaatteessa vuoto mahdollistaa myös OEM-valmistajien omien sovellusten saastuttamisen. Allekirjoituksen jälkeen sovellus vaikuttaa turvalliselta ja asentuu päivityksenä edellisen version päälle, minkä jälkeen käyttäjän on liki mahdotonta havaita saastunutta sovellusta.
  • com.russian.signato.renewis
  • com.sledsdffsjkh.Search
  • com.android.power
  • com.management.propaganda
  • com.sec.android.musicplayer
  • com.houla.quicken
  • com.attd.da
  • com.arlo.fappx
  • com.metasploit.stage
  • com.vantage.ectronic.cornmuni
Toistaiseksi vuodettuja varmenteita on havaittu muun muassa Samsungilta, LG:ltä ja MediaTekiltä. Google on ollut valmistajiin jo yhteydessä ja pyytänyt heitä uusimaan kyseiset varmenteet. APKMirrorin tietokannan perusteella esimerkiksi Samsung on kuitenkin jatkanut vuodettujen varmenteiden käyttämistä viime päiviin asti. Lisäksi Google kehottaa valmistajia harkitsemaan jatkossa tarkemmin, kuinka usein koko Android-alustan allekirjoitusvarmenteita käytetään yksittäisten sovellusten kohdalla.

Googlen mukaan Play Kaupasta ladatut sovellukset ovat turvallisia mutta OEM-valmistajien tai muiden osapuolten kauppapaikoista ladatut sovellukset saattavat olla saastuneita, sillä varmenteen perusteella sovellukseen ei voida enää luottaa. Esimerkiksi APKMirrror luokittelee sovelluksen turvalliseksi käytetyn allekirjoitusvarmenteen perusteella. Jatkossa käyttäjän tuleekin pitää kaikkia vuodetuilla varmenteilla allekirjoitettuja sovelluksia potentiaalisesti saastuneina.
Screenshot_20221202-132900_Chrome_1.jpg

Lähteet:
Napsauta laajentaaksesi...

No hyvis ilmeisesti joutuu ne certit kaivaan hämäriltä kujilta.
 
Viimeksi muokattu:
Apple parantaa iCloud palvelujensa tietoturvaa. Lähinnä lisää end-to-end salausta iCloudin eri juttuihin.
mobiili.fi

Applelta toivottu parannus tietoturvaan: iCloud-pilvipalvelussa saa pian laajemmin käyttöön päästä päähän -salauksen – kohuttu ”lapsipornoskannaus” kuopattiin samalla

Apple on tänään julkistanut tietoturvaa parantavia uudistuksia palveluihinsa ja ohjelmistoihinsa. Tärkein uudistuksista on valinnainen iCloud-pilvipa
mobiili.fi mobiili.fi
www.apple.com

Apple advances user security with powerful new data protections

iMessage Contact Key Verification, Security Keys, and Advanced Data Protection for iCloud provide users important new tools to protect data.
www.apple.com

iCloud already protects 14 sensitive data categories using end-to-end encryption by default, including passwords in iCloud Keychain and Health data. For users who enable Advanced Data Protection, the total number of data categories protected using end-to-end encryption rises to 23, including iCloud Backup, Notes, and Photos. The only major iCloud data categories that are not covered are iCloud Mail, Contacts, and Calendar because of the need to interoperate with the global email, contacts, and calendar systems.

Edit: Päivitetty iCloudin suojaus artikkeli (Standard ja Advanced data protection)

iCloud data security overview

iCloud uses strong security methods, employs strict policies to protect your information, and leads the industry in using privacy-preserving security technologies like end-to-end encryption for your data.
support.apple.com
 
Viimeksi muokattu:
Niin monta kertaa kun tässäkin keskustelussa on jauhettu salasanoista, niin nyt ne on vihdoinkin historiaa? Chromeen tuli login manageri, jolla kirjautuminen on helppoa ja turvallista:
blog.chromium.org

Introducing passkeys in Chrome

We announced in October that passkey support was available in Chrome Canary. Today, we are pleased to announce that passkey support is now ...
blog.chromium.org blog.chromium.org

Sekä keskustelu aiheesta, joka on pyörinyt jo kolmisen vuotta. Mutta tämän verran se vaati aikaa, että saatiin tuotua suoraan selaimeen nuo ominaisuudet laajasti tuettuna:

FIDO2, WebAuthn, Passwordless ja Passkeys

Tetasin tässä päivänä eräänä uusia FIDO2 tokeneita, sekä SoloKeyssiltä, että eWBM:ltä ja nuo parantavat kyllä käyttäjätunnusten hallintaa ja tietoturvaa merkittävästi. Kirjautuminen palveluihin helpottuu olennaisesti ja tietoturva paranee. Jos suinkin mahdollista unohdan vanhentuneet tekniikat...
bbs.io-tech.fi

Ja vielä Iltasanomissakin:
Chrome-selain aloitti salasanojen hylkäämisen: Tämä tulee tilalle
 
Viimeksi muokattu:
ztec sanoi:
Niin monta kertaa kun tässäkin keskustelussa on jauhettu salasanoista, niin nyt ne on vihdoinkin historiaa?
Napsauta laajentaaksesi...
Mahdollisesti joskus vielä monen monen vuoden päästä. Tämän idea ja kehityssuunta ovat oikeita, mutta niin kauan kuin tuotannossa olevat järjestelmät ja ohjelmistot eivät tue tätä, salasanoista ei olla pääsemässä eroon. Niin ärsyttäviä kuun ne ovatkin.

Microsoftin passwordless-kirjautuminenkaan ei vaikuta aiheutaneen kovinkaan suurta buumia yritysten keskuudessa. Toivotaan parasta ja sitä rataa.
 
escalibur sanoi:
Microsoftin passwordless-kirjautuminenkaan ei vaikuta aiheutaneen kovinkaan suurta buumia yritysten keskuudessa. Toivotaan parasta ja sitä rataa.
Napsauta laajentaaksesi...
Microsoftin ongelma on se, että tietoturvalla koetetaan tehdä rahaa. esim. Azure Active Directory Premium P1 / P2 maksavat molemmat, ja ovat vaatimus MFA:lle. Ymmärrän kyllä, että tuotesegmenttejä pitää olla, mutta itse en koskaan rahastaisi asiakkaita tietoturvalla, vaan muilla ominaisuuksilla.
 
Pakana sanoi:
Tietoturva on aika iso osa it teollisuutta ja sen rahantekoa.
Napsauta laajentaaksesi...
Juurikin näin. Lisäksi tuotekehitys ja asioiden pyörittäminen uskottavalla tavalla, ei vaan ole ilmaista vaikka miten kääntelisi ja ajattelisi. Ymmärrän että paremmalla tietoturvalla kaikki voittaa pitkässä juoksussa, mutta kultaisen keskitien löytäminen vasta tehtävä onkin. :)
 
www.safebreach.com

SafeBreach Labs Discovers New Zero-Day Vulnerabilities | New Research

See how the vulnerabilities were used to develop an undetectable, next-generation wiper with the potential to impact hundreds of millions of endpoints.
www.safebreach.com www.safebreach.com
I uncovered multiple zero-day vulnerabilities that I was able to use to turn endpoint detection and response (EDR) and antivirus (AV) tools into next-generation wipers with the potential to impact hundreds of millions of endpoints all around the world.
Napsauta laajentaaksesi...

This wiper runs with the permissions of an unprivileged user yet has the ability to wipe almost any file on a system, including system files, and make a computer completely unbootable. It does all that without implementing code that touches the target files, making it fully undetectable.
Napsauta laajentaaksesi...

Picture8.png
 
TenderBeef sanoi:
www.safebreach.com

SafeBreach Labs Discovers New Zero-Day Vulnerabilities | New Research

See how the vulnerabilities were used to develop an undetectable, next-generation wiper with the potential to impact hundreds of millions of endpoints.
www.safebreach.com www.safebreach.com




Picture8.png
Napsauta laajentaaksesi...
Tähän olisi kannattanut loppuun laittaa vielä, että tuo on korjattu jo ainakin kolmen valmistajan osalta...

Three of the vendors also released new versions of their software or patches to address this vulnerability:
  • Microsoft Malware Protection Engine: 1.1.19700.2
  • TrendMicro Apex One: Hotfix 23573 & Patch_b11136
  • Avast & AVG Antivirus: 22.10
 
user9999 sanoi:
Apple parantaa iCloud palvelujensa tietoturvaa. Lähinnä lisää end-to-end salausta iCloudin eri juttuihin.
mobiili.fi

Applelta toivottu parannus tietoturvaan: iCloud-pilvipalvelussa saa pian laajemmin käyttöön päästä päähän -salauksen – kohuttu ”lapsipornoskannaus” kuopattiin samalla

Apple on tänään julkistanut tietoturvaa parantavia uudistuksia palveluihinsa ja ohjelmistoihinsa. Tärkein uudistuksista on valinnainen iCloud-pilvipa
mobiili.fi mobiili.fi
www.apple.com

Apple advances user security with powerful new data protections

iMessage Contact Key Verification, Security Keys, and Advanced Data Protection for iCloud provide users important new tools to protect data.
www.apple.com

iCloud already protects 14 sensitive data categories using end-to-end encryption by default, including passwords in iCloud Keychain and Health data. For users who enable Advanced Data Protection, the total number of data categories protected using end-to-end encryption rises to 23, including iCloud Backup, Notes, and Photos. The only major iCloud data categories that are not covered are iCloud Mail, Contacts, and Calendar because of the need to interoperate with the global email, contacts, and calendar systems.

Edit: Päivitetty iCloudin suojaus artikkeli (Standard ja Advanced data protection)

iCloud data security overview

iCloud uses strong security methods, employs strict policies to protect your information, and leads the industry in using privacy-preserving security technologies like end-to-end encryption for your data.
support.apple.com
Napsauta laajentaaksesi...
Tuossa jäi vähemmälle huomiolle tuo, että pystyy estämään selaimella pääsyn iCloud.com datoihin. Advanced Data Protection ei toimi vielä Suomessa, mutta tuo iCloud.com esto toimii.

Manage web access to your iCloud data – Apple Support (UK)

Starting with iOS 16.2, iPadOS 16.2 and macOS 13.1, you can choose to turn off web access to your iCloud data.
support.apple.com support.apple.com
Kirjautuminen onnistuu selaimella iCloud.com osoitteeseen Face tai Touch ID käyttäen, mutta datoihin ei pääse kiinni ellei luotetulla laitteella sitä salli.
1672236547884.png
Harvoin tullut käytettyä tuota iCloud.com selaimella eli esto meni itsellä päälle.
 
Netgearin reitittimissä korjattu haavoittuvuus.
mobiili.fi

Käytössä Netgearin reititin? Päivitä heti – paha haavoittuvuus korjattu

Netgearin reitittimet on nyt hyvä päivittää viipymättä. Laitevalmistaja kertoo korjatuista haavoittuvuuksista. Netgear on paikannut vakavan haavoit
mobiili.fi mobiili.fi
kb.netgear.com

Security Advisory for Pre-Authentication Buffer Overflow on Some Routers, PSV-2019-0208

Associated CVE IDs: None First published: 12/28/2022 NETGEAR has released fixes for a pre-authentication buffer overflow security vulnerability on the following product models: RAX40 fixed in firmware version 1.0.2.60 RAX35 fixed in firmware version 1.0.2.60 R6400v2 fixed in firmware version...
kb.netgear.com kb.netgear.com
 
user9999 sanoi:
Netgearin reitittimissä korjattu haavoittuvuus.
mobiili.fi

Käytössä Netgearin reititin? Päivitä heti – paha haavoittuvuus korjattu

Netgearin reitittimet on nyt hyvä päivittää viipymättä. Laitevalmistaja kertoo korjatuista haavoittuvuuksista. Netgear on paikannut vakavan haavoit
mobiili.fi mobiili.fi
kb.netgear.com

Security Advisory for Pre-Authentication Buffer Overflow on Some Routers, PSV-2019-0208

Associated CVE IDs: None First published: 12/28/2022 NETGEAR has released fixes for a pre-authentication buffer overflow security vulnerability on the following product models: RAX40 fixed in firmware version 1.0.2.60 RAX35 fixed in firmware version 1.0.2.60 R6400v2 fixed in firmware version...
kb.netgear.com kb.netgear.com
Napsauta laajentaaksesi...
Oliko tämä nyt se haavoittuvuus joka edellytti että on kirjautunut roottina sisään että sitä pystyi hyödyntämään?
 
Pakana sanoi:
Oliko tämä nyt se haavoittuvuus joka edellytti että on kirjautunut roottina sisään että sitä pystyi hyödyntämään?
Napsauta laajentaaksesi...
En tarkemmin tutkinut.
www.bleepingcomputer.com

Netgear warns users to patch recently fixed WiFi router bug

Netgear has fixed a high-severity vulnerability affecting multiple WiFi router models and advised customers to update their devices to the latest available firmware as soon as possible.
www.bleepingcomputer.com www.bleepingcomputer.com
Tuossa on maininta
Attackers can exploit this flaw in low-complexity attacks without requiring permissions or user interaction.
 
Kirjaudu tai rekisteröidy kirjoittaaksesi tänne.

Uutiset

Uutisia lyhyesti

Uusimmat viestit

Statistiikka

Viestiketjuista
301 152
Viestejä
5 146 323
Jäsenet
81 952
Uusin jäsen
tto

Hinta.fi

Back
Ylös Bottom