Mittwoch, 19. September 2007

Treiber von Sicherheitssoftware gefährden Systemstabilität

Weniger Sicherheit durch Sicherheitsprodukte - ein entsprechendes Bulletin kam heute von Matousec Security mti einer eindrucksvollen Beweisführung, wie angreifbar namhafte "Sicherheitsprodukte" sind. Heise hat die Nachricht aufgegriffen und folgende in folgender Liste zusammengefasst:

Betroffen sind laut der Matousec-Analyse folgende Produkte:

  • BlackICE PC Protection 3.6.cqn
  • G DATA InternetSecurity 2007
  • Ghost Security Suite beta 1.110 and alpha 1.200
  • Kaspersky Internet Security 7.0.0.125
  • Norton Internet Security 2008 15.0.0.60
  • Online Armor Personal Firewall 2.0.1.215
  • Outpost Firewall Pro 4.0.1025.7828
  • Privatefirewall 5.0.14.2
  • Process Monitor 1.22
  • ProcessGuard 3.410
  • ProSecurity 1.40 Beta 2
  • RegMon 7.04
  • ZoneAlarm Pro 7.0.362.000

Bei den meisten Produkten handelt es sich um die aktuellen Versionen, für die es derzeit noch keine Updates gibt.

Die detaillierte Analyse einschliesslich Code-Erklärung und Analsyse-Tool findet sich hier.



Freitag, 7. September 2007

Downlad a Virus - direkt beim Anti-Virus-Hersteller

Eine nette Phishing-Variante ist gerade aufgetaucht: E-Mails mit AV-Software-Werbung (wie sie ja tatsächlich auch massenhaft von Marketing-Abteilungen der AV-Hersteller versendet werden) werben mit einer kostenlosen Version und linken auf einen sehr guten Nachbau der Trend Micro Seite. Die angebotene AV-Software enthält dann aber gleich einen Virus frei Haus, schön eingepackt in den Schutz vor "anderen" Viren...

Alles nachzulesen im Blog von Trend Micro:
http://blog.trendmicro.com/trend-micro-web-site-phished21/

Mittwoch, 5. September 2007

www.picidae.net - Content Filter Go Home

Über Sinn und Unsinn von Content Filtern lässt sich ja noch weniger streiten als über Anti-Virus Produkte. Während letztere unter bestimmten Umständen als notwendiges Übel bei gut überlegtem Einsatz noch einen Rest Sinn ergeben können, so sind Content Filter zumindest als "Wir passen auf das niemand böse Seiten sieht"-Produkte eine völlig überflüssige Security-Budget-Vernichtungsidee. Mit Angstmache-Themen wie Compliance oder am besten "Schutz schutzbedürftiger Mitarbeiter (Azubis)" wird ein Zeug verkauft, dessen primäre Auswirkung die maximale Verlangsamung des produktiven Internetzugriffs ist - nicht mehr und nicht weniger.

Netterweise haben jetzt zwei Schweizer ein Stück Open Source entwickelt, welches die Sinnlosigkeit des Zensurkampfes in Perfektion aufzeigt:

http://pici.picidae.net/

Einfach mal eine beliebige URL eintippen und staunen. Das Ding ist ein einfaches Stück Code, welches eine beliebige Webseite in ein Image mit Imagelinks verwandelt und damit alle existierenden Content-Parser gegen die Wand laufen lässt: Zufälltige Struktur, keine bad words, keine eindeutige URL. Das Ergebnis ist ein angenehmes und wirklich schnelles browsing vorbei an allen Filtern.

Für alle, die mehr wissen wollen - am besten mal auf die Projektseite gehen. Dort wird auch gut beschrieben, warum das einfache sperren der picidae-URL nichts bringt und wie man selbst an dem Projekt teilnehmen kann, um zB Chinesen mehr Spass am Internet zu bescheren.

Ich bin gespannt ob es die Corporate ITs damit etwas schneller begreifen, wie sinnlos bestimmte IT-Ausgaben eigentlich sind - oder ob es wie so oft beim verzweifelten Festhalten an der Security by Obscurity Linie bleibt.

Dienstag, 4. September 2007

SQL Injection ganz einfach

SQL Injection ist ja ein recht breites Thema und wird in vielen Blogs und Webseiten bereits ausführlich behandelt. Wenn ich es hier anspreche, dann aus folgenden Gründen: Zum einen sollte es einfach latent immer im Bewusstsein bleiben, wie mächtig dieses Hacker-Werkzeug ist und wie oft auch gut gesicherte Webseiten durch Fehler in diesem Bereich angreifbar werden. Zum anderen aber, weil ich letzte Woche ein wirklich gutes Papier gefunden habe, in dem eine Variante beschrieben wird, die das Verhältnis Einfachheit zu Auswirkung wirklich optimal beschreibt.

Erstmal zum Thema SQL Injection (Wiki-Artikel) für alle, die es noch nicht kennen:
    SQL-Injektion (engl. SQL Injection) bezeichnet das Ausnutzen einer Sicherheitslücke in Zusammenhang mit SQL-Datenbanken, die durch mangelnde Maskierung oder Überprüfung von Metazeichen in Benutzereingaben entsteht. Der Angreifer versucht dabei über die Anwendung, die den Zugriff auf die Datenbank bereitstellt, eigene Datenbankbefehle einzuschleusen. Sein Ziel ist es dabei Daten in seinem Sinne zu verändern oder Kontrolle über den Server zu erhalten.

Üblicherweise wird eben versucht, SQL-Befehle abzusetzen. Gary Oleary-Steele beschreibt nun eine neue Variante, die er hier erklärt:

SQL E-Mail Recovery Attack (englisch, PDF-Link)

Das Papier ist wirklich lesenswert, kurz gesagt beschreibt er wie man unter bestimmten Umständen die "Passwort vergessen"-Funktion vieler Webseiten ausnutzen kann, um sich Zugang zu einen fremden Account zu verschaffen.