Tag Archives: security

Bug Heartbleed envia ameaça grave para servidores

      No Comments on Bug Heartbleed envia ameaça grave para servidores

A vulnerabilidade recém-descoberta no OpenSSL, uma das implementações mais usadas do SSL e TLS de protocolos criptográficos, apresenta um perigo grave e imediato para qualquer servidor sem correção. O bug, conhecido como Heartbleed, permite que criminosos virtuais para interceptem comunicações seguras e roubarem informações confidenciais, como login, dados pessoais e chaves de decodificação.

O Heartbleed ou OpenSSL TLS ‘heartbeat’ Extension Information Disclosure Vulnerability (CVE-2014-0160) afeta um componente do OpenSSL conhecido como Heartbeat. OpenSSL é uma das implementações mais utilizadas do SSL e protocolos TLS.

O bug é uma extensão para o protocolo TLS, que permite que uma sessão se mantenha ativa, mesmo que nenhuma comunicação real aconteça há algum tempo. Este artifício verifica que ambos os computadores ainda estão conectados e disponíveis para a comunicação. Ele também poupa o usuário do suposto incomodo de ter que digitar novamente suas credenciais para estabelecer outra conexão segura – isto é, se a conexão original é descartada.

Como  essa vulnerabilidade funciona? O Heartbleed envia uma mensagem para o servidor OpenSSL, que por sua vez retransmite essa mensagem de volta ao remetente, verificando a conexão. A mensagem contém dois componentes, um pacote de dados conhecido como payload, que pode ser de até 64 KB, e as informações sobre o seu tamanho.

No entanto, a vulnerabilidade Heartbleed em OpenSSL permite a um invasor falsificar a informação sobre o tamanho do payload útil. Por exemplo, eles poderiam enviar uma carga de apenas um kilobyte, mas com tamanho real de 64KB. O bug Heartbleed é o último de uma série de vulnerabilidades SSL / TLS descoberto este ano. TLS e seu antecessor mais velho SSL são ambos protocolos seguros de comunicação da Internet e do trabalho de criptografar o tráfego entre dois computadores.

Como o servidor do OpenSSL lida com a mensagem malformada de Heartbeat aí está a chave do perigo que esta vulnerabilidade pode traz, principalmente porque ele não tenta verificar se o tamanho do arquivo enviado é de fato o tamanho real, como afirma a mensagem. Ao invés disso, assume que a carga é a verdadeira e as tentativas para enviá-lo de volta para o computador estão corretas.

Os dados enviados de volta acontecem de forma aleatória e é possível que o atacante receba algumas informações incompletas ou inúteis. No entanto, a natureza da vulnerabilidade significa que o ataque pode ser executado novamente e significa que o criminoso virtual pode construir um quadro maior dos dados armazenados ao longo do tempo.

Em fevereiro, a Apple teve que corrigir duas vulnerabilidades críticas que afetavam o SSL em seu software. Pela primeira vez, foi emitido uma atualização para seu sistema operacional móvel iOS, que corrigiu uma falha. Dias depois, uma segunda atualização foi enviada e, desta vez, para o sistema operacional de Desktop OSX.

Em março, uma ameaça também foi encontrada na biblioteca de segurança GnuTLS, que é usado em um grande número de versões do Linux, incluindo Red Hat Desktop e produtos de servidor. Inclusive, sistemas operacionais Ubuntu e Debian demonstraram a mesma vulnerabilidade. O GnuTLS é uma implementação de software de código aberto de SSL/TLS e este fez com que a biblioteca não conseguisse lidar corretamente com alguns erros – que poderiam ocorrer na verificação de um certificado de segurança. Com isso, poderia permitir que um invasor pudesse usar um certificado especialmente criado para enganar GnuTLS, confiando em um site malicioso. A vulnerabilidade foi imediatamente corrigida pela GnuTLS .

Para se proteger desta vulnerabilidade, a Symantec oferece as seguintes dicas:

Para as empresas:

  • Qualquer usuário do OpenSSL 1.0.1 through 1.0.1f deve atualizar o software para a versão mais recente – 1.0.1g – ou recompilar a solução sem a extensão Heartbeat;
  • Se após esta instalação você acredita que o certificado do servidor de Internet possa estar corrompido, entre em contato com a autoridade responsável pela certificação e peça a troca;
  • Além disso, como uma boa prática, as empresas devem considerar a reconfiguração de senhas dos usuários finais – especialmente aquelas com indícios de violação.

Para os consumidores:

  • Esteja ciente de que seus dados podem ser vistos por terceiros, principalmente se utiliza provedores de serviço vulneráveis;
  • Monitore qualquer notícia dos fornecedores que você utiliza. Uma vez que a vulnerabilidade é comunicada, os consumidores devem alterar suas senhas;
  • Evite acessar e-mail com links estranhos, pois eles podem conter o chamado phishing – as iscas, que buscam o seu clique;
  • Não acesse sites duvidosos. Opte por portais oficiais e com reputação;
  • Acompanhe a sua conta bancária e fatura do cartão de crédito. Desconfie de qualquer transação incomum ao seu perfil.

Atualização 10 de abril de 2014: As ferramentas da Symantec para checagem de certificação SSL irá vereficar quando um site é vulnerável. Você pode acessar o certificado a partir deste link: https://ssltools.websecurity.symantec.com/checker/

Para usar o seu certificado, clique em “Check your cerftificate installation” e, após isso, entre no website desejado.

heartbleed-explained_02.png

?????????????????? Facebook ?????????????????

      No Comments on ?????????????????? Facebook ?????????????????

政治家がフィッシングサイトで利用される例は後を絶ちませんが、インドの総選挙が始まったことを受け、フィッシング詐欺師は地元の政治家やその政党を餌にインドのユーザーを狙い始めています。

シマンテックは最近、Facebook の表示を偽装するフィッシングサイトを確認しており、なかには元ニューデリー州首相でありアーム・アードミ党の党首であるアルビンド・ケジリワル（Arvind Kejariwal）氏も含まれています。フィッシングサイトのホストサーバーは、米国ミシガン州のランシングに置かれていました。

figure1_facebookspam.png
図 1. フィッシングサイトに掲載されている偽の「いいね」ボタンとアルビンド・ケジリワル氏の写真

上の画像でもわかるとおり、フィッシングサイトには「Unite With Us Against Corruption（団結して政治の腐敗と戦おう）」というタイトルが付けられ、アーム・アードミ党のポスターと、Facebook の偽の「いいね」ボタンが使われています。サイトの背景画像は同党の党首アルビンド・ケジリワル氏の写真で、氏が先日 Twitter に投稿した「Political revolution in India has begun.（インドの政治革命が始まった。）Bharat jaldi badlega」というモットーも書かれています。最後の言葉は「もうすぐインドは変わる」という意味です。

この「いいね」ボタンをクリックすると、アーム・アードミ党のページに「いいね」を付けるために、Facebook のログイン情報を入力するよう求められます。

figure2_facebookspam.png
図 2. アーム・アードミ党のページに「いいね」を付けるために Facebook のログイン情報を入力するよう求められる

このフィッシングページで使われているログインの指示には、紛らわしい部分もあります。アーム・アードミ党の名前を出すかわりに、Facebook のユーザー情報でログインし、可愛い女の子の写真に「いいね」を付けるよう求めてくるのです。これと同じように女の子の写真を使うフィッシングサイトは、以前にも登場したことがあります。フィッシング詐欺師が同じテンプレートを使って別のアプリケーションをホストするのはよくあることですが、どうやら今回は、可愛い女の子の写真についての説明を変更し忘れたようです。ユーザーがログイン情報を入力すると、フィッシングサイトから確認ページにリダイレクトされます。確認ページでは、もう一度「いいね」ボタンをクリックするよう求められます。

figure3_facebookspam.png
図 3. 確認ページに表示されるログイン確認メッセージと「いいね」ボタン

確認ページには、前のログインページで入力した電子メールアドレスが表示されます。「いいね」ボタンの横には、アーム・アードミ党がこれまでに獲得した「いいね」の件数も表示されますが、これは偽の数字です。ボタンもダミーであり、何の機能も果たしていません。この手口に乗って個人情報を入力したユーザーは、個人情報を盗まれ、なりすまし犯罪に使われてしまいます。

インターネットを利用する際には、フィッシング攻撃を防ぐためにできる限りの対策を講じることを推奨します。

  • アカウントにログインするときに、アドレスバーの URL を確かめ、間違いなく目的の Web サイトのアドレスであることを確認する。
  • 電子メールメッセージの中の疑わしいリンクはクリックしない。
  • 電子メールに返信するときに個人情報を記述しない。
  • ポップアップページやポップアップウィンドウに個人情報を入力しない。
  • 個人情報や口座情報を入力する際には、鍵マーク（画像やアイコン）、「https」の文字、緑色のアドレスバーなどが使われていることを確かめ、その Web サイトが SSL で暗号化されていることを確認する。
  • ノートン インターネットセキュリティやノートン 360 など、フィッシング詐欺やソーシャルネットワーク詐欺から保護する統合セキュリティソフトウェアを使う。
  • 電子メールで送られてきたリンクや、ソーシャルネットワークに掲載されているリンクがどんなに魅力的でも不用意にクリックしない。

 

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Heartbleed Poses Risk to Clients and the Internet of Things

      No Comments on Heartbleed Poses Risk to Clients and the Internet of Things

While most of the focus on Heartbleed has been on vulnerable public websites, the bug affects much more than this. While most popular sites are no longer vulnerable, this does not mean that end-users can drop their guard.

Heartbleed equally affects client software such as Web clients, email clients, chat clients, FTP clients, mobile applications, VPN clients and software updaters, to name a few. In short, any client that communicates over SSL/TLS using the vulnerable version of OpenSSL is open to attacks. 

In addition, Heartbleed affects various other servers aside from Web servers. These include proxies, media servers, game servers, database servers, chat servers and FTP servers. Finally, hardware devices are not immune to the vulnerability. It can affect routers, PBXes (business phone systems) and likely numerous devices in the Internet of Things.

Attacking these software and hardware servers through the Heartbleed vulnerability is done in a similar manner as an attack to vulnerable websites. However, attacks on clients can happen in essentially the reverse manner.

Typically, exploitation of Heartbleed has been described as an attacking client sending a malicious Heartbeat message to a vulnerable server and the server exposing private data. However, the reverse is also true. A vulnerable client can connect to a server, and the server itself can send a malicious Heartbeat message to the client. The client will then respond with extra data found in its memory, potentially exposing credentials and other private data.

Heartbleed-3486810-fig1-v2.png

Figure 1. How a vulnerable client is attacked is essentially the reverse of an attack on a server

Fortunately, while clients are vulnerable, it may be difficult to exploit them in real-world scenarios. The two main vectors of attack are instructing the client to visit a malicious SSL/TLS server or hijacking a connection through an unrelated weakness. Both present an added complication for the attacker.

Directing the client to a malicious server
The simplest example of how a client may be exploited is through something like a vulnerable Web browser. One simply has to convince a victim to visit a malicious URL in order to allow the attacking server to gain access to the client Web browser memory. This puts at risk content such as previous session cookies, websites visited, form data and authentication credentials. 

Most popular Web browsers do not use OpenSSL, but the NSS (Network Security Services) libraries, which are not vulnerable to Heartbleed. However, many command line Web clients do use OpenSSL (e.g., wget and curl) and are vulnerable.

The attacker’s need to trick a user into visiting a malicious site may mitigate some risk, but it is not always necessary. Imagine an online language translation service where you provide an automated service with a URL to a page in the French language and the service will translate the content to English. Behind the scenes, the service is fetching the content of the French page using their own backend client. If you provide the URL of a malicious server, the backend client can be exploited and the attacker may retrieve sensitive information such as code or credentials from the translation service.

Hijacking a connection
Directing clients to a malicious server as described above requires clients that can be instructed to visit arbitrary servers. However, many clients may only contact a preset, hardcoded domain. In these cases, the client may still be exploited. On shared open networks such as some public WiFi networks, traffic can be visible and altered by others, allowing attackers to redirect vulnerable clients. Normally, SSL/TLS (e.g. HTTPS, encrypted Web browsing) is one of the solutions to this problem, since the encryption prevents eavesdropping and redirection. However, one can send malicious Heartbeat messages prior to the SSL/TLS session being fully established.

An attacker can join a public network and eavesdrop on potential victims. When a potential victim uses a vulnerable client to establish an SSL/TLS connection with a legitimate server, the attacker redirects the connection to the malicious server. Before the SSL/TLS connection is fully established and has a chance to block any redirection, the attacker can send a malicious Heartbeat message extracting contents from the memory of the victim’s computer. This can include private data such as authentication credentials. 

Heartbleed-3486810-fig2.png

Figure 2. How an attacker can hijack and redirect a vulnerable client on a shared, open network

In addition to previous guidance, we also recommend the following:

  • Avoid visiting unknown domains with any client software, which accept Heartbeat messages using the vulnerable OpenSSL libraries.
  • Stop using proxy services that have not been patched.
  • Update software and hardware as vendors make patches available.
  • Use a VPN client and service confirmed as not vulnerable to Heartbleed when on public networks.

?????? ?? ???(IoT)? ???? Heartbleed

      No Comments on ?????? ?? ???(IoT)? ???? Heartbleed

Heartbleed와 관련하여 취약한 공개 웹 사이트에 초점이 맞춰지고 있지만 실제로 이 취약점은 훨씬 더 광범위하게 영향을 미치고 있습니다. 대부분의 유명 사이트는 더 이상 취약하지 않습니다. 그렇다고 해서 엔드유저가 마음 놓아도 될 상황은 아닙니다.

Heartbleed는 웹 클라이언트, 이메일 클라이언트, 채팅 클라이언트, FTP 클라이언트, 모바일 애플리케이션, VPN 클라이언트, 소프트웨어 업데이트 프로그램 등 각종 클라이언트 소프트웨어에도 영향을 미칩니다. 즉 SSL/TLS를 통해 통신하고 취약한 버전의 OpenSSL을 사용하는 클라이언트라면 이 공격을 당할 가능성이 높습니다.

뿐만 아니라 Heartbleed는 웹 서버 외에도 프록시, 미디어 서버, 게임 서버, 데이터베이스 서버, 채팅 서버, FTP 서버 등 다양한 서버에 영향을 미칩니다. 하드웨어 장치 역시 안전하지 않습니다. 라우터, PBX(업무용 전화 시스템), 사물 인터넷을 구성하는 무수히 많은 장치도 영향을 받을 수 있습니다.

Heartbleed 취약점을 통해 이러한 소프트웨어 및 하드웨어 서버를 공격하는 방식은 취약한 웹 사이트에 대한 공격과 유사합니다. 하지만 클라이언트에 대한 공격은 정반대의 양상을 띨 수도 있습니다.

일반적으로 알려진 Heartbleed 익스플로잇은 공격자 측 클라이언트가 취약한 서버로 악성 하트비트 메시지를 보내고 해당 서버에서 개인 데이터가 유출되는 방식입니다. 하지만 그 반대의 상황도 가능합니다. 즉 취약한 클라이언트가 서버에 접속하면 이 서버에서 클라이언트에게 악성 하트비트 메시지를 보내는 것입니다. 그러면 클라이언트는 메모리에 남아 있는 추가 데이터를 사용하여 응답하는데, 이때 인증 정보와 기타 개인 데이터가 유출될 우려가 있습니다.

Heartbleed-3486810-fig1-v2.png

그림 1. 서버에 대한 공격과 정반대로 이루어지는 취약한 클라이언트에 대한 공격

다행히 클라이언트가 취약하더라도 현실적으로 그에 대한 익스플로잇 공격에는 어려움이 따를 수 있습니다. 대표적인 두 공격 벡터는 클라이언트에게 악성 SSL/TLS 서버를 방문하도록 지시하거나 다른 무관한 약점을 통해 연결을 하이재킹하는 것인데, 둘 다 공격자 입장에서는 매우 복잡한 방식입니다.

클라이언트를 악성 서버에 연결

클라이언트의 취약점을 공격하는 가장 단순한 예로 취약한 웹 브라우저 등을 이용하는 방법이 있습니다. 이 경우 피해자가 악성 URL을 방문하도록 유도하면 되는데, 그러면 공격자 측 서버가 클라이언트 웹 브라우저 메모리에 접근합니다. 이때 이전의 세션 쿠키, 방문한 웹 사이트, 폼 데이터, 인증 정보 등의 컨텐트가 유출될 위험이 있습니다.

많이 사용되는 웹 브라우저의 대부분은 OpenSSL이 아니라 Heartbleed에 취약하지 않은 NSS(Network Security Services) 라이브러리를 사용합니다. 하지만 명령줄 웹 클라이언트 중 상당수(예: wget, curl)는 OpenSSL을 사용하기 때문에 취약합니다.

공격자가 사용자를 악성 사이트로 유인해야 한다는 점 때문에 위험성이 다소 줄어들 수는 있지만 안심할 수 있는 것만은 아닙니다. 프랑스어 페이지 URL을 입력하면 그 내용을 영어로 자동 번역해 주는 온라인 번역 서비스가 있다고 가정해 보십시오. 하지만 실제로 이 서비스는 은밀하게 자체 백엔드 클라이언트를 사용하여 프랑스어 페이지의 내용을 가져옵니다. 따라서 만약 사용자가 악성 서버 URL을 입력할 경우 백엔드 클라이언트가 익스플로잇의 대상이 되고 공격자는 번역 서비스를 통해 코드, 인증 정보와 같은 중요 정보를 획득하게 됩니다.

연결 하이재킹

위에 설명한 것처럼 클라이언트를 악성 서버로 연결하려면 해당 서버를 방문하라는 지시를 내릴 대상 클라이언트가 있어야 합니다. 하지만 대다수의 클라이언트는 미리 설정되고 하드코딩된 도메인에만 접속합니다. 이러한 경우에도 클라이언트에 대한 익스플로잇이 가능합니다. 일부 WiFi 네트워크와 같이 공개된 공유 네트워크에서는 다른 사람이 트래픽을 보고 변경할 수 있으므로 공격자가 취약한 클라이언트를 리디렉션하는 것이 가능합니다. 일반적으로 암호화를 통해 염탐이나 리디렉션을 차단할 수 있으므로 SSL/TLS(예: HTTPS, 암호화된 웹 브라우징)는 이러한 문제의 해결책 중 하나입니다. 하지만 이러한 SSL/TLS 세션이 완전히 설정되기 전에 악성 하트비트 메시지를 보낼 수 있습니다.

공격자는 공용 네트워크에 접속하여 잠재적인 피해자를 몰래 지켜볼 수 있습니다. 잠재적 피해자가 취약한 클라이언트를 사용하여 합법적인 서버와의 SSL/TLS 연결을 설정할 경우 공격자는 해당 연결을 악성 서버로 리디렉션합니다. SSL/TLS 연결이 완전히 설정되어 리디렉션을 차단하기 전까지 공격자는 악성 하트비트 메시지를 보내 피해자 시스템의 메모리에서 컨텐트를 유출시킵니다. 여기에는 인증 정보와 같은 개인 데이터가 포함될 수도 있습니다. 

Heartbleed-3486810-fig2.png

그림 2. 공격자가 공개된 공유 네트워크에서 하이재킹하여 취약한 클라이언트를 리디렉션하는 방법

앞서 전달한 지침과 함께 아래의 권장 사항도 따르는 것이 좋습니다.

  • 클라이언트 소프트웨어에서 미확인 도메인을 방문하지 마십시오. 이 도메인이 취약한 OpenSSL 라이브러리를 사용하여 하트비트 메시지를 수락할 수 있습니다.
  • 패치가 적용되지 않은 프록시 서비스의 이용을 중지하십시오.
  • 벤더에서 패치를 제공하는 대로 소프트웨어와 하드웨어를 업데이트하십시오.
  • 공개 네트워크에 접속할 때는 Heartbleed에 취약하지 않은 것으로 확인된 VPN 클라이언트와 서비스를 이용하십시오.

Heartbleed – Reports from the Field

      No Comments on Heartbleed – Reports from the Field

It has been now five days since details emerged regarding the “Heartbleed” vulnerability in OpenSSL. During this time we have been researching the impact of the vulnerability, tracking the patch states of popular websites, and monitoring attacks. So what have we learned?
 

Most popular sites are no longer vulnerable

We have been tracking the most popular websites to see which of them are currently vulnerable to Heartbleed. No website included in Alexa’s top 1000 websites is currently vulnerable. Within the Alexa top 5000 websites, only 24 websites are vulnerable. Overall, within the Alexa top 50,000 websites only 1.8 percent is vulnerable to Heartbleed. Based on this data, chances are that the websites most frequently visited by the average user are not affected by Heartbleed.

It is possible that your data may have been stolen prior to a website being updated. To mitigate against this ensure that you do not reuse passwords across multiple sites.
 

Yes, you should change your passwords

There has been some contradictory information regarding whether users should change their passwords. Based on our examination of the most popular websites above, it should now be safe to change the passwords for most of your online accounts.

If you have any doubt, Symantec offers the following tool to check whether a website is vulnerable to Heartbleed:

If a website is still vulnerable, do not change your password for that site just yet.
 

The problem is serious, but a doomsday scenario is unlikely

Heartbleed could be used by attackers to steal personal data such as usernames and passwords—and doing so is relatively easy. However one of the biggest concerns is that the vulnerability could be used to steal the private keys which are used to encrypt communications with websites. By stealing these keys, attackers could eavesdrop on communications or set up fake websites which impersonate legitimate websites allowing them access to even more data. As stated in our previous blog, stealing these keys is very difficult. Some researchers have been successful in stealing keys using Heartbleed, but each case required specific circumstances to be met; in particular, keys are more likely to be exposed only at the moment after the web server is started.
 

Heartbleed is not being widely used by attackers

Our monitoring has shown that while there is widespread scanning for vulnerable websites, most of this scanning seems to be originating from researchers. We have witnessed relatively few mass scans for the Heartbleed vulnerability originating from attackers. Attackers could be targeting specific sites but, fortunately, the most popular sites are no longer affected.
 

IPS will help block attacks

Symantec IPS signature 27517, Attack: OpenSSL Heartbleed CVE-2014-0160 3, has been released and will detect and block attempts to exploit Heartbleed on vulnerable servers.
 

Advice remains the same

For businesses:

  • Anyone using OpenSSL 1.0.1 through 1.0.1f should update to the latest fixed version of the software (1.0.1g), or recompile OpenSSL without the heartbeat extension. 
  • Businesses should also replace the certificate on their web server after moving to a fixed version of OpenSSL.
  • Finally, and as a best practice, businesses should also consider resetting end-user passwords that may have been visible in compromised server memory.

For consumers:

  • Be aware that your data could have been seen by a third party if you used a vulnerable service provider.
  • Monitor any notices from the vendors you use. Once a vulnerable vendor has communicated to customers that they should change their passwords, users should do so.
  • Avoid potential phishing emails from attackers asking you to update your password. To avoid being tricked into going to an impersonated website, stick with the official site domain.
     

For further information

For the latest information on Heartbleed, including how to minimize your risk, please visit the Symantec Heartbleed outbreak page:

Heartbleed Representa una Amenaza Seria a los Servidores Sin Parchar

      No Comments on Heartbleed Representa una Amenaza Seria a los Servidores Sin Parchar

Una vulnerabilidad recientemente descubierta en OpenSSL , una de las implementaciones más utilizadas de los protocolos SSL y TLS criptográficas , representa un peligro grave e inminente para cualquier servidor sin parchar . El bug conocido como Heartbleed permite a los atacantes interceptar comunicaciones seguras y robar información confidencial como credenciales de acceso , datos personales, o incluso las claves para descrifrar.

Heartbleed o el ‘ latido ‘ de la Extensión de Información de la Vulnerabilidad de Divulgación OpenSSL (CVE-2014 – 0160), afecta a un componente de OpenSSL conocido como Heartbeat . OpenSSL es una de las implementaciones de código abierto más utilizadas de los protocolos SSL ( Secure Sockets Layer) y TLS (Transport Layer Security).

Heartbeat es una extensión del protocolo TLS que permite mantener con vida una sesión de TLS, incluso si no se ha producido alguna comunicación real por cierto tiempo. La característica verificará que ambos equipos todavía están conectados y disponibles para la comunicación. También ahorra al usuario la molestia de tener que volver a introducir su usuario/contraseña para establecer otra conexión segura si se cae la conexión original.

¿Cómo funciona ? Heartbeat envía un mensaje al servidor de OpenSSL que a su vez retransmiste ese mensaje al remitente verificando la conexión. El mensaje contiene dos componentes , un paquete de datos conocidos como la carga útil que puede ser de hasta 64 KB y la información sobre el tamaño de la carga útil .

Sin embargo , la vulnerabilidad Heartbleed en OpenSSL permite a un atacante falsificar la información sobre el tamaño de la carga útil. Por ejemplo, podrían enviar una carga útil de un solo kilobyte en tamaño, pero afirmar que es de 64 KB.

Lo que un servidor de OpenSSL hace con el mensaje deformado de Heartbeat es clave para el peligro que esta vulnerabilidad plantea pues no intenta verificar que la carga útil es del mismo tamaño del que se indica en el mensaje. En su lugar, assume que la carga útil es del tamaño correcto e intenta enviarla de vuelta a la computadora de la cual vino. Sin embargo, ya que el mensaje no tiene la carga de datos  complete de 64KB en su lugar automáticamente “rellena” la carga útil con los datos almacenados al lado de él en la memoria de la aplicación . Así, si el servidor recibe una carga útil de 1 KB , lo devolverá con 63KB de otros datos almacenados en su memoria . Esto podría incluir las credenciales de inicio de sesión de un usuario , los datos personales , o incluso , en algunos casos , la sesión y claves de cifrado privadas.

Los datos que la aplicación envía de vuelta son elegidos al azar y es posible que el atacante puede recibir algunas piezas de datos incompletas o inútiles. Sin embargo , dada la naturaleza de la vulnerabilidad, el ataque se puede realizar una y otra vez , lo que significa que el atacante puede obtener una imagen más completa y grande de los datos almacenados por la aplicación a lo largo del tiempo.

Claves de cifrado privadas pueden ser lo más difícil de robar usando este ataque . Los datos se almacenan de manera secuencial , con nuevos datos almacenados en frente de los más antiguos . Las claves de encriptación normalmente se almacenan “detrás” de la carga útil en la memoria, lo que significa que son menos propensos a ser vistos. Sin embargo, el contenido de las sesiones actuales de SSL / TLS son los datos con más probabilidades de estar en riesgo.

El bug Heartbleed es el más reciente de una serie de vulnerabilidades de SSL / TLS descubiertas este año. Tanto TLS como su mayor predecesor SSL son protocolos seguros de comunicación de Internet y trabajan mediante el cifrado del tráfico entre dos equipos.

En Febrero, Apple tuvo que remediar dos vulnerabilidades críticas que afectan a SSL en su software. En primer lugar, emitió una actualización para su sistema operativo móvil iOS , que reparó un error que permitía a un atacante con una posición privilegiada de red capturar o modificar los datos de sesiones protegidas por SSL / TLS. Días más tarde, se emitió una segunda actualización, esta vez para su sistema operativo de escritorio, OS X, después de que se descubrió que la misma vulnerabilidad también lo afectó.

En Marzo, un certificado de vulnerabilidad fue encontrado en la librería de seguridad GnuTLS, que se utiliza en un gran número de versiones de Linux , incluyendo los productos de escritorio y servidores de Red Hat, así como en las distribuciones Ubuntu y Debian del sistema operativo.

GnuTLS es una implementación de software de código abierto de SSL / TLS. El bug significa que GnuTLS no manejó correctamente algunos errores que podrían ocurrir al verificar un certificado de seguridad . Esto podría permitir a un atacante utilizar un certificado especialmente diseñado para engañar GnuTLS para que confíe en un sitio web malicioso. Esta vulnerabilidad fue parchada inmediatamente por GnuTLS .

Heartbleed es por mucho, la vulnerabilidad más grave en SSL / TLS que se ha descubierto en los últimos tiempos . La naturaleza del error y el hecho de que afecta a una de las implementaciones más utilizadas de SSL / TLS significa que representa un riesgo inmediato .

 

Consejos para las empresas

  • Se trata de una vulnerabilidad de la biblioteca OpenSSL , y no un defecto con SSL / TLS , o certificados expedidos por Symantec .
  • Cualquier persona que use OpenSSL 1.0.1 través 1.0.1f debería actualizar a la última versión fija del software ( 1.0.1g ) o recompilar OpenSSL sin la extensión heartbeat.
  • Después de mudarse a una versión fija de OpenSSL , si cree que sus certificados de servidor web pueden haber sido comprometidos o robados como resultado de la explotación, entre en contacto con la entidad emisora ​​de certificados para un reemplazo.
  • Por último , y como una buena práctica , las empresas deben también considerar restablecer las contraseñas de los usuarios finales que pueden haber sido visibles en la memoria del servidor comprometido.

 

Consejos para los consumidores

• Considerar que nuestros datos podrían haber sido vistos por un tercero, si utilizamos un proveedor de servicios vulnerable.

• Monitorear los avisos de los sitios y fabricantes que usamos en nuestras tareas. Una vez que un proveedor vulnerable ha comunicado a los clientes de que deben cambiar sus contraseñas , debemos hacerlo.

• Ignorar posibles correos electrónicos de phishing (estafas) de atacantes que le pedirán que actualice la contraseña – para evitar ir a un sitio web falso, usar el dominio oficial del sitio y teclearlo en la barra de dirección.

• Usar sitios web y servicios de buena reputación . Ellos son los más propensos a resolver de forma inmediata la vulnerabilidad.

• Revisar los estados de cuenta bancarios y de tarjetas de crédito para comprobar que no existen transacciones inusuales.

ACTUALIZACIÓN 10 de abril 2014 : Symantec’s SSL Tools Certificate Checker

verificará si un sitio web es vulnerable a la explotación. Puede acceder al verificador de certificados en la siguiente dirección: https://ssltools.websecurity.symantec.com/checker

Para usar el Verificador de certificados, haga clic en Comprobar su instalación cerftificate e introduzca la URL del sitio web.

heartbleed-explained_02.png

???????????????????????????? Instagram ??

      No Comments on ???????????????????????????? Instagram ??

先週、Instagram を悪用する詐欺師から、宝くじに当選したと称して、その当選金をフォロワーに進呈すると騙る画像が投稿されました。詐欺師はユーザーを欺いてこの投稿を共有させ、個人情報を引き出したり、さらには詐欺師への送金を求めたりします。

この詐欺では、英国と米国の現実の宝くじ当選者になりすますために多数の Instagram アカウントが作成されました。そして、そのアカウントをフォローし、コメントと電子メールアドレスを残してくれたユーザーに 1,000 ドルずつ進呈すると謳っています。

figure1_20.png
図 1. 実際の宝くじ当選者になりすました Instagram アカウント

宝くじ当選者になりすましたアカウントの成功率はきわめて高く、5,000 ～ 10,000 人程度のフォロワーを獲得しています。

一定数のフォロワーを集めると、今度は当選者たちの「会計士」と称する人物の Instagram アカウントが登場します。この会計士が 1,000 ドルの送金を担当するということになっていますが、そこに罠が仕掛けられています。

figure2_19.png
図 2. 偽「会計士」のプロフィールが金銭を要求してくる

上の図では、「会計士」のプロフィールを名乗る人物が、大手の決済処理サービスを使って 0.99 ドルを送金するよう Instagram ユーザーに求めています。小切手を送るための郵送費用という名目です。

figure3_11.png
図 3. 宝くじ詐欺に引っかかってしまったユーザー

警戒すべき要素がたくさんあったにもかかわらず、この詐欺は成功を収めており、各アカウントが数千人のフォロワーを集めました。フォローしたユーザーは喜んで電子メールアドレスを公開し、一部のユーザーは郵送費用の負担分として 0.99 ドルを実際に支払っています。

この詐欺攻撃の最大の目的は、数千人のフォロワーを持つアカウントを集め、それを自分で利用するか転売することでした。シマンテックによる調査中に、なりすましアカウントの一部に関連しているユーザー名で、アカウントピボットが実行されました。つまり、アカウントがスパム認定されないように、アバター、ユーザー名、ユーザープロフィールが変更されたのです。こうすると、詐欺師は同じアカウントを使い続けるか売却することができます。

figure4_9.png
図 4. Instagram のなりすましアカウントが、フォロワー数を減らして再登場

アカウントピボットの直後に、なりすましアカウントが再登場しましたが、フォロワー数は以前より少なくなっていました。なかには、「ハッキングされた」と称してしばらく待つように求めるアカウントまで現れています。

これらのアカウントが偽物であることは明らかですが、Instagram アカウントをフォローするだけで 1,000 ドルが手に入ると信じ込むユーザーは後を絶ちません。

以下のような予防対策を講じることをお勧めします。

ウソのような儲け話は、しょせんはウソだということを忘れないようにしてください。

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

???????????????????????????? Instagram ??

      No Comments on ???????????????????????????? Instagram ??

先週、Instagram を悪用する詐欺師から、宝くじに当選したと称して、その当選金をフォロワーに進呈すると騙る画像が投稿されました。詐欺師はユーザーを欺いてこの投稿を共有させ、個人情報を引き出したり、さらには詐欺師への送金を求めたりします。

この詐欺では、英国と米国の現実の宝くじ当選者になりすますために多数の Instagram アカウントが作成されました。そして、そのアカウントをフォローし、コメントと電子メールアドレスを残してくれたユーザーに 1,000 ドルずつ進呈すると謳っています。

figure1_20.png
図 1. 実際の宝くじ当選者になりすました Instagram アカウント

宝くじ当選者になりすましたアカウントの成功率はきわめて高く、5,000 ～ 10,000 人程度のフォロワーを獲得しています。

一定数のフォロワーを集めると、今度は当選者たちの「会計士」と称する人物の Instagram アカウントが登場します。この会計士が 1,000 ドルの送金を担当するということになっていますが、そこに罠が仕掛けられています。

figure2_19.png
図 2. 偽「会計士」のプロフィールが金銭を要求してくる

上の図では、「会計士」のプロフィールを名乗る人物が、大手の決済処理サービスを使って 0.99 ドルを送金するよう Instagram ユーザーに求めています。小切手を送るための郵送費用という名目です。

figure3_11.png
図 3. 宝くじ詐欺に引っかかってしまったユーザー

警戒すべき要素がたくさんあったにもかかわらず、この詐欺は成功を収めており、各アカウントが数千人のフォロワーを集めました。フォローしたユーザーは喜んで電子メールアドレスを公開し、一部のユーザーは郵送費用の負担分として 0.99 ドルを実際に支払っています。

この詐欺攻撃の最大の目的は、数千人のフォロワーを持つアカウントを集め、それを自分で利用するか転売することでした。シマンテックによる調査中に、なりすましアカウントの一部に関連しているユーザー名で、アカウントピボットが実行されました。つまり、アカウントがスパム認定されないように、アバター、ユーザー名、ユーザープロフィールが変更されたのです。こうすると、詐欺師は同じアカウントを使い続けるか売却することができます。

figure4_9.png
図 4. Instagram のなりすましアカウントが、フォロワー数を減らして再登場

アカウントピボットの直後に、なりすましアカウントが再登場しましたが、フォロワー数は以前より少なくなっていました。なかには、「ハッキングされた」と称してしばらく待つように求めるアカウントまで現れています。

これらのアカウントが偽物であることは明らかですが、Instagram アカウントをフォローするだけで 1,000 ドルが手に入ると信じ込むユーザーは後を絶ちません。

以下のような予防対策を講じることをお勧めします。

ウソのような儲け話は、しょせんはウソだということを忘れないようにしてください。

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Phishers Spoof Facebook Appearance and Promote India’s Aam Aadmi Party

      No Comments on Phishers Spoof Facebook Appearance and Promote India’s Aam Aadmi Party

Politicians are frequently featured on phishing sites and in light of the ongoing general election in India, phishers are starting to target Indian users by using a local politician and his party as bait. 

Symantec recently observed a phishing site which spoofs Facebook’s appearance and includes Arvind Kejariwal, the former chief minister of New Delhi and leader of the Aam Aadmi Party. The phishing site was hosted on servers based in Lansing, Michigan in the US. 

figure1_facebookspam.png
Figure 1. A fake Facebook “like” button and a picture of Arvind Kejariwal on the phishing site

As seen in the previous image, the phishing site, titled “Unite With Us Against Corruption”, uses a poster of the Aam Aadmi Party along with a fake Facebook “like” button. The site’s background image is a picture of the party’s leader Arvind Kejariwal and his latest Twitter tagline, which states that “Political revolution in India has begun. Bharat jaldi badlega.” The second sentence translates to “India will soon change”. 

After clicking on the “like” button, users are prompted to input their Facebook login credentials so that they can “like” the Aam Aadmi party page. 

figure2_facebookspam.png
Figure 2. Users are asked to input their Facebook login data to “like” the Aam Aadmi party page

The phishers also used a misleading login prompt in the phishing page. Instead of mentioning the Aam Aadmi Party, the page tells users to log in with their Facebook details to like cute baby pictures. Symantec has already seen a similar phishing site which used a picture of a young girl. Phishers frequently use the same template to host different applications but this time, they forgot to change the reference to cute baby pictures. After the user enters their login credentials, the phishing site redirects the user to an acknowledgment page. The Web page then asks the user to click another “like” button.

figure3_facebookspam.png
Figure 3. A login confirmation and the “like” button on the acknowledgement page

The email address entered in the previous login page is now displayed on the acknowledgement page. The “like” button is placed beside a fake number that claims to show the amount of likes the party has already gained. However, the button is just a dummy and does not perform any functions. If users fell victim to the phishing site by entering their personal data, phishers would have successfully stolen their confidential information for identity theft purposes.

Symantec advises Internet users to follow these best practices to avoid becoming victims of phishing attacks.

  • Check the URL in the address bar when logging into your account to make sure it belongs to the website that you want to visit
  • Do not click on suspicious links in email messages
  • Do not provide any personal information when replying to an email
  • Do not enter personal information in a pop-up page or window
  • Ensure that the website is encrypted with an SSL certificate by looking for a picture of a padlock image or icon, “https”, or the green address bar when entering personal or financial information
  • Use comprehensive security software, such as Norton Internet Security or Norton 360 to protect you from phishing and social networking scams
  • Exercise caution when clicking on enticing links sent through emails or posted on social networks

Phishers Spoof Facebook Appearance and Promote India’s Aam Aadmi Party

      No Comments on Phishers Spoof Facebook Appearance and Promote India’s Aam Aadmi Party

Politicians are frequently featured on phishing sites and in light of the ongoing general election in India, phishers are starting to target Indian users by using a local politician and his party as bait. 

Symantec recently observed a phishing site which spoofs Facebook’s appearance and includes Arvind Kejariwal, the former chief minister of New Delhi and leader of the Aam Aadmi Party. The phishing site was hosted on servers based in Lansing, Michigan in the US. 

figure1_facebookspam.png
Figure 1. A fake Facebook “like” button and a picture of Arvind Kejariwal on the phishing site

As seen in the previous image, the phishing site, titled “Unite With Us Against Corruption”, uses a poster of the Aam Aadmi Party along with a fake Facebook “like” button. The site’s background image is a picture of the party’s leader Arvind Kejariwal and his latest Twitter tagline, which states that “Political revolution in India has begun. Bharat jaldi badlega.” The second sentence translates to “India will soon change”. 

After clicking on the “like” button, users are prompted to input their Facebook login credentials so that they can “like” the Aam Aadmi party page. 

figure2_facebookspam.png
Figure 2. Users are asked to input their Facebook login data to “like” the Aam Aadmi party page

The phishers also used a misleading login prompt in the phishing page. Instead of mentioning the Aam Aadmi Party, the page tells users to log in with their Facebook details to like cute baby pictures. Symantec has already seen a similar phishing site which used a picture of a young girl. Phishers frequently use the same template to host different applications but this time, they forgot to change the reference to cute baby pictures. After the user enters their login credentials, the phishing site redirects the user to an acknowledgment page. The Web page then asks the user to click another “like” button.

figure3_facebookspam.png
Figure 3. A login confirmation and the “like” button on the acknowledgement page

The email address entered in the previous login page is now displayed on the acknowledgement page. The “like” button is placed beside a fake number that claims to show the amount of likes the party has already gained. However, the button is just a dummy and does not perform any functions. If users fell victim to the phishing site by entering their personal data, phishers would have successfully stolen their confidential information for identity theft purposes.

Symantec advises Internet users to follow these best practices to avoid becoming victims of phishing attacks.

  • Check the URL in the address bar when logging into your account to make sure it belongs to the website that you want to visit
  • Do not click on suspicious links in email messages
  • Do not provide any personal information when replying to an email
  • Do not enter personal information in a pop-up page or window
  • Ensure that the website is encrypted with an SSL certificate by looking for a picture of a padlock image or icon, “https”, or the green address bar when entering personal or financial information
  • Use comprehensive security software, such as Norton Internet Security or Norton 360 to protect you from phishing and social networking scams
  • Exercise caution when clicking on enticing links sent through emails or posted on social networks