Безопасность
25.02.02 Microsoft, IBM, Oracle, Sun и еще несколько крупных hi-tech компаний создают Организацию по интернет-безопасности.Корпорация Microsoft и еще несколько компаний создают новый союз - Организацию по интернет-безопасности, целью которого будет создание стандартов по реагированию на обнаружение новых уязвимостей в программном обеспечении.
На прошлой неделе исследователи, работающие в компаниях MITRE и AtStake подали в организацию Internet Engineering Task Force (IETF) предложение установить для разработчиков программ срок в десять дней для того, чтобы отреагировать на сообщение о новой уязвимости и тридцать дней для того, чтобы исправить недочет.
Отчет вызвал массу споров. С одной стороны, авторы доклада установили этот срок именно для разработчиков, которые создают массивные программные продукты, предназначенные для нескольких платформ. Они, по словам авторов, физически не успеют ничего сделать за более короткий срок. Однако по мнению Microsoft, и эти сроки - слишком малы. При этом на собственную "весеннюю уборку", в Microsoft выделен ровно месяц. Причем самый короткий в году. Аналитики считают, что этого для Microsoft и его программ, мягко говоря, маловато.
Кроме Microsoft в создающуюся Организацию по интернет-безопасности (Organization for Internet Security, OIS) войдут IBM, Oracle, Hewlett-Packard и Compaq Computer, Sun Microsystems, Silicon Graphics, Cisco Systems, Symantec, а также компании, связанные с компьютерной безопасностью - Network Associates, Internet Security Systems, BindView, Foundstone, Guardent и AtStake. Этот список еще не окончательный. Цель OIS - установить стандарты по срокам: насколько быстро специалисты по безопасности должны оповещать производителей ПО о новых уязвимостях, и как скоро сами производители должны извещать общественность о новых "дырах". Кроме того, OIS должен "добиваться, чтобы разработчики систем безопасности и программного обеспечения, а также специалисты по компьютерной безопасности могли более эффективно защищать пользователей интернета".
Это, по идее, поможет защитить и пользователей, и производителей от тяжкого ущерба, которые наносят вирусы и хакерские атаки, использующие те или иные уязвимости в ПО. Как известно, например, интернет-черви, эксплуатировавшие уязвимости в программах Microsoft, нанесли мировой экономике ущерб размером 12 миллиардов долларов. Microsoft продолжает держать оборону на тех позициях, что программ без дыр не бывает, а причина столь частых хакерских атак и вирусных эпидемий - это свободное распространение информации о дырах. По мнению Microsoft, хакеры и вирусописатели получают от экспертов по безопасности "готовые планы" для проведения своих атак.
Источник: Компьюлента
23.02.02 В сети начался массовый взлом и кража номеров ICQ.Новостным сайтом The Register были получены доказательства массовой атаки на сеть обмена мгновенными сообщениями ICQ. Такие данные не подтверждены ни компанией AOL, владельцем сети, ни экспертами по безопасности. Однако, The Register получил несколько писем от пользователей, которые потеряли собственные номера ICQ, обнаружив, что в их учетной записи был изменен пароль, а действующий e-mail заменен на "uin@deathrow.com".
Поиск в базе данных ICQ WhitePages выдал сотни учетных записей ICQ с таким e-mail, что может стать поводом для подозрения в наличии факта массового взлома сети интернет-пейджера. Предположительно, кража паролей происходит с помощью одной из уязвимостей в программе - при получении соответственно составленного сообщения, несущего в себе исполняемый код, пароль пользователя отсылается на удаленный сервер. Эксперты по безопасности не имеют никакой информации по данной проблеме, попытки связаться с хакерами по указанному e-mail также ни к чему не привели.
Источник: Компьюлента
22.02.02 Windows Media Player 8 ведет учет всем проигранным на нем файламКак стало известно, Windows Media Player 8, мультимедийный проигрыватель, бесплатно поставляющийся вместе с операционной системой Windows XP, содержит шпионские программы. Во всяком случае, совершенно точно, что он запоминает сведения обо всех проигрываемых на нем файлах. Когда пользователь, например, проигрывает CD, Media Player загружает с определенного сайта Microsoft, название и самого диска, и всех записанных на нем песен. Информация хранится в специальном файле на каждом компьютере с установленным WM Player восьмой версии. Так же обстоит дело и с DVD.
После запроса со сторона Associated Press, Microsoft объявил о том, что впредь будет информировать пользователей об этой характерной черте Media Player. Ранее пользователи лишь уведомлялись о том, что наименования записей на DVD и CD скачиваются с определенного сайта, но нигде не сообщалось о том, что список проигранных файлов сохраняется на компьютере. Теперь пользователи будут об этом олповещаться, однако Microsoft не сообщает о том, как можно удалить или изменить этот файл.
Юристов настораживает странное поведение программы. Как выяснилось, она, скачивая из интернета сведения о проигрываемых записях, отправляет на тот же веб-сайт уникальный идентификационный номер пользователя операционной системы.
Содержимое файла может чрезвычайно заинтересовать, например, следователей, адвокатов, специализирующихся на бракоразводных делах, и других лиц, заинтересованных в персональных пристрастиях пользователя. К тому же с помощью этого средства можно отследить, не создавал ли пользователь нелегальных копий произведений, за которые уже заплатил.
Со своей стороны Microsoft утверждает, что идентификационный номер создается лишь для того, чтобы у каждого пользователя на сайте был свой отдельный аккаунт, и что посторонние никогда не узнают ни сам номер, ни какую-либо сугубо персональную информацию, попавшую на серверы Microsoft.
Это косвенно подтверждается и пресловутым письмом Билла Гейтса о "надежном компьютинге", в котором, в частности, говорится: "Пользователи должны знать о том, как используется их информация, и контролировать этот процесс. Информационная политика должна быть предельно ясной для пользователя". Однако, по мнению Ричарда Смита, правоведа, специализирующегося по вопросам приватности, между директивой Гейтса и тем, как на самом деле работает Windows Media Player, существует серьезное противоречие. Например, Media Player скачивает с сайта оглавление DVD-диска, в то время, как оно уже и так записано на диск. А одновременно со скачиванием, как уже сказано, на сайт отправляется информация о пользователе.
Источник: Компьюлента
22.02.02 Microsoft работает над сканером для поиска уязвимостей в программахВ последнее время корпорация Microsoft стала уделять повышенное внимание проблеме безопасности своих продуктов. Отныне поиск ошибок и уязвимых мест в программах стал наиважнейшей задачей программистов компании. Очередным шагом на пути усиления безопасности должна стать программа, способная самостоятельно вести поиск уязвимых мест в системе. Над созданием этой программы уже трудятся программисты Microsoft, а ее ранняя версия была представлена на конференции RSA 2002, проходящей в эти дни в Сан-Хосе.
Сканер уязвимостей от Microsoft, получивший название Baseline Security Advisor, после установки сканирует ОС и приложения на предмет наличия в них всех необходимых заплаток и обновлений, предупреждает о недостаточно надежных паролях и указывает на потенциально уязвимые места отдельных программ. При этом Baseline Security Advisor, в отличие от других подобных сканеров, выступает не в роли хакера, пытающегося взломать компьютер, а в роли администратора, настраивающего систему на максимальную безопасность путем изменения ее установок. Для поиска дыр сканер от Microsoft скачивает из интернета базу данных в формате XML, размер которой на сегодняшний день составляет около 700 кб. Саму программу можно будет бесплатно скачать с сайта Microsoft уже в марте этого года.
Источник: Компьюлента
21.02.02 @stake: половина всего используемого ПО имеет крайне опасные системные ошибки.Почти половина всех используемых сегодня программных приложений содержат системные ошибки, которые относятся к категории очень серьезных и могут легко быть использованы злоумышленниками для причинения ущерба их пользователям. При этом большинства этих ошибок просто не возникло бы в случае, если бы разработчики программного обеспечения осуществляли должным образом тестирование приложений на предмет их безопасности в процессе их разработки. К таким выводам пришла компания @stake, специализирующаяся на исследованиях в области компьютерной безопасности.
"Все приложения имеют те или иные уязвимости, однако, тестируя многие программы мы находили такие ошибки, которые не только крайне опасны, но и крайне доступны для их эксплуатции хакерами", - заявил исполнительный вице-президент @stake Ави Корфас (Avi Corfas). "По результатам нашего исследования, подобными критическими ошибками обладают 47% всех используемых сегодня приложений", - добавил г-н Корфас.
Представитель @stake не стал уточнять, приложения каких разработчиков использовались при тестировании, однако отметил, что при испытаниях ПО от различных производителей разница в уровне обеспечения безопасности порой была просто огромной.
"Некоторые приложения на 80% более безопасны, чем их аналоги", - констатировал г-н Корфас.
Источник: CNews