Paweł Goleń, blog

Jedną z nowych, albo raczej ulepszonych, funkcji Androida 7 jest oszczędzanie baterii (Doze). Rzeczywiście, oszczędność baterii jest zauważalna, ale są zauważalne również pewne irytujące “niedogodności”. Przykładowo – zauważyłem, że Inbox ma tendencję do wyświetlania przypomnień z opóźnieniem (zapewne w trakcie jednego z okien), albo dopiero wówczas, gdy poruszę telefon. Niby nic, no chyba, że przypomnienie ustawione zostało po to, by przypomnieć o czymś “wrażliwym” czasowo...

Oryginał tego wpisu dostępny jest pod adresem Głęboko śpiący Android 7 (Doze)

Autor: Paweł Goleń

Wolę nie myśleć od ilu już lat korzystam z bankomatów... Kiedyś korzystanie z bankomatów było szybsze, a teraz? Teraz każda operacja jest doskonałą sposobnością do umieszczenia krótkiego filmiku reklamowego. Oczywiście filmik trwa dłużej, niż operacja, ale kto by się tym przejmował.

Oryginał tego wpisu dostępny jest pod adresem Wolniej i wolniej (przy bankomacie)

Autor: Paweł Goleń

Już od kilku lat nie zajmuję się bezpośrednio testowaniem, ale od czasu do czasu nachodzi mnie ochota, by się pobawić i sprawdzić jak bardzo “zardzewiałem”. Wiele czasu na to nie mam, ale tak jakoś w takiej wolniejszej chwili w katalogu OWASP Vulnerable Web Applications Directory Project znalazłem to: Altoro Mutual.

Tak, ta strona powstała po to, by pokazać jak bardzo pewne skanery są efektywne w związku z czym jest nafaszerowana podatnościami w sposób nieco nierealistyczny, ale... No właśnie, tych podatności jest może za dużo, za łatwo je znaleźć (wpisywanie szczegółowych informacji o błędach mogli sobie darować), ale same typy podatności są prawdziwe. To nie jest jakiś CTF bardzo wyrafinowany technicznie, ale prezentujący jakiś przypadek praktycznie niewystępujący w naturze. Takie podatności naprawdę znajdowałem w trakcie pracy i wiem, że nadal są znajdowane.

Na stronie OWASP podane są dane do logowania jednego z użytkowników, ale (mały spoiler) nie są potrzebne. Być może (znów – zależy od czasu) napiszę kilka słów / przykładów jak się do testowania zabrać.

I na koniec “wyzwanie” – dojść do tego w jaki sposób w tej aplikacji można wykonywać przelewy bez uwierzytelnienia. Jeśli ktoś chce podnieść poprzeczkę – dojść do tego jak to zrobić mając do aplikacji wyłączenie dostęp anonimowy (hint: SWRlbnR5ZmlrYXRvcnkgdcW8eXRrb3duaWvDs3cgc8SFIGR6aWV3acSZY2lvY3lmcm93ZS4gSGludCAyOiBUbUVnY0hKNmVXdkZnbUZrT2lBeE1EQXhNVFl3TVRNPQ==).

Oryginał tego wpisu dostępny jest pod adresem Do zabawy: Altoro Mutual

Autor: Paweł Goleń

Słucham sobie podcastu (Daily Stormcasts) i nagle słyszę o tym: Over 18,000 Redis Instances Targeted by Fake Ransomware.

Ekhm, ekhm:

In a nutshell, this attack is performed by:

• Sending a CONFIG command telling Redis to store key/values on disk in the “/root/.ssh/authorized_keys” file
• Setting a key/value pair with the value being a public SSH key
• The attacker can now log into the Redis instance via SSH as the root user

Taaaak.... Tak to się kiedyś właziło przez Oracle – manipulacja TNS Listener tak, by nadpisać plik authorized_keys logami, które zawierały klucz publiczny atakującego. Świat się jednak nie zmienia.

Oryginał tego wpisu dostępny jest pod adresem Tak, ja to już chyba gdzieś widziałem

Autor: Paweł Goleń

Raz na jakiś czas przychodzi mi do głowy pomysł, by zmigrować się do produktów Apple. Zwykle zaczyna się od pomysłu, by przejść z Androida (obecnie – Nexus 5x już z Android 7.0) na iPhone. Prawdopodobnie byłby to iPhone 6s Plus 64GB lub 128GB, bo różnica w cenie między tymi dwiema wersjami nie jest powalająca. Tylko wtedy dochodzę do wniosku, że chyba nie mam ochoty nosić przy sobie czegoś, co kosztuje mniej więcej tyle, ile kosztował mój Dell XPS 13 (outlet) i lekko licząc 3x więcej niż mój Nexus 5x... W kolejnym kroku wyklikuję sobie (z ciekawości) ile kosztowałby MacBook Pro 13 o parametrach (procesor, pamięć, dysk) takich, jak mój Dell XPS – lekko licząc 2x więcej. I wtedy tak mi jakoś ta ochota przechodzi.

Tak naprawdę przejścia na MacBook Pro nie rozważam całkiem serio, bo jakoś opornie mi się na nim pracuje. Nawet gdybym zainstalował na tym sprzęcie Windows, to i tak kilka szczegółów jest dla mnie irytujących (klawiatura na przykład). Nie jest to coś, czego nie da się przeskoczyć, ale nie mam też żadnej motywacji, która by uzasadniała taką zmianę. Może, gdy mój obecny laptop dożyje swych dni...

Inaczej patrzę na pomysł z iPhone. Pod względem bezpieczeństwa iOS jest lepszy niż Android. Kilka rzeczy, które Apple wprowadziło (również sprzętowo) do iPhone jest po prostu dużo lepiej przemyślanych, niż to, co obecnie dostępne jest w telefonach z Androidem. Ja i tak jestem dość konserwatywny używając linii Nexus, więc pod wieloma względami mam lepiej, niż “ofiary” radosnej twórczości poszczególnych dostawców (ciekawa lektura: Fingerprint Unlock Security: iOS vs. Google Android (Part I), Fingerprint Unlock Security: iOS vs. Google Android (Part II)).

Przejście na iOS dałoby mi całkiem nieźle przemyślany model bezpieczeństwa ze wsparciem sprzętowym, długie wsparcie producenta (nowe wersje systemu) oraz dostęp do (większości) aplikacji, do których jestem przyzwyczajony z Androida.

P.S: I tak, piszę to nawet mimo tych informacji: The Million Dollar Dissident: NSO Group’s iPhone Zero-Days used against a UAE Human Rights Defender.

Oryginał tego wpisu dostępny jest pod adresem iPhone, MacBook Pro, (...)

Autor: Paweł Goleń

Pisałem już, że Edge mi się podoba. Cóż, teraz po Windows 10 Anniversary Update podoba mi się jeszcze bardziej. Tak, chodzi oczywiście o obsługę rozszerzeń w Edge, w szczególności rozszerzeń pozwalających na blokowanie reklam.

Aktualnie jestem na etapie migracji z Firefox do Edge. Wiele tej migracji nie będzie, po prostu chcę zacząć korzystać z Edge jako z podstawowej przeglądarki by zobaczyć jak się z tym będę czuł. Generalnie już widzę, że Google niespecjalnie lubi się z Edge, na stronie Inbox wita mnie informacja, że przeglądarka nie jest jeszcze wspierana. Wielkiego problemu z tym nie mam, i tak generalnie nie korzystam z Inbox przez WWW, a że aplikacje takie jak Google Keep albo Google Calendar działają to ta migracja może zakończyć się powodzeniem.

Oryginał tego wpisu dostępny jest pod adresem Edge fajny jest (II)

Autor: Paweł Goleń

A miało być tak strasznie, tłumy ludzi, paraliż komunikacyjny, pasy pozajmowane na parkingi dla autokarów... A jak było? Cóż, w tym rejonie, w którym się poruszałem na parkingach było więcej toi toi niż autobusów, większe grupy uczestników widywałem sporadycznie, przygotowane miasteczka namiotowe świeciły pustką. Chyba ktoś się przeliczył szacując ilość uczestników.

Z mojej perspektywy miasto nie było sparaliżowane, było wyludnione. Spokojnie mógłbym do biura dojeżdżać samochodem, ale całe wydarzenie było dla mnie motywacją, by przerzucić się na rower. W biurze pod prysznicami pustki, aż z ciekawości kiedyś w normalny dzień wybiorę się na rowerze by mieć porównanie.

Zastanawiam się jak na całym wydarzeniu wyszli przedsiębiorcy (np. handel). Wydaje mi się, że też są raczej stratni. Pobliski Auchman zmienił godziny otwarcia (do 24:00), wyraźnie zwiększył ilość pracowników na kasach, a tłumu jakoś nie było.

Całość przypomina mi długie, polskie weekendy gdy ludzie namiętnie opuszczają miasta by odpocząć na łonie przyrody (czytaj – spędzić sporo czasu w korkach i tłoku), podczas gdy ja od wielu już lat preferuję zostać w mieście, które wtedy staje się puste i spokojne.

Oryginał tego wpisu dostępny jest pod adresem No i po WYD

Autor: Paweł Goleń