W mechanizmach kryptograficznych wykorzystywanych w ASP.NET wykryty został błąd. Microsoft opublikował stosowny dokument: Vulnerability in ASP.NET Could Allow Information Disclosure. Informacje na temat tej podatności są nieco chaotyczne, ale z kontekstu można przypuszczać, że pozwala ona nie tylko na rozszyfrowanie danych i ustalenie klucza, którym zostały zaszyfrowane.
HMAC-based One Time Password jest opublikowanym w 2005 roku algorytmem, który służy do generowania haseł jednorazowych. Hasło to generowane jest w oparciu o unikalny dla każdego tokenu tajny, ale współdzielony z serwerem klucz, oraz licznik. Ze szczegółami algorytmu można zapoznać się w RFC4226.
OCRA czyli OATH Challenge-Response Algorithms (przy okazji warto zapoznać się z OATH) to algorytm, a właściwie ich zbiór, który oferuje uwierzytelnienie typu challenge-response. Jedno lub dwustronne. Szczegóły można znaleźć w dokumencie OCRA: OATH Challenge-Response Algorithms.
Algorytm OCRA w najbardziej ogólnym przypadku można przedstawić w sposób następujący:
OCRA = CryptoFunction(K, DataInput)
Gdzie wejściem do funkcji CryptoFunction są:
Szanowni Wysokiej Klasy Specjaliści od PR!
Cieszę się, że mój blog został uznany za wystarczająco interesujący, by znaleźć się w obszarze Państwa zainteresowania. Jednakże gdyby Państwo zadali sobie odrobinę trudu i zapoznali się z jego zawartością, niewątpliwie zauważylibyście, że nie publikuję na nim notatek prasowych. Skoro do tej pory nie opublikowałem żadnej notatki prasowej, co każe Państwu przypuszczać, że zrobię wyjątek dla informacji nadesłanej akurat przez Państwa?
Uprzejmie proszę proszę o zaprzestanie zaśmiecania mojego czasu marketingowym bełkotem. Z naciskiem na bełkot.
Z góry dziękuję!
Oryginał tego wpisu dostępny jest pod adresem Do specjalistów od PR słów klika
Autor: Paweł Goleń
Używanie tego samego hasła w wielu serwisach jest ZŁE! Ta historyjka pokazuje dlaczego. No, przynajmniej jeden możliwy scenariusz. Przy okazji wyjaśnieniu ulega kwestia, dlaczego Google nie jest Evil i nie przejmuje kontroli nad światem :)
Jednym ze sposobów exploitowania sql injection jest wyświetlenie większej ilości danych poprzez zmianę warunków zapytania SQL. Można to zrobić w prosty sposób poprzez dopisanie do zapytania OR z warunkiem, który zawsze będzie prawdziwy. Z tą techniką jest jednak jeden problem – tak zmodyfikowane zapytanie zwraca często dużo danych. Na tyle dużo, że aplikacja może sobie nie poradzić z ich przetworzeniem i z SQLi robi się wyjątkowo skuteczny atak DoS... Technika z AND jest jednak nieco bezpieczniejsza. A jeśli już OR, to warto dodać limity na ilość zwracanych danych.
Oryginał tego wpisu dostępny jest pod adresem OR 1=1 — na banlistę
Autor: Paweł Goleń
Choć książki “magiczne” nie są moim ulubionym gatunkiem, to kilka tytułów bardzo przyjemnie mnie zaskoczyło. Pisałem już o cyklu Pan Lodowego Ogrodu, na którego kolejną część trzeba cierpliwie czekać. Wspominałem też o prześmiewczych Kłopotach w Hamdirholm.
Kolejna ciekawa seria, o której chcę wspomnieć, to Cykl Demontów, z którego Malowanego Człowieka i Pustynną Włócznię już przeczytałem. Na kolejną część, The Daylight War przyjdzie poczekać do 2012 roku...
Oryginał tego wpisu dostępny jest pod adresem Malowany Człowiek, Pustynna Włócznia
Autor: Paweł Goleń
Prawie rok temu opisywałem działanie nagłówka X-FRAME-OPTIONS. Przygotowałem też prosty przykład, na którym każdy mógł sprawdzić jak jego przeglądarka obsługuje ten nagłówek. Dziś na krótko wrócę do tego tematu, a to z uwagi na wpis X-Frame-Options: zacznij stosować oraz komentarz(e) Bartka. Mam wrażenie, że clickjacking oraz CSRF trochę się ze sobą mieszają. Postaram się wytłumaczyć różnicę.
Od pewnego czasu dużo mówi się na temat DLL Hijacking. Nie robi to na mnie większego wrażenia, bo nie jest to wcale nowa podatność, na potwierdzenie można podać ten wpis: DLL Preloading Attacks. Mam nawet wątpliwość, czy można nazwać podatnością coś, co jest udokumentowanym zachowaniem systemu: Dynamic-Link Library Search Order. Co więcej w Windows już od dłuższego czasu istnieje klucz SafeDllSearchMode , który zmienia kolejność wyszukiwania bibliotek. Domyślnie to (nie do końca) bezpieczne wyszukiwanie bibliotek DLL jest aktywne od Windows XP SP2. Nie sposób również nie wspomnieć o poprawce do systemu, która opisana jest w artykule A new CWDIllegalInDllSearch registry entry is available to control the DLL search path algorithm.
W zamierzchłych czasach pojawiły się pierwsze informacje o malware, który był cyfrowo podpisany. Zdziwienie związane z tym faktem skomentowałem we wpisie Kapcie z nóg... czyli po co podpisywać programy. Pisałem wówczas, że podpisy cyfrowe określają źródło pochodzenia aplikacji oraz potwierdzają integralność aplikacji. Teraz, po trzech latach, warto te stwierdzenia nieco zrewidować.
W ostatnim czasie kilka razy mój laptop zachował się dziwnie. Dziwnie, to znaczy najpierw intensywnie pracował dyskiem, a później tchórzliwie odmówił dalszej współpracy. Okazało się, że wrócił stary problem, który opisałem tu: Miałem memory leak. Była jedna różnica, tym razem pamięć ciekła wolniej, więc problem występował dopiero po dłuższej chwili pracy, co nieco utrudniało jego zauważenie na tyle szybko, by przed zawieszeniem komputera móc go diagnozować. Ostatecznie się jednak udało, tym razem również problemem było połączenie Network Monitor z kartą WiFi. Bezpośrednim powodem natomiast Network Monitor 3.4, którego instalację (aktualizację) w ostatnim czasie sobie zafundowałem. W trakcie instalacji wyłączony przeze mnie wcześniej sterownik został ponownie aktywowany.
Oryginał tego wpisu dostępny jest pod adresem Memory leak. Znowu.
Autor: Paweł Goleń