S3 Ep143: Supercookie-overvågnings-snak

Ingen lydafspiller nedenfor? Hør efter direkte på Soundcloud.

DOUG.  En Apple-nødpatch, gasbelysningscomputere og HVORFOR KAN JEG IKKE Bliv ved med at bruge WINDOWS 7?

Alt det, og mere, på Naked Security-podcasten.

[MUSIK MODEM]

Velkommen til podcasten, alle sammen.

Jeg er Doug Aamoth; han er Paul Ducklin.

Paul, hvordan har du det?

---

AND.  Nå, jeg er lidt forskrækket, Doug.

Du var meget dramatisk med hensyn til behovet for at blive ved med at bruge Windows 7!

---

DOUG.  Nå, ligesom mange mennesker, er jeg vred over det (joke!), og det taler vi om om lidt.

Men først en meget vigtig Denne uge i teknisk historie segment.

11. juli 1976 markerede det sidste gisp for et engang almindeligt matematisk beregningsværktøj.

Jeg henviser selvfølgelig til glidereglen.

Den endelige producerede amerikanske model, en Keuffel & Esser 4081-3, blev præsenteret for Smithsonian Institution, hvilket markerede afslutningen på en matematisk æra...

…en æra, der er blevet forældet af computere og regnemaskiner som Pauls favorit, HP-35.

Så, Paul, jeg tror, ​​du har blod på dine hænder, sir.

---

AND.  Jeg har aldrig ejet en HP-35.

For det første var jeg alt for ung, og for det andet var de $395 hver, da de kom ind.

---

DOUG.  [griner] Wow!

---

AND.  Så det tog endnu et par år, før priserne faldt, da Moores lov startede.

Og så ville folk ikke bruge slideregler mere.

Min far gav mig sin gamle, og jeg værdsatte den ting, fordi den var fantastisk...

…og jeg vil fortælle dig, hvad en diasregel lærer dig, for når du bruger den til multiplikation, konverterer du stort set de to tal, du vil gange, til tal mellem 1 og 10, og derefter multiplicerer du dem sammen.

Og så skal du regne ud, hvor decimaltegnet går hen.

Hvis du dividerer det ene tal med 100 og multiplicerer det andet med 1000 for at få dem inden for rækkevidde, så skal du samlet set tilføje et nul for at gange med 10 til sidst.

Så det var en fantastisk måde at lære dig selv, om svarene du fik fra din elektroniske lommeregner, hvor du indtastede lange tal som 7,000,000,000...

...om du faktisk havde størrelsesordenen, eksponenten, rigtigt.

Slide-regler og deres udskrevne ækvivalent, log-tabeller, lærte dig meget om, hvordan du håndterer størrelsesordener i dit hoved og ikke accepterer falske resultater for let.

---

DOUG.  Jeg har aldrig brugt en, men det lyder meget spændende ud fra det du lige har beskrevet.

Lad os holde spændingen i gang.

Sidste uge, Firefox frigivet version 115:

Firefox 115 er ude, siger farvel til brugere af ældre Windows- og Mac-versioner

De inkluderede en note, som jeg gerne ville læse, og jeg citerer:

I januar 2023 ophørte Microsoft med at understøtte Windows 7 og Windows 8.

Som følge heraf er dette den sidste version af Firefox, som brugere på disse operativsystemer vil modtage.

Og jeg føler, at hver gang en af ​​disse noter bliver vedhæftet en endelig udgivelse, kommer folk ud og siger: "Hvorfor kan jeg ikke blive ved med at bruge Windows 7?"

Vi havde endda en kommentator, der sagde, at Windows XP er helt fint.

Så hvad ville du sige til disse mennesker, Paul, som ikke ønsker at gå videre fra operativsystemversioner, som de elsker?

---

AND.  Den bedste måde for mig at sige det på, Doug, er at læse tilbage, hvad jeg mener, de bedre informerede kommentatorer på vores artikel sagde.

Alex Fair skriver:

Det handler ikke kun om, hvad *du* vil, men om hvordan du kan blive brugt og udnyttet, og til gengæld skade andre.

Og Paul Roux sagde ret satirisk:

Hvorfor kører folk stadig Windows 7 eller XP for den sags skyld?

Hvis årsagen er, at nyere operativsystemer er dårlige, hvorfor så ikke bruge Windows 2000?

For pokker, NT 4 var så fantastisk, at den modtog Seks servicepakker!

---

DOUG.  [GRNER] 2000 *var* dog fantastisk.

---

AND.  Det hele handler ikke om dig.

Det handler om, at dit system indeholder fejl, som skurke allerede ved, hvordan de skal udnytte, som aldrig nogensinde vil blive rettet.

Så svaret er, at nogle gange er du simpelthen nødt til at give slip, Doug.

---

DOUG.  "Det er bedre at have elsket og mistet end aldrig at have elsket overhovedet," som de siger.

Lad os blive ved emnet Microsoft.

patch tirsdag, Paul, giver rigeligt.

Microsoft retter fire nul-dage, og griber endelig ind over for kriminalitetskernedrivere

---

AND.  Ja, det sædvanlige store antal fejl rettet.

Den store nyhed ud af dette, de ting, du skal huske (og der er to artikler, du kan go , konsultere på news.sophos.com, hvis du vil vide de blodige detaljer).

Et problem er, at fire af disse fejl er i de vilde, nul-dages, allerede udnyttede huller.

To af dem er sikkerhedsomgåelser, og hvor trivielt det end lyder, relaterer de sig tilsyneladende til at klikke på URL'er eller åbne ting i e-mails, hvor du normalt ville få en advarsel, der siger: "Er du virkelig sikker på, at du vil gøre dette?"

Hvilket ellers kan forhindre en del mennesker i at lave en uønsket fejl.

Og der er to Elevation-of-Privilege (EoP) huller fast.

Og selvom Elevation of Privilege normalt bliver set ned på som mindre end Remote Code Execution, hvor skurke bruger fejlen til at bryde ind i første omgang, har problemet med EoP at gøre med skurke, der allerede "slynger med hensigt" i dit netværk .

Det er, som om de er i stand til at opgradere sig selv fra at være gæst i hotellets lobby til en superhemmelighedsfuld, tavs indbrudstyv, der pludselig og på magisk vis har adgang til alle værelser på hotellet.

Så dem er bestemt værd at holde øje med.

Og der er en særlig Microsoft-sikkerhedsrådgivning...

… ja, der er flere af dem; den, jeg vil henlede din opmærksomhed på, er ADV23001, hvilket grundlæggende er Microsoft, der siger: "Hey, husk da Sophos-forskere rapporterede til os, at de havde fundet en hel masse rootkittery i gang med signerede kernedrivere, som selv moderne Windows bare ville belastning, fordi de er godkendt til brug?"

Jeg tror i sidste ende, at der var langt over 100 sådanne signerede chauffører.

Den gode nyhed i denne rådgivning er, at alle disse måneder senere har Microsoft endelig sagt, "OK, vi vil stoppe disse drivere i at blive indlæst og begynde at blokere dem automatisk."

[IRONISK] Hvilket jeg formoder er ret stort af dem, når i det mindste nogle af disse drivere faktisk blev signeret af Microsoft selv, som en del af deres hardwarekvalitetsprogram. [griner]

Hvis du vil finde historien bag historien, skal du som sagt bare gå ind på news.sophos.com og søge efter “drivere".

Microsoft tilbagekalder ondsindede drivere i Patch Tuesday Culling

---

DOUG.  Excellent.

Okay, denne næste historie... Jeg er fascineret af denne overskrift af så mange grunde: Rowhammer vender tilbage for at gaslyse din computer.

Seriøs sikkerhed: Rowhammer vender tilbage for at gaslyse din computer

Paul, fortæl mig om...

[TIL SANGE AF PETER GABRIEL'S "SLEDGEHAMMER"] Fortæl mig om...

---

BEGGE.  [SYNGER] Rohammer!

---

DOUG.  [griner] Nåede det!

---

AND.  Fortsæt, nu skal du lave riffet.

---

DOUG.  [SYNTESERER EN SYNTETISER] Doodly-doo da doo, doo do doo.

---

AND.  [IMPONERET] Meget godt, Doug!

---

DOUG.  Tak.

---

AND.  Dem, der ikke husker dette fra fortiden: "Rowhammer" er jargonnavnet, der minder os om, at kondensatorerne, hvor bits af hukommelse (enler og nuller) er lagret i moderne DRAM, eller dynamiske random access memory chips, er så tæt på sammen…

Når du skriver til en af ​​dem (du skal faktisk læse og skrive kondensatorerne i rækker ad gangen, altså "rowhammer"), når du gør det, fordi du har læst rækken, har du afladet kondensatorerne.

Selvom alt, hvad du har gjort, er at se på hukommelsen, skal du skrive det gamle indhold tilbage, ellers går det tabt for altid.

Når du gør det, fordi disse kondensatorer er så små og så tæt på hinanden, er der en lille chance for, at kondensatorer i en eller begge af naborækkerne kan ændre deres værdi.

Nu kaldes det DRAM, fordi det ikke holder sin opladning i det uendelige, som statisk RAM eller flash-hukommelse (med flash-hukommelse kan du endda slukke for strømmen, og det vil huske, hvad der var der).

Men med DRAM, efter omkring en tiendedel af et sekund, vil opladningerne i alle de små kondensatorer være forsvundet.

Så de har brug for omskrivning hele tiden.

Og hvis du omskriver superhurtigt, kan du faktisk få bits i nærliggende hukommelse til at vende.

Historisk set er grunden til, at dette har været et problem, at hvis du kan spille med hukommelsesjustering, selvom du ikke kan forudsige, hvilke bits der vil vende, kan du *måske* rode med ting som hukommelsesindekser, sidetabeller, eller data inde i kernen.

Selv hvis alt du gør er at læse fra hukommelsen, fordi du har uprivilegeret adgang til den hukommelse uden for kernen.

Og det er det, radhammerangreb til dato har haft en tendens til at fokusere på.

Hvad disse forskere fra University of California i Davis gjorde, er, at de regnede med, "Nå, jeg spekulerer på, om bit-flip-mønstrene, så pseudotilfældige som de er, er konsistente for forskellige leverandører af chips?"

Hvilket er en slags/en slags lyde som en "supercookie", er det ikke?

Noget der identificerer din computer næste gang.

Og faktisk gik forskerne endnu længere og fandt ud af, at individuelle chips ... eller hukommelsesmoduler (de har normalt flere DRAM-chips på dem), DIMM'er, dobbelte inline-hukommelsesmoduler, som du for eksempel kan klippe ind i slots i din stationære computer, og i nogle bærbare computere.

De fandt ud af, at bit-flip-mønstrene faktisk kunne konverteres til en slags iris-scanning eller noget i den stil, så de kunne genkende DIMM'erne senere ved at udføre rowhammering-angrebet igen.

Med andre ord, du kan rydde dine browsercookies, du kan ændre listen over applikationer, du har installeret, du kan ændre dit brugernavn, du kan geninstallere et helt nyt operativsystem, men hukommelseschipsene vil i teorien give dig væk.

Og i dette tilfælde er ideen: superkager.

Meget interessant, og værd at læse.

---

DOUG.  Det er cool!

En anden ting ved at skrive nyheder, Paul: du er en god nyhedsskribent, og ideen er at fange læseren med det samme.

Så i den første sætning af denne næste artikel siger du: "Selv hvis du ikke har hørt om det ærværdige Ghostscript-projekt, kan du meget vel have brugt det uden at vide det."

Jeg er fascineret, for overskriften er: Ghostscript-fejl kunne tillade useriøse dokumenter at køre systemkommandoer.

Ghostscript-fejl kunne tillade useriøse dokumenter at køre systemkommandoer

Fortæl mig mere!

---

AND.  Nå, Ghostscript er en gratis og open source-implementering af Adobes PostScript- og PDF-sprog.

(Hvis du ikke har hørt om PostScript, ja, PDF er en slags "PostScript Next Generation".)

Det er en måde at beskrive, hvordan man opretter en udskrevet side, eller en side på en computerskærm, uden at fortælle enheden, hvilke pixels der skal tændes.

Så du siger: "Tegn firkant her; tegne trekant her; brug denne smukke skrifttype."

Det er et programmeringssprog i sig selv, der giver dig enhedsuafhængig kontrol over ting som printere og skærme.

Og Ghostscript er som sagt et gratis og open source-værktøj til netop det.

Og der er adskillige andre open source-produkter, der bruger netop dette værktøj som en måde at importere ting som EPS (Encapsulated PostScript)-filer på, som du måske får fra et designfirma.

Så du har måske Ghostscript uden at være klar over det – det er det vigtigste problem.

Og dette var en lille, men virkelig irriterende fejl.

Det viser sig, at et useriøst dokument kan sige ting som: "Jeg vil oprette noget output, og jeg vil sætte det i et filnavn XYZ."

Men hvis du sætter i begyndelsen af ​​filnavnet, %pipe%, og *derefter* filnavnet...

…det filnavn bliver navnet på en kommando, der skal køres, som vil behandle outputtet af Ghostscript i det, der kaldes en "pipeline".

Det lyder måske som en lang historie for en enkelt fejl, men den vigtige del af denne historie er, at efter at have løst det problem: "Åh, nej! Vi skal være forsigtige, hvis filnavnet starter med tegnene %pipe%, fordi det faktisk betyder, at det er en kommando, ikke et filnavn."

Det kan være farligt, fordi det kan forårsage fjernudførelse af kode.

Så de fiksede den fejl, og så indså nogen: "Ved du hvad, fejl går ofte i par eller i grupper."

Enten lignende kodefejl andre steder i den samme kodebit, eller mere end én måde at udløse den originale fejl på.

Og det var da en i Ghostscript Script-teamet indså: "Ved du hvad, vi lader dem også skrive | [lodret streg, dvs. "pipe"-tegnet] mellemrumskommandonavn også, så det skal vi også tjekke for.”

Så der var et plaster, efterfulgt af et patch-to-the-patch.

Og det er ikke nødvendigvis et tegn på dårligdom fra programmeringsholdets side.

Det er faktisk et tegn på, at de ikke bare gjorde den mindste mængde arbejde, kvitterede det og lod dig lide med den anden fejl og vente, indtil den blev fundet i naturen.

---

DOUG.  Og for at du ikke tror, ​​vi er færdige med at tale om fejl, dreng, har vi en doozie til dig!

En nødsituation Apple-patch opstået, Og derefter uopstået, og så kommenterede Apple sådan set på det, hvilket betyder at op er ned og venstre er højre, Paul.

Presserende! Apple retter kritisk nul-dages hul i iPhones, iPads og Macs

---

AND.  Ja, det er lidt af en komedie af fejl.

Jeg har næsten, men ikke helt, ondt af Apple på denne...

…men på grund af deres insisteren på at sige så lidt som muligt (når de slet ikke siger noget), er det stadig ikke klart, hvem der har skyld i det.

Men historien lyder sådan her: ”Åh nej! Der er en 0-dag i Safari, i WebKit (browsermotoren, der bruges i hver enkelt browser på din iPhone og i Safari på din Mac), og skurke/spyware-leverandører/nogen bruger tilsyneladende dette til stor ondskab.”

Med andre ord, "look-and-be-pwned", eller "drive-by install", eller "zero-click-infektion", eller hvad du nu vil kalde det.

Så Apple har som bekendt nu dette Rapid Security Response-system (i hvert fald til de nyeste iOS, iPadOS og macOS), hvor de ikke behøver at lave en komplet systemopgradering med et helt nyt versionsnummer, som du aldrig kan nedgradere fra, hver gang der er en 0-dag.

Således hurtige sikkerhedsreaktioner.

Det er de ting, som du, hvis de ikke virker, kan fjerne dem bagefter.

Den anden ting er, at de generelt er meget små.

Alle tiders!

Problemet er... det ser ud til, at fordi disse opdateringer ikke får et nyt versionsnummer, var Apple nødt til at finde en måde at angive, at du allerede havde installeret Rapid Security Response.

Så det, de gør, er, at du tager dit versionsnummer, såsom iOS 16.5.1, og de tilføjer et mellemrum efter det og derefter (a).

Og ordet på gaden er, at nogle websteder (jeg vil ikke navngive dem, fordi det hele er rygter)...

… da de undersøgte User-Agent streng i Safari, som inkluderer (a) bare for fuldstændighedens skyld, sagde: "Whoooooo! Hvad er (a) laver i et versionsnummer?"

Så nogle brugere rapporterede nogle problemer, og Apple tilsyneladende trukket opdateringen.

Apple trækker stille sin seneste nul-dages opdatering - hvad nu?

Og så, efter en hel masse forvirring, og endnu en artikel om Naked Security, og ingen helt ved, hvad der foregik... [LATER]

…Apple udgav endelig HT21387, en sikkerhedsbulletin, som de producerede, før de rent faktisk havde patchen klar, hvilket de normalt ikke gør.

Men det var næsten værre end at sige ingenting, fordi de sagde: "På grund af dette problem, hurtig sikkerhedsreaktion (b) vil snart være tilgængelig for at løse dette problem."

Og det er det. [LATTER]

De siger ikke helt, hvad problemet er.

De siger ikke, om det er ned til User-Agent strenge, fordi, hvis ja, er problemet måske mere med hjemmesiden i den anden ende end hos Apple selv?

Men det siger Apple ikke.

Så vi ved ikke, om det er deres skyld, webserverens skyld eller dem begge.

Og de siger bare "snart", Doug.

---

DOUG.  Dette er et godt tidspunkt at bringe vores læserspørgsmål ind.

I denne Apple-historie spørger læseren JP:

Hvorfor skal hjemmesider inspicere din browser så meget?

Den er for snopet og er afhængig af gamle måder at gøre tingene på.

Hvad siger du til det, Paul?

---

AND.  Jeg undrede mig selv over det spørgsmål, og jeg gik på udkig efter: "Hvad skal du gøre med User-Agent strenge?”

Det ser ud til at være lidt af et evigt problem for websteder, hvor de forsøger at være superkloge.

Så jeg gik til MDN (det plejede at være, tror jeg, Mozilla Developer Network, men det er nu et fællesskabswebsted), hvilket er en af ​​de bedste ressourcer, hvis du spekulerer på, "Hvad med HTTP-headere? Hvad med HTML? Hvad med JavaScript? Hvad med CSS? Hvordan hænger det hele sammen?”

Og deres råd er ganske enkelt: "Vær venlig allesammen, stop med at se på User-Agent snor. Du laver bare en stang til din egen ryg og en masse kompleksitet for alle andre.”

Så hvorfor kigger websteder på User-Agent?

[WRY] Jeg tror, ​​fordi de kan. [LATTER]

Når du opretter et websted, så spørg dig selv: "Hvorfor går jeg ned i dette kaninhul for at have en anderledes måde at reagere på baseret på en mærkelig smule af en streng et sted i User-Agent? "

Prøv og tænk ud over det, og livet bliver lettere for os alle.

---

DOUG.  Okay, meget filosofisk!

Tak, JP, fordi du sendte det ind.

Hvis du har en interessant historie, kommentar eller spørgsmål, du gerne vil indsende, vil vi meget gerne læse den på podcasten.

Du kan sende en e-mail til tips@sophos.com, kommentere på en af ​​vores artikler eller slå os op på socialt: @nakedsecurity.

Det er vores show for i dag; mange tak fordi du lyttede.

For Paul Ducklin er jeg Doug Aamoth, der minder dig om: Indtil næste gang...

---

BEGGE.  Hold dig sikker!

[MUSIK MODEM]