S3 Ep143: Supercookie-valvontajuttuja

Eikö alla ole audiosoitinta? Kuunnella suoraan Soundcloudissa.

DOUG.  Applen hätäkorjaus, kaasuvalot tietokoneet ja MIKSI EN VOI JATKAA WINDOWS 7:N KÄYTTÖÄ?

Kaikki tämä ja paljon muuta Naked Security -podcastissa.

[MUSIIKKIMODEEMI]

Tervetuloa podcastiin kaikki.

Olen Doug Aamoth; hän on Paul Ducklin.

Paul, miten voit?

---

ANKKA.  No, olen hieman hämmästynyt, Doug.

Olit erittäin dramaattinen tarpeesta jatkaa Windows 7:n käyttöä!

---

DOUG.  No, kuten monet ihmiset, olen vihainen siitä (vitsi!), ja puhumme siitä hetken kuluttua.

Mutta ensinnäkin erittäin tärkeä asia Tämä viikko tekniikan historiassa segmentti.

11. heinäkuuta 1976 merkitsi viimeistä haukkoa kerran yleiselle matemaattiselle laskentatyökalulle.

Viittaan tietysti liukusääntöön.

Viimeinen Yhdysvalloissa valmistettu malli, Keuffel & Esser 4081-3, esiteltiin Smithsonian Institutionille, mikä merkitsi matemaattisen aikakauden loppua…

…aikakausi, jonka tietokoneet ja laskimet, kuten Paulin suosikki HP-35, ovat tehneet vanhentuneiksi.

Joten, Paul, uskon, että sinulla on verta käsissäsi, sir.

---

ANKKA.  En ole koskaan omistanut HP-35:tä.

Ensinnäkin olin aivan liian nuori, ja toiseksi he maksoivat 395 dollaria kukin, kun he tulivat sisään.

---

DOUG.  [NAURA] Vau!

---

ANKKA.  Joten kesti vielä pari vuotta ennen kuin hinnat romahtivat, kun Mooren laki astui voimaan.

Ja sitten ihmiset eivät enää halunneet käyttää diasääntöjä.

Isäni antoi minulle vanhan, ja pidin sitä arvokkaana, koska se oli hienoa…

…ja kerron sinulle, mitä diasääntö opettaa sinulle, koska kun käytät sitä kertolaskussa, muutat periaatteessa kaksi kerrottavaa lukua luvuiksi välillä 1–10, ja sitten kerrot ne yhteen.

Ja sitten sinun on selvitettävä, mihin desimaalipiste menee.

Jos jaoit yhden luvun 100:lla ja kerroit toisen 1000:lla saadaksesi ne vaihteluvälille, sinun on kaiken kaikkiaan lisättävä yksi nolla kertoaksesi 10:llä lopussa.

Joten se oli loistava tapa opettaa itseäsi, saitko vastaukset elektronisesta laskimestasi, johon kirjoitit pitkiä numeroita, kuten 7,000,000,000 XNUMX XNUMX XNUMX…

…olipa sinulla todellakin suuruusluokka, eksponentti, oikein.

Diasäännöt ja niiden painetut vastineet, lokitaulukot, opettivat sinulle paljon siitä, kuinka hallita suuruusluokkia päässäsi ja olla hyväksymättä vääriä tuloksia liian helposti.

---

DOUG.  En ole koskaan käyttänyt sellaista, mutta se kuulostaa erittäin jännittävältä juuri kuvailemasi perusteella.

Jatketaan jännitystä.

Viime viikolla Firefox julkaistu versio 115:

Firefox 115 on julkaistu, sanoo jäähyväiset vanhempien Windows- ja Mac-versioiden käyttäjille

Niissä oli muistiinpano, jonka haluaisin lukea, ja lainaan:

Tammikuussa 2023 Microsoft lopetti Windows 7:n ja Windows 8:n tuen.

Tämän seurauksena tämä on viimeinen Firefox-versio, jonka kyseisten käyttöjärjestelmien käyttäjät saavat.

Ja minusta tuntuu, että aina kun yksi näistä huomautuksista liitetään lopulliseen julkaisuun, ihmiset tulevat ulos ja sanovat: "Miksi en voi jatkaa Windows 7:n käyttöä?"

Meillä oli jopa kommentoija, joka sanoi, että Windows XP on aivan hyvä.

Mitä sanoisit näille ihmisille, Paul, jotka eivät halua siirtyä rakastamistaan ​​käyttöjärjestelmäversioista?

---

ANKKA.  Paras tapa ilmaista se, Doug, on lukea takaisin, mitä mielestäni paremmin perehtyneet artikkelimme kommentoijat sanoivat.

Alex Fair kirjoittaa:

Kyse ei ole vain siitä, mitä *sinä* haluat, vaan siitä, kuinka sinua voidaan käyttää ja riistää ja samalla vahingoittaa muita.

Ja Paul Roux sanoi melko satiirisesti:

Miksi ihmiset käyttävät edelleen Windows 7:tä tai XP:tä?

Jos syynä on se, että uudemmat käyttöjärjestelmät ovat huonoja, miksi et käyttäisi Windows 2000:ta?

Helvetti, NT 4 oli niin mahtava, että se sai KUUSI huoltopakettia!

---

DOUG.  [NAURA] Vuosi 2000 *oli* mahtava kuitenkin.

---

ANKKA.  Kyse ei ole vain sinusta.

Kyse on tosiasiasta, että järjestelmäsi sisältää bugeja, joita roistot jo osaavat hyödyntää, joita ei koskaan korjata.

Joten vastaus on, että joskus sinun täytyy vain päästää irti, Doug.

---

DOUG.  "On parempi olla rakastanut ja menettänyt kuin olla koskaan rakastamatta ollenkaan", kuten he sanovat.

Pysytään Microsoftin aiheessa.

patch tiistai, Paavali, antaa runsaasti.

Microsoft korjaa neljä nollapäivää ja ryhtyy vihdoin toimiin rikosohjelmien ytimen ohjaimia vastaan

---

ANKKA.  Kyllä, tavallinen suuri määrä virheitä korjattu.

Suuri uutinen tästä, asiat, jotka sinun on muistettava (ja on kaksi artikkelia, jotka voit go ja konsultoida osoitteessa news.sophos.com, jos haluat tietää veriset yksityiskohdat)….

Yksi ongelma on, että neljä näistä vioista on luonnossa, nollapäivän, jo hyväksikäytetyissä aukoissa.

Kaksi niistä on suojauksen ohituksia, ja niin triviaalilta kuin se kuulostaakin, ne ilmeisesti liittyvät URL-osoitteiden napsauttamiseen tai asioiden avaamiseen sähköposteissa, joissa tavallisesti saat varoituksen: "Oletko todella varma, että haluat tehdä tämän?"

Mikä voisi muuten estää monia ihmisiä tekemästä ei-toivottuja virheitä.

Ja kaksi Eevation of-Privilege (EoP) -reikää on kiinnitetty.

Ja vaikka Elevation of Privilege -ohjelmaa pidetään yleensä vähäisempänä kuin koodin etäsuoritus, jossa huijarit käyttävät vikaa murtautuakseen sisään, EoP:n ongelma liittyy roistoihin, jotka jo "viihtyvät tarkoituksella" verkossasi. .

On kuin he voisivat kehittyä vieraista hotellin aulassa supersalaiseksi, hiljaiseksi murtovarkaaksi, joka yhtäkkiä ja taianomaisesti pääsee kaikkiin hotellin huoneisiin.

Niitä kannattaa siis ehdottomasti katsella.

Ja siellä on erityinen Microsoftin tietoturvatiedote…

…no, niitä on useita; johon haluan kiinnittää huomiosi, on ADV23001, joka pohjimmiltaan on Microsoftin sanonta: "Hei, muistakaa, kun Sophos-tutkijat ilmoittivat meille, että he olivat löytäneet suuren joukon rootkitterioita allekirjoitetuilla ytimen ohjaimilla, joita jopa nykyaikainen Windows vain tekisi. ladata, koska ne on hyväksytty käyttöön?"

Luulen, että tällaisia ​​allekirjoitettuja kuljettajia oli lopulta reilusti yli 100.

Hyvä uutinen tässä neuvonnassa on, että kaikki nämä kuukaudet myöhemmin Microsoft on vihdoin sanonut: "OK, aiomme estää näiden ohjainten lataamisen ja alamme estää niitä automaattisesti."

[IRONISTA] Joka on mielestäni melko suuri niistä, kun ainakin jotkin noista ohjaimista on itse asiassa Microsoftin allekirjoittamia osana niiden laitteiston laatuohjelmaa. [NAurua]

Jos haluat löytää tarinan tarinan takana, kuten sanoin, mene osoitteeseen news.sophos.com ja hae "kuljettajat".

Microsoft peruuttaa haitalliset ohjaimet Patch Tuesday Cullingissa

---

DOUG.  Erinomainen.

Selvä, tämä seuraava tarina… Olen kiinnostunut tästä otsikosta monista syistä: Rowhammer palaa valaisemaan tietokoneesi kaasulla.

Vakava turvallisuus: Rowhammer palaa valaisemaan tietokonettasi

Paul, kerro minulle…

[PEETER GABRIELIN "SLEDGEHAMMER" SÄLLYLLE] Kerro minulle…

---

Molemmat.  [LAULA] Rowhammer!

---

DOUG.  [NAURA] Se onnistui!

---

ANKKA.  Jatka, nyt sinun täytyy tehdä riffi.

---

DOUG.  [SYNTESIOINTI] Doodly-doo da doo, doo do doo.

---

ANKKA.  [VAIKUTTU] Erittäin hyvä, Doug!

---

DOUG.  Kiitos.

---

ANKKA.  Ne, jotka eivät muista tätä menneisyydestä: "Rowhammer" on ammattikieltä, joka muistuttaa, että kondensaattorit, joihin muistibitit (ykkösiä ja nollia) on tallennettu nykyaikaiseen DRAM-muistiin tai dynaamisiin hajasaantimuistisiruihin, ovat niin lähellä yhdessä…

Kun kirjoitat yhdelle niistä (sinun täytyy itse asiassa lukea ja kirjoittaa kondensaattorit riveissä kerrallaan, eli "rivivasara"), kun teet niin, koska olet lukenut rivin, olet purkanut kondensaattorit.

Vaikka olet vain katsonut muistia, sinun on kirjoitettava vanha sisältö takaisin, tai ne katoavat ikuisesti.

Kun teet niin, koska nämä kondensaattorit ovat niin pieniä ja niin lähellä toisiaan, on pieni mahdollisuus, että toisen tai molempien viereisten rivien kondensaattorit voivat muuttaa arvoaan.

Nyt sitä kutsutaan DRAMiksi, koska se ei säilytä lataustaan ​​loputtomiin, kuten staattinen RAM tai flash-muisti (flash-muistilla voit jopa sammuttaa virran ja se muistaa, mitä siellä oli).

Mutta DRAM-muistilla, noin sekunnin kymmenesosan jälkeen, periaatteessa kaikkien pienten kondensaattoreiden lataukset ovat haihtuneet.

Joten ne tarvitsevat uudelleenkirjoittamista koko ajan.

Ja jos kirjoitat uudelleen supernopeasti, voit itse asiassa saada lähimuistin bittejä käännettäväksi.

Syynä tähän on historiallisesti ollut se, että jos osaat leikkiä muistin kohdistuksella, vaikka et voi ennustaa, mitkä bitit kääntyvät, voit *saattaa* sotkea asioita, kuten muistiindeksejä, sivutaulukoita, tai ytimen sisällä olevia tietoja.

Vaikka vain luet muistista, koska sinulla on etuoikeutettu pääsy siihen muistiin ytimen ulkopuolella.

Ja tähän rowhammer-hyökkäykset ovat tähän mennessä keskittyneet.

Nämä tutkijat Kalifornian yliopistosta Davisista tekivät sen, että he ajattelivat: "No, ihmettelen, ovatko bittikäännösmallit, niin näennäissatunnaisia ​​kuin ne ovatkin, yhdenmukaisia ​​eri sirujen myyjille?"

Mikä kuulostaa "superkekseltä", eikö niin?

Jotain, joka tunnistaa tietokoneesi seuraavan kerran.

Ja todellakin tutkijat menivät vielä pidemmälle ja havaitsivat, että yksittäisiä siruja… tai muistimoduuleja (niissä on yleensä useita DRAM-siruja), DIMM-moduulit, kaksoisrivimuistimoduulit, jotka voit kiinnittää esimerkiksi pöytätietokoneesi paikkoihin, ja joissakin kannettavissa tietokoneissa.

He havaitsivat, että itse asiassa bitin kääntökuviot voitaisiin muuntaa eräänlaiseksi iirisskannaukseksi tai vastaavaksi, jotta he voisivat tunnistaa DIMM-moduulit myöhemmin tekemällä riviiskuhyökkäyksen uudelleen.

Toisin sanoen voit tyhjentää selaimesi evästeet, muuttaa asentamiesi sovellusten luetteloa, muuttaa käyttäjätunnustasi, asentaa uudelleen upouuden käyttöjärjestelmän, mutta teoriassa muistisirut antavat sinulle pois.

Ja tässä tapauksessa idea on: super-evästeet.

Erittäin mielenkiintoinen ja lukemisen arvoinen.

---

DOUG.  Se on siistiä!

Toinen asia uutisten kirjoittamisessa, Paul: olet hyvä uutisten kirjoittaja, ja ajatuksena on saada lukija heti koukkuun.

Joten tämän seuraavan artikkelin ensimmäisessä virkkeessä sanot: "Vaikka et olisi kuullut kunnioitettavasta Ghostscript-projektista, olet ehkä käyttänyt sitä tietämättäsi."

Olen kiinnostunut, koska otsikko on: Ghostscript-virhe saattaa sallia roistodokumenttien suorittaa järjestelmäkomentoja.

Ghostscript-virhe saattaa sallia roistodokumenttien suorittaa järjestelmäkomentoja

Kerro minulle lisää!

---

ANKKA.  No, Ghostscript on ilmainen ja avoimen lähdekoodin toteutus Adoben PostScript- ja PDF-kielille.

(Jos et ole kuullut PostScriptistä, PDF on eräänlainen "PostScript Next Generation".)

Se on tapa kuvata, kuinka luodaan tulostettu sivu tai sivu tietokoneen näytölle kertomatta laitteelle, mitkä pikselit on otettava käyttöön.

Joten sanot: "Piirrä neliö tähän; piirrä kolmio tähän; käytä tätä kaunista fonttia."

Se on oma ohjelmointikieli, jonka avulla voit hallita laitteesta riippumattomia asioita, kuten tulostimia ja näyttöjä.

Ja Ghostscript on, kuten sanoin, ilmainen ja avoimen lähdekoodin työkalu juuri siihen.

Ja on olemassa lukuisia muita avoimen lähdekoodin tuotteita, jotka käyttävät juuri tätä työkalua tapana tuoda asioita, kuten EPS (Encapsulated PostScript) -tiedostoja, kuten voit saada suunnitteluyritykseltä.

Joten sinulla saattaa olla Ghostscript tietämättäsi - se on keskeinen ongelma.

Ja tämä oli pieni mutta todella ärsyttävä bugi.

Osoittautuu, että petollinen asiakirja voi sanoa esimerkiksi: "Haluan luoda tulosteen, ja haluan laittaa sen tiedostonimeen XYZ."

Mutta jos laitat tiedostonimen alkuun %pipe%, ja *sitten* tiedoston nimi…

…tästä tiedostonimestä tulee suoritettavan komennon nimi, joka käsittelee Ghostscriptin tulosteen niin sanotussa "putkilinjassa".

Se saattaa kuulostaa pitkältä tarinalta yhdelle bugille, mutta tärkeä osa tätä tarinaa on, että ongelman korjaamisen jälkeen: "Voi ei! Meidän on oltava varovaisia, jos tiedoston nimi alkaa merkeillä %pipe%, koska se tarkoittaa itse asiassa, että se on komento, ei tiedostonimi."

Se voi olla vaarallista, koska se voi aiheuttaa koodin etäsuorittamisen.

Joten he korjasivat sen vian, ja sitten joku tajusi: "Tiedätkö mitä, viat kulkevat usein pareittain tai ryhmissä."

Joko samanlaisia ​​koodausvirheitä muualla samassa koodibitissä tai useampi kuin yksi tapa laukaista alkuperäinen virhe.

Ja silloin joku Ghostscript Script -tiimistä tajusi: "Tiedätkö mitä, annamme heidän myös kirjoittaa | [pystypalkki eli "pipe"-merkki] myös välilyöntikomennon nimi, joten meidän on tarkistettava myös se."

Joten siellä oli korjaustiedosto, jota seurasi korjaus paikkaan.

Ja se ei välttämättä ole merkki ohjelmointitiimin pahuudesta.

Se on itse asiassa merkki siitä, että he eivät vain tehneet vähimmäismäärää työtä, allekirjoittaneet sen ja jättäneet sinut kärsimään toisen bugin kanssa ja odottamaan, kunnes se löydettiin luonnosta.

---

DOUG.  Ja ettet luulisi, että olemme lopettaneet bugeista puhumisen, eikö meillä ole sinulle tyhmää!

Applen hätäkorjaus syntyiJa sitten ilmestymättä, ja sitten Apple tavallaan/tavallaan kommentoi sitä, mikä tarkoittaa, että ylös on alas ja vasen on oikea, Paul.

Kiireellinen! Apple korjaa kriittisen nollapäivän aukon iPhonessa, iPadissa ja Macissa

---

ANKKA.  Kyllä, se on vähän virheiden komediaa.

Olen melkein, mutta en aivan, pahoillani Applen puolesta tässä…

…mutta koska he haluavat sanoa niin vähän kuin mahdollista (kun he eivät sano mitään), ei ole vieläkään selvää, kenen vika se on.

Mutta tarina menee näin: "Voi ei! Safarissa, WebKitissä (selainmoottori, jota käytetään jokaisessa iPhonesi selaimessa ja Macin Safarissa) on 0 päivää, ja huijarit/vakoiluohjelmien myyjät/joku ilmeisesti käyttää tätä suureen pahaan.

Toisin sanoen "look-and-be-pwned" tai "drive-by install" tai "nolla-click-infektio" tai miksi haluat sitä kutsua.

Joten kuten tiedät, Applella on nyt tämä Rapid Security Response -järjestelmä (ainakin uusimmissa iOS-, iPadOS- ja macOS-järjestelmissä), jossa heidän ei tarvitse luoda täydellistä järjestelmäpäivitystä kokonaan uudella versionumerolla, jota et voi koskaan päivittää. alkaen aina, kun on 0-päivä.

Näin ollen nopeat turvatoimet.

Nämä ovat asioita, jotka, jos ne eivät toimi, voit poistaa ne jälkeenpäin.

Toinen asia on, että ne ovat yleensä todella pieniä.

Hienoa!

Ongelmana on… näyttää siltä, ​​että koska nämä päivitykset eivät saa uutta versionumeroa, Applen täytyi löytää tapa ilmaista, että olit jo asentanut Rapid Security Responsen.

Joten he tekevät niin, että otat versionumerosi, kuten iOS 16.5.1, ja lisäät sen jälkeen välilyönnin ja sitten (a).

Ja sana kadulla on, että jotkut verkkosivustot (en aio nimetä niitä, koska tämä kaikki on kuulopuhetta)…

…kun he tutkivat User-Agent merkkijono Safarissa, joka sisältää (a) Täydellisyyden vuoksi sanoi: "Whoooooa! Mitä (a) teet versionumerossa?"

Joten jotkut käyttäjät ilmoittivat ongelmista, ja Apple ilmeisesti veti päivitys.

Apple vetää hiljaa uusimman nollapäiväpäivityksensä – mitä nyt?

Ja sitten, suuren hämmennyksen ja toisen Naked Securityn artikkelin jälkeen, eikä kukaan tiennyt, mitä oli tekeillä… [NAurua]

…Apple julkaisi vihdoin HT21387:n, tietoturvatiedotteen, jonka he tuottivat ennen kuin korjaustiedosto oli valmis, mitä he eivät yleensä tee.

Mutta se oli melkein pahempaa kuin sanomatta mitään, koska he sanoivat: "Tämän ongelman vuoksi Rapid Security Response (b) on pian saatavilla tämän ongelman ratkaisemiseksi."

Ja siinä se. [NAURU]

He eivät oikein kerro, mistä on kysymys.

He eivät kerro, johtuuko se siitä User-Agent merkkijonoja, koska jos näin on, ehkä ongelma on enemmän verkkosivustossa toisessa päässä kuin Applessa itsestään?

Mutta Apple ei sano.

Emme siis tiedä, onko se heidän, verkkopalvelimen vai molempien vika.

Ja he sanovat vain "pian", Doug.

---

DOUG.  Nyt on hyvä hetki esittää lukijakysymyksemme.

Tässä Apple-tarinassa lukija JP kysyy:

Miksi verkkosivustojen täytyy tarkistaa selaimesi niin paljon?

Se on liian snoopy ja luottaa vanhoihin tapoihin tehdä asioita.

Mitä sanot siihen, Paul?

---

ANKKA.  Mietin itsekin tuota kysymystä ja lähdin etsimään: "Mitä sinun pitäisi tehdä User-Agent jouset?"

Se näyttää olevan vähän ikuinen ongelma verkkosivustoille, joissa he yrittävät olla erittäin älykkäitä.

Joten menin MDN:ään (mikä ennen oli, luulen, Mozillan kehittäjäverkosto, mutta se on nyt yhteisösivusto), joka on yksi parhaista resursseista, jos mietit: "Entä HTTP-otsikot? Entä HTML? Entä JavaScript? Entä CSS? Miten tämä kaikki sopii yhteen?"

Ja heidän neuvonsa yksinkertaisesti on: "Ole hyvä ja kaikki, lakkaa katsomasta User-Agent merkkijono. Teet vain sauvan omalle selällesi ja paljon monimutkaista kaikille muille."

Joten miksi sivustot katsovat User-Agent?

[WRY] Luulen, koska he voivat. [NAURU]

Kun luot verkkosivustoa, kysy itseltäsi: "Miksi menen tähän kaninkoloon, koska minulla on erilainen tapa vastata johonkin oudon merkkijonoon jossain User-Agent? "

Yritä ajatella pidemmälle, niin elämästä tulee yksinkertaisempaa meille kaikille.

---

DOUG.  Selvä, erittäin filosofista!

Kiitos, JP, että lähetit sen.

Jos sinulla on mielenkiintoinen tarina, kommentti tai kysymys, jonka haluat lähettää, luemme sen mielellämme podcastista.

Voit lähettää sähköpostia tips@sophos.com, kommentoida mitä tahansa artikkeleistamme tai ottaa meihin yhteyttä sosiaalisessa mediassa: @nakedsecurity.

Se on tämän päivän esitys; kiitos paljon kuuntelusta.

Paul Ducklinille olen Doug Aamoth, muistuttaen: seuraavaan kertaan…

---

Molemmat.  Pysy turvassa!

[MUSIIKKIMODEEMI]