S3 Ep143: Pengawasan supercookie shenanigans

Tidak ada pemutar audio di bawah? Mendengarkan langsung di Soundcloud.

ANJING.  Tambalan Apple darurat, komputer gaslighting, dan MENGAPA SAYA TIDAK BISA MENGGUNAKAN WINDOWS 7?

Semua itu, dan banyak lagi, di podcast Naked Security.

[MODEM MUSIK]

Selamat datang di podcast, semuanya.

Saya Doug Aamoth; dia adalah Paul Ducklin.

Paulus, bagaimana kabarmu?

---

BEBEK.  Yah, aku sedikit terkejut, Doug.

Anda sangat dramatis tentang kebutuhan untuk tetap menggunakan Windows 7!

---

ANJING.  Yah, seperti banyak orang, saya marah tentang itu (bercanda!), Dan kita akan membicarakannya sebentar lagi.

Tapi pertama-tama, yang sangat penting Minggu ini dalam Sejarah Teknologi segmen.

11 Juli 1976 menandai nafas terakhir untuk alat perhitungan matematis yang dulunya umum.

Saya, tentu saja, mengacu pada aturan slide.

Model AS terakhir yang diproduksi, Keuffel & Esser 4081-3, dipresentasikan ke Smithsonian Institution, menandai berakhirnya era matematika…

… era yang dibuat usang oleh komputer dan kalkulator seperti favorit Paul, HP-35.

Jadi, Paul, saya percaya Anda memiliki darah di tangan Anda, Pak.

---

BEBEK.  Saya tidak pernah memiliki HP-35.

Pertama, saya masih terlalu muda, dan kedua, mereka masing-masing $395 ketika mereka masuk.

---

ANJING.  [TERTAWA] Wah!

---

BEBEK.  Jadi butuh beberapa tahun lagi untuk harga jatuh, karena Hukum Moore dimulai.

Dan kemudian orang tidak ingin menggunakan aturan slide lagi.

Ayah saya memberi saya yang lama, dan saya menghargai benda itu karena itu luar biasa…

…dan saya akan memberi tahu Anda apa yang diajarkan oleh penggaris geser, karena saat Anda menggunakannya untuk perkalian, pada dasarnya Anda mengonversi dua angka yang ingin Anda kalikan menjadi angka antara 1 dan 10, lalu mengalikannya.

Dan kemudian Anda perlu mencari tahu di mana letak titik desimal.

Jika Anda membagi satu angka dengan 100 dan mengalikan angka lainnya dengan 1000 untuk mendapatkan rentangnya, maka secara keseluruhan Anda harus menambahkan satu nol, untuk dikalikan dengan 10, di akhir.

Jadi itu cara yang luar biasa untuk mengajari diri sendiri apakah jawaban yang Anda dapatkan dari kalkulator elektronik Anda, di mana Anda mengetikkan angka yang panjang seperti 7,000,000,000…

… apakah Anda benar-benar mendapatkan urutan besarnya, eksponennya, benar.

Aturan slide dan padanannya yang dicetak, tabel log, mengajari Anda banyak hal tentang cara mengatur urutan besarnya di kepala Anda, dan tidak terlalu mudah menerima hasil palsu.

---

ANJING.  Saya belum pernah menggunakannya, tetapi kedengarannya sangat menarik dari apa yang baru saja Anda jelaskan.

Mari jaga keseruan.

Minggu lalu, Firefox dirilis versi 115:

Firefox 115 keluar, ucapkan selamat tinggal kepada pengguna versi Windows dan Mac yang lebih lama

Mereka menyertakan catatan yang ingin saya baca, dan saya kutip:

Pada Januari 2023, Microsoft mengakhiri dukungan untuk Windows 7 dan Windows 8.

Akibatnya, ini adalah versi terakhir Firefox yang akan diterima pengguna di sistem operasi tersebut.

Dan saya merasa bahwa setiap kali salah satu dari catatan ini ditambahkan ke rilis final, orang-orang keluar dan berkata, "Mengapa saya tidak dapat terus menggunakan Windows 7?"

Kami bahkan memiliki komentator yang mengatakan bahwa Windows XP baik-baik saja.

Jadi apa yang akan Anda katakan kepada orang-orang ini, Paul, yang tidak ingin beralih dari versi sistem operasi yang mereka sukai?

---

BEBEK.  Cara terbaik bagi saya untuk mengatakannya, Doug, adalah dengan membaca kembali apa yang saya anggap sebagai komentator yang lebih tahu tentang artikel kami.

Alex Fair menulis:

Ini bukan hanya tentang apa yang *Anda* inginkan, tetapi tentang bagaimana Anda dapat digunakan dan dieksploitasi, dan pada gilirannya merugikan orang lain.

Dan Paul Roux dengan agak menyindir berkata:

Mengapa orang masih menjalankan Windows 7, atau XP dalam hal ini?

Jika alasannya adalah sistem operasi yang lebih baru itu buruk, mengapa tidak menggunakan Windows 2000?

Heck, NT 4 sangat luar biasa sehingga menerima enam paket layanan!

---

ANJING.  [TERTAWA] 2000 *sangat* luar biasa.

---

BEBEK.  Ini tidak semua tentang Anda.

Ini tentang fakta bahwa sistem Anda mengandung bug, yang sudah diketahui oleh penjahat bagaimana cara mengeksploitasinya, yang tidak akan pernah ditambal.

Jadi jawabannya adalah terkadang Anda harus melepaskannya, Doug.

---

ANJING.  “Lebih baik mencintai dan kehilangan daripada tidak pernah mencintai sama sekali,” seperti kata mereka.

Mari kita tetap pada topik Microsoft.

Patch Selasa, Paul, memberi dengan limpah.

Microsoft menambal empat hari nol, akhirnya mengambil tindakan terhadap driver kernel crimeware

---

BEBEK.  Ya, sejumlah besar bug yang biasa diperbaiki.

Berita besar dari ini, hal-hal yang perlu Anda ingat (dan ada dua artikel yang Anda dapat go dan berkonsultasi di news.sophos.com jika Anda ingin mengetahui detail berdarahnya)….

Satu masalah adalah empat dari bug ini berada di lubang liar, zero-day, sudah dieksploitasi.

Dua di antaranya adalah jalan pintas keamanan, dan meskipun kedengarannya sepele, mereka tampaknya berhubungan dengan mengklik URL atau membuka sesuatu di email yang biasanya Anda dapatkan peringatan yang mengatakan, "Apakah Anda benar-benar yakin ingin melakukan ini?"

Yang sebaliknya mungkin menghentikan beberapa orang dari membuat kesalahan yang tidak diinginkan.

Dan ada dua lubang Elevation-of-Privilege (EoP) yang diperbaiki.

Dan meskipun Elevation of Privilege biasanya dipandang rendah daripada Remote Code Execution, di mana penjahat menggunakan bug untuk masuk, masalah dengan EoP ada hubungannya dengan penjahat yang sudah "berkeliaran dengan niat" di jaringan Anda .

Seolah-olah mereka dapat meningkatkan diri dari menjadi tamu di lobi hotel menjadi pencuri super rahasia dan pendiam yang tiba-tiba dan secara ajaib memiliki akses ke semua kamar di hotel.

Jadi itu pasti patut diwaspadai.

Dan ada penasehat keamanan khusus Microsoft…

… yah, ada beberapa di antaranya; yang ingin saya perhatikan adalah ADV23001, yang pada dasarnya adalah Microsoft mengatakan, “Hei, ingat ketika peneliti Sophos melaporkan kepada kami bahwa mereka telah menemukan banyak rootkittery yang terjadi dengan driver kernel bertanda tangan yang bahkan Windows kontemporer pun akan melakukannya. memuat karena disetujui untuk digunakan?”

Saya pikir pada akhirnya ada lebih dari 100 driver yang ditandatangani.

Berita bagus dalam penasehat ini adalah bahwa beberapa bulan kemudian, Microsoft akhirnya berkata, "Oke, kami akan menghentikan pengunduhan driver tersebut dan mulai memblokirnya secara otomatis."

[IRONIS] Yang menurut saya cukup besar, sungguh, ketika setidaknya beberapa dari driver tersebut benar-benar ditandatangani oleh Microsoft sendiri, sebagai bagian dari program kualitas perangkat keras mereka. [TERTAWA]

Jika Anda ingin menemukan cerita di balik cerita, seperti yang saya katakan, buka saja news.sophos.com dan cari “driver".

Microsoft Mencabut Driver Berbahaya di Patch Tuesday Culling

---

ANJING.  Sangat baik.

Baiklah, cerita selanjutnya… Saya tertarik dengan judul ini karena berbagai alasan: Rowhammer kembali menyalakan komputer Anda.

Keamanan Serius: Rowhammer kembali menyalakan komputer Anda

Paulus, ceritakan tentang…

[UNTUK LAGU “SLEDGEHAMMER” PETER GABRIEL] Ceritakan tentang…

---

KEDUA.  [Menyanyi] Rowhammer!

---

ANJING.  [TERTAWA] Berhasil!

---

BEBEK.  Ayo, sekarang Anda harus melakukan riff.

---

ANJING.  [SINTESIS SINTESISER] Doodly-doo da doo, doo do doo.

---

BEBEK.  [TERKESAN] Sangat bagus, Doug!

---

ANJING.  Terima kasih.

---

BEBEK.  Mereka yang tidak mengingat ini dari masa lalu: "Rowhammer" adalah nama jargon yang mengingatkan kita bahwa kapasitor, tempat bit memori (satu dan nol) disimpan dalam DRAM modern, atau chip memori akses acak dinamis, sangat dekat bersama…

Ketika Anda menulis ke salah satu dari mereka (Anda sebenarnya harus membaca dan menulis kapasitor dalam baris pada satu waktu, jadi "pemukul"), ketika Anda melakukannya, karena Anda telah membaca barisnya, Anda telah melepaskan kapasitor.

Bahkan jika semua yang Anda lakukan hanyalah melihat memori, Anda harus menulis kembali konten lama, atau mereka akan hilang selamanya.

Ketika Anda melakukan itu, karena kapasitor itu sangat kecil dan sangat berdekatan, ada kemungkinan kecil bahwa kapasitor di salah satu atau kedua baris tetangga dapat membalikkan nilainya.

Sekarang, ini disebut DRAM karena tidak menahan dayanya tanpa batas waktu, seperti RAM statis atau memori flash (dengan memori flash Anda bahkan dapat mematikan daya dan akan mengingat apa yang ada di sana).

Tetapi dengan DRAM, setelah sekitar sepersepuluh detik, pada dasarnya, muatan di semua kapasitor kecil itu akan hilang.

Jadi mereka perlu menulis ulang sepanjang waktu.

Dan jika Anda menulis ulang dengan sangat cepat, Anda benar-benar bisa membalikkan bit di memori terdekat.

Secara historis, alasan ini menjadi masalah adalah jika Anda dapat bermain dengan penyelarasan memori, meskipun Anda tidak dapat memprediksi bit mana yang akan dibalik, Anda *mungkin* dapat mengacaukan hal-hal seperti indeks memori, tabel halaman, atau data di dalam kernel.

Bahkan jika yang Anda lakukan hanyalah membaca dari memori karena Anda memiliki akses tanpa hak ke memori itu di luar kernel.

Dan itulah yang cenderung menjadi fokus serangan rowhammer hingga saat ini.

Sekarang, apa yang dilakukan para peneliti dari University of California di Davis ini adalah bahwa mereka berpikir, "Yah, saya bertanya-tanya apakah pola bit-flip, sebagai pseudorandom, konsisten untuk vendor chip yang berbeda?"

Yang mana yang terdengar seperti "kue super", bukan?

Sesuatu yang mengidentifikasi komputer Anda lain kali.

Dan memang, para peneliti melangkah lebih jauh dan menemukan bahwa chip individual… atau modul memori (mereka biasanya memiliki beberapa chip DRAM), DIMM, modul memori inline ganda yang dapat Anda jepitkan ke dalam slot di komputer desktop Anda, misalnya, dan di beberapa laptop.

Mereka menemukan bahwa, sebenarnya, pola bit-flip dapat diubah menjadi semacam pemindaian iris, atau semacamnya, sehingga mereka dapat mengenali DIMM nanti dengan melakukan serangan rowhammering lagi.

Dengan kata lain, Anda dapat menghapus cookie browser Anda, Anda dapat mengubah daftar aplikasi yang telah Anda instal, Anda dapat mengubah nama pengguna Anda, Anda dapat menginstal ulang sistem operasi baru, tetapi chip memori, secara teori, akan memberi Anda jauh.

Dan dalam hal ini, idenya adalah: kue kering.

Sangat menarik, dan sangat layak untuk dibaca.

---

ANJING.  Ini keren!

Hal lain tentang menulis berita, Paul: Anda adalah penulis berita yang baik, dan idenya adalah untuk langsung memikat pembaca.

Jadi, dalam kalimat pertama dari artikel berikutnya Anda berkata: "Bahkan jika Anda belum pernah mendengar tentang proyek Ghostscript yang terhormat, Anda mungkin telah menggunakannya tanpa mengetahuinya."

Saya tertarik, karena judulnya adalah: Bug Ghostscript dapat memungkinkan dokumen jahat untuk menjalankan perintah sistem.

Bug Ghostscript dapat memungkinkan dokumen jahat untuk menjalankan perintah sistem

Ceritakan lebih banyak!

---

BEBEK.  Nah, Ghostscript adalah implementasi gratis dan open source dari bahasa PostScript dan PDF Adobe.

(Jika Anda belum pernah mendengar tentang PostScript, PDF adalah semacam "Generasi Berikutnya PostScript".)

Ini adalah cara menjelaskan cara membuat halaman yang dicetak, atau halaman di layar komputer, tanpa memberi tahu perangkat piksel mana yang harus dihidupkan.

Jadi Anda berkata, “Gambar persegi di sini; gambar segitiga di sini; gunakan font yang indah ini.”

Ini adalah bahasa pemrograman dengan haknya sendiri yang memberi Anda kendali independen perangkat untuk hal-hal seperti printer dan layar.

Dan Ghostscript, seperti yang saya katakan, adalah alat sumber terbuka dan gratis untuk melakukan hal itu.

Dan ada banyak produk sumber terbuka lainnya yang menggunakan alat ini persis seperti cara mengimpor hal-hal seperti file EPS (Encapsulated PostScript), seperti yang mungkin Anda dapatkan dari perusahaan desain.

Jadi Anda mungkin memiliki Ghostscript tanpa menyadarinya – itulah masalah utamanya.

Dan ini adalah bug kecil tapi sangat mengganggu.

Ternyata dokumen jahat dapat mengatakan hal-hal seperti, "Saya ingin membuat beberapa keluaran, dan saya ingin memasukkannya ke dalam nama file XYZ."

Tapi jika Anda menempatkan, di awal nama file, %pipe%, dan *lalu* nama file…

… nama file itu menjadi nama perintah untuk dijalankan yang akan memproses keluaran Ghostscript dalam apa yang disebut “saluran pipa”.

Itu mungkin terdengar seperti cerita panjang untuk satu bug, tetapi bagian penting dari cerita ini adalah setelah memperbaiki masalah itu: “Oh, tidak! Kita perlu berhati-hati jika nama file dimulai dengan karakter %pipe%, karena itu sebenarnya adalah perintah, bukan nama file.”

Itu bisa berbahaya, karena bisa menyebabkan eksekusi kode jarak jauh.

Jadi mereka menambal bug itu dan kemudian seseorang menyadari, "Kamu tahu, bug sering berpasangan atau berkelompok."

Entah kesalahan pengkodean serupa di tempat lain dalam bit kode yang sama, atau lebih dari satu cara memicu bug asli.

Dan saat itulah seseorang di tim Ghostscript Script menyadari, “Anda tahu, kami juga membiarkan mereka mengetik | [bilah vertikal, yaitu karakter "pipa"] nama perintah-ruang juga, jadi kita perlu memeriksanya juga."

Jadi ada tambalan, diikuti tambalan ke tambalan.

Dan itu belum tentu merupakan pertanda buruk di pihak tim pemrograman.

Ini sebenarnya pertanda bahwa mereka tidak hanya melakukan pekerjaan minimum, menandatanganinya, dan membiarkan Anda menderita dengan bug lain dan menunggu sampai ditemukan di alam liar.

---

ANJING.  Dan jangan sampai Anda berpikir kami sudah selesai berbicara tentang bug, apakah kami punya doozie untuk Anda!

Patch Apple darurat muncul, Dan kemudian tidak muncul, dan kemudian Apple mengomentarinya, yang artinya atas adalah bawah dan kiri adalah kanan, Paul.

Mendesak! Apple memperbaiki lubang zero-day kritis di iPhone, iPad, dan Mac

---

BEBEK.  Ya, ini sedikit komedi kesalahan.

Saya hampir, tapi tidak sepenuhnya, merasa kasihan pada Apple yang satu ini…

… tetapi karena desakan mereka untuk mengatakan sesedikit mungkin (ketika mereka tidak mengatakan apa-apa), masih belum jelas kesalahan siapa itu.

Tapi ceritanya seperti ini: “Oh tidak! Ada 0-hari di Safari, di WebKit (mesin browser yang digunakan di setiap browser di iPhone Anda dan di Safari di Mac Anda), dan penjahat/vendor spyware/seseorang tampaknya menggunakan ini untuk kejahatan besar.”

Dengan kata lain, "look-and-be-pwned", atau "drive-by install", atau "zero-click infection", atau apa pun yang Anda ingin menyebutnya.

Jadi Apple, seperti yang Anda ketahui, sekarang memiliki sistem Respons Keamanan Cepat ini (setidaknya untuk iOS, iPadOS, dan macOS terbaru) di mana mereka tidak perlu membuat pemutakhiran sistem lengkap, dengan nomor versi baru yang tidak dapat Anda turunkan versinya dari, setiap kali ada 0 hari.

Dengan demikian, Respons Keamanan Cepat.

Ini adalah hal-hal yang, jika tidak berfungsi, Anda dapat menghapusnya setelah itu.

Hal lainnya adalah mereka umumnya sangat kecil.

Besar!

Masalahnya adalah… tampaknya karena pembaruan ini tidak mendapatkan nomor versi baru, Apple harus menemukan cara untuk menunjukkan bahwa Anda telah memasang Rapid Security Response.

Jadi yang mereka lakukan adalah mengambil nomor versi Anda, seperti iOS 16.5.1, dan setelah itu mereka menambahkan karakter spasi lalu (a).

Dan berita di jalan adalah bahwa beberapa situs web (saya tidak akan menyebutkannya karena ini semua hanya desas-desus)…

... ketika mereka sedang memeriksa User-Agent string di Safari, yang mencakup (a) hanya untuk kelengkapan, berbunyi: “Whoooooa! Apa (a) lakukan di nomor versi?”

Jadi, beberapa pengguna melaporkan beberapa masalah, dan tampaknya Apple ditarik pembaruan.

Apple diam-diam menarik pembaruan zero-day terbarunya – bagaimana sekarang?

Dan kemudian, setelah banyak kebingungan, dan artikel lain tentang Keamanan Telanjang, dan tidak ada yang tahu apa yang sedang terjadi… [TERTAWA]

…Apple akhirnya menerbitkan HT21387, sebuah buletin keamanan yang mereka buat sebelum mereka benar-benar menyiapkan tambalan, yang biasanya tidak mereka lakukan.

Tapi itu hampir lebih buruk daripada tidak mengatakan apa-apa, karena mereka berkata, “Karena masalah ini, Respons Keamanan Cepat (b) akan segera tersedia untuk mengatasi masalah ini.”

Dan itu saja. [TAWA]

Mereka tidak cukup mengatakan apa masalahnya.

Mereka tidak mengatakan apakah itu turun ke User-Agent string karena, jika demikian, mungkin masalahnya lebih pada situs web daripada dengan Apple sendiri?

Tapi Apple tidak mengatakannya.

Jadi kami tidak tahu apakah itu kesalahan mereka, kesalahan server web, atau keduanya.

Dan mereka hanya mengatakan "segera", Doug.

---

ANJING.  Ini adalah saat yang tepat untuk mengajukan pertanyaan pembaca kami.

Pada kisah Apple ini, pembaca JP bertanya:

Mengapa situs web sangat perlu memeriksa browser Anda?

Itu terlalu snoopy dan bergantung pada cara lama dalam melakukan sesuatu.

Apa yang Anda katakan tentang itu, Paulus?

---

BEBEK.  Saya bertanya-tanya sendiri tentang pertanyaan itu, dan saya pergi mencari, “Apa yang harus Anda lakukan User-Agent string?”

Tampaknya ini menjadi masalah abadi bagi situs web tempat mereka mencoba untuk menjadi sangat pintar.

Jadi saya pergi ke MDN (yang dulu, menurut saya, Jaringan Pengembang Mozilla, tetapi sekarang menjadi situs komunitas), yang merupakan salah satu sumber daya terbaik jika Anda bertanya-tanya, “Bagaimana dengan header HTTP? Bagaimana dengan HTML? Bagaimana dengan JavaScript? Bagaimana dengan CSS? Bagaimana ini semua cocok bersama?

Dan saran mereka, sederhananya, adalah, “Tolong, semuanya, berhentilah melihat User-Agent rangkaian. Anda hanya membuat tongkat untuk punggung Anda sendiri dan banyak kerumitan untuk orang lain.

Jadi mengapa situs melihat User-Agent?

[WRY] Saya kira karena mereka bisa. [TAWA]

Saat Anda membuat situs web, tanyakan pada diri sendiri, “Mengapa saya melakukan kesalahan dengan cara merespons yang berbeda berdasarkan beberapa string aneh di suatu tempat di User-Agent? "

Coba dan pikirkan lebih dari itu, dan hidup akan lebih mudah bagi kita semua.

---

ANJING.  Baiklah, sangat filosofis!

Terima kasih, JP, untuk mengirimkannya.

Jika Anda memiliki cerita, komentar, atau pertanyaan menarik yang ingin Anda sampaikan, kami ingin membacanya di podcast.

Anda dapat mengirim email ke tips@sophos.com, mengomentari salah satu artikel kami, atau menghubungi kami di media sosial: @nakedsecurity.

Itu acara kami untuk hari ini; terima kasih banyak untuk mendengarkan.

Untuk Paul Ducklin, saya Doug Aamoth, mengingatkan Anda: Sampai lain kali…

---

KEDUA.  Tetap aman!

[MODEM MUSIK]