abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
včera 23:22 | Komunita

Na dnes, poslední středu v březnu, připadá Document Freedom Day (DFD, Wikipedie), jenž má upozornit na výhody otevřených standardů a formátů dokumentů. Organizátoři se rozhodli, že letos proběhne Document Freedom Day dvakrát. Druhý letošní Document Freedom Day proběhne 26. dubna.

Ladislav Hagara | Komentářů: 0
včera 12:33 | Nová verze

Byla vydána nová stabilní verze 1.8 (1.8.770.50) webového prohlížeče Vivaldi (Wikipedie). Z novinek vývojáři zdůrazňují vylepšenou historii prohlížení. Ukázka na YouTube. Chromium bylo aktualizováno na verzi 57.0.2987.111.

Ladislav Hagara | Komentářů: 0
včera 05:55 | Zajímavý projekt

Google na svém blogu věnovaném open source představil portál Google Open Source informující mimo jiné o více než 2000 open source projektech vyvíjených nebo používaných v Googlu.

Ladislav Hagara | Komentářů: 0
včera 03:33 | IT novinky

Pro společnost Red Hat skončil 28. února fiskální rok 2017. Dle finančních výsledků bylo čtvrté čtvrtletí, stejně jako celý fiskální rok 2017, opět úspěšné. Tržby jsou zvyšovány již 60 čtvrtletí v řadě. Za čtvrté čtvrtletí 2017 to bylo 629 milionů dolarů, tj. meziroční nárůst 16 %. Tržby za celý fiskální rok činily 2,4 miliardy dolarů, tj. meziroční nárůst 18 %.

Ladislav Hagara | Komentářů: 2
28.3. 18:22 | Bezpečnostní upozornění

V balíčku eject, příkaz pro vysunutí CD/DVD z mechaniky, v linuxových distribucích Ubuntu (USN-3246-1) a Debian (#858872) byla nalezena bezpečnostní chyba CVE-2017-6964 zneužitelná k lokální eskalaci práv. Linuxové distribuce používající eject z balíčku util-linux nejsou zranitelné.

Ladislav Hagara | Komentářů: 15
28.3. 05:55 | Komunita

Dries Buytaert, autor a vedoucí projektu Drupal a prezident Drupal Association, požádal soukromě před několika týdny Larryho Garfielda, jednoho z klíčových vývojářů Drupalu, aby projekt Drupal opustil. Larry Garfield minulý týden na svých stránkách napsal, že důvodem jsou jeho BDSM praktiky a rozpoutal tím bouřlivou diskusi. Na druhý den reagoval Dries Buytaert i Drupal Association. Pokračuje Larry Garfield [reddit].

Ladislav Hagara | Komentářů: 55
28.3. 04:44 | Humor

Společnost SAS zveřejnila na svých stránkách studii s názvem Open Source vs Proprietary: What organisations need to know (pdf). Organizace by měly například vědět, že ideální je mix 40 % open source softwaru a 60 % proprietárního softwaru [Slashdot].

Ladislav Hagara | Komentářů: 12
27.3. 23:33 | Zajímavý software

Byl vydán ShellCheck ve verzi 0.4.6. Jedná se o nástroj pro statickou analýzu shellových skriptů. Shellové skripty lze analyzovat na webové stránce ShellChecku, v terminálu nebo přímo z textových editorů. Příklady kódů, na které analýza upozorňuje a doporučuje je přepsat. ShellCheck je naprogramován v programovacím jazyce Haskell. Zdrojové kódy jsou k dispozici na GitHubu pod licencí GPLv3.

Ladislav Hagara | Komentářů: 0
27.3. 23:33 | Pozvánky

Czech JBoss User Group zve na setkání JBUG v Brně, které se koná ve středu 5. dubna 2017 v prostorách Fakulty informatiky Masarykovy univerzity v místnosti A318 od 18:00. Přednáší Pavol Loffay na téma Distributed Tracing and OpenTracing in Microservice Architecture.

… více »
mjedlick | Komentářů: 0
27.3. 11:33 | Zajímavý článek

Národní centrum kybernetické bezpečnosti (NCKB) vypracovalo (pdf) 26 podrobných bezpečnostních doporučení pro síťové správce. Tato doporučení jsou nastavena tak, aby je bylo možné aplikovat v každé instituci. Jsou rozdělena na tři základní části: bezpečnost infrastruktury, bezpečnost stanic a serverů a bezpečnost uživatelů.

Ladislav Hagara | Komentářů: 17
Jak se stavíte k trendu ztenčování přenosných zařízení (smartphony, notebooky)?
 (14%)
 (2%)
 (72%)
 (3%)
 (10%)
Celkem 966 hlasů
 Komentářů: 72, poslední 1.3. 11:16
    Rozcestník

    Dotaz: Ochrana citlivých informací v paměti

    17.12.2010 11:29 xYz
    Ochrana citlivých informací v paměti
    Přečteno: 437×
    Ahoj, nemohl by mi někdo postnout linky k přečtění, které se zaobírají architekturou/stylem programování v případě práce s citlivými informacemi? Např. jak pracovat s hesly či jak zobrazovat citlivé informace? Zajímá mě technika ochrany proti obyčejnému memory dumpu.

    Díky.

    Odpovědi

    rADOn avatar 17.12.2010 14:18 rADOn | skóre: 44 | blog: bloK | Praha
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    Proti prohlizeni cizi pameti te chrani operacni system. Co presne te trapi?
    "2^24 comments ought to be enough for anyone" -- CmdrTaco
    18.12.2010 19:01 xYz
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    Řešíme principiální problém log-in dialogem, kde uživatel do TextBoxu zapíše heslo, které je sice zobrazené jako hvězdičky, ale někde v paměti je to uložené jako obyčejný string/char buffer.
    Jendа avatar 18.12.2010 19:12 Jendа | skóre: 73 | blog: Výlevníček | JO70FB
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    Tak ono to ani jinak nejde a dělají to tak všichni (viz strings /proc/kcore nebo /dev/mem).
    Nezapomeňte si posunout časovače na svých bombách o hodinu dopředu!
    rADOn avatar 18.12.2010 21:53 rADOn | skóre: 44 | blog: bloK | Praha
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    No to je principialni problem jak svina :-) Ze jsou data v pameti je zakladni vlastnost Von Neumannovsky architektury. Jestli si chces zahrat bezpecnostni divadylko, muzes to heslo za behu kryptovat nejakou proudovou sifrou. Vypada to desne tvrdacky kdyz mas misto hesla hromadu rozsypanyho caje. Trochu to kazi fakt, ze aby to fungovalo musis mit klice v pameti kde je utocnik vidi stejne snadno jako samotny heslo. A to je zakladni problem, muzes vymymslet libovnej pocet vyfikundaci ktery vypadaji jako bezpecnost, ale pokud je utocnik privilegovanej a muze cist pamet, muze jakykoliv tvuj algoritmus proste zopakovat. Jediny ucinny reseni je specializovanej hardware - v PC to nejspis bude TPM modul. Nektery notebooky je maji, ale to uz je vyssi divci. Bez urazky - jestli se musis takhle ptat tak TPM modul nenaprogramujes ani kdyby te osvitil duch svatej :-)

    Nejlepsi obrana pro tebe bude ta nejjednodussi, proste nenechat utocnika dostat privilegovanej pristup. Bytelnej kernel, zapatchovany aplikace, takovy ty veci. Zakladni zabezpeceni. Jestli nemas moc co delat tak muzes kouknout na selinux, apparmor, NX bity. A heslo samozrejme po zadani rozemlit na sracky nejakym hezkym hashem.
    "2^24 comments ought to be enough for anyone" -- CmdrTaco
    19.12.2010 10:21 xYz
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    Ne, řeším pouze to, aby při obyčejném memory dumpu nebyly ty hesla hezky vyskládaný vedle sebe v ASCII pro každého k přečtení. V dotNet na to mají hezkej class zvaný SecureString a defaultní LoginDialogy ho používají. Takže sháním nějaký whitepaper pro programátory, jak se chovat k citlivým informacím obecně.
    Jendа avatar 19.12.2010 11:43 Jendа | skóre: 73 | blog: Výlevníček | JO70FB
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    Ne, řeším pouze to, aby při obyčejném memory dumpu nebyly ty hesla hezky vyskládaný vedle sebe v ASCII pro každého k přečtení. V dotNet na to mají hezkej class zvaný SecureString a defaultní LoginDialogy ho používají.
    Není to security by obscurity? Stačí, aby majitel dumpu zopakoval algoritmus pro získání hesla a má to. Leda, že by se ta data držela např. v cache procesoru a ne v paměti, ale to nevím, jestli jde.
    Nezapomeňte si posunout časovače na svých bombách o hodinu dopředu!
    Bilbo avatar 19.12.2010 13:18 Bilbo | skóre: 29
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    Teoreticky lze drzet mensi mnozstvi dat v cache procesoru (nekde jsem videl clanek co se zabyval moznosti drzet tam klic k sifrovanemu disku), ovsem v praxi se diky organizaci cache tim ze se cast ucpe sifrovacim klicem dost snizi vykon. Takze spise nepouzitelne.

    Navic tim chrani jen pred utokem zvenci (cteni pameti pres firewire, pokropeni dusikem a vyundani, ....) ale uz ne pred ctenim zevnitr (napr. pomoci ruznych volani operacniho systemu) protoze pak procesor proste precte a vrati to co je v cache.

    SecureString je tak trochu security through obscurity (utocnik musi jeste v pameti o kus vedle najit desifrovaci klic), ale zase ma vlastnost, ze pote co neni potreba (tedy tesne pred dealokaci) se obsah prepise narozdil od obyc stringu nulama. A to uz muze v praxi pomoct, pokud se heslo po zadani nejak rychle zpracuje, a nekam posle (pripadne se s nim neco desifruje) a pak lokalne smaze tak se tim snizi cas kdy ho lze vytahnout z pameti memory dumpem treba jen na par milisekund.

    Takze tip: pred dealokaci citlivych dat (heslo, ...) je prepsat nulama.

    Na druhou stranu, pokud se nekdo dostane k systemu tak, aby mohl provest memory dump, tak obvykle ma dostatecny pristup k tomu, aby mohl nasadit i keylogger
    Big brother is not watching you anymore. Big Brother is telling you how to live...
    Bilbo avatar 18.12.2010 22:22 Bilbo | skóre: 29
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    Otazkou je ale kdo je utocnik.

    Uzivatel sam? Ten ale heslo zna.

    Nekdo jiny kdo pouziva tentyz pocitac? (Cili pocitac sdileny ruznymi lidmi?) Tady je potreba ten pocitac zabezpecit, jakmile nekdo z lidi tam ziska roota tak muze nainstalovat keylogger, tim ziska heslo a nejakym snaham ochranit cosi nekde v pameti se zvysoka smeje.

    Je nutne uvazit i vice ci mene sofistikovane utoky typu ze tam nekdo nastrci aplikaci co se tvari jako prihlasovaci formular, ale ve skutecnosti heslo uklada/posila kamsi ....

    Nekdo "zvenci"? Jakmile se mui povede ziskat nejaky pristup k systemu tak viz predchozi pripad ...

    Pochopitelne, ze pokud se heslo hned po zadani bud zahashuje nebo rovnou znici (napr. pokud je pouzito k autorizaci na vzdalenem serveru a lokalne neni potreba) tak to nektere typy utoku znesnadni, pripadne znemozni. Ale absolutni ochranu to nezaruci.
    Big brother is not watching you anymore. Big Brother is telling you how to live...
    19.12.2010 10:24 xYz
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    Jasně, neřeším _všechny_ ochrany světa, ale jenom guidline pro programátory, jak se principiálně chovat k citlivým informacím. Při analýze jednoho memory dumpu jsme objevili heslo pěkně vysázené po sobě, takže teď sháním, jak tohle pořešit + něco navíc k problematice.
    Jendа avatar 17.12.2010 17:18 Jendа | skóre: 73 | blog: Výlevníček | JO70FB
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    Zajímá mě technika ochrany proti obyčejnému memory dumpu.
    Pokud má útočník roota, nepomůže ani svěcená voda.

    Pokud má útočník fyzický přístup k počítači, pomůže zalití epoxidem a deadman switch.

    Pokud jde o normální systém, pracuj s hesly jako s ostatními daty.
    jak zobrazovat citlivé informace
    Určitě bych se nejdřív uživatele zeptal Opravdu chcete zobrazit…?, aby mohl dát Ne, pokud mu zrovna někdo kouká přes rameno.
    Nezapomeňte si posunout časovače na svých bombách o hodinu dopředu!
    18.12.2010 07:46 pht | skóre: 48 | blog: pht
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    aby mohl dát Ne, pokud mu zrovna někdo kouká přes rameno.

    LOL... ono je spíš zvykem, že když pracujete s citlivými daty tak si ohlídáte kdo stojí za Vámi, případně ve stejné místnosti.
    In Ada the typical infinite loop would normally be terminated by detonation.
    pavlix avatar 18.12.2010 14:12 pavlix | skóre: 53 | blog: pavlix
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    LOL... ono je spíš zvykem, že když pracujete s citlivými daty tak si ohlídáte kdo stojí za Vámi, případně ve stejné místnosti.
    Spousta systémů neumožňuje oddělit práci s daty různé úrovně citlivosti/utajení. Typickým příkladem je konfigurace wifi, kde se nastavuje společně jméno sítě s dalšími údaji a heslo (je jedno jestli je to desktop, nebo webové rozhraní nějaké krabičky).

    Typicky je heslo citlivějším údajem než ty ostatní a typicky je uživatel cháněn proti jeho neúmyslnému zobrazení. Ale oproti třeba přihlšovacímu heslu do systému, bývá zvykem umožnit uživateli i zobrazení toho hesla.
    Bilbo avatar 17.12.2010 17:48 Bilbo | skóre: 29
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    Big brother is not watching you anymore. Big Brother is telling you how to live...
    18.12.2010 12:31 FooBar
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    Link co padl vyse je skvelej, ja jen dodam jednu pomerne zasadni poucku -- citlivy data vzdy mlockni do pameti (a verifikuj ze se to povedlo), v opacnym pripade ti hrozi, ze se vyswapujou na disk a tam budou hezky perzistentne k dispozici.
    Jendа avatar 18.12.2010 13:03 Jendа | skóre: 73 | blog: Výlevníček | JO70FB
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    Počítač pracující s citlivými daty by podle mě měl mít zašifrovaný disk a tedy i swap. Samozřejmě záleží na konkrétním případu a citlivosti dat, to ale tazatel neuvádí.
    Nezapomeňte si posunout časovače na svých bombách o hodinu dopředu!
    18.12.2010 16:07 FooBar
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    To by sice mozna mel, ale dotaz padl jednoznacne na vlastnosti vyvoje software.
    Bilbo avatar 18.12.2010 20:37 Bilbo | skóre: 29
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    Tak kdyby tazatel aspon nastinil co se snazi naprogramovat, tak bychom mohli dat lepsi rady, nicmene krome toho, ze se to naprogramuje spravne je nutne resit i zabezpeceni toho hardwaru a systemu kde ten software pobezi - napr. sifrovany swap, sifrovany disk, intrusion sensor, minimum bezicich sluzeb (mensi sance na nejaky remote root exploit), restriktivni konfigurace, atd ...

    Absolutni ochrana proti memory dumpu asi neexistuje - jakmile se utocnik dostane fyzicky k masine, tak je celkem dost technik (vice ci mene slozitych) jak ziskat data z pameti (firewire, specialni karta strcena do volneho slotu, napojeni se na sbernici, aplikace tekuteho dusiku na pameti a jejich precteni v jinem stroji, atd ...)

    Vhodnym programovanim lze ale minimalizovat dobu po kterou jsou citliva data v pameti a tedy i okno, behem ktereho je lze nekterou z techto technik ziskat.

    A pokud jsou v masine nejake senzory (cidlo, kamera ....), co vcas detekuji pokus o cteni pameti nejakym hardwarovym zpusobem (napr. pres tekuty dusik a vydloubnuti pameti) tak to jde resit specialnim modulem v kernelu co behem par vterin prepise celou RAMku nesmyslama: http://hysteria.sk/~niekt0/alzheimer/
    Big brother is not watching you anymore. Big Brother is telling you how to live...
    19.12.2010 10:28 xYz
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    Hledám guideline pro programátory jak řešit situaci, kdy úmyslný/neúmyslný memory dump zobrazí uživatelské heslo pěkně v ASCII vysázené v paměti. Pouze tento specifický problém, žádné čumění přes rameno či strkání karet do počítače.
    19.12.2010 05:55 JS
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    Tohle by me taky zajimalo, hlavne v jazycich, co si spravuji pamet sami (Java, C#).
    19.12.2010 10:29 xYz
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    V případě zadávání hesla má .Net class SecureString.
    19.12.2010 12:06 JS
    Rozbalit Rozbalit vše Re: Ochrana citlivých informací v paměti
    Diky!

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.