Knihovna FFmpeg byla vydána ve verzi 8.0 „Huffman“. Přibyla mj. podpora hardwarově akcelerovaného kódování s využitím API Vulcan, viz seznam změn.
Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) vydal Zprávu o stavu kybernetické bezpečnosti ČR za rok 2024 (pdf). V loňském roce NÚKIB evidoval dosud nejvíce kybernetických bezpečnostních incidentů s celkovým počtem 268. Oproti roku 2023 se však jedná pouze o drobný nárůst a závažnost dopadů evidovaných incidentů klesá již třetím rokem v řadě. V minulém roce NÚKIB evidoval pouze jeden velmi významný incident a významných incidentů bylo zaznamenáno 18, což oproti roku 2023 představuje pokles o více než polovinu.
Byl publikován aktuální přehled vývoje renderovacího jádra webového prohlížeče Servo (Wikipedie). Servo mimo jiné nově zvládne animované obrázky APNG a WebP.
Na chytré telefony a počítačové tablety v Rusku bude od začátku příštího měsíce povinné předinstalovávat státem podporovanou komunikační aplikaci MAX, která konkuruje aplikaci WhatsApp americké společnosti Meta Platforms. Oznámila to dnes ruská vláda. Ta by podle kritiků mohla aplikaci MAX používat ke sledování uživatelů. Ruská státní média obvinění ze špehování pomocí aplikace MAX popírají. Tvrdí, že MAX má méně oprávnění k přístupu k údajům o uživatelích než konkurenční aplikace WhatsApp a Telegram.
Společnost PINE64 stojící za telefony PinePhone nebo notebooky Pinebook publikovala na svém blogu srpnový souhrn novinek. Kvůli nedostatečnému zájmu byla ukončena výroba telefonů PinePhone Pro.
Po pěti měsících vývoje byla vydána nová verze 0.15.1 programovacího jazyka Zig (GitHub, Wikipedie). Verze 0.15.0 byla přeskočena. Přispělo 162 vývojářů. Přehled novinek v poznámkách k vydání.
Před sedmi lety společnost Valve představila fork projektu Wine s názvem Proton umožňující v Linuxu přímo ze Steamu hrát počítačové hry do té doby běžící pouze ve Windows. Aktuální přehled podporovaných her na stránkách ProtonDB
Společnost DuckDuckGo rozšířila svůj AI chat Duck.ai o GPT-5 mini (𝕏). Duck.ai umožňuje anonymní přístup bez vytváření účtů k několika modelům umělé inteligence. Aktuálně k GPT-4o mini, GPT-5 mini, Llama 4 Scout, Claude Haiku 3.5 a Mistral Small 3.
Marek Tóth v příspěvku DOM-based Extension Clickjacking: Data ve správcích hesel v ohrožení na svém blogu popsal novou clickjacking techniku s několika variantami útoků a otestoval ji proti 11 správcům hesel. Výsledkem bylo nalezení několika 0-day zranitelností, které mohly ovlivnit uložená data desítek milionů uživatelů. Jedno kliknutí kdekoliv na webové stránce kontrolované útočníkem umožňovalo ukrást uživatelská data ze
… více »Na dnešní akci Made by Google 2025 (YouTube) byly představeny telefony Pixel 10 s novým čipem Google Tensor G5 a novými AI funkcemi, hodinky Pixel Watch 4 a sluchátka Pixel Buds 2a.
Pomineme takové drobnosti, jako že propagovaný informační web leží v TLD .info (kdyby její správce nastavil A záznamy na phishing, tak se ČR bude dohadovat s nějakou Tramtárií) a budeme se věnovat zajímavějším věcem.
Pro přístup do datové sránky přes webové rozhraní je potřeba plugin do prohlížeče. Tento plugin zastává jistě velmi důležitou úlohu - podle toho, zda podpis datové zprávy (ne)sedí, zobrazí zelenou nebo červenou ikonku. Na zobrazování ikonek už sice máme HTML značku <img>
, ale 86 MB velký zásuvný modul zastane tuto práci určitě lépe.
Pozn.: Někdo by mohl namítnout, že plugin ověřuje platnost podpisu na klientovi, kdežto o ikonce by rozhodoval server ISDS. Jenže podpis, který plugin ověřuje, je generován - hádejte kým - ISDS. Druhé ověřování je již zbytečné, protože komunikujeme přes SSL, které integritu a autenticitu zajišťuje jaksi z principu samo.
U pluginu ještě chvilku zůstaneme. Provozovatel ISDS nabízí verze pro různé operační systémy a dokonce i pro různé architektury (x86_32 a x86_64). Avšak zdrojový kód nikde. Čím to? Že by byl takovýto software uzavřený? To snad ne!
Jsme tedy připojeni k modernímu počítači osazenému procesorem x86_64. Stáhneme si proto příslušnou verzi balíku. Podíváme se dovnitř.
> ar -x 602XML_Filler.deb
Co to? Oni nečíslují verze? Mno, i Mr. Tesař se někdy utne, tak to nahlásíme (nahlášeno 15. 1. 2010, 29. 6. 2010 stále neopraveno).
> tar --numeric-owner -tvf data.tar.gz … drwxr-xr-x 0/1000 0 2009-09-10 15:28 ./opt/602filler/share/wine/ …
Že by ta linuxová verze nebyla zas až tak linuxová? A WINE na x86_64?
A proč mají všechny soubory GID 1000? A některé mají dokonce UID 1000, takže je neprivilegovaný uživatel na našem systému může přepsat? No, furt lepší, než když měly UID 1000 binárky spouštěné Firefoxy všech uživatelů; to tři měsíce po nahlášení opravili.
Ještě to WINE na x86_64 mě zaujalo. Podíváme se mu na zoubek.
opt/602filler/bin/wine: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked (uses shared libs), for GNU/Linux 2.6.8, stripped opt/602filler/.wine/drive_c/Program Files/Software602/602XML/Filler/filler602.exe: PE32 executable for MS Windows (GUI) Intel 80386 32-bit
Dost bylo zkoumání 602XML Filleru, jdeme dál.
Přístup je pochopitelně přes HTTPS (ovšem proč není na HTTPS i informační portál je mi záhadou, no, furt lepší, než když tam běželo Horde), nicméně certifikát je podepsaný CA PostSignum, která není dostatečně známá na to, aby byla předinstalována v operačních systémech a webových prohlížečích. Proto doporučíme přistupujícím stížnost webového prohlížeče odliknout 0 1 2 3 4 5, na dotazy odpovídáme úplně offtopic, a když se přecijen najde nějaký paranoik a chce si ověřit fingerprint osobně, nevíme, vo co go. Na suppotu vám zase potvrdí smyšlený fingerprint. Člověk by řekl, že projekt s rozpočtem 900 000 000 Kč si může dovolit takový ten základní certifikát od Thawte nebo alespoň natisknout fingerprinty na dopis, ve kterém posílali přihlašovací údaje.
Po chvíli se zjistilo, že po zadání pěti chybných hesel se účet na hodinu zablokuje. Protože ID účtů jsou sekvenční, některé lidi to svádělo k tomu, aby si napsali robota. Proto byla zavedena CAPTCHA. Sestávala se z řady dvanácti čísel uvedených v plaintextu a mělo se opsat číslo v pořadí 2., 4., 6., 9. a 11. CAPTCHA se nám dochovala i se skriptem k jejímu vyřešení. Opravdu to stojí za to.
Ještě tu byl jeden drobný problémek: CAPTCHA se měla vyřešit až po odeslání přihlašovacích údajů.
Bohužel tato implementace CAPTCHA neměla dlouhého trvání a byla nahrazena obrázkovou. Barevným kontrastem byl obrázek opravdu dobře čitelný, přitom robotovi je jedno, jestli řeší #BCE2E4 písmenka na #C4C2C4 pozadí, nebo nějakou jinou barevnou kombinaci.
Naštěstí to stvořitelům Sránek brzy docvaklo a my se už několik měsíců můžeme těšit z relativně čitelné CAPTCHA, i když si myslím, že ta tmavě šedá pavučina vzadu je tam zbytečná a jen snižuje čitelnost, protože její odfiltrování je otázkou jednoho řádku kódu. Mno, stejně mi přijde požadování CAPTCHA na tomto místě jako nesmysl…
Dalším bonusem je povinná změna hesla po 90 dnech. Ještě mi nikdo nebyl schopen vysvětlit, jak zvyšuje pravidelné vynucené měnění hesla bezpečnost, nicméně těžko bychom hledali lepší motivaci k tomu, aby si uživatel napsal heslo na monitor. Tím víc, že přihlašovací formulář má autocomplete="off"
, takže heslo nejde uložit do prohlížeče (naštěstí to jde ve Firefoxu obejít rozšířením Web Developer Toolbar → Formuláře → Povolit automatické doplňování).
Když už jsme u toho formuláře, tak má na onKeyUp
pověšenou událost, kterou se zkontroluje, jestli je v každém políčku něco, a pokud ano, tak se aktivuje přihlašovací tlačítko. V době, kdy ještě nebyla CAPTCHA, proto nešlo nakopírovat testovací přihlašovací údaje z e-mailu, respektive potom bylo odesílací tlačítko neklikatelné. Poprvé jsem kvůli tomu zkoumal zdroják, než mi to došlo.
Krátce po publikaci tohoto textu (ale těžko říct, jestli je mezi tím nějaká souvislost; návštěvníky blogu si (bohužel) neloguju) byl z webu datoveschranky.info odstraněn rozcestník, ze kterého se dalo do přihlašovacího formuláře přímo prokliknout, a byl nahrazen textem
Vítejte na webu o datových schránkách. Dne 1. 11. 2009 byl spuštěn Informačních systém datových schránek (ISDS) do ostrého provozu. Stalo se tak podle zákona 300/2008 Sb. o elektronických úkonech a autorizované konverzi dokumentů a následujících vyhlášek. Pokud chcete vstoupit do aplikace ISDS přepište do adresního řádku svého webového prohlížeče adresu www.mojedatovaschranka.cz
(ta URL není hyperlink, pozn.; citováno včetně chyby, pozn2.; ještě je tam lež, ostrý provoz byl zahájen už 1. 7. 2009, pozn3.)
Pokud si dobře pamatuji, tak předtím tam bylo něco ve smyslu „z bezpečnostních důvodů je nutné přepsat adresu ručně“.
Toto zcela nové, kreativní, komplexní a inovativní řešení sice vůbec, ale opravdu vůbec neřeší útok popsaný ve výše uvedeném blogpostu, ba naopak do celého procesu vnáší rizoto přelkepnutí se při přepisování domény a tak, no.
Autorizovaná konverze vám klidně zkonvertovala dokument s neplatným elektronickým podpisem.
No a nakonec bychom se mohli zamyslet nad tím, co se stane s našimi elektronicky podepsanými dokumenty po prolomení současných algoritmů. Pravděpodobně budeme muset zařídit arbitra.
Děkuji za pozornost
Tiskni
Sdílej:
nic ve zlem... toto jsou technicke drobnosti a hromadou nedostatku trpi treba i ,,konvencni posta''Ale na elektronickou komunikaci přecházíme právě proto, že těmito nedostatky netrpí - když se správně implementuje, může být o dost lepší než snailpost.
>>> Na zobrazování ikonek už sice máme HTML značku <img>
, ale 86 MB velký zásuvný modul zastane tuto práci určitě lépe.
Takto sem se uz dlouho nezasmal. Velmi pekne napsana veta. 1+++
Naštěstí to stvořitelům Sránek brzy docvaklo ...je překlep nebo záměr?
BTW: To slovo Sránky v textuJe to tam víckrát, takže záměrNaštěstí to stvořitelům Sránek brzy docvaklo ...je překlep nebo záměr?