Byla vydána (𝕏) nová major verze 17 softwarového nástroje s webovým rozhraním umožňujícího spolupráci na zdrojových kódech GitLab (Wikipedie). Představení nových vlastností i s náhledy a videi v oficiálním oznámení.
Sovereign Tech Fund, tj. program financování otevřeného softwaru německým ministerstvem hospodářství a ochrany klimatu, podpoří vývoj FFmpeg částkou 157 580 eur. V listopadu loňského roku podpořil GNOME částkou 1 milion eur.
24. září 2024 budou zveřejněny zdrojové kódy přehrávače Winamp.
Google Chrome 125 byl prohlášen za stabilní. Nejnovější stabilní verze 125.0.6422.60 přináší řadu oprav a vylepšení (YouTube). Podrobný přehled v poznámkách k vydání. Opraveno bylo 9 bezpečnostních chyb. Vylepšeny byly také nástroje pro vývojáře.
Textový editor Neovim byl vydán ve verzi 0.10 (𝕏). Přehled novinek v příspěvku na blogu a v poznámkách k vydání.
Byla vydána nová verze 6.3 živé linuxové distribuce Tails (The Amnesic Incognito Live System), jež klade důraz na ochranu soukromí uživatelů a anonymitu. Přehled změn v příslušném seznamu. Tor Browser byl povýšen na verzi 13.0.15.
Dnes ve 12:00 byla spuštěna první aukce domén .CZ. Zatím největší zájem je o dro.cz, kachnicka.cz, octavie.cz, uvycepu.cz a vnady.cz [𝕏].
JackTrip byl vydán ve verzi 2.3.0. Jedná se o multiplatformní open source software umožňující hudebníkům z různých částí světa společné hraní. JackTrip lze instalovat také z Flathubu.
Patnáctý ročník ne-konference jOpenSpace se koná 4. – 6. října 2024 v Hotelu Antoň v Telči. Pro účast je potřeba vyplnit registrační formulář. Ne-konference neznamená, že se organizátorům nechce připravovat program, ale naopak dává prostor všem pozvaným, aby si program sami složili z toho nejzajímavějšího, čím se v poslední době zabývají nebo co je oslovilo. Obsah, který vytváří všichni účastníci, se skládá z desetiminutových
… více »Program pro generování 3D lidských postav MakeHuman (Wikipedie, GitHub) byl vydán ve verzi 1.3.0. Hlavní novinkou je výběr tvaru těla (body shapes).
Stále častěji se poslední dobou objevují zmínky o zajímavém útoku, o kterém se podle mě příliš nemluví. Co vím, používají ho především „složky vyšší moci“ pro získání přístupu do počítačů zájmových osob. Samozřejmě pouze na soudní příkaz :).
Známé implementace:
Nevím o žádné hotové open-source implementaci. V případě nutnosti lze znásilnit Metasploit a Squid, ale něco komplexnějšího by bodlo. Námět na semestrálku? :)
Při stahování nějakého kódu z Internetu (windowsáci .msi a .exe instalátory, jablíčkáři .dmg obrazy, linuxáci tarbally se zdrojáky a klonování git/svn/cvs repozitářů) je dost obtížné ověřit jeho integritu. Na Windows se na to AFAIK kašle skoro vždycky, jablíčka moc neznám a linuxáci si můžou spočítat hash nebo GPG podpis, ale stejně nemají, jak ověřit protistranu. Otevírá se nám tu proto attack vector.
(na Linuxu se většinou ověřují balíčky z repozitářů automaticky, ale třeba Arch to má pořád takové všelijaké a ten prvotní podpis stejně musíte nějak ověřit a to se dělá blbě)
Útočník, který může udělat man-in-the-middle (což typicky státní složka může), pak už jenom „cinkne“ procházející soubory a doufá, že si toho nikdo nevšimne a že to na druhé straně někdo spustí. Tu upraví nepodepsanou binárku s aktualizací, tu přidá jeden řádek do Makefile, onde vloží do flashového přehrávače z YouTube 0day. Typická školní demonstrace se provádí na oblíbeném skriptu alsa-info.sh, který se tahá přes čisté HTTP a spouští ho kdejaký začátečník, kterému to poradili ve fóru. Napsat filtr do Privoxy, který do takového souboru vloží náš kód, je otázka pěti minut.
Co jsem tak pozoroval kolem sebe, náchylní k tomuto útoku jsou snad všichni. Jen by exploitnutí někdy vyžadovalo delší práci sociálního inženýra. Pak je otázkou, jestli útočník nepoužije radši rychlejší metody zahrnující fyzické násilí, ale předpokládejme, že v civilizovaných státech se nic takového neděje :).
Dá se vyrobit trusted systém, u kterého se riziko tohoto útoku minimalizuje. Je potřeba ho nabootstrapovat z „trusted“ instalačních souborů, které se získájí třeba tak, že se tentýž instalátor stáhne z domova, u kamaráda a přes nějakou VPN v Tramtárii a porovná se to. Doufáme při tom, že tentýž útočník nemá pod palcem všechno.
Práce s takovým systémem je pak značně omezující, minimálně třeba já dost často potřebuju něco, co naprosto důvěryhodné není (posledně třeba toolchain OpenWRT). Proto je vhodné nainstalovat si do virtualizace „špinavý“ systém a pak používat vnější systém pro práci s citlivými informacemi a virtualizovaný pro to ostatní. Je to otrava a ne vždy to jde použít. Navíc virtualizace žere část výkonu. Varianta pro chudé jsou alespoň oddělené uživatelské účty, ale aplikace pak samozřejmě nemůže požadovat roota.
Tiskni Sdílej:
Jinak v hlubinách IRC tamtamy vyprávějí, že podobný útok je podnikán v masovém měřítku na uživatele TORu, kteří se připojují přes exit nody ven - live vkládání sploitů do stahovaných médií a úpravy spustitelných/scriptovacích souborů.No, nic takového jsem nezaregistroval.
Na Windows se na to AFAIK kašle skoro vždyckyTohle už není tak docela pravda. Pokud má uživatel Win7 a IE 9 ve výchozím nastavení, tak při pokusu stáhnout a spustit (ještě ani ne nainstalovat, jen spustit) exáč nebo MSI s "nedostatečnou reputací" mu IE nabídne volby "Nespouštět" a "Smazat". Dostat se k volbě spuštění dá práci a mnozí uživatelé z něj mají skutečně strach. Prakticky nutnou a nikoli postačující podmínkou, aby IE dovolil spuštění je, aby byl ten soubor podepsaný důvěryhodným podpisem.
soubor podepsaný důvěryhodným podpisem.Což pro státní šmírtoritu (kříženec šmíráka a autority) není problém, protože si prostě vyžádá kořenový a co se kradou certifikáty jak tužky v práci, tak už snad skoro pro nikoho, kdo věcem trochu rozumí...