Na čem pracují vývojáři webového prohlížeče Ladybird (GitHub)? Byl publikován přehled vývoje za červenec (YouTube).
Konečně se ochladilo, možná i díky tomu přestaly na chvíli padat rakety jako přezrálé hrušky, díky čemuž se na Virtuální Bastlírně dostane i na jiná, přízemnější témata. Pokud si chcete jako každý měsíc popovídat s dalšími bastlíři, techniky, vědci a profesory u virtuálního pokecu u piva, Virtuální Bastlírna je tu pro Vás.
Ještě před ochlazením se drát na vedení V411 roztáhl o 17 metrů (přesné číslo není známé, ale drát nepřežil) a způsobil tak… více »Na čem aktuálně pracují vývojáři GNOME a KDE Plasma? Pravidelný přehled novinek v Týden v GNOME a Týden v KDE Plasma.
PixiEditor byl vydán ve verzi 2.0. Jedná se o multiplatformní univerzální all-in-one 2D grafický editor. Zvládne rastrovou i vektorovou grafiku, pixel art, k tomu animace a efekty pomocí uzlového grafu. Zdrojové kódy jsou k dispozici na GitHubu pod licencí GNU LGPL 3.0.
Byly představeny novinky v Raspberry Pi Connect for Organisations. Vylepšen byl protokol auditu pro lepší zabezpečení. Raspberry Pi Connect je oficiální služba Raspberry Pi pro vzdálený přístup k jednodeskovým počítačům Raspberry Pi z webového prohlížeče. Verze pro organizace je placená. Cena je 0,50 dolaru za zařízení za měsíc.
CISA (Cybersecurity and Infrastructure Security Agency) oznámila veřejnou dostupnost škálovatelné a distribuované platformy Thorium pro automatizovanou analýzu malwaru. Zdrojové kódy jsou k dispozici na GitHubu.
Ubuntu nově pro testování nových verzí vydává měsíční snapshoty. Dnes vyšel 3. snapshot Ubuntu 25.10 (Questing Quokka).
Společnost Proton AG stojící za Proton Mailem a dalšími službami přidala do svého portfolia Proton Authenticator. S otevřeným zdrojovým kódem a k dispozici na všech zařízeních. Snadno a bezpečně synchronizujte a zálohujte své 2FA kódy. K používání nepotřebujete Proton Account.
Argentinec, který byl náhodně zachycen Google Street View kamerou, jak se zcela nahý prochází po svém dvorku, vysoudil od internetového giganta odškodné. Soud uznal, že jeho soukromí bylo opravdu porušeno – Google mu má vyplatit v přepočtu asi 12 500 dolarů.
Eben Upton, CEO Raspberry Pi Holdings, informuje o RP2350 A4, RP2354 a nové hackerské výzvě. Nový mikrokontrolér RP2350 A4 řeší chyby, i bezpečnostní, předchozího RP2350 A2. RP2354 je varianta RP2350 s 2 MB paměti. Vyhlášena byla nová hackerská výzva. Vyhrát lze 20 000 dolarů.
S velkou slávou Google představil plugin přinášející na Linux podporu pro hlas a video v jejich Gmail IM klientu. Pod zprávičkou se objevila vtipná poznámka od anonyma Virt6: To je Apt-backdoor. Klasická součást všech balíků google . Bohužel, při bližším ohledání mi zmrzl úsměv na rtech.
Samotná stránka kde je odkaz na stažení balíčku není automaticky přenášená šifrovaně - tedy MITM útok není žádný problém. Ale řekněme, že uživatel je paranoidní a to s do adresního řádku dopíše. To je mu po kliknutí na tlačítko "Instalovat" na nic, protože Google odkaz vede na tunu JavaScriptu a výsledný soubor zase na nešifrované HTTP. A co hůř, tady už finta s přidáním s do protokolu nefunguje - jednoduše dojde k přesměrování na úvodní stránku Google. Na to, že k tomu balíčku nikde nenabízí kontrolní součty - a ani ten balíček není podepsaný je to už docela průšvih. Ale teď už se podíváme na samotný ballíček.
Je to standardní .deb balík, takže rozbalíme ar x google-talkplugin_current_amd64.deb, vylezou nám z toho dva .tar.gz archivy: data.tar.gzkde se nachází soubory které přijdou do filesystému a control.tar.gz kde jsou umístěny drobnosti jako instalační skripty nebo MD5 jednotlivých souborů v archivu. Nejprve koukneme na data.tar.gz.
Veškeré soubory jsou v /opt/google/talkplugin. V /usr je pár symlinků a changelog. To, co je zajímavé je ale v adresáři opt/google/talkplugin/cron a nasymlinkováno do etc/cron.daily/google-talkplugin. A tady to začíná být opravdu (ne)veselé. Nejen, že tento skript přidá do systému repozitář Google, on dokonce přidá svůj klíč mezi důvěryhodné klíče repozitářů. Pokud balíčkovač repozitář Googlu při upgradu zakáže, ten skript ho opět povolí. Tedy pokud si tento balíček nainstalujete, nejen, že je nijak neověřený ale dojde i k automatickému přidání nijak neověřeného GPG klíče mezi důvěryhodné zdroje. Výsledné dopady na bezpečnost mohou být katastrofální.
Tiskni
Sdílej:
Google však neprozradil, jaké počítače použilJinak nepodepisováním balíčků trpí třeba i Arch (jeden ze dvou důvodů, proč jsem od něj odešel) a takovýto MITM možná používá i česká policie.
anonyma Virt6Tak od anonyma, nebo od Virt6?
on dokonce přidá svůj klíč mezi důvěryhodné klíče repozitářůNepoznám debian/apt, ale fungujú tie kľúče? Ja overujem Slackware-ové balíky GPG kľúčmi a aby bol GPG kľúč Slackware-u dôveryhodný, tak musí byť podpísaný mojím GPG kľúčom. A to bezo mňa žiaden skript neurobí.