Příspěvek na blogu Google Security popisuje, jak tým Chrome Security využívá umělou inteligenci k zásadnímu zrychlení a zlepšení procesu odhalování, třídění a opravování bezpečnostních chyb v prohlížeči Chrome. Díky AI byla nalezena kritická chyba, která byla v kódu přes 13 let. Ve verzích Chrome 149 a 150 bylo opraveno více chyb než v předchozích 23 verzích dohromady.
Firmy v EU musí počínaje dnešním dnem označovat obsah vytvořený umělou inteligencí. Znamená to povinnost informovat uživatele, že člověk komunikuje s chatbotem či jiným systémem AI. Rovněž obrázky, audia či videa, které jsou vytvořené nebo zmanipulované pomocí umělé inteligence a které mohou působit jako autentické, musejí být jasně označeny jako uměle vytvořené.
Byla vydána nová major verze 11.0 open source unixového operačního systému NetBSD (Wikipedie). Přehled novinek v poznámkách k vydání.
Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) se zapojil do mezinárodní iniciativy vedené americkou agenturou CISA (Cybersecurity and Infrastructure Security Agency) a dalšími partnery, jejímž cílem je stanovit minimální náležitosti pro tzv. Software Bill of Materials (SBOM). Nový dokument přináší praktická doporučení, jak by měl vypadat přehled komponent softwaru a jak s ním v praxi pracovat. SBOM lze
… více »V aktuálním přehledu vývoje renderovacího jádra webového prohlížeče Servo (Wikipedie) bylo oznámeno vydání nové verze 0.4.0. Výrazně se zlepšilo vykreslování stránek jako lichess.org, Zulip nebo Speedtest.
Vládní CERT upozorňuje (𝕏) na kritické zranitelnosti v produktech VMware: CVE-2026-59309, CVE-2026-59310 a CVE-2026-47876. Zranitelnosti v VMware vCenter umožňují vzdálenému útočníkovi se síťovým přístupem obejít autentizaci a získat neoprávněný přístup k vCenter, případně zneužít directory traversal ke spuštění libovolného kódu na vCenter.
Společnost Coinkite upozorňuje na bezpečnostní chybu svých hardwarových kryptopeněženek Coldcard. Jedná se o kritickou chybu v generování náhodných čísel (RNG). Místo hardwarového generátoru náhodných čísel (TRNG) byl omylem používán softwarový fallback (PRNG).
Představena byla nová linuxová distribuce Shadowfetch Linux. Na rozdíl od mnoha nováčků, které nabízejí převážně jiné téma a výběr softwaru, tato distribuce založená na Debianu Testing s desktopovým prostředím KDE Plasma 6.6, klade lokálně běžící umělou inteligenci do centra svého desktopového zážitku.
Max Leiter v roce 2019 zkusil zprovoznit X server na iPadu (iOS). Nyní se k tématu vrátil a s pomocí LLM a balíčkovacích nástrojů Procursus rozběhl desktop s X11 i Waylandem. Jeho balíčky jsou dostupné v repozitáři xiOS.
Společnost Google Cloud dnes oznámila, že její infrastruktura a služby byly oficiálně zařazeny do Katalogu cloud computingu vedeného Digitální a informační agenturou (DIA). Tato certifikace potvrzuje, že infrastruktura a služby Google Cloud splňují přísné bezpečnostní a regulační požadavky České republiky pro provoz cloudových služeb ve veřejném sektoru.
Současné vývojové jádro je 4.1-rc5, vydné 24. května. "Vydání 4.1 jde podle plánu, až na to, že podle načasování to vypadá, že se další začleňovací okno bude krýt s naší letošní rodinnou dovolenou. Uvidíme, jak to dopadne. Možná posunu vydání, abych se tomu vyhnul (nebo posunu otevření začleňovacího okna)."
Stabilní aktualizace: Žádné nebyly minulý týden vydané.
Myslím, že jako odborníci bychom měli často dělat chyby - viditelné chyby. Aspoň lidi nenapadne si myslet, že nemůžeme. Linus to takhle dělá už léta a očividně to funguje.
Kernel má schopnost vynutit si požadavek podpisu načítaných modulů již několik let. Do jádra se přitom nahrává ještě další kód, který podobnou kontrolou zatím neprochází. Jedním z příkladů je firmware, který se skrze jádro dostává do řadičů. V současné době se pracuje na přidání schopnosti kontrolovat firmware bloby (velké binární soubory), ale má to háček. Ne všichni si myslí, že je taková funkce zapotřebí.
Luis Rodriguez popsal svůj nápad na několika jaderných mailing listech. Na přepracování modul loaderu jádra momentálně pracuje David Howells a snaží se nahradit svůj, podomácku vyrobený mechanismus podepisování modulů, standardem PKCS#7. Podle Linuse přišel čas přijmout stejný standard pro podepisování různých souborů, které se nahrávají do jádra, firmwaru obzvláště.
V návrhu se počítá s tím, že by podpisy firmware (stejně jako vynucení podpisů modulů) bylo volitelné, bylo by možné postavit jádro bez této schopnosti. Většina firmwaru, nahrávaného linuxovými ovladači, se ukládá do firmwarového linuxového repozitáře. Tyto bloby by podepsal firmware maintainer, takže by byly zaveditelné ve výchozím nastavení. Luis navrhl, aby Linux Foundation vytvořila klíč X.509, který by se stal součástí zdrojového kódu jádra, a který by na oplátku našel využití při podepisování klíče maintainera firmwaru. Téma firmwaru mimo hlavní strom nikdo nenačal. Vždycky by ale mělo být možné přidat další klíč na jadernou klíčenku a povolit nahrání nového firmwaru.
Andy Lutomirsky se trochu bojí toho, jak by se s těmito klíči mělo nakládat. Obzvláště by byl rád, kdyby byla využitelnost každého klíče co možná nejvíce omezena. Klíče pro podepisování modulů by podle něj něměly fungovat pro firmware. Podpisy by také měly upřesnit, kde je třeba použít blob, aby se dalo předejít útokům v případě, že dojde k odeslání firmware ke špatnému zařízení.
Základní otázku však položili Alan Cox a Greg Kroah-Hartman: Proč se vůbec zabývat podepisováním firmware? Greg k tomu řekl:
Moc nechápu potřebu podepisovat něco, co nevím odkud a od jaké společnosti je, jen abych to poslal k samostatnému zařízení, které si s tím udělá co bude chtít, ať už je to podepsané nebo ne.
Oba si myslí, že mají-li být firmware podpisy kontrolovány, měla by to dělat zařízení, která tento firmware přijímají. Jinak bude jádro kontrolovat platnost obrazu firmware, o kterém stejně nemůže nic moc vědět.
Jak správně podotkl David Woodhouse, spočívá problém kontroly podpisu v zařízení v tom, že se nahrávaný firmware používá jako metoda snížení spotřeby hardwaru. Zavedením této šifrovací funkce přímo do zařízení (navíc takového, které ještě nemá nahraný operační software), by naopak zvýšilo jeho spotřebu a tím zmařilo původní záměr. Greg sice s tímto názorem nesouhlasil, ale zdá se, že hardware postrádající kontrolu podpisu firmware stejně jen tak nezmizí.
David ještě dodal, že bez IOMMU (I/O memory management unit) mohou škodlivá zařízení běžícímu systému uškodit. Ohrožený firmware může představovat atraktivní způsob, jak zaútočit na systém. Podle něj není podepisování firmware pouze způsob, jak ochránit operační systém, ale také služba prodejcům hardwaru.
Dalším důvodem proč chtít tuto funkci je fakt, že může sloužit pro ověření původu jiných souborů nahrávaných do jádra. Luis si dělá starosti hlavně o CRDA subsystém (central regulatory domain agent). CRDA se stará o právní stránku bezdrátových sítí v různých právních řádech po světě. Různé země mají různá pravidla. Týkají se frekvencí, výkonu a podobně. CRDA subsystém dohlíží na to, aby Linux fungoval podle pravidel daného místa.
Luis vyjádřil CRDA uznání za to, že nás dostalo ze situace, kdy výrobci bezdrátových adaptérů mohli odmítnout poskytnout free ovladače ke svým zařízením. Díky CRDA si výrobci mohou být jisti, že se jejich hardware používá vyhovujícím způsobem. Ovšem tato důvěra obstojí pouze v případě, kdy uživatelé nebudou moci samovolně modifikovat CRDA databázi. Za tímto účelem je databáze v současné době podepsaná. Na některých distribucích dojde před jejím načtením do jádra k ověření v uživatelském prostoru.
Problémem do budoucna může být použití specifického šifrovacího kódu subsystému. Napsat jej dobře nebude snadné a počet lidí, sledujících kód kontroly podpisu, CRDA je zřejmě dost malý. Luis by tedy rád kontrolu přesunul do jádra, kde by využívala stejného kódu jako modul loader. Tím by se snížilo množství kódu pro kontrolu podpisů a zvýšila jistota, že daný kus kódu pracuje tak, jak by měl.
V tomto případě neexistuje zařízení, které by převzalo zodpovědnost nad kontrolou podpisů. Jedná se o data, která užívá přímo jádro. Má li se ochránit před poškozenou CRDA databází, mělo by dělat kontrolu samo. Kód, který tuto kontrolu dělá, by mohl stejně dobře kontrolovat firmware. Takže zavést mechanismus kontroly firmware, který by zároveň kontroloval celistvost jiných souborů nahrávaných do jádra, dává vlastně trochu smysl.
Jakmile bude jasné, že funkce funguje jak bylo zamýšleno, nebude s jejím přidáním do jádra pravděpodobně žádný problém. Celkově se komunita staví k přidávání podobných mechanismů ověřování integrity spíše pozitivně, důležité ovšem je, aby rozhodnutí ohledně použití takové funkce, zůstalo v rukou uživatele. Distribuce mohou, ale nemusí zapnout kontrolu podpisu firmware, ale pro zájemce bude tato možnost k dispozici.
Nástroje: Tisk bez diskuse
Tiskni
Sdílej:
16.8.2015 19:15
Petr Tomášek | skóre: 39
| blog: Vejšplechty
17.8.2015 07:07
Jendа | skóre: 78
| blog: Jenda
| JO70FB
17.8.2015 09:53
Jendа | skóre: 78
| blog: Jenda
| JO70FB
18.8.2015 02:36
Jendа | skóre: 78
| blog: Jenda
| JO70FB
17.8.2015 08:02
Petr Tomášek | skóre: 39
| blog: Vejšplechty
17.8.2015 14:49
little.owl | skóre: 22
| blog: Messy_Nest
| Brighton/Praha
18.8.2015 06:54
Grunt | skóre: 23
| blog: Expresivní zabručení
| Lanžhot
19.8.2015 17:49
vlastikroot | skóre: 24
| blog: vlastikovo
| Milevsko
19.8.2015 22:49
Petr Tomášek | skóre: 39
| blog: Vejšplechty
AbcLinuxu.cz
ITBiz.cz
HDmag.cz
AbcPráce.cz