BWA w sieci. Przemysław Truściński.
Przedstawiciele nowo uruchomionej usługi przechowywania i udostępniania plików Mega odniósł się do niektórych problemów zgłaszanych przez badaczy bezpieczeństwa w ostatnich dniach na temat architektury strony i implementacji jej funkcji kryptograficznych.
Internet i oskarżony cyfrowy wyrzutek Kim Dotcom niedawno uruchomił Mega (skrót od Mega Encrypted Global Access), który ma 50 GB wolnego miejsca. Mega jest tylko jednym z elementów tego, co Dotcom i jego zespół mają nadzieję, będzie pakiet internetowych usług szyfrowanych od Mega Ltd., w tym wiadomości e-mail, połączenia głosowe, wiadomości błyskawiczne i strumieniowe przesyłanie wideo.
W opublikowanym we wtorek wpisie na blogu przedstawiciele Mega potwierdzili niektóre zagrożenia bezpieczeństwa wskazane przez badaczy są ważne, ale powiedzieli, że użytkownicy zostali już poinformowani o niektórych z nich za pośrednictwem sekcji FAQ (często zadawane pytania) na stronie internetowej. W przypadku innych problemów obiecywali pewne ulepszenia.
[Czytaj dalej: Jak usunąć złośliwe oprogramowanie z komputera z Windows]
Na przykład zwrócono uwagę, że klucze szyfrujące generowane przez użytkowników podczas logowania proces, który jest później wykorzystywany do szyfrowania plików, są szyfrowane przy użyciu hasła do konta i są przechowywane tylko na serwerach Mega. Ponieważ nie ma funkcji odzyskiwania hasła, użytkownicy utracą możliwość odszyfrowywania swoich plików, jeśli zapomną swoich haseł, niektórzy mówią.
"To prawda - jedynym kluczem, który MEGA wymaga przechowywania po stronie użytkownika jest hasło logowania, w mózgu użytkownika ", powiedzieli urzędnicy Mega. "To hasło odblokowuje klucz główny, który z kolei odblokowuje klucze do plików / folderów / udziałów / prywatnych."
Jednak mechanizm, który pozwoli odzyskać pliki w przypadku zapomnienia hasła zostanie zaimplementowany w najbliższej przyszłości, oni powiedzieli. Obejmuje to opcję zmiany hasła i importu wcześniej wyeksportowanych kluczy plików w celu odzyskania odpowiednich plików.
Naukowcy bezpieczeństwa zauważyli również fakt, że główne klucze szyfrowania są generowane w przeglądarce podczas rejestracji za pomocą matematyki.random JavaScript i ostrzegł, że funkcja ta nie wykonuje dobrej roboty generowania liczb losowych, co oznacza, że powstałe klucze mogą być słabe z punktu widzenia kryptografii.
W odpowiedzi, urzędnicy Mega powiedzieli, że entropia-losowość- jest dodawany przy użyciu danych zebranych z myszy i klawiatury użytkownika. "Dodamy jednak funkcję, która pozwala użytkownikowi dodać tyle entropii ręcznie, ile uzna za stosowne, zanim przejdzie do generowania klucza", powiedzieli.
Przedstawiciele Mega wyjaśnili również, jak działa system weryfikacji JavaScript w witrynie, zwracając uwagę, że główny serwer HTTPS, który używa certyfikatu SSL z kluczem 2048-bitowym, jest używany do sprawdzania integralności kodu JavaScript obsługiwanego przez serwery HTTPS wtórne, które używają certyfikatów z kluczami 1024-bitowymi. "To w zasadzie umożliwia nam przechowywanie niezwykle statycznych treści wrażliwych na integralność na wielu różnych geograficznie serwerach bez martwienia się o bezpieczeństwo" - powiedzieli.
Badacz o imieniu Steve Thomas, znany jako "Sc00bz", stwierdził we wtorek, że linki zawarte w e-mailach potwierdzających wysłanych przez Mega podczas procesu rejestracji konta rzeczywiście zawierają skrót hasła użytkownika.
Thomas wypuścił narzędzie o nazwie MegaCracker, które może być użyte do wyodrębnienia skrótów z takich linków i spróbować je złamać przy użyciu ataku słownikowego.
Komentując wydanie narzędzia, urzędnicy Mega stwierdzili, że MegaCracker jest "doskonałym przypomnieniem, aby nie używać haseł do odgadywania / słownika, w szczególności, jeśli twoje hasło służy również jako główny klucz szyfrowania dla wszystkich plików przechowywanych w MEGA. "
Nie udało im się jednak odpowiedzieć na pytanie, dlaczego linki potwierdzające konto przesyłane pocztą e-mail zawierają przede wszystkim hasło hasła użytkownika. Ogólna technika używana przez inne strony internetowe polega na generowaniu losowych kodów dla linków potwierdzających.
Aby uniemożliwić potencjalnym napastnikom uzyskanie hasła hash w późniejszym czasie, użytkownicy powinni prawdopodobnie usunąć wiadomość e-mail z potwierdzeniem Mega po kliknięciu na dołączone link i skonfiguruj swoje konta.
ISP odpowiada na obawy prawodawców dotyczące śledzenia reklam
Embarq, a Kansas ISP, twierdzi, że nie planuje wprowadzenia kontrowersyjnego ukierunkowanego serwisu reklamowego od NebuAd .
Zhackowane e-maile o zmianach klimatycznych Wyróżnij obawy dotyczące bezpieczeństwa
W gorączce debaty o zmianach klimatycznych wywołanej przez zhakowane wiadomości e-mail, była mała dyskusja na temat wycieku wiadomości e-mail. W połączonym świecie, bezpieczeństwo i prywatność są ważniejsze i trudniejsze do zdobycia.
Oracle wydaje poprawkę Java, ale obawy dotyczące bezpieczeństwa pozostają
Oracle wydał aktualizację Java 7 11, która rozwiązuje problem Zero Day, który umożliwia intruzom instaluj złośliwe oprogramowanie w podatnych na atak systemach. Użytkownikom zaleca się jednak ponowną konfigurację oprogramowania w taki sposób, aby Java nie działała automatycznie.