uinC NewsLetter #29, 2012

Приветствуем!

Новости из Security Мира

16/07/2012 14:46 Китайские школьники победили в чемпионате по программированию VK Cup
Победителем чемпионата по программированию VK Cup, проведенного социальной сетью "ВКонтакте", стал 16-летний программист из Китая Южу Гу, который получил в качестве награды 30 тысяч долларов, говорится в сообщении соцсети. "В конкурсе VK Cup мы хотели отобрать и наградить лучших разработчиков мира. Мы не делали ограничения на страну проживания - и награждали лучших из лучших алгоритмистов планеты", - приводятся в пресс-релизе слова генерального директора "ВКонтакте" Павла Дурова. Второе место также досталось программисту из Китая - 17-летнему Кинши Вангу, его награда составила 20 тысяч долларов. Приз за третье место в размере 10 тысяч долларов получил 17-летний программист из Белоруссии Геннадий Короткевич. В десятку сильнейших вошли только два программиста из России, которые расположились на 5 и 10 местах. Изначально администрация соцсети планировала наградить победителей чемпионата денежными призами в размере шесть, четыре и две тысячи долларов соответственно. В чемпионате по программированию VK Cup могли принять участие пользователи в возрасте от 14 до 23 лет, которые при этом не являются сотрудниками "ВКонтакте". Отборочные туры стартовали в начале марта на площадке Codeforces, которую спонсирует "ВКонтакте", а финал чемпионата прошел с 13 по 16 июля в главном офисе соцсети в Санкт-Петербурге. Участникам отборочных соревнований предлагалось решить несколько алгоритмических задач при помощи различных языков программирования. Для участников финала организаторы заготовили пять задач разной сложности. При этом первую - самую сложную - не решил ни один участник. Как отмечают представители соцсети, в соревнованиях приняли участие несколько тысяч молодых специалистов. Социальная сеть "ВКонтакте" активно сотрудничает с победителями различных соревнований по программированию. Так, по данным на май 2011 года, в число сотрудников соцсети входило семь чемпионов мира по программированию. При этом соцсеть привлекает сторонних программистов для разработки различных приложений. Например, на разработку мессенджеров "ВКонтакте" для платформ iOS, Android и BlackBerry соцсеть уже выделила 10 миллионов рублей. Соревнования по программированию проводит и компания Mail.Ru Group. В 2012 году компания проведет уже второй чемпионат по программированию Russian Code Cup. В 2011 году в данных соревнованиях приняли участие более трех тысяч программистов. В мае 2012 года команда из Санкт-Петербургского государственного университета информационных технологий, механики и оптики (ИТМО) стала победителем 36 международной олимпиады по программированию ACM ICPC, финал которой прошел в четверг в Польше. Победителю удалось обойти 111 команд из более чем 80 стран мира, решив за пять часов максимальное (девять) количество из 12 предложенных задач.
Источник

16/07/2012 16:55 Роскомнадзор требует от иностранных регистраторов закрыть более 30 доменов
Роскомнадзор направил шести иностранным регистраторам доменных имен требования о прекращении незаконного распространения персональных данных российских граждан. Как пояснили в ведомстве, соответствующие требования были направлены пяти американским компаниям и одному регистратору с Багамских островов. Роскомнадзор потребовал от этих компаний прекратить делегирование прав на использование интернет-доменов, на которых работают сайты, незаконно распространяющие персональные данные российских граждан в сети интернет. "Одновременно служба обратилась в российский МИД с просьбой об оказании содействия по дипломатическим каналам в прекращении незаконного опубликования персональных данных российских граждан", - добавили в пресс-службе Роскомнадзора. С начала года Роскомнадзором в иностранные компании было направлено 42 аналогичных письма. Из них 15 вылились в добровольные решения о прекращении работы ресурса или об удалении незаконно размещенных персональных данных. "Остальные дела будут рассматриваться с привлечением уполномоченных органов тех стран, в которых зарегистрированы компании, предоставляющие права пользования доменными именами, или в судебном порядке", - сказали в российском ведомстве.
Источник

16/07/2012 18:50 Сообщения из чата Skype рассылаются по произвольным контактам
На официальном форуме Skype Support Network появились сообщения пользователей сети, удивленных получением чужих сообщений в службах чата. Жалобы пользователей стали поступать после июньского обновления программного обеспечения телеконференций Skype. Многие пользователи высказывали свое недовольство, связанное с тем, что отправленные ими сообщения не доходят до адресата. При выяснение всех обстоятельств, выяснилось, что сообщения просто отправлялись сторонним пользователям Skype. После открытия окна чата одного пользователя, в нем отображался список сообщений от стороннего пользователя. При начале общения с пользователем, чье окно чата было открыто, все сообщения из истории от неизвестного пользователя отправлялись собеседнику. По мнению наблюдателей, причиной столь странного поведения системы стали ошибки в адресации сообщений, связанные с переходом сети Skype на централизованное управление, анонсированное компанией Microsoft как раз в июне этого года. Разработчики Skype признали наличие ошибок: "Мы понимаем, что в редких случаях сообщения чата двух пользователей могут быть отправлены стороннему третьему адресату". Компания Microsoft, как новый владелец Skype, обещает в ближайшее время выпустить обновление, устраняющие обнаруженные ошибки. По мнению, Microsoft, ошибки могут быть связаны не с последней версией Skype, а с ее совместимостью с предыдущими версиями. Регулярное автоматическое обновление позволяет избежать таких ошибок, поэтому и число пострадавших пользователей сравнительно невелико. А пока Microsoft решает как устранить ошибки, эксперты компьютерной безопасности не советуют пользователям передавать по Skype личную информацию через чат, а для общения использовать функции видеосвязи.
Источник

16/07/2012 20:03 Уязвимость в Yahoo Mail для Android позволяла рассылать спам
На прошлой неделе, эксперты компании Microsoft выступили с сенсационным заявлением, связанным с обнаружением первого ботнета, используемого для рассылки спама, при этом функционирующего на платформе Android. Основанием для такого решения стали образцы заголовков спам-сообщений, содержащие метку "androidMobile" и автоматически добавляемую подпись "Sent from Yahoo! Mail on Android". Компания Google поставила под сомнение эти заявления, продолжая распространять свое мнение о безопасности платформы Android. Немного стесняясь своего мнения, специалисты Symantec предложили целых три гипотезы, которые доказывали использование мобильных меток только с целью обойти спам-фильтры, при этом утверждалось, что сообщения все же отправляются со стационарных, а не мобильных узлов сети. Сегодня антивирусная компания Trend Micro заявила, что компания Yahoo на днях закрыла уязвимость в своем мобильном почтовом приложение Yahoo! Mail for Android, которая могла использоваться для рассылки спама. Уязвимым оказался протокол клиент-серверного взаимодействия между почтовыми серверами компании Yahoo и его клиентским модулем для платформы Android. В результат компрометации cookies-файлов Yahoo! Mail for Android злоумышленники могли производить рассылку спама от лица сторонних пользователей с использованием сервером Yahoo. Откуда в действительности производилась рассылка сообщений, пока остается тайной. Однако, по мнению специалистов компьютерной безопасности, для компрометации данных мог использоваться еще неизвестный Android-троян, который для своего распространения эксплуатировал незакрытые уязвимости старых версий ОС Android.
Источник

16/07/2012 21:51 Microsoft помогает развитию российского интеллектуального поисковика Choister
По итогам очередного заседания Фонда посевного финансирования Microsoft российская команда разработчиков платформы интеллектуального поиска Choister получила безвозмездный грант в $40 тыс. на развитие продукта. Microsoft сообщила об этом 16 июля. Проект Choister занимается разработкой платформы агрегации данных и поиска слабоструктурированной информации с использованием сложных запросов. «Наиболее слабым местом поисковиков сегодня является поиск и сравнение сложных товаров и услуг. Если вы ищите что-то простое (адрес, кафе, организацию, картинку и т.д.), вы находите это практически сразу в первых же ссылках, которые выдает поисковик. Однако если вы ищите что-то сложное, требующее сравнения и анализа (квартира, загородный дом, машина, страховка, кредит и т.д.), вы вынуждены делать большую работу самостоятельно, вручную сравнивая и анализируя информацию с разных сайтов. Choister позволяет автоматизировать этот процесс, благодаря чему пользователь минует длительный этап самостоятельного сбора информации из разных источников и получает наиболее актуальные данные в различных форматах, удобных для сравнения и дальнейшей работы с данными. Другими словами, Choister облегчает проблему выбора. И мы очень благодарны Фонду посевного финансирования Microsoft за поддержку и предоставленную возможность развивать и совершенствовать наш сервис», – подчеркнул Алексей Низовских, основатель и управляющий директор Choister. Как говорят разработчики, платформа Choister умеет анализировать по произвольным критериям результаты поиска информации из разных источников, таких как поисковые сервисы, веб-сайты, социальные сети и локальные компьютеры, выдавая результат анализа в наиболее удобной форме - сравнительной таблицы, графика, обзора или любой другой. Также система умеет автоматически дополнять полученные результаты анализа по мере появления новых данных. Другой важной стороной функциональности Choister является возможность анализировать и сравнивать данные, позволяя пользователям получать результаты на самые сложные запросы, например, в случае поиска квартиры или машины, когда должны быть учтены несколько различных факторов. Также сервис будет объединять пользователей в единую сеть, для того, чтобы они имели возможность использовать данные друг друга для уточнения результатов и совместной работы, говорят создатели Choister. «Проект Choister был признан перспективным экспертами Фонда. Думаю, что предпринимателям из нашей страны пора сделать очередной прорыв в области поисковых систем и показать, есть еще «яндексы» в нашей стране», - заявил Гайдар Магдануров, управляющий директор Фонда посевного финансирования Microsoft в России. Всего к июньскому заседанию Фонда посевного финансирования Microsoft в России было подано более 200 заявок, отмечают представители компании. За прошедшие полтора года своей работы Фонд посевного финансирования Microsoft вручил гранты уже восемнадцати российским IT-проектам. Общая сумма инвестиций составила $765 тыс. Всего за 10 лет своей работы Фонд намерен оказать поддержку 100 российским проектам.
Источник

16/07/2012 22:08 Сотрудники сотовых компаний перехватывали SMS-сообщения чиновников
В причастности к слежке за высокопоставленными чиновниками подозревают неустановленных сотрудников технических центров ОАО "МТС" и ОАО "Вымпелком". Об этом 16 июля сообщается на сайте Следственного комитета РФ. По версии следствия, сотрудники сотовых компаний выдавали архивы SMS-переписки троих клиентов организаторам слежки - экс-сотруднику спецслужб, ныне гендиректору некоей фирмы Алексею Смирнову и частному детективу Алексею Михайленко, имеющему статус индивидуального предпринимателя. Ранее сообщалось, что в отношении Смирнова и Михайленко возбудили дело о нарушении неприкосновенности частной жизни и тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений. Задержаны ли они, не уточняется. В рамках уголовного дела был проведен обыск в ЧОП "Белган", созданном в 1997 году на базе службы безопасности официального дилера фирмы Panasonic. На сайте ЧОП сообщается, что среди его клиентов - родственники президентов стран ближнего зарубежья, крупные бизнесмены и общественные деятели, а также структуры, подчиненные управлению делами президента РФ. Впрочем, в самом управделами факт сотрудничества с "Белганом" и любыми иными ЧОП отрицают. Какие три чиновника проходят потерпевшими по уголовному делу, пока не раскрывается. Известно лишь, что они - жители Подмосковья.
Источник

17/07/2012 10:33 Microsoft представила новый пакет офисных приложений Office 2013
Генеральный директор Microsoft Стив Балмер анонсировал на специальном мероприятии в Сан-Франциско (Калифорния, США) предварительную версию (Customer Preview) новую версию набора офисных приложений Microsoft Office 2013 (365). В состав продукта входят программы Word, Excel, PowerPoint, OneNote, Outlook, Publisher и Access. Они получили кардинально переработанный интерфейс, адаптированный под устройства различных типов, в том числе планшетные компьютеры с сенсорным экраном. Microsoft подчёркивает, что работать с приложениями одинаково удобно как при помощи клавиатуры и мыши, так и посредством пальцев или электронного пера. Продукт предусматривает тесную интеграцию с «облачными» службами, прежде всего онлайновым хранилищем SkyDrive. Все документы по умолчанию будут сохраняться на серверах в Интернете, что позволит получать к ним доступ с любого устройства — персонального компьютера, планшета или смартфона. Работать с файлами пользователи смогут и в офлайне; синхронизировать данные можно после восстановления соединения с Сетью. Кроме того, в новом офисном пакете предусмотрены средства синхронизации настроек, шаблонов, словаря и пр. Microsoft Office 365 получил расширенные социальные функции. К примеру, можно просматривать почту с нескольких электронных адресов, новости из Facebook и LinkedIn в едином интерфейсе через Outlook. С выходом полной версии продукта можно будет общаться друг с другом при помощи Skype, включая 60 минут бесплатных международных звонков ежемесячно на стационарные телефоны, в более чем 40 странах, и мобильные телефоны в 7 странах. Домашним пользователям Microsoft предложит редакцию Office 365 Home Premium, предусматривающую выделение 20 Гб дискового пространства на серверах SkyDrive. На предприятия малого и среднего бизнеса ориентирована версия Office 365 Small Business Premium с расширенными средствами обмена информацией и поддержкой видеоконференций в формате высокой чёткости. На крупных корпоративных заказчиков рассчитана наиболее полная редакция Office 365 ProPlus. Microsoft отмечает, что на компьютеры под управлением Windows RT будет инсталлироваться пакет Office Home and Student 2013 RT, в состав которого входят программы Word, Excel, PowerPoint и OneNote. Эта версия продукта, в частности, будет поставляться вместе с планшетами Surface. Цены на новый Office обещают назвать осенью. В продажу продукт поступит в конце 2012 или в начале 2013 года, после выхода операционной системы Windows 8. Это связано прежде всего с тем, что Office 2013 не поддерживает ОС Windows XP и Vista, а пользователям необходимо время на перехода к более современным ОС.
Источник

17/07/2012 11:40 Плохое качество связи в Порту-Алегри стало причиной запрета новых SIM-карт
Служба защиты интересов потребителей в бразильском городе Порту-Алегри приняла беспрецедентное в истории южноамериканской страны решение в сфере телекоммуникаций, подкупающее и смелостью, и принципиальностью. Крупнейшим операторам сотовой связи запрещено выдавать новые SIM-карты клиентам до тех пор, пока не будут ликвидированы основные замечания действующих абонентов по качеству мобильной связи. Под действие ограничения попали все без исключения бразильские "телефонные гранды": компании Vivo, Claro, Oi и Tim. Как оказалось, клиенты всех четырех компаний просто завалили жалобами местную службу защиты потребителей. В подавляющем большинстве случаев абонентов не устраивает качество связи и покрытие территории города сигналом. Нередки также сетования на засилье непрошеных платных услуг и высокие тарифы мобильного интернета. Служба защиты потребителей Порту-Алегри постановила, что компании-операторы должны "в качестве компенсации предоставить льготные тарифы клиентам, понесшим моральный или иной ущерб в результате невозможности воспользоваться сервисом, оговоренным в контракте на предоставление услуг мобильной связи". Все четыре телефонных оператора в принципе признают, что в Порту-Алегри "кто-то кое-где еще порой" не может воспользоваться устойчивой сотовой связью. Однако на то есть веские причины, считают телефонисты. Главная из них – местное законодательство, по которому вышки сотовой связи не могут стоять ближе 500 метров друг от друга. "Пока не отмените эту норму, мы не можем гарантировать устойчивую связь во всем городе", - заявили представители телефонных компаний, которые сейчас подумывают о том, чтобы отстаивать свои финансовые интересы через суд. Порту-Алегри – самый крупный город на юге Бразилии. Это – административный центр экономически развитого штата Риу-Гранди-ду-Сул. В городе проживает 1,4 млн жителей, причем на 100 горожан, включая новорожденных младенцев и древних стариков, сейчас приходится 90 номеров мобильной телефонной связи.
Источник

17/07/2012 12:07 Лицензия МТС в Узбекистане приостановлена за невыполнение предписаний
Агентство связи и информатизации Узбекистана приостановило лицензию "дочки" МТС, компании "Уздунробита", на 10 рабочих дней, — сообщается на официальном сайте узбекского регулятора. Лицензия приостановлена "за неоднократные и систематические грубые нарушения, невыполнение предписаний контролирующего органа", — говорится на сайте ведомства. Приказ агентства вступает в силу в 18:00 17 июля. Таким образом, дочерняя компания МТС лишается права "занятия деятельностью по проектированию, строительству, эксплуатации и оказанию услуг сетей подвижной радиотелефонной (сотовой) связи" сроком на две недели. Ранее сообщалось, что компания МТС направила официальные обращения в адрес руководства Узбекистана с требованием пресечь нарушения действующего уголовно-процессуального и иного законодательства Республики Узбекистан в рамках текущих проверок деятельности иностранного предприятия ИП "Уздунробита", 100% дочерней компании ОАО "МТС" в Узбекистане, и проведения следственных действий в отношении должностных лиц узбекской компании. В обращении МТС говорилось, что руководящие работники ИП "Уздунробита" Темирмалик Алимов и Радик Даутов были заключены под стражу. Также без достаточных оснований были арестованы еще три сотрудника узбекского оператора. При допросах и проведении следственных действий к сотрудникам предприятия регулярно не допускаются их адвокаты.
Источник

17/07/2012 12:22 Сотрудники LG занимались промышленным шпионажем в Samsung
LG Display сообщает, что южнокорейская полиция арестовала 11 человек, в том числе и шестерых сотрудников самой компании, обвиняемых в краже новых технологий, связанных с созданием телевизионных продуктов, у компании Samsung Electronics. Помимо этого, LG Display сообщила, что против компании были выдвинуты обвинения в краже OLED-технологий у Samsung в 2010 и 2011 годах. Сообщается, что трое из задержанных работников до недавнего времени работали в подразделении компании Samsung. В сообщении LG Display говорится, что компания считает выдвинутые против нее обвинения ошибочными и не признает себя виновной в промышленном шпионаже. В свою очередь в компании Samsung говорят, что LG Display "систематически крадет технологии, связанные с дисплеями" и пытается заниматься подкупом сотрудников Samsung.
Источник

17/07/2012 12:51 Украина переводит государственные закупки на электронные аукционы
5 июля 2012 г. президент Украины Виктор Янукович подписал изменения в закон Украины «Об осуществлении государственных закупок» относительно внедрения процедуры электронного реверсивного аукциона. Согласно новому законодательству, закупка за государственные средства отдельных видов товаров, работ и услуг будет проводиться исключительно на электронных аукционах, если стоимость закупки составляет не менее 100 тыс. гривен (в строительстве – 300 тыс. гривен, а при закупке работ – 1 млн гривен). Перечень видов товаров, работ и услуг, закупаемых на электронных аукционах, будет утвержден кабинетом министров Украины. Применение процедуры электронного реверсивного аукциона станет обязательным с 1 января 2013 г. Процедура аукциона и заключение договора с победителем по итогам торгов будут проводиться полностью в электронной форме. Для работы на электронных торговых площадках заказчикам и участникам аукционов потребуются средства электронной цифровой подписи. Отбор и контроль операторов торговых площадок, на которых будут проводиться аукционы, будет осуществлять Минэкономразвития и торговли Украины. В качестве вознаграждения операторы будут получать с участников и победителей аукционов соответственно по 10 и 50 необлагаемых минимумов доходов граждан. Ожидается, что осуществление государственных закупок в Украине через электронные аукционы позволит достичь большей экономии по результатам проводимых торгов, повысить открытость и прозрачность закупочных процедур. Напомним, что в РФ внедрение практики электронных аукционов для государственных закупок началось с 2008 г. на основании федерального закона от 21.07.2005 №94-ФЗ, а в 2009 г. были отобраны 5 федеральных операторов электронных площадок для проведения аукционов по главе 3.1 Федерального закона №94-ФЗ. По словам Алексея Бездушного, руководителя проектов российского разработчика электронных торговых площадок, компании «Алтимета», на текущий момент на Украине практически отсутствует практика проведения электронных закупок. Необходимую инфраструктуру операторам электронных аукционов во многом потребуется создавать «с нуля». В числе прочего, есть проблемы технологического характера – в настоящее время в стране несколько производителей средств электронной цифровой подписи, не совместимых между собой из-за разночтений законодательства. Это создает серьезные препятствия к широкому применению юридически значимого электронного документооборота.
Источник

17/07/2012 13:08 Представлена камера для слежения за быстро движущимися объектами
Ученые Токийского университета разработали камеру, которая отслеживает объекты, движущиеся с высокой скоростью, и производит их видеосъемку в высоком разрешении. Оптическая система устроена таким образом, что наблюдаемый объект постоянно находится в центре картинки. Авторами проекта стали ученые Кохеи Окумура (Kohei Okumura), Хиромаса Оку (Hiromasa Oku) и Масатоси Исикава (Masatoshi Ishikawa), система получила название 1ms Auto Pan-Tilt. Система работает схожим образом с функцией автофокуса, только в данном случае наблюдаемый объект удерживается не только в фокусе, но и в центре снимаемого изображения. Следует отметить, что для этого при съемке движется не камера, а пара расположенных перед объективом зеркал. Одно из этих зеркал поворачивается в вертикальной, а второе в горизонтальной плоскости, благодаря чему подвижное крепление камеры действительно становится ненужным. Система слежения за объектом обновляет свои данные с частотой порядка 1000 кадров в секунду, отсюда и часть «1ms» в названии. Для реакции зеркала требуется не более 3,5 миллисекунд, за это время зеркало может повернуться на угол до 60 градусов. Что же касается самой съемки, то она производится с частотой 500 кадров в секунду при разрешении Full HD, то есть 1920x1080 пикселей. Это значит, что система может использоваться не только в лабораторных условиях, но и на телевидении при съемке спортивных состязаний или объектов живой природы.
Источник

17/07/2012 17:39 ElcomSoft представила аппаратно-программное решение для взлома паролей
Компания ElcomSoft оптимизировала работу своих программных продуктов Elcomsoft Phone Password Breaker и Elcomsoft Wireless Security Auditor, предназначенных для взлома паролей, защищающих информацию в смартфонах Apple и BlackBerry, а также данные, передаваемые по защищённому протоколу Wi-Fi (WPA и WPA2). Как правило, с цель повышения производительности в программах перебора паролей используются аппаратные возможности графических ускорителей, однако на этот раз разработчики применили более специализированное оборудование компании Pico Computing на основе программируемых матричных процессоров (FPGA). Использование контроллеров Pico Computing позволило существенно увеличить производительность, так, вычислительная мощность единственного моноблока в формате серверной стойки 4U эквивалентна порядка 2,000 (двум тысячам) двухъядерных процессоров класса Intel Core2Duo. К примеру, устройство EX-500 PCIe Backplane, оборудованное процессором Pico Computing M-501, в задачах по взлому паролей превосходит топовые решения от AMD и NVIDIA в 3-10 раз, в то же время обгоняя процессоры класса Core2Duo в 300 и более раз. "Решения на основе платформы Pico используются там, где требуется максимальная возможная производительность", комментирует Владимир Каталов, президент компании ElcomSoft. "Основные заказчики решений – государственные организации, спецслужбы и следственные органы. Решения Pico демонстрируют производительность суперкомпьютеров при существенно меньшей стоимости". В ближайшие месяцы Elcomsoft планирует реализовать поддержку ускорителей Pico в Elcomsoft Distributed Password Recovery.
Подробности

17/07/2012 19:11 Wikimedia работает над собственным гидом по путешествиям
Wikimedia Foundation может в будущем создать своё собственный гид по путешествиям, который станет аналогом таких сайтов, как Lonely Planet. Выяснилось, что совет попечителей компании обсуждал возможность появления бесплатного сервиса, редактированием которого мог бы заниматься каждый — как и в случае с Wikipedia. Совет решит судьбу проекта через шесть недель после публичной консультации, однако некоторые личности утверждают, что формально разработка сервиса уже в силе. Обсуждение сервиса, который пока не имеет названия, происходило 11-го июля — 31 из 48 администраторов WikiTravel выразили свой интерес к проекту. WikiVoyage также заявила, что собирается объединиться с Wikimedia и заниматься её финансированием. Тот факт, что Wikimedia работает над гидом по путешествиям, может повлиять на аналогичные сервисы. В частности, многим сайтам, возможно, придётся повысить качество статей, чтобы иметь возможность оставаться на одном уровне с сервисом от Wikimedia.
Источник

17/07/2012 20:43 Россия создает закрытый репозиторий для государственного ПО
На сайте Минкомсвязи опубликован и прошёл за 3 рабочих и 2 выходных дня публичную экспертизу проект "Положения о национальном фонде алгоритмов и программ". В документе идёт речь о репозитории (хранилище) для программ и документации. В теории, код созданный по госконтрактам, через Фонд может быть использованы "вторично". Например, перетекая из одного регионального ведомства в аналогичное, в другом месте страны. Согласно Положению, при планировании мероприятий в государственной IT-сфере, федеральные органы исполнительной власти и государственные фонды должны будут отдавать предпочтение именно программам уже находящихся в государственном архиве. А свои новые программы (кроме секретных) и связанные с ними документы, чиновников обяжут помещать или обновлять в Фонде. Доступ к репрозиторию предоставляется всем поставщикам, а так же государственным и органам местного самоуправления, последним по особой заявке. Косвенно "режимность" подтверждает, что никакого государственного ПО на "открытых системах" в России в ближайшей перспективе не планируется. Кроме того, как пояснил директор НП "Информационная культура" и специалист по государству в сети Иван Бегтин: "Большая часть кода сделанного для государства действительно закрыта и репозиторий или хотя бы учет его необходим. Однако я не особо надеюсь на то что повторное использование кода от этого улучшится поскольку текущая ситуация такова что ведомства не любят использовать ранее разработанное и чаще заказывают свое под собственные требования".
Источник

17/07/2012 21:46 В Systemd реализована изоляция системных вызовов для запускаемых сервисов
Леннарт Поттеринг (Lennart Poettering) сообщил о реализации поддержки технологии "seccomp filter" в системном менеджере systemd, что позволяет обеспечить изоляцию системных вызовов для запускаемых через systemd процессов. Для создания изолированных окружений используется простой синтаксис определения допустимых системных вызовов, без необходимости непосредственной модификации самих приложений. Указанная возможность может быть активирована при использовании ядра Linux 3.5, релиз которого ожидается на следующей неделе. В общем виде принцип работы "seccomp filter" сводится к ограничению доступа к системным вызовам, при этом логика выставляемых ограничений задаётся на уровне защищаемого приложения, а не через задание внешних ограничений, как в случае AppArmor или SELinux. В код программы добавляется структура с перечнем допустимых системных вызовов (например, ALLOW_SYSCALL) и реакции в случае несовпадения (например, KILL_PROCESS). Доступ к системным вызовам определяется в виде правил, оформленных в BPF-представлении (Berkeley Packet Filter), которое получило распространение в системах фильтрации сетевых пакетов. Система "seccomp filter" позволяет реализовывать достаточно сложные правила доступа, учитывающие передаваемые и возвращаемые аргументы. Программа сама определяет какие системные вызовы ей необходимы и какие параметры допустимы, все остальные системные вызовы блокируются, что позволяет ограничить возможности атакующего в случае эксплуатации уязвимости в приложении, защищённом при помощи seccomp. Возможность задания фильтров аргументов позволяет также защититься от большинства атак, эксплуатирующих уязвимости в системных вызовах. Например, выявленные за последние годы критические уязвимости в glibc и ядре Linux, такие как AF_CAN, sock_sendpage и sys_tee, успешно блокируются при надлежащем использовании seccomp. В настоящее время поддержка "seccomp filter" реализована в таких популярных серверных приложениях, как OpenSSH и vsftpd, патчи с поддержкой "seccomp filter" уже поставляются в ядре Linux из состава Ubuntu 12.04.
Источник

17/07/2012 22:29 Игровая платформа Steam появится на Linux-платформах
Компания Valve, разработчик игровой платформы распространения контента Steam, заявила о своих планах по созданию клиентского модуля для Linux-платформ. Сейчас Steam доступен лишь на MacOS, Windows и модуля управления для ОС Android. В скором времени список платформ расширится. Правда, разработчики не уточнили никаких дат, предложив следить за новостями. Первой в очереди стоит ОС Ubuntu 12.04: именно с этой ОС будет тестироваться совместимость клиентского модуля Steam. Разумеется, Linux-версия Steam бесполезна без игр, поэтому первым проектом, распространяемым в этой системе, станет шутер Left 4 Dead 2. Оригинал, напомним, был создан Valve для ПК и Xbox 360 и появился в октябре 2009-го; через год Left 4 Dead 2 вышла на MacOS. Дату выхода Linux-версии также не назвали. Недавно, компания Valve начала развивать новое направление платформы Steam, превращая его из магазина игр в полнофункциональный мультимедиа-центр. В ближайшем будущем, планируется начать распространение мультимедиа-контента - фильмов, клипов и музыки. Кроме того, недавно, в Android-приложение Steam появилась возможность поиска по таким категориям приложений как "Образование", "Редактирование фотографий", "Финансы" и др., которые далеки от названия жанров игр. Этот факт может стать доказательством желания Valve превратить Steam еще и в архив приложений. Тем самым, присутствую на всех популярных платформах, Steam может выступить конкурентом таких сервисов как Google Play и даже Netflix.
Источник

18/07/2012 00:48 Пользователи Ближнего Востока стали жертвой очередного трояна Mahdi
Анализируя спам-сообщения, эксперты антивирусной компании Seculert в конце прошлого года столкнулись с неизвестным на тот момент трояном, используемым для целевой атаки на пользователей Ближнего Востока. Наблюдение за активностью трояна, позволило выделить командные центры, которые несколько раз меняли домены и свое местоположение, оставаясь по сей день в рабочем состояние. Первый командный центр находился в Иране, а затем перебазировался в Канаду. Все обнаруженные версии трояна в разные этапы своей деятельности создавали текстовый документ "Mahdi.txt", за что троян получил свое гордое название пророка Махди, который известен своим предсказанием скорого "конца света". После обнаружения трояна Flame (Flamer), исследователи Seculert обратились за помощью в "Лабораторию Касперского", чтобы те проверили существует ли между этими двумя зловредами связь. Связи как таковой не оказалось, за исключением общего региона распространения. Атака трояна Mahdi была направлена на пользователей Ближнего Востока, всего было зафиксировано более 800 заражений в Иране, Израиле, Афганистане, ОАЭ и Саудовской Аравии. Для своего распространения Mahdi использовал спам-сообщения религиозной тематики, которые содержали PowerPoint-презентацию или исполняемые файлы со скрытыми расширениями. После запуска таких файлов, производилось открытие текстового документа, изображения или видео, а вместе с тем выполнялся вредоносный код. В случаях с вложениями в виде презентаций, установка вредоносного кода происходила средствами PowerPoint и требовала от пользователя подтверждения выполнения опасного кода. Детальный анализ Mahdi (Trojan.Win32.Madi) показал, что для распространения трояна не использовались никакие уязвимости. После заражения системы, троян устанавливал себя в автозапуск и связывался с командным центром по HTTP-протоколу. Всего было зафиксировано 4 командных сервера. Троян Mahdi обладал следующими функциями: слежение за нажатиями клавиш; создание снимков экрана через заданный интервал времени или при обнаружение определенного действия пользователя, например открытия веб-сайта социальной сети или IM-клиента; запись звука; поиск и отправка документов заданного типа; получение структуры файловой системы; обновление версии клиентского модуля и функцией самоуничтожения. Примечательно, что код трояна был написан на Delphi и упакован с использованием UPX. Несмотря на явную вредоносную активность, использование простейших средств разработки и распространение через открытые источники, троян Mahdi оставался незамеченным антивирусами более 8 месяцев. Некоторые аналитики высказывают свои предположения, что обнаруженный троян мог стать ответом хакеров с Ближнего Востока на троян Stuxnet. Учитывая "успехи" современных антивирусных систем, у разработчиков такого уровня даже может что-то из этого получиться.
Источник

18/07/2012 01:09 Google и ЖЖ не получали от Роскомнадзора претензий по личным данным
Интернет-компании Google и LiveJournal не получали от Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) писем в связи с нарушениями российского закона о защите персональных данных, сообщили представители компаний во вторник. Ведомство собирается сделать это в ближайшее время, сообщает в свою очередь Роскомнадзор. Во вторник ряд СМИ назвал Google и LiveJournal в качестве организаций, к которым у Роскомнадзора, выполняющего в России роль уполномоченного органа в области соблюдения прав владельцев персональных данных, появились претензии в июле. Ведомство в понедельник сообщило, что в первой половине этого месяца направило за границу шесть писем, пять из которых адресовано американским компаниям-регистраторам доменных имен. "LiveJournal ранее не получал запросы от российских ведомств об удалении персональных данных с сервиса", - сказал представитель компании SUP Media, владеющей блогхостингом LiveJournal. Офис LiveJournal в Сан-Франциско никаких требований от Роскомнадзора не получал, сообщил накануне в своем микроблоге на сервисе Twitter руководитель LiveJournal в России Илья Дронов. Не получало подобных писем и российское представительство компании Google, владеющей видеохостингом YouTube, сообщила пресс-служба компании. "YouTube является дочерней компанией Google, поэтому такое письмо могло быть направлено в головной офис компании (в США - ред.), а не в российское подразделение", - заявили представители пресс-службы Google в России. Наблюдатели связывают неполучение претензий особенностями работы "Почты России". Учитывая стандартные сроки обработки писем, претензии могут быть доставлены в США в конце этого, начале следующего месяца. Как пояснила пресс-служба надзорного органа, письма с требованиями о прекращении незаконного распространения персональных данных были направлены тем американским компаниям-регистраторам, которые делегировали доменные имена LiveJournal.com и Youtube.com. Роскомнадзор не пытается добиться закрытия этих доменов. "В случае с требованиями к этим сервисам речь идет только об удалении информации, квалифицированной как незаконно размещенные персональные данные конкретных граждан России", - поясняет ведомство. Извещения Роскомнадзора о требованиях будут отправлены и в российские подразделения LiveJournal.com и Youtube.com по электронной почте, обещают представители ведомства. При поступлении жалоб о нарушении закона о персональных данных на зарубежном сайте Роскомнадзор выясняет достоверность претензий и направляет их в уполномоченный орган другой страны или напрямую регистраторам доменных имен, если уполномоченного органа в стране нет. "Такая форма взаимодействия предусмотрена соответствующими нормами российского и международного законодательства. Основанием для отказа принять меры по результатам рассмотрения материалов Роскомнадзора, как правило, является обязательное требование о наличии судебного решения об удалении информации или о прекращении делегирования доменного имени. Подобные требования предъявляются некоторыми регистраторами из США", - сообщили в Роскомнадзоре. Роскомнадзор вправе обращаться в суд с исковыми заявлениями в защиту прав субъектов персональных данных, в том числе, в защиту прав неопределенного круга лиц, и представлять интересы субъектов персональных данных в суде. За все время ведомству удалось закрыть через суд 27 сайтов, но все они расположены в российском сегменте сети. О зарубежных успехах в судах Роскомнадзор не сообщает.
Источник

18/07/2012 02:30 Отсутствие выбора веб-браузера в Windows 7 оказалось технической ошибкой
Европейская комиссия пригрозила Microsoft штрафом за то, что компания не сдержала обещания предоставить пользователям Windows возможность выбрать браузер, передает Bloomberg. Антимонопольные органы ЕС установили, что пакет обновлений (Service Pack 1) для Windows 7, вышедший в феврале 2011 года, не содержит "экрана выбора браузера". Обязательство показывать его пользователям из Европы, чтобы они смогли выбрать альтернативу штатному Internet Explorer, Microsoft взяла на себя в 2009 году. Microsoft признала, что "экран" действительно не отображается в Service Pack 1, и принесла извинения. Его отсутствие компания объяснила "технической ошибкой". Microsoft пообещала исправить промах и продлить существование опции выбора браузера до марта 2016 года. Изначально было условлено, что Microsoft будет показывать пользователям "экран выбора браузера" до 2014 года. Если Еврокомиссия не удовлетворится извинениями Microsoft и предложенной компенсацией, компании может быть выписан штраф в размере до 10 процентов ее годового оборота. Общий размер штрафов, которые Microsoft уже выплатила в Европе по антимонопольным искам, составляет 1,68 миллиарда Евро.
Источник

18/07/2012 08:57 Twitter восстановил нормальную работу в России
Сервис микроблогов Twitter восстановил полную функциональность на территории России, Франции и Германии. Об этом вечером 17 июля сообщило РИА Новости со ссылкой на представителя Twitter в Европе Рэйчел Бремер (Rachel Bremer). Ранее 17 июля часть пользователей из этих стран отмечала проблемы в работе некоторых функций веб-версии сервиса. У них не получалось воспользоваться поиском и опубликовать новый твит, а также не отображался блок с трендами - популярными темами Twitter. Кроме того, у некоторых пользователей не работали активные ссылки: они не могли ответить на твит, ретвитнуть его, посмотреть список друзей и выполнить другие действия. Проблемы наблюдались в локализациях сайта на русском, французском и немецком языках. При переключении на английский язык сервис работал нормально. Предыдущий глобальный сбой в Twitter случился 21 июня 2012 года. Тогда сервис не работал или работал с перебоями в течение нескольких часов.
Источник

18/07/2012 10:58 Борцы с педофилами попросили ограничить доступ к "ВКонтакте"
Активисты по борьбе с педофилией попросили министра внутренних дел Владимира Колокольцева ограничить доступ к социальной сети "ВКонтакте" до удаления оттуда всего порнографического контента. Заявление на имя Колокольцева с просьбой ограничить доступ к соцсети написал участник неформального движения "Охотники за головами" Сергей Жук, отмечает издание. По словам борцов с педофилией, соцсеть является складом порнографического видео, в том числе и с участием несовершеннолетних, что признает и сам генеральный директор "ВКонтакте" Павел Дуров. Предоставление площадки для порнографии и отказ ее удалять, как говорится в заявлении, нарушает нормы статьи № 4 "Закона о СМИ" - "Недопустимость злоупотребления свободой массовой информации". Сергей Жук заявил, что в мае 2012 года борцы с педофилией предложили администрации соцсети ограничить доступ несовершеннолетних к порноматериалам, однако им ответили, что полностью запретить пользователям просматривать такой материал они не в силах. В связи с этим в заявлении на имя Колокольцева активисты также попросили возбудить в отношении создателя сети Павла Дурова дело по статье 135 УК РФ "Развратные действия". Инициативу "Охотников за головами" поддержали представители РПЦ, а также руководство союза десантников России. Председатель Синодального отдела по взаимодействию Церкви и общества Московского патриархата протоиерей Всеволод Чаплин заявил о необходимости "защищать и сохранять чистоту детства и юности". В Союзе десантников, в свою очередь, сообщили, что считают "врагами отечества" всех тех, кто занимается распространением информации о педофилии. По подсчетам активистов "Охотников за головами", на сайте "ВКонтакте" зарегистрировано более 11 миллионов подростков, 7,5 миллионов из них - из России. Пресс-секретарь "ВКонтакте" Владислав Цыплухин не прокомментировал сложившуюся ситуацию.
Источник

18/07/2012 11:44 Минобороны США отреагировало на стратегию кибер-безопасности России
В Пентагоне ознакомились с документом "Национальная безопасность России", описывающим стратегию российской кибер-политики. Министерство обороны США осведомлено о появлении в России документа, определяющего политику страны в области информационной безопасности систем управления критически важной инфраструктурой. Об этом сообщили в пресс-службе Пентагона. В то же время, добавил представитель Минобороны, детальный анализ документа в ведомстве провести еще не успели. «Мы осознаем, что усиление кибер-безопасности имеет отношение к национальной безопасности в целом, и с нетерпением ожидаем продолжения двухсторонних переговоров с Россией по этому важному вопросу», - заявили в Пентагоне. Напомним, что основные направления государственной политики в области обеспечения безопасности систем управления объектов критически важной инфраструктуры недавно опубликовал Совет безопасности России. Авторы документа указали на слабые места и пути улучшения ситуации на нескольких уровнях: от законодательного до технологического. Одним из ключевых моментов российской кибер-политики является создание к 2020 г. единой государственной системы обнаружения и предупреждения компьютерных атак на критическую инфраструктуру, а также создание и поддержание в постоянной готовности сил и средств ликвидации последствий кибер-инцидентов. Эксперты признают актуальность появления такой концепции, однако сомневаются, что у России есть что защищать этим законом. В то же время, некоторых из специалистов удивило, что основные функции по реализации политики авторы документа возлагают на ФСБ и совсем не упоминают в нем ФСТЭК. Представители американских властей, напомним, ранее неоднократно заявляли, что именно Россия, а также Китай, Иран и Северная Корея представляют особую угрозу для кибер-безопасности их страны. В 2009 г. в США появилось специальное командование для военных операций в кибер-пространстве: как атак, так и обороны. В марте 2012 г. о возможности создания кибер-командования заговорили и российские чиновники.
Источник

18/07/2012 12:49 Cisco приобрела разработчика систем безопасности Virtuata
Cisco приобрела частную компанию Virtuata, специализирующуюся на разработке решений по обеспечению безопасности виртуальных машин. Эта сделка предоставит Cisco новые инструменты для работы с облачными вычислениями и инфраструктурой центров обработки данных (ЦОД). Компания Virtuata была создана в 2010 году. Ее штаб-квартира находится в Миллитасе (Калифорния, США). Согласно условиям сделки, команда разработчиков Virtuata вольется в состав подразделения Data Center Group, которым руководит старший вице-президент Cisco Дэвид Йен (David Yen). Финансовые условия сделки не разглашаются. Начавшая свою деятельность с выпуска маршрутизаторов, компания Cisco в настоящее время пытается построить полноценную инфраструктуру ЦОД благодаря расширению партнерских связей, приобретению стартапов и собственной реорганизации, что даст возможность на равных состязаться с разработчиками системных решений Hewlett-Packard и IBM. В данную стратегию вполне вписывается недавнее приобретение компании Truviso Inc., занимающейся разработкой программного обеспечения для анализа сетевых данных в режиме реального времени, а также мартовская сделка по покупке ClearAccess, разработчика софта для управления сетевым оборудованием.
Источник

18/07/2012 13:02 Журнал "Русский пионер" создает закрытую социальную сеть "Рай"
На сайте журнала "Русский пионер", входящего в медиагруппу Михаила Прохорова "ЖV!", появится закрытая социальная сеть "Рай". Об этом сообщает "Маркер" со ссылкой на гендиректора журнала Глеба Дунаевского. Попасть в закрытое сообщество можно будет только по приглашениям. Кто получит право приглашать новых участников в "Рай" и какие требования будут предъявляться кандидатам, издание не уточняет. Неизвестно также, каким будет наполнение сообщества. Новый сайт "Русского пионера" был запущен в конце июня 2012 года. На момент написания заметки раздел "Рай" уже присутствовал на сайте, однако в нем не было опубликовано ни одной записи или комментария. В сообществе были зарегистрированы два человека. Похожее сообщество пытался создать журнал "Сноб", также входящий в "ЖV!", отмечает издание. Однако позднее стать участником закрытого клуба на сайте "Сноба" получил возможность любой оформивший годовую подписку на журнал. "Русский пионер" издается с февраля 2008 года. Журнал выходит раз в два месяца, но в марте 2012 года главный редактор Андрей Колесников сообщал о планах перейти на ежемесячный режим.
Источник

18/07/2012 14:42 ОС Android 4.1 получила полную поддержку технологии ASLR
Как оказалось, внедренная Google в предыдущей версии Android 4.0 "Ice Cream Sandwich", технология случайного распределения памяти ASLR (Address Space Layout Randomization) оказалась неэффективной из-за неполного покрытия всего адресного пространства. В результате этого у злоумышленников была возможность произвести ROP-атаку через переполнение буфера, обойдя механизмы защиты ASLR. Новая версия Android 4.1 "Jelly Bean", по утверждению разработчиков Google, лишена этого недостатка. Теперь технология ASLR применима для всех областей стека, кучи, библиотек, компоновщика и исполняемых ASLR (с поддержкой PIE-флагов). Стоит отметить, что кроме ASLR в ОС Android применяется более простая технология защиты памяти DEP. Кроме того, компания Google планирует внедрение системы подписей приложений, по примеру уже существующих механизмов в iOS. Компания Apple также реализует поддержку ASLR, начиная с iOS версии 4.3 (сейчас ведется разработка версии 6.0). Несмотря на применение современных технологий защиты, одним из главных недостатков Android платформ остается большое количество устройств со старыми версиями ОС (2.3 и ниже). Причинами тому являются принципы Google по распространению Android и нежелание производителей устройств, производить дополнительную оптимизацию ОС с учетом аппаратных особенностей.
Источник

18/07/2012 15:02 Открыт код VoIP-системы RedPhone для платформы Android
Twitter продолжил открытие разработок поглощённой в прошлом году компании Whisper Systems и перевёл в разряд открытых проектов приложение RedPhone, позволяющее организовать поверх IP-сетей шифрованный канал голосовой связи между конечными абонентами. Программа доступна для платформы Android и полностью интегрируется со стандартным приложением для осуществления вызовов Android. Код приложения открыт под лицензией GPLv3. RedPhone продолжает развитие проекта TextSecure, ориентированного на безопасную шифрованную передачу текстовых сообщений. При попытке позвонить абоненту у которого установлен RedPhone, вместо использования сотовой сети осуществляется шифрованный прямой VoIP-звонок с передачей трафика по IP. Для создания шифрованного канала связи между двумя точками используется протокол ZRTP, для координации связи задействован собственный сигнальный протокол, напоминающий RESTful HTTP API. RedPhone разработан с учётом особенностей использования на мобильных устройствах, использует собственную реализацию аудиокодеков и алгоритмов буферизации, оптимизированных для характеристик мобильных сетей связи. Для экономии заряда аккумулятора в приложении используется система push-нотификаций. Для аутентификации, координации связи вызывающего абонента с тем, кому направлен звонок и обхода NAT используется два типа серверов - первичный сервер (отвечает за аутентификацию и соединение абонентов) и транзитный релей (используется для обхода NAT). Серверные и клиентские составляющие реализованы в виде единого приложения. Для адресации абонентов используются штатные номера мобильных телефонов. Получение и обработка звонка пользователем ничем не отличается от обычных звонков, все функции согласования соединения и организации канала связи поверх IP производятся в фоновом режиме.
Источник

18/07/2012 20:19 YouTube представил инструмент для размытия лиц на видео
Видео-хостинг YouTube представил инструмент для автоматического размытия лиц людей на видеозаписях. Об этом сообщается в официальном блоге сервиса. Чтобы скрыть лица, пользователю предлагается выбрать любой из своих роликов, открыть раздел "Улучшить видео" (Enhancements) и в выпадающем списке "Дополнительные функции" (Additional Features) выбрать пункт "Размыть все лица" (Blur All Faces). Исходный ролик можно удалить. "Размытие" может не сработать, если люди не смотрят в кадр, съемка велась в темноте или качество ролика невысоко, предупреждают разработчики. Новый инструмент, указывают представители YouTube, позволит героям роликов сохранить инкогнито. Это может потребоваться, например, при размещении на сервисе роликов, снятых во время уличных акций протеста. "Размытие" позволит скрыть лица активистов. YouTube является самым популярным в мире видео-хостингом. В 2011 году количество просмотров, размещенных на нем роликов, превысило триллион.
Источник

18/07/2012 21:12 Oracle закрыла более 80 уязвимостей в своих программных продуктах
Компания Oracle представила очередное критическое обновление безопасности Critical Patch Updates (CPUs) для своих программных продуктов: Oracle Database, Oracle Fusion Middleware, Oracle Application Server, Oracle Identity Management, Hyperion BI+, Oracle JRockit, Oracle Map Viewer, Oracle Outside In Technology, Enterprise Manager Grid Control, Enterprise Manager Plugin for Database, Oracle E-Business Suite, Oracle Transportation Management, Oracle AutoVue, Oracle PeopleSoft Enterprise, Oracle Siebel CRM, Oracle Clinical Remote Data Capture Option, Oracle MySQL Server, Solaris и ряда других из семейства Oracle Sun Products. Обновление исправляет 87 уязвимостей, из которых 40 могли быть использованы удаленно и не требуют авторизации пользователя. Среди закрытых уязвимостей, восемь были обнаружены в 2011 году, причем некоторые из них касались давно устраненных уязвимостей в сторонних программных продуктах: Apache (CVE-2011-3192, CVE-2011-3368, CVE-2011-4317), PHP (CVE-2011-4885) и libc (CVE-2011-0419). Еще одна уязвимость CVE-2001-0323 родом из 2001 года, была способна вызвать отказ от обслуживания из-за ошибок в обработке ICMP-пакетов. В серверной ОС Solaris, эта уязвимость была устранена лишь в этом обновление. Кроме того, в ОС Solaris были устранены еще 15 уязвимостей, которые могли быть использованы для DoS-атак. Наивысшую угрозу из них представляют три уязвимости (CVE-2012-3120, CVE-2008-4609 и CVE-2012-3125), основанные на ошибках в реализации стека TCP/IP. Уязвимость CVE-2012-3135 с самым высоким уровнем угроз по системе оценки CVSSv2 и самая критичная в этом обновление была закрыта в Oracle JRockit. Эта уязвимость объединила в себе недавно закрытые в Java SE уязвимости: CVE-2012-1713, CVE-2012-1724, CVE-2012-1718, CVE-2012-1717 и CVE-2012-1720. Шесть локальных уязвимостей было исправлено в СУБД Oracle MySQL, а вот в Oracle Database Server пять уязвимостей, при этом 4 из них (CVE-2012-1737, CVE-2012-1745, CVE-2012-1746, CVE-2012-1747) могли быть использованы для удаленных атак. Компания Oracle рекомендует своим пользователям в обязательном порядке произвести обновление уязвимых компонентов. Следующие накопительное обновление выйдет 16 октября 2012 года, вместе с обновлением Oracle Java SE.
Подробности

19/07/2012 00:22 "ВКонтакте" попросила МВД удалить материал со своих страниц
Социальная сеть "ВКонтакте" призвала МВД разобраться с неформальным антипедофильским движением "Охотники за головами", которое "распространяет в СМИ ложные сведения". Об этом сообщается в заявление, опубликованном на странице официального сообщества соцсети. "ВКонтакте" отмечает, что в группах их социальной сети, активисты публикуют призывы к насилию и самосуду над педофилами, а также размещают "ролики с кровавыми расправами". В подтверждение этих слов соцсеть предоставила скриншот объявления в группе "ОХОТНИКИ за ГОЛОВАМИ" о наборе "бойцов" для "охоты на педофилов". "Мы педофилов бьем, а не пугаем до икоты", - говорится в объявлении, - "Уголовной ответственности не будет - у нас полно хороших друзей". "ВКонтакте" призвала МВД "обратить внимание на фашиствующие организации", преследующие свои личные или политические цели под прикрытием борьбы с педофилией. "Организация паразитирует на нашем бренде для пиара и оправдания своих криминальных действий", - отмечается в заявлении соцсети. Если подобные действия продолжатся, "ВКонтакте" сделает все, чтобы добиться тюремного заключения активистов "Охотников за головами", сообщил глава пресс-службы компании Владислав Цыплухин. Отдельно "ВКонтакте" призвала поддержать организации, которые "борются с педофилией по-настоящему", законными методами. К ним компания относит "Лигу безопасного интернета" и фонд "Дружественный рунет". Сотрудники этих организаций наравне с модераторами "ВКонтакте" могут удалять детскую порнографию из соцсети. Кроме того, на сайте действуют автоматические фильтры, за последние пять дней удалившие 1500 роликов, которые не увидел ни один пользователь. Всего за 2012 год совместными усилиями было заблокировано более полутора тысяч сообществ и удалено 22 тысячи видео. Десятки дел были переданы в МВД для поимки преступников, говорится в сообщении. 17 июля активисты "Охотников за головами" обратились в МВД с требованием заблокировать "ВКонтакте" из-за того, что несовершеннолетним пользователям ресурса доступны порнографические материалы. Главу соцсети Павла Дурова активисты потребовали привлечь к уголовной ответственности по статье 135 УК РФ "Развратные действия". "Охотники за головами" подчеркивали, что на сайте также присутствует детская порнография. По их словам, сам Дуров подтверждал ее наличие в соцсети. Однако 18 июля глава сервиса написал в своем микроблоге, что в "ВКонтакте" "нет никакой детской порнографии".
Источник

19/07/2012 00:37 Ярославский интернет-провайдер по решению суда заблокировал LiveJournal
Доступ к блог-хостингу LiveJournal оказался закрыт для абонентов одного из провайдеров Ярославля. Об этом 17 июля сообщил местный телеканал "Городской". По данным канала, ресурс был заблокирован судом по требованию прокуратуры Кировского района Ярославля. Причиной для решения стала одна из страниц, признанная экстремистской. 18 июля глава LiveJournal Russia Илья Дронов в своем блоге заметил, что в "ЖЖ" о блокировании доступа узнали из СМИ. Администрация сервиса намерена получить решение суда, чтобы выяснить, нарушает ли указанный в нем блог правила "Живого Журнала". Если на странице действительно будут найдены недопустимые материалы, соответствующий дневник будет заморожен "без всей этой волокиты с судами и прочими прокуратурами", отметил Дронов. С технической стороны вопроса, добавил он, провайдер действительно может заблокировать только доступ ко всему LiveJournal, но не к отдельным блогам. По мнению экспертов, представитель "ЖЖ" лукавит, поскольку учитывая адресацию дневников сервиса, доступ может быть закрыт по имени домена второго уровня на стороне провайдера. Как сообщил в своем блоге Антон Носик, медиадиректор SUP Media, которой принадлежит "Живой Журнал", решение вынес Кировский районный суд и касалось оно провайдера "Нетис Телеком". Носик отметил, что решение суда основано на пункте 614 "Федерального списка экстремистских материалов" - "Интернет сайт «К. Пат, Русский националист, участник РНЕ», расположенный по адресу: www.pat-index.livejournal.com (решение Кировского районного суда г. Уфы Республики Башкортостан от 06.10.2009)." По состоянию на 19 июля веб-ресурс оставался доступным для посетителей других сетей.
Источник

19/07/2012 01:05 Продемонстрирован способ удаленного взлома POS-терминала Artema Hybrid
Немецкие исследователи информационной безопасности из SRLabs заявили, что им удалось обнаружить множественные уязвимости в POS-терминалах Artema Hybrid производства американской компании VeriFone. Этот терминал является одним из самых распространенных в Германии, более 300 тыс. торговых точек оснащены именно им. По мнению экспертов, несмотря на то, что терминал Artema Hybrid имеет DK-сертификат безопасности, в нем существуют критические уязвимости. Одна из продемонстрированных уязвимостей позволяет удаленно выполнить произвольный программный код, тем самым установить на POS-терминал троян, перехватывающий введенные данные и служебную информацию. Причиной уязвимости стали ошибки реализации TCP/IP стека, приводящие к переполнению буфера. Демонстрируя возможности уязвимости, специалисты SRLabs производили безошибочное считывание введенных PIN-кодов платежных карт системы Electronic Cash (EC) в автоматическом режиме. По утверждению экспертов, кроме сбора информации о карте и перехвата PIN-кода, им удавалось изменить информацию о проводимом платеже, подделывать системные сообщения терминала и отключать встроенную систему шифрования данных. В качестве демонстрации полного контроля над устройством, исследователи даже запустили игру PONG на терминале. Для использования уязвимости злоумышленникам достаточно подключиться к локальной сети предприятия и выполнить специально сформированный запрос к устройству. Кроме того, эксперты изучили возможности атаки через непосредственное подключение к устройству через последовательный порт и JTAG-интерфейс. В двух этих случаях им удавалось произвести выполнение произвольного программного кода и настроить терминал на перехват данных. В марте этого года, разработчик устройств был поставлен в известность об имеющихся уязвимостях и снабжен необходимой технической информацией. Однако, на текущий момент уязвимости все еще не устранены. По мнению, представителей компании Verifone, атака через представленную уязвимость не способна причинить вред держателям карт в Германии, поскольку для подтверждения операции также используется чип карты. Такой ответ взывал у исследователей недоумение, поскольку полученных данных достаточно для осуществления интернет-платежей и создания клонированной карты. Деньги с такой карты можно будет снять за пределами Германии, где платежные операции не подвергаются дополнительным проверкам.
Источник

19/07/2012 03:47 Хакер распечатал на 3D-принтере универсальный ключ от наручников
В век 3D-печати избавиться от наручников намного проще, чем может показаться на первый взгляд. В рамках проводившегося в Нью-Йорке семинара Hackers On Planet Earth немецкий хакер под ником Ray на сцене показал, как можно освободиться из наручников фирм Bonowi и Chubb (с высокой степенью безопасности) при помощи ключа, напечатанного на 3D-принтере. По словам хакера, большинство производителей, которые занимаются выпуском наручников, делают для них одинаковые ключи. В результате подозреваемый может быть легко задержан одним сотрудником полиции и так же легко освобожден другим. «Полиция должна знать, что ключ от наручников, которые они приобретают у производителя, может быть легко скопирован. Пока каждые отдельные наручники не будут иметь уникальный замок, открыть их сможет любой при помощи копии ключа», – рассказал Ray. В отличие от наручников, которые можно купить в магазинах США и Европы, «браслеты» от Bonowi и Chubb не продаются у коммерческих поставщиков. По словам программиста, ключ от Chubb он приобрел на аукционе eBay, где они периодически появляются, а ключ от Bonowi ему передал один из знакомых, назвать которого хакер отказался. После проведения точных измерений, программист создал компьютерную модель ключа, чтобы затем массово «распечатать» его плексигласовые копии. За прошедшие выходные он уже продал несколько таких «ключей» от наручников Chubb покупателям по 4 доллара за штуку, а в конце недели планирует обнародовать через сервис Thingiverse файлы компьютерной модели. По словам хакера, он не ставит перед собой цель снизить уровень безопасности наручников. «Эта технология уже доступна не только преступникам, но и обычным гражданам. Если кто-то захочет сбежать от полиции, он это сделает и без нашей помощи. Я просто воспроизвел то, что все итак знают», – сообщил программист. Хакер также указал на то, что полицейские обучены контролировать подозреваемого даже в то время, когда на нем надеты наручники. Однако стражи порядка частенько пренебрегают этим правилом, считая, что если задержанный уже заключен в браслеты, то сделать он ничего не сможет. «Полицейские забывают это. Они сильно заблуждаются, считая, что ключ может быть только у них. Чем больше они так думают, тем большему риску подвергаются», – рассказал Ray. По мнению программиста, о "безопасных" наручниках можно будет говорить только тогда, когда ключ для каждой пары будет уникальным.
Источник

19/07/2012 09:02 Dropbox допустил утечку адресов электронной почты пользователей
На серверах облачного хранилища данных Dropbox недавно произошла утечка электронных адресов, которая затронула пользователей из Европы. Многие жители Германии, Нидерландов и Великобритании стали оставлять на форуме Dropbox сообщения о том, что получают спам с различных сайтов на адреса, которые были созданы специально для использования облачного сервиса. Изначально компания никак не комментировала ситуацию, однако затем оставила официальное сообщение: «Нам известно, что некоторые пользователи Dropbox получают спам на электронные адреса, связанные с их аккаунтами. Наша основная цель — тщательно изучить данную проблему и оповестить вас об этом при первой же возможности». Во втором заявлении, которое последовало через несколько часов, работник компании подтвердил, что сбой произошёл случайно. Также было заявлено, что для исследования проблемы были приглашены эксперты, не имеющие к компании никакого отношения — всё для того, чтобы проверка оказалась максимально тщательной.
Источник

19/07/2012 09:53 Хакер украл у компании Nike товары на сумму $80 тыс.
В конце прошлого года, 25-летний Брэд Стивенсон (Brad Stephenson) обнаружил уязвимость в сервисе заказа спортивных товаров Nike для нужд профессиональных спортсменов. Используя эту уязвимость, хакер получил доступ, как минимум, к 12 аккаунтам сервиса. Через них, в течение полугода, Стивенсон производил покупки товаров, заказывая доставку по различным адресам в штате Аризона, Северная Каролина, Вирджиния и Флорида. Владельцы аккаунтов пожаловались в Nike на подозрительную активность своих аккаунтов, а те в свою очередь обратились в полицию, предоставив техническую информацию о выполненных заказах. Оказалось, что хакер пренебрегал основными мерами безопасности и делал заказы из своего дома. Несколько месяцев назад, правоохранительные органы, взломав дверь по установленному адресу, задержали хакера и провели обыск в его квартире. Всего было обнаружено 231 единицы товара компании Nike на общую сумму около $17 тыс. Компания Nike сообщила, что общая сумма заказов злоумышленника составила более $80 тыс. По заявлению задержанного, остальной товар он продал через интернет-аукцион и подарил друзьям. Хакер предстал перед судом по обвинению в компьютерном мошенничестве, признал свою вину, а в качестве компенсации нанесенного им ущерба, предоставил компании Nike информацию об используемых им уязвимостях.
Источник

19/07/2012 10:43 Эстонский хакер был приговорен в США к 7 годам тюрьмы
Эстонский хакер был приговорен в США к семи годам лишения свободы за организацию схемы, связанной с кражей и перепродажей более 240 000 номеров кредитных карт. В заявлении американского Министерства юстиции говорит, что гражданин Эстонии, 28-летний Александр Суворов, был приговорен к тюремному сроку Окружным судом штата Нью-Йорк. Суворов и его подельник, известный как Альберт Гонзалез, стали одними из самых одиозных хакерских фигур в американском правосудии, так как они похищали номера карт даже у американской прокуратуры и работников аппарата правительства страны. Задержаны они были в 2009 году за мошенничество в особо крупных размерах. Поймали их на хакинге платежной системы сети ресторанов Dave&Buster, когда те пытались украсть базу данных ресторанов. Тогда же они получили обвинения в краже более 80 000 номеров банковских карт. Александр Суворов признал себя виновным в ноябре 2011 года, заявив, что лично он причастен к краже 160 000 номеров карт, а также данных в Секретной службе США (US Secret Service). По решению суда, Суворов должен не только отсидеть семь лет, но также выплатить 675 000 долларов в качестве возмещения ущерба и еще 300 000 долларов в виде штрафа. В судебных документах сказано, что организаторы признали себя виновными в создании так называемых пакет-снифферов - программ, перехватывающих кредитные данные и передающих их на подконтрольные хакерам машины. Также сообщается, что у Суворова и Гонзалеза был подельник на Украине, который получал краденные номера и производил там карты, по которым выводил деньги со счетов. Ранее Альберт Гонзалез, как организатор схемы, был приговорен в США к 20 годам заключения. Кроме того, его признали виновным во взломе одного из процессинговых центров, проводящих платежи по банковским картам.
Источник

19/07/2012 11:25 Windows 8 выйдет 26 октября
Корпорация Microsoft сегодня сообщила о том, что продажи ее новой операционной системы Windows 8 начнутся 26 октября. Директор по разработке Windows Стивен Синофски обнародовал дату выхода на ежегодной встрече партнеров Microsoft по продажам, чтобы те заблаговременно могли спланировать собственные продажи и бизнес-планы. Одновременно с анонсом, прозвучавшим на мероприятии, соответствующая запись появилась и в официальном блоге Microsoft - WindowsTeamBlog.com. Синофски заявил, что до релиза новой операционной системы остался ровно 101 день. За это время самой корпорации будет необходимо отпечатать миллионы дисков с ОС, распространить их по всему миру и провести множество консультаций со сборщиками компьютеров и их продавцами. Также в Microsoft подготовили и не слишком приятную новость для пользователей Mac: они не смогут, как пользователи Windows 7/8, купить одну лицензию на новый Office 2013 и получать онлайновый доступ к пакету с пяти разных компьютеров. Для любителей детища Стива Джобса будет работать ограниченный вариант: одна лицензия - один компьютер. Вместе с тем, независимые эксперты говорят, что данное ограничение бьет также и по собственным пользователям систем Windows, так как многие из них используют в работе также и компьютеры Mac, поэтому здесь также будут ограничения. Тем не менее, корпорация обещает подготовить ряд расширений для Mac-пользователей системы Office 365, чтобы как-то подсластить им эту горькую пилюлю. Как позитивный можно рассматривать и тот момент, что впервые в истории Mac-версия Office выйдет одновременно с Windows-версией, тогда как прежде первая всегда выходила почти с годовой задержкой. Расценки ни на Mac-версию, ни на Windows-вариант корпорация пока не опубликовала. Напомним, что нынешний Office for Mac 2011 Home & Student стоит 120 долларов за одиночную лицензию и 150 долларов за "семейную" лицензию, дающую право ставить пакет на три компьютера одного пользователя. Версия Office for Mac 2011 Home & Business стоит 200 долларов и 280 долларов за "семейную" лицензию.
Источник

19/07/2012 14:32 Поддельный мобильный клиент Skype распространяется по Рунету
В начале этого месяца антивирусная компания Trend Micro обнаружила новый вариант вредоносной программы для мобильных устройств "JAVA_SMSSEND.AB". Вредонос маскировался под приложение Skype для платформ Symbian и Android. Примечательно, что установочный файл вредоноса выполнен в виде Java-мидлета с расширением ".JAR". После своего установки он производил отправку SMS-сообщений на короткие номера, заказывая платный контент. Стоит отметить, что вирусная атака была направлена на русскоязычных пользователей Интернет, также большинство поддельных веб-страниц, через которые распространялся вредонос, находились в доменной зоне RU. Учитывая большую популярность Skype среди русских пользователей и широкое распространение зловреда, компания Microsoft решила привлечь особое внимание к этому вирусу. По классификации Microsoft он получил название Trojan:Java/SMSFakeSky.A. Кроме отправки SMS-сообщений, троян обладает функцией установки других приложений, так обнаруженные образцы предлагали установить поддельный Adobe Flash Player, который содержал схожий вредоносный функционал. На текущий момент сигнатуры SMSFakeSky.A добавлены в большинство антивирусных систем. Разработчики Microsoft обращают внимание пользователей, что Skype является бесплатным программным обеспечением и распространяется свободно через официальный веб-сайт и магазин приложений Google Play.
Источник

19/07/2012 15:14 Ликвидирован очередной крупный спам-ботнет Grum
Эксперты по компьютерной безопасности из компании FireEye заявили о ликвидации ботнета под названием Grum, который рассылал по всему миру более 18 млрд спам-писем ежедневно. По словам исследователей, Grum был третьим по величине ботнетом в мире, отвечая за рассылку около 18% всех мировых объемов нежелательной корреспонденции. В последние полгода Grum формировал почти 35% спам-трафика, что делало его крупнейшим спам-ботнетом в мире. Ботнет объединял до 1 млн зараженных компьютеров и специализировался на распространении фармацевтического спама. Для выведения из строя ботнета были отключены командные сервера Grum, которые располагались в Панаме и Нидерландах. Впрочем, создатели Grum позже в тот же день запустили новые командные сервера, расположенные в России и Украине. Как отмечают эксперты американской фирмы FireEye и британского сервиса по отслеживанию спама SpamHaus, они отследили путь спам-сообщений до России и Украины, и связались с местными провайдерами, чтобы прекратить работу данных серверов. Как отмечают аналитики, все чаще именно технологические эксперты своими силами борются с ботнетами, не дожидаясь реакции правоохранительных органов. Ранее в 2012 г. представители компании Microsoft в сотрудничестве с американской полицией провели несколько рейдов с целью отключения серверов, которые использовались злоумышленниками для управления ботнетом Zeus. Еще одна группа экспертов по кибер-безопасности недавно провела операцию в Сан-Франциско против другого крупного ботнета Kelihos.b, который также активно использовался для рассылки спама. Впрочем, борцы с ботнетами признают, что, несмотря на широко освещаемые в СМИ успехи по отключению целого ряда крупных ботнетов, эффект от этих действий в большинстве случаев остается временным. Так, менее чем через неделю после блокировки Kelihos.b создатели этого ботнета запустили новую модифицированную версию Kelihos.b. Таким же образом поступили и создатели ботнета Waledac, закрытого компанией Microsoft. Однако эксперты фирмы FireEye утверждают, что им удалось полностью уничтожить ботнет Grum. «Здесь дело не только в создании нового командного сервера. Злоумышленникам придется начинать новую рекламную кампанию и снова заражать сотни тысяч компьютеров по всему миру, чтобы возродить Grum. Из-за особенностей кода вредоносного ПО Grum, в случае отключения главного сервера, инфицированные машины больше не смогут рассылать спам и контактировать с командными серверами», - отметили в FireEye.
Источник

19/07/2012 15:58 Госдума заставит блогеров платить налоги с рекламы
Государственная дума рассмотрит вопрос о блогерах, которые размещают рекламу в сети и получают за это доход, не облагаемый налогом. Как сообщает "Независимая газета", ссылаясь на слова депутата от "Единой России" Сергея Железняка, соответствующая инициатива будет рассмотрена осенью, когда начнется новая сессия Госдумы. В российском законодательстве нет статьи, регулирующей рекламу в блогах, в Налоговом кодексе упоминается только, что рекламные мероприятия, осуществляемые через телекоммуникационные сети, относятся к ненормированным расходом на рекламу. "Независимая газета" приводит мнения российских блогеров о том, что с помощью закона о налогообложении рекламы в блогах российские власти хотят контролировать оппозиционно настроенных интернет-пользователей. Ряд топовых российских блогеров размещает рекламные посты, например, Артемий Лебедев и Алекс Экслер. Сергей Железняк был одним из авторов законопроекта о полном запрете рекламы алкоголя в интернете, 18 июля соответствующие поправки в закон "О рекламе" были одобрены Советом Федерации. По словам составителей законопроекта, административному преследованию будет подвергаться реклама, размещенная при наличии контракта между рекламодателем и рекламораспространителем. Факт нарушения должна будет фиксировать Федеральная антимонопольная служба. Ограничения на размещение рекламы в личных блогах было введено в штате Филадельфия в США в 2010 году. Блогерам, размещающим рекламу, было предложено либо единовременно внести в казну 300 долларов, либо платить каждый год по 50 долларов. Местным интернет-сообществом закон был воспринят резко негативно. Сообщалось, что он может заставить некоторых блогеров даже закрыть собственные странички, так как их доходы от рекламы меньше, чем установленные властями суммы выплат.
Источник

19/07/2012 16:17 Франция может обязать Google фильтровать "пиратские" подсказки
Верховный суд Франции постановил, что компанию Google можно обязать удалять из подсказок при вводе поисковых запросов названия торрент-трекеров и другие слова, связанные с "пиратством" в сети. Как утверждают представители суда, компания Google косвенно способствует эскалации проблемы потребления неправомерного контента и нарушения авторских прав, показывая в подсказках термины, связанные с пиратством. Французские правообладатели инициировали данное судебное разбирательство в 2010 году, однако проиграли споры в двух судах низшей инстанции. В настоящий момент дело будет рассматриваться в последней инстанции - Апелляционном суде, который примет окончательное решение. При этом компания Google начала фильтровать "пиратские запросы" еще в январе 2011 года. Слова, внесенные в черный список, не выводятся в виде подсказок при написании запроса, также Google не осуществляет быстрый поиск по запрещенным словам. Однако поисковик при этом индексирует сайты, названия которых попали в черный список. Изначально в черный список были внесены любые словосочетания со словом torrent, а также названия сервисов BitTorrent, RapidShare и другие. В ноябре 2011 года черный список запросов был расширен - в него были добавлены многие крупные файлообменные сайты, включая The Pirate Bay. Как пишет TorrentFreak, для компании Google выиграть данное разбирательство может быть делом принципа для удержания контроля над тем, что именно будет цензурироваться. Решение против Google может привести к тому, что в дальнейшем компания получит запросы на расширение списка слов, подпадающих под цензуру, отмечает источник. Компания Google занимает лидирующую позицию на мировом поисковом рынке, однако в России уступает лидерство компании "Яндекс" (35% против 52%). При этом российский поисковик не фильтрует слова, связанные с торрентами и пиратским контентом, однако механизмы фильтрации подсказок в Яндекс реализованы.
Источник

19/07/2012 16:46 Британский суд обязал Apple публично извиниться перед Samsung
Лондонский судья Колин Бирсс обязал компанию Apple опубликовать на своём официальном сайте, а также на страницах британских СМИ информацию о том, что Samsung не нарушала патентов компании и не украла дизайн iPad. При этом сообщение с извинениями на "apple.co.uk" (британский сайт Apple) должно находиться не менее шести месяцев. Судья Бирсс принял решение отклонить иск Apple к Samsung по той причине, что Galaxy Tab 10.1, по его словам, "не так крут" ("not as cool"). Опубликовывать опровержение, как указано в сообщении, Apple должна будет в британских изданиях Financial Times, Daily Mail, Guardian Mobile Magazine, и T3. Напомним, что в аналогичном процессе, проходившем в областном суде Калифорнии, судья Люси Кох, наоборот, запретила продажи планшета корейской компании после того, как адвокат Samsung не смогла с расстояния трёх метров отличить друг от друга планшеты Galaxy Tab 10.1 и iPad.
Источник

19/07/2012 17:08 Правительство продолжает навязывать ГЛОНАСС грозя штрафами
Премьер-министр Дмитрий Медведев провёл заседание правительства Российской Федерации. Одним из вопросов заседания стали поправки в федеральный закон «О навигационной деятельности», кодекс об административных правонарушениях, которые связаны с расширением спектра применения системы ГЛОНАСС. Медведев напомнил, что с 1 января прошлого года было предписано установить средства позиционирования с использованием ГЛОНАСС при перевозке пассажиров на автобусах, а также при перевозке опасных и специальных грузов, а с 1 января 2013 г. такими же приборами должны быть снабжены транспортные средства для перевозки тяжеловесных и крупногабаритных грузов. При этом, как отметил премьер, с 1 июля следующего года за невыполнение этих требований вступает в силу механизм ответственности. «Причём штрафы – обращаю внимание всех перевозчиков, экспедиторов, тех, кто имеет отношение к транспортной деятельности, – весьма весомые: от 30 тыс. до 50 тыс. руб. Но я уверен, что они себя оправдают, потому что речь идёт о повышении безопасности дорожного движения, а цифры в этой сфере у нас остаются очень плохими», - заявил Медведев. По его словам в прошлом году было зарегистрировано 200 тыс. дорожно-транспортных происшествий, в результате которых погибло почти 28 тыс. человек. «Это беспрецедентная цифра! Не знаю даже с какими странами, где существует активное дорожное движение, эту цифру можно сопоставить. Для того чтобы эти цифры менялись, надо не только изменить качество строительства дорог, модернизировать инфраструктуру, использовать высокие технологии и, естественно, развивать систему медицинской помощи, в том числе медицинской помощи, которая оказывается в пределах так называемого золотого часа, но и использовать эти технологические новшества, о которых мы сегодня будем говорить, потому что использование ГЛОНАСС, надеюсь, всё-таки поможет улучшить безопасность дорожного движения», - сказал председатель правительства.
Источник

19/07/2012 17:19 В Твери поймали 22-летнего кардера, установившего скиммер
В Центральный отдел полиции УМВД России по Тверской области поступило сообщение от сотрудника службы безопасности тверского отделения банка о том, что на одном из банкоматов, расположенном на проспекте Победы, установлено нештатное оборудование - "скиммер" (набор аппаратных средств предназначенный для получения информации о платежной карте и его владельце). В ходе проведения оперативно-розыскных мероприятий сотрудниками полиции была установлена личность злоумышленника. Им оказался 22-летний житель Московской области, ранее судимый за мошенничество. В машине молодого кардера сотрудники полиции обнаружили и изъяли прибор для считывания информации с банковских карт, портативную видеокамеру и другие приспособления, используемые злоумышленником для осуществления своего преступного замысла. При обыске у кардера также были обнаружены ноутбук с необходимым программным обеспечением и 23 пластиковые модели для изготовления банковских карт. Все это позволила бы ему в дальнейшем присвоить деньги держателей банковских карт. В настоящее время по данному факту возбуждено уголовное дело по статье 272 Уголовного Кодекса РФ «Неправомерный доступ к компьютерной информации». Гражданин, подозреваемый в совершении данного преступления, задержан в порядке статьи 91 Уголовно-процессуального Кодекса РФ. Так как, задержанный ранее имел судимость, по этой статье ему может грозить лишение свободы на срок до двух лет. Полиция просит граждан быть бдительными при осуществлении операций в банкоматах Твери и Тверской области, поскольку в последнее время они стали средством для незаконного обогащения мошенников. Схема подобных махинаций следующая. В то время, как ни о чем не подозревающий гражданин совершает любую операцию с использованием банкомата, установленное на нем мошенниками специальное устройство - скиммер считывает информацию с банковской карты. Затем злоумышленники помещают считанную информацию на модель заранее заготовленной пластиковой карты, то есть создают двойник той карты, которую использовал гражданин в банкомате. Затем злоумышленник снимает с карты деньги, а использованную карту уничтожает, как улику.
Источник

19/07/2012 17:40 В Xbox LIVE реализована двухуровневая система подтверждения покупок
В официальном блоге Xbox LIVE был опубликован анонс обновлений системы безопасности сервиса. Несмотря на то, что Microsoft официально не признает взлом своего сервиса в январе этого года, она уделила особое внимание скомпрометированным данным пользователей. По мнению, Microsoft данные были получены в результате фишинг-атаки через ссылки на тематических форумах. Доказательством этого является небольшое число пострадавших по сравнению с 40 млн. аудиторией сервиса Xbox LIVE. С целью устранения последствий хакерской атаки, Microsoft произвела анализ скомпрометированных учетных записей и выполнила работы по восстановлению прав их владельцев. Кроме того, теперь покупки контента в Xbox LIVE проходят с использованием двухуровневой аутентификации с подтверждением действия через код, высылаемый по SMS или электронной почте. Для реализации этой функции, пользователям Xbox LIVE рекомендуется обновить свои данные в учетной записи сервиса. Вместе с тем, в Microsoft обращают внимание пользователей на необходимость использовать в качестве пароля сложные комбинации цифр и букв, а также применять уникальный пароль, не используемый для других сервисов.
Источник

19/07/2012 19:06 «Лаборатория Касперского» создает безопасную операционную систему
На сайте HeadHunter от имени «Лаборатории Касперского» размещены две любопытные вакансии, свидетельствующие о работах компании над «безопасной операционной системой». В своих объявлениях о найме «Лаборатория» предлагает работу аналитику требований в новом проекте и старшему разработчику систем обеспечения безопасности АСУ ТП/SCADA. Оба объявления открываются словами о том, что «в «Лаборатории Касперского» в течение уже достаточно длительного времени разрабатывается новая безопасная операционная система». По тексту объявлений можно судить, что главной сферой применения «новой безопасной ОС» станут промышленные информационные системы (АСУ ТП, автоматизированные системы управления технологическими процессами). Помимо типовых требований, предъявляемых технологическими компаниями, обе вакансии требуют от соискателя опыта работы с диспетчерским ПО (SCADA), промышленными протоколами и контроллерами. Кроме того от старшего разработчика помимо опыта программирования АСУ ТП и SCADA, умения работать с перечнем протоколов (Profibus, Modbus, OPC, DNP, Industrial Ethernet) и контроллеров требуется знание системы реального времени QNX (наряду с Windows и Linux) и опыт программирования для СУБД. Требования к соискателям включают возможность поездок в командировки «для обследования индустриальных объектов». Список требований к вакансиям позволяет предположить, что, говоря о новой защищенной ОС, в «Касперском» подразумевают встроенную систему для использования в инфраструктурных и промышленных объектах. До сих пор «Лаборатория Касперского» не объявляла о существовании у нее или о разработке комплексных решений АСУ ТП, хотя тема ИТ-безопасности промышленной и гражданской инфраструктуры уже много лет активно обсуждается как самим Евгением Касперским, так и экспертами его компании. Размещенные на HeadHunter вакансии, возможно, первое публичное свидетельство стремления «Лаборатории» выйти на рынок промышленных IT-систем. В пресс-службе «Лаборатории Касперского» подтвердили, что «компания проводит исследование возможностей создания гарантированно безопасных решений и доверенных сред, не допускающих исполнения незаявленной функциональности. Исследование направлено на создание защищенных решений в различных областях, в частности, для применения в среде индустриальных информационных систем (АСУ ТП)». Подробностей, связанных с архитектурой разрабатываемой ОС и с основой для ее ядра в «Лаборатории Касперского» не раскрыли.
Источник

19/07/2012 19:45 Троян ZeuS атаковал клиентов компании Maplesoft
Maplesoft, разработчик программ математического моделирования Maple и MapleSim, заявила о взломе своей базы данных. В результате взлома были скомпрометированы адреса электронной почты, названия организаций и ФИО клиентов. По утверждению представителей компании, никакая финансовая информация не пострадала. Однако, это касается серверов компании, а не самих клиентов, которые стали жертвами целенаправленной атаки трояна ZeuS. Хакеры, получив столь подробные сведения клиентов, провели адресную спам-рассылку. В рассылаемых письмах, содержалось персональное обращение от компании Maplesoft и информация о выходе обновления безопасности для всех продуктов Maplesoft. Поддельное обновление было прикреплено к письму и представляло собой исполняемый файл "MapleFix.exe", запакованный в архив "Maple_Patch.zip". Спустя несколько дней, злоумышленники повторили рассылку писем, но на этот раз вложение было заменено ссылкой на веб-сайт "maple-soft.com", который лишь дефисом отличался от официального. Исполняемый файл был одним из специально созданных вариантов банковского трояна ZeuS. Использование шифрования и других механизмов сокрытия своей активности в системе, позволили трояну ZeuS обойти антивирусную защиту. К тому же, на момент распространения этого варианта, его сигнатуры отсутствовали в большинстве антивирусных баз. Это обстоятельство привело к массовому заражению компьютеров клиентов Maplesoft. Учитывая многофункциональность ZeuS, сложно предположить, что интересовало злоумышленников на компьютерах клиентов Maplesoft. Прежде всего, под атакой могла оказаться финансовая информация, так как многие клиенты активно использовали системы безналичного расчета. По второй версии, учитывая целенаправленность атаки, троян ZeuS мог быть использован для промышленного шпионажа с целью кражи результатов математического моделирования, которые представляют определенную ценность. Компания Maplesoft разослала уведомление о взломе всем своим клиентам и устранила причины утечки информации. В целях обеспечения безопасности систем, антивирусные эксперты не рекомендуют открывать сомнительные вложения, даже если они поступили от доверенных лиц.
Источник

20/07/2012 00:09 Micron начала серийное производство фазовой памяти
Micron Technology объявила о том, что первой в мире начала серийное производство фазовой памяти для мобильных устройств. Компания приступила к выпуску многокристальных модулей, содержащих кристалл фазовой памяти Phase Change Memory (PCM) емкостью 1 Гбит (128 МБ) и кристалл памяти LPDDR2 емкостью 512 Мбит (64 МБ). Объем выпуска и стоимость вендор не уточнил. Эти решения предназначены для использования в мобильных телефонах с расширенной функциональностью. В будущем Micron планирует представить фазовую память для смартфонов и планшетов. Принцип действия фазовой памяти заключается в изменении состояния вещества с аморфного на кристаллическое и обратно путем температурного воздействия, осуществляемого с помощью электрического тока (для сравнения, в современной флэш-памяти данные хранятся в виде электрических зарядов). Как пояснили в пресс-службе Micron, фазовая память предлагает сокращенное время загрузки электронного устройства, более высокую производительность и упрощает процесс разработки программного обеспечения по сравнению с существующей памятью. Кроме того, она потребляет меньше энергии и обладает крайне высокой надежностью. Новые модули Micron производятся на базе 45-нм технологии и соответствуют стандартам JEDEC, независимой организации, которая занимается стандартизацией в области компьютерной памяти.
Источник

20/07/2012 00:31 Мини-компьютер Raspberry Pi получил собственную ОС
Разработчики сверхдешевого компьютера Raspberry Pi представили операционную систему Raspbian, предназначенную специально для этого устройства, говорится в блоге некоммерческой организации Raspberry Pi Foundation. Raspbian представляет собой дистрибутив Linux, созданный на основе Debian. Проектировщики Raspberry Pi отмечают, что Raspbian позволяет в полной мере использовать аппаратные возможности устройства. Как следствие, многие задачи - например, "отрисовка" сайтов в браузере, - выполняются быстрее. Ранее владельцам Raspberry Pi рекомендовали использовать дистрибутив Debian. Тесты показали, что компьютер под управлением Raspbian осуществляет некоторые операции на 40% быстрее, чем компьютер под управлением Debian. Загрузить образ Raspbian для SD-карты можно на сайте разработчиков компьютера. Размер ZIP-архива с дистрибутивом ОС составляет 440 Мб. Raspberry Pi поставляется без корпуса, в виде платы размером с кредитную карту. Он использует процессор на архитектуре ARM с тактовой частотой 700 МГц и располагает 256 Мб оперативной памяти. В модели, за которую просят примерно 1820 рублей, имеются разъем Ethernet, два порта USB, HDMI и слот для SD-карт. Компьютер продают два британских магазина - RS Components и Element14. До 16 июля в одни руки отпускалось не более одного компьютера, но это ограничение было снято, однако от оформления заказа до отгрузки компьютера заказчику проходит не меньше месяца.
Источник

20/07/2012 02:10 Власти Кипра задержали 25-летнего хакера из Москвы
В мае 2011 года, суд присяжных Западного округа штата Вашингтон, США вынес обвинительный приговор двум россиянам, подозреваемых в DDoS-атаках на крупные американские интернет-магазины, а также краже реквизитов кредитных карт с их последующим использованием. По данным обвинения, хакеры сами признали свою причастность к атакам путем публикации заявления об этом на одном из хакерских форумов. После вступления постановления суда в силу, хакеры были объявлены в международный розыск. На прошлой неделе, при сотрудничестве с правоохранительными органами Кипра удалось задержать одного из обвиняемых, 25-летнего москвича Зубаха Дмитрия Олеговича. Ему были предъявлены обвинения в организации двух DDoS-атак на интернет-магазин Amazon, проведенных 6 и 9 июня 2008 года. В результате атак, на протяжение нескольких часов, пользователи интернет-магазина испытывали сложности с доступом к веб-ресурсу. Кроме того, хакеры совершили DDoS-атаки на веб-ресурсы eBay и Priceline. При этом, второй обвиняемый, Логашов Сергей Викторович, связывался с представителями Priceline и предлагал свои услуги по устранению проблем с доступностью веб-сайта. Вместе с тем, Дмитрий Зубаха обвиняется еще и в краже реквизитов кредитных карт с последующим их использованием. В ходе оперативных мероприятий было установлено более 15 случаев несанкционированного доступа произведенных хакерами с целью кражи реквизитов кредитных карт. В руках злоумышленников оказалось более 28 тыс. платежных реквизитов, и как минимум один раз, в октябре 2009 года, они ими воспользовались. На текущий момент, Дмитрий Зубаха задержан и ожидает экстрадиции в США; его сообщник, Сергей Логашов - находится на свободе, но объявлен в международный розыск. Согласно законам США, за совершенное преступление каждому обвиняемому грозит до 27 лет тюремного заключения и штраф в $500 тыс. Рассказывая об успешном аресте, прокурор штата Вашингтон, Дженни Дакен (Jenny A. Durkan) подытожила: "у правосудия длинные руки, от них не спрятаться в кибер-пространстве".
Источник

20/07/2012 10:47 Ученые предложили заменить пароль логической игрой
Ученые из Стенфордского университета предложили способ подсознательного запоминания информации для того, чтобы ее нельзя было передать другому лицу. Доклад о результатах исследования будет представлен на конференции USENIX. Авторы исследования создали компьютерную игру, по смыслу напоминающую "Guitar Hero" для игровой консоли PLayStation 2. Игровое пространство разделено на шесть областей, в каждой из них движется объект, по достижения нижнего края области, пользователь должен нажать соответствующую клавишу. Комбинация объектов и нажимаемых клавиш специфична для каждого пользователя, всего может быть создано 248 млрд. уникальных паролей. В процессе обучения, кажущаяся случайной последовательность появления объектов повторялась более ста раз в течение 30-60 минут игры. Добровольцы, сами того не подозревая, запоминали эту последовательность - спустя две недели после эксперимента они справлялись с игрой гораздо лучше, если последовательность была той же. Исследователи показали, что такое обучение можно применить для аутентификации в качестве замены запоминанию пароля. Теоретические шансы случайного подбора использованной последовательности (30 шагов по шесть вариантов) оказались очень низкими. Основное преимущество предложенного способа аутентификации - невозможность передачи пароля другому лицу. Несмотря на то, что мозг добровольцев хранил информацию о последовательности, сами они не могли ее воспроизвести. В этом отношении такой способ аутентификации напоминает биометрию. В отличие от последней, он существенно более гибок и позволяет заменить скомпрометированный ключ на новый. Для этого достаточно просто провести новое обучение.
Источник

20/07/2012 11:31 Компания SAP за июль устранила 20 уязвимостей в своих продуктах
Компания SAP выпустила ежемесячный набор обновлений безопасности за июль 2012 года. По информации компании Digital Security, данный набор обновлений закрывает 20 уязвимостей в продуктах SAP (17 с высоким приоритетом и 3 со средним). В частности, пакет обновлений устраняет: 5 уязвимостей отсутствия авторизации в ABAP-программах; 3 уязвимости межсайтового скриптинга; 2 уязвимости раскрытия информации; 1 уязвимость внедрения кода. В целом количество уязвимостей, закрытых в данном обновлении, сравнительно невелико. Зато, помимо перечисленных, также были устранены две архитектурные проблемы, обнаруженные специалистами Digital Security. Уязвимости затрагивают обработку XML-пакетов в компонентах SAP Process Monitoring (уязвимость неавторизованного доступа к ОС и интегрированным приложениям в SAP Process Integration; обновление доступно в SAP Note 1723641; критичность по CVSS — 5.0) и SAP Process Integration engines (уязвимость неавторизованного чтения файлов в SAP Process Monitoring; обновление доступно в SAP Note 1721309; критичность по CVSS — 3.5). С SAP Notes и механизмами обновления можно ознакомиться на сайте "scn.sap.com".
Источник

20/07/2012 12:18 Пентагон займется мониторингом американских СМИ
Министр обороны США Леон Панетта приказал высокопоставленным чиновникам Пентагона организовать мониторинг основных американских СМИ на предмет наличия в них утечек секретной информации. Такое решение было принято после слушаний в комитете по вооруженным силам Палаты представителей Конгресса, в которых участвовали Панетта, председатель Объединенного комитета начальников штабов Мартин Демпси, а также главный юрист Пентагона Джей Джонсон (Jeh Johnson). Пресс-секретарь Пентагона Джордж Литтл (George Little), как сообщает Associated Press, подчеркнул, что несанкционированное разглашение секретной информации угрожает национальной безопасности, нарушает правила министерства и, в определенных случаях, является преступлением заслуживающим принятия ответных мер. Как заявил после слушаний председатель комитета Палаты представителей по вооруженным силам республиканец Бак Маккеон (Buck McKeon), Панетта и другие руководители министерства обороны относятся к проблеме утечек серьезно. По словам конгрессмена, он не верит, что за недавними утечками секретной информации в СМИ стоит именно Пентагон. Предположения о том, что разглашение секретной информации организовал Белый дом, Маккеон комментировать не стал. В последние несколько месяцев Пентагон уже предпринял ряд шагов для борьбы с утечками. В частности, были опубликованы четкие инструкции по поводу того, что считать несанкционированным разглашением секретной информации. Борьба с утечками ведется и в других ведомствах. Напомним, что ранее Ламар Смит (автор законопроекта SOPA - прим. ред) предлагал ввести уголовную ответственность для журналистов за распространение утечек информации. Соответствующее предложение было отправлено на рассмотрение в Конгресс США.
Источник

20/07/2012 13:56 Материалы газеты "Ведомости" недоступны из-за технического сбоя
Веб-сайт газеты "Ведомости" со вчерашнего вечера оказался недоступен для части пользователей Сети. В своем официальном аккаунте в Facebook, представители издания заявили об очередной DDoS-атаке, при этом отметив, что доступ ограничен лишь к части материалов. Зафиксировав атаку, веб-сайт "Ведомости" перешел под защиту сети фильтрации QRATOR компании Highloadlab. Однако, на этот раз защита оказалась неэффективной. Страницы издания продолжали открываться с ошибками о недоступности контента, связанными с невозможностью получить данные. Иногда, сбой затрагивал только рекламную сеть газеты, которая демонстрирует рекламную заставку перед доступом к материалам веб-сайта. Таким образом, пустая веб-страница заставки и отсутствие дальнейшего автоматического перехода могли выглядеть для рядовых пользователей как недоступность отдельных материалов сайта. Сервис онлайн-мониторинга Host-Tracker показал недоступность веб-сайта "Ведомости" для серверов Европы, Канады и Китая. Столь жесткая фильтрация могла стать причиной того, что DDoS-атака происходила с компьютерных систем именно этих регионов. Примечательно, что официальный веб-сайт QRATOR, также был заблокирован для многих пользователей. Для защиты от DDoS-атаки, происходит полное отключение веб-сайта от сети Интернет, а доступ к нему разрешается только для сети фильтрации, которая кэширует запросы и предоставляет их результаты пользователям Интернет. Кроме того, сеть фильтрации может полностью заблокировать выдачу контента для определенных узлов Сети, в случае поступления от них повышенного числа запросов. Учитывая этот факт, причинами неработоспособности сети QRATOR могли стать как внутренние неполадки системы фильтрации, так и некорректные настройки на стороне веб-сайта газеты "Ведомости", подверженного DDoS-атаке. Еще одним виновником сбоя мог стать хостинг-провайдер Мастерхост, на площадке которого располагается сервер издания. Из-за плохой связанности хостинга с сетью QRATOR или атаки непосредственно на оборудование хостинговой площадки, веб-сайт мог быть недоступен для системы защиты, именно это могло стать причиной выдачи ошибок о невозможности получения контента. Напомним, что 17 июля, из-за сбоя в дата-центре Мастерхост оказались недоступны веб-ресурсы десятков тысяч его клиентов. Среди клиентов Мастерхоста находятся веб-сайты многих СМИ, например "Новой газеты", телеканала "Дождь", Slon, BFM и многие другие. Все эти издания неоднократно подвергались DDoS-атакам, однако оставались верны своему выбору хостинг-провайдера.
Источник

20/07/2012 14:25 Дистрибутив Linux Ubuntu 12.10 обзавелся поддержкой WebApps
Компания Canonical добавляет новые функции своему дистрибутиву Ubuntu, благодаря которым пользователи настольной версии данной ОС смогут получить доступ к популярным интернет-сервисам без необходимости открытия браузера, вместо этого, доступ к страницам и сервисам можно будет получать как к настольным приложениям. При помощи этой функции веб-страницы "будут работать подобно приложению на мобильном устройстве. Реализуя данную систему, мы бы хотели стереть границу между настольными приложениями и веб-сервисами", - говорит Пит Гудейл, менеджер по продуктам Canonical. По его словам, основатель Canonical Марк Шаттлворт планирует продемонстрировать новую технологию, получившую название Ubuntu WebApps на ближайшей конференции O'Reilly Open Source Conference в американском штате Орегон. Ожидается, что Ubuntu WebApps появится вначале в операционной системе Ubuntu 12.10, которая появится к концу года. Использование данной технологии в Ubuntu позволит перенести на настольные системы многие популярные веб-сервисы. Пока в проекте принимают участие около 40 приложений, в том числе Facebook, Twitter, Last.FM, Google+, Gmail и другие. Кроме того, WebApps получит собственный набор API, за счет которого сторонние программисты смогут самостоятельно создавать приложения для своих сервисов и размещать их в операционной системе. Также в Ubuntu Software Center есть специальный скрипт для конвертации страницы в формат Ubuntu WebApps. Изначально технология WebApps представляет собой плагин для Firefox, подобный Grease Monkey, позволяющий работать с веб-содержимым без открытия браузера. Новый сервис также имеет ряд интеграционных механизмов для Ubuntu. К примеру, пользователи могут взаимодействовать с WebApps и одновременно загружать в сеть фотографии через Ubuntu Shotwell, а свою очередь индикатор новых писем в Ubuntu способен получать новые данные от WebApps о входящих письмах.
Источник

20/07/2012 14:33 Жители Вашингтона смогут регистрироваться на выборах через Facebook
Вашингтон стал первым штатом США, который в преддверии президентских выборов 2012 года организовал регистрацию избирателей на выборах через Facebook. Эта возможность реализована на официальной странице избирательной комиссии штата Вашингтон в социальной сети. Начиная со следующей недели жители штата смогут через специальное приложение подать заявку на регистрацию для участия в выборах. Приложение для регистрации разработала Microsoft, чья штаб-квартира расположена недалеко от столицы штата, Сиэтла. Кроме того, ссылкой на приложение можно поделиться со своими друзьями из контакт-листа. Для регистрации на выборах необходимо предоставить персональные данные, которые по утверждению компании Microsoft не будут доступны никому кроме избиркома. Избирком надеется, что кампания в Facebook позволит повысить явку, особенно среди молодежи. Вашингтон предоставляет возможность избирателям зарегистрироваться через Интернет с 2008 года, с тех пор системой воспользовались почти полмиллиона человек. Аналогичная возможность есть еще в полутора десятках штатов США, однако именно в Вашингтоне впервые решили задействовать потенциал соцсетей. Помимо формы регистрации, на странице избиркома в Facebook размещены памятки о том, как правильно голосовать, а также адреса избирательных участков.
Источник

21/07/2012 00:19 Очередной китайский троян Warp подделывает ARP-трафик
Специалисты компании Kindsight Security Labs при анализе подозрительной сетевой активности обнаружили новый образец китайского трояна Warp. Этот замечательный вредонос с 2005 года знаком антивирусным экспертам под разными названиями: в 2006 году его называли NetSniff, в 2008 - Capiframe, а иногда его без уникального имени относили к семейству ARPSpoof и Trojan.Sniff. Однако, в основе всех этих зловредов лежала китайская утилита ZXArps, предназначенная для проведения атак с подменой трафика. Для работы этой утилиты также требовались библиотеки сетевого мониторинга WinPCAP. Всё это, дополненное скриптами автоматизации вредоносной деятельности и распространялось в виде трояна Warp. Как показало исследование, деятельность Warp в большей степени ориентирована на локальные сети предприятий. Дело в том, что после своего запуска он производит изменение структуры сети путем спуффинга ARP-протокола. Тем самым, весь внутрисетевой трафик проходит через инфицированную систему. В рассматриваемом случае, это все делалось для получения возможности внедрять вредоносный HTML-код в запрашиваемые из сети веб-страницы. Внедренный код, эксплуатируя уязвимости в Java и Adobe Flash, производил установку рекламного программного обеспечения и своё распространение на другие узлы сети. Вредоносный скрипт располагался на домене "xiagg.info", зарегистрированном в феврале 2012 года и размещаемом на хостинге China Telecom. Несмотря на то, что большинство обнаруженных в этой атаке вредоносов успешно детектируются антивирусными системами, эта атака интересна тем, что для получения контроля над сетевым трафиком необходимо заражение всего одного узла сети. Представленная технология достаточно проста в реализации и может быть использована для автоматизации сетевого шпионажа.
Источник

21/07/2012 00:31 Анонс экспериментальных сборок мобильной платформы Firefox OS
Разработчики проекта Mozilla сообщили о начале формирования ежедневных экспериментальных сборок мобильной платформы Firefox OS "Boot to Gecko", предназначенных для тестирования на обычных настольных системах. Платформа Firefox OS нацелена на создание мобильной операционной системы, основанной на веб-окружении и предлагающей унифицированный WebAPI для разработки мобильных приложений с использованием HTML5-технологий, CSS и JavaScript. Тестовые сборки формируются для Linux, Windows и Mac OS X. Сборки ориентированы на оценку работы пользовательской оболочки Gaia и WebAPI для разработки приложений, низкоуровневые компоненты ядра системы в сборки не входят. Воспользовавшись сборками пользователи могут познакомиться с интерфейсом новой мобильной ОС и базовыми приложениями, а разработчики протестировать свои программы или поэкспериментировать с использованием WebAPI. Разработчики обращают внимание на то, что перед запуском Firefox OS, следует сформировать профиль оболочки Gaia. Напоминаем, что по ранее сделанным заявлениям сообщества Mozilla, первые смартфоны с Firefox OS поступят в продажу уже в начале 2013 года под брендом Vivo.
Источник

21/07/2012 00:39 Ярославский провайдер вернул абонентам "Живой Журнал"
Ярославский интернет-провайдер восстановил доступ к блогохостингу LiveJournal для своих абонентов, об этом 20 июля сообщил представитель провайдера Сергей Косенков. "Живой Журнал" был заблокирован для примерно 6 тысяч человек по решению суда после того, как прокуратура обнаружила на ресурсе экстремистский блог ("pat-index.livejournal.com"). При этом в прокуратуре пояснили, что инициатива закрыть ресурс целиком исходила от провайдера, поскольку суд требовал закрыть только одну страницу. Провайдер с таким объяснением прокуратуры не согласен. Он указывает, что в судебном решении рядом с адресом запрещенной страницы был указан ее IP-адрес, совпадающий с адресом всего LiveJournal. Однако в связи с тем, что история вызвала большой резонанс, провайдер решил закрыть доступ только к одной странице и разблокировал "ЖЖ". "Мы не заблокировали IP-адрес, как того требовал суд, мы закрыли страницу другим путем. То есть мы не исполнили решение суда. Эта ситуация абсурдна", - передает слова представителя провайдера источник. Косенков подчеркнул, что его компания намерена судиться дальше, чтобы добиться отмены судебного решения. О том, что доступ к "ЖЖ" оказался закрыт по решению суда 17 июля, сообщили местные СМИ. Как указал Антон Носик, медиадиректор SUP Media, которой принадлежит LiveJournal, решение касалось провайдера "Нетис Телеком". Глава LiveJournal Russia Илья Дронов отмечал, что администрация хостинга блогов готова заморозить спорный блог, если в нем действительно содержатся материалы, нарушающие правила сервиса. Напомним, что тот же Дронов утверждал, что "с технической стороны вопроса, провайдер действительно может заблокировать только доступ ко всему LiveJournal, но не к отдельным блогам". Тем самым поставив под сомнение свою техническую грамотность.
Источник

21/07/2012 02:09 Для обсуждения представлен проект требований к госсайтам Москвы
Проект документа по единым требованиям к функционированию официальных сайтов правительства Москвы представил Департамент информационных технологий столицы. Документ размещён на официальном сайте учреждения. К обсуждению приглашаются "веб-разработчики, редакторы, дизайнеры и простые пользователи", — сообщается на сайте. В соответствии с опубликованным документом, имя сайта должно быть в домене "mos.ru" и дублироваться в "москва.рф", также обязательной становится мобильная версия интернет-ресурса с автоматическим распознаванием устройства просмотра. Право на доменное имя должно принадлежать государственному органу, органу местного самоуправления или подведомственной организации, запрещается использовать доменные имена, принадлежащие физическим лицам. Должна собираться статистика, характеризующая посетителей сайта, а также его популярность в Сети. Однако доступна статистика должна быть только администраторам сайта. На сайте должна быть специальная версия для слабовидящих с лёгким и быстрым переходом к ней из обычной версии ресурса. Должна быть версия страниц, адаптированных для печати. При передаче пользовательских данных должен быть использован защищённый протокол HTTPS. Все используемые средства защиты персональных данных должны быть сертифицированы. Новости должны выгружаться в формате RSS. Сайт должен выдерживать пиковые нагрузки в четырёхкратном размере от среднемесячной посещаемости. Обязательна корректная работа во всех браузерах, постоянный URL каждой страницы. В официальном микроблоге Департамента в Twitter сообщается, что в Москве порядка 4 тысяч официальных сайтов — ведомств, специализированных ресурсов, управ и т.д. — и на 100% практически ни один из них не соответствует предложенным требованиям. Типовые порталы, внедряемые департаментом информационных технологий, соответствуют примерно на 80%. К типовым порталам относятся такие интернет-ресурсы, как сам сайт департамента. Департамент рассчитывает привести в соответствие большинство правительственных сайтов столицы к концу года, однако это в случае, если предложенный документ будет утверждён в ближайшее время.
Источник

21/07/2012 02:46 Смартфон сможет предсказать будущее местоположение своего владельца
В скором времени смартфон будет в состоянии определить, где скорее всего окажется абонент в ближайшие сутки, с точностью до 20 м. Новые данные окажутся полезны рекламодателям, которые смогут загодя советовать конкретные магазины и товары в том районе, где будет находиться их потенциальный клиент. Преподаватель Школы компьютерных наук Бирмингемского университета доктор Мирко Мусолеси совместно со своими коллегами разработал алгоритм, который позволит извлекать информацию из мобильного телефона и использовать ее в прогнозировании поведения людей. Его исследования показали, что указать будущее местонахождение пользователя будет возможно, если алгоритм сможет проанализировать предыдущие перемещения человека, а также информацию из его аккаунтов в социальных сетях. «В мире, где доминируют социальные сети, а человек всегда находится рядом со своим мобильным устройством, наше исследование сможет пригодиться сразу в нескольких сферах. В том числе эта информация будет полезна рекламодателям, маркетологам и людям, которые предоставляют персональные услуги», — говорит один из разработчиков ПО, доктор Манлио де Доменико. По словам авторов алгоритма, он анализирует информацию из открытых источников в Интернете, входящие и исходящие звонки и используе­мые человеком приложения, чтобы в результате дать вполне точный прогноз. Например, двое друзей обычно обедают в китайском ресторане возле офиса, но иногда выбираются в итальянский ресторан, расположенный через две улицы. Когда один из друзей оказывается в итальянском ресторане, алгоритм использует эту информацию, чтобы предсказать, что второй друг скорее всего тоже туда отправится. В Школе компьютерных наук уверены, что будущая мобильная технология также поможет полицейским предсказать возможные места совершения преступлений. «Этот алгоритм был разработан в течение последних двух месяцев. Мы понимаем, что он затрагивает вопросы конфиденциальности, поэтому позаботились о способах получения информации без разглашения личных данных человека, — сообщил Мирко Мусолеси. — Важно отметить, что в эксперименте, который проходил на базе исследовательского центра Nokia Mobile Data Open Challenge, участвовали только добровольцы. В будущем люди смогут воспользоваться этим сервисом в том случае, если сами этого захотят. Уже сейчас существуют подобные приложения, которые очень популярны среди владельцев смартфонов, например Foursquare». Ученый добавил, что в ближайшее время планирует создать мобильное приложение, базирующееся на новом алгоритме.
Источник

21/07/2012 03:03 Американка взломала школьную сеть и исправила отметки своих детей
Заботливая 45-летняя мать двоих детей, Екатерина Венусто, устроилась на работу секретарем в Управление начального образования Северо-Западный Лихай города Нью Триполи штата Пенсильвания, где проработала 3 года. Используя свое служебное положение, она получила реквизиты доступа в городскую компьютерную сеть министерства образования. Полученные реквизиты ей были необходимы для исправления оценок своих детей. Одно из таких исправлений стало предметом жалобы учителя школы на действия инспектора управления, который по его заявлению неоднократно изменял оценки. В ходе служебного расследования было установлено, что никто из управления не производил изменений, указанных в жалобе. На момент раскрытия этого факта, Екатерина уже перешла работать в секретариат Университета Лихай. По результатам служебного расследования, директор управления, Дженнифер Холман, приняла решение о подаче заявления в полицию. Следственные мероприятия выявили три эпизода неправомерного доступа к компьютерной информации с последующим её изменением. Кроме того, было установлено 110 случаев несанкционированного входа в систему с целью чтения личной переписки сотрудников управления и доступа к служебной информации, в том числе личным делам сотрудников. Сопоставив время и места доступа к системе, оперативники определили личность подозреваемой и предъявили ей обвинения. Женщина была арестована, но отпущена под залог $30 тыс. В случае если вина Екатерины будет доказана, ей может грозить до 42 лет лишения свободы или штраф в размере $90 тыс.
Источник

21/07/2012 10:32 Глава американской разведки выступит на конференции хакеров
Руководитель Агентства национальной безопасности США Кит Александер выступит на хакерской конференции Defcon, которая пройдет в Лас-Вегасе с 26 по 29 июля, сообщает Reuters. Тема выступления Александера не раскрывается. "Мы покажем ему конференцию", - заявил организатор Defcon Джефф Мосс. Он заявил, что ожидает недовольство хакеров из-за приглашения директора Агентства национальной безопасности на мероприятие, однако отметил, что добивался этого на протяжении десяти лет. Официальные лица и представители служб безопасности США посещают Defcon не в первый раз, однако Кит Александер станет наиболее высокопоставленным чиновником, когда-либо принимавшим участие в конференции. Defcon проводится ежегодно с 1992 года и является открытым для публики мероприятием. В рамках конференции проводятся лекции, хакерские соревнования и круглые столы на тему компьютерной безопасности. Организатор конференции Джефф Мосс с 2009 года является членом консультационного совета министерства внутренней безопасности США.
Источник

21/07/2012 20:52 Английский хакер уже 10 лет ожидает экстрадиции в США
Очередное заседание Суда Великобритании по вопросу экстрадиции в США хакера Гэри Маккиннон (Gary McKinnon) прошло безрезультатно. 46-летний хакер известный под псевдонимом Solo в феврале 2001 и марте 2002 года проник в компьютерные системы Пентагона и НАСА. Всего под атакой оказалось около 100 компьютеров. По заявлению хакера, взлом был связан с его желанием получить доказательства существования НЛО. Спустя несколько лет после взлома, личность хакера была установлена, он арестован и ему предъявлено обвинение. Однако, оказалось, что Гэри страдает одной из форм аутизма - синдромом Аспергера. Учитывая это заболевание, по мнению адвокатов хакера, он не может быть экстрадирован в США. В ходе судебного разбирательства уже было проведено 6 различных экспертиз, все из которых подтвердили заболевание. Последняя экспертиза так и не была проведена, она должна была выяснить насколько хакер склонен к суициду в случае экстрадиции и лишения свободы. Гэри отказался её проходить из-за недостаточной квалификации назначенного медицинского эксперта. На последнем заседание, прошедшем 5 июля, судья Джанис Шарп (Janis Sharp) одобрила отказ Гэри и рекомендовала Министерству внутренних дел создать профильную медицинскую комиссию из медиков, обладающих достаточным опыт в работе с больными синдромом Аспергера. В резолюции, судья отметила, что "Это сложное дело, требующее внимательного подхода и соблюдения прав обвиняемого. Судебная тяжба, длящиеся 7 лет нанесла Гэри психологическую травму, он потерял свою молодость в залах суда. Необходимо положить конец этому процессу и вынести единственно правильное решение." Следующее слушание суда назначено на 24 июля. Если решение об экстрадиции будет принято, и суд США признает хакера виновным во взломе, ему грозит до 60 лет лишения свободы.
Источник

22/07/2012 03:10 Обход оплаты In-App контента доступен в приложениях для Mac OS X
Алексей Бородин усовершенствовал механизм кражи дополнительного контента In-App Purchase из магазина App Store, добавив поддержку приложений для ОС Mac OS X "Lion" версии 10.7 и выше. Технология хака осталась такой же, как и в iOS: необходимо установить в ОС фальшивые сертификаты и изменить DNS-записи. Единственным отличием является необходимость запуска дополнительной утилиты "Grim Receiper", предназначенной для хранения квитанций на приобретение контента. Напомним, что смысл уязвимости системы In-App Purchase заключается в генерации фальшивых квитанций оплаты от App Store, которые используются разработчиками приложений для предоставления дополнительного контента. Предложенный хак, всего лишь заменяет сервер выдачи квитанций. Для получения квитанций, на сервер App Store в открытом виде передаются: идентификатор, название и версия приложения; уровень прав доступа приложения; идентификатор устройства; количество и название приобретаемого контента; язык пользователя. Эксперты компьютерной безопасности предупреждают, что если раньше вся эта информация отправлялась в App Store, то теперь все эти данные попадают на сервер Алексея Бородина.
Подробности

22/07/2012 12:03 Релиз ядра ОС Linux 3.5
Линус Торвальдс представил релиз ядра Linux 3.5. Из основных улучшений можно отметить: поддержка контрольных сумм для обеспечения целостности метаданных в Ext4; система профилирования приложений на пользовательском уровне; механизм создание sandbox-окружений с изоляцией системных вызовов; реализация новых алгоритмов управления очередями пакетов для борьбы с задержками в результате излишней буферизации; возможность сохранения состояния сетевых соединений между перезагрузками; поддержка RFC 5827 (TCP Early Retransmit); реализация по умолчанию активного спящего режима, подобного используемому в платформе Android; учёт статистики о проблемах с вводом/выводом в Btrfs; поддержка работы SCSI поверх FireWire или USB. В Linux 3.5 большое внимание было уделено модификации модулей поддержки процессора PowerPC и повышению совместимости c однокристальными микроконтроллерами семейства ARM. Всего было принято около 11 тысяч исправлений от более чем 1200 разработчиков, размер обновления составляет 42 Мб (изменения затронули 9631 файлов, добавлено 623 283 строк кода, удалено 410 731 строк). Около 38% всех представленных в 3.5 изменений связаны с драйверами устройств, примерно 26% изменений имеют отношение к обновлению кода специфичного для аппаратных архитектур, 15% связано с сетевым стеком, 5% - файловыми системами и 5% c внутренними подсистемами ядра.
Источник

22/07/2012 15:10 Google выпустила полную версию Android 4.1 "Jelly Bean" SDK
Android 4.1 "Jelly Bean" была представлена общественности в прошлом месяце в ходе конференции Google I/O 2012. Тогда же разработчикам предоставили среду разработки, но лишь в ознакомительной версии. Теперь разработчики могут получить полную версию SDK. Обновленная среда разработки доступна через менеджер SDK. О выходе новой версии инструментария разработчика представители Google объявили на странице в Google+. «Мы рады сообщить, что полная версия SDK для Android 4.1 теперь доступна разработчикам и может быть загружена через менеджер SDK. Теперь вы сможете создавать и публиковать приложения с использованием интерфейса программирования приложений 16-й версии. Кроме того, мы опубликовали инструментарий SDK Tools версии 20.0.1 и NDK версии 8b», - говорится в официальном заявлении.
Источник

22/07/2012 19:44 Электрический удлинитель с функцией аудита безопасности систем и сетей
Компания Pwnie Express, известная своими аппаратно-программными разработками для удаленного аудита безопасности информационных систем, представила новый продукт под названием Power Pwn. Это устройство представляет собой компьютер основанный на микроконтроллере ARM и замаскированный под электрический удлинитель (также похож на некоторые типы ИБП - прим. ред). Программное обеспечение Power Pwn базируется на ОС Debian 6 и содержит такие программы, как Metasploit, SET, Fast-Track, w3af, Kismet, Aircrack, SSLstrip, nmap, Hydra, dsniff, Scapy, Ettercap, а также множество других средств для анализа Bluetooth, VoIP трафика и прочих вспомогательных утилит. Power Pwn имеет встроенный жесткий диск на 16Гб, устройство для чтения SD-карт, разъем USB, адаптеры беспроводной связи и два разъема Ethernet. Стоимость составляет $1250. Создание Power Pwn стало логичным развитием системы аудита Pwn Plug, устройства со схожими функциями, но выполненного в виде обычного адаптера питания. В отличие от Pwn Plug, ориентированного на внедрения в офисы предприятий, Power Pwn больше подойдет для промышленных предприятий. Оба устройства после своего включения, автоматически сканируют доступные проводные и беспроводные сети, пытаясь получить к ним доступ, а о своих успехах сообщают владельцу по Bluetooth или мобильной связи. Управление устройствами может осуществляться с использованием беспроводных сетей WiFi и Bluetooth, мобильной связи стандарта 3G/GSM, а также специализированного веб-интерфейса. Кроме адаптеров питания, Pwnie Express выпускает еще и PwnPhone - модификацию коммуникатора Nokia N900 на базе Linux с набором утилит для аудита безопасности беспроводных сетей. Разработка устройств проводится при поддержке американского военного ведомства DARPA.
Источник

22/07/2012 22:36 Twitter является лучшим инструментом для определения психотипа человека
Очевиден тот факт, что социальные технологии направлены на анализ поведения социума и его контроль. Социальные сети являются тем живым отражением активности человека, которого не хватало вычислительным центрам IBM для предсказания поведения отдельных людей. Напомним, что технологии IBM с 2010 года активно применяются в Великобритании и некоторых штатах США для предсказания преступлений потенциальных рецидивистов. Удивительно, но создание социальных сетей позволило людям самостоятельно раскрыть все секреты, таящиеся в глубинах подсознания каждого из них. Таким образом, широкая популярность социальных сетей открыла новые возможности для психоаналитиков, которые используют анализ мировоззрения человека для предсказания его будущих действий. Два исследователя психологии из американского университета Cornell University и канадского University of British Columbia обещают продемонстрировать на хакерской конференции Defcon технологии распознавания психотипа личности на основе анализа сообщений социальной сети Twitter. Предложенная методика сводится к анализу частоты отправки сообщений, наличия в них определенных фраз и связей между пользователями. Результатом работы системы является выделение из общей массы людей - психопатов, эгоистов и лидеров. Очевидно, что полученные результаты могут применяться для объективного анализа психологического состояния социума с привязкой к определенному региону. В основе анализа учитывается опыт применения различных методик, разработанных в разные периоды истории. Возможности социальной сети Twitter идеально дополнили эти методики богатейшим набором данных. Короткие сообщения поддаются быстрому анализу и позволяют определить смысл сообщения, охарактеризовать эмоциональный настрой автора. Важным является и время отправки сообщения, а также число используемых слов в определенные интервалы времени. Многие пользователи, отправляя сообщения используют географические привязки, что позволяет ассоциировать психологическое состояние человека с определенным местонахождением, а также проследить то, как часто пользователь бывает в тех или иных местах. Фотографии и изображения, даже без детального анализа, а лишь по цветовой гамме способны раскрыть настроение человека. Другой составляющей анализа, является частота сообщений и желание человека вести диалог с другими людьми. По связям между людьми можно определить каких взглядом придерживается человек, и насколько он склонен к навязыванию своего мнения другим. Наблюдатели отмечают, что следуя теории заговора, правительство заинтересовано в контроле социума, а социальные сети, являясь его частью, представляют собой универсальный инструмент анализа поведения людей.
Источник

22/07/2012 23:02 HTML5 может быть разделен на два различных стандарта
В отношениях между организациями W3C и WHATWG, принимающими участие в продвижении стандартов HTML5, назрела довольно противоречивая ситуация, которая потенциально может привести к возникновению двух параллельных и отличных друг от друга стандартов HTML5. В свое время специально для разработки будущих стандартов HTML была официально сформирована рабочая группа WHATWG (The Web Hypertext Application Technology Working Group), в которую вошли представители ведущих разработчиков веб-браузеров. Формирование этой группы было реакцией на очень медленную работу консорциума W3C (World Wide Web Consortium), который до этого единолично занимался развитием и утверждением всех веб-стандартов. На тот момент ситуация была такова, что внутри W3C решили, что более перспективными и важными направлениями являются стандарты XML и XHTML, а HTML – это уже устаревшая технология. Но, специально созданная рабочая группа WHATWG весьма оживила разработку HTML, в большей степени самостоятельно подготовив спецификацию популярного ныне HTML5. W3C в свою очередь помогала в его разработке, а после официально начала процесс утверждения набора стандартов HTML5. Консорциум хочет активно участвовать в разработке HTML5, наравне с рабочей группой WHATWG. Для решения сложившейся ситуации была предложена новая модель разработки, которая выглядит следующим образом. WHATWG сконцентрируется на дальнейшей разработке HTML5, то есть будет ответственна за выявление ошибок, поиск противоречий, а также за их оперативное исправление. Также эта группа будет вносить все необходимые новые функции, потребность в которых будет очевидна и широко востребована сообществом. Эту ветку HTML5 условились называть как "живой стандарт" ("Living Standard"). С другой стороны, консорциум W3C будет периодически выполнять своего рода "срезы", выделяя наиболее стабильные и удачные версии HTML5 в этой "живой" ветке, документируя их и проводя техническую ревизию, в итоге утверждая их как некую официальную подверсию HTML5. Несмотря на всю внешнюю относительную логичность этой схемы, некоторые эксперты подчеркивают, что работа над одним и тем же стандартом сразу двух независимых и весьма разных по структуре организаций может привести в итоге к распаду спецификации HTML5 на два независимых стандарта. В качестве наиболее вероятного сценария для этого приводится текущая ситуация, когда WHATWG разрабатывает HTML5 достаточно интенсивно и активно, и если W3C будет принимать решения об аудите и стандартизации "стабильных вариантов" в своем текущем медленном бюрократическом стиле, то это приведет к тому, что "живая версия" от WHATWG уйдет значительно вперед, что уже и происходит, и на кого будет ориентироваться каждый конкретный производитель – это пока открытый вопрос. Представитель WHATWG подчеркивает, что рабочая группа WHATWG, будучи лишенная функций верификации и аудита стандарта, ещё больше ускорит свою разработку HTML5. Во многом заключительное слово остается за разработчиками веб-браузеров, которые заинтересованы в применение новых технологий, разработанных с учетом практического опыта их применения.
Источник

---

OnAir - События:

16/07/2012 23:35 - Турецкая хакерская группировка RedHack провела ряд взломов веб-ресурсов, размещаемых на официальном домене турецкой полиции (pol.tr). Всего пострадало более 16 веб-сайтов региональных подразделений. Хакеры опубликовали в открытом доступе результаты одного из взломов, в виде текстового документа размером 77 Мб, представляющего собой полный дамп БД без технической информации. По утверждению хакеров, в опубликованном документе представлена почтовая переписка информаторов полиции. Более подробную персональную информацию об информаторах и сотрудниках полиции, хакерская группировка планирует опубликовать в ближайшее время, после дополнительной обработки полученных данных. Хакеры RedHack своими взломами выступают против интернет-цензуры в Турции, ограничивающей свободу слова граждан и СМИ.
Подробнее

16/07/2012 23:49 - Хакерская группировка NullCrew, взломавшая на прошлой неделе официальный веб-сайт Всемирной организации здравоохранения (ВОЗ), опубликовала в Интернет результаты очередного взлома. На этот раз, жертвой хакеров стал интернет-магазин компании ASUS - Asus eStore (us.estore.asus.com). В результате взлома, хакерам удалось получить доступ к базе данных веб-сайта. Логины и пароли (в виде хэшей) 23 администраторов веб-ресурса были опубликованы в открытом доступе.
Подробнее

17/07/2012 14:55 - Около 12:30 по МСК, хостинговая площадка Мастерхост вместе с тысячами своих клиентов отключилась от Интернета. В результате сбоя пострадали веб-сайты и почтовые службы крупных СМИ, госучреждений, антивирусных компаний, а также службы самого хостинг-провайдера. Представители Мастерхост заявили, что причиной отключения серверов стал "перерыв в подаче электропитания в ДЦ". По информации от пострадавших клиентов, речь идет о ДЦ Мастерхоста в районе Алтуфьево. Спустя 2 часа после сбоя, функционирование серверов начало восстанавливаться, заработали некоторые службы хостинга. Многие клиенты, обращают внимание на то, что сбои на Мастерхост стали привычным делом, но такого глобального сбоя никто не ожидал.
Подробнее

17/07/2012 16:26 - Стабильная версия веб-браузера Firefox компании Mozilla обновился до версии 14.0.1 для всех платформ (Windows, Linux, MacOS), по крайне мере, на FTP-серверах разработчиков. Наблюдатели связывают выход новой версии с необходимостью синхронизировать номера настольных и мобильных версий веб-браузера. В предыдущей бета-версии 14 версии было добавлено использование поисковое системы Google с использованием протокола HTTPS по-умолчанию; с целью обеспечения защищенности веб-браузера от вредоносных расширений появилась возможность разрешать их использование объектами веб-страницы только после подтверждения пользователем; иконка веб-сайта больше не отображается в адресной строке, чтобы не вводить пользователей в заблуждение относительно защищенности веб-сайта; а также ряд других улучшений связанных с расширением API-функций и поддержки CSS. Кроме того, обновилась версия почтового клиента Thunderbird 14.0.
Подробнее

18/07/2012 14:14 - Компания Google, в прошлом месяце сообщила о начале продаж хромбуков Samsung через сеть американских магазинов Best Buy, однако забыла упомянуть, что вместе с продажами нетбуков в магазинах будут бесплатно распространяться компакт-диски с веб-браузером Google Chrome. Компакт-диски помещены в прозрачные пластиковые контейнеры, которые кроме диска содержат инструкцию по установке веб-браузера. Примечательно, что, как правило, нетбуки не комплектуются CD/DVD-приводами. Поэтому не сложно предположить, что распространяемые диски ориентированы на старые платформы и людей, которые не знают, как загрузить из Интернет и установить сторонние веб-браузеры. При этом, консультанты Best Buy готовы оказать консультативную помощь по применению компакт-диска с бесплатным веб-браузером.
Подробнее

18/07/2012 14:53 - Компания Mozilla представила подробную информацию об уязвимостях, устраненных обновлением для Firefox, Thunderbird и SeaMonkey, которое было выпущено 17 июля. Опубликовано 15 бюллетеней безопасности, описывающих 19 уязвимостей. Пять бюллетеней имеют критический статус, эти уязвимости могут быть использованы злоумышленниками для автоматического выполнения произвольного программного кода. Среди критических уязвимостей: множественные повреждения памяти (CVE-2012-1948, CVE-2012-1949, CVE-2012-1962); обход ограничений SCSW (CVE-2012-1959); повышение привилегий с выполнением произвольного программного кода через JavaScript в адресной строке (CVE-2012-1967); ошибки в работе с объектами (CVE-2012-1951, CVE-2012-1952, CVE-2012-1953, CVE-2012-1954). Еще 4 бюллетеня безопасности закрывают уязвимости с высоким уровнем угроз, эти уязвимости позволяли провести XSS-атаку (CVE-2012-1957 и CVE-2012-1966) и подменить значение служебных переменных браузера (CVE-2012-1955). Ошибки в реализации протокола Content Security Policy (CSP) 1.0 стали причиной уязвимости CVE-2012-1963, позволяющей скомпрометировать данные систем аутентификации OAuth 2.0 и OpenID.
Подробнее

18/07/2012 16:19 - Компания Google изменила правила распространения расширений для веб-браузера Google Chrome. Теперь расширения должны обязательно размещаться на серверах Chrome Web Store. Эта мера направлена на противодействие мошенникам, которые при помощи расширений получают доступ к пользовательским данным, производят внедрение вредоносного кода и перенаправляют пользователя на произвольные веб-сайты. Функция блокировки расширений со сторонних веб-ресурсов уже реализована в последней бета-версии Google Chrome 21. Несмотря на это, последняя стабильная версия Chrome 20 все еще позволяет использовать такие расширения. Возможно, блокировка расширений появится в следующих обновлениях Chrome 20. Поэтому, разработчикам расширений необходимо в ближайшее время разместить свои программные продукты на веб-серверах Chrome Web Store. Кроме того, компания Google предложила разработчикам API-функции для установки расширений непосредственно с их сайта, без необходимого перехода на Chrome Web Store.
Подробнее

18/07/2012 17:35 - Компания "Доктор Веб" исправила SQL-уязвимость в своем антивирусном решение Антивирус Dr.Web 7.x для платформы Android. Обнаруженная Артемом Чайкиным уязвимость, позволяла получить сторонним приложениям доступ к истории звонков и SMS-сообщениям, а также другой информации, которая находилась под антивирусным мониторингом. Уязвимым оказались функции класса "com.drweb.activities.antispam.CursorActivity". Спустя 6 дней после обнаружения, компания "Доктор Веб" выпустила исправление уязвимости, доступное на веб-сайте разработчиков и в каталоге приложений Google Play.
Подробнее

18/07/2012 18:01 - Хакерская группировка TeamGhostShell сообщила об успешном взломе веб-портала по подбору персонала ITWallStreet.com. Проект был запущен в 2006 году и специализировался на поиске работы для IT-специалистов. Пользователи могли размещать свои резюме, а также знакомиться с предложениями компаний. В результате взлома через SQL-инъекцию в публичном доступе оказалась информация о более чем 50 тыс. пользователей этого веб-ресурса. Среди опубликованной информации: имена, адреса, телефоны, даты рождения, адреса электронной почты, логины и пароли, а также другая персональная информация, которая может быть использована злоумышленниками в фишинг-атаках и других видах мошенничества. Данные опубликованы в виде полного дампа БД, а пароли представлены в виде хэшей. Часть данных хакерская группировка собирается реализовать на "черном рынке".
Подробнее

18/07/2012 18:43 - Вышла новая версия набора эксплоитов Metasploit 4.4 для проведения аудита безопасности. Набор пополнился 101 модулем, среди которых 68 эксплоитов, один загрузчик и один кодер. Добавлены модули аудита CCTV-систем; обновлен набор Citrix-команд; добавлены эксплойты к уязвимостям Microsoft XML Core Services, обхода авторизации MySQL, получения root-прав на оборудование F5; а также модули получения информации с использованием оболочки Windows PowerShell и паролей из настроек групповой политики (Windows Group Policy) и др. Была улучшена программная совместимость модуля удаленного управления Meterpreter. Большое количество нововведений коснулось коммерческой версии Metasploit Pro, появились новые способы обхода антивирусной защиты, была повышена производительность платформы. Новые версии доступны на веб-сайте разработчиков.
Подробнее

18/07/2012 23:27 - Хакерская группировка NullCrew опубликовала в открытом доступе результаты взлома официального веб-сайта Йельского университета (yale.edu). Взлом был произведен с использованием SQL-инъекции. В руках хакеров оказалось более 1200 учетных записей, среди скомпрометированных данных: имена пользователей, логины, пароли, место жительства, адреса электронной почты, телефоны и номера социального страхования. При этом пароли от учетных записей хранились на сервере в незашифрованном виде. Хакеры опубликовали лишь логины, пароли и ассоциированные с ними адреса электронной почты. Своей публикацией, хакеры решили обратить внимание общественности на слабую защищенность веб-сайтов образовательных структур.
Подробнее

19/07/2012 03:40 - Компания Cisco сообщила об устранение двух уязвимостей (CVE-2011-3287 и CVE-2011-3288) в платформе обмена мгновенными сообщениями Jabber XCP (Jabber Extensible Communications Platform) и корпоративном решении на ее основе - Cisco Unified Presence. Причиной уязвимостей стали ошибки в механизмах разбора XML-данных, приводящие к чрезмерному потреблению системных ресурсов, вызывая тем самым отказ от обслуживания платформы. Уязвимостям одинаково подвержены как клиентское, так и серверное программное обеспечение. Обновленные версии и подробная информация об уязвимых версиях ПО доступна на веб-сайте Cisco.
Подробнее

19/07/2012 19:06 - Хакер под псевдонимом DoktorBass сообщил об успешном взломе официального веб-сайта общественной организации по защите прав женщин Women's Land Link Africa (WLLA) - "wllaweb.org". Организация Women's Land Link Africa занимается правовой поддержкой, трудоустройством и образованием африканских женщин. В результате SQL-инъекции были скомпрометированы более 54 тыс. учетных записей пользователей интернет-форума организации. Данные были опубликованы в открытом доступе и содержали имена пользователей, адреса электронной почты и хэши паролей. После публикации этих данных, хакер раскаялся в содеянном и убрал ссылки на эту информацию из официального сообщения о взломе, признав их публикацию своей ошибкой, сделанной по глупости.
Подробнее

19/07/2012 22:49 - Разработчики платформы дистанционного образования Moodle опубликовали более подробное описание 11 уязвимостей, устраненных в обновление за 9 июля. Наиболее опасная уязвимость CVE-2012-3395 была устранена в модуле "Обратной связи". Использование этой уязвимости позволяло произвести SQL-инъекцию и получить доступ к содержимому БД. Множественные XSS-уязвимости были исправлены в модуле LTI (CVE-2012-3389), разделе администрирования группы (CVE-2012-3396) и в управление списком репозиториев (CVE-2012-3393). К раскрытию закрытой информации приводили уязвимости: отображения RSS-ленты раздела "Вопрос/Ответ" (CVE-2012-3391); функциях вывода скрытых HTML-блоков (CVE-2012-3390); применения прав доступа к просмотру активности группы (CVE-2012-3397); формирования подписки на обновление разделов форума (CVE-2012-3392); системы кэширования параметров учетной записи (CVE-2012-3388). Причиной отказа от обслуживания БД портала могли стать ошибки формирования расширенного поискового запроса (CVE-2012-3398). Ошибки реализации LDAP-авторизации (CVE-2012-3394) приводили к раскрытию безопасного HTTPS-соединения, заменяя его обычным HTTP. Более подробная информация об уязвимых версиях и обновления Moodle версии 1.9.19, 2.0.10, 2.1.7, 2.2.4 и 2.3.1 доступны на веб-сайте разработчиков.
Подробнее

20/07/2012 04:32 - PHP Group представила очередное обновление интерпретатора языка PHP версии 5.4.5 и 5.3.15. В новых версиях было исправлено более 30 различных ошибок, включая несколько уязвимостей. Общая уязвимость CVE-2012-2688, вызывала переполнение буфера в функции "_php_stream_scandir", а специфичная уязвимость для версии 5.3.15, позволяла обойти ограничения "open_basedir" в модуле SQLite (CVE-2012-3365). Кроме того, были устранены проблемы в работе функции "crypt" при генерации SHA256/512-хэшей с использованием null-символа в salt. Обновленные версии доступны на веб-сайте разработчика.
Подробнее

20/07/2012 17:33 - Организация ZDI опубликовала информацию о двух критических уязвимостях в системе резервного копирования HP StorageWorks File Migration Agent версии 2.x. Уязвимости заключались в недостаточной проверке данных сетевым сервисом "HsmCfgSvc.exe". Ошибки были найдены в механизмах определения длины имен CIFS-хранилищ и корневого каталога FTP. Успешная атака с использованием специально сформированного TCP-пакета, отправленного на порт 9111, позволяла вызвать переполнение стека и, как следствие, выполнение произвольного программного кода в контексте приложения. Спустя 3 месяца после обнаружения этих уязвимостей, компания HP так и не выпустила соответствующего обновления безопасности. Пользователям HP StorageWorks File Migration Agent рекомендуется разрешить доступ к сетевому сервису только для доверенных узлов сети.
Подробнее

20/07/2012 19:33 - В конце прошлой недели, разработчики популярной игры Minecraft исправили серьезную уязвимость в системе авторизации на сервере многопользовательской игры. Обнаруженная уязвимость позволяла злоумышленнику получить доступ к любому переносимому профилю на сервере, используя любой действительный ключ сессии. Информация об уязвимости появилась в Интернет раньше, чем о ней узнали разработчики. Поэтому, с целью обеспечения безопасности, многопользовательский режим игры был отключен на время устранения уязвимости. Ликвидация всех ошибок заняла у разработчиков всего несколько часов.
Подробнее

21/07/2012 23:59 - Исследователи немецкого Института безопасных информационных технологий Фраунгофера (Fraunhofer SIT) заявили об обнаружении небезопасного хранения PIN-кода SIM-карты в устройствах на базе ОС iOS. Дело в том, что введенный PIN-код хранится в открытом виде в специальном хранилище под названием "Keychain". Злоумышленники, получив доступ к заблокированному устройству, могут открыть хранилище с использованием специализированного ПО и узнать PIN-код карты. По мнению исследователей, компания Apple нарушила требования стандарта ETSI/3GPP по обращению с PIN-кодом, хранение которого запрещено на устройстве после успешного проведения аутентификации. Это могло быть связано с желанием компании избавить владельца устройства от повторного ввода PIN-кода в аварийных ситуациях. Несмотря на то, что в iOS предусмотрена защита кодом устройства, как показывает исследование, многие пользователи используют код защиты идентичный PIN-коду SIM-карты. Эксперты по безопасности обращают внимание, что знание PIN-кода позволит злоумышленникам производить платежи по технологии NFC, где идентификация происходит по SIM-карте.
Подробнее

22/07/2012 18:08 - Около 3 месяцев назад был обнаружен способ получения root-привилегий и возможности удаленно выполнять произвольные команды в ОС Linux, используемой в платформе для чтения электронных книг Kindle Touch компании Amazon. Уязвимым оказался модуль "libkindleplugin.so" встроенного веб-браузера Kindle Touch с прошивкой версии 5.1.0. Одной из областей применения этой уязвимости является установка произвольного ПО (в том числе проведение "джейлбрейка"), другой - получение реквизитов учетной записи Amazon, хранимой на Kindle Touch. Amazon заявил, что новые устройства Kindle Touch поставляются с прошивкой 5.1.1, в которой устранена эта уязвимость, однако обновления для устройств с версией 5.1.0 предоставлено не было.
Подробнее

---

Архив рассылки новостей:
http://uinc.ru/news/archive/

---

На этом пока все.
Всем удачи.
uinC Team
http://uinc.ru

P.S. Все предложения, замечания и просьбы слать на: info@uinC.ru

Любые материалы с нашего сайта или рассылки не могут быть скопированы без разрешения автора или администрации сервера uinC.ru

---