Голландскому университету разрешили опубликовать отчёт об уязвимости в проездных картах
Две недели назад исследователи из голландского университета в города Неймеген
заявили, что им удалось взломать и клонировать карты для проезда на общественном
транспорте, которые основаны на RFID чипе. Злоумышленники могут сканировать
устройство чтения проездных карт, считать криптографические ключи защиты и
скопировать их на ноутбук. Данные затем могут быть записаны на новую карту,
которая может использоваться для бесплатных поездок.
По всему миру уже продано более миллиарда таких карт с RFID чипом. Они
используются для оплаты проезда в общественном транспорте, для получения доступа
в правительственные учреждения, школы и больницы в Великобритании, Голландии и
других странах.
Производитель чипа — фирма NXP, ранее известная как Philips Semiconductors,
обратилась в суд, пытаясь предотвратить запланированное обнародование
результатов исследования на европейской компьютерной конференции, которая
пройдет в Испании в октябре этого года. Представитель NXP заявил что
опубликование было бы "безответственно" — это можно понять, компания боится
мошенников которые смогут использовать эту информацию для атак на системы,
использующие данные карты.
Однако судья решил, что свобода слова перевешивает коммерческие интересы
фирмы NXP. Сами исследователи всегда заявляли, что они не будут включать
детальную информацию о том как клонировать карты и что подобные публикации
смогут предотвратить подобные ошибки в будущем.
www.xakep.ru
Системы безопасности связи 22-07-2008 Бред Питт - самое опасное имя в Интернете 17-09-2008 Системы безопасности связи Словосочетание Brad Pitt стало самым опасным поисковым запросом в мире в этом году. По данным McAfee, ссылки на имя этой кинозвезды чаще, чем ссылки на имена всех прочих знаменитостей, приводят на сайты, содержащие вредоносный код.Выяснилось, что фанаты, набравшие в поисковой строке имя Brad Pitt, в каждом пятом случае будут направлены на потенциально опасный сайт. 18% результатов поисковых запросов ведут к обоям, экранным заставкам и ф...
Отказ в обслуживании в MS Windows 16-09-2008 Системы безопасности связи Программа: MS WindowsУязвимость позволяет удаленному злоумышленнику выполнить DoS атаку на целевую систему. Уязвимость существует из-за ошибки в проверке входных данных при обработке WRITE_ANDX SMB команды. Атакующий может передать специально сформированные данные, что приведет к отказу системы в обслуживании.Эксплоит
Обход ограничений безопасности в Free PHP VX Guestbook 15-09-2008 Системы безопасности связи Программа: Free PHP VX Guestbook 1.06Уязвимость позволяет удаленному злоумышленнику обойти ограничения безопасности на целевой системе. Уязвимость существует из-за ошибки в проверке входных данных при обработке cookie. Эксплуатирование уязвимости приведет к обходу механизма аутентификации на целевой системе.Эксплоит:javascript:document.cookie = "admin_name=1; path=/"; document.cookie = "admin_pass=1; path=/";...
SQL-инъекция в Sports Clubs Web Panel 12-09-2008 Системы безопасности связи Программа: Sports Clubs Web Panel 0.0.1Уязвимость позволяет удаленному пользователю выполнить произвольные SQL команды в базе данных приложения. Уязвимость существует из-за недостаточной обработки входных данных в параметре «id». Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения.Эксплоит:http://site.com/[patch]/?p=draw-view&id=/**/union/**/select...
CIS предлагает новый стандарт оценки защищенности сетей 10-09-2008 Системы безопасности связи Center for Internet Security (CIS) объявил в понедельник о том, что собирается работать с сообществом профессионалов в сфере сетевой безопасности для создания стандарта из восьми правил, которые должны помочь компаниям адекватно оценивать степень защищенности своих сетей.По словам Берта Миуччио, управляющего CIS, этот проект вобрал в себя рекомендации 85 экспертов в области безопасности из правительства, промышленности и научной среды...
Мир Open Source за неделю: WIPmania.com – бесплатная геолокационная база данных IP-адресов 09-09-2008 Системы безопасности связи Запущен новый проект, представляющий собой бесплатный сервис геолокации, который содержит базу данных и онлайн API, позволяющий получить к ней доступ. Таким образом, можно точно определить местонахождение того или иного компьютера подключенного к Интернету, мобильного устройства, и вообще, любого устройства с IP-адресом. Неважно, где находится сам компьютер или устройство, которому принадлежит этот IP-адрес.В соответствии с представле...
Реализаци more-1-row SQL-injection 08-09-2008 Системы безопасности связи В этом ролике ты увидишь реализацию уязвимости more-1-row, подробно рассмотренную в статье ][ #03/2008. Автор столкнется с уязвимым сценарием для голосования и взломом MySQL 5-ой версии. В конечном итоге ему удастся раскрутить баг до заливки собственного шелла и подборка всех (ну, или почти всех) админских паролей. Тушите свет, внимание на экран! |