IT security hírek 2024. április

IT Security: volt, nincs – tanuló példa a Linux

A hónap egyik legizgalmasabb híre a Linux rendszere elleni egyik legkifinomultabb támadás, amelyet egy Microsoft fejlesztő vett észre. A felfedezés kiinduló pontja az volt, hogy furcsálta, miért tölt be a rendszer fél másodperccel lassabban. Miért annyira érdekes ez? Nos, ez a fél másodperc valószínűleg egy globális támadástól mentette meg a világot: a fejlesztő a „lassúság” miatt benézett a motorháztető alá és talált benne egy backdoor-t.

Ezt az említett back door-t egy XZ Utils nevű tömörítőeszközben fedezte fel. Ez a program megtalálható a Debian, Kali, OpenSUSE stb. nevű Linux disztribúciókban, így több millió felhasználóhoz is eljuthatott volna.

Ez az eset többek között vastagon kiemeli azt is, hogy miért annyira fontos a NIS2 és az annak való megfelelőség. Bármilyen szállítóláncon keresztül történhetnek ilyen és ehhez hasonló támadások, amelyek végül a mi környezetünkbe is eljuthatnak. Bár rengeteg eszköz áll már rendelkezésünkre, melyek védelmet biztosítanak, ám a tudatos IT Security-hoz hozzá tartozik az is, hogy időről-időre minősíttetjük magunkat, vagy külső szemmel átvizsgáltatjuk szervezetünk IT biztonsági standarjait.

IT Security Microsoft módra?

A Microsoftot ért támadások sajnálatos módon nem csupán kísérletek voltak az elmúlt időszakban, hanem nagyon csúnyán célba is értek. Ugyan sokat tanulhatnánk a kivédett esetekből is (mi több, a dolgos security csapatok számára aranyat érhet a dícséret), ám legalább annyira tanulságos az is, amikor megégeti magát egy szervezet.

A Cyber Safety Review Board márciusi jelentés alapján, nem áll jól a Microsoft IT Security terén. Hogy mennyire nem, azt mi sem bizonyítja jobban, mint, hogy a CSRB áttekintése elégtelennek találta a cég biztonsághoz való hozzáállását. A dokumentummal több szempontból is hasznos lehet megismerkedni: érdekes olvasmány arról, hogy a Microsoft milyen biztonsági megoldásokkal rendelkezik, illetve milyen hiányosságaik vannak.

Nem tudjuk eléggé hangsúlyozni a folyamatos felülvizsgálatok jelentőségét, az oktatást és megfelelőséget. A kibervédelem folyamatos fókuszt, fejlesztést és fejlődést igényel, hogy a lehető legbiztonságosabb keretek között működhessünk. Meg kell találni azt az aranyközéputat, amely könnyen integrálható a napi üzletmenet gördülékeny működtetéséhez: ez pedig valahol a felhasználóbarát és a túlvédett környezetek között lesz. Elengedhetetlenek hozzá a megfelelő eszközök, oktatások és a rendszeres felülvizsgálatok.

Van azért pozitív az IT Security háza táján is!

A Microsoft elérhetővé tette mindenkinek a jelszómentes, azaz a passkey funkció használatát. A passkey használatával megválhatunk a jelszavaktól, hiszen a FIDO által gyártott megoldás esetében helyettük privát és publikus kulcsok végzik el az autentikációt. Az alkalmazás/kliens és az authenticator csak a publikus kulcsot "mozgatja", a privát kulcsra, ami az eszközünkön tárolódik, a különböző challenge folyamatok miatt lesz szükség.

Ezzel a nagyon leegyszerűsített folyamattal biztosítják, hogy ugyan mind a két kulcsra szükség legyen, de csak a public key mozgatása történjen meg a kommunikáció során, így akadályozva meg, hogy a regisztráció/autentikáció folyamatában a támadók hozzáférhessenek a tényleges belépési adatokhoz.

Ez alapvetően egy nagyon pozitív irány a jelszómentes világ felé és bízunk benne, hogy ez a metódus el is fog terjedni. Addig is.... ha a köztes időre szuper phishing védelmet, dark net hírszerző vagy shadowIT megoldást kerestek, akkor örömmel segítünk megtalálni a számotokra legideálisabbat.

HD Atlas nem vész el…csak átalakul!

Végül pedig egy inkább érdekes, de annál szórakoztatóbb hír: talán sokan ismeritek a Boston Dynamics céget, amely különböző robotok gyártásával foglalkozik. Legismertebb a parkourozni tudó, ugráló, már emberi dolgok elvégzésére alkalmas HD Atlas nevű robotjuk, aki több mint egy évtizede van velünk és számtalan megmosolyogtató videót készítettek vele. Nos, HD Atlas, fogalmazzunk úgy: nyugdíjba vonult hivatalosan is. Egy nagyon szép videóval búcsúztak tőle, hiszen ennyi év szekálás és akrobatikus folyamatok végrehajtása után, megérdemelte már a pihenést.

HD Atlas története azonban itt mégsem ér véget: a következő generáció már el is indult az általa kitaposott úton. Utódja nevét nem a kreativitás jellemzi, hisz Atlas nevet kapott ő is, azonban technológiai fejlődésben óriási meglepetéseket, innovációkat ígér. Míg HD Atlast hátráltatta a hidraulika, addig az új Atlas már teljes mértékben elektromos rendszerre épül és sokkal humanoidabb formájú. Érdeklődve várjuk, hogy a robotika és a mesterséges intelligencia milyen új tereket nyit meg az emberiség jövőjében.

(Glatz Attila)