Kategorie
Publicystyka Zrób to sam

Po 29 latach napisałem program na Commodore 64 [aktualizacja]

Pierwszy komputer PC dostałem od rodziców w roku 1993. Z dnia na dzień porzuciłem wówczas wiernego Commodore 64 ze stacją dysków Oceanic OC-118N. Nagły atak nostalgii sprawił jednak, że po 29 latach wróciłem do tego 8-bitowca, by po raz ostatni napisać coś na tę platformę.

Pomysł na aplikację był prosty – chciałem stworzyć coś, co nie mogłoby powstać w roku 1993. Coś, czego wtedy nie dałoby się nawet wymyślić! Słowem – stworzyłem na C64 program, który korzysta z API dostępnego przez protokół HTTP (specyfikacja HTTP 1.0 została zatwierdzona dopiero w roku 1996). Oto efekt kilku tygodni pracy z retro-sprzętem, na którym kurz osiadał przez dziesięciolecia.

Kategorie
Kopie bezpieczeństwa Publicystyka

Lekarzu, ulecz się sam czyli moje backupy nie działały

Do pisania tego tekstu siadam czerwony ze wstydu. Musiałem trochę powalczyć sam ze sobą, by napisać to publicznie: w ciągu minionych trzech miesięcy nie powstał ani jeden kompletny backup bloga Informatyk Zakładowy. Wstyd jest o tyle większy, że przecież rok temu opublikowałem trzyczęściowy cykl artykułów poświęconych tworzeniu kopii bezpieczeństwa (że o darmowym e-booku nie wspomnę), więc sam powinienem mieć wszystko zapięte na ostatni guzik, prawda? Aha…

W niniejszym tekście opisuję awarię mechanizmu tworzącego codzienny backup bloga oraz przyczyny, dla których nie dostrzegłem jej przez wiele miesięcy. Aby rozwiać wątpliwości – nie utraciłem danych. Wszystko wyszło na jaw, gdy wziąłem się za zupełnie inny temat. Planowałem opisać, ile czasu zajmie mi odtworzenie bloga od zera z wczorajszej kopii zapasowej. Zalogowałem się więc do AWS, by ją pobrać i wtedy…

Kategorie
Artykuł sponsorowany Bezpieczeństwo

Szkolenie Sekuraka „Co każdy powinien wiedzieć o atakach socjotechnicznych / phishingu?”

Już w najbliższy czwartek, 15 kwietnia 2021, odbędzie się sekurakowe szkolenie „Co każdy powinien wiedzieć o atakach socjotechnicznych / phishingu?”. Naprawdę warto poświęcić czas i pieniądze, aby nie mówiono o nas kiedyś „mądry Polak po szkodzie” – tym bardziej, że prawdopodobnie będzie to jedyna edycja tego szkolenia.

Szkolenie będzie poprowadzone przez Dorotę Kulas. Dorota pracuje od 10 lat w Red Teamie globalnej korporacji, gdzie zajmuje się kwestiami inżynierii społecznej, symulując ataki w cyberprzestrzeni przeciwko bardzo kompetentnemu Blue Teamowi. To ceniona w branży specjalistka, posiadająca certyfikat Social Engineering Pentesting Professional, organizatorka x33fcon.

Kategorie
Android Bezpieczeństwo iOS Komunikatory

Aplikacja mobilna nie wie, czy telefon jest zhackowany

Poufność komunikacji prowadzonej przy użyciu popularnych komunikatorów mobilnych jest przedmiotem wielu badań i analiz. Omawiane i implementowane są takie koncepcje, jak „forward secrecy” („utajnianie z wyprzedzeniem”), „plausible deniability” („wiarygodna wykręcalność”?), wiele uwagi poświęca się też poprawności implementacji protokołów szyfrowania. Modelowanie zagrożeń pozwala ocenić, czy dane i metadane zbierane przez dostawców usług stanowią rzeczywiste lub potencjalne zagrożenie.

Żaden z najbardziej znanych komunikatorów, jak Signal, Whatsapp, Messenger czy Telegram, nie oferuje jednak funkcji nadzorowania bezpieczeństwa telefonu. Powód jest prosty – apka na komórce nie ma możliwości wiarygodnego sprawdzenia integralności systemu operacyjnego. Pokażemy, że złośliwe oprogramowanie działające z uprawnieniami superużytkownika może skutecznie ukrywać swoją obecność przed „zwykłymi” (pobranymi ze sklepu) aplikacjami uruchamianymi na zainfekowanym urządzeniu.

Kategorie
Bezpieczeństwo Zrób to sam

Kanarek czyli system późnego ostrzegania

Kanarek, Serinus canaria, gatunek małego ptaka z rodziny łuszczakowatych. W XIX i XX wieku używany w kopalniach do wykrywania toksycznych gazów ścielących się przy podłodze (dwutlenek węgla) lub gromadzących pod sufitem (metan, tlenek węgla). Gdy kanarek zachowywał się nietypowo lub tracił przytomność, było to sygnałem dla górników, że bieżące warunki zagrażają życiu i należy opuścić niebezpieczny obszar.

Kanarek (ang. canary token) jako pojęcie z obszaru bezpieczeństwa IT – nazwa systemu późnego ostrzegania, który informuje o przełamaniu zabezpieczeń i nieautoryzowanym dostępie do zasobów. Zasada działania jest prosta – pośród chronionych danych umieszczamy zasób, którego otworzenie wywoła cichy alarm. Na przeciwdziałanie jest już za późno, ale dzięki wiedzy o włamaniu i przejęciu danych możemy wdrożyć procedury awaryjne i przeciwdziałać skutkom nieautoryzowanego ujawnienia informacji.

Kategorie
Publicystyka

Polemika ze sprostowaniem

Polemika redakcji „Informatyka Zakładowego“ ze sprostowaniem otrzymanym od spółki V440 SA.

Kategorie
Bezpieczeństwo Zrób to sam

Zagnieżdżamy wolumeny VeraCrypta

Skoro VeraCrypt pozwala na bezpieczne przechowywanie danych w szyfrowanych wolumenach, to umieszczenie wewnątrz jeszcze jednego szyfrowanego wolumenu podwoi bezpieczeństwo, prawda? Będzie tak samo, jak gdyby jeden sejf zamknąć w drugim, nie?

Na to pytanie odpowiem na końcu tekstu, tymczasem zaś przyjrzymy się wydajności takiego rozwiązania – przy zagnieżdżeniu dwu-, trój-, aż do sześciopoziomowego. Startujemy z szybkim dyskiem SSD Samsung 970 EVO i sprawdzamy, kiedy wydajność zapisu i odczytu spadnie do poziomu zwykłego dysku talerzowego.

Kategorie
Android Bezpieczeństwo iOS Komunikatory

Bo do komunikatora trzeba dwojga

W ostatnim czasie nie pisałem za dużo na tematy związane z bezpieczeństwem. Czas wypełnić tę lukę, oto pierwsza część cyklu poświęconego mobilnemu komunikatorowi Usecrypt Messenger. Jest to produkt generujący cyklicznie falę pochlebnych artykułów w tych tytułach prasowych, których redakcje zwykły publikować przekazane materiały marketingowe. Ha, redakcja czasopisma Informatyk Zakładowy działa inaczej.

Analizę Usecrypt Messengera rozpoczniemy od pewnego małego detalu, funkcji zapraszania znajomych do instalacji komunikatora. Zobaczymy, że decyzja, która oszczędziła autorom dwa kwadranse pracy, wystawiła na ryzyko oszustwa tysiące osób otrzymujących takie zaproszenia.

Kategorie
Bezpieczeństwo Publicystyka

Usterka w serwisie transakcyjnym mBanku – zgłoszona i naprawiona

Tym razem historyjka krótka i z życia wzięta: znalazłem usterkę w serwisie transakcyjnym mBanku. Nie szukałem jej aktywnie, natrafiłem na nią podczas przeszukiwania historii operacji. Pamiętałem, że w przelewie, który chciałem powtórzyć, występował uśmieszek z dwukropka, minusa i nawiasu, więc taki ciąg znaków wpisałem w pole wyszukiwania operacji. Po sekundzie od wpisania ostatniego znaku startowało automatyczne podpowiadanie, z którego byłem natychmiast wyrzucany na następującą stronę:

Komunikat błędu sugeruje usterkę klasy input validation, najwyraźniej wpisywany przeze mnie tekst był interpretowany przez mechanizm wyszukiwania jako część wyrażenia regularnego, tymczasem powinien być traktowany literalnie jako tekst wzorcowy. Nie próbowałem eksplorować błędu, bo ewentualna blokada podstawowego konta bankowego byłaby dla mnie problematyczna. Zamiast tego napisałem do zespołu bezpieczeństwa instrukcję odtworzenia błędu:

Kategorie
Publicystyka

Emotikonki, Unicode, kodowanie znaków, bezpieczeństwo, 😷🦠

Dziś temat lżejszy, bo cięższe i tak wrócą same. Na tapetę bierzemy małe obrazeczki wstawiane do wypowiedzi pisemnych, nazywane emoji (są z Japończykami od roku 1999) albo emotikonkami (w formie graficznej są z całą resztą świata od… około 1996 roku, licząc od premiery komunikatora ICQ). Puryści oburzą się, że to przecież co innego bo etymologia, tradycja i nie o take ikone walczyliśmy, ale cóż, dziś emotka to emotka.

Otóż, jak informuje serwis emojipedia.org, światową karierę robią teraz ikonki 😷 (twarz w maseczce ochronnej) oraz 🦠 (mikrob) – wywołane oczywiście epidemią koronawirusa wywołującego chorobę COVID-19. Poniżej wykres oglądalności stron 😷, 🦠 oraz 🤕 w Emojipedii.