Všechny články rubriky Security

Čas utíká jako voda, a tak už máme za sebou první rok fungování naší bezplatné služby Skener webu. Při této příležitosti jsme se rozhodli využít získaných zkušeností a připravit pro tvůrce i provozovatele webů jednu malou pomůcku a také jednu malou soutěž pro všechny čtenáře našeho blogu. Než se k nim však dostaneme, ráda bych se chvilku věnovala službě Skener webu a našim postřehům z jejího ročního provozu.

V předchozích dvou blogpostech o chybě „rom-0“ jsem se věnoval jednak postupu při „záplatování“ napadnutelného routeru a potom jsem rozebral důvod rozšíření chyby a především jsem odkázal na webový test, který CZ.NIC spustil na adrese http://rom-0.cz.

Minulý týden řešil náš bezpečnostní tým CZ.NIC-CSIRT zajímavý incident spojený s jedním e-shopem. Na problém nás upozornil kolega, který na stránkách nakupuje, a který si všiml, že s nimi není něco v pořádku. V jeho prohlížeči se zobrazovala jiná verze stránek, než jsme viděli my ostatní. Také při vyhledávání stránky ve vyhledávači Google se zobrazovalo následující varování.

Rok 2014 příliš nepřeje SSL/TLS knihovnám, v nichž bylo objeveno několik závažných chyb. Nejznámější z nich jsou asi Heartbleed, goto fail a CCS útok. Zmíněné zranitelnosti byly objeveny manuálním auditem kódu nebo automatickým „dokazovačem“. Tyto chyby nejsou chybami SSL/TLS protokolu, nýbrž chybami implementací.

My jsme se již před časem zaměřili na scanování chyb konfigurací, které jsou lépe odhalitelné a odstranitelné.