ì¹ìë ì´ì±ê±¸ìì§ì¸ë¹í¤ëì¼ì¼ì´ì¤
테스트를 거친 제품에는 심각한 취약성이 있었으며 경험이 풍부한 연구원에게는 상대적으로 쉽게 발견 할 수 있다고 윌리엄스는 말했습니다. 거의 모든 테스트를 거친 보안 어플라이언스의 인터페이스에는 무차별 공격 (brute-force password cracking)에 대한 보호가 없었으며 세션 하이재킹을 허용하는 크로스 사이트 스크립팅 결함이 있었다고 그는 말했다.. 그들 대부분은 제품 모델 및 버전에 대한 정보를 인증되지 않은 사용자에게 공개했기 때문에 공격자가 취약한 것으로 알려진 어플라이언스를 쉽게 발견 할 수있었습니다.
이러한 인터페이스에서 발견되는 또 다른 일반적인 유형의 취약점은 크로스 사이트 위조를 요구하십시오. 이러한 결함으로 인해 인증 된 관리자가 악성 웹 사이트를 방문하도록 유도하여 공격자가 관리 기능에 액세스 할 수 있습니다. 또한 많은 인터페이스에는 명령 주입 및 권한 상승을 허용하는 취약점이 있습니다.
Williams는 직접 인증 우회, 대역 외 교차 사이트 스크립팅, 현장 요청 위조, 서비스 거부 및 SSH 오 구성 등의 취약성을 발견했습니다. 윌리엄스 (Williams)는 프리젠 테이션을 통해 지난 해 소포스 (Sophos), 시만텍 (Symantec) 및 트렌드 마이크로 (Trend Micro) 가전에서 완벽하게 제어 할 수있는 장비에서 발견 한 몇 가지 결함을 제시했다. 제품에. 그의 발견과 판매자 및 사용자에 대한 권장 사항에 대한 자세한 내용을 담은 백서가 NCC Group 웹 사이트에 게시되었습니다.
무역 박람회에서 종종 업체들은 자사의 제품이 "강화 된"Linux에서 실행된다고 주장합니다 (Williams). "대부분의 테스트를 거친 어플 라이언 스는 실제로 오래된 커널 버전, 오래되고 불필요한 패키지가 설치되어 있고 다른 가난한 구성을 가진 유지 관리가 잘 안된 리눅스 시스템이었다고 윌리엄스는 말했다. 무결성 검사, SELinux 또는 AppArmour 커널 보안 기능이 없었기 때문에 파일 시스템이 "강화"되지 않았으며 쓰기가 불가능하거나 실행 불가능한 파일 시스템을 찾기가 어려웠습니다.큰 문제는 이 기기들은 보안 업체에 의해 만들어진 보안 제품이기 때문에 본질적으로 안전하다고 믿는다. 예를 들어 전자 메일 보안 어플라이언스에서 루트 액세스 권한을 얻은 공격자는 실제 관리자가 할 수 있다고 그는 말했다. 관리자는 인터페이스를 통해 작업하고 스팸으로 신고 된 전자 메일 만 읽을 수 있지만 루트 셸을 사용하면 공격자가 어플라이언스를 통과하는 모든 전자 메일 트래픽을 캡처 할 수 있다고 그는 말했습니다. 훼손된 보안 장비는 네트워크 스캔 및 네트워크상의 다른 취약한 시스템에 대한 공격의 기반이 될 수 있습니다.
어플라이언스가 공격받을 수있는 방법은 네트워크 내에서 어플라이언스가 어떻게 배치되는지에 따라 다릅니다. 테스트 된 제품의 50 % 이상에서 웹 인터페이스는 외부 네트워크 인터페이스에서 실행되었다고 Williams는 말했습니다. 그러나 인터페이스가 인터넷에서 직접 액세스 할 수없는 경우에도 확인 된 결함 중 상당수는 반사 공격을 허용하며, 침입자는 악의적 인 페이지를 방문하거나 브라우저를 통해 어플라이언스에 대한 공격을 시작하는 특별히 제작 된 링크를 클릭하기 위해 로컬 네트워크의 관리자 나 사용자를 속입니다.
일부 전자 메일 게이트웨이의 경우 공격자 제목 줄에 사이트 간 스크립팅 취약점에 대한 악용 코드가 포함 된 전자 메일을 작성하고 전송할 수 있습니다. 전자 메일이 스팸으로 차단되고 관리자가 어플라이언스 인터페이스에서이를 검사하면 코드가 자동으로 실행됩니다.
보안 제품에 이러한 취약점이 존재한다는 사실은 아이러니 컬합니다. 그러나 비보안 제품의 경우 상황이 악화 될 가능성이 높다고 그는 말했다.
이러한 취약성은 대량 공격에서 악용되지는 않지만 취약한 제품을 사용하는 특정 회사에 대한 표적 공격에 사용될 수있다. 중국 정부의 요청에 따라 중국 네트워킹 업체 인 화웨이가 자사 제품에 숨겨진 백도어를 설치하고 있다고 목소리가 높아지고 있다고 윌리엄스 대변인은 전했다. 그러나 대부분의 제품에 이미 존재하는 이와 같은 취약점이 있기 때문에 정부는 더 추가 할 필요가 없을 것입니다.
기업은 스스로를 보호하기 위해 웹 인터페이스 나 SSH 서비스를 공개해서는 안됩니다. 제품을 인터넷에 연결할 수 있다고 밝혔다. 인터페이스에 대한 액세스는 일부 공격의 성격 때문에 내부 네트워크로 제한되어야한다. 관리자는 일반 브라우저에는 하나의 브라우저를 사용하고 웹 인터페이스를 통해 어플라이언스를 관리하기 위해서는 다른 브라우저를 사용해야한다고 그는 말했다. 그는 NoScript 보안 확장 기능이 설치된 Firefox와 같은 브라우저를 사용해야한다고 그는 말했다.
Williams는 영향을받는 공급 업체가 발견 한 취약점을보고했다고 전했다. 그들의 반응은 다양했지만 일반적으로 큰 공급 업체는 보고서를 처리하고 결함을 수정하며 고객과 정보를 공유하는 최고의 업무를 수행했다고 그는 말했습니다.
소비자 중 65 %는 제품을 더 많이 판매하기 위해 녹색 자격 증명을 과장하는 것으로 나타났다고 응답했다. > 소비자 가전 협회 (CEA)가 9 일 (미국 시간) 국제 소비자 가전 쇼 (CEA)에서 발표 한 조사에 따르면, 소비자의 65 %가 친환경 제품을 판매하기 위해 친환경 제품을 과장했다고 주장했다. CEA의 분석 책임자 인 스티브 코닉 (Steve Koenig) CEA에 따르면 가전 제품 회사가 만든 녹색 주장에 따르면, "혼란에 더해서 우리는 회의적인 태도를 보였으 나 사실 건강한 복용량이었다"
대부분의 소비자는 제품을 녹색으로 만드는 특정 속성을 알고 싶어합니다. "회사는 녹색으로 만들 제품이나 상자에 무엇이 있는지 알고 싶다"고 Koenig은 말했다.
Sun의 연례 JavaOne 개발자 회의 샌프란시스코에서 화요일, 새로운 오픈 소스 테스트 도구를 발표하고 모바일 디바이스에서 Java ME 프로그램을 인증하는 데 사용 된 5 년 된 Java 검증 프로그램을 향상시키고 있다고 말했다. 목표는 프로세스를 단순화하고 소프트웨어 개발자가 실행해야하는 테스트의 수를 줄여서 프로그램이 다른 전화기에서 제대로 실행되는지 확인하는 것입니다. "
"테스트를 좋아하는 사람은 아무도 없습니다. "기술 담당 이사 Martin Wrigley 오렌지의 파트너 프로그램과 함께 기자 회견에서. 모바일 애플리케이션 시장이 성숙 해짐에 따라 개발자들은 더 많은 테스트를 수행하게 될 것이라고 그는 덧붙였다.
Internet Explorer 사용자를위한 새로운 Zero Day 공격 두려움 Microsoft는 Office ActiveX 컨트롤의 치명적인 공격 마이크로 소프트는 스프레드 시트 ActiveX 컨트롤의 심각한 보안 취약점으로 취약한 PC에 대한 드라이브 - 바이 - 다운로드 공격을 허용 할 수 있다고 경고했다.
IE 사용자가 독살 된 웹 페이지를 단순히 보았을 때 다운로드 공격에 취약해질 수있는 취약한 ActiveX 컨트롤과 관련된 패치되지 않은 두 개의 구멍이 있습니다 (첫 번째는 지난주에 공개되었습니다). Microsoft의 권고는 Internet Explorer 8이 새로운 위협을 완화시킬 수 있는지 여부는 지정하지 않지만 결함있는 ActiveX를 설치하는 것으로이 소프트웨어 구성 요소를 나열합니다.