Kim Dotcom - Mega's EPIC Launch
[Meer informatie: Hoe malware van uw Windows-pc te verwijderen]
MegaMega, de nieuwe service voor het delen van bestanden van Kim Dotcom, werd bekritiseerd door beveiligingsdeskundigen, maar Chief Programmer Bram van der Kolk (links) en CTO Mathias Ortmann (rechts) zeggen dat hun site niet kwetsbaarder is dan websites voor online bankieren.
De flamboyante Dotcom verzekert de gebruikers van Mega dat de versleuteling van de site hun privacy en gegevens zal beschermen, maar de implementatie van dat coderingsschema is fundamenteel onjuist, meent waarnemer.
Mega gebruikt SSL (Secure Sockets Layer) een veel gebruikt protocol voor codering op internet voor het beveiligen van de verbinding tussen de computers van zijn gebruikers en zijn eigen servers. Zodra een SSL-verbinding is gemaakt, pusht Mega JavaScript-code naar de browser van een persoon, die vervolgens de bestanden van de persoon versleutelt voordat de gegevens naar de servers van Mega worden verzonden.
Omdat Mega fundamenteel vertrouwt op SSL, "is er echt geen reden om client-side encryptie te gebruiken", zei Marlinspike in een interview op maandag. "Dit soort schema's zijn kwetsbaar voor alle problemen met SSL."
Iemand die Mega aanvalt met SSLstrip, kan vervolgens zijn eigen aangepaste, kwaadaardige JavaScript naar de browser van het slachtoffer sturen. De gebruiker zou zijn wachtwoord onvermijdelijk onthullen, waardoor de aanvaller al zijn gegevens die met Mega zijn opgeslagen, zou kunnen ontsleutelen.
Mathias Ortmann, Mega's CTO, zei in een interview op maandag dat er verschillende online aanvallen zijn die Mega zou zijn kwetsbaar voor net als elke andere site die vertrouwt op SSL, zoals voor online bankieren. Die scenario's worden op de site van Mega geschetst, zei hij.
"Als ze de moeite hadden genomen om te lezen, zouden ze gezien hebben dat we in feite precies zeggen waar ze ons van beschuldigen als aanvalsvectoren, plus enkele anderen die ze ons niet beschuldigen, "Zei Ortmann. "Al deze SSL-gerelateerde aanvallen zijn niet specifiek op ons van toepassing. Ze zijn van toepassing op bedrijven met even hoge beveiligingsvereisten of zelfs hogere eisen. "
SSL wordt geschraagd door gecodeerde beveiligingscertificaten die zijn uitgegeven door geautoriseerde bedrijven en organisaties. Maar het uitgiftesysteem is al lang bekritiseerd, omdat oplichters in staat zijn om geldige certificaten te verkrijgen voor websites die ze niet bezitten.
Ortmann erkende dat iemand een certificaatautoriteit zou kunnen misleiden tot het uitgeven van een echt SSL-certificaat voor mega.co. nz, waarmee de aanvaller een nep-Mega-website kan maken die de juiste inloggegevens lijkt te hebben.
In een knipoog naar de intense afkeer van Kim Dotcom's megaproject, zei Ortmann: "Ik verwacht eigenlijk dat sommige regeringen een mega.co.nz schaduwcertificaat uitgegeven op een bepaald punt en gebruikt in een aanval. "Maar Mega zal periodiek scannen naar ongeautoriseerde SSL-certificaten, zei hij.
Met dank aan Nadim Kobeiss De nieuwe service voor het delen van bestanden van Kim Dotcom, Mega, is bekritiseerd door mensen, waaronder Nadim Kobeissi, ontwikkelaar van het gecodeerde instant messaging-programma Cryptocat, voor de manier waarop Mega codering implementeert.
Als de servers van Mega werden gehackt, zou het ook kan een aanvaller gemodificeerd, kwaadaardig JavaScript leveren, zei Nadim Kobeissi, ontwikkelaar van het gecodeerde programma voor chatberichten Cryptocat. Mega zelf zou ook kwaadaardige code kunnen leveren.
"Telkens wanneer u de website opent, wordt de coderingscode vanaf nul verzonden", zei Kobeissi. "Dus als ik op een dag besluit dat ik alle codering voor u uit wil schakelen, Ik kan gewoon je gebruikersnaam verschillende code geven die niets codeert en in plaats daarvan je coderingssleutels steelt. "
Marlinspike zei dat een veiliger manier zou zijn voor Mega om een ondertekende browserextensie te gebruiken om de gegevens te versleutelen, wat manipulatie door een aanvaller zou voorkomen. Als alternatief zou een geïnstalleerde softwareclient hetzelfde doel bereiken, zei hij, zonder een gebruiker bloot te stellen aan de onzekerheid van SSL.
Marlinspike zei dat hij denkt dat Mega-gebruikers het fundamenteel niet zo belangrijk vinden om te beveiligen, omdat ze gewoon geïnteresseerd zijn in bestanden delen. Omdat Mega alleen versleutelde gegevens op hun servers zal zien, lijkt de set-up de oprichters van de site te ontheffen van de auteursrechtinbreukkwesties van Megaupload. <> Alles wat er toe doet is dat de exploitanten van Mega kunnen beweren dat ze niet het technische vermogen hebben om inspecteer de inhoud op de server op auteursrechtinbreuk, "zei Marlinspike.
Net als bij elke nieuwe online service wordt de code van Mega al geprikkeld. Op zondag bleek dat de site een cross-site scriptfout had, waardoor een aanvaller in sommige gevallen de cookies van een gebruiker kan stelen, waardoor het account van een slachtoffer op zijn minst tijdelijk kan worden overgenomen. Het werd snel opgelost.
"XSS-probleem werd binnen het uur opgelost", schreef Bram van der Kolk, hoofdprogrammeur van Mega, op Twitter op zondag. "Zeer geldig punt, gênante fout." Ortmann zei: "De cross-site scripting kwestie was meer dan beschamend. Dat had niet mogen gebeuren. Dit is echt te danken aan het feit dat Bram en ik complete JavaScript-nieuwkomers zijn en dit gedrag nooit door een browser hebben verwacht. We hebben het eigenlijk besproken, maar we hebben het niet getest, dus dat is een beetje gênant. Dat was opgelost na 30 minuten of minder dan een uur nadat het aan ons was gemeld. "
Hij zei dat Mega later op de website meer details zal plaatsen over de punten die zijn critici naar voren hebben gebracht met betrekking tot beveiliging.
Iomega helpt u bij het klonen van uw systeem - en speelt ook media Bijna twee jaar zijn verstreken sinds Iomega en EMC (bekend van zijn back-up software) zich aansloten en het nieuwste aanbod van Iomega weerspiegelt de huidige focus van het bedrijf op integratie van de hardware en software-ervaring. Iomega's nieuwe v.Clone, hier geïntroduc
Virtualisatiesoftware is natuurlijk niet nieuw en verschillende fabrikanten hebben al eerder geprobeerd zorgen voor virtualisatie op een USB-flashstation. Het verschil hier is dat het een mainstream leverancier van harde schijven is die virtualisatie biedt voor consumenten - en dat doet op iets dat veel groter is dan een schamele flashdrive die nauwelijks je internetfavorieten en e-mail kan verwerken.
Aanklagen Kim Dotcom mag aanklagen tegen spionageagentschap van Nieuw-Zeeland
Kim Dotcom van Megaupload kan schadevergoeding tegen het spionagebureau van Nieuw-Zeeland aanvragen wegens illegaal bespioneren hem, het Hof van Beroep van het land oordeelde donderdag.
Kim Dotcom's Mega yanks controversieel 3D-pistoolontwerp
Kim Dotcom heeft opdracht gegeven voor het verwijderen van zijn Mega-bestandsopslagontwerpplannen voor een controversiële one-bullet plastic pistool.