Minecraft Live 2020: Full Show
Vertegenwoordigers van de onlangs gelanceerde service voor het opslaan en delen van bestanden Mega een aantal van de problemen aangepakt die beveiligingsonderzoekers de afgelopen dagen hebben gesteld over de architectuur van de site en de implementatie van de cryptografische functies.
Het internet en de beschuldigde digitale vogelvrijschop Kim Dotcom hebben onlangs Mega (afgekort voor Mega Encrypted Global Access) gelanceerd, met 50 GB van gratis opslag. Mega is slechts een onderdeel van wat Dotcom en zijn team hopen dat een pakket online versleutelde services van Mega Ltd. zal zijn, waaronder e-mail, spraakoproepen, instant messaging en videostreaming.
In een blogpost die dinsdag is gepubliceerd, hebben Mega-officials erkend dat sommige van de beveiligingsrisico's waarop onderzoekers hebben gewezen, geldig zijn, maar zeiden dat gebruikers al over een aantal van hen waren geïnformeerd via de sectie Veelgestelde vragen (veelgestelde vragen) van de website. In het geval van andere problemen beloofden ze enkele verbeteringen.
[Meer informatie: hoe u malware van uw Windows-pc verwijdert]
Er is bijvoorbeeld op gewezen dat de coderingssleutels die door gebruikers werden gegenereerd tijdens de ondertekening up-proces, en die later worden gebruikt om hun bestanden te versleutelen, worden gecodeerd met behulp van het accountwachtwoord en worden alleen opgeslagen op de servers van Mega. Omdat er geen wachtwoordherstelfunctie is, verliezen gebruikers de mogelijkheid om hun bestanden te ontsleutelen als ze hun wachtwoord vergeten zijn. Sommige mensen zeiden dat. "Dit klopt - de enige sleutel die MEGA nodig heeft om te worden opgeslagen aan de gebruikerskant is de login wachtwoord, in het brein van de gebruiker ", aldus de Mega-functionarissen. "Dit wachtwoord ontgrendelt de hoofdsleutel, die op zijn beurt het bestand / map / gedeelde / persoonlijke sleutels ontgrendelt."
Een mechanisme dat het herstel van bestanden mogelijk maakt in het geval het wachtwoord wordt vergeten, zal echter in de nabije toekomst worden geïmplementeerd, ze zeiden. Dit omvat een optie om het wachtwoord te wijzigen en vooraf geëxporteerde bestandssleutels te importeren om de corresponderende bestanden te herstellen.
Beveiligingsonderzoekers merkten ook op dat de mastercoderingssleutels in de browser worden gegenereerd bij aanmelding met behulp van de wiskunde.random JavaScript-functie en waarschuwde dat deze functie niet goed werkt voor het genereren van willekeurige getallen, wat betekent dat de resulterende sleutels zwak kunnen zijn vanuit een cryptografisch oogpunt.
Als reactie hierop zeiden de Mega-functionarissen dat entropie-willekeurigheid- wordt toegevoegd door gegevens te gebruiken die zijn verzameld met de muis en het toetsenbord van de gebruiker. "We zullen echter een functie toevoegen die de gebruiker toestaat om zoveel entropie handmatig toe te voegen als hij wil voordat hij doorgaat met het genereren van de sleutel", zeiden ze.
De Mega-vertegenwoordigers verduidelijkten ook hoe het JavaScript-verificatiesysteem van de site werkt, erop wijzend dat de hoofd HTTPS-server die een SSL-certificaat gebruikt met een 2048-bits sleutel, wordt gebruikt om de integriteit te verifiëren van de JavaScript-code die wordt weergegeven vanaf secundaire HTTPS-servers die certificaten met 1024-bits sleutels gebruiken. "Dit stelt ons in feite in staat om de extreem integriteitsgevoelige statische inhoud op een groot aantal geografisch diverse servers te hosten zonder ons zorgen te maken over de veiligheid," zeiden ze.
Een onderzoeker met de naam Steve Thomas, online bekend als "Sc00bz," vond dinsdag dat de links in de bevestigingsmeldingen die door Mega zijn verzonden tijdens het accountregistratieproces bevatten feitelijk de hash van het gebruikerswachtwoord.
Thomas heeft een tool genaamd MegaCracker uitgebracht die kan worden gebruikt om de hashes van dergelijke koppelingen te extraheren en deze met behulp van een woordenboekaanval te kraken.
In reactie op de release van het hulpprogramma zeiden de Mega-functionarissen dat MegaCracker "een uitstekende herinnering is om geen raadbare / woordenboekwachtwoorden te gebruiken, met name niet als uw wachtwoord ook dienst doet als de hoofdversleutelingssleutel voor alle bestanden die u opslaat op MEGA. "
Ze hebben echter niet ingegaan op de vraag waarom accountbevestigingskoppelingen die via e-mail worden verzonden, in de eerste plaats de wachtwoordhash van de gebruiker bevatten. De algemene techniek die door andere websites wordt gebruikt, is het genereren van willekeurige codes speciaal voor bevestigingslinks.
Om te voorkomen dat potentiële aanvallers hun wachtwoordhash op een later tijdstip verkrijgen, moeten gebruikers waarschijnlijk de Mega-bevestigingsmail verwijderen nadat ze op de opgenomen hebben geklikt link en stel hun accounts in.
Beoordeling: PlagTracker vindt plagiaat (soms zelfs als die er niet is)
De Premium-versie van Plagtracker, die $ 15 per maand kost, levert sneller resultaten op, laat de gebruiker directe bronnen van het vermelde materiaal uitsluiten voor nauwkeurigere resultaten, en staat bestandsuploads toe voor * .doc- en tekstbestanden (in plaats van knippen en plakken).
Siemens: Duitse klant getroffen door industriële worm bevestigde dinsdag dat een van zijn Duitse klanten is getroffen door een nieuwe worm die is ontworpen om geheimen te stelen van industriële besturingssystemen. Siemens bevestigde dinsdag dat een van zijn klanten is getroffen door een nieuwe worm die is ontworpen om geheimen te stelen van industriële besturingssystemen. Tot op heden is het bedrijf op de hoogte gebracht van één aanval op een Duitse fabrikant dat Siemens weigerde te id
De worm, Stuxnet genaamd, werd vorige maand voor het eerst gezien toen het systemen infecteerde bij een niet-geïdentificeerde Iraanse organisatie, volgens Sergey Ulasen, hoofd van het antivirusprogramma. kernelafdeling bij VirusBlokAda, in Minsk, Wit-Rusland. Het niet-geïdentificeerde slachtoffer, dat geen eigenaar is van het type SCADA-systeem (toezichtcontrole en gegevensverzameling) dat door de worm wordt getarget, "vertelde ons dat hun werkstations serieel opnieuw werden opgestart zonder eni
Microsoft op CES 2014: een aantal aardige apparaten en een grote alarmoproep
Net als vorig jaar had Microsoft hier mixervaringen mee CES van een jaar. Hoewel veel OEM`s, waaronder Toshiba en Lenovo, een hele reeks projecten hebben uitgebracht, was het over het algemeen traag zelfs voor Microsoft.
Veel mensen hebben me gevraagd waarom ik geen Microsoft-gecentreerd CES-verhaal heb behandeld en er is een reden daarvoor. De reden daarvoor is dat er niet veel te zien is. Bij Consumer Electronics Show vindt u alle grote OEM`s die nieuwe producten en hun nieuwste inno