Archiwa tagu: Linux

Ciekawostki IT, Porady IT

Błąd SUDO uważaj bo ktoś może przejąć twoje uprawnienia root

Niedawno wykryto dość poważną lukę w SUDO.  Jest ona niezwykle poważna, gdyż w niezwykle prosty sposób pozwala na wykonanie dowolnej operacji. Jednym warunkiem jest uzyskanie fizycznego dostępu do komputera. Atak możliwy jest na komputerach które naturalnie korzystają z SUDO, dlatego, też nie powinien specjalnie dziwić fakt, że najczęściej atakowane są systemy UBUNTU i MAC OS X. Atak można przeprowadzić dla każdego konta które kiedykolwiek korzystało z SUDO.

Jak to możliwe?

Użytkownik SUDO tworzy automatycznie plik timestamp, który daje możliwość wykonywanie wszystkich poleceń, bez konieczności ponownego logowania w interwale czasowym 5 min. Można jednak posłużyć się poleceniem SUDO – K, które nie wymaga uwierzytelnienia, ale pozwala na zmianę w pliku timestamp na interwał (1970-01-01 01:00:00). W większości aplikacji zmiana czasu nie wymaga potwierdzenia hasłem root-a.  Czyli de facto jesteśmy rootem.

Błąd dostał nyumer CVE-2013-1775 i został poprawiony w sudo w wersjach 1.8.6p7 oraz 1.7.10p7.

Administracja serwerami

Hasła w WINDOWS jak szybko można je złamać?

Bardzo dobre pytanie. Okazuje się, że w zależności od sprzętu i oprogramowania można to zrobić coraz szybciej. Już nawet nie chodzi o to, że oprogramowanie Microsoft zwykle roi się od poważnych luk w kodzie, ale raczej o fakt, że standardowe 8 znakowe hasła, są zbyt łatwe i mają zbyt mało kombinacji jak na możliwości techniczne obecnie produkowanych procesorów. Dotychczas Microsoft od czasów Windows Server 2003, korzystał z szyfrowania algorytmem NTLM, który w obliczu ostatnich eksperymentów może być już niewystarczający. Wystarczyło zbudować server w oparciu o 25 kart AMD Radeon, Linux i darmowe oprogramowanie, alby uzyskać moc pozwalającą na złamanie hasła 8 znakowego w zaledwie 5,5 h !! Algortm sprawdzał około 350 miliardów kombinacji w ciągu minuty, uwzsględniając przy tym duże i małe litery, cyfry oraz znaki specjalne.  Przy okazji wyliczono, że wydłużenie hasła znacznie zwiększa bezpieczeństwo i tak 9 znakowe hasło to dodatkowe 500h pracy, a już 10 znakowe hasło wymaga  5,4 roku.

Najmniej opytymistycznie wygląda fakt, że urządzanie nie ma problemu z łamaniem haseł w standardach: SHA1, MD5, SHA12crypt.

Popuśćmy wodze wyobraźni dodajmy bardziej wydajny system chłodzenia, kilka dodatkowych jednostek……może jednak nie..czasem lepiej nie pytać, co by było gdyby, na razie trzeba wydłyżyć hasło…co najmniej.