أنا آسف ، دايف ، أشعر بالخوف ... آسف ، خطئي ، يمكنني فعل ذلك بسهولة
لا يوجد مشغل صوت أدناه؟ يستمع مباشرة على Soundcloud.
مع دوج آموث وبول دوكلين. موسيقى مقدمة وخاتمة بواسطة إديث مودج.
يمكنك الاستماع إلينا على SoundCloud لل, Apple Podcasts, Google Podcasts, سبوتيفي, الخياطة وفي أي مكان توجد فيه ملفات بودكاست جيدة. أو قم بإسقاط ملف عنوان URL لخلاصة RSS الخاصة بنا في podcatcher المفضل لديك.
اقرأ النص
DOUG الكثير من التصحيحات ، وأبواب المرآب المتصلة ، ومخالفات اللوحة الأم.
كل ذلك وأكثر على بودكاست Naked Security.
[مودم موسيقي]
مرحبا بكم في البودكاست ، الجميع.
أنا دوغ عاموث. هو بول دوكلين.
كيف حالك يا بول؟
بطة ما زلت أحاول أن أفهم عندما قلت "أبواب المرآب المتصلة" ، دوغ.
لأن هذا اتصال على نطاق جديد تمامًا!
DOUG نعم بالتأكيد!
ما ربما يمكن ان تذهب الخطأ؟
سوف ندخل في ذلك ...
نود أن نبدأ العرض مع هذا الأسبوع في قسم تاريخ التكنولوجيا.
لدينا العديد من الخيارات ... اليوم سنقوم بتدوير العجلة.
ماذا حدث هذا الاسبوع؟
أول رجل في الفضاء ، يوري غاغارين ، عام 1961 ؛ رونالد واين يترك شركة آبل ويبيع أسهمه مقابل 800 دولار في عام 1976 - ربما يكون هناك بعض الأسف هناك ؛ إنبات كوبول في عام 1959 ؛ إطلاق أول مكوك فضائي في عام 1981 ؛ مهمة إنقاذ أبولو 13 في عام 1970 ؛ فريق Metallica يقاضي نابستر في عام 2000 ؛ وأول معرض للكمبيوتر في الساحل الغربي عام 1977.
دعنا نمضي قدمًا ونلف العجلة هنا ، ونرى أين هبطنا.
[FX: عجلة الحظ]
بطة [تهليل العجلة] كوبول ، كوبول ، كوبول!
[FX: تباطؤ عجلة القيادة وتوقفها]
DOUG وحصلنا على كوبول!
مبروك يا بول - عمل جيد.
هذا الأسبوع ، في عام 1959 ، كان هناك اجتماع ، وفي الاجتماع كان هناك بعض رواد الحوسبة المهمين والمؤثرين الذين ناقشوا إنشاء لغة برمجة مشتركة صديقة للأعمال.
اقترحت جريس هوبر الوحيدة والوحيدة أن تمول وزارة الدفاع الأمريكية مثل هذه اللغة.
ولحسن الحظ ، كان مدير الحوسبة في وزارة الدفاع في نفس الاجتماع ، وأعجب بالفكرة ووافق على تمويلها.
وبهذا ، ولد كوبول ، بول.
بطة نعم!
كوبول: لغة كومون الموجهة للأعمال.
وخرجت من شيء يسمى CODASYL.
[ضحك} هذا هو الاختصار لبدء / إنهاء جميع الاختصارات: المؤتمر / لجنة لغات نظم البيانات.
لكنها كانت فكرة مثيرة للاهتمام ، بالطبع ، لقد أصبحت دائرة كاملة عدة مرات ، ليس أقلها مع JavaScript في المتصفح.
كانت لغة مثل FORTRAN (FORmula TRANslation) شائعة جدًا في الحوسبة العلمية في ذلك الوقت.
لكن كل شركة ، كل مترجم ، كل مجموعة صغيرة من المبرمجين كان لديهم نسختهم الخاصة من FORTRAN ، والتي كانت أفضل من أي شخص آخر.
وكانت فكرة COBOL ، "ألن يكون من الجيد أن تكتب الكود ، وبعد ذلك يمكنك نقله إلى أي مترجم متوافق على أي نظام ، وستتصرف الشفرة ، ضمن حدود النظام ، بنفس الطريقة ؟ "
لذلك كانت طريقة لتوفير لغة موجهة نحو الأعمال التجارية ... تمامًا كما يوحي الاسم.
DOUG بالضبط!
حسن المسمى!
حسنًا ، لقد قطعنا شوطًا طويلاً (عمل جيد للجميع) ، بما في ذلك حتى الأحدث التصحيح الثلاثاء.
لدينا صفر يوم. لدينا خطأين فضوليين ؛ ولدينا حوالي 90 بعض الأخطاء الأخرى.
لكن دعونا نصل إلى الأشياء الجيدة ، بول ...
بطة نعم ، دعنا نلقي نظرة سريعة على يوم الصفر ، وهو CVE-2023-28252 ، إذا كنت تريد البحث في ذلك اليوم.
لأنه من الواضح أن المحتالين يعرفون بالفعل كيفية استغلاله.
إنه خطأ في جزء من Windows رأينا فيه أخطاء من قبل ، وبالتحديد برنامج تشغيل Common Log File System.
وهذا هو برنامج تشغيل النظام الذي يسمح لأي خدمة أو تطبيق على جهازك بالقيام بتسجيل الدخول (المفترض) إلى النظام بطريقة آمنة ومحكومة.
أنت تكتب سجلاتك ... لا تضيع ؛ لا يخترع الجميع طريقتهم الخاصة في القيام بذلك ؛ يتم طوابعهم الزمنية بشكل صحيح ؛ يتم تسجيلهم ، حتى لو كان هناك حمل ثقيل ؛ إلخ.
لسوء الحظ ، فإن السائق الذي يعالج هذه السجلات ... يقوم بشكل أساسي بأشياءه تحت نطاق SYSTEM حساب.
لذلك إذا كان هناك خطأ فيه ، فعندما تقوم بتسجيل شيء ما بطريقة لا يُفترض أن يحدث ، عادة ما يحدث هو أن لديك ما يسمى برفع الامتياز ، أو EoP.
والشخص الذي كان منذ لحظة قد يكون مجرد GUEST المستخدم فجأة يعمل تحت SYSTEM الحساب ، والذي يمنحهم في الأساس تحكمًا جيدًا مثل التحكم الكامل في النظام.
يمكنهم تحميل وتفريغ السائقين الآخرين ؛ يمكنهم الوصول إلى جميع الملفات تقريبًا ؛ يمكنهم التجسس على برامج أخرى ؛ يمكنهم بدء العمليات وإيقافها ؛ وما إلى ذلك وهلم جرا.
هذا هو اليوم 0.
تم تصنيفها فقط مهم بواسطة Microsoft ... أفترض أنه ليس تنفيذ تعليمات برمجية عن بعد ، لذا لا يمكن استخدامه من قبل محتال لاختراق نظامك في المقام الأول.
ولكن بمجرد دخولهم ، يمكن أن يستخدم هذا الخطأ ، من الناحية النظرية (وفي الممارسة العملية ، نظرًا لأنه يوم أو يوم) ، من قبل محتال موجود بالفعل للحصول على القوى الخارقة بشكل فعال على جهاز الكمبيوتر الخاص بك.
DOUG وبعد ذلك ، إذا قمت بإخراج Secure out من Secure Boot ، فماذا سيصبح ، بول؟
مجرد…
بطة "التمهيد" ، أفترض؟
نعم ، هذان هما البقان اللذان أثارا اهتمامي بما يكفي لأرغب في التركيز عليهما في المقالة على Naked Security. (إذا كنت تريد معرفة كل شيء عن جميع التصحيحات ، فانتقل إلى news.sophos.com واقرأ تقرير SophosLabs عن هذه الأخطاء.)
لن أقرأ الأرقام ، فهي في المقالة ... كلاهما معنون بالكلمات التالية: ميزة أمان Windows Boot Manager تجاوز الثغرة الأمنية.
وسأقرأ كيف تصفها Microsoft:
يمكن للمهاجم الذي نجح في استغلال هذه الثغرات الأمنية تجاوز التمهيد الآمن لتشغيل تعليمات برمجية غير مصرح بها.
لتحقيق النجاح ، سيحتاج المهاجم إما الوصول المادي أو امتيازات المسؤول ...
... التي أتخيل أنها قد تكون قادرة على تجاوز الخطأ الذي تحدثنا عنه في البداية. [يضحك]
DOUG بالضبط ، كنت أفكر في ذلك!
بطة لكن الشيء الذي يدور حول ، "مرحبًا يا رفاق ، لا تقلقوا ، سيحتاجون إلى وصول مادي إلى جهاز الكمبيوتر الخاص بك" ، في رأيي ، هو نوع من التنكر ، دوغ.
لأن الفكرة الكاملة لـ Secure Boot تهدف إلى حمايتك حتى من الأشخاص الذين يمكنهم الوصول الفعلي إلى جهاز الكمبيوتر الخاص بك ، لأنه يوقف أشياء مثل ما يسمى هجوم "المنظف الشرير" ...
... وهو المكان الذي تركت فيه الكمبيوتر المحمول في غرفتك بالفندق لمدة 20 دقيقة أثناء تناول الإفطار.
يأتي عمال النظافة إلى غرف الفنادق كل يوم ؛ من المفترض أن يكونوا هناك.
جهاز الكمبيوتر المحمول الخاص بك هناك ؛ إنه مغلق؛ تعتقد ، "إنهم لا يعرفون كلمة المرور ، لذا لا يمكنهم تسجيل الدخول."
ولكن ماذا لو تمكنوا من فتح الغطاء ، والتثبيت في مفتاح USB ، وتشغيله بينما يكملون تنظيف غرفتك ...
... لذلك لا يحتاجون إلى قضاء أي وقت فعليًا في القيام بالقرصنة ، لأن كل ذلك آلي.
أغلق الكمبيوتر المحمول قم بإزالة مفتاح USB.
ماذا لو قاموا بزرع بعض البرامج الضارة؟
هذا ما يُعرف في المصطلحات باسم a bootkit.
ليس برنامج rootkit ، حتى أقل من ذلك: مجموعة BOOT.
شيء يؤثر بالفعل على جهاز الكمبيوتر الخاص بك بين وقت تشغيل البرنامج الثابت وبدء تشغيل Windows نفسه بالفعل.
بمعنى آخر ، إنه يفسد تمامًا الأسس التي يبني عليها Windows نفسه الأمن القادم.
على سبيل المثال ، ماذا لو سجلت ضغطات مفاتيح BitLocker الخاصة بك ، لذلك عرفت الآن كلمة المرور لإلغاء قفل جهاز الكمبيوتر بالكامل في المرة القادمة؟
والفكرة الكاملة لـ Secure Boot هي أنه يقول ، "حسنًا ، أي شيء لم يتم توقيعه رقميًا بواسطة مفتاح تم تحميله مسبقًا في جهاز الكمبيوتر الخاص بك (في ما يسمى وحدة النظام الأساسي الموثوق به) ، أي رمز يقدمه أي شخص ، سواء كان منظف شرير أو مدير تكنولوجيا معلومات حسن النية ، ببساطة لن يعمل.
على الرغم من أن مايكروسوفت تصنف فقط هذه الأخطاء مهم لأنهم ليسوا من مآثر تنفيذ التعليمات البرمجية عن بُعد التقليدية ، إذا كنت مستخدمًا لنظام التشغيل اليومي لنظام التشغيل Windows ، أعتقد أنني سأقوم بالتصحيح ، لو كان ذلك فقط لهؤلاء وحدهم.
DOUG لذا ، احصل على التصحيح الآن!
يمكنك أن تقرأ عن هذه العناصر المحددة على الأمن عارية، ومقال أوسع عن أخبار سوفوس يشرح بالتفصيل 97 من CVEs إجمالاً التي تم تصحيحها.
ودعونا نبقى في قطار التصحيح ، و نتحدث عن أبل، بما في ذلك بعض أيام الصفر يا بول.
Apple تصدر تصحيحات طارئة لعمليات الاستغلال على غرار برامج التجسس 0 - قم بالتحديث الآن!
بطة كانت هذه بالفعل أيام الصفر التي كانت الأشياء الوحيدة التي تم تصحيحها في هذا التحديث الخاص الذي أصدرته شركة Apple.
كما هو الحال دائمًا ، لا تقول Apple مقدمًا ما الذي ستفعله ، ولا تعطيك أي تحذير ، ولا تذكر من سيحصل على ماذا ومتى ...
... فقط في بداية عطلة عيد الفصح ، حصلنا على هذه التصحيحات التي غطت WebKit في اليوم صفر.
لذلك ، بعبارة أخرى ، فإن مجرد النظر إلى موقع ويب مفخخ يمكن أن يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد ، * و * كان هناك خطأ في النواة يعني أنه بمجرد قيامك بامتلاك تطبيق ما ، يمكنك بعد ذلك الحصول على النواة والاستيلاء عليها بشكل أساسي الجهاز بأكمله.
التي تفوح منها رائحة ، "مرحبًا ، تصفح إلى موقع الويب الخاص بي الجميل. يا عزيزي. الآن لدي برامج تجسس في جميع أنحاء هاتفك. وأنا لم أتحكم في متصفحك فقط ، لقد استحوذت على كل شيء ".
وبطريقة Apple الحقيقية ... في البداية ، كانت هناك تحديثات ضد كل من هذه الأخطاء لنظام macOS 13 Ventura (أحدث إصدار من macOS) ونظام التشغيل iOS و iPad OS 16.
كانت هناك إصلاحات جزئية - كانت هذه إصلاحات WebKit - للإصدارين الأقدم من macOS ، ولكن لا توجد تصحيحات للثغرة الأمنية على مستوى النواة.
ولم يكن هناك شيء على الإطلاق لنظامي التشغيل iOS و iPadOS 15.
هل هذا يعني أن الإصدارات القديمة من macOS لا تحتوي على خطأ kernel؟
هل لديهم خطأ النواة ، لكنهم لم يتم تصحيحهم بعد؟
هل iOS 15 محصن أم أنه يحتاج إلى تصحيح لكنهم لا يقولون؟
وبعد ذلك ، في أعقاب عطلة عيد الفصح ، [ضحك] فجأة ثلاثة تحديثات أخرى خرج يملأ كل القطع المفقودة.
لقد اتضح بالفعل أن جميع iOSes و iPadOSes المدعومة (وهما الإصداران 15 و 16) ، وجميع أنظمة macOS المدعومة (أي الإصدارات 11 و 12 و 13) تحتوي على كل من هذه الأخطاء.
والآن لديهم جميعًا رقعًا ضد كل منهما.
بالنظر إلى أن هذا الخطأ تم اكتشافه على ما يبدو من خلال مزيج من مختبر الأمن التابع لمنظمة العفو الدولية وفريق الاستجابة للتهديدات من Google ...
... حسنًا ، ربما يمكنك تخمين أنه تم استخدامه لبرامج التجسس في الحياة الواقعية.
لذلك ، حتى إذا كنت لا تعتقد أنك من النوع الذي من المحتمل أن يكون معرضًا لخطر هذا النوع من المهاجمين ، فإن ما يعنيه هو أن هذه الأخطاء ليست موجودة فحسب ، بل من الواضح أنها تعمل بشكل جيد في البرية .
لذا إذا لم تكن قد أجريت فحصًا للتحديث على جهاز Mac أو iDevice الخاص بك مؤخرًا ، فالرجاء القيام بذلك.
فقط في حالة فاتك.
DOUG OK!
كما نعلم ، تقوم شركات أبواب المرآب المتصلة بترميز أبواب المرآب هذه مع وضع الأمن السيبراني في الاعتبار.
لذلك ، إنه أمر مروع شيء من هذا القبيل حدث ، بول ...
هاك وادخل! أبواب المرآب "الآمنة" التي يمكن لأي شخص فتحها من أي مكان - ما تحتاج إلى معرفته
بطة نعم.
في هذه الحالة ، دوغ (وأشعر أنه من الأفضل أن نقول اسم العلامة التجارية: إنه Nexx) ، يبدو أنهم قدموا شكلاً خاصًا من أشكال الأمن السيبراني.
المصادقة الصفرية ، دوغ!
هذا هو المكان الذي تأخذ فيه شيئًا لا يُقصد نشره للعامة (على عكس عنوان البريد الإلكتروني أو حساب Twitter ، حيث تريد أن يعرفه الناس) ، لكن هذا ليس سرًا في الواقع.
لذلك ، قد يكون أحد الأمثلة هو عنوان MAC الخاص ببطاقتك اللاسلكية.
في هذه الحالة ، قاموا بإعطاء كل جهاز من أجهزتهم معرّف جهاز فريدًا من المفترض ...
... وإذا كنت تعرف ما هو معرف أي جهاز ، فسيتم احتساب ذلك على أنه اسم مستخدم وكلمة مرور ورمز تسجيل دخول ، كل ذلك دفعة واحدة.
DOUG [GROAN] هذا مناسب ...
بطة أكثر ملاءمة ، دوغ: هناك كلمة مرور مشفرة في البرامج الثابتة لكل جهاز.
DOUG أوه ، ها نحن ذا! [يضحك]
بطة [ضحك] بمجرد أن يعرف شخص ما كلمة المرور السحرية هذه ، فإنها تسمح له بتسجيل الدخول إلى نظام المراسلة السحابية الذي تستخدمه هذه الأجهزة حول العالم.
ما وجده الباحث الذي فعل هذا ، لأنه كان لديه أحد هذه الأجهزة ...
... اكتشف أنه بينما كان يراقب حركة المرور الخاصة به ، والتي ربما يتوقع أن يراها ، حصل على كل شخص آخر أيضًا ، بما في ذلك معرفات أجهزتهم.
DOUG [أكبر نذير] أوه ، يا إلهي!
بطة فقط في حالة عدم كفاية معرف الجهاز ، فقد تم أيضًا تضمين عنوان بريدك الإلكتروني والحرف الأول واسم عائلتك في بيانات JSON أيضًا.
فقط في حال لم تكن تعرف بالفعل كيفية إعادة الشخص إلى مكان إقامته.
لذلك ، يمكنك إما الذهاب إلى منزلهم وفتح مرآبهم ثم سرقة أغراضهم. (بالمناسبة ، يبدو أن هذا ينطبق أيضًا على أنظمة الإنذار في المنزل أيضًا ، لذا يمكنك إيقاف تشغيل المنبه قبل فتح باب المرآب.)
أو ، إذا كان لديك نية شريرة بما فيه الكفاية ، يمكنك فقط فتح أبواب مرآب الناس بشكل عشوائي أينما كانوا ، لأنه من الواضح أن هذا مسل للغاية. دوغ.
DOUG [ساخر] كان أقل ما يمكن أن يفعله هذا الباحث هو تنبيه الشركة ، على سبيل المثال ، قبل ثلاثة أشهر أو أكثر ، ومنحهم الوقت لإصلاح ذلك.
بطة نعم ، هذا أقل ما يمكن أن يفعله.
وهو بالضبط ما فعله.
وهذا هو السبب في النهاية ، بعد عدة أشهر (أعتقد أنه كان في يناير ، اتصل بهم لأول مرة ، ولم يتمكن من دفعهم إلى المضي قدمًا في هذا الأمر) ...
... في النهاية قال ، "سأقوم بنشر هذا علنًا."
لدعمه ، وضعت وكالة CISA الأمريكية [وكالة الأمن السيبراني وأمن البنية التحتية] نوعًا من APB على هذا القول ، "بالمناسبة ، فقط كما تعلمون ، هذه الشركة لا تستجيب ، ونحن لا أعرف ماذا تنصحك ".
حسنًا ، نصيحتي كانت ... فكر في استخدام مفاتيح مادية جيدة الطراز ؛ لا تستخدم التطبيق.
لكي نكون منصفين ، على الرغم من أن الباحث وصف طبيعة الأخطاء ، كما وصفتها لك هنا ، إلا أنه لم يقدم إثباتًا للمفهوم.
لم يكن الأمر كما لو أنه جعل الأمر سهلاً للغاية على الجميع.
لكنني أعتقد أنه شعر أنه كان عليه واجب رعاية الأشخاص الذين لديهم هذا المنتج ليعرفوا أنهم ربما يحتاجون أيضًا إلى الاعتماد على البائع.
DOUG حسنًا ، هذه قصة كلاسيكية "سنراقب هذا النوع من القصص".
وتذكير رائع في نهاية المقال ... تكتب ، كما تقول النكتة القديمة ، "إن S in IoT تعني الأمان" ، وهذا هو الحال إلى حد كبير.
بطة نعم ، لقد حان الوقت لوضع علامة S في إنترنت الأشياء ، أليس كذلك؟
لا أعرف عدد المرات التي سنروي فيها قصصًا مثل هذه عن أجهزة إنترنت الأشياء ... في كل مرة نقوم بذلك ، نأمل أن تكون هذه هي المرة الأخيرة ، أليس كذلك؟
كلمات مرور مشفرة.
أصبحت هجمات إعادة التشغيل ممكنة ، لأنه لا يوجد تفرد في التشفير في كل طلب.
تسريب بيانات الآخرين.
تضمين أشياء غير ضرورية في الطلبات والردود ... إذا كان لديك معرف الجهاز وتحاول تحديد الجهاز ، فلن تحتاج إلى إخبار الجهاز بعنوان البريد الإلكتروني لمالكه في كل مرة تريد فتح الباب!
إنه ليس ضروريًا ، وإذا لم تعطيه ، فلن يتسرب!
[IRONIC] لكن بخلاف ذلك ، دوج ، لا أشعر بقوة حيال ذلك.
DOUG [يضحك] حسنًا ، جيد جدًا.
قصتنا الأخيرة في ذلك اليوم ، ولكن ليس أقلها بالتأكيد.
الشركة المصنعة للوحة الأم MSI لديها بعض الشهادات المعتمدة صداع البرامج الثابتة مؤخرا.
اللاعبين الانتباه! تعترف شركة MSI المصنعة للوحة الأم بخرقها وإصدار تنبيه "البرامج الثابتة المارقة"
بطة نعم ، هذه قصة مروعة إلى حد ما.
يُزعم أن فريقًا من برامج الفدية يحمل اسم Money Message قد انتهك MSI ، صانعي اللوحات الأم. (إنها تحظى بشعبية كبيرة بين اللاعبين لأنها لوحات رئيسية قابلة للتعديل للغاية).
يزعم المجرمون أن لديهم كميات هائلة من البيانات التي سينتهكونها ما لم يحصلوا على المال.
لم يحصلوا على البيانات الفعلية على موقع التسريب الخاص بهم (على الأقل لم يحصلوا عليها عندما نظرت الليلة الماضية ، والذي كان قبل انتهاء الموعد النهائي بقليل) ، لكنهم يزعمون أن لديهم شفرة مصدر MSI.
إنهم يزعمون أن لديهم إطار العمل الذي تستخدمه MSI لتطوير ملفات BIOS أو البرامج الثابتة ، وبعبارة أخرى ، فإنهم يشيرون إلى أنهم حصلوا بالفعل على المعرفة الداخلية التي يحتاجونها ليتمكنوا من بناء البرامج الثابتة التي ستكون في الاتجاه الصحيح شكل.
ويقولون ، "أيضًا ، لدينا مفاتيح خاصة."
إنهم يدعوننا لاستنتاج أن هذه المفاتيح الخاصة ستسمح لهم بالتوقيع على أي برنامج ثابت محتال يقومون ببنائه ، وهو أمر مقلق للغاية بالنسبة لـ MSI ، الذين ذهبوا إلى حد ما في منتصف هذا الأمر.
اعترفوا بالخرق. لقد أفصحوا عنها للجهة المنظمة ؛ لقد أفصحوا عنها لإنفاذ القانون ؛ وهذا كل ما قالوه.
ما * فعلوه * هو تقديم نصيحة نوصيك بشدة باتباعها على أي حال ، أي إخبار عملائها:
احصل على تحديثات البرامج الثابتة أو BIOS فقط من موقع MSI الرسمي ، ولا تستخدم ملفات من مصادر أخرى غير الموقع الرسمي.
الآن ، نأمل ألا تذهب بعيدًا عن الزحلقة وتذهب للحصول على BLOBs للبرامج الثابتة المارقة على أي حال ... كما قال بعض المعلقين لدينا ، "ما الذي يعتقده الناس عندما يفعلون ذلك؟"
ولكن في الماضي ، إذا لم تتمكن من الحصول عليها من موقع MSI ، فيمكنك على الأقل الاعتماد على التحقق من صحة الشهادة الرقمية بنفسك إذا كنت تحب ذلك.
لذا أعتقد أنه يجب أن تقول ما تفعله عادة بشأن مشاهدة هذا الفضاء ، دوغ ...
DOUG دعونا نراقب هذا أيضًا!
وهو يطرح السؤال من أحد قرائنا (لم أكن لأقول ذلك بشكل أفضل بنفسي) حول قصة MSI ... يسأل بيتر:
هل تعذر على MSI إبطال الشهادة التي تم استخدامها لتوقيع الملفات؟
لذا ، حتى إذا قام شخص ما بتنزيل ملف تم اختراقه ، فهل سيفشل عندئذٍ في فحص الشهادة؟
أم أنها لا تعمل هكذا؟
بطة حسنًا ، إنها تعمل بهذه الطريقة في * النظرية * ، دوغ.
ولكن إذا بدأت بشكل أعمى في رفض أي شخص لديه بالفعل برنامج ثابت تم توقيعه بشهادة متوقفة الآن ، فإنك تخاطر ، بشكل أساسي ، بوجود أشخاص لديهم مثل "قفل مفاتيحهم في السيارة" ، إذا كنت تعرف ما أعني.
على سبيل المثال ، تخيل أنك تقول "حسنًا! على كل كمبيوتر في العالم اعتبارًا من الغد ، لن تعمل أي برامج MSI الثابتة الموقعة بهذا المفتاح والتي تم اختراقها (إذا كان المحتالون يقولون الحقيقة). سيكون عليك الحصول على واحدة جديدة ".
حسنًا ، كيف ستقوم بتشغيل جهاز الكمبيوتر الخاص بك للاتصال بالإنترنت للحصول على الجهاز الجديد؟ [يضحك]
DOUG [يضحك] مشكلة بسيطة!
بطة هناك مشكلة الدجاج والبيض.
وهذا لا ينطبق فقط على البرامج الثابتة ... إذا كنت سريعًا جدًا في منع وصول الجميع إلى الملفات الجديرة بالثقة ولكن تم توقيعها بشهادة أصبحت الآن غير جديرة بالثقة ، فأنت تخاطر بإلحاق ضرر أكبر من نفعها.
تحتاج إلى ترك القليل من فترة التداخل.
DOUG حسنًا ، سؤال ممتاز ، وإجابة ممتازة.
شكرا جزيلا لك يا بيتر لإرسال ذلك.
إذا كانت لديك قصة مثيرة للاهتمام أو تعليق أو سؤال ترغب في إرساله ، فنحن نحب قراءته في البودكاست.
يمكنك إرسال بريد إلكتروني إلى tips@sophos.com ، أو التعليق على أي من مقالاتنا ، أو يمكنك التواصل معنا على مواقع التواصل الاجتماعي:nakedsecurity.
هذا هو عرضنا لهذا اليوم. شكرا جزيلا على الاستماع.
بالنسبة لبول دوكلين ، أنا دوج آموث ، أذكرك حتى المرة القادمة بـ ...
على حد سواء كن آمنا!
[مودم موسيقي]
- محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
- بلاتوبلوكشين. Web3 Metaverse Intelligence. تضخيم المعرفة. الوصول هنا.
- المصدر https://nakedsecurity.sophos.com/2023/04/13/s3-ep130-open-the-garage-bay-doors-hal-audio-text/
