Aşağıda müzik çalar yok mu? Dinlemek direkt olarak Soundcloud'da.

DOUG.  Acil bir Apple yaması, gaz aydınlatmalı bilgisayarlar ve NEDEN WINDOWS 7'Yİ KULLANMAYA DEVAM ETMİYORUM?

Hepsi ve daha fazlası Naked Security podcast'inde.

[MÜZİKAL MODEM]

Podcast'e hoş geldiniz millet.

Ben Doug Aamoth'um; o Paul Ducklin'dir.

Paul, nasılsın?

ÖRDEK.  Şey, biraz şaşırdım, Doug.

Windows 7'yi kullanmaya devam etme ihtiyacı konusunda çok dramatiksiniz!

DOUG.  Pek çok insan gibi ben de bu konuda kızgınım (şaka!) ve bunun hakkında birazdan konuşacağız.

Ama önce çok önemli bir Teknoloji Tarihinde Bu Hafta segmenti.

11 Temmuz 1976, bir zamanlar yaygın olan bir matematiksel hesaplama aracı için son nefesi verdi.

Tabii ki hesap cetvelinden bahsediyorum.

Üretilen son ABD modeli, bir Keuffel & Esser 4081-3, Smithsonian Enstitüsü'ne sunuldu ve matematiksel bir çağın sonunu işaret etti…

…Paul'ün favorisi HP-35 gibi bilgisayarlar ve hesap makineleriyle geçersiz kılınan bir dönem.

Paul, sanırım ellerinizde kan var, efendim.

ÖRDEK.  Hiç HP-35'im olmadı.

Birincisi, çok gençtim ve ikincisi, geldiklerinde tanesi 395 dolardı.

DOUG.  [GÜLER] Vay canına!

ÖRDEK.  Bu nedenle, Moore Yasası devreye girince fiyatların düşmesi birkaç yıl daha aldı.

Ve sonra insanlar artık sürgülü hesap cetvellerini kullanmak istemediler.

Babam bana eskisini verdi ve o şeye değer verdim çünkü harikaydı...

…ve size bir hesap cetvelinin size ne öğrettiğini anlatacağım, çünkü onu çarpma için kullandığınızda, temelde çarpmak istediğiniz iki sayıyı 1 ile 10 arasındaki sayılara çevirirsiniz ve sonra bunları birbiriyle çarparsınız.

Ve sonra ondalık noktanın nereye gittiğini bulmanız gerekir.

Bir sayıyı 100'e böldüyseniz ve diğerini 1000 ile çarparak menzile aldıysanız, sonunda 10 ile çarpmak için toplamda bir sıfır eklemeniz gerekir.

Yani, 7,000,000,000 gibi uzun sayıları yazdığınız elektronik hesap makinenizden aldığınız cevapların…

…gerçekten büyüklük sırasına sahip olup olmadığınızı, üs, değil mi?

Sürgülü cetveller ve onların basılı eşdeğerleri olan log tabloları, büyüklük sıralarını kafanızda nasıl yöneteceğiniz ve sahte sonuçları kolayca kabul etmemeniz konusunda size çok şey öğretti.

DOUG.  Hiç kullanmadım ama az önce tarif ettiğinizden kulağa çok heyecan verici geliyor.

Heyecanı devam ettirelim.

Firefox'ta geçen hafta serbest sürüm 115:

Firefox 115 çıktı, eski Windows ve Mac sürümlerinin kullanıcılarına veda ediyor

Okumak istediğim bir not eklemişler ve alıntı yapıyorum:

Ocak 2023'te Microsoft, Windows 7 ve Windows 8 desteğini sonlandırdı.

Sonuç olarak bu, Firefox'un söz konusu işletim sistemlerindeki kullanıcıların alacağı son sürümüdür.

Ve bu notlardan biri son sürüme her eklendiğinde, insanların çıkıp "Neden Windows 7'yi kullanmaya devam edemiyorum?"

Hatta Windows XP'nin gayet iyi olduğunu söyleyen bir yorumcumuz bile vardı.

Peki Paul, sevdikleri işletim sistemi sürümlerinden vazgeçmek istemeyen bu insanlara ne söylersin?

ÖRDEK.  Bunu ifade etmenin en iyi yolu, Doug, makalemiz hakkında daha bilgili yorum yapanların söylediklerini tekrar okumak.

Alex Fair yazıyor:

Bu sadece *senin* ne istediğinle ilgili değil, aynı zamanda nasıl kullanılıp sömürülebileceğin ve karşılığında başkalarına zarar verebileceğinle ilgili.

Ve Paul Roux oldukça hicivli bir şekilde şunları söyledi:

Neden insanlar bu konuda hala Windows 7 veya XP kullanıyor?

Bunun nedeni daha yeni işletim sistemlerinin kötü olmasıysa, neden Windows 2000 kullanmıyorsunuz?

Kahretsin, NT 4 o kadar harikaydı ki ALTI hizmet paketi aldı!

DOUG.  [GÜLER] 2000 *harikaydı* ama.

ÖRDEK.  Her şey seninle ilgili değil.

Bu, sisteminizin hatalar içermesi, dolandırıcıların nasıl yararlanacaklarını zaten bildikleri ve asla ama asla yamalanmayacakları gerçeğiyle ilgilidir.

Yani cevap şu ki, bazen sadece bırakman gerekir, Doug.

DOUG.  "Sevip de kaybetmek hiç sevmemekten iyidir" derler.

Microsoft konusuna devam edelim.

yama Salı, Paul, cömertçe verir.

Microsoft dört sıfır gün yaması yaptı ve sonunda suçlu çekirdek sürücülerine karşı harekete geçti

ÖRDEK.  Evet, her zamanki çok sayıda hata düzeltildi.

Bundan büyük haber, hatırlamanız gereken şeyler (ve hatırlayabileceğiniz iki makale var. go ve danışmak kanlı detayları öğrenmek istiyorsanız news.sophos.com'da)….

Sorunlardan biri, bu böceklerden dördünün vahşi, sıfır günlük, halihazırda sömürülmekte olan deliklerde olmasıdır.

Bunlardan ikisi güvenlik atlamalarıdır ve kulağa ne kadar önemsiz gelse de, görünüşe göre URL'leri tıklamakla veya e-postalarda normalde "Bunu yapmak istediğinizden gerçekten emin misiniz?"

Bu da pek çok kişinin istenmeyen bir hata yapmasını engelleyebilir.

Ve sabitlenmiş iki Ayrıcalık Yükseltmesi (EoP) deliği vardır.

Ayrıcalık Yükseltmesi, genellikle, dolandırıcıların en başta içeri girmek için bu hatayı kullandığı Uzaktan Kod Yürütme'den daha önemsiz görülse de, EoP ile ilgili sorunun halihazırda ağınızda "niyetle dolaşan" dolandırıcılarla ilgisi vardır. .

Sanki kendilerini bir otel lobisinde misafir olmaktan, aniden ve sihirli bir şekilde oteldeki tüm odalara erişim sağlayan süper gizli, sessiz bir hırsıza yükseltebilirler.

Yani bunlar kesinlikle izlenmeye değer.

Ve özel bir Microsoft güvenlik danışma belgesi var…

…birkaç tane var; dikkatinizi çekmek istediğim ADV23001'dir, bu da temelde Microsoft'un "Hey, Sophos araştırmacılarının bize, çağdaş Windows'un bile hemen çözemeyeceği, imzalı çekirdek sürücüleriyle devam eden bir sürü rootkittery bulduklarını bildirdiklerini hatırlayın. kullanım için onaylandıklarından dolayı yüklemiyorlar mı?

Sanırım sonunda 100'den fazla imzalı sürücü vardı.

Bu danışma belgesindeki harika haber, tüm bu aylar sonra Microsoft'un nihayet "Tamam, bu sürücülerin yüklenmesini durduracağız ve otomatik olarak engellemeye başlayacağız" demesidir.

[İRONİK] Bu sürücülerin en azından bir kısmı, donanım kalitesi programlarının bir parçası olarak Microsoft'un kendisi tarafından gerçekten imzalandığında, bu sürücülerin oldukça büyük olduğunu düşünüyorum. [GÜLER]

Dediğim gibi, hikayenin arkasındaki hikayeyi bulmak istiyorsanız, sadece news.sophos.com'a gidin ve “sürücüler".

Microsoft, Yama Salı Ayırmasında Kötü Amaçlı Sürücüleri İptal Ediyor

DOUG.  Mükemmel.

Pekala, sıradaki hikaye… Pek çok nedenden dolayı bu başlık ilgimi çekiyor: Rowhammer, bilgisayarınızı aydınlatmak için geri dönüyor.

Ciddi Güvenlik: Rowhammer, bilgisayarınızı aydınlatmak için geri döndü

Paul, bana bundan bahset…

[PETER GABRIEL'İN “BALYAY” MÜZİĞİNE] Anlat bana…

HER İKİSİ DE.  [ŞARKI SÖYLÜYOR] Kürek Çekici!

DOUG.  [GÜLER] Çivilendi!

ÖRDEK.  Devam et, şimdi riff'i yapmalısın.

DOUG.  [BİR SENTEZİCİYİ SENTEZLEMEK] Doodly-doo da doo, doo do doo.

ÖRDEK.  [ETKİLENDİ] Çok iyi, Doug!

DOUG.  Teşekkür ederim.

ÖRDEK.  Bunu geçmişten hatırlamayanlar: "Rowhammer", bellek bitlerinin (birler ve sıfırlar) modern DRAM'de depolandığı kapasitörlerin veya dinamik rasgele erişimli bellek yongalarının çok yakın olduğunu hatırlatan jargon adıdır. birlikte…

Bunlardan birine yazdığınızda (aslında kondansatörleri bir seferde satırlar halinde okumanız ve yazmanız gerekir, yani “çekiç”), bunu yaptığınızda, satırı okuduğunuz için kondansatörleri boşaltmış olursunuz.

Yaptığınız tek şey anıya bakmak olsa bile, eski içeriği geri yazmanız gerekir, yoksa sonsuza dek kaybolurlar.

Bunu yaptığınızda, bu kapasitörler çok küçük ve birbirine çok yakın olduğundan, komşu sıraların birindeki veya her ikisindeki kapasitörlerin değerlerini değiştirme olasılığı çok düşüktür.

Artık buna DRAM deniyor çünkü statik RAM veya flash bellek gibi süresiz olarak şarjını tutmuyor (flash bellekle gücü bile kapatabilirsiniz ve orada ne olduğunu hatırlayacaktır).

Ancak DRAM ile, saniyenin onda biri kadar sonra, temel olarak, tüm bu küçük kapasitörlerdeki yükler dağılmış olacaktır.

Bu yüzden her zaman yeniden yazmaya ihtiyaç duyarlar.

Ve süper hızlı yeniden yazarsanız, aslında çevirmek için yakındaki bellekteki bitleri alabilirsiniz.

Tarihsel olarak, bunun bir sorun olmasının nedeni, eğer bellek hizalaması ile oynayabilirseniz, hangi bitlerin ters döneceğini tahmin edemeseniz bile, bellek dizinleri, sayfa tabloları gibi şeyleri karıştırabilmenizdir. veya çekirdeğin içindeki veriler.

Yaptığınız tek şey bellekten okumak olsa bile, çünkü o belleğe çekirdeğin dışında ayrıcalıksız erişiminiz var.

Ve bugüne kadarki kürekli çekiç saldırılarının odaklanma eğiliminde olduğu şey de buydu.

Şimdi, Davis'teki California Üniversitesi'nden bu araştırmacıların yaptığı şey şuydu: "Pekala, bit-flip modellerinin, ne kadar sözde rasgele olsalar da, farklı çip satıcıları için tutarlı olup olmadığını merak ediyorum."

Kulağa bir nevi "süper kurabiye" gibi geliyor, değil mi?

Bir dahaki sefere bilgisayarınızı tanımlayan bir şey.

Ve aslında, araştırmacılar daha da ileri gittiler ve bireysel yongaların… veya bellek modüllerinin (genellikle üzerlerinde birkaç DRAM yongası vardır), DIMM'lerin, örneğin masaüstü bilgisayarınızdaki yuvalara takabileceğiniz çift sıralı bellek modüllerinin ve bazı dizüstü bilgisayarlarda.

Aslında, bit çevirme modellerinin bir tür iris taramasına veya bunun gibi bir şeye dönüştürülebileceğini keşfettiler, böylece daha sonra yeniden kürek çekme saldırısı yaparak DIMM'leri tanıyabileceklerdi.

Başka bir deyişle, tarayıcı çerezlerinizi temizleyebilirsiniz, yüklediğiniz uygulamaların listesini değiştirebilirsiniz, kullanıcı adınızı değiştirebilir, yepyeni bir işletim sistemini yeniden yükleyebilirsiniz, ancak teorik olarak bellek yongaları size uzak.

Ve bu durumda, fikir şu: süper kurabiyeler.

Çok ilginç ve okumaya değer.

DOUG.  Harika!

Haber yazmakla ilgili bir başka şey, Paul: Sen iyi bir haber yazarısın ve buradaki fikir, okuyucuyu hemen cezbetmek.

Bu nedenle, bir sonraki makalenin ilk cümlesinde şöyle diyorsunuz: "Saygıdeğer Ghostscript projesini duymamış olsanız bile, onu bilmeden kullanmış olabilirsiniz."

İlgimi çekti, çünkü başlık şu: Ghostscript hatası, hileli belgelerin sistem komutlarını çalıştırmasına izin verebilir.

Ghostscript hatası, hileli belgelerin sistem komutlarını çalıştırmasına izin verebilir

Bana daha fazlasını anlat!

ÖRDEK.  Ghostscript, Adobe'nin PostScript ve PDF dillerinin ücretsiz ve açık kaynaklı bir uygulamasıdır.

(PostScript'i duymadıysanız, PDF bir nevi “PostScript Yeni Nesil”dir.)

Aygıta hangi piksellerin açılacağını söylemeden yazdırılan bir sayfanın veya bilgisayar ekranında bir sayfanın nasıl oluşturulacağını açıklamanın bir yoludur.

“Buraya kare çizin; buraya üçgen çizin; bu güzel yazı tipini kullanın.”

Yazıcılar ve ekranlar gibi şeyler üzerinde cihazdan bağımsız kontrol sağlayan başlı başına bir programlama dilidir.

Ve Ghostscript, dediğim gibi, tam da bunu yapmak için ücretsiz ve açık kaynaklı bir araçtır.

Ve bir tasarım şirketinden alabileceğiniz gibi, EPS (Encapsulated PostScript) dosyaları gibi şeyleri içe aktarmanın bir yolu olarak tam olarak bu aracı kullanan çok sayıda başka açık kaynaklı ürün vardır.

Farkında olmadan Ghostscript'e sahip olabilirsiniz - temel sorun budur.

Ve bu küçük ama gerçekten sinir bozucu bir hataydı.

Sahte bir belgenin "Bir çıktı oluşturmak istiyorum ve onu XYZ dosya adına koymak istiyorum" gibi şeyler söyleyebildiği ortaya çıktı.

Ancak, dosya adının başına koyarsanız, %pipe%, ve *ardından* dosya adı…

…bu dosya adı, Ghostscript'in çıktısını "işlem hattı" olarak adlandırılan şekilde işleyecek, çalıştırılacak bir komutun adı haline gelir.

Bu, tek bir hata için uzun bir hikaye gibi gelebilir, ancak bu hikayenin önemli kısmı, bu sorunu çözdükten sonra: "Oh, hayır! Dosya adı karakterlerle başlıyorsa dikkatli olmalıyız. %pipe%, çünkü bu aslında bunun bir dosya adı değil, bir komut olduğu anlamına gelir.

Bu, uzaktan kod yürütülmesine neden olabileceğinden tehlikeli olabilir.

Bu yüzden o hatayı yamaladılar ve sonra biri fark etti ki, "Biliyor musun, böcekler genellikle çiftler halinde veya gruplar halinde gider."

Ya aynı kod bitinde başka bir yerde benzer kodlama hataları ya da orijinal hatayı tetiklemenin birden fazla yolu.

İşte o zaman Ghostscript Komut Dosyası ekibinden biri şunu fark etti: "Biliyor musun, yazmalarına da izin verdik. | [dikey çubuk, yani “boru” karakteri] boşluk-komut adı da, bu yüzden onu da kontrol etmemiz gerekiyor.”

Yani bir yama vardı, ardından yamadan yamaya.

Ve bu, programlama ekibi açısından mutlaka bir kötülük işareti değildir.

Bu aslında asgari miktarda işi yapıp imzalamadıklarının ve sizi diğer böcekle acı çekmeye ve vahşi doğada bulunana kadar beklemeye bırakmadıklarının bir işaretidir.

DOUG.  Ve böcekler hakkında konuşmamızın bittiğini düşünmeyin diye, oğlum, senin için bir serserimiz var mı?

Acil bir Apple yaması ortaya, ve sonra ortaya çıkmamışve sonra Apple bir nevi/bir nevi yorum yaptı, bu da yukarının aşağı ve solun sağ olduğu anlamına geliyor, Paul.

Acil! Apple, iPhone'larda, iPad'lerde ve Mac'lerde kritik sıfır gün deliğini düzeltir

ÖRDEK.  Evet, biraz hatalar komedisi.

Neredeyse, ama tam olarak değil, bu konuda Apple için üzülüyorum…

…ama mümkün olduğu kadar az şey söylemekteki ısrarları nedeniyle (hiçbir şey söylemediklerinde), bunun kimin suçu olduğu hala tam olarak belli değil.

Ama hikaye şöyle devam ediyor: “Oh hayır! Safari'de, WebKit'te (iPhone'unuzdaki her tarayıcıda ve Mac'inizdeki Safari'de kullanılan tarayıcı motoru) bir 0 gün var ve görünüşe göre dolandırıcılar/casus yazılım satıcıları/birisi bunu büyük kötülük için kullanıyor.”

Başka bir deyişle, "bak-ve-pwned" veya "drive-by kurulum" veya "sıfır tıklama bulaşması" veya buna ne demek isterseniz.

Yani Apple, bildiğiniz gibi artık bu Hızlı Güvenlik Yanıtı sistemine (en azından en son iOS, iPadOS ve macOS için) sahiptir ve burada hiçbir zaman eski sürüme geçemeyeceğiniz tamamen yeni bir sürüm numarasıyla tam bir sistem yükseltmesi oluşturmak zorunda kalmazlar. itibaren, her 0 gün olduğunda.

Böylece Hızlı Güvenlik Yanıtları.

Bunlar işe yaramazsa sonradan kaldırabileceğiniz şeylerdir.

Diğer bir şey ise, genellikle çok küçük olmalarıdır.

Harika!

Sorun şu ki... görünüşe göre bu güncellemeler yeni bir sürüm numarası almadığından Apple, Rapid Security Response'u zaten yüklediğinizi göstermenin bir yolunu bulmak zorunda kaldı.

Yani yaptıkları şey, iOS 16.5.1 gibi sürüm numaranızı almanız ve ardından bir boşluk karakteri ve ardından (a).

Ve sokaktaki söz, bazı web sitelerinin (isimlerini vermeyeceğim çünkü bunların hepsi söylenti)…

…onu incelerken User-Agent içeren Safari'deki dize (a) sadece bütünlük için, gitti: “Whoooooa! ne (a) sürüm numarasında mı yapıyorsun?

Bu nedenle, bazı kullanıcılar bazı sorunlar bildiriyordu ve görünüşe göre Apple çekti Güncelleme.

Apple sessizce en son sıfır gün güncellemesini çekiyor - şimdi ne olacak?

Ve sonra, bir sürü kafa karışıklığından ve Naked Security hakkında başka bir makaleden sonra ve kimsenin neler olup bittiğini tam olarak bilmemesinin ardından... [GÜLER]

…Apple nihayet yamayı gerçekten hazırlamadan önce ürettikleri ve normalde yapmadıkları bir güvenlik bülteni olan HT21387'yi yayınladı.

Ama neredeyse hiçbir şey söylememekten daha kötüydü, çünkü “Bu sorun nedeniyle Hızlı Güvenlik Müdahalesi” dediler. (b) yakında bu sorunu çözmek için hazır olacak.”

Ve bu kadar. [Kahkahalar]

Sorunun ne olduğunu tam olarak söylemiyorlar.

Aşağı olup olmadığını söylemiyorlar User-Agent dizeler çünkü, eğer öyleyse, sorun Apple'ın kendisinden çok diğer uçtaki web sitesinde olabilir mi?

Ama Apple söylemiyor.

Bu yüzden onların hatası mı, web sunucusunun hatası mı yoksa her ikisi de mi bilmiyoruz.

Ve sadece "yakında" diyorlar, Doug.

DOUG.  Bu, okuyucu sorumuzu getirmek için iyi bir zaman.

Bu Apple hikayesinde okuyucu JP soruyor:

Web sitelerinin tarayıcınızı neden bu kadar çok denetlemesi gerekiyor?

Çok meraklı ve işleri yapmanın eski yollarına dayanıyor.

Buna ne dersin Paul?

ÖRDEK.  Bu soruyu ben de merak ettim ve aramaya başladım, "Bununla ne yapman gerekiyor? User-Agent Teller?"

Süper zeki olmaya çalıştıkları web siteleri için biraz kalıcı bir sorun gibi görünüyor.

Bu yüzden MDN'ye gittim (eskiden, sanırım, Mozilla Geliştirici Ağı, ancak artık bir topluluk sitesidir), en iyi kaynaklardan biri olan “HTTP üstbilgileri ne olacak? HTML'den ne haber? Peki ya JavaScript? Peki ya CSS? Bunların hepsi nasıl bir araya geliyor?

Ve tavsiyeleri oldukça basit bir şekilde, "Lütfen millet, şuna bakmayı bırakın. User-Agent sicim. Sadece kendi sırtınız için bir çubuk ve diğer herkes için bir sürü karmaşıklık yaratıyorsunuz.

Peki siteler neden bakar? User-Agent?

[WRY] Sanırım yapabildikleri için. [Kahkahalar]

Bir web sitesi oluştururken kendinize şunu sorun: "Neden bu tavşan deliğine giriyorum ve bir yerlerdeki tuhaf bir dizeye dayanarak farklı bir yanıt verme yöntemine sahibim? User-Agent? "

Bunun ötesini düşünmeye çalışın ve hayat hepimiz için daha kolay olacaktır.

DOUG.  Pekala, çok felsefi!

Bunu gönderdiğin için teşekkürler JP.

İletmek istediğiniz ilginç bir hikayeniz, yorumunuz veya sorunuz varsa, podcast'te okumayı çok isteriz.

Tips@sophos.com'a e-posta gönderebilir, makalelerimizden herhangi biri hakkında yorum yapabilir veya sosyal ağlarda bize ulaşabilirsiniz: @nakedsecurity.

Bugünkü programımız bu; dinlediğiniz için çok teşekkürler.

Paul Ducklin için, ben Doug Aamoth, size şunu hatırlatıyorum: Bir dahaki sefere kadar…

HER İKİSİ DE.  Güvende kalın!

[MÜZİKAL MODEM]