Websecurity - Веб безпека

У жовтні, 25.10.2011, через півтора місяці після виходу Google Chrome 14, вийшов Google Chrome 15.

В браузері зроблено ряд нововведень. А також виправлено 18 уразливостей, з яких 11 позначені як небезпечні, 3 - помірні і 4 - незначні. Серед уразливостей не відзначено критичних проблем, що дозволили б обійти всі рівні захисту браузера.

• Релиз web-браузера Chrome 15 (деталі)

В листопаді, 08.11.2011, вийшов Mozilla Firefox 8. Нова версія браузера вийшла через півтора місяця після виходу Firefox 7 та 7.0.1.

Mozilla офіційно представила реліз веб браузера Firefox 8.0. Це перший випуск у рамках нового скороченого циклу розробки, якому буде присвоєний статус реліза з продовженим терміном підтримки, що має на увазі випуск оновлень з виправленням проблем безпеки протягом 10 місяців. 17 листопада користувачам гілки Firefox 3.6.x було запропоновано провести оновлення до Firefox 8.0 у зв’язку зі швидким припиненням підтримки Firefox 3.6 (випуск оновлень планується припинити через 12 тижнів).

Випуск Firefox 9 очікується через 6 тижнів, наприкінці грудня, а Firefox 10 вийде на початку лютого. Крім того, також були випущені Firefox 3.6.24, Firefox 8 for Android, Seamonkey 2.5 і Thunderbird 8.0.

• Релиз Firefox 8, Thunderbird 8 и сопутствующих проектов Mozilla (деталі)

Окрім сервіса DNS Report для перевірки DNS серверів, viewdns.info пропонує інші сервіси для перевірки DNS. Це DNS Propagation Checker - онлайновий сервіс перевірки розповсюдження змін в DNS (на інші DNS сервера). Та DNSSEC Test - онлайновий сервіс перевірки чи використовує домен DNSSEC.

За допомогою сервіса DNS Propagation Checker ви можете перевірити розповсюдження змін, що ви зробили в налаштуваннях DNS, на інші DNS сервера по всьому світі.

За допомогою сервіса DNSSEC Test ви можете перевірити чи налаштоване використання DNSSEC (Domain Name System Security Extensions) на довільному домені.

Так само як і раніше згадані сервіси, даний онлайн інструмент від viewdns.info є безкоштовним.

В жовтні, 04.10.2011, вийшов Flash 11. В останній версії флеша (технології, плеєра і плагіна до браузерів) є багато нововедень, як це завжди має місце з виходом чергової версії флеша.

Навіть після виходу Flash 10, коли Adobe випустила minor версії 10.1, 10.2 і 10.3, вони містили деякі нововедення, окрім виправлення багів та урзаливостей, а в major версії традаційно багато нового функціоналу. Що, за заявою Адоб, має змінити контент, який ми бачимо в Мережі.

Серед нововведень є такі, що відносяться до безпеки. Це наступний функціонал:

• Adobe Flash Access content protection support for mobile.
• Secure random number generator.
• Protected HTTP Dynamic Streaming (HDS) and Flash Access enhancements.
• TLS secure sockets support (нове для Flash плеєра).

Продовжуючи тему тестування DNS серверів, після додатку DNSreport, пропоную вашій увазі новий онлайн сервіс для даної задачі. Це DNS Report - онлайновий сервіс перевірки DNS серверів. Це ще один публічний сервіс від viewdns.info, розробника Web-based port scanner, призначеного для перевірки відкритих портів.

На відміну від DNSreport від DNSstuff, DNS Report від viewdns.info є безкоштовним сервісом. Тому він не обмежений перевіркою лише декількох визначених доменів.

За допомогою даного сервіса можна перевірити стан DNS сервера вашого хостера. В результаті перевірки видається звіт про стан DNS сервера. Звіти даних двох сервісів доволі схожі, тому що перевіряються аналогічні параметри DNS серверів.

Існує така давно відома в галузі безпеки річ, як сканування портів. Для чого використовуються спеціальні додатки - сканери портів - на цю тему я вже писав раніше і радив почитати відповідну статтю. А зараз пропоную вам онлайн сервіс для перевірки відкритих портів на серверах в Інтернеті.

Web-based port scanner

Даний сервіс дозволяє перевірити лише обмежену кількість портів (13 найбільш поширених портів) і для повноцінної перевірки сервера потрібно буде мати власний сканер портів і скористатися ним. Але для швидкої перевірки хоста цього вистачить. До того ж дане обмеження зроблене для захисту від автоматизованого використання сервісу для сканування портів.

Єдине, чого не має даний сервіс - це повноцінного захисту від автоматизованих запитів (капчі). Й вищезгадане обмеження повністю не врятує його від автоматизованого використання для сканування портів довільних серверів. Що також може використовуватися для відправки запитів до довільних хостів для їх перенавантаження. Тобто на сайті viewdns.info мають місце Insufficient Anti-automation та Abuse of Functionality уразливості.

Продовжуючи тему антивірусів для сайтів, розповім вам про ще один подібний сервіс. Це WebMoney Advisor. В деякій мірі це ще один конкурент моїй Web VDS.

Сервіс WebMoney Advisor був створений багато років тому і мені давно про нього відомо. Але подібним сервісам я особливо не довіряю, які лише надають тулбари та не мають власного сканування, а лише з різних джерел визначають (і роблять це повільно) шкідливість того, чи іншого сайта. Тим не менше, розповім про нього.

Як зазначає WebMoney, їхній сервіс Advisor - це інструмент для оцінки ділової активності сайтів та захисту від шахрайських і шкідливих ресурсів. При цьому подібно до таких сервісів як McAfee SiteAdvisor, Norton Safe Web від Symantec та Web of Trust є можливість користувачам системи писати відгуки про сайти (тобто присутня соціальна складова).

Щоб скористатися даним сервісом, потрібно зайти на сайт, ввести адресу сайту в пошуковий рядок (або переглянути перелік сайтів за популярністю) та почитати детальну інформацію про сайт на сторінці з його описом. Де може бути вказана інформація про шкідливість конкретного сайта. Або можна скористатися плагіном WebMoney Advisor, що розроблений для багатьох браузерів (Internet Explorer, Mozilla Firefox, Opera та Google Chrome, а також існує букмарклет для інших браузерів).

Можете подитивитися на статистичну інформацію, що надає сервіс стосовно мого сайта:

http://advisor.wmtransfer.com/…?url=websecurity.com.ua

Продовжуючи тему тестування DNS серверів, після додатку Porkbind - сканера DNS серверів, пропоную вашій увазі новий онлайн сервіс для даної задачі. Це DNSreport від DNSstuff - онлайновий сервіс перевірки DNS серверів.

За допомогою даного сервіса можна перевірити стан DNS сервера вашого хостера. DNSreport - це платний сервіс і потрібно бути офіційним клієнтом компанії DNSstuff. Необхідно оплатити (на рік) послугу Professional Toolset, що включає DNSreport, Mail Server Test Center, Email Path Analyzer та ще більше 30 різних інструментів.

Але є безкоштовний DNSreport Demo. В демо версії можна провести перевірку лише семи визначених доменів, включаючи google.com. В результаті перевірки видається звіт про стан DNS сервера. Користь від демо версії в тому, що ви можете побачити які саме параметри DNS сервера перевіряються і в чому можуть бути проблеми (і відповідно перевірити дані параметри у власного сервера).

Продовжуючи тему тестування DNS серверів, після онлайн сервісу перевірки на DNS Poisoning, пропоную вашій увазі утіліту для даної задачі. Це Porkbind - відомий рекурсивний сканер уразливостей DNS серверів, що визначає версії неймсерверів і визначає, чи не використовуються застарілі версії, що вразливі до відомих уразливостей в DNS серверах.

Остання версія Porkbind 1.3. Цей сканер перевіряє 14 уразливостей в DNS, включаючи DNS Poisoning. Так що можете протестувати ваші DNS сервери.

Porkbind 1.3

Враховуючи, що сайт автора не працює, тому даю лінку на інший сайт, де можна скачати дану програму. Є чимало порталів з ПЗ, звідки можна скачати Porkbind.

Торік я писав про DNS Poisoning атаки і радив почитати відповідну статтю. А зараз пропоную вам онлайн сервіс для перевірки DNS серверів на предмет вразливості до DNS Poisoning атак.

DNS Nameserver Spoofability Test

Даний сервіс від Steve Gibson (так званий ISP DNS testing tool), презначений для перевіки DNS серверів вашого ISP на предмент уразливостей, в тому числі й DNS Poisoning. Також на сторінці Стіва Гібсона наводиться детальна інформація про атаки для підробки DNS серверів.

Під час тестування перевіряються всі DNS сервери, що використовуються браузером для доступу до сайта Стіва (DNS резолвери вашого Інтернет провайдера), які перевіряються на відомі уразливості. Після чого кожному з DNS серверів виставляється оцінка. Так що можете протестувати ваші DNS сервери.