Websecurity - Веб безпека

У грудні, 13.12.2011, через півтора місяці після виходу Google Chrome 15, вийшов Google Chrome 16.

В браузері зроблено ряд нововведень. А також виправлено 15 уразливостей, з яких 6 позначені як небезпечні, 7 - помірні і 2 - незначні. Серед уразливостей не відзначено критичних проблем, що дозволили б обійти всі рівні захисту браузера.

• Релиз web-браузера Chrome 16 (деталі)

Окрім сервісів для роботи з DNS серверами, Reverse IP Lookup та інших сервісів, про які я писав раніше, viewdns.info пропонує інші онлайн сервіси. Зокрема це IP Location Finder - сервіс для пошуку географічної інформації, та Domain / IP Whois Lookup - whois-сервіс.

За допомогою онлайнового сервіса IP Location Finder можна по IP визначити географічну інформацію, таку як місто, zip-код, країну, широту та довготу.

За допомогою онлайнового сервіса Domain / IP Whois Lookup можна по доменному імені або IP визначити всю інформацію про власника домена або IP. Тобто виводить дані з whois-серверів.

Так само як і раніше згадані сервіси, дані онлайн інструменти від viewdns.info є безкоштовними.

Окрім сервісів для роботи з DNS серверами та сканування портів, про які я писав раніше, viewdns.info пропонує інші сервіси. Зокрема це Reverse IP Lookup - сервіс для зворотнього пошуку IP.

За допомогою онлайнового сервіса Reverse IP Lookup можна по доменному імені або по IP визначити які ще домени (сайти) розміщені на даному хості. Що може бути дуже корисно в деяких випадках (зокрема при аудиті чи пентесті).

Так само як і раніше згадані сервіси, даний онлайн інструмент від viewdns.info є безкоштовним.

В Інтернеті є чимало сайтів, що надають подібний сервіс. Але цей сервіс, як й інші, що мені траплялися, працює недостатньо ефективно і знаходить мало сайтів на хостах, зокрема на Shared Hosting серверах, на яких розміщено багато сайтів. Я сам вже багато років планую зробити власний сервіс для визначення всіх сайтів на хості (при цьому я планую зробити власний онлайн сервіс більш ефективним ніж аналогічні існуючі сервіси).

В листопаді, 21.11.2011, вийшов Mozilla Firefox 8.0.1. Нова версія браузера вийшла майже через два тижні після виходу Firefox 8.

Нова версія позиціонується розробниками як баг-фікс випуск, тобто без секюріті виправлень. Але я вважаю, що дана версія містить виправлення, які покращують безпеку браузера.

В даній версії зроблені наступні виправлення:

• Виправлене вибивання в Mac OS X, що виникало в деяких випадках, коли завантажений аплет Java при інстальованій Java SE 6 версії 1.6.0_29.
• Виправлене вибивання при запуску в Windows, що спричинене версіями RoboForm старіше ніж 7.6.2.

Якщо другу проблему можна віднести до бага (що не можна використати для атаки), то перша проблема - це вже DoS уразливість через аплет Java (що можна використати для атаки).

У жовтні, 25.10.2011, через півтора місяці після виходу Google Chrome 14, вийшов Google Chrome 15.

В браузері зроблено ряд нововведень. А також виправлено 18 уразливостей, з яких 11 позначені як небезпечні, 3 - помірні і 4 - незначні. Серед уразливостей не відзначено критичних проблем, що дозволили б обійти всі рівні захисту браузера.

• Релиз web-браузера Chrome 15 (деталі)

В листопаді, 08.11.2011, вийшов Mozilla Firefox 8. Нова версія браузера вийшла через півтора місяця після виходу Firefox 7 та 7.0.1.

Mozilla офіційно представила реліз веб браузера Firefox 8.0. Це перший випуск у рамках нового скороченого циклу розробки, якому буде присвоєний статус реліза з продовженим терміном підтримки, що має на увазі випуск оновлень з виправленням проблем безпеки протягом 10 місяців. 17 листопада користувачам гілки Firefox 3.6.x було запропоновано провести оновлення до Firefox 8.0 у зв’язку зі швидким припиненням підтримки Firefox 3.6 (випуск оновлень планується припинити через 12 тижнів).

Випуск Firefox 9 очікується через 6 тижнів, наприкінці грудня, а Firefox 10 вийде на початку лютого. Крім того, також були випущені Firefox 3.6.24, Firefox 8 for Android, Seamonkey 2.5 і Thunderbird 8.0.

• Релиз Firefox 8, Thunderbird 8 и сопутствующих проектов Mozilla (деталі)

Окрім сервіса DNS Report для перевірки DNS серверів, viewdns.info пропонує інші сервіси для перевірки DNS. Це DNS Propagation Checker - онлайновий сервіс перевірки розповсюдження змін в DNS (на інші DNS сервера). Та DNSSEC Test - онлайновий сервіс перевірки чи використовує домен DNSSEC.

За допомогою сервіса DNS Propagation Checker ви можете перевірити розповсюдження змін, що ви зробили в налаштуваннях DNS, на інші DNS сервера по всьому світі.

За допомогою сервіса DNSSEC Test ви можете перевірити чи налаштоване використання DNSSEC (Domain Name System Security Extensions) на довільному домені.

Так само як і раніше згадані сервіси, даний онлайн інструмент від viewdns.info є безкоштовним.

В жовтні, 04.10.2011, вийшов Flash 11. В останній версії флеша (технології, плеєра і плагіна до браузерів) є багато нововедень, як це завжди має місце з виходом чергової версії флеша.

Навіть після виходу Flash 10, коли Adobe випустила minor версії 10.1, 10.2 і 10.3, вони містили деякі нововедення, окрім виправлення багів та урзаливостей, а в major версії традаційно багато нового функціоналу. Що, за заявою Адоб, має змінити контент, який ми бачимо в Мережі.

Серед нововведень є такі, що відносяться до безпеки. Це наступний функціонал:

• Adobe Flash Access content protection support for mobile.
• Secure random number generator.
• Protected HTTP Dynamic Streaming (HDS) and Flash Access enhancements.
• TLS secure sockets support (нове для Flash плеєра).

Продовжуючи тему тестування DNS серверів, після додатку DNSreport, пропоную вашій увазі новий онлайн сервіс для даної задачі. Це DNS Report - онлайновий сервіс перевірки DNS серверів. Це ще один публічний сервіс від viewdns.info, розробника Web-based port scanner, призначеного для перевірки відкритих портів.

На відміну від DNSreport від DNSstuff, DNS Report від viewdns.info є безкоштовним сервісом. Тому він не обмежений перевіркою лише декількох визначених доменів.

За допомогою даного сервіса можна перевірити стан DNS сервера вашого хостера. В результаті перевірки видається звіт про стан DNS сервера. Звіти даних двох сервісів доволі схожі, тому що перевіряються аналогічні параметри DNS серверів.

Існує така давно відома в галузі безпеки річ, як сканування портів. Для чого використовуються спеціальні додатки - сканери портів - на цю тему я вже писав раніше і радив почитати відповідну статтю. А зараз пропоную вам онлайн сервіс для перевірки відкритих портів на серверах в Інтернеті.

Web-based port scanner

Даний сервіс дозволяє перевірити лише обмежену кількість портів (13 найбільш поширених портів) і для повноцінної перевірки сервера потрібно буде мати власний сканер портів і скористатися ним. Але для швидкої перевірки хоста цього вистачить. До того ж дане обмеження зроблене для захисту від автоматизованого використання сервісу для сканування портів.

Єдине, чого не має даний сервіс - це повноцінного захисту від автоматизованих запитів (капчі). Й вищезгадане обмеження повністю не врятує його від автоматизованого використання для сканування портів довільних серверів. Що також може використовуватися для відправки запитів до довільних хостів для їх перенавантаження. Тобто на сайті viewdns.info мають місце Insufficient Anti-automation та Abuse of Functionality уразливості.