Siguri

Black Hat do të fokusohet në kërcënimet e reja të webit

Apr 11 2010
0 Shpërndarje
Black Hat do të fokusohet në kërcënimet e reja të webit

Shefi i sigurisë së Facebook, Max Kelly, pritet që të mbajë një fjalim prezantues në mëngjesin e ditës së mërkurë ndërsa në dy ditët e para të javës ai gjithashtu do të ofrojë sesione trajnimi. Ditët e fundit të konferencës do të fokusohen në informime që veçohen me hulumtime në një llojllojshmëri kërcënimesh të pranishme në internet dhe lëshime në aplikacione.

Një prej këtyre prezantimeve do të fokusohet në një mënyrë për të futur një derë të pasme në aplikacionet ERP (Enterprise Resoruce Planing) të SAP. Softueri biznesor i SAP është shpesh bërthama e operimeve të një kompanie dhe përdoret për të menaxhuar faturat, resurset humane, prokurimin dhe pagesat, si dhe shumë funksione tjera.

Softuer i SAP përdorë databaza nga kompani si Oracle, tha Mariano Nunez Di Croce, drejtor i hulumtimit dhe zhvillimit për Onapsis, një kompani që fokusohet në testimet e penetrimit për sistemet SAP dhe aplikacione tjera të ndërmarrjeve si PeopleSoft dhe JD Edwards  të Oracle.

Shumë kompani nuk konfigurojnë si duhet databazat e Oracle, gjë që e bënë sistemin SAP të rrezikuar ndaj një sulmi.

“Çfarë kemi gjetur është se është e mundur që në vend të modifikimit të programit ju mund të lidheni në databazë dhe të modifikoni kodin drejtpërsëdrejti në databazë”, tha Nunez Di Corce.

Problemi me databazat e SAP dhe Oracle ka qenë i njohur para pak vitesh, megjithëse së fundi Nunez Di Corce gjeti një mënyrë sesi të vendos një derë të pasme në një program në databazë që më pas mund të dërgojë të dhëna tek një haker i largët. Pasi që databazat e Oracle nuk bëjnë një kontroll të integritetit të kodit burimor, sulmi do të ishte i vështirë për tu detektuar.

Kjo do t’i mundësonte një sulmues, që për shembull të përcjellë tutje të gjitha informatat e ndërlidhura me një llogari të një konsumatori të ri. Gjithashtu kjo do t’i mundësonte një hakeri që të modifikojë dërgesat e porosive apo të mbledh detaje të kyçjeve kur punëtoret kyçen në sistemin SAP.

“Është e jashtëzakonshme të shikosh sa konsumatorë me përvojë të SAP nuk kanë ditur për këtë lëshim” tha Nunez Di Corce.

Për të shëruar këtë, kompania e Nunez Di Corce planifikon që më vonë gjatë këtij muaji të paraqes një vegël që do të kontrollojë sigurinë e aplikacioneve përbrenda databazës, duke siguruar se ato nuk janë ngacmuar. Vegla quhet Onapsis Integrity Analyzer për SAP.

Sipas orarit të konferencës, do të ketë edhe dy fokusime tjera kryesore në çështje të sigurisë, ku njëri fokusohet në “imazhin e madh” dhe tjetri në sigurinë e harduerit.

Në prezantimin e imazhit të madh, Stephan Chenette, drejtor i hulumtimeve të sigurisë për Websense Security Labs, do të ofrojë një prezantim rreth një projekti të quajtur Fireshark. Projekti tenton që të drejtojë në nivel të duhur mbledhjen e informatave në qindra e mijëra web faqe që përmbajnë kod të dëmshëm dhe që janë dizajnuar që të sulmojnë vizitorët e paditur.

Fireshark “është në gjendje që të vizitojë koleksione të mëdha të web faqeve në çfarëdo kohe, duke ekzekutuar, ruajtur dhe analizuar mbajtjen dhe prej saj duke identifikuar qindra ekosisteme të dëmshme” shkroi Chenette në web faqen e Black Hat.

Lajmet e fundit>