Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Company / Google

Google

Google Cloud Ternyata Memiliki Masalah Keamanan Bahkan Firewall Tidak Bisa Berhenti

by

Kesalahan konfigurasi di Google Cloud Platform telah ditemukan yang dapat memberi pelaku ancaman kontrol penuh atas titik akhir mesin virtual (VM) target, kata para peneliti.

Dalam posting blog yang diterbitkan oleh pakar respons insiden cloud Mitiga, perusahaan mencatat bahwa dengan menggunakan fitur sistem yang sah, penyerang potensial dapat membaca dan menulis data dari VM yang secara teori dapat mengakibatkan pengambilalihan sistem secara lengkap.

Mitiga menekankan bahwa ini bukan kerentanan, atau kesalahan sistem – ini digambarkan sebagai “fungsi yang berbahaya”.

Mitiga mencatat bahwa pelaku ancaman dapat menggunakan API metadata yang terbuka, bernama “getSerialPortOutput”, yang biasanya melacak dan membaca kunci pada port serial.

Para peneliti menggambarkan panggilan API sebagai “metode lama dari sistem debugging”, karena port serial bukanlah port dalam pengertian TCP/UP, melainkan file dalam bentuk /dev/ttySX, mengingat ini adalah Linux.

Setelah mengungkapkan temuan ke Google, perusahaan setuju bahwa kesalahan konfigurasi dapat digunakan untuk melewati pengaturan firewall. Mitiga menyarankan Google mengubah dua hal dalam fungsi getSerialPortOutput – membatasi penggunaannya hanya untuk akun dengan izin tinggi, dan mengizinkan perusahaan untuk menonaktifkan penambahan atau perubahan metadata Compute VM saat runtime.

Selain itu, perusahaan merekomendasikan Google untuk merevisi dokumentasi GCP-nya, untuk lebih memperjelas bahwa firewall dan kontrol akses jaringan lainnya tidak sepenuhnya membatasi akses ke VM.

Sumber: TechRadar

Google Merilis Pembaruan Keamanan untuk Chrome

by

Google mengumumkan pembaruan keamanan pada situs resminya dihari rabu, 11 mei. Versi baru Chrome ini adalah 101.0.4951.64 dan tersedia untuk Windows, Mac dan Linux yang akan diluncurkan dalam beberapa hari/minggu mendatang.

Pembaruan ini mencakup 13 perbaikan keamanan, 8 diantaranya dinilai sebagai tingkat “tinggi” yang merupakan kerentanan yang dapat dieksploitasi oleh penyerang untuk mengendalikan sistem yang terpengaruh.

[$5000][1316990] CVE-2022-1633 Tinggi: Gunakan setelah gratis di Sharesheet. Dilaporkan oleh Khalil Zhani pada 2022-04-18

[$3000][1314908] CVE-2022-1634 Tinggi: Gunakan setelah gratis di UI Browser. Dilaporkan oleh Khalil Zhani pada 2022-04-09

[$3000][1319797] CVE-2022-1635 Tinggi: Gunakan setelah gratis di Permintaan Izin. Dilaporkan oleh Anonymous pada 2022-04-26

[$NA][1297283] CVE-2022-1636 Tinggi: Gunakan setelah gratis di Performance API. Dilaporkan oleh Seth Brenith, Microsoft pada 2022-02-15

[$TBD][1311820] CVE-2022-1637 Tinggi: Implementasi yang tidak tepat dalam Konten Web. Dilaporkan oleh Alesandro Ortiz pada 2022-03-31

[$TBD][1316946] CVE-2022-1638 Tinggi: Heap buffer overflow di Internasionalisasi V8. Dilaporkan oleh DoHyun Lee (@l33d0hyun) dari DNSLab, Universitas Korea pada 2022-04-17

[$TBD][1317650] CVE-2022-1639 Tinggi: Gunakan setelah gratis di ANGLE. Dilaporkan oleh SeongHwan Park (SeHwa) pada 2022-04-19

[$TBD][1320592] CVE-2022-1640 Tinggi: Gunakan setelah gratis di Berbagi. Dilaporkan oleh Weipeng Jiang (@Krace) dan Guang Gong dari 360 Vulnerability Research Institute pada 2022-04-28

[$5000][1305068] Medium CVE-2022-1641: Gunakan setelah gratis di Diagnostik UI Web. Dilaporkan oleh Rong Jian dari VRI pada 2022-03-10

[1323855] Berbagai perbaikan dari audit internal, fuzzing, dan inisiatif lainnya

Oleh karena itu, pengguna disarankan untuk segera melakukan pembaruan keamanan.

Sumber: Google Chrome releases

Apple, Google, dan Microsoft Akan Segera Menerapkan Masuk Tanpa Kata Sandi di Semua Platform Utama

by

Pada tanggal 5 Mei — Hari Kata Sandi Sedunia — kita mungkin telah selangkah lebih dekat dengan kata sandi yang sudah ketinggalan zaman.

Dalam upaya bersama, raksasa teknologi Apple, Google, dan Microsoft mengumumkan Kamis pagi bahwa mereka telah berkomitmen untuk membangun dukungan untuk masuk tanpa kata sandi di semua platform seluler, desktop, dan browser yang mereka kendalikan di tahun mendatang. Secara efektif, ini berarti bahwa otentikasi tanpa kata sandi akan datang ke semua platform perangkat utama dalam waktu yang tidak terlalu lama: sistem operasi seluler Android dan iOS; Browser Chrome, Edge, dan Safari; dan lingkungan desktop Windows dan macOS.

“Sama seperti kami mendesain produk kami agar intuitif dan mampu, kami juga mendesainnya untuk menjadi pribadi dan aman,” kata Kurt Knight, direktur senior pemasaran produk platform di Apple. “Bekerja dengan industri untuk membangun metode masuk baru yang lebih aman yang menawarkan perlindungan yang lebih baik dan menghilangkan kerentanan kata sandi adalah inti dari komitmen kami untuk membangun produk yang menawarkan keamanan maksimum dan pengalaman pengguna yang transparan — semua dengan tujuan menjaga pengguna ‘ informasi pribadi aman.”

Proses masuk tanpa kata sandi akan memungkinkan pengguna memilih ponsel mereka sebagai perangkat otentikasi utama untuk aplikasi, situs web, dan layanan digital lainnya, seperti yang dirinci Google dalam posting blog yang diterbitkan Kamis. Membuka kunci ponsel dengan apa pun yang ditetapkan sebagai tindakan default — memasukkan PIN, menggambar pola, atau menggunakan buka kunci sidik jari — akan cukup untuk masuk ke layanan web tanpa perlu memasukkan kata sandi, yang dimungkinkan melalui penggunaan token kriptografi unik yang disebut kunci sandi yang dibagikan antara ponsel dan situs web.

Dengan membuat login bergantung pada perangkat fisik, idenya adalah bahwa pengguna secara bersamaan akan mendapatkan keuntungan dari kesederhanaan dan keamanan. Tanpa kata sandi, tidak ada kewajiban untuk mengingat detail login di seluruh layanan atau membahayakan keamanan dengan menggunakan kembali kata sandi yang sama di banyak tempat. Sama halnya, sistem tanpa kata sandi akan mempersulit peretas untuk mengkompromikan detail login dari jarak jauh karena proses masuk memerlukan akses ke perangkat fisik; dan, secara teoritis, serangan phishing di mana pengguna diarahkan ke situs web palsu untuk menangkap kata sandi akan jauh lebih sulit untuk dipasang.

Vasu Jakkal, wakil presiden Microsoft untuk keamanan, kepatuhan, identitas, dan privasi, menekankan tingkat kompatibilitas di seluruh platform. “Dengan kunci sandi di perangkat seluler Anda, Anda dapat masuk ke aplikasi atau layanan di hampir semua perangkat, terlepas dari platform atau browser yang digunakan perangkat tersebut,” kata Jakkal dalam pernyataan melalui email. “Misalnya, pengguna dapat masuk ke browser Google Chrome yang berjalan di Microsoft Windows—menggunakan kunci sandi di perangkat Apple.”

Fungsionalitas lintas platform dimungkinkan oleh standar yang disebut FIDO, yang menggunakan prinsip-prinsip kriptografi kunci publik untuk mengaktifkan otentikasi tanpa kata sandi dan otentikasi multi-faktor dalam berbagai konteks. Ponsel pengguna dapat menyimpan kunci sandi unik yang sesuai dengan FIDO dan akan membagikannya dengan situs web untuk autentikasi hanya saat ponsel tidak terkunci. Per pos Google, kunci sandi juga dapat dengan mudah disinkronkan ke perangkat baru dari cadangan cloud jika ponsel hilang.

Sejauh ini, Apple, Google, dan Microsoft semuanya mengatakan bahwa mereka mengharapkan kemampuan masuk baru tersedia di seluruh platform di tahun depan, meskipun peta jalan yang lebih spesifik belum diumumkan. Meskipun plot untuk membunuh kata sandi telah berlangsung selama bertahun-tahun, ada tanda-tanda bahwa kali ini mungkin akhirnya berhasil.

Sumber: The Verge

Setiap pengguna Google Chrome harus mengklik tombol ini sekarang

by

Jadi, di mana tombol Pemeriksaan keamanan? Cara termudah untuk menemukannya adalah dengan mengetikkan ini ke bilah alamat Anda dan tekan enter:

chrome://settings/safetyCheck

Atau, Anda dapat masuk ke Pengaturan dan klik Keamanan dan Privasi lalu klik Periksa sekarang di sisi kanan di bawah Pemeriksaan Keamanan.

Pemeriksaan Keamanan Google Chrome

Tombol pemeriksaan keamanan ada di sana. Mengkliknya melakukan empat hal:

  • Memeriksa pembaruan Google Chrome
  • Memeriksa apakah ada sandi tersimpan Anda yang telah disusupi
  • Memeriksa apakah Penjelajahan Aman diaktifkan, dan memberi Anda tautan untuk mengubah pengaturan ini
  • Memeriksa ekstensi berbahaya (bukan ide yang buruk mengingat bencana terbaru dengan The Great Suspender)
Menjalankan pemeriksaan Keamanan Google Chrome

Jika Anda menginginkan lebih banyak perlindungan, Anda dapat mengaktifkan Peningkatan perlindungan di bawah Penjelajahan Aman, dan itu akan memberi Anda keamanan yang jauh lebih besar, tetapi itu melibatkan persetujuan agar data penjelajahan Anda dikirim ke Google.

Sumber: ZDnet

Google bermitra dengan Asus IoT untuk menyebarkan ketersediaan perangkat keras AI pada perangkat Coral

by

Coral adalah platform Google untuk menambahkan AI pada perangkat dan kemampuan inferensi ke perangkat keras. Untuk membuatnya lebih banyak tersedia, terutama untuk kasus penggunaan Internet of Things, Google bermitra dengan Asus IoT.

Asus IoT adalah sub-merek Asus, dan Google ingin meningkatkan produksi, distribusi, dan dukungan untuk Coral dengan perjanjian ini.

Dengan pengalaman puluhan tahun di bidang manufaktur elektronik dalam skala global, ASUS IoT akan menyediakan Coral sumber daya untuk memenuhi tuntutan pertumbuhan kami sementara kami terus mengembangkan produk baru untuk komputasi tepi.

Ini akan membuat Asus IoT “menjadi saluran utama untuk penjualan, distribusi, dan dukungan” untuk Coral, dengan pelanggan mendapatkan “tim khusus untuk penjualan dan dukungan teknis” dalam prosesnya. Ini termasuk jaringan distribusi yang diperluas yang akan memungkinkan produk tersedia di lebih banyak negara.

ASUS IoT telah memiliki sejarah panjang dalam kolaborasi dengan Coral, menjadi mitra pertama yang merilis produk menggunakan Coral SoM ketika mereka meluncurkan papan pengembangan Tinker Edge T. ASUS IoT juga telah mengintegrasikan akselerator Coral ke dalam komputer edge cerdas kelas perusahaan mereka dan merupakan yang pertama merilis perangkat TPU multi Edge dengan Kartu PCIe AI Accelerator pemenang penghargaan.

Lini perangkat keras Coral memungkinkan AI untuk berjalan di perangkat, dan karenanya offline, tanpa perlu mengirim data ke cloud, yang memiliki keuntungan lebih cepat dan lebih aman. Ini dapat digunakan untuk deteksi objek, estimasi pose, segmentasi gambar, dan deteksi frase kunci.

Google menggunakannya untuk rangkaian kit ruang konferensi video Seri One (dengan Lenovo) untuk “penghilangan kebisingan saat berjalan”.

Dengan kemitraan Asus IoT-Coral ini, Google akan “mempertahankan kepemilikan merek dan portofolio produk” dan “berfokus untuk membangun generasi berikutnya dari fitur dan alat pelestarian privasi untuk komputasi saraf di edge.”

Sumber: 9TO5 Google

Google Play Store sekarang memaksa aplikasi untuk mengungkapkan data apa yang dikumpulkan

by

Google meluncurkan bagian Keamanan Data baru di Play Store, repositori aplikasi resmi Android, di mana pengembang harus menyatakan data apa yang dikumpulkan perangkat lunak mereka dari pengguna aplikasi mereka.

Ini dapat membantu pengguna memutuskan apakah mereka ingin melanjutkan penginstalan.

Aplikasi yang mendeklarasikan data apa yang dikumpulkannya
(Google)

Pengembang tidak hanya akan menyatakan data apa yang mereka kumpulkan, tetapi juga data apa yang mereka bagikan dengan pihak ketiga.

Jika pengguna ingin mempelajari lebih lanjut tentang entri tertentu, mengetuk item yang sesuai akan menciutkan menu untuk mengungkapkan lebih banyak informasi tentang apa yang dikumpulkan atau dibagikan.

Melihat detail di bagian data bersama
(Google)

Pilar ketiga dari bagian Keamanan Data adalah praktik keamanan aplikasi, yang menjelaskan mekanisme keamanan yang digunakan untuk melindungi data yang dikumpulkan, seperti standar MASVS.

Bagian ketiga ini juga menjelaskan apakah pengguna diberikan opsi untuk meminta penghapusan data mereka kapan saja.

Terakhir, Keamanan Data akan menentukan apakah aplikasi mengikuti Kebijakan Keluarga Google Play, yang ditujukan untuk perlindungan anak-anak.

Google meluncurkan bagian Keamanan Data baru secara bertahap sehingga pengguna Android tidak akan segera melihat bagian baru ini tetapi selama beberapa minggu ke depan.

Google mengatakan bahwa pengembang akan memberikan informasi ini sendiri, yang tidak akan dikonfirmasi oleh Google. Namun, jika ditemukan bahwa pengembang telah salah mengartikan pengungkapan penggunaan data mereka, mereka akan diminta untuk memperbaiki informasi yang diberikan.

Kegagalan untuk melakukannya akan menyebabkan pelanggaran kebijakan, yang menyebabkan penangguhan aplikasi di Google Play Store.

Hingga saat ini, aplikasi Android di Play Store harus mencantumkan tautan ke Kebijakan Privasi mereka di bawah bagian “Informasi Tambahan” dan memberikan email kontak.

Karena kebijakan privasi ini dihosting di lokasi eksternal, kebijakan tersebut dapat dimodifikasi, mungkin tidak jelas, mungkin tidak mengungkapkan semua detail penting tentang pengumpulan dan perlindungan data, dan bahkan dapat menyebabkan tautan yang rusak.

Cara saat ini untuk mengakses info pengumpulan data (Play Store)

Selain itu, karena membaca teks besar jargon hukum bukanlah hal yang diharapkan pengguna saat menjelajahi Google Play Store untuk aplikasi baru, hampir tidak ada yang memeriksanya.

Akhirnya, karena kesulitan praktis yang timbul dari hal di atas, Google tidak mungkin memvalidasi bahwa aplikasi menghormati persyaratan yang disajikan dalam kebijakan privasi mereka.

Keamanan Data memberi pengguna pemahaman yang jelas tentang apa yang terjadi dengan data mereka tanpa mengharuskan mereka menghabiskan waktu untuk menggali ke dalam beberapa bagian, sementara itu juga memberdayakan Google dengan penegakan.

Sementara langkah Google bermanfaat bagi pengguna Android, fitur serupa yang disebut ‘Label Nutrisi Privasi’ sudah diperkenalkan oleh Apple pada tahun 2020.

Ringkasan pengumpulan data Apple TV (Apple)

Ini adalah kasus lain di mana persaingan di ruang OS seluler telah membawa perkembangan positif, memberi pengguna lebih banyak wawasan dan kontrol atas bagaimana data mereka ditangani oleh berbagai perangkat lunak yang berjalan di ponsel cerdas mereka.

Dengan banyaknya aplikasi penipuan, malware, dan aplikasi riba yang ditemukan di Google Play, bagian Keamanan Data baru ini tidak hanya akan berguna bagi pengguna Android, tetapi juga memungkinkan Google untuk menemukan pelanggar kebijakan dengan lebih cepat.

Sumber: Bleeping Computer

Google mengatakan telah menggagalkan serangan siber Korea Utara pada awal 2022

by

Grup Analisis Ancaman Google mengumumkan pada hari Kamis bahwa mereka telah menemukan sepasang kader peretasan Korea Utara dengan nama Operation Dream Job dan Operation AppleJeus pada bulan Februari yang memanfaatkan eksploitasi eksekusi kode jarak jauh di browser web Chrome.

Para blackhatter dilaporkan menargetkan media berita AS, TI, kripto dan industri fintech, dengan bukti serangan mereka kembali sejauh 4 Januari 2022, meskipun Grup Analisis Ancaman mencatat bahwa organisasi di luar AS bisa menjadi target juga.

“Kami menduga bahwa kelompok-kelompok ini bekerja untuk entitas yang sama dengan rantai pasokan bersama, oleh karena itu menggunakan kit eksploit yang sama, tetapi masing-masing beroperasi dengan rangkaian misi yang berbeda dan menerapkan teknik yang berbeda,” tulis tim Google pada hari Kamis. “Ada kemungkinan penyerang lain yang didukung pemerintah Korea Utara memiliki akses ke perangkat eksploitasi yang sama.”

Operation Dream Job menargetkan 250 orang di 10 perusahaan dengan tawaran pekerjaan palsu seperti Disney dan Oracle yang dikirim dari akun palsu agar terlihat seperti berasal dari Memang atau ZipRecruiter. Mengklik tautan akan meluncurkan iframe tersembunyi yang akan memicu eksploitasi.

Operasi AppleJeus, di sisi lain, menargetkan lebih dari 85 pengguna di industri cryptocurrency dan fintech menggunakan kit eksploit yang sama.

Upaya itu melibatkan “mengkompromikan setidaknya dua situs web perusahaan fintech yang sah dan menghosting iframe tersembunyi untuk menyajikan kit eksploit kepada pengunjung,”

“Dalam kasus lain, kami mengamati situs web palsu sudah disiapkan untuk mendistribusikan aplikasi cryptocurrency yang di-trojan menghosting iframe dan mengarahkan pengunjung mereka ke kit eksploit.”

“Kit awalnya melayani beberapa javascript yang sangat dikaburkan yang digunakan untuk sidik jari sistem target,” kata tim. “Skrip ini mengumpulkan semua informasi klien yang tersedia seperti agen pengguna, resolusi, dll., lalu mengirimkannya kembali ke server eksploitasi.

Jika serangkaian persyaratan yang tidak diketahui terpenuhi, klien akan disajikan eksploitasi Chrome RCE dan beberapa tambahan javascript. Jika RCE berhasil, javascript akan meminta tahap berikutnya yang dirujuk dalam skrip sebagai ‘SBX,’ akronim umum untuk Sandbox Escape.”

Grup keamanan Google menemukan aktivitas tersebut pada 10 Februari dan telah menambalnya pada 14 Februari. Perusahaan telah menambahkan semua situs web dan domain yang teridentifikasi ke database Penjelajahan Aman serta memberi tahu semua pengguna Gmail dan Workspace yang ditargetkan tentang upaya tersebut.

Sumber : Engadget

Pembaruan keamanan Android Maret 2022 memperbaiki tiga bug kritis

by

Google telah merilis pembaruan keamanan Maret 2022 untuk Android 10, 11, dan 12, mengatasi tiga kelemahan tingkat keparahan kritis, salah satunya memengaruhi semua perangkat yang menjalankan OS seluler versi terbaru.

Dilacak sebagai CVE-2021-39708, kelemahannya terletak pada komponen Sistem Android, dan ini merupakan eskalasi masalah hak istimewa yang tidak memerlukan interaksi pengguna atau hak eksekusi tambahan.

Dua kelemahan kritis lainnya adalah CVE-2021-1942 dan CVE-2021-35110, keduanya memengaruhi komponen sumber tertutup pada perangkat berbasis Qualcomm.

Tidak ada detail teknis lebih lanjut yang telah dipublikasikan untuk kerentanan yang telah diperbaiki, karena hal itu akan membahayakan pengguna yang menjalankan level patch yang lebih lama.

Seperti halnya setiap bulan, Google telah merilis dua level patch untuk Maret 2022, satu ditulis sebagai “2022-03-01” dan satu sebagai “2022-03-05”.

Tingkat tambalan kedua mencakup semua yang ada di set pertama ditambah perbaikan untuk komponen sumber tertutup dan Kernel pihak ketiga yang mungkin tidak berlaku untuk semua perangkat.

Dengan satu-satunya pengecualian adalah lini Pixel Google yang akan segera menerima pembaruan keamanan ini, semua vendor lain akan memerlukan waktu untuk menggabungkan tambalan untuk masing-masing model mereka, karena konfigurasi perangkat keras yang berbeda memerlukan pengujian dan penyesuaian khusus.

Jika Anda menjalankan OS yang lebih lama dari Android 10, pertimbangkan untuk memutakhirkan ke perangkat baru yang didukung secara aktif atau mem-flash perangkat Anda yang sudah ada dengan ROM Android pihak ketiga yang didasarkan pada versi AOSP terbaru.

Selengkapnya: Bleeping Computer