Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Cybersecurity / Security

Security

SBOM Harus menjadi Pokok Keamanan dalam Rantai Pasokan Perangkat Lunak

by

Selain daftar bahan pada kemasan makanan yang memungkinkan konsumen mengetahui apa yang ada di dalam makanan, Software Bill of Material (SBOMs) juga merupakan inventaris komponen dalam perangkat lunak, alat penting pada saat aplikasi merupakan kumpulan kode dari berbagai sumber, banyak dari luar tim pengembangan organisasi.

SBOM selama beberapa tahun terakhir telah menjadi inti dari gambaran manajemen rantai pasokan perangkat lunak yang berkembang seiring dengan meningkatnya tingkat ancaman.

SBOM juga merupakan poin kunci dalam rencana keamanan siber nasional yang dikembangkan oleh Administrasi Biden dan dirilis minggu ini. Mereka memberitahu organisasi mengenai komponen apa yang membentuk perangkat lunak yang dibawa serta kode yang ada di sana.

Ketertarikan terbaru pada SBOM dapat ditelusuri kembali ke upaya pada tahun 2018 oleh Administrasi Telekomunikasi dan Informasi Nasional, divisi dari Departemen Perdagangan AS, dengan standar tentang masalah tersebut diterbitkan tiga tahun kemudian. Perintah Eksekutif Presiden Biden pada Mei 2021 meminta pemerintah federal untuk meningkatkan keamanan TI setelah SolarWinds dan Log4j, keduanya mempengaruhi lembaga pemerintah.

Tantangannya adalah penerapan dan pengelolaan SBOM sangat manual, berita buruk bagi admin dan developer. Ketegangan yang berkelanjutan ketika berbicara tentang keamanan rantai pasokan perangkat lunak memastikan bahwa tuntutan keamanan tidak menghalangi peningkatan kecepatan pengembangan perangkat lunak modern.

Yang dibutuhkan sekarang adalah pertukaran kerentanan yang aman dan terpusat di mana perusahaan dapat berbagi informasi tentang kelemahan. Memiliki data SBOM memang berguna, tetapi jika kerentanan terungkap, komunikasi tentangnya masih bersifat point-to-point dan informasi tersebut perlu disebarluaskan lebih cepat dan luas.

Masalah lain yang muncul adalah bahwa SBOM dan sejenisnya berarti lebih banyak pekerjaan bagi mereka yang memelihara perangkat lunak sumber terbuka yang digunakan di sebagian besar aplikasi, kata Fischer.

Selengkapnya: The Register

WhatsApp Memiliki Masalah Keamanan Bertahun-tahun. Inilah Cara Mengatasinya

by

Nomor telepon adalah sumber daya yang terbatas. Jadi ketika seseorang keluar dari layanan, ada kemungkinan besar perusahaan telekomunikasi akan menggunakannya kembali untuk paket telepon baru. Itu bisa menjadi masalah besar di WhatsApp. Dalam beberapa kasus, jika Anda mendapatkan nomor telepon yang terkait dengan akun WhatsApp yang ada, Anda dapat membajaknya dan mengambil identitas pengguna tersebut, termasuk nama dan foto profil mereka. Anda akan menerima semua pesan masuk mereka dan mendapatkan akses ke obrolan grup mereka. Tidak ada cara bagi orang lain untuk mengetahui bahwa Anda seorang penipu. WhatsApp telah mengetahui masalah ini selama bertahun-tahun, tetapi tidak ada perbaikan yang terlihat kecuali Anda mengambil langkah proaktif untuk melindungi diri sendiri.

Bagaimana cara melindungi akun WhatsApp Anda
Pertama, jika Anda tidak menggunakan autentikasi dua faktor, apa yang Anda lakukan dengan hidup Anda? Ini adalah cara mudah untuk melindungi diri Anda sendiri, dan Anda akan menjadi sasaran empuk jika Anda tidak menyalakannya. Jangan berhenti di WhatsApp juga, Anda harus menggunakan autentikasi dua faktor di mana pun tersedia.

Untuk mengatur autentikasi dua faktor: Buka WhatsApp dan ketuk Pengaturan > Akun > Verifikasi dua langkah > Pilih pin enam digit. WhatsApp akan meminta pin ini secara berkala, jadi pastikan Anda memiliki cara untuk mengingatnya.

Di halaman Akun, Anda juga dapat mengubah nomor telepon Anda, yang harus Anda lakukan sesegera mungkin jika mendapatkan yang baru. Atau, jika Anda sudah selesai menggunakan aplikasi untuk selamanya, Anda dapat menggunakan proses “Hapus Akun Saya” dari menu yang sama.

selengkapnya : gizmodo.com

Hacker Menemukan Bug yang Memungkinkan Siapapun Melewati Facebook 2FA

by

Bug dalam sistem terpusat baru yang dibuat Meta bagi pengguna untuk mengelola login mereka untuk Facebook dan Instagram dapat memungkinkan hacker untuk mematikan perlindungan dua faktor akun hanya dengan mengetahui nomor telepon mereka.

Peneliti keamanan dari Nepal, Gtm Mänôz, menyadari bahwa Meta tidak menetapkan batas upaya saat pengguna memasukkan kode dua faktor yang digunakan untuk masuk ke akun mereka di Pusat Akun Meta yang baru, yang membantu pengguna menautkan semua akun Meta mereka , seperti Facebook dan Instagram.

Hacker bertindak memanfaatkan nomor telepon korban dengan pergi ke pusat akun terpusat, memasukkan nomor telepon korban, menautkan nomor itu ke akun Facebook mereka sendiri, dan kemudian memaksa kode SMS dua faktor.

Email dari Meta ke pemilik akun yang memberitahu mereka bahwa perlindungan dua faktor mereka telah dimatikan
Email dari Meta ke pemilik akun yang memberitahu mereka bahwa perlindungan dua faktor mereka telah dimatikan (Gtm Mänôz)

Mänôz mendapatkan $27.200 atas pelaporan bahwa dirinya menemukan bug di Pusat Akun Meta tahun lalu, dan Meta telah memperbaiki bug tersebut beberapa hari kemudian.

Juru bicara Meta mengatakan bahwa pada saat bug, sistem login masih dalam tahap uji publik kecil. Penyelidikan Meta setelah bug dilaporkan menemukan bahwa tidak ada bukti eksploitasi di alam liar, dan Meta tidak melihat lonjakan penggunaan fitur tersebut.

Selengkapnya: TechCrunch

Masalah 212: Kendali jarak jauh kendaraan, Peretasan API untuk Tim QA, Panduan API Top 10

by

Kerentanan API kritis memungkinkan peneliti menunjukkan bukti serangan konsep yang memungkinkan pengambilalihan kendaraan jarak jauh.

Kerentanan: Kerentanan API Kritis Memungkinkan Kendali Jarak Jauh Kendaraan Hyundai dan Genesis
Penelitian Sam Curry tentang kerentanan API yang memengaruhi jajaran kendaraan Hyundai dan Genesis adalah membuat bukti konsep yang merinci eksploit dan menjelaskan langkah-langkahnya secara mendetail di utas Twitter.

Poin utamanya adalah jangan pernah mempercayai input pengguna, tetap gunakan ekspresi reguler yang terpercaya, dan segmentasikan kontrol akses pengguna.

Artikel: Tiga alasan tim QA harus mempelajari peretasan API
Kontributor reguler buletin Dana Epp (@DanaEpp), membagikan pemikirannya tentang nilai tim jaminan kualitas (QA) yang mempelajari dasar-dasar peretasan API dan menggunakan pola pikir ofensif.

Tiga alasan utama tim QA harus mengembangkan keterampilan tersebut, yaitu pengguna akan memberikan nilai lebih, menjadi penjahat mengubah pengguna menjadi pahlawan, dan keamanan adalah tanggung jawab semua orang.

Artikel: GitHub Mengungkapkan Versi API Generasi Berikutnya
Pembuatan versi API penting bagi keamanan API, karena memiliki sistem versi API formal berarti ada sedikit kemungkinan API bayangan atau zombie karena ada proses formal seputar tata kelola API. Namun, sistem versi yang lebih lancar seperti yang diadopsi oleh GitHub berarti kemungkinan akan ada lebih banyak versi API dalam produksi yang semuanya perlu dilacak dan dipantau untuk masalah keamanan.

Panduan: Panduan OWASP API Security Top 10
Langkah-langkah dari OWASP API Security Top 10 dari Grant Ongers (@rewtd) aplikasi API rentan vAPI, menggunakan vAPI yang berjalan di Docker dan mendemonstrasikan masing-masing dari 10 Teratas menggunakan Postman dan ZAP sebagai alat dasarnya.

Selengkapnya: APIsecurity.io

Pengawas pemerintah menghabiskan $15.000 untuk Memecahkan Kata Sandi Agen Federal dalam Hitungan Menit

by

Laporan oleh Kantor Inspektur Jenderal untuk Departemen Dalam Negeri, yang bertugas mengawasi badan eksekutif AS yang mengelola tanah federal negara, taman nasional, dan anggaran miliaran dolar, mengatakan bahwa ketergantungan departemen pada kata sandi sebagai satu-satunya cara untuk melindungi beberapa sistem terpentingnya dan akun pengguna karyawannya telah melawan hampir dua dekade pedoman keamanan siber pemerintah sendiri untuk mengamanatkan otentikasi dua faktor yang lebih kuat.

Disimpulkan bahwa kebijakan kata sandi yang buruk menempatkan departemen pada risiko pelanggaran yang dapat menyebabkan “kemungkinan tinggi” gangguan besar pada operasinya.

Kata sandi itu sendiri tidak selalu dicuri dalam bentuk yang dapat dibaca. Kata sandi yang Anda buat di situs web dan layanan online biasanya diacak dan disimpan sedemikian rupa sehingga tidak dapat dibaca oleh manusia — biasanya berupa rangkaian huruf dan angka yang tampak acak — sehingga kata sandi yang dicuri oleh malware atau pelanggaran data tidak dapat dengan mudah digunakan di peretasan lebih lanjut. Ini disebut hashing kata sandi.

staf pengawas mengatakan bahwa mengandalkan klaim bahwa kata sandi yang memenuhi persyaratan keamanan minimum departemen akan memakan waktu lebih dari seratus tahun untuk pulih menggunakan perangkat lunak peretas kata sandi yang tersedia telah menciptakan “rasa aman yang salah”

Singkatnya, pengawas menghabiskan kurang dari $ 15.000 untuk membangun rig peretas kata sandi.Pengawas juga memulihkan ratusan akun milik pegawai pemerintah senior dan akun lain dengan hak keamanan yang ditingkatkan untuk mengakses data dan sistem sensitif.

Rig peretas kata sandi juga mengandalkan sejumlah besar data yang dapat dibaca manusia untuk dibandingkan dengan kata sandi yang diacak. Menggunakan perangkat lunak open source dan tersedia secara bebas seperti Hashcat dapat membandingkan daftar kata dan frasa yang dapat dibaca dengan kata sandi hash.

Dalam tanggapannya, Departemen Dalam Negeri mengatakan setuju dengan sebagian besar temuan inspektur jenderal dan mengatakan “berkomitmen” untuk melaksanakan perintah eksekutif pemerintahan Biden yang mengarahkan lembaga federal untuk meningkatkan pertahanan keamanan siber mereka.

sumber : techcrunch

Pembaruan Keamanan Windows 7 Diperpanjang, Microsoft Mengakhirinya

by

Edisi Windows 7 Professional dan Enterprise tidak akan lagi menerima pembaruan keamanan yang diperpanjang untuk kerentanan kritis dan penting mulai Selasa, 10 Januari 2023.

Microsoft meluncurkan sistem operasi warisan pada Oktober 2009, kemudian mencapai akhir dukungan pada Januari 2015 dan perpanjangan akhir dukungan pada Januari 2020.

Pelanggan yang masih menjalankan produk lama Microsoft setelah masa dukungan berakhir pada Windows 7, hanya dapat menggunakan Program Extended Security Update (ESU). Begitu pula dengan edisi Windows 8.1 yang diluncurkan pada November 2013 akan tersedia di EOS pada hari yang sama.

Pengguna diharapkan untuk mempertimbangkan kembali sebelum berinvestasi dalam pemutakhiran Windows 10 yang akan mencapai akhir masa dukungannya pada 14 Oktober 2025.

Microsoft merekomendasikan agar perangkat yang tidak memenuhi persyaratan teknis merilis Windows yang lebih baru, menggantinya dengan perangkat yang mendukung Windows 11 untuk memanfaatkan kemampuan perangkat keras terbaru.

Menurut Statcounter GlobalStats, Windows 7 saat ini digunakan lebih dari 11% dari semua sistem Windows di seluruh dunia, sementara Windows 8.1 digunakan oleh 2,59% pelanggan Microsoft,

Pangsa Pasar Microsoft Windows (Statcounter GlobalStats)

Browser Web Juga Menjatuhkan Dukungan Untuk Windows 7
Redmond akan merilis Microsoft Edge 109, versi terakhir browser web yang hadir dengan dukungan untuk Windows 7 dan Windows 8/8.1 pada pekan depan.

Google juga mengumumkan hal serupa bahwa versi 110 dari browser web Google Chrome-nya kemungkinan akan menghentikan dukungan untuk Windows 7 dan 8.1 mulai Februari 2023.

Saat ini, Google Chrome memiliki pangsa pasar lebih dari 64%, diikuti oleh Safari dengan kira-kira 18% dan Microsoft Edge dengan lebih dari 4%.

Vendor lain telah menjatuhkan dukungan untuk Windows 7 sebelum tanggal ketika OS akan berhenti menerima pembaruan keamanan.

Selengkapnya: BleepingComputer

EarSpy Dapat Menguping Percakapan Telepon Anda Menggunakan Sensor Gerak

by

Para peneliti dari lima perguruan tinggi Amerika telah secara kolektif mengembangkan serangan side-ch ini

Serangan EarSpy dikembangkan oleh sekelompok peneliti dari beberapa lembaga akademik paling terkenal di Amerika, bersama oleh para ahli dari University of Dayton, New Jersey Institute of Technology, Rutgers University, Texas A&M University, dan Temple University.

Para peneliti menguij EarSpy pada ponsel OnePlus 7T dan OnePlus 9 dengan hasil yang sangat akurat hanya menggunakan data dari lubang suara dan akselerometer bawaan. Sebaliknya, data sulit ditangkap pada model OnePlus lama karena kurangnya speaker stereo. Mereka memeriksa gema yang dihasilkan pada speaker telinga dengan bantuan spektrogram dan ekstraksi fitur domain frekuensi waktu.

Fokus tim adalah mengidentifikasi jenis kelamin pembicara dan isi pidato itu sendiri.

Versi Android terbaru memiliki perangkat keamanan yang lebih kuat, sehingga malware sulit untuk mendapatkan izin yang diperlukan. Namun serangan EarSpy masih dapat melewati perlindungan bawaan ini karena data mentah dari sensor gerak ponsel dapat diakses dengan mudah. Peneliti EarSpy yakin masih mungkin untuk menyusup ke perangkat dan menguping percakapan meskipun ada batasan untuk mendapatkan data dari sensor perangkat.

Mengenai keefektifan serangan ini, para peneliti mengatakan

Menurut peneliti, EarSpy dapat dengan tepat membedakan antara laki-laki dan perempuan hingga 98% kasus. Selain itu, dapat mendeteksi identitas seseorang dengan tingkat akurasi tertinggi 92%. Namun, ini turun menjadi 56% ketika benar-benar memahami apa yang diucapkan. Ini masih 5x lebih akurat daripada membuat tebakan acak.

Mengatasi potensi kerentanan pada smartphone, para peneliti merekomendasikan pembuat smartphone untuk memposisikan sensor gerak jauh dari sumber getaran apapun sambil mengurangi tekanan suara selama panggilan telepon.

Selengkapnya: Android Police

Speaker Google Home Memungkinkan Peretas Mengintai Percakapan

by

Bug di speaker pintar Google Home memungkinkan pemasangan akun backdoor yang dapat digunakan untuk mengontrol dari jarak jauh dan mengubahnya menjadi perangkat pengintai dengan mengakses umpan mikrofon.

Tahun lalu, seorang peneliti menerima $107.500 karena menemukan masalah tersebut dan melaporkannya ke Google. Awal pekan ini, peneliti menerbitkan rincian teknis tentang temuan dan skenario serangan untuk menunjukkan bagaimana kelemahan tersebut dapat dimanfaatkan.

Proses Kompromi
Dalam eksperimennya, peneliti menemukan bahwa akun baru yang ditambahkan menggunakan aplikasi Google Home dapat mengirim perintah secara remote melalui cloud API.

Melalui pemindaian Nmap, ditemukan port untuk API HTTP lokal Google. Jadi peneliti menyiapkan proxy untuk menangkap lalu lintas HTTPS terenkripsi, dengan harapan dapat merebut token otorisasi pengguna.

Lalu lintas HTTPS (terenkripsi) yang diambil (downrightnifty.me)

Menambahkan pengguna baru ke perangkat target adalah proses dua langkah yang memerlukan nama perangkat, sertifikat, dan “cloud ID” dari API lokalnya. Dengan informasi ini, mereka dapat mengirim permintaan tautan ke server Google.

Untuk menambahkan pengguna jahat ke perangkat target, analis mengimplementasikan proses penautan dalam skrip Python yang mengotomatiskan pengelupasan data perangkat lokal dan mereproduksi permintaan penautan.

Permintaan penautan yang membawa data ID perangkat (downrightnifty.me)

Kemungkinan Implikasi
Selain melakukan tindakan melalui speaker Google Home secara remote, seperti mengontrol saklar pintar, melakukan pembelian online, membuka kunci pintu dan kendaraan, peneliti menemukan cara untuk menyalahgunakan perintah panggilan telepon.

Perutean berbahaya yang menangkap audio mikrofon (downrightnifty.me)

Jika LED perangkat menyala biru saat melakukan panggilan, merupakan indikasi bahwa beberapa aktivitas sedang berlangsung. Jika korban menyadarinya, mereka mungkin menganggap perangkat sedang memperbarui firmware-nya.

Hal ini juga memungkinkan untuk memutar media pada speaker pintar yang disusupi, mengganti nama, memaksa reboot, memaksa melupakan jaringan Wi-Fi tersimpan, memaksa pemasangan Bluetooth atau Wi-Fi baru, dan banyak lagi.

Perbaikan Google
Google memperbaiki semua masalah pada April 2021 dengan tambalan mencakup sistem berbasis undangan baru untuk menangani tautan akun, yang memblokir upaya apa pun yang tidak ditambahkan di Beranda.

Deauthenticating Google Home masih dimungkinkan, tetapi tidak dapat digunakan untuk menautkan akun baru, sehingga API lokal yang membocorkan data perangkat dasar juga tidak dapat diakses.

Google telah menambahkan perlindungan untuk mencegah inisiasi jarak jauh melalui rutinitas dalam menangani perintah panggilan telepon.

Selengkapnya: BLEEPINGCOMPUTER