Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Security

Security

Firefox mengikuti Chrome dan bersiap untuk memblokir unduhan yang tidak aman

by

Pengembang Mozilla memberikan sentuhan akhir pada fitur baru yang akan memblokir unduhan file yang tidak aman di Firefox.

Disebut pemblokiran unduhan konten campuran, fitur ini bekerja dengan memblokir unduhan file yang dimulai dari halaman HTTPS terenkripsi tetapi yang sebenarnya terjadi melalui saluran HTTP yang tidak terenkripsi.

Gagasan di balik fitur ini adalah untuk mencegah pengguna Firefox agar tidak disesatkan oleh bilah URL dan mengira mereka mengunduh file dengan aman melalui HTTPS ketika, pada kenyataannya, file tersebut dapat dirusak oleh pihak ketiga saat dalam perjalanan.

Feature specifics:

  • Semua file HTTP yang diunduh dari halaman HTTPS akan diblokir dengan pesan di Pusat Unduhan Firefox (CTRL+J).
  • Sebuah opsi akan tersedia untuk memungkinkan pengguna mengizinkan unduhan jika mereka mau.
  • Unduhan file HTTP dari halaman HTTP tidak akan diblokir.
  • Tautan unduhan HTTP yang diakses langsung (disalin di bilah alamat Firefox) tidak akan diblokir.
  • Fitur ini sudah aktif dan diaktifkan di Firefox edisi Beta, Developer, dan Nightly.
  • Berdasarkan entri pelacak bug Firefox saat ini, fitur ini diharapkan akan diaktifkan untuk semua pengguna Firefox di v92, dijadwalkan untuk rilis resmi pada awal September 2021.

Fitur serupa sudah ada di Chrome dan sebagian besar browser berbasis Chromium sejak akhir 2020, telah diluncurkan dalam beberapa tahap dari Chrome v81 hingga v88.

Pengguna Firefox Stable yang ingin mengujinya sekarang dapat membuka halaman pengaturan about:config dan mengaktifkan opsi berikut:

dom.block_download_insecure — set to true

Sumber: The Record

‘Super Duper Secure Mode’ Microsoft untuk Edge Menawarkan kecepatan untuk keamanan yang lebih baik

by

Tim peneliti kerentanan browser Microsoft sedang mengerjakan mode untuk membuat browser Edge lebih aman, dan itu memberinya nama yang luar biasa: “Super Duper Secure Mode” (melalui The Record). Mode saat ini sangat eksperimental, tetapi dapat membantu mempersulit penyerang yang mencoba mengeksploitasi bug di browser Microsoft dengan mematikan pengoptimalan tertentu.

Untuk membuat browser “super duper secure”, mode ini mematikan fitur engine JavaScript Edge yang dimaksudkan untuk membuat kode situs web berjalan lebih cepat. Teknologi ini disebut kompilasi Just-In-Time (atau JIT), dan meskipun dapat membantu meningkatkan kinerja, itu juga sangat rumit. Ini memudahkan bug untuk masuk, yang dapat menyebabkan eksploitasi keamanan — Microsoft menunjuk pada analisis Mozilla yang menunjukkan bahwa lebih dari setengah eksploitasi Chrome dunia nyata sejak 2018 terkait dengan JIT.

Tentu saja, ada kekhawatiran bahwa mematikan teknologi yang dimaksudkan untuk membuat sebagian besar situs web modern berjalan lebih cepat dapat merusak kinerja. Posting blog mencatat bahwa menonaktifkan JIT dapat menyebabkan skor benchmark JavaScript yang jauh lebih rendah, tetapi tim mengatakan bahwa, di dunia nyata, orang biasanya tidak melihat banyak perbedaan.

Mode eksperimental tampaknya masih dalam tahap yang sangat awal — ada hal-hal yang ingin diaktifkan oleh tim tetapi belum, itu tidak berfungsi pada semua platform yang didukung Edge, dan tim mengatakan ada “beberapa tantangan masalah teknis untuk diatasi” sebelum fitur diluncurkan.

Selengkapnya: The Verge

Google akan memblokir login di perangkat Android lama mulai September

by

Google mengirim email kepada pengguna Android untuk memberi tahu mereka bahwa, mulai akhir September, mereka tidak lagi dapat masuk ke akun Google mereka di perangkat yang menjalankan Android 2.3.7 (Gingerbread) dan yang lebih rendah.

“Sebagai bagian dari upaya berkelanjutan kami untuk menjaga keamanan pengguna kami, Google tidak akan lagi mengizinkan login di perangkat Android yang menjalankan Android 2.3.7 atau lebih rendah mulai 27 September 2021,” jelas Zak Pollack, Manajer Komunitas Bantuan Android.

“Jika Anda masuk ke perangkat setelah 27 September, Anda mungkin mendapatkan kesalahan nama pengguna atau sandi saat mencoba menggunakan produk dan layanan Google seperti Gmail, YouTube, dan Maps.”

Pengguna disarankan untuk memperbarui perangkat mereka ke versi Android yang lebih baru (3.0 atau lebih baru) sesegera mungkin sehingga mereka tidak akan kehilangan akses ke aplikasi dan layanan Google.

Mereka yang tidak dapat memperbarui ke versi Android yang lebih baru dapat mencoba masuk ke akun Google mereka menggunakan browser web yang akan memberi mereka cara alternatif untuk menggunakan layanan Google pada perangkat Android yang tidak didukung.

Selengkapnya: Bleeping Computer

Bug keamanan sistem Linux yang buruk terungkap

by

Systemd, manajer sistem dan layanan Linux yang sebagian besar telah menggantikan init sebagai program startup dan kontrol utama Linux, selalu mendapat kritik.

Sekarang, dengan penemuan bug keamanan systemd baru oleh Qualys, systemd akan mendapatkan lebih banyak kritikan. Eksploitasi yang berhasil dari kerentanan terbaru ini memungkinkan pengguna yang tidak memiliki hak untuk menyebabkan Denial of Service melalui kernel panic.

Seperti yang ditulis oleh Bharat Jogi, manajer senior Qualys untuk Kerentanan dan Signatures, “Mengingat luasnya permukaan serangan untuk kerentanan ini, Qualys merekomendasikan pengguna untuk segera menerapkan patch untuk kerentanan ini”.

Systemd digunakan di hampir semua distribusi Linux modern. Lubang keamanan khusus ini tiba di kode systemd pada April 2015. Ini bekerja dengan memungkinkan penyerang untuk menyalahgunakan fungsi alloca() dengan cara yang akan mengakibatkan kerusakan memori. Ini memungkinkan seorang peretas untuk merusak systemd dan seluruh sistem operasi.

Secara praktis, ini dapat dilakukan oleh penyerang lokal yang memasang sistem file pada jalur yang sangat panjang. Ini menyebabkan terlalu banyak ruang memori untuk digunakan di tumpukan systemd, yang mengakibatkan sistem crash.

Itu berita buruknya. Kabar baiknya adalah bahwa Red Hat Product Security dan pengembang systemd telah segera menambal lubangnya.

Meskipun tidak ada di semua distro Linux saat ini, Anda akan menemukannya di sebagian besar distro seperti Debian 10 (Buster) dan kerabatnya seperti Ubuntu dan Mint. Oleh karena itu, jika Anda ingin komputer Anda tetap berfungsi, Anda harus menambal versi systemd Anda sesegera mungkin.

Selengkapnya: ZDNet

Instagram meluncurkan Pemeriksaan Keamanan untuk orang-orang yang akunnya telah diretas

by

Instagram memperkenalkan pemeriksaan keamanan baru hari ini untuk semua orang yang akunnya telah diretas sebelumnya. Orang dengan akun yang sebelumnya disusupi akan melihat permintaan saat mereka masuk menanyakan apakah mereka ingin memulai pemeriksaan keamanan.

Fitur ini memandu pengguna melalui langkah-langkah keamanan, termasuk mengonfirmasi akun lain yang membagikan informasi login, meninjau aktivitas login, dan memperbarui informasi kontak pemulihan.

Instagram juga berencana untuk menambahkan dukungan untuk otentikasi dua faktor melalui WhatsApp, selain opsi nomor telepon dan aplikasi autentikator saat ini.

Instagram mengatakan ada peningkatan di akun yang mengklaim sebagai Instagram dalam pesan langsung untuk membuat orang membagikan kata sandi mereka. Instagram hanya mengirim email, dan Anda dapat memeriksa untuk melihat apakah email itu asli dengan melihat tab “Email dari Instagram” di pengaturan.

Fitur keamanan yang disederhanakan diluncurkan di tengah gelombang email pengaturan ulang kata sandi baru-baru ini yang telah mengacaukan kotak masuk beberapa orang. Email tersebut sah dari Instagram dan kemungkinan dari bot yang mencoba mengakses banyak akun sekaligus. Jika Anda mendapatkan beberapa dari mereka sekaligus itu tidak berarti akun Anda telah diretas.

Sumber: The Verge

Hati-hati penipuan verifikasi di Instagram, Facebook, dan Twitter

by

Enver Ceylan menampilkan dirinya secara online sebagai pria Renaissance.

Dia adalah seorang konsultan media sosial Turki, musisi dan aktor yang “memainkan peran utama dalam banyak serial TV dan film,” menurut situs webnya. Di antara layanan digitalnya: membantu pengguna Facebook dan Instagram dengan masalah periklanan dan mengembangkan akun mereka. Salah satu versi situs webnya dengan jelas menampilkan formulir yang meminta pengguna TikTok untuk mengisi informasi pribadi agar akun mereka diverifikasi, status yang biasanya disediakan untuk tokoh-tokoh terkenal.

“Akun Anda telah diikuti selama 30 hari, dan telah ditentukan bahwa Anda memenuhi syarat untuk menerima Lencana Biru TikTok,” situsnya menyatakan dalam bahasa Inggris pada 9 Juni. Sebuah formulir di bawah logo TikTok, sebuah notasi musik animasi, meminta password pengguna, alamat dan nomor telepon.

Jika janji Ceylan tampak terlalu bagus untuk menjadi kenyataan, itu karena kemungkinan besar memang demikian. Ceylan menghilang tak lama setelah CNET memasukkan informasi untuk mengujinya. Sebagian besar situs kemudian menjadi kosong sebelum muncul kembali sepenuhnya dalam bahasa Turki. (TikTok mengonfirmasi bahwa formulir itu tidak sah).

Mengarahkan pengguna media sosial ke formulir verifikasi palsu, seperti yang tampaknya telah dicoba oleh Ceylan, adalah taktik yang digunakan untuk menipu orang agar mendapatkan informasi pribadi dan mengambil alih akun mereka.

Scammers juga akan meluncur ke pesan langsung di Instagram dan memikat pengguna dengan janji verifikasi. Variasi penipuan ini telah ada selama bertahun-tahun, tetapi pakar keamanan siber mengatakan mereka memperkirakan penipuan ini akan berkembang seiring orang-orang menghabiskan lebih banyak waktu untuk membangun brand mereka di media sosial.

Demikian juga, orang-orang yang terverifikasi biasanya memiliki banyak pengikut, yang dapat menjadikan mereka target utama scammers atau peretas yang mencoba menjangkau banyak orang.

Mengumumkan bahwa Anda baru saja diverifikasi di media sosial juga dapat menjadikan Anda target jika Anda ingin mendapatkan lencana biru di jejaring sosial lain atau jika seorang peretas mencoba menemukan akun dengan banyak pengikut.

Selengkapnya: CNET

Aturan keamanan data baru dilembagakan untuk sistem pemrosesan pembayaran AS

by

Aturan keamanan data baru yang mengatur bagaimana uang berpindah tangan di AS telah berlaku hari ini, memaksa pemroses uang digital utama untuk membuat informasi rekening deposito tidak dapat dibaca dalam penyimpanan elektronik.

National Automated Clearinghouse Association (NACHA), badan yang meloloskan aturan, mengatur ACH Network, sistem pembayaran yang mendorong setoran langsung dan pembayaran langsung untuk hampir semua rekening bank dan serikat kredit AS. Lembaga kliring otomatis nasional memproses sejumlah besar transaksi kredit dan debit di AS dan menangani transaksi keuangan untuk konsumen, bisnis, dan pemerintah federal, negara bagian, dan lokal.

Mulai tanggal 30 Juni, jika nomor rekening digunakan untuk pembayaran ACH — konsumen atau perusahaan — nomor itu harus dibuat tidak terbaca saat disimpan secara elektronik, menurut NACHA, yang menambahkan bahwa setiap tempat di mana nomor rekening yang terkait dengan entri ACH disimpan adalah dalam ruang lingkup aturan.

“Ini termasuk sistem di mana otorisasi diperoleh atau disimpan secara elektronik, serta basis data atau platform sistem yang mendukung entri ACH. Sebagai contoh, untuk Penyedia Layanan Pihak Ketiga yang kliennya adalah lembaga keuangan, ini dapat mencakup platform yang melayani ACH. pergudangan dan posting transaksi, dan sistem pelaporan informasi klien,” jelas NACHA.

“Untuk Pengirim Asal dan Penyedia Layanan Pihak Ketiga mereka, sistem hutang dan piutang akan terpengaruh, seperti halnya sistem lain (misalnya, sistem manajemen klaim untuk perusahaan asuransi).”

Aturan ini juga berlaku untuk otorisasi kertas atau dokumen lain yang berisi nomor akun ACH yang dipindai untuk tujuan penyimpanan dan penyimpanan catatan elektronik.

selengkapnya : www.zdnet.com

API Baru Memungkinkan Pengembang Aplikasi Mengautentikasi Pengguna melalui Kartu SIM

by

Pembuatan akun online menimbulkan tantangan bagi para insinyur dan arsitek sistem: jika Anda memasang terlalu banyak penghalang, Anda berisiko menolak pengguna asli. Buat terlalu mudah, dan Anda berisiko dari penipuan atau akun palsu.

Model tradisional identitas online – nama pengguna/email dan kata sandi – telah lama tidak digunakan lagi. Beginilah cara otentikasi multi-faktor atau dua faktor (MFA atau 2FA) berperan, untuk menambal kerentanan yang disebut model berbasis pengetahuan, biasanya dengan kode sandi SMS untuk memverifikasi kepemilikan nomor ponsel.

Terkadang solusi paling sederhana sudah ada di tangan kita. SMS saja mungkin tidak aman, tetapi nomor ponsel yang ditambatkan ke kartu SIM adalah: pasangan unik yang sulit untuk diubah atau disalin.

Otentikasi berbasis SIM adalah terobosan identitas. Sekarang dimungkinkan untuk mencegah penipuan dan akun palsu sambil memverifikasi pengguna seluler dengan mulus menggunakan pengenal paling aman secara kriptografis yang sudah mereka miliki – kartu SIM yang tertanam di perangkat seluler mereka.

Jika Anda khawatir tentang penipuan pertukaran SIM sebagai ancaman bagi pengguna Anda, Anda benar.

Otentikasi berbasis SIM memberikan perbaikan sederhana, dengan respons langsung yang dapat ditindaklanjuti. Penipu berusaha mengakses akun korban mereka biasanya dalam waktu 24 jam, jadi dengan memeriksa aktivitas pertukaran SIM dalam 7 hari terakhir, SubscriberCheck oleh tru.ID dapat mendeteksi mereka di gerbang.

Kartu SIM di dalam telepon sudah diautentikasi dengan Operator Jaringan Seluler (MNO). Otentikasi SIM memungkinkan pelanggan seluler melakukan dan menerima panggilan telepon dan terhubung ke Internet.

SubscriberCheck dari tru.ID terhubung ke mekanisme otentikasi yang sama dengan MNO. Akibatnya, tru.ID API melakukan dua hal.

Pertama, memverifikasi bahwa nomor ponsel aktif dan dipasangkan ke kartu SIM di ponsel. Sebagai bagian dari verifikasi ini, API juga mengambil informasi jika kartu SIM yang terkait dengan nomor telepon baru saja diubah. Pemeriksaan ini dapat diintegrasikan dengan mudah dengan API dan SDK.

Selengkapnya: The Hacker News