Chrome skal hindre tyveri av sesjonsnøkler. Microsoft får kritikk av CISA Review Board etter sikkerhetshendelse.
Chrome skal hindre tyveri av sesjonsnøkler
Etter innlogging på nettsteder opprettes det typisk en sesjonsnøkkel lagret i en cookie/informasjonskapsel for å holde brukeren innlogget. I forbindelse med malware og phishing blir gjerne disse stjålet, og angriperen kan deretter misbruke disse fritt fra andre PCer for å bli innlogget som offeret.
Google introduserer nå en ny funksjon i Chrome som binder sesjonsnøkkelen opp mot den fysiske PCen til brukeren. Dette gjøres ved å opprette et offentlig/privat krypto-nøkkelpar der den private delen lagres i PCens TPM-chip (Trusted Platform Module). Stjålne sesjonsnøkler vil bli ubrukelige uten den private nøkkelen som er lagret i TMPM
Funksjonen er foreløpig i test, men kan slås på manuelt.
Microsoft får kritikk av CISA Review Board etter sikkerhetshendelse
Microsoft ble utsatt for en sikkerhetshendelse i 2023. Angripere med knytning til Kina klarte å ta seg inn i deres skybaserte Exchange-miljø. Aktøren fikk tak i eposter fra både ansatte i Microsoft og statsansatte i USA.
Gjennomgangen av hendelsen og Microsofts sikkerhet konkluderer med at hendelsen aldri skulle ha skjedd og var mulig å avverge. Videre skriver de at sikkerhetskulturen hos Microsoft ikke er tilfredstillende og trenger en oppdatering, spesielt sett i lys av hvor mye sensitiv informasjon de har ansvar for.
For å gjennomføre operasjonen, utnyttet angriperne en rekke sikkerhetssvakheter hos Microsoft. Microsoft oppdaget ikke hendelsen selv, men ble varlset av en kunde. CISA er også skeptiske til kommunikasjonen til allmenheten etter hendelsen.
No comments:
Post a Comment
Retningslinjer for kommentarer
Alle kommentarer vil bli gjennomlest før de blir publisert. Kommentarer som er usaklige, har støtende eller upassende innhold vil bli slettet av moderator.