أرشيف الوسم: ثغرة امنية

جوجل ضاعفت المكافآت المالية لمكتشفي الثغرات والأخطاء

كُتب يوم بواسطة

تلجأ العديد من الشركات الكبيرة إلى دفع المستخدمين والخبراء في مجال الأمن المعلوماتي إلى اكتشاف الثغرات والأخطاء التي من الممكن أن تتواجد في منتجاتها.

تفيد هذه العملية بتنبيه الشركة حول الثغرة الموجودة لتعمل على إصلاحها قبل أن تتسبب بكارثة لها، ولتشجيع المستخدمين على القيام بذلك فإن هذه الشركات تعمل على عرض مكافآت نقدية مغرية.

لكن بالنسبة إلى شركة جوجل Google فإنه وعلى ما يبدو فقد استفادت الشركة بشكل كبير من برنامج المكافآت الذي تم الإعلان عنه سابقاً من أجل اكتشاف الثغرات في التطبيقات والمنتجات الخاصة بالشركة.

وبهدف دفع العديد من المستخدمين لاكتشاف هذه الثغرات، عملت الشركة على مضاعفة المكافآت المالية التي تم تخصيصها سابقاً، والأرقام الجديدة قد تبدو مغرية بالفعل من أجل البحث عن ثغرات ممكنة.

البداية من متصفح الشركة الشهير جوجل كروم Google Chrome، والذي تم إنشاء برنامج مكافآت مخصص له منذ عام 2010.

تقول الشركة أن البرنامج ساهم في الحصول على أكثر من 8500 تقرير حول ثغرات وأخطاء محتملة، وقد أنفقت الشركة أكثر من 5 مليون دولار كهدايا مالية لمكتشفي تلك الثغرات.

بدأت الشركة بمنح 5000 دولار كحد أعظمي للثغرات المكتشفة في المتصفح، وفي وقت سابق زادت الشركة هذا الرقم ليصل إلى 15000 دولار، أما اليوم فقد تمت مضاعفته مرة جديدة ليصل إلى 30 ألف دولار.

هنالك مكافآت مالية أصغر لمكتشفي بعض الأخطاء والثغرات البرمجية في الأكواد المخصصة للمتصفح، وقد زادت الشركة قيمة تلك المكافآت الصغيرة لتصل إلى 1000 دولار عن كل خطأ مكتشف.

أما إذا كنت تبحث عن مكافآت مالية ضخمة، فربما عليك البحث وراء جوجل عن أخطاء لها في نظام التشغيل Chrome OS، حيث خصصت الشركة مبلغ 150 ألف دولار لكل ثغرة خطيرة يمكن أن تؤذي أجهزة Chromebook أو Chromebox في وضع الضيف Guest Mode.

متجر التطبيقات الخاص بالشركة والمعروف باسم Google Play حصل هو الآخر على زيادة مغرية في المكافآت المخصصة لاكتشاف الثغرات والأخطاء البرمجية فيه.

حيث زادت الجوائز المالية الخاصة باكتشاف أخطاء تنفيذ التعليمات البرمجية عن بُعد من 5000 إلى 20 ألف دولار، وسرقة البيانات الخاصة غير الآمنة من 1000 دولار إلى 3000 دولار.

مقالات قد تعجبك:

ما هي حواسيب كروم بوك Chromebook المحمولة من جوجل؟ وما ميزاتها؟
كيفية مسح سجل التصفح في كروم وسفاري وفايرفوكس وإيدج وإكسبلورر
كيفية تغيير كلمة مرور حساب جوجل Google وبريد جيميل Gmail
كيفية تفعيل الوضع الليلي في ويندوز 10 يدوياً أو تلقائياً
كيفية حفظ رسائل الإيميل والمواعيد وجهات الاتصال كملفات في Outlook

مايكروسوفت حذّرت من خطر الثغرة الأخيرة على مليون حاسوب

كُتب يوم بواسطة

كشفت عملاقة البرمجيات الأمريكية شركة مايكروسوفت Microsoft الشهر الماضي عن ثغرة أمنية خطيرة مكتشفة حديثاً في نظامها الخاص بتشغيل الحواسيب المحمولة والمعروف للجميع باسم ويندوز Windows.

استجابت الشركة سريعاً للتهديدات الجديدة وعملت على إصدار تصحيحات أمنية عاجلة حتى للأنظمة القديمة من Windows Server أو نظام التشغيل مثل Windows XP.

حيث يأتي اندفاع مايكروسوفت وعملها السريع على سد الثغرة انطلاقاً من الأثر الخطير الذي يمكن أن تتركه تلك الثغرة بطريقة مشابهة للأثر الذي لا يمكن نسيانه لبرمجيات الفدية WannaCry والطريقة السريعة التي انتشرت بها.

وعلى الرغم من إرسال التحديثات، عادت الشركة لتذكّر مرة أخرى بضرورة التحديث والعمل على حماية النظام، حيث اعترفت بتواجد أكثر من 1 مليون حاسوب متصل بالإنترنت حالياً يمكن مهاجمتهم من خلال استغلال الثغرة المذكورة.

وحذّر Simon Pope مدير الاستجابة للحوادث في مركز الاستجابة الأمنية التابع لمايكروسوفت من أن الشركة واثقة من وجود استغلال ممكن وخطير لهذه الثغرة.

وقال مسؤول الشركة أنه وعلى الرغم من مرور أسبوعين دون صدور تقارير عن إصابة أجهزة حاسوب بالثغرة الجديدة، فإن هذا لا يعني إطلاقاً أن الخطر قد زال.

يذكّر Simon Pope بأنه وبعد مرور ما يقرب من الشهرين على تصحيحات EternalBlue السابقة عندما بدأت هجمات WannaCry، وعلى الرغم من وجود 60 يوماً لإصلاح الأنظمة، فإن الكثير من الأجهزة لا تزال مصابة.

وكانت الشركة قد شرحت سابقاً بأن الثغرة الجديدة المكتشفة استهدفت مشكلة عدم حصانة في عملية تنفيذ التعليمات البرمجية عن بعد في خدمات سطح المكتب البعيد على النظامين Windows XP و Windows 7.

بالإضافة لتواجد المشكلة على إصدارات Windows Server 2003 و Windows Server 2008 R2 و Windows Server 2008.

ويأتي اهتمام الشركة بالثغرة الجديدة بسبب أن هنالك الملايين من المستخدمين ما زالت تستخدم الأنظمة السابقة ولا سيما في حالة الشركات الكبيرة، الأمر الذي دفع بمايكروسوفت إلى ضرورة التذكير بتحديث الأجهزة من قبل مشرفي النظام.

مقالات قد تعجبك:

كيفية اختيار مزود طاقة جديد للكمبيوتر
كيفية إضافة عملك التجاري إلى جوجل
لماذا يوجد نسخ 32 و 64 بت من الأنظمة والبرامج؟ وما الفرق بينها؟
كيفية حذف واستعراض سجل التصفح على PlayStation 4
كيفية حذف واستعراض سجل التصفح على جهاز Xbox One

جوجل خزّنت كلمات مرور بعض حسابات G Suite دون تشفير

كُتب يوم بواسطة

في منشور جديد على مدونتها، اعترفت شركة جوجل Google مؤخراً بأنها خزّنت كلمات المرور الخاصة ببعض حسابات G Suite بشكل غير مشفّر نتيجة ثغرة أمنية في أنظمة الشركة.

والغريب في الأمر أن هذه الثغرة كانت متواجدة منذ عام 2005 أي منذ 14 عاماً، وعلى الرغم من ذلك فإن الشركة لم تجد دليلاً على أن هنالك إساءة استخدام لكلمات المرور غير المشفّرة.

ويبدو أن تلك الثغرة قد حدثت نتيجة وجود ميزة تمنح مسؤول الشركة الذي يستعمل حزمة G Suite إمكانية تعديل كلمات مرور المستخدمين يدوياً، الأمر الذي تسبب بقيام وحدة تحكم المشرف بتخزين كلمات المرور الجديدة على شكل نص عادي غير مشفّر.

لحسن الحظ فإن تخزين كلمات المرور بشكل غير مشفّر قد جرى خلال هذه المدة الطويلة على خوادم الشركة الداخلية، وبالتالي فإن تلك المعلومات كانت غير قابلة للوصول من خارج الشركة على الإنترنت.

ومع ذلك، فقد واجهت الشركة خلال تلك السنوات مخاطرة كبيرة بتسريب هذه الكلمات من داخل الخوادم أو حدوث هجوم أمني كبير يؤدي إلى الوصول لتلك الكلمات بشكلها غير المشفّر.

ولم تكن جوجل الشركة الوحيدة التي عانت من مشكلة تخزين كلمات المرور بشكل غير مشفر نتيجة حدوث خطأ أو ثغرة، فقد نصحت شبكة تويتر Twitter في آذار العام الماضي جميع مستخدميها البالغ عددهم 330 مليون بتغيير كلمات المرور.

وكان السبب في ذلك هو ثغرة أمنية سبّبت تخزين كلمات المرور المستخدمين بشكل غير مشفر، لتعود نفس المشكلة للظهور بعد عام كامل في فيسبوك Facebook عندما تبيّن أن كلمات مرور المستخدمين تم تخزينها دون تشفير.

وبعد أسابيع قليلة من فضيحة فيسبوك، تبيّن أن شبكة إنستغرام Instagram قد تأثرت بما حدث مع فيسبوك، وكانت كلمات مرور مستخدميها تعاني من نفس المشكلة.

من جانبها، لم تحدد جوجل عدد المستخدمين الذين ربما تأثروا بهذا الخطأ إلى جانب تأكيد الشركة بأن التأثير كان على مجموعة فرعية من عملاء G Suite، لكن هذه المجموعة قد تضمّ أي مستخدم للحزمة منذ عام 2005.

تم إصلاح المشكلة في الوقت الحالي وقدّمت جوجل اعتذارها في بيانها الأخير، حيث قالت:

نحن نأخذ أمن عملائنا في المؤسسة على محمل الجد، ونفخر بتقديم أفضل الممارسات في هذا المجال لأمن الحساب، لكن هنا لم نلتزم بمعاييرنا الخاصة ولا بمعايير عملائنا، نعتذر لمستخدمينا وسوف نفعل ما هو أفضل.

مقالات قد تعجبك:

ما هو Sketchup؟ وكيف يتم استخدامه؟
كيفية تضمين فيديو يوتيوب في العرض التقديمي بور بوينت
ما هي تقنية بلوتوث 5.1 الجديدة ؟ و ما ميزاتها ؟
ما هي ميزة التخزين المحسّن في أجهزة ماك؟و كيف يمكن الاستفادة منها ؟
كيفية وصل سماعات AirPods مع كمبيوتر ويندوز أو ماك أو مع هواتف أندرويد أو آيفون

ثغرة في إنترنت إكسبلورر سمحت بسرقة ملفات المستخدمين

كُتب يوم بواسطة

من الواضح أن متصفح الإنترنت الشهير إنترنت إكسبلورر Internet Explorer لا يتمتع بشعبية واسعة حول العالم، بل أنه أصبح في الفترة الأخيرة واحداً من المتصفحات الأقل استخداماً عالمياً.

لكن هذه المرة فإن الأمر لا يتعلق بشعبية المتصفح أو بتفضيل المستخدمين، بل أن الأمر أخطر من ذلك إذ تم الكشف عن ثغرة أمنية خطيرة في المتصفح من قبل أحد الباحثين الأمنيين.

تسمح هذه الثغرة في حال تم استغلالها بشكل صحيح من قبل المهاجم بسرقة ملفات المستخدمين من أجهزتهم التي تعمل بنظام التشغيل ويندوز.

وتعتمد آلية عمل استغلال الثغرة على طريقة معالجة المتصفح لملفات MHT وهو الامتداد الخاص بملفات أرشيف صفحات الويب حيث يعد المعيار الافتراضي الذي تقوم من خلاله جميع متصفحات إنترنت إكسبلورر بحفظ صفحات الويب عندما يطلب المستخدم ذلك.

لا تقوم المستعرضات الحديثة بحفظ صفحات الويب بتنسيق MHT، وبدلاً منه فهي تستخدم تنسيق HTML القياسي، ومع ذلك لا يزال العديد من المستعرضات الحديثة تدعم معالجة التنسيق.

بحسب الباحث الأمني John Page فإن استغلال الثغرة يمكن عندما يقوم المستخدم بفتح ملف MHT حيث يستطيع المهاجم التسلل والوصول إلى الملفات المحلية واستطلاعها.

ولا يحتاج استغلال الثغرة إلى الكثير من الجهد نظراً إلى أن ويندوز يقوم افتراضياً بتشغيل ملفات MHT من خلال المتصفح إنترنت إكسبلورر، وبالتالي يحتاج المستخدم فقط للنقر المزدوج على ملف من هذا النوع يمكن أن يتم تلقيه عبر بريد إلكتروني على سبيل المثال.

الأخطر من ذلك أنه يمكن للمهاجم تعطيل نظام التنبيه الأمني ​​الخاص بالمتصفح المذكور، حيث يحصل المستخدمون عادةً على شريط تحذير أمان في المتصفح ويطلب منهم تنشيط المحتوى المحظور، لكن في هذه الحالة فإن التنبيه لن يظهر أبداً.

قال الباحث الأمني أنه استطاع اختبار الثغرة على أحدث إصدار من المتصفح ومع كافة تحديثات الأمان الأخيرة على أنظمة ويندوز 7 و ويندوز 10 و Windows Server 2012 R2.

من الجيد أن حصة المتصفح عالمياً هي أقل من 7.4% في سوق متصفحات الإنترنت حول العالم، لكن نظراً إلى أن متصفح إنترنت إكسبلورر تم تعيينه كتطبيق افتراضي من أجل فتح ملفات MHT فإن ذلك يمثّل خطراً على كل مستخدم ما زال يحتفظ بالمتصفح على جهازه.

الغريب في الأمر أن شركة مايكروسوفت Microsoft رفضت النظر في الثغرة على أنها أمر عاجل يستدعي إرسال تحديث فوري لحل المشكلة، وقالت أن إصلاح المشكلة سيتم النظر فيه من خلال التحديثات المستقبلية!

مقالات قد تعجبك:

ماهي خدمات جوجل بلاي Google Play Services ولماذا تستنزف البطارية في الأندرويد؟
ما هي كاميرات المراقبة اللاسلكية؟ وهل هي آمنة؟
ما هو جهاز ستيم لينك؟ وكيف يستخدم لربط شاشة غرفة الجلوس بألعاب الكمبيوتر عن بعد؟
كيفية حفظ مستند مايكروسوفت وورد كصفحة ويب
كيفية حفظ رسائل الإيميل والمواعيد وجهات الاتصال كملفات في Outlook

باحثان أمنيان اخترقا سيارة Tesla Model 3 وفازا بها

كُتب يوم بواسطة

هل سمعت سابقاً بمسابقة Pwn2Own السنوية المختصة باكتشاف الثغرات الأمنية وإعطاء المكافآت للباحثين الأمنيين الذين يستطيعون كشف هذه الأخطاء والثغرات الخطيرة؟

هذا العام لم تكن تلك المسابقة السنوية اعتيادية، والسبب هو مشاركة شركة تيسلا Tesla والتي تحدّت المشتركين في المسابقة من أجل كشف أي ثغرة أمنية خطيرة في سيارة Model 3 وهو ما ذكرناه في مقالة سابقة حول تحدّي الشركة.

خسرت الشركة التحدي، وكسبت معرفة ثغرة أمنية موجودة في متصفح السيارة، حيث استطاع الفريق Fluoroacetate المؤلف من الباحثين Richard Zhu و Amat Cam اختراق المتصفح.

الجائزة التي حددتها الشركة في بداية المسابقة كانت ثمينة جداً، حيث قالت الشركة أن مَن يستطيع اختراق السيارة سيعود بها إلى بيته، وهو ما حدث بالفعل حيث تم منح السيارة كهدية إلى الباحثين الأمنيين.

شركة تيسلا كانت سعيدة باكتشاف الثغرة، حيث قالت في بيان خاص أنها دخلت المسابقة من أجل الانخراط مع الأعضاء الأكثر موهبةً في مجتمع الأمن المعلوماتي.

وقالت الشركة أن سيارتها الفخمة تحتوي على العديد من طبقات الأمان التي لم يستطع أحد اختراقها، في حين لم يكن مستوى الحماية بالشكل المطلوب بالنسبة لمتصفح السيارة الذي مكّن الباحثين الأمنيين من الفوز بالسيارة.

شكرت شركة تيسلا الباحثين المكتشفين للثغرة ووعدت بإصدار تحديث عاجل لإغلاق الثغرة خلال الأيام المقبلة ومنحت السيارة بالإضافة إلى مجموعة من الجوائز المالية للفريق الفائز.

الجدير بالذكر أن مسابقة Pwn2Own كانت تضم أربع فئات لاكتشاف الثغرات في السنوات الماضية والتي تنوعت بين متصفحات الويب وبرامج المحاكاة الافتراضية وتطبيقات المؤسسات وبرامج الخادم.

لكن المميز في نسخة المسابقة من هذا العام هو احتوائها على فئة خامسة وهي فئة السيارات التي شاركت فيها شركة تيسلا.

خلال مسابقة Pwn2Own تم منح ما يزيد عن نصف مليون دولار من الجوائز المالية لمكتشفي ثغرات أمنية في متصفح آبل Safari ومتصفح مايكروسوفت Edge ونظام ويندوز ومتصفح Firefox و VMware Workstation.

مقالات قد تعجبك:

كيفية إنشاء مخطط بياني بسهولة على أي جهاز دون برامج
ما هي ملفات النظام الخاصة بويندوز؟ وأين توجد؟
كيفية استعادة حساب واتساب عند نسيان PIN رمز التحقق بخطوتين
كيفية إصلاح التطبيقات والميزات غير المرغوبة في هواتف سامسونج
ما هو نظام التشغيل ؟

فيسبوك اعترفت بحفظ كلمات مرور المستخدمين بشكل غير مشفر

كُتب يوم بواسطة

قامت شبكة ومنصة فيسبوك Facebook للتواصل الاجتماعي بتخزين كلمات المرور الخاصة بمئات الملايين من المستخدمين على شكل نص غير مشفّر نتيجة حدوث خلل برمجي.

حيث عادةً ما يتم تخزين كلمات المرور والمعلومات الحساسة بطريقة تشفير تدعى Hashing ولكن سلسلة من الأخطاء البرمجية في تطبيقات فيسبوك تركت مئات ملايين كلمات المرور غير مشفّرة.

لحسن الحظ فإن كلمات المرور هذه كانت غير قابلة للوصول من خارج الشركة، ولكن في نفس الوقت كانت متاحة لآلاف الموظفين المتواجدين في فيسبوك، الأمر الذي عرّضها لخطر التسريب.

ويُعتقد أن ما بين 200 مليون و 600 مليون مستخدم على فيسبوك قد تأثروا بالخلل الأخير، حيث اعترفت فيسبوك بوجود المشكلة في منشور على مدونتها بعنوان الحفاظ على كلمات المرور آمنة.

وقالت الشركة أن إدارة فيسبوك استطاعت كشف المشكلة في شهر كانون الثاني الماضي أثناء قيامها بمراجعة أمنية، كما أكّدت فيسبوك أن المشكلة تم إصلاحها وسيتم إعلام المستخدمين المتأثرين.

وفقاً لفيسبوك، لا يوجد دليل على أن كلمات مرور المخزّنة دون تشفير قد تم كشفها خارج الشركة أو أنها تعرضت لإساءة الاستخدام داخلياً.

ونتيجةً لذلك، لن يُطلب من المستخدمين إعادة تعيين كلمات المرور الخاصة بهم، حيث أثرت المشكلة على مئات الملايين من مستخدمي تطبيق Facebook Lite، وعشرات الملايين من مستخدمي تطبيق فيسبوك الأساسي، وعشرات الآلاف من مستخدمي تطبيق إنستغرام.

وللأسف فإن الخلل الجديد يأتي ليضيف حلقة جديدة من مسلسل الأخطاء والثغرات الأمنية والتسريبات الخطيرة التي بدأت تعاني منها المنصة منذ فترة من الزمن، الأمر الذي عرّضها للكثير من الانتقاد.

مقالات قد تعجبك:

كيفية التحكم بالإعدادات المختلفة في كاميرات كانون Canon
كيفية تصفير عداد استخدام البيانات في ويندوز 10
كيفية استخدام أداة لقطة الشاشة في مايكروسوفت وورد
كيفية ترقيم الصفحات في مايكروسوفت وورد
كيفية تفعيل خطة الأداء الأمثل في ويندوز 10

جوجل طلبت من المستخدمين تحديث متصفح كروم بشكل عاجل

كُتب يوم بواسطة

أثبتت تقارير حديثة أن لدى شركة مايكروسوفت Microsoft ثغرة أمنية خطيرة في نسخة نظامها ويندوز 7 حيث تم إطلاق اسم يوم الصفر أو Zero Day على هذه الثغرة.

أحد أبرز الجهات التي كشفت عن الثغرة قبل مايكروسوفت نفسها هي شركة جوجل Google، وسبب اهتمام جوجل للأمر هو أن الثغرة يمكن استغلالها من خلال متصفحها الشهير كروم Chrome.

بحسب جوجل فإن الثغرة يمكن أن تغير من السماحيات والصلاحيات على مستوى النظام لتنفيذ تعليمات برمجية ضارة، الأمر الذي يمكن استغلاله من خلال متصفح كروم.

وقالت جوجل أنها وبحسب دراساتها للثغرة الحديثة فإنها لم تجد لها أثراً إلا على أنظمة Windows 7 32-bit، لكن هذا يعني أن الإصدارات القديمة من النظام قبل ويندوز 7 هي أيضاً معرّضة للخطر.

قامت جوجل بإبلاغ مايكروسوفت بالمشكلة، حيث ردّت مايكروسوفت بأنها على علم بالثغرة وأنها ستعمل على حلها بأسرع وقت.

مضت عشرة أيام ولم تعمل مايكروسوفت على حل المشكلة، وعلى ما يبدو فإن جوجل قد نفذ صبرها لذلك أرسلت تحديث عاجل لحل المشكلة على متصفحها كروم.

في بيان رسمي حول الحادثة، قالت مايكروسوفت أن لديها التزام بالتحقيق في المشكلات الأمنية التي تم الإبلاغ عنها والتحديث بشكل استباقي في أقرب وقت ممكن.

وذكّرت مايكروسوفت في بيانها أنه أصبح الوقت مناسباً الآن بالنسبة لمستخدمي Windows 7 32-bit للنظر في الترقية إلى Windows 10، حيث أن الإصدارات الأحدث لديها المزيد من الحماية في مكانها.

نجحت جوجل في إغلاق الثغرة في الجزء المتعلق بمتصفح كروم، وطالبت مستخدمي المتصفح وخاصةً الذين يستخدمون نظام Windows 7 بتحديث متصفحهم إلى النسخة الأخيرة ذات الرقم 72.0.3626.121.

عادةً ما يتم تحديث المتصفح بشكل تلقائي أثناء تشغيله والاتصال بشبكة الإنترنت، لكن للتأكد من أنك تعمل على النسخة الأحدث، اتبع الطريقة التالية:

من القائمة المتواجدة على زاوية المتصفح، اضغط عيها واختر Help أو مساعدة، بعد ذلك انتقل إلى الخيار الفرعي About Google Chrome أو حول جوجل كروم.

سيتم فتح صفحة تعرض النسخة الحالية للمتصفح، في حال كانت بالرقم Version 72.0.3626.121 فهذا يعني أن التحديث الأخير قد تم تثبيته تلقائياً على متصفحك.

في حال لم يكن متصفحك مُحدّث إلى هذه النسخة فسيعرض كروم خيار التحديث بشكل تلقائي، لذلك يجب قبول التحديث والبدء بتحميله بأسرع وقت.

مقالات قد تعجبك:

كيفية حفظ رسائل الإيميل والمواعيد وجهات الاتصال كملفات في Outlook
كيفية تعطيل الإشعارات في نظام ويندوز 10
ما مساوئ كاميرات المراقبة اللاسلكية؟ وما الحلول؟
كيفية مسح سجل التصفح في كروم وسفاري وفايرفوكس وإيدج وإكسبلورر
ما هو خطأ 403 Forbidden؟ وكيف يمكن إصلاحه؟

ثغرة في فيسبوك مسنجر سمحت بمعرفة جهات اتصال المستخدم

كُتب يوم بواسطة

تحدثت عدة تقارير عن ثغرة خطيرة في تطبيق التراسل الخاص بشبكة فيسبوك Facebook والمعروف لدى الجميع باسم فيسبوك مسنجر Messenger.

الغريب في القصة أن اكتشاف الثغرة لم يكن حديثاً، بل كان قبل عام تقريباً، لكن المشكلة ما زال تأثيرها مستمراً إلى الآن دون التوصل لحل.

سمحت هذه الثغرة للمتسللين بمعرفة جهات الاتصال التي كان يتحدث معها المستخدم الضحية، لكن محتوى الرسائل المتبادلة بين الطرفين لم يكن من الممكن الوصول إليها.

اكتشاف الثغرة كان من قبل مجموعة الأمن المعلوماتي Imperva والتي أرسلت إلى فيسبوك تقريراً عن الثغرة المكتشفة ليتم إصلاحها في شهر تشرين الثاني الماضي.

عادت هذه الثغرة للظهور مجدداً بطريقة أخرى، حيث يتطلب استهداف المستخدم الضحية أن يدخل المستخدم إلى موقع ويب مع برمجيات خبيثة مضرة معدّة سابقاً من متصفح كروم Chrome أثناء تسجيل دخوله على حسابه الشخصي على فيسبوك.

تسمح هذه الثغرة للمهاجمين بالكشف عن قائمة جهات الاتصال الخاصة بالضحية، كما يمكن الكشف عن الأسماء التي تم تبادل الرسائل معها مؤخراً، لكنها لم تسمح بالكشف عن محتوى المحادثات.

عندما تم الكشف عن الثغرة للمرة الأولى استجابت فيسبوك للتقرير وحاولت إصلاح المشكلة، لكن بحسب تقرير مجموعة الأمن المعلوماتي المذكورة فإن المشكلة ما زالت متواجدة وما زال بإمكان المهاجمين الاستفادة منها.

على مدى السنوات القليلة الماضية، تم توجيه عشرات الانتقادات الخاصة بشبكة فيسبوك بسبب مواضيع متعلقة بالخصوصية وحماية بيانات المستخدمين والثغرات الأمنية.

وفي الوقت الذي تعهّد فيه الرئيس التنفيذي للشبكة مارك زوكربيرج بتغيير مستقبل فيسبوك للتركيز بشكل أكبر على الخصوصية، تأتي هذه الأخبار لتكشف عن مدى سوء الوضع الحالي في الشبكة وتدهورها المستمر.

مقالات قد تعجبك:

ما هو معدل تحديث الشاشة؟ وكيف يتم تغييره؟
كيفية استخدام ميزة التصفح المتخفي الجديدة في يوتيوب
كيفية استخدام أندرويد دون شركته الأم غوغل
الطريقة الصحيحة للف كابلات الشحن والبيانات لمنع تضررها
لما جودة الصوت في هواتف آيفون أفضل من هواتف أندرويد؟

سويسرا دعت القراصنة لاختراق نظامها الإلكتروني للتصويت

كُتب يوم بواسطة

دعت الحكومة السويسرية وبصفة رسمية الشركات والباحثين الأمنيين والقراصنة من حول العالم من أجل محاولة اختراق نظامها الإلكتروني للتصويت وذلك بعد أن يتم تحويله إلى نظام مفتوح أمام الجميع قريباً.

وقالت الحكومة في بيان صحفي:

نرحب بالقراصنة المهتمين من جميع أنحاء العالم لمهاجمة النظام، من خلال القيام بذلك فسوف تساهمون في تحسين أمن النظام الخاص بنا.

سيتم إجراء اختبار الاختراق العام (PIT) بين 25 من شهر شباط الحالي و 2 آذار القادم، وستتوفر مكافآت نقدية تتراوح من 100 دولار إلى 30 ألف دولار بحسب الثغرات المكتشفة ودرجة خطورتها.

ومن المقرر إجراء جلسة تصويت إلكتروني وهمية في اليوم الأخير من فترة الاختبار في 24 آذار، ولكن يمكن للمشاركين مهاجمة نظام التصويت الإلكتروني قبل ذلك أيضاً.

للمشاركة في هذا الاختبار، يتعين على الشركات والباحثين في مجال الأمن الاشتراك مسبقاً قبل بدء جلسة اختبار الاختراق الرسمية.

حيث سيمنح التسجيل للمشاركين الإذن القانوني لمهاجمة النظام الحكومي، وسيضمن أن المكافآت النقدية ستصل لأولئك الذين يقدمون تقريراً عن الثغرات المكتشفة لأول مرة، مع فرض مجموعة من القواعد والقيود على المشاركين.

على سبيل المثال، بعض الأشياء التي لا يسمح للمشاركين في نظام اختبار الاختراق القيام بها هي تنفيذ الهجمات التي قد تضر الجهاز الشخصي للناخبين أو مهاجمة أنظمة غير ذات صلة تابعة للبريد السويسري وهو صانع نظام التصويت الإلكتروني.

سيساعد البريد السويسري في إجراء الاختبار عن طريق تعطيل بعض أنظمة الحماية الأمنية التي عادةً ما تحمي نظام التصويت الإلكتروني، وذلك لتمكين المشاركين من التركيز بشكل كامل على مهاجمة النظام الأساسي.

بالإضافة إلى ذلك، سيسمح البريد السويسري للمشاركين في الاختبار بطلب أكبر عدد ممكن من بطاقات الاقتراع الإلكترونية التي يحتاجونها لإجراء اختباراتهم، مع جعل شيفرة المصدر الخاصة بنظام التصويت الإلكتروني متوفرة للمشاركين في GitLab.

كما واستأجرت السلطات السويسرية أيضاً شركة SCRT SA السويسرية كطرف ثالث مستقل سيتحقق من تقارير الثغرات التي يقدمها المشاركون.

وقررت الحكومة السويسرية إجراء اختبارات اختراق عامة لنظام التصويت الإلكتروني لديها لتعزيز الثقة بأن هذه الأنظمة آمنة، وقالت الحكومة إن نظام التصويت الإلكتروني اجتاز بالفعل أكثر من 300 جلسة اختبار خاصة.

في حين قال المسؤولون أن التصويت الإلكتروني سيسهل على المواطنين السويسريين الذين يعيشون في الخارج المشاركة في عمليات التصويت التي يتم إجراؤها داخل البلاد.

مقالات قد تعجبك:

ما هي أجهزة كشف و إنذار الدخان والحرائق
إزالة الأشخاص من الصور بسهولة باستخدام برنامج الفوتوشوب
كيفيّة استرجاع كلمة مرور حساب Steam في حالة نسيانها
ما هو خطأ 503 Service Unavailable؟ وكيف يمكن إصلاحه؟
كيفيّة التقاط صور أفضل باستخدام وضع التتابع Burst Mode

مبرمج استغل ثغرة في نظام بنك صيني وسرق مليون دولار

كُتب يوم بواسطة

هل شاهدت يوماً ما مشهداً سينمائياً لأحد المبرمجين المحترفين وهو يجبر الصرافات الآلية على ضخ آلاف الدولارات بعد عملية اختراق ناجحة؟

حسناً، يبدو أن هذا المشهد تحوّل إلى حقيقة في الصين بحسب ما ذكرت كل من صحيفة The South China Morning Post وصحيفة Daily Economic News المحلية في البلاد.

حيث استطاع Qin Qisheng وهو مبرمج صيني محترف يبلغ من العمر 43 عاماً من سحب ما يزيد عن مليون دولار أمريكي من بنك Huaxia الذي يعمل فيه مستغلاً وجود ثغرة في نظام السحب النقدي.

ووفقاً للتقارير، فإن الثغرة الموجودة في النظام منعت عمليات تسجيل سحب الأموال التي يتم القيام بها في منتصف الليل تقريباً.

حيث كان من المفترض أن تؤدي عمليات السحب إلى إرسال تنبيه عاجل بأن عملية السحب قد فشلت، لكن بسبب وجود الثغرة في نظام عمل البنك فقد تمكن المبرمج من سحب مبالغ نقدية مختلفة دون أن يعلم أحد.

بدأ المبرمج السارق بسحب الأموال منذ شهر تشرين الثاني من عام 2016 على شكل مبالغ نقدية مختلفة القيمة في كل مرة، وعند اكتشاف أمره مؤخراً اعترف بسرقة ما يزيد عن مليون دولار أمريكي.

ولعل الجزء الأكثر إثارة للدهشة في هذه القصة هو أن البنك الصيني لم يرغب بالاستمرار في محاكمة المبرمج السارق والموظف لديه، حيث طالب الشرطة بإسقاط القضية.

من المحتمل أن إدارة البنك كانت قلقة بشأن تضخم القضية والتسبب بدعاية سيئة لأعمال البنك وأمن نظامه، وقالت الإدارة بأنها قبلت واقتنعت بتبرير المبرمج الصيني.

حيث برّر المبرمج سرقته أثناء التحقيق بأن ما كان يقوم به هو مجرد اختبار لأنظمة الأمان في البنك، وأنه يعتزم إعادة كافة الأموال التي سحبها.

في الحقيقة يبدو هذا التبرير غير مقنعاً أبداً نظراً لأن الأموال المسحوبة كانت تُحوّل إلى حساب المبرمج الصيني الخاص وليس إلى خزينة البنك، كما قام المبرمج باستثمار جزء من هذه الأموال في سوق الأسهم أيضاً.

رفضت المحكمة طلب البنك بإسقاط القضية، ووجهت حكم نهائي على المبرمج الصيني بالسجن لمدة 10 سنوات ونصف بعد أن خسر استئنافه.

مقالات قد تعجبك:

كيفية استعادة المبالغ المدفوعة باستخدام البطاقة الائتمانية
كيفية استعادة الملفات المحذوفة على نظام ماك macOS
كيفية إضافة منافذ USB-C إلى حواسيب ويندوز
كيفية إصلاح صوت الكمبيوتر إذا قام تحديث ويندوز بتعطيله
طرق العمل المشترك المتوفرة بين ويندوز 10 وبين هواتف أندرويد أو آيفون