Il mese dei bug Java

-
Il mese dei bug Java e il sottotitolo: "un caffè veramente nero in Maggio", destano non poca preoccupazione tra i Java developer. Ma l'iniziativa sembra veramente promettente. Insomma il 1° Maggio sintonizzatevi su questa pagina per scoprire le nuove Disclosure per questo linguaggio estremamente diffuso. Full Disclosure ovviamente!

Two years after the Month of PHP Bugs the same crew is now running the Month of Java Bugs. In days where more and more Security Researchers join the nomorefreebugs campaign this initiative is an effort to improve the security of Java for free. During May 2009 new security vulnerabilities in the JVM and the Java SDK will be disclosed on a day by day basis.

  • Is this an attack, revenge, conspiracy or some kind of evil plot against Java?

    • Not at all. We strongly believe that disclosing vulnerabilities in software is actually very helpful and not an attack at all.

  • What kind of security bugs will be covered?

    • We will report different classes of security bugs. From simple denial of service bugs to potential remote code execution vulnerabilities.

  • Are Java web applications also a target of this initiative?

    • Not exactly. We will offer Java web applications bugs as bonus bug through the months.

  • Does the Java Security Response Team know about these issues?

    • No every single vulnerability disclosed will be news to them...

  • Does "someone" pay, sponsor or support this? Is this initiative influenced in order to spread FUD over competitor's products?

    • This initiative is sponsored by the Month of PHP Bugs crew. We like Java and therefore we are not interested in spreading FUD about it. We think that both Java and PHP have their own reasons to exist.

  • Why do you provide exploit code, isn't that irresponsible?

    • Exploit code is provided because on the one hand some people do not believe that a vulnerability is exploitable (maybe because their attempts failed) and on the other hand the lack of exploit code that tests for a certain vulnerability is the major reason why vulnerabilities are sometimes not correctly fixed or why the same bugs are later reintroduced.

  • Is this initiative affiliated with MOAB, MOKB, MOBB, MOPB?

    • This initiative is by the same people behing the Month of PHP Bugs (MOPB).

    Commenti

    Posta un commento

    Post popolari in questo blog

    Exploit: icsploit o espluà?

    -
    Immagine
    Non ce la faccio più! Continuo a sentir pronunciare " exploit ", nel senso di " sfruttamento di una vulnerabilità informatica ", in francese: espluà ! E' quasi un pugno nello stomaco! Sebbene il termine inglese derivi dal francese, quando si usa nel contesto della sicurezza informatica, la pronuncia è in inglese, ovvero " ecsploit "o " icsploit " (a seconda che sia un sostantivo o un verbo). E poi visto che la consuetudine è quella di usare termini inglesi nel contesto informatico, e per amore di un unico e non ambiguo vocabolario, usiamo i termini inglesi quando ci riferiamo a cose ben specifiche  e relative all'informatica. Per essere estremamente chiari, se dobbiamo parlare di "SQL Injection" non è che possiamo tradurla come "inoculazione di sequenze maliziose in una istruzione del linguaggio SQL". Non si capisce nulla! Altrimenti torniamo al caro professore che insisteva nel tradurre "Computer" in "...
    Continua a leggere

    TrueCrypt 5.0: nuova release

    -
    E' uscita la nuova versione di TrueCrypt 5.0 (ricordo che è Free e Open Source). Importanti le novità: Features : permette di cifrare una intera partizione del disco con un'autenticazione pre-boot; inserita una pipeline per le operazioni di read/write che migliorano le prestazioni fino al 100% su Windows; nuova versione per Mac OS X; GUI per TrueCrypt su Linux; utilizzo di XTS - approvato recentemente come standard IEEE 1619 - per la protezione crittografica di device per lo storage a blocchi; sostituzione dello SHA1 con il più sicuro SHA-512. Bug fix : versione su Linux completamente ridisegnata per sopperire ai problemi dovuti all'aggiornamento del kernel; correzioni di bug e falle di sicurezza. Ho provato la nuova versione sia su Windows XP che su Vista Home Premium. Su XP Professional o Home nessun problema. Potete addirittura non disinstallare la vecchia versione, reinstallando tutto sopra. In Vista consiglio di disinstallare la vecchia versione, riavviare e poi ins...
    Continua a leggere

    ING Direct: ancora con il PAD numerico rotante!

    -
    Immagine
    Quanti anni saranno che ING Direct ci propina il suo sistema di autenticazione? Avete presente il PAD numerico in cui ogni volta che si accede vengono cambiate le posizioni dei numeri sul tastierino? Negli anni avranno sicuramente cambiato la tecnologia sottostante e le tecniche di sicurezza, tanto è vero che alcuni script client-side inclusi nella pagina, con un breve giro con Firebug, sono generati server-side con URL randomiche (solo nell'ultima parte) e Firebug non riesce a mostrarli. Ma a parte la loro bravura nell'offuscare il codice, perché di offuscamento si tratta, quando si decideranno ad utilizzare un meccanismo di autenticazione a 2 fattori? Una cosa che tu sai + Una cosa che tu hai Potrei suggerire uno degli innumerevoli Token OTP che ormai molte banche danno ai loro correntisti e che li tranquillizzano non poco nell'accesso ai propri conti on-line. Provate a chiedere ad un utente se è più o meno tranquillo con un Token fisico che solo lui detiene e che ogni 30...
    Continua a leggere