Login Ke Google Account Menggunakan Komputer Publik Tanpa Mengetik Apapun

Ketika anda sedang menggunakan komputer publik dan ingin login ke account Google, dimana anda tidak yakin apakah pada komputer tersebut telah terinstal keylogger atau tidak, sekarang Google telah memberikan sulusinya.

Pertama, menggunakan web browser pada komputer publik tersebut masuklah ke accounts.google.com/sesame. Satu-satunya yang muncul adalah QR code tanpa ada penjelasan apapun.

Sekarang ambil ponsel Android anda, iPhone, atau smartphone lainya, lalu buka aplikasi pembaca membaca QR code (misal : Google Goggles) dan scan gambar QR code tersebut yang ada di accounts.google.com/sesame.

Terakhir, silahkan login ke account Google menggunakan ponsel anda. Saat anda browser menggunakan komputer publik tersebut, Google akan secara otomatis mendeteksi bahwa anda yang menggunakan komputer tersebut.

Penting : 

• Pastikan ponsel anda aman
• Jangan lupa logout! :p

Facebook Masih Melacak Cookie Bahkan Setelah Anda Logout!

Menurut Australian technologist Nik Cubrilovic: "Logging out of Facebook is not enough". Dia menambahkan, bahkan setelah anda logout, Facebook mampu melacak halaman browser anda setiap kali anda mengunjungi sebuah website. Dia menuliskan dalam blog-nya: "With my browser logged out of Facebook, whenever I visit any page with a Facebook like button, or share button, or any other widget, the information, including my account ID, is still being sent to Facebook".

Setelah menjelaskan perilaku cookie tersebut, ia juga mengusulkan cara untuk memperbaiki masalah tracking tersebut: "The only solution to Facebook not knowing who you are is to delete all Facebook cookies".

Source: news.enigmagroup.org

Microsoft Meremehkan Cookiejacking Vulnerability pada IE

Microsoft sudah tidak mempertimbangkan kehadiran bug pada Internet Explorer yang memungkinkan terjadinya serangan hijacking, tapi para peneliti keamanannya berpikir lain dengan melihat pengalaman yang sudah-sudah mendukung pendapat mereka.

Minggu lalu pada Hack in the Box security conference di Amsterdam, peneliti keamanan dari Italia, Rosario Valotta men-demo-kan serangan yang memanfaatkan zero-day vulnerability pada semua versi Internet Explorer untuk pencurian session cookies.

Session cookies adalah file teks berukuran kecil yang digunakan oleh website untuk melacak authentication user/pengguna. Dengan memiliki akses terhadap session cookie, attacker dapat mengendalikan (memiliki akses) account korban.

Oleh Valotta, serangan ini diberi nama cookiejacking karena menggabungkan bug pada IE dengan teknik clickjacking.

Pada dasarnya, itu adalah serangan social engineering yang mengelabui korbannya untuk berinteraksi dengan elemen halaman yang dibuat khusus oleh attacker.

Bug pada IE Memungkinkan Serangan Session Cookie Hijacking

Sebuah zero-day vulnerability mempengaruhi setiap versi Internet Explorer yang memungkinkan attacker mengeksekusi serangan seperti clickjacking dalam rangka untuk mencuri session cookies.

Serangan yang dijjuluki cookiejacking ini, diungkapkan oleh peneliti keamanan independen Rosario Valotta pada Hack in the Box 2011 security conference di Amsterdam.

Serangan tersebut tidak berjalan sendiri namun dikombinasikan dengan beberapa teknik-termasuk sedikit social engineering. Bagaimanapun juga, jika dilakuukan dengan benar-hal tersebut terbukti sangat efektif.

Bug pada IE tersebut-terdapat pada browser loading sebuah konten cookie yang jika file yang berkaitan ditampilkan sebagai src untuk iFrame.

Namun sejak penggunaan path cookie tergantung pada user Windows, attacker perlu menentukan nilainya. Valotta menjelaskan metode web yang berbasis vulnerability ini terhadap browser dapat menampilkan username korban.

WordPress 3.1.1 Rilis dengan Perbaikan Vulnerability

Development team WordPress telah merilis versi 3.1.1 dari platfrom blog publishing dalam rangka mengatasi beberapa stabilitas dan isu keamanan.

Secara keseluruhan, WordPress 3.1.1 mengalami hampir tiga puluh perbaikan bug termasuk tiga vulnerability (baca: kerentanan) yang ditemukan oleh core developers: Jon Cave dan Peter Westwood.

Sebuah bug terletak pada komponen media uploader dan proteksi bypass cross-site request forgery (CSRF). Hal ini diselesaikan dengan menambahkan beberapa nonce checks pada kode.

Jenis vulnerability ini memungkinkan attacker melakukan session hijacking pada user yang sah dengan memaksa browser mereka untuk melakukan tindakan tidak sah ketika membuka sebuah link jahat yang dirancang khusus.

Profile Spy Scam Menyerang Twitter

Peneliti keamanan memperingatkan adanya sebuah scam berupa survei pada Twitter yang menjanjikan user dapat melihat pengunjung profil mereka.

Menurut Robert Graham dari Errata Security, post spam tersebut berbunyi "94 people viewed my profile today!" diikuti dengan "Wow! See who viewed your twitter with Profile Spy [link]"

Dengan meng-klik link tersebut, user akan diarahkan ke halaman yang meminta sebuah aplikasi yang disebut "Profil Spy" agar terhubung ke profil mereka.

Aplikasi ini sebenarnya digunakan untuk penipuan, dan jika di-"allow", dia akan mulai mengirim spam dari account korban tanpa meninta izin (lagi).

User yang setuju untuk terhubung dengan aplikasi tersebut akan diarahkan ke halaman yang meminta mereka untuk berpartisipasi dalam survei yang diduga untuk pemeriksaan keamanan/security check.

XSS Vulnerability pada 1.61.channel.facebook.com

02/04/2011 - Edgard Charmmas, seorang peneliti keamanan, telah menyampaikan adanya XSS vulnerability pada Facebook (1.61.channel.facebook.com). Hal ini bertepatan dengan penyerahan website peringkat 2 menurut Alexa.

Secara manual kita dapat menguji vulnerability tersebut yang sampai hari ini (05/04/2011) masih belum juga dibenahi.

Saat mencoba membuka http://1.61.channel.facebook.com/ anda hanya akan melihat tulisan I'll find something to put here. Sedangkan anda dapat mengujinya dengan menambahkan sedikit code seperti dibawah ini:

http://1.61.channel.facebook.com/iframe/11?r=http://static.ak.fbcdn.net/rsrc.php/1.js%22%3E%3C/script%3E%3Cscript%3Ealert%28%2209.11.2655%22%29%3C/script%3E%3Cscript%3E

Database MySQL.com Dihack Menggunakan SQL Injection

Hacker telah menyerang database MySQL.com, seperti bahasa Perancis, Jerman, Italia, Jepang dan versi lokal lainya pada website tersebut. Ironisnya itu dilakukan dengan meng-exploit vulnerability SQL Injection.

Seorang hacker yang menyebut dirinya Jackh4x0r mengungkapkan dengan mempublikasikan laporannya  di mailing list terkenal.

Laporan ini mencakup informasi tentang parameter vulnerability (baca: kerentanan), daftar tabel dari beberapa data base dan daftar pengguna database dengan password dalam hash.

Tidak lama kemudian, hacker Romania, TinKode menerbitkan laporan yang lebih lengkap di blognya dam mengklaim bahwa dia dan seorang temannya yang menemukan vulnerability tersebut beberapa bulan yang lalu dan menyatakan bahwa seharusnya itu tidak dipublikasikan.

McAfee: Rahasia Perdagangan Perusahaan Menjadi Target Para Penjahat Cyber

Menurut laporan terbaru dari McAfee dan SAIC, kejahatan dalam dunia maya atau cybercrime semakin banyak bergerak hanya untuk mencuri data pribadi rahasia perdagangan dan modal perusahaan intelek lainya menjadikan mereka dengan mudah dapat menjualnya di pasar gelap.

Dalam studi baru yang rilis hari ini (28/3 PDT), "Ekonomi Underground: Intellectual Capital and Sensitive Corporate Data Now the Latest Cybercrime Currency" (PDF), McAfee dan Science Applications International Corporate menemukan adanya pencurian rahasia perdagangan, rencana pemasaran, data R&D, dan bahkan source code tengah meningkat. Terutama karena informasi tersebut sering tidak terlindungi.

Berdasarkan survei global profesional IT, laporan tersebut menemukan sejumlah temuan.