![[-]](/static/images/article-icon--blue.929eff9893d6.png){kind=icon}
Cloud computing se stává nedílnou součástí moderních IT infrastruktur a podnikových řešení. Využívání cloudových služeb přináší nespočet výhod, ale zároveň také představuje určité bezpečnostní výzvy. Tento článek se zaměřuje na aktuální trendy, výzvy kybernetické bezpečnosti a obecné osvědčené postupy při implementaci cloudových řešení.
Prostredie internetového bankovníctva sa každý rok vyvíja a banky sa snažia svojim klientom poskytnúť stále viac komfortný priestor a zjednodušiť a sprístupniť im čo najviac služieb. Jednou z nich na ktorú sme si mohli v posledných rokoch zvyknúť je založenie účtu online. Z pohľadu klienta jednoduchá a už aj samozrejmá vec, z pohľadu banky je to však komplikovaný proces spojený s množstvom rizík. Jedným z rizík, ktoré sme skúmali, je krádež identity a možnosť vytvorenia účtu pre cudziu osobu.
Mobilní telefony dále rozšiřují své schopnosti, díky kterým si dokáží poradit se stále náročnějšími úkoly, které jim zadáváme. Od správy financí, přes osobní či firemní komunikaci až po využívání umělé inteligence. To všechno má za následek, že výrobci telefonů a operačních systémů musí neustále vylepšovat bezpečnost svých produktů, aby ochránili uživatele, jejich soukromí a cenná osobní data. V tomto ohledu nová verze operačního systému iOS přinesla jeden z největších updatů v historii. Pojďme se nyní na několik hlavních prvků podívat více do detailu.
Zerologon je název zranitelnosti identifikované jako CVE-2020-1472, kterou objevil Tom Tervoort, bezpečnostní expert společnosti Secura’s Security. Pro stručné vysvětlení: Zerologon byl způsoben chybou v kryptografickém autentizačním schématu používaném protokolem Netlogon Remote Protocol (MS-NRPC), která způsobuje obcházení autentizace. Obejitím autentizačního tokenu pro konkrétní funkci Netlogon mohl útočník zavolat funkci, která nastavila heslo doménového řadiče (DC) na známou hodnotu. Poté může útočník DC ovládnout a ukrást přihlašovací údaje všech uživatelů domény.
V tomto článku budeme pokračovat zneužitím nastavení certifikační autority AD CS, a to sice zranitelnostmi ESC3 a ESC4, jednoduše z pohodlí Metasploitu. Součástí bude i samotná eskalace privilegií na doménového administrátora.