What is mean by a weak algorithm?

The encryption or hashing algorithm that we thought secure can be breakable. Also, we can say, that incorrect use of encryption algorithm also makes it weak.

The weak algorithms.

• AES-128
• java.util.Random
• ThreadLocalRandom
• MD5 Message-Digest

AES-128

AES-128(Advanced Encryption Standard ) encryption also known by its original name Rijndael is a symmetric block cipher.

What is encryption?

Transform a plaintext into ciphertext with the use of an algorithm and key is called encryption. If the same key is used then ciphertext will be the same as given plaintext.

What will be the problem in AES-128?

For the 128-bit size key, AES uses ten rounds of substitution-permutation to transform plaintext into ciphertext. It can be brute-forced.

Alternate for AES-128?: AES-256

EAR uses AES 256 standard with AES/CBC/PKCS5Padding mode for DB encryption. For the 256-bit size key, AES uses 14 rounds of substitution-permutation to transform plaintext into ciphertext. This is more resistant to attack like brute force.

Java.util.Random

Random class is not cryptographically strong. To generate a random number this class using a simple definite mathematical algorithm. The Random class uses 48-bit seeds. So, the chances of repeated numbers are high. For a random password or random keys, it is not safe to use this class.

ThreadLocalRandom

This random number generator is isolated to the present thread. Like the global Random generator employed by the maths class

Alternate for Random and ThreadLocalRandom : SecureRandom

SecureRandom provides a cryptographically strong random number generator.

MD5 Message-Digest

The MD5 message-digest algorithm is a widely used hash function producing a 128-bit hash value. Cryptographically broken and unsuitable for further use. MD5 is prone to length extension attacks. For sensitive information, we should use this.

Alternate for Message-Digest: AES-256

Reference

https://www.synopsys.com/glossary/what-is-cryptography.html

https://www.ubiqsecurity.com/blog/128bit-or-256bit-encryption-which-to-use/

• MALWARE is a Malicious Software with unknow functionality. May can be harm to a user, computer or network.
• Malware includes viruses, Trojan horse, RootKit, ShareWare and spyware.
• Malware can delete, encrypt, steal and alter sensitive data.
• It also can change the core functionality of computer systems.

Malware can classified in two types.

Malware can be classified based on Production Rings.

Kernel Mode Malware

1. Targeting most privileged layer or Ring 0 is known as Kernel Mode Malware.
2. It corrupts the kernel program and affect the software installed on a system. When it affect we could not able to use the application.

User Mode Malware

1. When Ring 3 is affected it is known as User mode Malware.
2. It affects the particular file and we can still use the application and create new file.

Categorization

Malware Can be categorized into four.

• VIRUS
• Worm
• Trojan
• Backdoor

VIRUS

VIRUS stands for Vital Information Resources Under Siege.

VIRUS is a program or code the affects normal behaviour of the system.

Components of VIRUS

Concealer

• It prevents the discovery of activity and structure of a virus program for the purpose of avoiding virus detection and forensics.
• It making virus in stealthy and avoid being caught from Anti-Virus.

Payload

• It is malicious code of executable instruction.
• It carry the another virus and it affects the specific host.

Replicator

• Duplicates the virus into the system.

Payload and Replicator combination can persist the VIRUS even after formatting the system.

Life Cycle of VIRUS

1. Origination
2. Transmission
3. Triggering
4. Infection
5. Identification
6. Removal

Ref :
https://books.google.co.in/books?id=0_VqCQAAQBAJ&pg=PA409&lpg=PA409&dq=concealer+payload+replicator+in+VIRUS&source=bl&ots=WrvH8GtiTW&sig=k-QkgyiOVA_ilH2O5HvmAoDSS6A&hl=en&sa=X&ved=0ahUKEwj0jtvC-tLbAhXDbCsKHfsaDWcQ6AEILTAB#v=onepage&q=concealer%20payload%20replicator%20in%20VIRUS&f=false

https://stackskills.com/courses/fundamentals-of-computer-hacking/lectures/3153827

https://searchsecurity.techtarget.com/definition/malware

White Hat Hacker

Hacker who intention is to exploit the vulnerability with proper authorization and assigned by the application admin.

Block Hat Hacker

Hacker who intention is to earn something from the attack or exploit is called block hat hacker.

Grey Hat Hacker

Hacker assigned by application admin who found an exploit and he/she is exposed that into public are called grey hat hackers.

Script kiddies

Hacker(actually not) who uses another script or programs to attack a system are called Script Kiddies or Skiddies.

Security Breach

• Security Breach occurs when sensitive data is leaked, stolen or destroyed by a hacker.

A breach can be avoided by focusing on the elements of information security.

Elements of Information Security

Confidentiality

○ Hacker sniffs and steals the information passed in a request.
○ Keep the data with authorizes access and not disclose.

Integrity

○ Hacker attack on the data and modifying it.
○ Keep the data complete and accurate.

Availability

○ Hacker brings down the server/system(Denial of Service) and making unavailable to legitimate users.
○ Keep system 100% availability.

Authentication

• Ensures confirmation of trusted users/source of the request came from.

Non-Repudiation

• Non-Repudiation is a bi-product of authentication, it ensures the data send and from an authenticated parties who involved in communication.

Standards and Compliances

There are some standards and Compliances to ensure the Information security of an organization.

• ISO — International Organization for Standardization — 27001 and 27002
• ITIL — Information Technology Infrastructure Library.
• COBIT — Control Objectives for Information and related technology
• PCI SSC — Payment Card Industry Security Standards Council
• PCI DSS — Payment Card Industry Data Security Standard

Hacking

The process of exploiting a vulnerability and stealing or destroying the data in a system or an application is called Hacking.

Information Gathering

• Hacker will collect as much as information about a system or an application.

Gaining access

• Based on the collected information, attacker will exploit the system and will gain the access to that system.

Anti-Forensics

• Removing the traces of an attack or hacking.

ref : https://stackskills.com/p/fundamentals-of-computer-hacking

கார்த்திகை மாதம்
இரவுப் பனி
பேருந்துப் பயணம்
சன்னலோரம் இருக்கை
அலைபேசியில் பண்பலை

அவள் எதிரே
மயிலிறகு கூந்தல், கண்ணம் வருடும் அழகு
காற்றோடு செல்ல சண்டை போடும் இமைகள்
ஏற்றிவிட்டேன் இதயத்தில்
இறங்க மனமில்லை நிறுத்தத்தில்

மழலை

குறுநகை செய்து, சிறு நடை கொண்டு,
சிந்திய நெய் சோற்றில் சிறு மண் சேர்த்து
ஒரு பங்கு மெய் பூசி, சிறுபங்கு முகம் துடைத்து
முத்தமிட்ட மழலை !!!

புளிய மரம்

ஊரோட எல்லையில
ஒத்தையா நிக்குது புளிய மரம்
ஒய்யாரமா நிக்குது அந்த மரம்

எல்லைய தாண்டி போகயில
ஜோடிய நிக்குது அதோட சாதி சனம்
எட்ட நின்னு பாத்து
ஏங்கித் தவிக்குது இந்த மரம்

மரநிழல மதிய வேலையில ஒதுங்கையில
ஒத்தசுழி மேல விழுந்தது ஒரு பழம்
ஓட்ட பிரிச்சு தொட்டு பாகையில
ஒட்டிக்கிச்சு அத்தோட ருசி

ஊராவிட்டு வந்து, ஒய்யாரமா வேலை செஞ்சு
மூவிரண்டு வருஷம் கழிச்சு பாக்கையில
உன்ன காணலியே

கோபுரமா நீ இருந்த ! ஒரு
கோயில் கட்ட உன்ன தொலைச்சுபுட்டு !
சாமிய தேடுது ஊரு சனம் !

அவள் முகம்

அவள் முகம் பார்த்ததில்
பசி, பண், பார் எல்லாம் மறந்தது!
என்றுரைத்த கவிகளெல்லாம் பித்தர்கள்,
என்று நான் பிதற்றிய காலமெல்லாம் கரைந்தது
என்னவள் முகம் பார்த்ததில் !

தொலைந்தன

வானவில்லில் தேய்ந்து போன பசுமை,

ஒளிந்து கொண்டது எங்கள் வயலில்

நட்டு வைத்த செங்கலும்,

நாற்புறம் சுவர்களாய் வளர்ந்த மோட்டார் ரூம்

அதன் கோட்டை சுவராம் ஆலமரமும், புளியமரமும்

காவல் கோபுரமாய் தென்னை மரங்கள்

அதன் இளநீருக்கு போட்டியாம்,

எங்கள் கேணி நீர்

சல,சலவென சத்தத்தோடு,

என்னுடன் சண்டைபோடும் வாய்க்கால் நீர்

மாலையில் மார்கழி ராகம் பாடும் தவளைகள்

இன்னும் என்னென்னவோ

எல்லாம் தொலைந்தன

மூணார்

தேயிலை தேசம்
மலை உடுத்திய பசுமை
பசுமை போர்த்திய பனித்துளி
பனித்துளியின் மறுபிறப்பு மழை
மழையின் ஆக்ரோசம் நீர்விழ்ச்சி
மூன்றுநாள் போதாது கண்டுகளிக்க

பூ வாசம்

தேவதைகள் சூடிக்கொள்ளும் தேவதையே
சுவாசத்தில் சுகம் கண்டேன் உன் வாசத்தினால்
உன்னை சூடிக்கொள்ள பெண்ணாய் பிறக்கவில்லை

வானம் கொளுத்திய மத்தாப்பு

வானம் கொளுத்திய மத்தாப்பில்,
தெறித்தன நீர்த்துளிகள்,
துளிர்த்தன பயிர்.
நான் கொளுத்திய மத்தாப்பில்
தெறித்த அக்னி துளிகளில்
கிளம்பிய புகை,
செய்தன ஓசோனில் ஓட்டை.

மழைக்குளியல்

மழையோடு மையல் கொள்ளும் மாலை வேளையில்,
பசுஞ்சோலையில், பஞ்சுமெத்தை புல்வெளியில்,
வண்ண மலர்களின் வாசத்தோடு,
சாரல் நனைத்த இலைத்துளிகளில் குளித்தேன்

கடைசியாக ஒரு காதல் கவிதை !

உன்னை பார்க்கும் ஒவ்வொரு முறையும்
மறக்க நினைக்கிறேன்,
மறக்க நினைக்கும்பொழுது எழுதிக்கொள்கிறேன்
கடைசியாக ஒரு காதல் கவிதை !

விடியல் தேடி

மின்சாரமே, நீ இல்லாமல்,
எங்கள் இதயம்(மும்) இருட்டாகி போனது,
என் வியர்வைதுளிகளுக்கும் வியர்த்து போனது.,,,கொசுக்கள் குதூகலத்தில்,,
ஒவ்வொரு நாளும் ஒரு ராகத்தில்,,
இசைத்து இம்சிக்கின்றன.,,,அரசியல்வியாதிகளின் அரசியலில்,
உனக்கும் அடித்ததோ shock — அதனால்,
ஏழு கடல்தாண்டி, ஏழு மலைதாண்டி ஒளிந்துகொண்டயோ.,,,நீ தொலைந்து தூரம் போனதாலும் நன்மைதான்,,
தொலைக்காட்சியை தூர எறிந்து,
உறவுகளுடன் உரையாட நேரம் கண்டேன்,
சிறுவனாய் நான் தொலைத்த விண்மீன்கள் மிண்டும் கண்டேன்.,,,இரவு முடிந்த பின்பும் இருள் மறையவில்லை,
விடியல் தேடி அலைகின்றேன் வெளிச்சம் தருவாயா?

சுதந்திரம்

நாற்பதில் ஒருவனாய், நான்கு சுவர்களுக்குள்
சிறையில் அடைக்கப்பட்ட காற்றுக்குள்,
சிறியதொரு கணினி உலகக்திலிருந்து
சொல்லிக்கொள்கிறேன் சுதந்திரதின வாழ்த்துக்கள் !

மழையே

நேற்றுவரை பெய்த மழையே,
இன்று எங்கு போனாய்
அவள் என்னிடம் கோபம் கொண்டதாலா?
பெண்ணே இன்று ஒருநாள் மட்டும்
உன் சண்டைக்கு ஓய்வு கொடுத்தால் என்ன,
ஒரு புன்னகை செய்தால் என்ன.
பருவம் தவறிய மழையால்
விதைத்த விதைகள் கருகும் முன்னே
ஒரு மழைதான் பெய்யட்டுமே

தண்ணீர் லாரி

சாலைக்கு என்ன தாகமா?
தாகம் தீர்க்கும் தண்ணீர் லாரி.
தண்ணீரை வீணாக்காதீர்கள் !!!
என்ற அறிவிப்புடன் ஊர் சுற்றி,
சாலையின் தாகம் தீர்க்கிறதோ

தவிக்கிறேன்

இணையம் இணைத்தாலும், அருகில் இல்லை,
பட்டாசுக்கடைகளும் பரபரப்பானது
புத்தாடை கிடைத்த சிறார்களின்,
துப்பாக்கி சத்தமும் ஓயவில்லை.
கடைக்குட்டி பண்டிகையும் கணநேரத்தில் கரைந்துவிடும்,
நொடிகள் கரையாமல் தவிக்கிறேன்

பேஸ்புக் காதல்

அவளின் status பிடிக்கவில்லை
ஆனாலும் like செய்தேன்
அவளுக்கு பிடித்ததால்,
அவளின் மொக்கை tweets,
retweets செய்தேன்
அவள் கவனம் பெற…….

Data is collection of facts, numbers, text and etc.

What is information?

Data when arrange in a convenient form. Credit Card Number, password and so on.

Types of Data

• Public available data.
• Job Notice, Insurance Policy details.
• Confidential Data
• Organisational data, companies forecast data, Bank customer details.
• Restricted Data.
• Company System Design, PIN number, password, medical reports of a permission.

What is Information Security?

Information Security is the means of defending Information or Data stored either physically or digitally.

Vulnerability

When Information is not guarded and available to everyone, this weakness is allows intruder or attacker to gain access the system and information. This is known as vulnerability.

In another terms it is flaw in the system.

Exploits

When the intruder uses a vulnerability to get sensitive data from system is known as exploits.

Threat

Threat is harm to a system and it has no control over it.

Threat can be intentional(man made threats), accidental or natural disaster.

Reasons for Intentional threat or Attack

Political

• Destroying target system by posting wrong information. People doing this will call hacktivist. E.g. cybercrime.

Economical

• Aim to earning money by stealing information or to make that information inaccessible. E.g. Ransomware.

Social-Culture

• Personal motivation to attack an individual.

ref : https://stackskills.com/p/fundamentals-of-computer-hacking

இந்த ஃபிஷிங்னா(phishing attack)என்ன ?

நமக்கு வந்த மின்னஞ்சலில் (e-mail) அல்லது குறுந்தகவலில்(SMS), இணைப்பு(attachment) செய்யப்பட்டு இருக்கும் கோப்பை(file) நாம் திறக்கும் பொழுது, அந்த கோப்பு நம்முடைய கணினியில் அல்லது கைபேசியில் புகுந்து நம்முடைய முக்கியமான தகவல்களை திருடலாம் அல்லது மாற்றம் செய்யலாம்.

இந்த மாதிரியான மின்னஞ்சல்களில் வரக்கூடிய கோப்புகள் “malware” னு சொல்லுவாங்க. பொதுவா இது ஒரு executable(இயங்கக்கூடிய) கோப்பாகவோ அல்லது ஒரு ஜாவாஸ்கிரிப்ட் கோப்பாகவோ இருக்கலாம். இந்த இரண்டு விதமான கோப்புகளும் நாம் திறக்க ஆரம்பித்ததும் தானாக இயங்க ஆரம்பித்துவிடும்.

இந்த ஃபிஷிங் மூலமா ஒன்னு திருடலாம் இல்ல மாற்றம் செய்யலாம்னு பார்த்தோம். அது என்ன திருடுவது? நம்முடைய வங்கி கணக்குகள், இல்ல நம்முடைய அலுவலகம் சார்ந்த கோப்புகள்,அல்லது ஜிமெயில்(gmail) போன்ற சேவைகளோட கடவுச்சொல். நம்முடைய தகவல்களை திருடி, நம்மை முடக்குவதுதான் இந்த திருடர்களோட(attackers) வேலை.

ஹ்ம்ம், அது என்ன மாற்றம் செய்றது? அந்த “malware” நாம டவுன்லோட் செய்து, திறக்கும் போது அது இயங்க ஆரம்பித்து நம்முடைய கணினியில் இருக்கும் கோப்புகளை எல்லாம் encrypt செய்துவிடும்.

Encryptனா என்ன? நம்மாள படிக்க முடிந்த ஒரு டாக்குமென்டை(MS-WORD) படிக்க முடியாத அல்லது திறக்க முடியாத வேறு ஒரு அமைப்புக்கு மாற்றுவது. இப்போ அந்த டாக்குமெண்டை பழையபடி அதன் சுய அமைப்புக்கு மாத்தனும்னா decrypt பண்ணனும், அதுக்கு நமக்கு decrypt key வேணும். இங்க attacker என்ன பண்ணுவான், decrypt key வேணும்னா எனக்கு காசு கொடு, அதுவும் Bit Coins(டிஜிட்டல் பணம்) கொடுன்னு சொல்லுவான். இதுக்கு பேரு ransomware attackனு சொல்லுவாங்க.

ransomware attack அதாவது இணையத்தில் மிரட்டி பணம் வாங்குவது. கொஞ்ச நாளைக்கு முன்பு கூட wannacry ransomware பிரபலமாக இருந்தது. இதுக்கு இன்னொரு உதாரணம் சொல்லனும்னா zepto வைரஸ்.

Wannacry இந்தியாவில் ATM இயந்திரங்களை பாதித்ததுனு சொன்னங்க ஆனா ஒரு maleware இயக்க ஒரு மனிதன் தேவை இல்லை என்றால் வேறு ஒரு குறைபாடு அந்த கணினியில் இருக்க வேண்டும், அவ்வாறு இருந்தால் ATM இயந்திரங்கள் பாதிக்கப்பட்டு இருக்கும், அதனால இந்தியாவில் ATM இயந்திரங்கள் பாதிப்பு கம்மியாதான் இருக்கும் என்பது என்னோட கருத்து.

மின்னஞ்சல் மூலம் வரும் எந்த ஒரு தகவல் மற்றும் கோப்புகளை திறப்பதற்க்கு முன், எச்சரிக்கை தேவை. இல்லை என்றால் பிஷிங் அல்லது ransomeware தாக்குதலுக்கு உள்ளாகலாம்.

தொழில்நுட்பம்\இணையம்\கைபேசி இல்லாமல் இருப்பது, பயங்கரமா போர்(bore) அடிக்குது சொல்றங்க இன்றைய தலைமுறை. ஒவ்வொரு நாளும் இணையம் வளர, இணையதள திருட்டுகளும்(hacking) வளருது. நாம பயன்படுத்தக் கூடிய ஒவ்வொரு சமூக வலைதளங்களில் பாதுகாப்பு குறைபாடுகள் இருக்கத்தான் செய்யுது.

சமூக வலைதளங்களில் நாம என்ன பதிவு பண்ணாலும் அது நமக்கு சொந்தமில்லைதான்.

இன்றைய தொழில்நுட்ப வளர்ச்சியில் ஹேக்கர்ஸ்னு(hacker) சொல்லக்கூடிய இணையதள திருடர்கள், நாம் பயன்படுத்தக் கூடிய wifiஇல் ஊடுருவரலாம். நாம் பயன்படுத்தக் கூடிய சாதனம்(டிவைஸ்) கணினியோ/கைபேசியோ அதை கட்டுப்படுத்தலாம்.

சில நாளைக்கு முன்னாடி பேஸ்புக் நிறுவனர் மார்க் ஸுகேர்பெர்க் அவர்கள், தன்னுடைய பேஸ்புக் கணக்கில் ஒரு புகைப்படம் பகிர்வு செய்திருந்தார். அதில் தன்னுடைய மடிக்கணினியின் வெப்கேம், மைக் மறைத்து வைத்து இருந்தார். அதை பற்றி இனைய உலகத்தில் பல விவாதங்கள் நடந்தது. தன்னுடைய மடிக்கணினி யாராவது ஊடுருவினாலும் அவரோட வெப்கேம் மற்றும் மைக் மூலமாக எந்த தகவலும் திருட படக்கூடாதுனு என்கிற நோக்கத்தில் அவர் அப்படி செய்து இருக்கலாம் என்பது போன்ற விவாதங்கள் அதிகமா பேசப்பட்டது.

அதற்காக இணையதளங்களை பயன்படுத்த கூடாதா? பயன்படுத்தாமல் நம்மால் இருக்க முடியாது, ஆனால் நாம் பயன்படுத்தக் கூடிய இனையதளத்தின் கணக்கை மிகவும் பாதுகாப்பாக வைத்து கொள்ளவேண்டும். சமூக வலைத்தளங்களில் நாம என்ன பதிவு செய்கிறோம் என்பதிலும் கவனம் தேவை.

இனையதளத்தின் கணக்கை பாதுகாப்பாக வைத்துக்கொள்ள

• அதனுடைய கடவுச்சொல்லை மிகக் கடினமாக வைத்து கொள்ளவேண்டும்.
• கேப்ஸ், ஸ்மால், எண்கள் மற்றும் குறியீடுகள் சேர்ந்த கடவுச்சொல்லாய் இருக்க வேண்டும்.
• Two-Factor Authentication(TFA) என்று சொல்லக்கூடிய இரண்டு அடுக்கு பாதுகாப்பு முறையை அமைத்துக் கொள்ளவேண்டும்.
• வெவ்வேறு இனைய தளங்களுக்கு ஒரே மாதிரியான கடவச்சொல்லை பயன் படுத்தக் கூடாது.

இப்போல்லாம் மொபைல் செயலிகள்(apps) இரண்டு அடுக்கு பாதுகாப்பு கோடை(code) தானாகவே சரிபார்த்துக் கொள்கிறது, இதுவும் மிகவும் தவறுதான்.

நாம் ஏற்படுத்தக்கூடிய பாதுகாப்பு முறைகள் நம்முடைய கட்டுப்பாட்டில் இருந்தால் தான் நம்முடைய இனையதள கணக்குகள் பாதுகாப்பாக இருக்கும்.

originaly posted here: https://tektamil.wordpress.com/2017/04/16/__trashed/

What is the difference between, ESAPI’s encodeForHTML vs encodeForHTMLAttribute?

One of frequent FAQ from my teammates.

Here is an example outputs.

$ESAPI.encoder().encodeForHTML(“<h1> Header</h1>”);

“&lt;h1&gt; Header&lt;&#x2f;h1&gt;”

$ESAPI.encoder().encodeForHTMLAttribute(“<h1> Header</h1>”);

“&lt;h1&gt;&#x20;Header&lt;&#x2f;h1&gt;”

Got it?

Okay, the encodeForHTMLAttribute will encode “THE EMPTY SPACE”(“&#x20;”).

Where to Use ?

encodeForHTML()

When we want put user inputs or untrusted data into HTML tags like body, div, span, li, p, b, td, header tags.

Usage
<div>encodeForHTML(UserInputs/untrusted data)</div>

encodeForHTMLAttribute()

When we want put user inputs or un-trusted data into HTML attributes like value, name, id, width.

Usage
<input type=”button” value=”encodeForHTMLAttribute(UserInputs/untrusted data)” />

Why should encode an empty space, what will achieve with this encode ?

<%
String aValueName = request.getParameter(“aValueNameFromUser”);

// aValueNameFromUser : “a\” onmouseover=\”alert(1)\””
%>

<input type=”button” value=”<%=aValueName%>” name=”<%=aValueName%>” />

In above source, button value and name will set from user input(“”a\” onmouseover=\”alert(1)\”) and that user input will add “onmouseover” attribute to input tag and it will execute if user input has any XSS or script. We must encode the "The Empty Space" to avoid such XSS attacks. So encodeForHTMLAttribute() is best choice for that.