Исследователи описали эффективный метод DoS-атаки на популярные веб-платформы

Исследователи описали новый метод DoS-атаки на популярные веб-платформы

Исследователи описали новый метод DoS-атаки на популярные веб-платформы

На 28 конгрессе Chaos Communication, проходящем в эти дни в немецкой столице, специалисты представили информацию об изъяне, который существует в большинстве программных сред для веб-приложений и позволяет потенциальному злоумышленнику вызывать отказы в обслуживании без применения обширных вредоносных сетей и значительных вычислительных ресурсов.


В процессе работы сетевых программ на языках PHP, Java, Python и JavaScript используется хэширование, которое позволяет ускорять обработку ряда операций. Приложения вычисляют обычные математические хэши (не криптографические), знают, что при их генерации возможны столкновения (т.е. совпадения выходных значений функций хэширования), и надлежащим образом обрабатывают соответствующие коллизии. Процедура надежна, если ею не злоупотреблять. Однако, по данным немецких специалистов, злонамеренное использование ее особенностей может довольно быстро перегрузить сервер.

Известно, что нападающий, который знаком со спецификой используемых в том или ином продукте алгоритмов хэширования, может предварительно вычислять определенные аргументы, которые при прохождении через хэш-функцию будут давать одно и то же итоговое значение. Процедура сравнения получаемых в результате подобной деятельности хэшей превращается в квадратичную функцию, на работу с которой требуются существенные вычислительные ресурсы. В своей презентации исследователи показали, как отправка примерно двух мегабайт предварительно найденных значений заставляет сервер производить более 40 миллиардов сравнений получаемых строк.

В качестве цели был выбран компьютер с Apache Tomcat; в начале своего доклада специалисты отправили на него несколько особых аргументов хэш-функций, и на всем протяжении их презентации аудитория могла наблюдать, как нагрузка на ЦП сервера не опускалась ниже 100%. В качестве возможного решения исследователи предложили разработчикам вышеупомянутых языков программирования ввести механизм случайной генерации ключей, используемых при вычислении хэшей; это помешает злоумышленнику вычислять специфические входные значения для подобных нападений. Необходимо заметить, что, например, в Perl такой механизм появился еще в сентябре 2003 года.

Российским микросхемам хотят заранее найти покупателей

Минпромторг и участники рынка готовят новую стратегию развития российской микроэлектроники. Её главная идея — перестать считать готовый НИОКР конечной победой и наконец доводить разработки до серийного выпуска и продаж. Одним из ключевых инструментов могут стать офтейк-контракты.

Заказчик заранее обязуется выкупить первые партии компонента, которого ещё нет в массовом производстве, сообщает «Коммерсантъ». Для разработчика это означает гарантированный спрос после завершения НИОКР.

Также обсуждается компонентная квота в регулируемых закупках. Производителей электроники могут обязать использовать определённую долю российских микросхем, чтобы устройство считалось локализованным и получало государственные преференции. Таким образом, отечественный компонент хотят продвигать не только субсидией, но и местом внутри конечного продукта.

В проект стратегии входят льготный лизинг и кредитование, налоговые вычеты, субсидии потребителям, новые способы финансирования НИР и НИОКР, пересмотр классификации продукции в государственных реестрах и дополнительные требования к КИИ предприятий микроэлектроники. Пока это меню предложений, а не утверждённый набор мер.

Документ может лечь в основу работы будущей Объединённой микроэлектронной компании. Она должна собрать производственные мощности отрасли в комплекс полного цикла. Стратегию ОМК планируют утвердить до конца 2026 года.

Амбиции у государства внушительные: к 2030 году выручка электронной промышленности должна достигнуть 5,22 трлн рублей, а доля отечественной продукции — 87,9%.

Реальность пока скромнее. В 2025 году рынок электронных компонентов сократился на 25%, до 288 млрд рублей, а российская продукция заняла только 26% — около 74,9 млрд.

Новая стратегия пытается закрыть очевидную дыру: разработку профинансировали, опытный образец показали, а серии и заказов нет.

RSS: Новости на портале Anti-Malware.ru