Защита SmartCaptcha теперь доступна пользователям Yandex Cloud

Защита SmartCaptcha теперь доступна пользователям Yandex Cloud

На платформе Yandex Cloud запущен сервис SmartCaptcha; ранее эта система верификации запросов использовалась только в продуктах «Яндекса». В настоящее время новинку тестируют более 30 пользователей, аутсайдерам доступ предоставляется по запросу.

С переносом в публичное облако решение Yandex SmartCaptcha позволит защитить российские сайты от ботов, спама и DDoS-атак. По данным Barracuda Networks, на долю ботов приходится больше половины трафика в интернете, и около 40% таких программ потенциально опасны.

Проблема защиты российского бизнеса от DDoS в этом году обострилась — из-за роста агрессии со стороны хактивистов. Повышение DDoS-активности в первом квартале отметили и отечественные, и зарубежные ИБ-компании.

Использование SmartCaptcha-сервиса, по словам «Яндекса», также поможет избежать падения трафика на сайте. Поскольку решение построено на алгоритмах машинного обучения, более половины пользователей смогут сэкономить время на вход, просто кликнув «Я не робот». Остальным предложат ввести текст — случайное словосочетание, которое человек в 85% случаев легко распознает, а бот выдаст ответ далеко не сразу.

Кроме того, Yandex SmartCaptcha предоставляет возможность кастомизации. Пользователь может выбрать уровень сложности, настроить уникальный визуальный стиль, сменить фон, рамки или метки в интерфейсе, чтобы капча органично смотрелась на сайте.

«За последние несколько лет логика работы нашей «капчи» была существенно улучшена, это заметил и рынок, — комментирует Михаил Федоров, менеджер по развитию продукта Yandex SmartCaptcha. — Разработчики, которые часто встречали SmartCaptcha на сайтах Маркета или Кинопоиска, стали часто обращаться с запросами разместить сервис на сторонних веб-ресурсах. Убедившись, что есть потребность, и протестировав «капчу» на высоконагруженных сервисах Яндекса, мы решили предоставлять ее по сервисной модели для всех желающих».

По данным BuiltWith, в рейтинге стран по использованию CAPTCHA на сайтах Россия сейчас занимает восьмое место (по состоянию на 13 июня). В этом сегменте интернета, как и в прочих, доминирует reCaptcha от Google.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Бреши в Ethernet VLAN Stacking позволяют провести DoS- и MiTM-атаки

В Ethernet-функции “Stacked VLAN” нашли четыре уязвимости, позволяющие провести атаку вида «Человек посредине» (man-in-the-middle, MitM) или вызывать DoS с помощью специально созданных сетевых пакетов.

Stacked VLAN или VLAN Stacking — доступная в современных маршрутизаторах и коммутаторах функция, позволяющая организациям собрать множество VLAN-идентификаторов в одно подключение, расшаренное с провайдером. Подробнее о функции написано в документации Cisco.

Координационный центр CERT рассказал о выявленных уязвимостях после того, как дал вендорам время на изучение проблемы и выпуск соответствующих обновлений. Проблемы затрагивают сетевые устройства вроде маршрутизаторов и коммутаторов, а также операционные системы, использующие Layer-2 (L2) для фильтрации трафика и изоляции сети.

Компании Cisco и Juniper Networks уже признали, что ряд их продуктов находится в зоне риска. Тем не менее многие вендоры так и не проанализировали бреши, поэтому масштаб проблемы пока остается неизвестным.

Согласно описанию, баги кроются в протоколах инкапсуляции Ethernet. Не прошедший аутентификацию злоумышленник может использовать комбинацию заголовков VLAN и LLC/SNAP для обхода сетевой фильтрации трафика вроде защиты IPv6 RA, динамической проверки ARP и DHCP-снупинга. Уязвимости получили следующие идентификаторы:

  • CVE-2021-27853 — позволяет обойти сетевую фильтрацию с помощью комбинаций заголовков VLAN 0 и LLC/SNAP.
  • CVE-2021-27854 — также позволяет обойти фильтрацию на уровне Layer 2 с помощью комбинации заголовков VLAN 0, LLC/SNAP.
  • CVE-2021-27861 — проблема некорректной длины заголовков LLC/SNAP, проводящая к обходу защиты IPv6 RA.
  • CVE-2021-27862 — такой же обход защиты IPv6 RA с помощью заголовков LLC/SNAP с некорректной длиной.

Используя любую из этих брешей (независимо от других), условный атакующий может заставить устройство жертвы направить трафик куда угодно.

«Злоумышленник может отправить специально созданные пакеты для DoS-атаки или MitM», — пишут представители CERT.

Juniper Networks подтвердила, что CVE-2021-27853 и CVE-2021-27854 затрагивают отдельные продукты, а также выпустила соответствующие патчи. Cisco опубликовала собственное уведомление, в котором отмечается, что уязвимости CVE-2021-27853 и CVE-2021-27861 также затрагивают ряд продуктов.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru