Уязвимость в системе аутентификации Amazon

Уязвимость в системе аутентификации Amazon

Странная ошибка была обнаружена одним из посетителей Amazon. При попытке авторизации система не воспринимала ошибок, допущенных при введении пароля и пропускала его в личный кабинет.

По словам пользователя, обнаружившего ошибку, он мог авторизоваться, даже если пароль был введен неверно. Причем система «не видела» изменений именно в последних вводимых символах, в случае если в пароле было больше восьми знаков. Иными словами, пользователь, у которого был пароль "iloveyouamazon", он с таким же успехом мог зайти в систему, набрав "iloveyoufacebook" или просто "iloveyou".

Конечно, на первый взгляд это выглядит как уязвимость системы безопасности ресурса. Однако, скорей всего это не совсем так и возможностей у хакеров гораздо меньше, чем можно представить.

Во-первых, даже если особенно усердный хакер решит взломать все учетные записи пользователей с паролем "iloveyou", ему сначала потребуется найти адреса электронной почты, которые используются в качестве логинов. Допустим, что он имеет такую информацию, но вероятность того, что удастся подобрать хотя бы одно соответствие путем перебора, даже при условии отсутствия защиты против таких атак, сводится к нулю. Это связано с огромнейшим количеством комбинаций, которые необходимо будет перебрать.

Ведь всем известно, что основной причиной взлома аккаунтов является доступность базы данных, где указаны все необходимые для доступа данные.

Скорей всего, причина кроется в том, что пароль не изменялся с момента регистрации, которая была очень давно, и, как следствие, вполне возможно, что алгоритм шифрования устаревших паролей отличается от новых. Данную проблему можно решить изменив пароль.

Один ЦОД на три региона: в России задумали 40 крупных вычислительных хабов

Российскую инфраструктуру хранения и обработки данных хотят вывести за пределы Москвы и распределить между регионами. Участники рынка обсуждают создание 30-40 крупных межрегиональных ЦОД, каждый из которых сможет обслуживать сразу несколько субъектов страны.

Первые проекты, по данным «Ведомостей», планируют проработать для Урала, Поволжья и Ленинградской области.

Идея проста: вместо отдельного дорогостоящего дата-центра в каждом регионе построить один мощный вычислительный хаб на два-три субъекта. Так можно эффективнее использовать серверные и сетевые ресурсы, а заодно не искать для каждого объекта собственную энергетическую розетку размером с электростанцию.

В Минцифры подтвердили, что обсуждают с регионами и бизнесом различные варианты развития инфраструктуры ЦОД. Конкретных параметров, сроков и источников финансирования проекта пока нет.

Эксперты считают, что межрегиональные кластеры должны быть нейтральными и не зависеть от одного оператора. Для их запуска придётся синхронизировать интересы заказчиков, владельцев инфраструктуры и местных властей. Кроме электричества потребуется надёжная магистральная сеть.

Особый спрос на региональные ЦОД могут обеспечить проекты искусственного интеллекта, которым нужны крупные вычислительные мощности. Сейчас российский рынок дата-центров сильно сосредоточен в Москве, где свободной электроэнергии для новых объектов становится всё меньше.

Предполагается, что одним из участников проекта может стать РТК-ЦОД из группы «Ростелеком», однако официально оператор проекта пока не назван. Яндекс, «Сбер», VK и МТС инициативу не прокомментировали.

С середины августа в России также действует классификация ЦОД по классам A, B, C и D. Высший класс A примерно соответствует Tier IV и предполагает продолжение работы даже при отказе одного из основных инженерных компонентов.

RSS: Новости на портале Anti-Malware.ru