Блочный шифр ГОСТ взломан

Блочный шифр ГОСТ взломан

В разгаре международной стандартизации шифра ГОСТ, известный исследователь в области шифрования и криптоанализа утверждает, что он не обеспечивает уровня стойкости, требуемого ISO, поскольку имеет серьезные изъяны, которые дают практически неисчерпаемые возможности для злоумышленников.  

ГОСТ 28147-89 - хорошо известный блочный шифр с 256 битным ключом, был введен еще в 80х годах. Он является альтернативным вариантом шифрования для AES-256 и тройному DES. Наиболее точную эталонную реализацию исконно российского происхождения сейчас можно встретить в библиотеках OpenSSL и Crypto ++.

В дополнение к очень большому размеру ключа, стоимость его исполнения гораздо ниже, чем AES, которому требуется в четыре раза больше аппаратных логических вентилей, но при этом он обеспечивает гораздо меньший уровень безопасности. 

Как известно в 2010 году шифр был представлен в комитет по сертификации ISO для получения международного стандарта шифрования. Вплоть до настоящего времени ученые и исследователи всего мира полагали, что он является самым безопасным, поскольку за 20 лет существования его так и не удалось никому взломать.  

Однако французкий исследователь и основоположник алгебраического шифрования Николя Куртуа в своей последней работе заявил, что ему удалось взломать ГОСТ, который, как оказалось, далеко не так совершенен, как все думают. В подтверждение этого, автор показал эффективный способ взлома, коим оказалась алгебраическая атака (XSL-атака). Стоит отметить, что это метод криптографического анализа, основанный на алгебраических свойствах шифра. Метод предполагает решение особой системы уравнений и требует  намного меньше памяти, чем известные ныне способы взлома. Кроме того, отсутствует необходимость использования свойств отражения.

В настоящее время известно более 20 способов, позволяющих проведение успешной атаки на этот шифр. Например,  на конференции FSE 2011 была предпринята попытка взлома этого метода шифрования с помощью атаки "MITM с отражением". Исследователь отмечает, что это первый случай в истории, когда серьёзный стандартизированный блочный шифр, созданный для защиты секретов военного уровня и предназначенный для защиты документов государственной тайны для правительств, крупных банков и других организаций, оказался взломан математической атакой.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Число уязвимостей в веб-приложениях выросло на 58% во II квартале 2025-го

Во втором квартале 2025 года число обнаруженных уязвимостей в популярных веб-приложениях выросло на 58% по сравнению с предыдущим кварталом. Об этом сообщили аналитики из центра Solar 4RAYS. Больше всего уязвимостей нашли в плагинах для WordPress, а также в роутерах и другом телеком-оборудовании.

Эксперты проанализировали более 120 продуктов — от веб-приложений до сетевых устройств — и зафиксировали 215 уязвимостей.

Это почти на 60% больше, чем в первом квартале. Данные собирались из открытых источников, в том числе телеграм-каналов и публикаций исследователей по кибербезопасности.

Большинство найденных уязвимостей (89%) связаны с сетевым взаимодействием — то есть их можно использовать через HTTP, SSH, SMB и другие протоколы.

При этом таких уязвимостей стало больше — рост почти на 10 процентных пунктов. Особенно это заметно на фоне WordPress, который стал главным «рекордсменом» по количеству проблем. На его экосистему пришлось 24% всех уязвимостей.

На втором месте — роутеры и прочее сетевое оборудование (7%). В частности, была обнаружена серьёзная уязвимость CVE-2025-40634 в роутерах TP-Link: её уровень критичности — 9,2 из 10. Она позволяет запускать произвольный код через локальное или внешнее подключение.

Замыкают тройку продукты Apache — они дали 4% от общего числа уязвимостей.

Что касается самих типов уязвимостей, то здесь лидируют:

  • межсайтовый скриптинг (XSS) — 12%,
  • возможность загрузки вредоносных файлов — 11%,
  • обход директорий — 5%.

Аналитики отмечают, что активизировались как исследователи безопасности, так и злоумышленники. Поэтому компаниям стоит внимательнее относиться к обновлениям ПО, следить за прошивками оборудования и быть особенно осторожными с установкой плагинов — особенно если речь идёт о WordPress.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru