Хакеры подменяют сайты Google, Yahoo и Mozilla через поддельные SSL-сертификаты

Хакеры подменяют сайты Google, Yahoo и Mozilla через поддельные SSL-сертификаты

Несколько дней назад разработчики ряда популярных браузеров заявили об обнаружении по крайней мере одного поддельного SSL-сертификата, выпущенного голландской компанией DigiNotar, и принятии соответствующих мер по защите пользователей от возможных действий злоумышленников. Однако, по некоторым данным, в действительности речь идёт не об одном, а более чем о двух сотнях поддельных сертификатов.



В понедельник 29 августа Mozilla, Google и Microsoft сделали заявления в своих блогах в связи с сертификатом, выданным на домен *.google.com. Этот сертификат уже вовсю использовался злоумышленниками, которые, как нетрудно догадаться, пытались выдать свои сайты за сервисы компании Google. В тот же день были выпущены обновлённые версии браузеров Firefox и Chrome, а сам сертификат был убран из базы доверенных сертификатов Windows, сообщает Вебпланета.

На следующий день сочли нужным объясниться голландцы из DigiNotar. Они заявили, что ещё 19 июля обнаружили, что посторонние проникли в инфраструктуру их удостоверяющего центра и сумели сделать запросы на выпуск некоторого количества SSL-сертификатов. DigiNotar предпринял необходимые меры, поддельные сертификаты были отозваны, что также было подтверждено сторонними аудиторами.

Однако, как выяснилось на днях, один из поддельных сертификатов, а именно сертификат на *.google.com, каким-то образом ускользнул от внимания как сотрудников DigiNotar, так и аудитора. Как только это выяснилось, в DigiNotar "прибили" и этот сертификат, говорят в компании.

Казалось бы, инцидент исчерпан. Однако действительность не так радужна, как это пытаются преподнести голландцы. Во-первых, надо заметить, что сертификат на *.google.com был выдан ещё 10 июля. Иначе говоря, действия злоумышленников оставались незамеченными в течение по крайней мере девяти дней. Сколько сертификатов они выпустили для себя — большой вопрос. В DigiNotar не приводят никаких конкретных цифр, настаивая на том, что все левые сертификаты были выловлены.

Во-вторых, нельзя не упомянуть о находках специалистов финской компании F-Secure. Узнав об истории с поддельным сертификатом Google, они внимательно изучили сайт DigiNotar и нашли там несколько текстовых файлов, свидетельствующих о том, что этот сайт был неоднократно взломан хакерами. Собственно, эти файлы являются своего рода визитками взломщиков; одни из них называли себя иранскими хакерами, а один файл, датированный ещё маем 2009 года, был оставлен неким турецким патриотом. Эти факты также ставят под сомнение достаточность мер, принятых в DigiNotar.

Наконец, как выяснилось, в исходниках браузера Chromium (то есть базового, ещё неогугленного "Хрома") вчера были обнаружены 247 новых заблокированных сертификатов — притом что до этого заблокированными числились только 10. В комментариях они помечены как "плохие сертификаты DigiNotar для негугловских сайтов".

Пока нет достоверных данных о том, что это за сертификаты, на какие домены они выданы и как соотносятся с теми, которые DigiNotar отозвал в июле. Честер Вишневски (Chester Wisniewski) из компании Sophos считает более чем вероятным, что если злоумышленники интересовались сертификатом на сервисы Google, то они не меньше были заинтересованы и в "таких сервисах как Facebook, Microsoft, Yahoo и Skype".

А эксперт голландской секьюрной компании Madison Gurka Ханс ван де Лоой (Hans Van de Looy), ссылаясь на собственные источники информации, заявил журналистам ComputerWorld, что злоумышленники сгенерировали порядка 200 сертификатов, среди которых были сертификаты на mozilla.com, yahoo.com and torproject.org.

В общем, ничего удивительного, что эксперты по безопасности сейчас вовсю критикуют DigiNotar и высказывают опасения в том, что часть поддельных сертификатов гуляют "на свободе" и по сей день.

Напомним, что в марте этого года уже имел место схожий инцидент с сертификатами Comodo. Как выяснилось позднее, тогда действовал некий хакер-одиночка из Ирана, побуждаемый якобы патриотическими чувствами. Шум тогда поднялся приличный, и пятно на репутации Comodo осталось — даром что взломали не эту компанию, а её доверенных партнёров, поддельных сертификатов было "наклёпано" всего 9 штук, да и огласке инцидент был предан значительно быстрее, чем нынешний.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

34% тестировщиков применяют ИИ для генерации кода, 28% — для тест-кейсов

2ГИС решила разобраться, как себя чувствует русскоязычное QA-сообщество: чем пользуются тестировщики, как устроены процессы и как в работу проникает искусственный интеллект. В исследовании поучаствовали 570 QA-специалистов, почти половина из них работают в крупных компаниях.

57% опрошенных сказали, что подключаются к разработке фич ещё на этапе обсуждения требований — то есть задолго до появления кода.

Лишь 20% приходят в проект только после завершения разработки. А вариант «подключаюсь, когда в продакшене что-то сломалось» — уже почти экзотика.

89% команд используют автотесты — от юнитов до UI. Но вот инструменты вокруг них, вроде поддержки, аналитики и стабильности, применяют далеко не все. Например, код-ревью автотестов делают только 39% опрошенных, а 28% команд вообще не отслеживают никаких метрик и работают «вслепую».

ИИ используют не все, и в основном — для рутинных задач

Хотя ИИ уже прочно вошёл в мир тестирования, чаще всего его применяют для типовых задач:

  • написание тестового кода (34%),
  • генерация тест-кейсов (28%),
  • и тестовых данных (26%).

 

Более продвинутые сценарии вроде анализа тестов, автоматического поиска багов и визуального тестирования пока используются редко. Например, только 5% автоматизируют дефект-дискавери, и лишь 4% пробуют AI для визуальных проверок. А 22% QA-специалистов вообще не используют ИИ в своей работе.

Главные проблемы в тестировании

На первом месте — сжатые сроки. Об этом сказали 71% участников опроса. На втором — слабое вовлечение QA в процессы (40%) и нехватка квалифицированных специалистов (37%).

Как измеряют качество

  • Главная метрика — количество найденных багов (58%).
  • Покрытие автотестами учитывают 43%, покрытие кода — только 23%.
  • Стабильность тестов (например, чтобы они не «флапали») отслеживают всего 15% команд.

Что будет с профессией дальше? Мнения разделились:

  • 37% считают, что всё уйдёт в тотальную автоматизацию;
  • 35% уверены, что ничего особо не поменяется;
  • почти треть верит, что QA станет глубже интегрироваться в специфические направления вроде ИБ и производительности;
  • 27% видят будущее за DevOps и SRE — то есть тесной работой на всех этапах: от разработки до эксплуатации.
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru