Обнаружена уязвимость в протоколе TLS

Обнаружена уязвимость в протоколе TLS

Исследователи в области безопасности обнаружили серьёзную уязвимость в протоколе передачи данных SSL/TLS, которая открывает для хакеров возможность незаметно перехватить и расшифровать информацию, передаваемую между веб-ресурсом и браузером на стороне пользователя.

Как известно, данный протокол  был разработан на основе технологии
используемой в SSL и призван обеспечить защищённую передачу данных между
узлами в сети. По словам исследователей, уязвимости подвержены версии TLS 1.0 и более ранние. Однако, более поздние модификации TLS 1.1. и 1.2 не имеют такого дефекта, но они не используются большинством веб-ресурсов и не поддерживаются большинством обозревателей. В итоге, в руках у злоумышленников появилась еще одна возможность перехвата данных с любого контролируемого ими ресурса.

На предстоящей конференции по безопасности Ekoparty ученые планируют продемонстрировать атаку, при помощи разработанного ими эксплойт - кода для этой уязвимости. Эксплойт BEAST (Browser Exploit Against SSL/TLS) представляет собой несколько строк кода, написанных на языке программирования JavaScript. Атака проводится в несколько этапов, однако суть ее сводится к тому, что эксплойт, взаимодействуя с анализатором трафика, незаметно перехватывает файлы cookie во время аутентификации пользователя и расшифровывает их.

Данная работа является первым удачным методом атаки против TLS 1.0 и SSL 3.0, позволяющим расшифровать HTTPS запросы. В случае успешной атаки злоумышленник сможет получить доступ к важной конфиденциальной информации, необходимой при работе с такими сервисами, как online-банкинг, службы электронной коммерции и платежные системы. Проблема осложняется тем обстоятельством, что для её устранения необходимо будет существенно переработать протоколы TLS 1.0 и SSL 3.0. Однако, даже если производители обозревателей добавят в свои продукты обходной путь блокирования подобных атак, проблема не потеряет своей актуальности, полагают исследователи. Единственным решением они видят переход на новый протокол.

Подпишитесь на новости

Домен без маски: в рунете закрывают анонимную регистрацию

Зарегистрировать пачку российских доменов на выдуманного владельца должно стать сложнее. Координационный центр доменов .RU/.РФ рассказал о новых правилах, призванных усложнить жизнь кибермошенникам. Главный инструмент — идентификация администраторов через ЕСИА, то есть Госуслуги.

По сообщению центра, изменения связаны с законом №569-ФЗ, вступившим в силу 1 сентября 2026 года, и касаются зон .RU, .РФ и .SU.

Операции с доменами требуют обязательной идентификации, а регистраторы должны быть российскими юридическими лицами из специального реестра.

Советник директора центра Владимир Горжалцан представил меры на международном форуме по информационной безопасности, прошедшем 22-24 сентября в Москве. По его оценке, новые требования лишают злоумышленников возможности массово оформлять домены на вымышленных лиц.

Ставка понятна: меньше фиктивных владельцев — сложнее запускать конвейер фишинговых сайтов и прятаться за липовыми регистрационными данными. Параллельно действует «Доменный патруль», который связывает организации, выявляющие угрозы, с регистраторами.

По данным Координационного центра, среднее время реагирования на вредоносные ресурсы составляет менее шести часов. Одна из целей нововведения — защита пользователей от мошенничества и повышение прозрачности доменной инфраструктуры.

Анонимная регистрация получает серьёзное препятствие. Но проверенная личность владельца ещё не делает сайт безопасным.

Ранее мы писали, что Рег.ру запустил идентификацию владельцев сайтов через Госуслуги.

RSS: Новости на портале Anti-Malware.ru