В технологии XML Encryption обнаружена уязвимость

В технологии связи XML Encryption обнаружена уязвимость, которую можно использовать для расшифровки закрытой информации. Напомним, что XML Encryption применяется для защиты коммуникаций между веб-сервисами в продуктах многих компаний, в частности Microsoft и Red Hat.



Немецкие ИТ-специалисты из Университета Бохума говорят, что дешифровать коммуникации можно во всех криптографических применяемых технологией стандартах - DES (Data Encryption Standard), AES (Advanced Encryption Standard) в CBC (cipher block chaining). Подробные данные немецкие исследователи обещают презентовать на конференции ACM Conference on Computer and Communications Security позже в этом году, сообщает cybersecurity.

Сейчас авторы метода говорят, что все алгоритмы шифрований, рекомендованные стандартом XML Encryption, подвержены новой уязвимости. Сама уязвимость полагается на отправку модифицированных шифртекстов и анализ ошибок, получаемых в качестве ответа.

Ранее нечто похожее было использовано и для атаки на коммуникационные системы ASP.net Framework. Тогда Microsoft признала наличие бага в серверной реализации ASP. Чуть позже похожая атака поразила и SSL/TLS протоколы в режиме CBC.

Немецкие специалисты говорят, что уже проинформировали всех основных разработчиков серверного программного обеспечения об уязвимости. Компании Microsoft и Red Hat пока ничего не сообщают об уязвимости. Однако исследователи говорят, что уязвимость кроется не в каких-то частных реализациях XML Encryption, а в самом стандарте, поэтому она носит глобальный характер.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

AM Camp: чтобы заместить один западный ИБ-продукт, нужны три российских

Российский рынок информационной безопасности нуждается в базе совместимых решений. Эксперты обсудили импортозамещение на конференции AM Camp «Национальная платформа кибербезопасности».

Игрокам ИБ сегодня не хватает скоординированности и совместимости продуктов и сервисов. Весенние указы президента усиливают контроль над отраслью и требуют экстренного перехода на «своё».

Мигрировать на отечественных вендоров, надеяться на возвращение американцев или не делать ничего — участники майского AM Camp обсудили возможные стратегии работы.

«Все вернутся рано или поздно, — считает Александра Савельева из «АВ Софт». — Можно ждать, но ситуация опять может повториться. Доверия больше нет!».

Основная проблема импортозамещения связана с интеграцией российских продуктов в экосистему, их совместимость с другими программами и эффективность работы.

Сейчас идет точечная замена зарубежных решений отечественными аналогами. Игроки не готовы полностью отказаться от «санкционки», несмотря на моновендорную альтернативу.

«Нужно ли класть все яйца в одну корзину или лучше создавать своего “Франкенштейна“ из разных решений?», — задаётся вопросом Алексей Лукацкий, модератор дискуссии «Стратегия и тактика перехода на российские решения».

«Моносистема — идеальный вариант, — отвечает глава департамента информационной безопасности М.Видео-Эльдорадо Александр Орешков, — но сейчас это невозможно».

С ним согласен Денис Горчаков из Ростелекома:

«У любого вендора есть продукты, которые лучше или хуже».

По словам Александра Луганцева (АО ВТБ Специализированный депозитарий ВТБ), принципиальны два ключевых аспекта: работоспособность и стоимость такой моносистемы.

«Пока с этим сложно, — признаётся Луганцев. — Цена становится неприемлемой для бизнеса и приходится выбирать решения дешевле».

При этом возникает еще одна проблема — несовместимость продуктов от разных разработчиков. В кулуарах AM Camp эксперты жаловались на такие несостыковки.

Отрасли не хватает объединенной базы, в которой бы содержалась информация, что и с чем «летает» у отечественного вендора.

«Важно мыслить и выстраивать саму экосистему ИБ, а не просто латать дыры», — подводит итог Константин Родин из «АйТи БАСТИОН».

Эфир AM Camp состоялся накануне. В один день прошли три дискуссии на тему «Национальная платформа кибербезопасности».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru