Новая версия Stonesoft Firewall/VPN получила сертификат Common Criteria с уровнем доверия EAL4+

Новая версия Stonesoft Firewall/VPN получила сертификат Common Criteria с уровнем доверия EAL4+

Корпорация Stonesoft, сегодня объявила о том, что новая версия Stonesoft Firewall/VPN получила сертификат Common Criteria с наивысшим уровнем доверия для коммерческих продуктов - EAL4+. Сертификат Common Criteria является международным стандартом оценки защищенности средств информационной безопасности. Сертификат с уровнем доверия EAL4+ означает, что предлагаемое решение в полной мере отвечает как самым высоким требованиям по безопасности, так и качеству разработки и производству продукции.



Межсетевой экран Stonesoft Firewall/VPN обеспечивает высокий уровень сетевой защиты и непревзойденный уровень доступности для распределенный организаций. Решение Stonesoft Firewall/VPN используется для защиты периметра сети и ее внутренних сегментов, тем самым обеспечивая непрерывность бизнеса. Необходимо подчеркнуть, что Stonesoft Firewall/VPN – это единственный продукт Firewall/VPN с функциями высокой доступности, который когда-либо подавался на сертификацию такого уровня.

Сертификат Common Criteria с уровнем доверия EAL4+ гарантирует правительственным органам и организациям, которые защищают критически важные активы, что сертифицированный продукт удовлетворяет жестким требованиям по безопасности, а также качеству и организации производственного процесса. Наличие такого сертификата – это обязательное требование правительства США ко всем федеральным закупкам. В частном/ коммерческом секторе предпочтение отдается средствам безопасности, получившим хотя бы сертификат с уровнем доверия 2; получение сертификата более высокого уровня, такого как EAL 4+, предоставляет клиентам еще большую уверенность в том, что продукт соответствует самым строгим критериям безопасности.

«Глобальным корпорациям и организациям уровня Enterprize с высокими потребностями в области защиты информации просто необходим сертификат Common Criteria, если только они не имеют возможности или не хотят использовать свои собственные ресурсы для проверки достоверности и серьезного тестирования всех существующих продуктов безопасности. Этот сертификат подтверждает, что решение тестировалось независимой лабораторией и продукт успешно прошел тест», - отметил Klaus Majewski, директор по развитию бизнеса Stonesoft.

Для получения сертификата Common Criteria с уровнем доверия EAL4+ новая версия Stonesoft Firewall/VPN прошла длинный и строгий процесс тестирования. Common Criteria – международный стандарт (ISO 15408), который описывает общую инфраструктуру для оценки функций безопасности и функциональных возможностей средств защиты. Уровень доверия EAL4+ является самым высоким уровнем гарантий безопасности и считается самым высшим уровнем сертификации для коммерческим продуктов, который признается во всех странах, которые подписали международное соглашение о признании стандарта Common Criteria - Common Criteria Recognition Agreement (CCRA).

В настоящий момент независимый стандарт безопасности Common Criteria ратифицирован в 26 странах. Все больше и больше организаций с высокими требованиями по безопасности полагаются на сертификацию Common Criteria при принятии инвестиционных решений. Сертифицируемые Common Criteria продукты проходят всесторонний и жесткий независимый тест, что дает клиентам гарантию того, что продукт соответствует требованиям безопасности, определенным в Задании по безопасности объекта оценки.

HTML-экспорт Telegram позволял красть переписку, патч уже доступен

Исследователи из ExPatch обнаружили уязвимость в десктопной версии Telegram, позволявшую незаметно встраивать JavaScript в экспортированную историю переписки. В самом мессенджере вредоносное сообщение выглядело обычно, но после открытия HTML-файла в браузере скрипт мог скопировать сообщения на сервер злоумышленника или подменить содержимое страницы.

Проблема скрывалась в кнопках, которые боты размещают под сообщениями. Telegram экранировал потенциально опасные символы в тексте переписки, именах отправителей и других полях, но забывал делать это с подписями кнопок.

Бот мог спрятать там скрипт, замаскировав кнопку невидимыми символами. Ему необязательно было находиться в атакуемой группе. Сообщение с веб-кнопкой сохранялось при пересылке, поэтому участник мог самостоятельно занести скрипт в чат. Там он спокойно ждал экспорта хоть несколько месяцев.

После открытия заражённого файла код запускался без дополнительных кликов и получал доступ к сообщениям, именам отправителей, датам и другим данным внутри конкретной HTML-страницы.

Telegram делит крупные экспорты на файлы по тысяче сообщений, поэтому весь аккаунт одним махом не раскрывался. Зато скрипт мог переписать отображаемую историю или показать фальшивую форму проверки Telegram. На сервере переписка при этом не менялась.

Для атаки требовалось совпадение трёх условий: экспорт создали в уязвимой версии Telegram Desktop, вредоносное сообщение попало в файл, а пользователь открыл его в браузере с активным JavaScript. Случаи реальной эксплуатации не зафиксированы.

Уязвимость присутствовала в версиях с 4.15.1 по 6.9.3. Исправление вошло в бету 6.9.4 и стабильную версию 7.0.1, выпущенную 14 июля. Однако обновление не лечит уже сохранённые HTML-файлы.

Исследователи советуют повторно экспортировать старые чаты после обновления либо открывать прежние копии с отключённым JavaScript.

RSS: Новости на портале Anti-Malware.ru