Yahoo! случайно опубликовала свой сертификат цифровой подписи

Yahoo! случайно опубликовала свой сертификат цифровой подписи

Сегодня Yahoo! выпустив новый обозреватель Axis опубликовала сертификат, который является цифровой подписью для продукции компания; обозреватель предназначен для iPhone и iPad. Однако есть версии программы, которые могут быть использованы в качестве плагинов для обозревателей Chrome, Firefox, Internet Explorer и Safari.

Axis была создана в помощь тем, кто активно используют сервисы Yahoo! для поиска и оформления заказов в интернет-магазинах. Однако не прошло и нескольких часов, как австралийский исследователь в области безопасности сообщил об уязвимости.

Как оказалось, в Yahoo! перед выпуском приложения не проверили продукт на наличие уязвимостей. В данном случае такой ошибкой стала невнимательность, благодаря которой вместе с версией плагина для обозревателя Chrome  был опубликован конфиденциальный сертификат. Такой сертификат обычно является своеобразной "визитной карточкой" компании, и во время установки приложение проходит соответствующую верификацию. В случае, если приложение не имеет цифровой подписи изготовителя, оно будет определено как поддельное.

Как отмечает исследователь, в пакете с программой был обнаружен файл сертификата, который при установке на созданное им приложение не потребовал ни пароля, ни другой идентификационной информации, используемой для защиты ключа от несанкционированного доступа. Таким образом, получив в распоряжение такой сертификат, злоумышленник может подписать им свою разработку и распространять как легитимный плагин. В доказательство, эксперт продемонстрировал работу ключа. Он создал программу, которая перехватывает весь трафик, включая пароли доступа, файлы сессии и прочие конфиденциальные данные и подписал ее добытым сертификатом.

По его мнению, наиболее простым способом получения доступа является уязвимый DNS, через который легитимная версия  Axis будет загружать обновления. Таким патчем может оказаться подписанная легитимным сертификатом вредоносная программа.

Стоит отметить, что компания незамедлительно была поставлена в известность, и уже выпущено соответствующее исправление. Сертификат был внесен в черный список.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Норму о штрафах за поиск экстремистских материалов скорректируют

Минцифры в ближайшее время сформирует рабочую группу для корректировки нормы о наказаниях за поиск материалов, признанных экстремистскими. В ведомстве намерены внести в неё ряд исключений.

Об этом рассказала глава Лиги безопасного интернета Екатерина Мизулина в беседе с корреспондентом издания «Фонтанка», сославшись на ответ Минцифры на свой запрос.

«Речь идёт о правках, касающихся журналистской деятельности, когда такие инструменты необходимы», — уточнила Екатерина Мизулина.

Ранее Мизулина критиковала новую норму, отмечая, что она мешает работе возглавляемой ею организации, занимающейся мониторингом распространения информации, связанной с экстремистскими материалами.

Главный редактор медиагруппы «Россия сегодня» и телеканала RT Маргарита Симоньян также заявляла, что эти положения создают препятствия для журналистов, особенно при проведении расследований, связанных с деятельностью экстремистских группировок.

Напомним, норма была внесена в июле, ко второму чтению законопроекта, посвящённого регулированию транспортно-экспедиторской деятельности. Поправки также запрещали рекламу технических средств, позволяющих обходить блокировки интернет-ресурсов.

Председатель комитета Госдумы по информационной политике, информационным технологиям и связи Сергей Боярский отметил, что действие нормы распространяется только на тех, кто «осознанно и злонамеренно» ищет подобные материалы в интернете и уже находится в поле зрения правоохранительных органов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru