Новые смарт-карты позволят правительству США сэкономить на безопасности

Новые смарт-карты позволят правительству США сэкономить на безопасности

Компания eMentum, долгое время работающая в сфере управления идентичностью и разрабатывающая технологические решения идентификации личности для Министерства юстиции США, заявила, что в течение последующих пяти лет (срок контракта) будет работать над реализацией новой программы Министерства юстиции США, направленной на универсализацию смарт-карт, используемых сотрудниками ведомства.

Как отмечают представители компании, на сегодняшний день сотрудники министерства уже используют биометрические смарт-карты для того, чтобы попасть на рабочие места. Однако, эти смарт-карты работают только в приделах конкретных департаментов министерства. Вследствие чего, для того, чтобы получить доступ к закрытой информации, находящейся в другом департаменте министерства, сотрудникам приходится каждый раз проходить различные процедуры идентификации личности и постоянно вводить разные пароли. По замыслу авторов проекта, универсальные смарт-карты позволят значительно сократить количество операций, направленных на идентификацию сотрудников (на данный момент существует около двенадцати различных операций).

По словам президента компании Каролин Мерек, разрабатываемая компанией технология позволит объединить все существующие операции, направленные на идентификацию сотрудников, заменив их одной универсальной идентификацией, которую сотрудники министерства будут проходить лишь один раз в начале рабочего дня. Данная технология позволит сотруднику одного отдела подключиться к закрытой базе данных другого отдела без необходимости заново вставлять смарт-карту и вводить отдельный пароль. По мнению авторов проекта, это не только снизит временные затраты сотрудников, но и позволит существенно снизить финансовую нагрузку на бюджет министерства.

Планируется, что общая стоимость данного проекта составит $62000000.

Компания eMentum, долгое время работающая в сфере управления идентичностью и разрабатывающая технологические решения идентификации личности для Министерства юстиции США, заявила, что в течение последующих пяти лет (срок контракта) будет работать над реализацией новой программы Министерства юстиции США, направленной на универсализацию смарт-карт, используемых сотрудниками ведомства." />
Подпишитесь на новости

16-летний исследователь получил права администратора в сервисе Microsoft

Шестнадцатилетний исследователь под псевдонимом Faav обнаружил дыру в защите внутренней аналитической платформы Microsoft Titan. Сервис принимал поддельные токены аутентификации и позволял выдавать себя за администратора, а затем выполнять SQL-запросы к подключённым базам данных.

Причиной стала детская ошибка: Titan проверял указанные в JSON Web Token данные — идентификатор арендатора, приложение и имя пользователя, — но не подтверждал криптографическую подпись.

Как рассказал сам Faav, публично доступный API платформы принимал сфабрикованный токен и связывал указанное в нём имя admin с локальной учётной записью администратора. Для атаки не требовались украденные пароли, подбор учётных данных или компрометация аккаунта Microsoft.


Исследователь нашёл 17 подключённых баз ClickHouse почти с 10 тыс. уникальных таблиц. По их метаданным он оценил общий объём хранилищ в 17,3 трлн строк. Это не означает утечку такого количества записей или данные 17,3 трлн пользователей: показатель мог включать копии, историческую информацию и производные наборы.

Во время ограниченной проверки исследователь увидел метаданные и десятки тысяч записей, связанных с аккаунтами, адресами сотрудников и организациями.

Он также выполнил два запроса к аналитике Bing, вернувших по одной строке, но утверждает, что персональные данные клиентов не изучал и массово ничего не скачивал.

Faav сообщил об уязвимости Microsoft 5 сентября. Уже 9 сентября корпорация закрыла публичный доступ к API, а 17 сентября выплатила исследователю $5000. Доказательств того, что брешь ранее использовали злоумышленники, нет.

RSS: Новости на портале Anti-Malware.ru