Ученые вскрыли защиту аппаратного ключа за 15 минут

Ученые вскрыли защиту аппаратного ключа за 15 минут

Группа ученых из нескольких стран Европы опубликовала статью с демонстрацией успешного взлома распространенного аппаратного ключа безопасности RSA SecurID 800. Используя алгоритм, предложенный еще 1998 году швейцарским криптографом Даниэлем Блейхенбахером (Daniel Bleichenbacher), ученые применили некоторые новаторские приемы, что в итоге привело к извлечению 1024-битного ключа RSA менее чем за 15 минут.

Примечательно, что новой атаке подвержены чипы в электронных удостоверениях личности, недавно введенных в Эстонии, которые сейчас обязательны для всех граждан возрастом старше 15 лет. Тем не менее, эстонские власти заявили, что атака выполняется слишком медленно, чтобы иметь практическое значение.

Способ атаки на жетоны RSA SecurID 800 будет официально представлен на конференции CRYPTO 2012 а августе текущего года. Стоит заметить, что существует еще целый ряд устройств, частично подверженных аналогичной атаке, но на данный момент все они пока успешно выдерживают атаки – скомпрометированы лишь аппараты с технологией SecurID от компании RSA. Эксперты по безопасности уже давно говорят о риске, связанном с хранением ключей, пусть и в защищенном виде, на общедоступных компьютерах, серверах и «флэшках». Но теперь эта проблема приобретает реальные очертания, сообщает soft.mail.ru.

Описать принцип атаки на жетоны SecurID 800 можно с помощью аналогии. Если сам жетон представить, как банковское хранилище, то его криптоконтейнер (cryptographic wrapper) можно сравнить с бронеавтомобилем. Все ключи из хранилища предоставляют клиентам только внутри этого криптоконтейнера, который, теоретически, никак нельзя снять до попадания к авторизованному адресату. Тем не менее, ученые предлагают последовательно использовать мелкие слабости контейнера, пока все его содержимое не превратится в исходный текст ключа. Для атаки пришлось немного модифицировать алгоритм Блейхенбахера — вместо 215 000 запросов по принципу «оракула с набивкой криптоконтейнера» удалось решить задачу по восстановлению ключа всего за 9 400 запросов. Фактически, на каждом шаге выполняется «угадывание» очередного бита в ключе за счет сопоставления специального текста и результатов его шифрования.

Теоретически, новая атака может применяться против любых приборов, использующих закрытые ключи с программным интерфейсом PKCS#11. В частности, потенциальная угроза нависла над такими массовыми жетонами авторизации, как eTokenPro компании Aladdin, iKey 2032 компании SafeNet, CyberFlex компании Gemalto и CardOS компании Siemens. Кроме работ Блейхенбахера, авторы новой атаки частично применили способы атаки типа «циклическая набивка шифротекста заполнителями для извлечения симметричных ключей»(CBC padding to extract symmetric keys): эту атаку на RSA-ключи успешно продемонстрировал французский криптограф Серж Воденэ (Serge Vaudenay) в 2002 году.

Как указывают авторы статьи, Ромэн Барду (Romain Bardou), Риккардо Фокарди (Riccardo Focardi), Юсуке Кавамото (Yusuke Kawamoto), Лоренцо Симионато (Lorenzo Simionato), Грэхем Стил (Graham Steel) и Джо-Кай Цай (Joe-Kai Tsay), официальные лица компании RSA уже знают о проблеме и работы над ее устранением ведутся непрерывно. Удивляет лишь реакция эстонского правительства, которое не признает опасность крупномасштабного взлома электронных удостоверений буквально для всех своих дееспособных граждан.

Количество серых чатов таксистов за два года утроилось

Количество чатов, групп и сообществ нелегальных и «серых» таксистов за два года утроилось и достигло 11 тыс. Их услугами пользуются около 22 млн человек. Причинами перехода водителей на полулегальные и нелегальные формы работы стали зарегулированность и высокие издержки в отрасли. Пассажиры, в свою очередь, обращаются к таким перевозчикам из-за более низких цен.

Такие данные приводят «Известия» со ссылкой на аппарат заместителя председателя думского комитета по защите конкуренции Сергея Лисовского и экспертов Объединения самозанятых России.

Всего в России действует 11,3 тыс. каналов, групп и сообществ таксистов в разных социальных сетях и мессенджерах. В 2024 году, по данным АНО «Цифровые платформы», их было 4,1 тыс.

Опрос 10 тыс. пассажиров, проведённый в крупных городах, показал, что 85,5% респондентов опасаются пользоваться услугами нелегальных такси. 56,5% опрошенных понимают, что в таких поездках водитель не несёт материальной ответственности, а пассажир может столкнуться с рисками похищения, ограбления или грубого обращения. При этом 44,3% всё же готовы пользоваться услугами нелегальных или «серых» водителей из-за более низкой стоимости поездки.

Количество участников в группах «серых» таксистов может достигать десятков тысяч. Как правило, такие сообщества создаются по региональному принципу и охватывают целые города или районы.

В пресс-службе «Такси Максим» объяснили изданию, что одной из причин сложившейся ситуации стало несоответствие действующего регулирования реальной структуре рынка:

«Одни и те же требования распространяются как на профессиональные таксопарки, так и на частных водителей на личных автомобилях, для которых перевозки являются подработкой или эпизодической деятельностью. Но это разные экономические модели».

Частные водители часто не могут выполнять все организационные и технические требования, включая ежедневные медицинские и технические осмотры, оформление большого объёма документов и покупку специализированных страховок. В результате для многих такая работа становится слишком сложной и затратной, и они уходят «в тень».

Политолог Павел Склянчук считает, что уход таксистов в тень создаёт риск криминализации рынка. Он напомнил, что раньше эта сфера считалась одной из наиболее криминальных, пока в неё не пришли цифровые платформы с жёсткими требованиями. По его мнению, возврат части водителей в неформальный сектор создаёт условия для новых рисков как для пассажиров, так и для самих водителей.

По данным мониторинга АНО «Цифровые платформы», за 2025 год количество происшествий с водителями, работающими вне служб такси, выросло на 71,5%. Число убийств увеличилось в 4,7 раза, случаев физического насилия — в 2,4 раза, а количество возбужденных уголовных дел — в 3,6 раза. При этом эти данные собраны на основе мониторинга СМИ, а упоминание водителя в публикации не означает его виновности.

Тем не менее, как говорится в материалах исследования АНО «Цифровые платформы», нелегальная поездка лишает защиты и пассажира, и водителя:

«Обе стороны лишены базовых инструментов безопасности: истории поездки, возможности экстренного вызова, идентификации второй стороны. Таким образом, серая зона опасна системно и симметрично для всех участников перевозок».

Сам Сергей Лисовский в комментарии «Известиям» назвал оптимальным решением легализацию частных водителей на личных автомобилях:

«Это даст людям безопасные, доступные поездки и вернёт миллионы перевозчиков в правовое поле. Транспортная блокада малых городов — не приговор, а задача, которую мы можем решить».

RSS: Новости на портале Anti-Malware.ru