Проект Tor нашёл уязвимость в ПО для массовой слежки

Проект Tor нашёл уязвимость в ПО для массовой слежки

Проект Tor нашёл уязвимость в ПО для массовой слежки

Разработчики проекта Tor обнаружили фальшивый сертификат *.torproject.org, выданный американской компанией Cyberoam. Сертификат сгенерирован с целью обмана пользователей, которые хотят установить защищённое соединение с сайтом *.torproject.org, в то время как на самом деле канал связи открыт для издателей сертификата. Образец фальшивого сертификата прислал пользователь из Иордании.

Спрашивается, зачем компании Cyberoam понадобилось генерировать такой сертификат, и что это вообще за компания? Ответ известен: фирма Cyberoam занимается разработкой и продажей программно-аппаратных комплексов для глубокой инспекции пакетов (deep packet inspection, DPI) или, проще говоря, систем массового слежения за пользователями интернета. Подобный софт обычно устанавливают на магистральных каналах связи, чтобы анализировать интернет-трафик тысяч пользователей, пишет xakep.ru.

Представители проекта Tor обнаружили, что фальшивый сертификат принимается всеми версиями устройств Cyberoam. Компания-производитель уведомлена об «уязвимости» 30 июня, ей также сообщили, что данная информация будет опубликована в открытом доступе 3 июля, что представители Tor Project и сделали вчера.

На первый взгляд может показаться, что инцидент с сертификатом *.torproject.org аналогичен случаям с фальшивыми сертификатами Comodo и DigiNotar, когда неизвестные злоумышленники смогли взломать сертификатора и выдать от его имени сертификат. Но представители Tor считают, что в данном случае ситуация иная: самим пользователям не предъявлялись фальшивые сертификаты, они использовались исключительно системой DPI для перехвата соединения.

В ходе исследования проблемы специалисты Tor также обнаружили, что все сертификаты на всех устройствах Cyberoam DPI генерируются с помощью одного и того же секретного ключа. Таким образом, владелец любого устройства Cyberoam может изучать трафик в любой другой сети, где установлено устройство Cyberoam.

Подпишитесь на новости

Новые запреты Claude: российским компаниям не поможет переезд сотрудников

Anthropic уточнила правила доступа к Claude: для российских компаний переезд сотрудника за границу сам по себе ничего не решает. Ограничения учитывают местонахождение пользователя, регистрацию организации и то, кто её контролирует. Обновлённая политика действует с 12 ноября и распространяется в том числе на доступ через облачных партнёров.

В официальной политике Anthropic перечислены три основания для запрета. Первое — пользователь физически находится в неподдерживаемом регионе.

России в списке поддерживаемых стран нет. Поэтому даже сотрудник зарубежной компании, приехавший в РФ в командировку, подпадает под ограничение.

Второе — организация зарегистрирована или имеет штаб-квартиру в неподдерживаемой стране. Её сотрудники не получают права пользоваться Claude, просто оказавшись в США или Европе.

Третье — компания прямо или косвенно находится в преимущественном владении либо под контролем лиц или организаций из неподдерживаемых регионов. Таким образом, значение имеет и структура контроля.

Правила охватывают Claude.ai, Claude Code, Cowork, API, а также модели через облачные платформы и аутентифицированных реселлеров. Облачный посредник исключения не даёт. При этом отдельного запрета по российскому гражданству документ не устанавливает.

Сама Anthropic описывает обновление как уточнение применения региональных ограничений. Ограничивать доступ зарубежных компаний с владельцами из неподдерживаемых стран она начала ещё в прошлом году, а массовые блокировки российских аккаунтов были замечены в мае.

Напомним, в этом месяце российский пользователь Claude рассказал о внезапном бане сразу после проверки личности по загранпаспорту. Но история закончилась неожиданно быстро: примерно через три часа после апелляции Anthropic вернула доступ и оформила возврат $78,97 за неиспользованную часть подписки.

RSS: Новости на портале Anti-Malware.ru