Проблемы с некорректной очисткой остаточных данных в клиенте Tor и OpenSSL

Проблемы с некорректной очисткой остаточных данных в клиенте Tor и OpenSSL

В процессе анализа исходных текстов клиента для работы в анонимной сети Tor обнаружена необычная уязвимость, которая может привести к оседанию в системной памяти остаточных данных, которые могут содержать конфиденциальную информацию, например, введённые пароли. Интерес представляет то, что формально код Tor не содержит ошибок и уязвимость является следствием особенностей работы некоторых компиляторов.

Проблема связана с тем, что Tor использует для очистки кэша функцию memset(), которая игнорируется в результате работы оптимизаторов некоторых компиляторов, что может привести к появлению неочищенных областей памяти после закрытия приложения, сообщает opennet.ru. Например, при выборе режима оптимизации на скорость (-O2) Microsoft Visual Studio 2010 просто удаляет вызов memset при обнулении данных, если буфер в дальнейшем не используется в коде.

В качестве примера корректного подхода к очистке буферов приводится OpenSSL, в котором для очистки создана специальная функция, затирающая содержимое буфера случайными данными. Но из-за ошибки в вычислении размера буфера при вызове данной функции, она затирает только первые 4 байта (вместо размера буфера передаётся размер указателя на буфер), оставляя содержимое неизменным.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Британским военным запретили обсуждать служебные вопросы в автомобилях

Британским военнослужащим запретили обсуждать любые вопросы, связанные со службой, находясь в любом автомобиле. Соответствующие предупреждения разместили на торпедо и приборных панелях всех машин, принадлежащих армии Великобритании как в стране, так и за её пределами.

Причиной стали опасения по поводу возможного прослушивания со стороны китайских спецслужб. О новых мерах сообщил таблоид Daily Mail.

По данным издания, предупреждения появились в сотнях автомобилей, которые используются для перевозки личного состава и грузов вблизи военных баз и других объектов как на территории Британских островов, так и за рубежом.

Сообщения запрещают обсуждать служебные вопросы в салоне автомобиля, а также подчёркивают недопустимость подключения личных устройств к бортовой электросети.

Мера была введена спустя два года после того, как в одном из автомобилей, предназначенных для использования британским правительством, включая премьер-министра, выявили систему скрытого прослушивания.

Инцидент стал поводом для полного отказа от китайского ИТ- и телеком-оборудования в госсекторе Великобритании. Также под запрет попало использование китайских электромобилей в армии и на флоте.

Однако проблемы с безопасностью наблюдались не только у китайских автомобилей. Ещё на раннем этапе распространения технологий подключённых транспортных средств серьёзные уязвимости были обнаружены в автомобилях Nissan. С тех пор зафиксировано множество инцидентов с автомобилями разных производителей — европейских, американских и японских.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru