Эксперты говорят о криптографической проблеме в системе Cisco IOS

Эксперты говорят о криптографической проблеме в системе Cisco IOS

Эксперты по криптографии говорят, что компания Cisco непреднамеренно снизила уровень стойкости защиты данных в сетевой операционной системе IOS, используемой во многих сетевых устройствах компании. Эксперты говорят,что прежде в IOS использовался алгоритм шифрования и система защиты данных, однако Cisco  заменила их на более современные. Впрочем, последние, как показала практика, оказались менее надежными в сравнении с предшественниками.



Новая криптосистема, получившая название Type 4, была призвана исключить вероятность атак по словарю, когда злоумышленники подбирают пароль методом перебора комбинаций. В документах Cisco говорилось, что Type 4 должен прийти на смену нынешним Type 5 и Type 7. Однако в результате неверного развертывания усиленного алгоритма, система оказалась значительно менее стойкой, нежели предшественники. Новая система должна была работать по принципу использования хэшей паролей, а не самих паролей как таковых, пишет cybersecurity.ru.

Проблема была выявлена Филипом Шмидтом и Йенсом Стойбе из Hashcat Project, занимающихся созданием программного обеспечения для взлома паролей.

Как они рассказали, алгоритм Type 4 представляет собой разновидность реализации технологии шифрования PBKDF2 (Password-Based Key Derivation Function version 2). Последний, в свою очередь, базируется на стандарте шифрования SHA-256, но подмешивает к пасс-коду еще 80 бит случайных данных (на жаргоне криптографов - "подсаливает" код), чтобы системам взлома было значительно труднее отличить "соль" от полезных данных. Алгоритмы Type 5 и 7 работали по такому же принципу, но здесь в качестве базы применялся стандарт шифрования MD5. SHA-256 по своей организации считается более продвинутым, нежели созданный в 1992 году MD5.

Шмидт говорит, что метод "подсаливания" паролей используется практически во всех современных системах защиты, причем некоторые системы защиты используют несколько слоев "подсаливания" (а некоторые довольно много - до 1000). Это позволяет дополнительно защитить пароль, так как в этом случае 1000-кратно вырастает объем операций по перебору. То есть, чтобы проверить один реальный пароль, нужно 1000 раз проработать каждую созданную хеш-функцию, постепенно "отшелушивая" ненужные данные. На практике, это создает условия, когда взломать подобным образом защищенный пароль за обозримый период времени, даже на очень мощном оборудовании, практически невозможно.

Однако это в теории. В реальности для создания надежной защиты необходимо создать правильную реализацию алгоритма, встроенного в операционную систему.

Как рассказали в Cisco, на сегодня на базе Type 4 работают немногие образцы продуктов cisco, в частности те, что перешли на IOS 15.0 и старше. На сегодня в Cisco не опубликовали, какие именно продукты подвержены проблеме, однако заявили, что пользователи, которые уже используют Type 4, могут при помощи сравнительно несложных операций откатить систему до Type 5.

Известно, что проблема позволяет при помощи нехитрых манипуляций выявить хеши паролей в "очищенном" виде без каких-либо операций по перебору. Более того, некоторые IOS-устройства сконфигурированы для управления через интернет и доступ к хешам с паролями возможен даже удаленно. Ряд устройств содержат в себе решения для детектирования взлома, однако это в любом случае создает неудобства для администраторов.

VK Tech запускает отдельное ИИ-направление для корпоративных клиентов

VK Tech выделяет отдельное направление, связанное с искусственным интеллектом для корпоративных заказчиков. Компания собирается развивать решения для внедрения ИИ в защищённой инфраструктуре организаций — от вычислительных мощностей и хранения данных до прикладных сервисов.

Как следует из сообщения компании, среди ключевых задач нового направления — создание корпоративной ИИ-платформы, а также усиление ИИ-функциональности в существующих продуктах VK Tech. Для этого планируется использовать и собственные разработки VK, включая языковую модель Diona.

Руководить ИИ-направлением будет Роман Стятюгин, который ранее возглавлял команду аналитических сервисов VK Predict.

В VK Tech отмечают, что корпоративный рынок ИИ постепенно уходит от стадии экспериментов. Если раньше компании чаще тестировали отдельные инструменты или точечные сценарии, то теперь всё чаще рассматривают ИИ как полноценную технологию для перестройки бизнес-процессов и повышения эффективности.

При этом один из главных вопросов для корпоративного сегмента — безопасность. Именно поэтому, как считают в компании, растёт спрос на внедрение ИИ не в публичной среде, а внутри защищённого контура организаций, где можно контролировать данные и доступ к ним.

По сути, VK Tech делает ставку на то, что бизнесу нужны не разрозненные ИИ-сервисы, а более цельная инфраструктура, которую можно встроить в существующие процессы компании и использовать в более предсказуемом режиме.

RSS: Новости на портале Anti-Malware.ru