Эксперты говорят о криптографической проблеме в системе Cisco IOS

Эксперты говорят о криптографической проблеме в системе Cisco IOS

Эксперты по криптографии говорят, что компания Cisco непреднамеренно снизила уровень стойкости защиты данных в сетевой операционной системе IOS, используемой во многих сетевых устройствах компании. Эксперты говорят,что прежде в IOS использовался алгоритм шифрования и система защиты данных, однако Cisco  заменила их на более современные. Впрочем, последние, как показала практика, оказались менее надежными в сравнении с предшественниками.



Новая криптосистема, получившая название Type 4, была призвана исключить вероятность атак по словарю, когда злоумышленники подбирают пароль методом перебора комбинаций. В документах Cisco говорилось, что Type 4 должен прийти на смену нынешним Type 5 и Type 7. Однако в результате неверного развертывания усиленного алгоритма, система оказалась значительно менее стойкой, нежели предшественники. Новая система должна была работать по принципу использования хэшей паролей, а не самих паролей как таковых, пишет cybersecurity.ru.

Проблема была выявлена Филипом Шмидтом и Йенсом Стойбе из Hashcat Project, занимающихся созданием программного обеспечения для взлома паролей.

Как они рассказали, алгоритм Type 4 представляет собой разновидность реализации технологии шифрования PBKDF2 (Password-Based Key Derivation Function version 2). Последний, в свою очередь, базируется на стандарте шифрования SHA-256, но подмешивает к пасс-коду еще 80 бит случайных данных (на жаргоне криптографов - "подсаливает" код), чтобы системам взлома было значительно труднее отличить "соль" от полезных данных. Алгоритмы Type 5 и 7 работали по такому же принципу, но здесь в качестве базы применялся стандарт шифрования MD5. SHA-256 по своей организации считается более продвинутым, нежели созданный в 1992 году MD5.

Шмидт говорит, что метод "подсаливания" паролей используется практически во всех современных системах защиты, причем некоторые системы защиты используют несколько слоев "подсаливания" (а некоторые довольно много - до 1000). Это позволяет дополнительно защитить пароль, так как в этом случае 1000-кратно вырастает объем операций по перебору. То есть, чтобы проверить один реальный пароль, нужно 1000 раз проработать каждую созданную хеш-функцию, постепенно "отшелушивая" ненужные данные. На практике, это создает условия, когда взломать подобным образом защищенный пароль за обозримый период времени, даже на очень мощном оборудовании, практически невозможно.

Однако это в теории. В реальности для создания надежной защиты необходимо создать правильную реализацию алгоритма, встроенного в операционную систему.

Как рассказали в Cisco, на сегодня на базе Type 4 работают немногие образцы продуктов cisco, в частности те, что перешли на IOS 15.0 и старше. На сегодня в Cisco не опубликовали, какие именно продукты подвержены проблеме, однако заявили, что пользователи, которые уже используют Type 4, могут при помощи сравнительно несложных операций откатить систему до Type 5.

Известно, что проблема позволяет при помощи нехитрых манипуляций выявить хеши паролей в "очищенном" виде без каких-либо операций по перебору. Более того, некоторые IOS-устройства сконфигурированы для управления через интернет и доступ к хешам с паролями возможен даже удаленно. Ряд устройств содержат в себе решения для детектирования взлома, однако это в любом случае создает неудобства для администраторов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Рынок корпоративного ИБ-образования в России вырос до 3 млрд рублей

Группа компаний «Солар» совместно с консалтинговым агентством KASATKIN CONSULTING представила исследование рынка корпоративного образования в сфере информационной безопасности. По его данным, по итогам 2024 года объём этого рынка достиг 3,07 млрд рублей, что на 10% больше, чем годом ранее.

Аналитики отмечают, что развитие ИБ-образования идёт следом за ростом рынка кибербезопасности в целом. К 2026 году объём рынка может вырасти до 3,38 млрд рублей при среднегодовом темпе роста около 8%.

Главные заказчики — крупные и крупнейшие компании, на которые приходится 83% спроса. Именно они активнее других вкладываются в подготовку специалистов: их бюджеты на обучение растут примерно на 24% в год, что сопоставимо с ростом собственных доходов. В среднем крупный бизнес тратит на обучение 0,13% от выручки, а крупнейшие корпорации — 0,05%.

Самыми активными инвесторами в развитие ИБ-компетенций остаются финансовый сектор и ТЭК (41%), а также ритейл и FMCG (21%).

Рост рынка, по мнению экспертов, обеспечивают три ключевых фактора. Во-первых, усиление требований государства, когда наличие сертифицированных специалистов становится обязательным для получения лицензий. Во-вторых, новые угрозы, связанные с ИИ, и усложнение ИТ-инфраструктур, что требует постоянного обновления знаний. В-третьих, курс на импортозамещение, который стимулирует создание отечественных программ обучения и адаптацию зарубежных курсов.

По словам аналитиков, сегодня компании переходят от обучения «для галочки» к практической подготовке команд. Все чаще востребованы программы по SOC, DevSecOps, форензике, а также тренировки на киберполигонах. Растет популярность гибридных форматов — сочетания онлайн-теории и офлайн-практики, а также индивидуальных образовательных треков.

«Рынок ИБ-образования взрослеет: обучение становится не просто инструментом получения сертификата, а способом укрепления компетенций команд. В 2026 году выиграют те, кто связывает развитие сотрудников с внедрением отечественных решений и реальными задачами бизнеса», — отметил Дмитрий Касаткин, управляющий партнёр KASATKIN CONSULTING.

Как добавляют в ГК «Солар», компании всё чаще рассматривают инвестиции в обучение как стратегический элемент защиты бизнеса. Особое внимание уделяется программам, где можно отработать навыки на реальных кейсах — например, тестирование на проникновение, безопасная разработка или работа в SOC.

Отдельный тренд — рост числа специалистов уровня middle, которые переходят в ИБ из смежных ИТ-направлений. Это говорит о том, что компании всё чаще растят собственных специалистов, развивая их практические навыки внутри организации.

Эксперты уверены: спрос на качественные прикладные программы будет только расти, поскольку разрыв между академическими знаниями и реальными потребностями бизнеса по-прежнему велик.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru