Новая атака на TLS, позволяющая откатиться к уязвимым методам шифрования

Новая атака на TLS, позволяющая откатиться к уязвимым методам шифрования

Под кодовым именем Logjam представлена новая атака на TLS, которой подвержено большое число клиентских и серверных систем, использующих HTTPS, SSH, IPsec, SMTPS и другие протоколы на базе TLS.

По своей сути Logjam напоминает представленную в марте атаку FREAK и отличается тем, что вместо инициирования смены шифров RSA на RSA_EXPORT в Logjam производится откат протокола Диффи-Хеллмана (Diffie-Hellman), используемого для получения ключа для дальнейшего шифрования, до слабозащищённого уровня DHE_EXPORT, что в сочетании с использованием не уникальных начальных простых чисел позволяет применить методы подбора ключа, сообщает opennet.ru.

При успешном проведении MITM-атаки и наличии у атакующего достаточных вычислительных мощностей, возможно чтение и модификация данных, передаваемых в рамках защищённого канала связи. Для серверов поддерживающих DHE_EXPORT и использующих для генерации ключа не уникальные 512-разрядные группы начальных чисел Диффи-Хеллмана, успешность совершения атаки при использовании типового оборудования оценивается в 80%. Обладающие более мощным оборудованием исследователи могут успешно восстановить ключи для соединений с 768-разрядными начальными числами, а спецслужбам по зубам может оказаться подбор ключей для 1024-разрядных чисел. Взлом одного из начальных чисел, которые используются для генерации секретного ключа, позволяет организовать пассивное прослушивания HTTPS-трафика. Взлом второго ключа даёт возможность прослушивания VPN и SSH.

Проблеме подвержены все популярные web-браузеры и значительное число серверов, в настройках которых допускается использование 512-разрядных ключей Диффи-Хеллмана. Для администраторов серверных систем подготовлено специальное руководство по корректной настройке TLS в Apache httpd, nginx, Lighttpd, Postfix, Sendmail, Dovecot, Tomcat, HAProxy. На той же странице доступна форма для проверки своего сервера на подверженность атаке. Пользователям web-браузеров и клиентских систем рекомендуется дождаться выпуска обновлений программ.

В процессе сканирования глобальной сети было выявлено, что из-за использования DHE_EXPORT атаке Logjam подвержено 8.4% доступных по HTTPS сайтов из миллиона самых популярных доменов, 3.4% HTTPS-сайтов, отображаемых в браузере как заслуживающих доверия, 14.8% почтовых серверов со StartTLS, 8.9% почтовых серверов с POP3S и 8.4% почтовых серверов с IMAPS. Для ресурсов, допускающих применение типовых совместно используемых 1024-разрядных групп начальных чисел Диффи-Хеллмана, цифры более внушительные: атаке по организации пассивного прослушивания потенциально подвержены 17.9% HTTPS-сайтов, 25.7% SSH-серверов и 66.1% IPsec VPN. 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Windows 11 всё ещё можно установить офлайн — есть два способа

Многие пользователи, переходящие с Windows 10 на Windows 11, замечают одно неприятное изменение: теперь при установке системы нельзя просто создать локальную учётную запись и обойтись без подключения к интернету. В Windows 10 это было обычным делом — выбрал «Офлайн-режим», задал имя пользователя и пароль, и готово.

На прошлой неделе мы писали, Microsoft всерьёз взялась за борьбу с «локальными обходами» при установке Windows 11.

В свежей тестовой сборке Windows 11 Insider Preview Build 26220.6772 (KB5065797), доступной участникам Dev-канала, компания удалила оставшиеся способы создания локального аккаунта и обхода обязательной аутентификации через Microsoft Account.

Тем не менее установить Windows 11 без Microsoft-аккаунта всё ещё можно — нужно лишь знать пару хитростей.

Способ 1. Без сторонних инструментов

Главное правило — не подключать интернет. Если у вас подключён сетевой кабель, отключите его. Wi-Fi тоже не включайте, когда система попросит. Дальше действуем так:

  1. На этапе первичной настройки (OOBE) убедитесь, что интернет действительно отключён.
  2. Нажмите Shift + F10, чтобы открыть командную строку.
  3. Введите команду oobe\bypassnro и нажмите Enter.

Система перезагрузится, после чего можно продолжать установку. Главное — не подключайтесь к интернету, пока не окажетесь на рабочем столе. Так Windows 11 создаст локальную учётную запись и не будет показывать рекламные экраны при настройке.

Этот способ работает даже в свежих версиях — 24H2 и 25H2, несмотря на слухи о том, что Microsoft якобы отключила данную команду.

Кстати, чтобы избавиться от всплывающих подсказок и полноэкранных уведомлений после установки, зайдите в Настройки → Система → Уведомления → Дополнительные параметры и снимите все три галочки.

Способ 2. С помощью Rufus

Если вы собираетесь сделать чистую установку Windows 11, можно подготовить установочную флешку через приложение Rufus, которое само уберёт требования Microsoft.

  1. Скачайте ISO-образ Windows 11 с официального сайта.
  2. Скачайте Rufus (можно взять портативную версию).
  3. Подключите USB-накопитель и откройте Rufus.
  4. Выберите ваш ISO-файл и нажмите Start.
  5. В появившемся окне отметьте пункт «Remove requirement for an online Microsoft account» (удалить требование онлайн-аккаунта). При желании можно сразу задать имя локальной учётной записи.

После этого создайте флешку и устанавливайте систему как обычно, главное — не подключайте интернет при настройке.

Вот и всё: у вас будет полноценная Windows 11 без обязательного Microsoft-аккаунта, без рекламы и с чистым рабочим столом.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru