Новая атака на TLS, позволяющая откатиться к уязвимым методам шифрования

Новая атака на TLS, позволяющая откатиться к уязвимым методам шифрования

Под кодовым именем Logjam представлена новая атака на TLS, которой подвержено большое число клиентских и серверных систем, использующих HTTPS, SSH, IPsec, SMTPS и другие протоколы на базе TLS.

По своей сути Logjam напоминает представленную в марте атаку FREAK и отличается тем, что вместо инициирования смены шифров RSA на RSA_EXPORT в Logjam производится откат протокола Диффи-Хеллмана (Diffie-Hellman), используемого для получения ключа для дальнейшего шифрования, до слабозащищённого уровня DHE_EXPORT, что в сочетании с использованием не уникальных начальных простых чисел позволяет применить методы подбора ключа, сообщает opennet.ru.

При успешном проведении MITM-атаки и наличии у атакующего достаточных вычислительных мощностей, возможно чтение и модификация данных, передаваемых в рамках защищённого канала связи. Для серверов поддерживающих DHE_EXPORT и использующих для генерации ключа не уникальные 512-разрядные группы начальных чисел Диффи-Хеллмана, успешность совершения атаки при использовании типового оборудования оценивается в 80%. Обладающие более мощным оборудованием исследователи могут успешно восстановить ключи для соединений с 768-разрядными начальными числами, а спецслужбам по зубам может оказаться подбор ключей для 1024-разрядных чисел. Взлом одного из начальных чисел, которые используются для генерации секретного ключа, позволяет организовать пассивное прослушивания HTTPS-трафика. Взлом второго ключа даёт возможность прослушивания VPN и SSH.

Проблеме подвержены все популярные web-браузеры и значительное число серверов, в настройках которых допускается использование 512-разрядных ключей Диффи-Хеллмана. Для администраторов серверных систем подготовлено специальное руководство по корректной настройке TLS в Apache httpd, nginx, Lighttpd, Postfix, Sendmail, Dovecot, Tomcat, HAProxy. На той же странице доступна форма для проверки своего сервера на подверженность атаке. Пользователям web-браузеров и клиентских систем рекомендуется дождаться выпуска обновлений программ.

В процессе сканирования глобальной сети было выявлено, что из-за использования DHE_EXPORT атаке Logjam подвержено 8.4% доступных по HTTPS сайтов из миллиона самых популярных доменов, 3.4% HTTPS-сайтов, отображаемых в браузере как заслуживающих доверия, 14.8% почтовых серверов со StartTLS, 8.9% почтовых серверов с POP3S и 8.4% почтовых серверов с IMAPS. Для ресурсов, допускающих применение типовых совместно используемых 1024-разрядных групп начальных чисел Диффи-Хеллмана, цифры более внушительные: атаке по организации пассивного прослушивания потенциально подвержены 17.9% HTTPS-сайтов, 25.7% SSH-серверов и 66.1% IPsec VPN. 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Chrome автоматически отключит навязчивые уведомления от неактивных сайтов

Google снова наводит порядок с уведомлениями в Chrome. Когда-то браузер позволил сайтам отправлять нативные уведомления — прямо в  центр Windows 10 и 11. Идея была хорошая, пока веб-ресурсы не начали злоупотреблять возможностью и рассылать рекламу направо и налево.

Позже Google ужесточил правила, оставив уведомления только для тех сайтов, которым пользователь явно дал разрешение.

Теперь компания пошла дальше. В Chrome появится новое ограничение: уведомления смогут присылать только активные сайты, то есть те, с которыми пользователь действительно взаимодействует.

Если сайт присылает уведомления, но вы их никогда не открываете — его разрешение будет автоматически отозвано.

По данным Google, картина удручающая: менее 1% уведомлений вообще получают хоть какую-то реакцию от пользователей. Остальные 99% просто игнорируются или воспринимаются как раздражающие всплывашки.

Chrome будет анализировать активность — если сайт активно шлёт уведомления, но кликов по ним почти нет, браузер сам отзовёт разрешение. Никакой паники: при желании можно вручную вернуть уведомления через раздел «Проверка безопасности» в настройках Chrome.

 

Google уверяет, что цель не в том, чтобы «задушить» уведомления, а чтобы сделать их чище и полезнее. Новости в реальном времени, обновления сервисов и важные уведомления по-прежнему будут приходить — просто мусор и навязчивая реклама уйдут в прошлое.

Корпорация также обещает развивать инструменты, которые помогут пользователям лучше управлять вниманием и цифровыми привычками, чтобы веб стал чуть спокойнее и удобнее.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru