Новая атака на TLS, позволяющая откатиться к уязвимым методам шифрования

Новая атака на TLS, позволяющая откатиться к уязвимым методам шифрования

Под кодовым именем Logjam представлена новая атака на TLS, которой подвержено большое число клиентских и серверных систем, использующих HTTPS, SSH, IPsec, SMTPS и другие протоколы на базе TLS.

По своей сути Logjam напоминает представленную в марте атаку FREAK и отличается тем, что вместо инициирования смены шифров RSA на RSA_EXPORT в Logjam производится откат протокола Диффи-Хеллмана (Diffie-Hellman), используемого для получения ключа для дальнейшего шифрования, до слабозащищённого уровня DHE_EXPORT, что в сочетании с использованием не уникальных начальных простых чисел позволяет применить методы подбора ключа, сообщает opennet.ru.

При успешном проведении MITM-атаки и наличии у атакующего достаточных вычислительных мощностей, возможно чтение и модификация данных, передаваемых в рамках защищённого канала связи. Для серверов поддерживающих DHE_EXPORT и использующих для генерации ключа не уникальные 512-разрядные группы начальных чисел Диффи-Хеллмана, успешность совершения атаки при использовании типового оборудования оценивается в 80%. Обладающие более мощным оборудованием исследователи могут успешно восстановить ключи для соединений с 768-разрядными начальными числами, а спецслужбам по зубам может оказаться подбор ключей для 1024-разрядных чисел. Взлом одного из начальных чисел, которые используются для генерации секретного ключа, позволяет организовать пассивное прослушивания HTTPS-трафика. Взлом второго ключа даёт возможность прослушивания VPN и SSH.

Проблеме подвержены все популярные web-браузеры и значительное число серверов, в настройках которых допускается использование 512-разрядных ключей Диффи-Хеллмана. Для администраторов серверных систем подготовлено специальное руководство по корректной настройке TLS в Apache httpd, nginx, Lighttpd, Postfix, Sendmail, Dovecot, Tomcat, HAProxy. На той же странице доступна форма для проверки своего сервера на подверженность атаке. Пользователям web-браузеров и клиентских систем рекомендуется дождаться выпуска обновлений программ.

В процессе сканирования глобальной сети было выявлено, что из-за использования DHE_EXPORT атаке Logjam подвержено 8.4% доступных по HTTPS сайтов из миллиона самых популярных доменов, 3.4% HTTPS-сайтов, отображаемых в браузере как заслуживающих доверия, 14.8% почтовых серверов со StartTLS, 8.9% почтовых серверов с POP3S и 8.4% почтовых серверов с IMAPS. Для ресурсов, допускающих применение типовых совместно используемых 1024-разрядных групп начальных чисел Диффи-Хеллмана, цифры более внушительные: атаке по организации пассивного прослушивания потенциально подвержены 17.9% HTTPS-сайтов, 25.7% SSH-серверов и 66.1% IPsec VPN. 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В России предложили создать стандарты ИИ и продвигать их за рубежом

Секция «Искусственный интеллект» Совета по развитию цифровой экономики при Совете Федерации предложила разработать российские технические стандарты в области ИИ и обеспечить их перевод на иностранные языки для продвижения на международном уровне. По замыслу авторов инициативы, такие стандарты должны стать ключевым элементом технологического суверенитета и повысить конкурентоспособность российских решений на мировом рынке.

Как сообщил ТАСС заместитель председателя Совета Артём Шейкин, стандарты будут задавать «правила игры» в отрасли: они необходимы для обеспечения безопасности, совместимости и доверия к ИИ-технологиям как внутри страны, так и за её пределами.

«Регулирование ИИ в России должно быть ориентировано на поддержку внешнеторговой деятельности российских разработчиков технологий ИИ и создавать условия для их комфортной работы на внешних рынках, включая продвижение российских регуляторных норм за рубежом», — говорится в документе.

Участники секции рекомендовали Минпромторгу, Росстандарту и Альянсу в сфере ИИ «обеспечить разработку российских технических стандартов в сфере ИИ с учётом необходимости их дальнейшего продвижения за рубежом, включая перевод на иностранные языки».

Продвижение таких стандартов предполагается на международных площадках, включая ООН, ЕАЭС, СНГ, ШОС и БРИКС. Инициатива должна укрепить лидерство России в области стандартизации технологий искусственного интеллекта.

«Перевод на иностранные языки и активная работа на международных площадках позволят российским компаниям уверенно выходить на зарубежные рынки, где спрос на надёжные и безопасные ИИ-решения постоянно растёт. Это также создаст условия для укрепления роли России в формировании глобальной архитектуры регулирования искусственного интеллекта», — резюмировал Артём Шейкин.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru