Red Hat уведомил о возможной подмене злоумышленниками пакетов Ceph для Ubuntu и CentOS

Red Hat уведомил о возможной подмене злоумышленниками пакетов Ceph

Компания Red Hat сообщила о выявлении проникновения злоумышленников на сервер, обслуживающий сайт распределённого хранилища Ceph (ceph.com) и сервис загрузки Inktank (download.inktank.com), которые были размещены вне инфраструктуры Red Hat.

В прошлом году Red Hat поглотил компанию Inktank, занимающуюся разработкой ФС Ceph, но не перенёс в свою инфраструктуру все сервисы.

В частности, через сайт download.inktank.com была организована загрузка продукта Red Hat Ceph Storage для Ubuntu и CentOS, а на сайте ceph.com были размещены пакеты с community-версиями Ceph. Продукт и пакеты были заверены закрытыми ключами Inktank (id 5438C7019DCEEEAD) и сообщества Ceph (id 7EBFDD5D17ED316D). Расследование инцидента ещё не завершено и нет полной уверенности в том, что предлагаемые для загрузки файлы и код не были скомпрометированы в результате атаки. Изучение следов взлома пока не выявило модификации файлов, предлагаемых в настоящее время для загрузки. Не исключается, что файлы в прошлом могли быть подменены на какое-то время, а затем возвращены в исходный вид, сообщает opennet.ru.

Все сборки Ceph, предлагаемые на download.inktank.com после выявления проникновения, были сверены с заведомо корректными сборками. Тем не менее, так как есть вероятность утечки закрытого ключа Inktank, все сборки Red Hat Ceph Storage были повторно подписаны с использованием штатного ключа для заверения релизов Red Hat. Пользователям продукта Red Hat Ceph Storage рекомендовано использовать только сборки, заверенные ключом Red Hat. Для формируемых сообществом пакетов создан новый закрытый ключ (id E84AC2C0460F3994), который следует использовать для верификации загрузок с сайта ceph.com.

Отдельно сообщается, что на взломанном сервере не хранились данные клиентов и пользователей, но были размещены хэши паролей и логины пользователей, которым был предоставлен доступ к закрытым областям загрузки. Пользователям CentOS- и Ubuntu-сборок продукта Red Hat Ceph Storage в качестве меры предосторожности рекомендовано загрузить и переустановить пакеты, подписанные новым ключом. Пользователям Red Hat Enterprise Linux, использующим Red Hat Ceph Storage, нет повода для беспокойства, инцидент их не коснулся.

Пользователям Debian и Ubuntu, использующим Red Hat Ceph Storage, следует заменить ключи для APT и обновить пакет:

 sudo apt-key del 17ED316D curl https://git.ceph.com/release.asc | sudo apt-key add - sudo apt-get update 

Пользователям Fedora, CentOS и SUSE, использующим Red Hat Ceph Storage, следует заменить ключи для верификации и переустановить пакет:

 sudo rpm -e --allmatches gpg-pubkey-17ed316d-4fb96ee8 sudo rpm --import 'https://git.ceph.com/release.asc' sudo yum clean metadata sudo yum reinstall -y $(repoquery --disablerepo=* --enablerepo=ceph --queryformat='%{NAME}' list '*')

Сторонняя загрузка на Android станет сложнее: Google готовит новые проверки

Google официально подтвердила: установка приложений в обход Google Play на Android станет более сложной и многошаговой. Компания называет это не ограничением, а заботой о безопасности пользователей — хотя вопросов к такому подходу по-прежнему хватает.

Поводом для комментария стал недавний разбор строк в Google Play, намекающих на изменения в механизме сторонней загрузки.

В ответ на публикацию в X директор по продукту Google Play Developer Experience Мэттью Форсайт заявил, что речь идёт о так называемом Accountability Layer — дополнительном слое осознанности при установке приложений из непроверенных источников.

По словам Google, sideloading никто не запрещает. Опытные пользователи по-прежнему смогут выбрать вариант Install without verifying («Установить без проверки»). Однако этот путь будет сопровождаться дополнительными шагами и предупреждениями, чтобы пользователь точно понимал, на какой риск он идёт, устанавливая приложение от непроверенного разработчика.

Собственно, первые признаки этого уже видны в свежих версиях Google Play. Новые предупреждения акцентируют внимание на статусе разработчика, возможных угрозах безопасности, необходимости подключения к интернету и других потенциальных рисках. Формально — всё честно: Android всё ещё разрешает идти дальше.

Главный вопрос — насколько далеко Google зайдёт с этим подходом «high-friction» (как его называет сама корпорация). Одно дело — информативные предупреждения, другое — когда установка сторонних приложений превращается в квест с кучей экранов, кнопок и подтверждений.

Открытость Android всегда держалась на том, что продвинутые пользователи могли устанавливать софт без лишних препятствий.

Пока Google уверяет, что цель — исключительно образование и безопасность, а не тихое закручивание гаек. Но где именно пройдёт граница между «осознанным выбором» и «искусственным усложнением», станет ясно только после того, как изменения доберутся до стабильных релизов Android.

Ранее мы писали, что в Android тестируют блокировку загрузок APK с опасными разрешениями. Кроме того, эпопея с установкой приложений от сторонних разработчиков тянется с лета: тогда сообщалось, что Google начнёт проверять разработчиков Android-приложений вне Play Store.

RSS: Новости на портале Anti-Malware.ru