До конца года ожидается появление практических атак по подбору коллизий для

До конца года ожидается появление практических атак по подбору коллизий для

Брюс Шнайер, известный эксперт в области компьютерной безопасности, сообщил, что данный им три года назад прогноз стойкости алгоритма хэширования SHA-1 оказался излишне оптимистичным и появление первой практической атаки по подбору коллизий для SHA-1 можно ждать не в 2018 году, а до конца текущего года.

Напомним, что по прогнозу Шнайера в 2012 году затраты на подбор коллизии в SHA-1 оценивались в 2 млн долларов, в 2015 году прогнозировалось уменьшение стоимости до 700 тысяч, к 2018 году до 173 тысяч, а к 2021 до 43 тысяч долларов.

Группа исследователей из научных учреждений Голландии, Франции и Сингапура разработала оптимизированный метод подбора коллизий для функции сжатия, используемой в SHA-1 (не сам алгоритм SHA-1), который существенно сокращает время атаки и стоимость её проведения. При проведении эксперимента представленный алгоритм позволил осуществить подбор префикса за 9-10 дней на кластере из 64 GPU. При этом, стоимость вычислений, с учётом создания такого кластера на базе вычислительной мощности на Amazon EC2, составила всего 2 тысячи долларов. Время подбора реальной коллизии для произвольного хэша SHA-1 оценивается в 49 до 78 дней при вычислениях на кластере из 512 GPU, стоимость работы которого на базе Amazon EC2 составит 75-120 тысяч долларов, сообщает opennet.ru.

С учётом того, что работающие атаки могут стать реальностью в ближайшие несколько месяцев исследователи рекомендуют пересмотреть сроки перевода SHA-1 в разряд устаревших технологий. Принятый ранее план предусматривает отказ от SHA-1 начиная с 2017 года, в то время как исследователи безопасности настаивают, что с учётом увеличения эффективности проведения атак, SHA-1 должен прекратить своё существование уже в январе 2016 года. Ситуацию усугубляет то, что около 28% сайтов в сети пользуются SHA-1 для заверения своих HTTPS-сертификатов и отрасль оказалась не готова к экстренному отказу от SHA-1. 

Хостинг-провайдерам хотят запретить работать с VPN-сервисами

В России могут серьёзно усложнить жизнь не только VPN-сервисам, но и тем, кто даёт им инфраструктуру. Ко второму чтению законопроекта «Антифрод 2.0» подготовлены поправки, которые затрагивают хостинг-провайдеров.

Как выяснил «Коммерсант», компаниям могут запретить предоставлять серверы и вычислительные мощности тем, кто обеспечивает доступ к запрещённой информации. Под это определение потенциально подпадают и владельцы VPN-сервисов.

Если поправки примут, хостинг-провайдеры фактически перестанут быть просто «техническими посредниками». Им придётся самим проверять клиентов — сверять их с различными списками и отказывать в обслуживании тем, кто может нарушать требования.

И вот тут начинаются сложности. У многих компаний сейчас просто нет готовых инструментов и процессов, чтобы эффективно определять таких клиентов. А значит, переход на новую модель работы потребует дополнительных затрат — и времени, и денег.

На рынке уже предупреждают: всё это, скорее всего, скажется на ценах. Хостинг и так подорожал за последнее время более чем на 30% — из-за роста НДС и внедрения систем СОРМ. А новые требования могут добавить ещё один виток расходов.

Гендиректор хостинг-провайдера RUVDS Никита Цаплин считает, что интеграция с базами Роскомнадзора и необходимость отказывать части клиентов почти неизбежно приведут к дальнейшему росту стоимости услуг.

Напомним, сегодня пользователи начали замечать, что мобильное приложение «Госуслуг» больше не открывается при включённом VPN. Проблемы, по сообщениям пользователей, затронули и другие сервисы — например, «Яндекс Пэй».

RSS: Новости на портале Anti-Malware.ru