Новая защита Wi-Fi-роутеров D-Link оказалась брешью в безопасности

Новая защита Wi-Fi-роутеров D-Link оказалась брешью в безопасности

Не успела компания D-Link анонсировать обновленное микропрограммное обеспечение для беспроводных роутеров с функцией защиты от автоматических регистраций (CAPTCHA), как сразу несколько энтузиастов обнаружили, что новая мера защиты делает владельца такого роутера еще более уязвимым для похищения паролей доступа.

В новой прошивке для своих беспроводных роутеров компания D-Link реализовала CAPTCHA-тест, однако из-за ошибки разработчиков страница веб-интерфейса с этим тестом стала самым уязвимым местом в системе безопасности.

Участниками блога SourceSec Security Research было обнаружено, что страница регистрации на роутере использует GET-запрос протокола HTTP, причем, вместе с содержимым проверочного поля ввода этот запрос передает внутри себя MD5-хэш для защищенного пароля. Имея в своем распоряжении такой хэш для заданного по умолчанию пароля (если владелец не сменил его), любой атакующий может быстро получить доступ к панели управления роутера и сменить пароль администратора, а также похитить пароль WPA (Wi-Fi Protected Access) для защищенного доступа к беспроводной сети. Хэширование паролей в этих роутерах проводится с использованием «соли» («salt» - набор символов, который добавляется к паролю или хэшу паролю перед повторным хэшированием), однако если сам хэш попадет в руки злоумышленника – для взлома даже не нужно будет знать пароль.

Кроме того, из-за уязвимости в CAPTCHA-тесте даже обычные пользователи могут получить доступ к панели администрирования, не имея на то соответствующих полномочий. По умолчанию в роутере есть пользователь с пустым паролем – прав этого пользователя вполне достаточно для атаки. Другое дело, что если владелец роутера не поленится сменить стандартный заводской пароль пользователя на более защищенную фразу, сеть станет гораздо более защищенной, если только преступники не похитят хэш нового пароля.

источник 

Hide My Email не помог: Apple передала ФБР данные автора анонимного письма

Сервис Hide My Email в экосистеме Apple снова напомнил, что он создан для защиты от спама и лишнего трекинга, а не для анонимности перед правоохранителями. По информации профильных изданий, Apple передала ФБР данные пользователя, который отправил письмо с угрозами Алексис Уилкинс — девушке нынешнего директора ФБР Каша Пателя.

Как пишет 404 Media, речь идёт о 26-летнем Олдене Рамле. Из судебных документов следует, что он использовал псевдоадрес из iCloud+ Hide My Email, чтобы отправить анонимное письмо.

После обращения в полицию следователи запросили у Apple сведения, связанные с этим алиасом, и корпорация раскрыла имя пользователя и его реальный iCloud-адрес.

Позже, как сообщается, Рамле признал, что именно он отправил сообщение, после чего ему предъявили обвинение. История получилась показательной ещё и потому, что у пользователя, по данным материалов дела, было создано 134 адреса Hide My Email, но это всё равно не помешало следствию выйти на него через запрос к Apple.

Сейчас ФБР добивается доступа к данным на его устройствах и, как пишут СМИ со ссылкой на аффидевит, хочет получить разрешение на использование биометрической разблокировки и отключение защитных механизмов вроде Stolen Device Protection.

С юридической точки зрения здесь ничего сенсационного нет: Apple давно прямо указывает, что может передавать данные пользователей по законным запросам правоохранительных органов, а также регулярно публикует отчёты о таких обращениях.

RSS: Новости на портале Anti-Malware.ru