Найдена уязвимость в системах авторизации OpenID и OAuth

Найдена уязвимость в системах авторизации OpenID и OAuth

Независимые исследователи ИТ-безопасности Нейт Лоусон и Телор Нельсон из компании Root Labs говорят, что хорошо известная криптографическая атака может быть использована злоумышленниками для несанкционированного доступа к веб-приложениям, используемыми миллионами пользователей. Подробности о своей находке в ранее использованном методе исследователи обнародуют на конференции Black Hat.

По словам специалистов, обнаруженная ими уязвимость присутствует в десятках популярных открытых программных библиотек, в том числе и тех, что применяются для развертывания стандартов универсальной аутентификации OAuth и OpenID. Данные стандарты отвечают за проверку имен пользователей и паролей при заходе на те или иные сайты. OAuth и OpenID применяются в том числе и на таких сайтах, как Twitter или Digg.

Лоусон и Нельсон говорят, что их находка связана с тем, что некоторые из систем аутентификации связаны с тайминг-атакой. Криптографы знакомы с атакой данного типа уже на протяжении примерно 25 лет, однако в подавляющем большинстве случаев реализовать тайминг-атаку очень сложно на практике. Однако в случае с системами авторизации, этот как раз тот случай, когда тайминг можно применять и удаленно.

Удаленно использовать тайминг сложно, так как он требует очень сложных замеров, поясняют специалисты. Обычно взлом паролей происходит, после вычисления времени, необходимого компьютеру для того, чтобы ответить на попытку авторизации. В некоторых системах компьютер проверяет символы пароля и отправляет клиенту Login Failed сразу же после того, как была осуществлена проверка. Однако в случае тайминга, злоумышленник перехватывает попытку логина и "подсовывает" северу свои неправильные данные, забирая у пользователя его легитимную информацию. Сразу же после того, хакер возвращает северу подлинные данные и получает доступ.

В случае с открытыми системами аутентификации, многие их реализации оказались открытыми для подобного рода атак. Как сообщается, создан практический эксплоит для работы с описанной уязвимостью.

Источник

Минцифры хочет снять мораторий на проверки операторов связи

Минцифры в рамках реформы системы управления отраслью связи обсуждает возможность снятия моратория на плановые проверки операторов. Речь идёт прежде всего о контроле за установкой систем хранения записей звонков и переписки, предусмотренных «законом Яровой».

О том, что Минцифры обсуждает отмену моратория на плановые проверки операторов, сообщил РБК со ссылкой как минимум на два источника в отрасли.

Мораторий на проверки, действующий до 2030 года, был введён в 2023 году. Он допускает проведение внеплановых проверок только на объектах чрезвычайно высокого и высокого риска, к которым отрасль связи не относится.

Как утверждают источники РБК, действующий мораторий мешает проверять операторов на предмет установки систем оперативно-розыскных мероприятий (СОРМ). Причём такие системы обязаны устанавливать не только операторы связи, но и организаторы распространения информации, к которым относятся владельцы сервисов приёма, передачи и обработки пользовательских сообщений.

«Это должно пресечь практику, когда оператор создаёт новое юрлицо, работает без СОРМ несколько лет, затем закрывает это юрлицо и открывает новое, повторяя схему», — рассказал источник РБК.

Ещё одно обсуждаемое требование заключается в том, чтобы оператор связи выполнил все условия, связанные с СОРМ, ещё до начала своей деятельности. Таким образом, установка СОРМ может стать обязательным условием для выхода на рынок услуг связи. При этом внедрение такого комплекса с учётом всех необходимых согласований с регуляторами может занимать более двух лет.

Представитель Минцифры в комментарии для РБК подтвердил, что инициативы по борьбе с недобросовестными операторами связи действительно обсуждаются с бизнесом и заинтересованными ведомствами. Однако, по его словам, каких-либо окончательных решений по этому вопросу пока не принято.

RSS: Новости на портале Anti-Malware.ru