Ошибки в системе шифрования угрожают онлайн-банкингу

Ошибки в системе шифрования угрожают онлайн-банкингу

Риск раскрытия конфиденциальных данных возник в результате обнаружения недочетов в криптоалгоритмах веб-приложений, разработанных при помощи среды ASP.Net от Microsoft. ASP.Net позволяет защищать файлы cookie с конфиденциальным содержимым, которые создаются приложениями во время сеансов онлайн-банкинга и других подобных операций, посредством AES-шифрования; этот алгоритм одобрен правительством США для использования в соответствующих случаях. Тем не менее, потенциальные уязвимости, существующие в механизме обработки ошибок при изменении содержимого криптованных файлов cookie, могут позволить злоумышленнику существенно сузить диапазон возможных ключей, использовавшихся при шифровании.



Исследователи Тай Дуонг и Джулиано Риццо разработали программный инструмент, названный ими Padding Oracle Exploit Tool, чтобы продемонстрировать принципиальную осуществимость подобной атаки. Ранее им уже удавалось обнаружить похожие недочеты в JavaServer Faces и других сетевых средах.


"Наиболее важным и значимым является тот факт, что при помощи подобной атаки можно поразить вообще любое веб-приложение ASP.Net," - пояснил г-н Риццо. - "Если вкратце, то вы сможете расшифровать все, что было криптовано с помощью API этой среды - файлы cookie, сведения для аутентификации, пользовательские данные, пароли... Среда ASP.Net используется на 25% всех ресурсов в Интернете, и каждый из них может быть атакован посредством эксплуатации этих уязвимостей. Результат может быть разным; в зависимости от особенностей конкретного сервера это может быть и раскрытие некоторой информации, и полная компрометация системы".


Также г-н Риццо счел нужным заметить, что подобная атака может позволить даже не самому опытному и умелому злоумышленнику взломать веб-сайт менее чем за час. "Первый этап нападения требует отправки нескольких тысяч запросов, но, как только эта стадия будет успешно завершена, и взломщик получит секретные ключи, осуществить проникновение можно будет совершенно незаметно. Для реализации такой атаки достаточно вполне элементарных познаний в криптографии," - заявил он.


Подробную информацию по этой проблеме исследователи представят на конференции Ekoparty, проходящей в Аргентине на этой неделе.


The Register

Кибер Серп заявил о взломе ключевой системы шифрования Украины

Пророссийская группировка «Кибер Серп» заявила о взломе инфраструктуры, связанной с шифрованием и цифровыми подписями в украинском госсекторе. По этой версии, атакующим удалось получить доступ к закрытым шифрам, исходным кодам и ключам, которые используются для межведомственного электронного документооборота.

Об этом сообщило РИА Новости со ссылкой на источник в группе. Если информация подтвердится, история действительно выглядит громко.

Источник агентства назвал атаку «взломом цифрового сердца Украины», утверждая, что скомпрометированная инфраструктура компании «Сайфер» использовалась для защищённого доступа госструктур, банков, поставщиков, а также для работы с базами госзакупок и электронных госуслуг. При этом независимого публичного подтверждения масштаба именно такого компрометирования на данный момент не видно.

Сама компания Cipher действительно работает на украинском рынке информационной безопасности и банковских технологий с 1995 года и позиционирует свои решения как используемые в банках, государственных и частных организациях.

Но на доступных страницах её сайта сейчас нет найденного мной публичного сообщения, которое бы прямо подтверждало именно такой масштабный взлом.

На этом фоне новость стоит воспринимать с осторожностью. Заявление о компрометации ключевой криптографической инфраструктуры — это уже не просто «ещё один взлом сайта», а история с потенциально очень серьёзными последствиями для электронного документооборота и доверенной цифровой среды.

Но без технических деталей, независимой проверки и официальных подтверждений со стороны профильных украинских структур такие утверждения пока остаются именно заявлением о кибератаке, а не окончательно установленным фактом.

RSS: Новости на портале Anti-Malware.ru