Ошибки в системе шифрования угрожают онлайн-банкингу

Ошибки в системе шифрования угрожают онлайн-банкингу

Риск раскрытия конфиденциальных данных возник в результате обнаружения недочетов в криптоалгоритмах веб-приложений, разработанных при помощи среды ASP.Net от Microsoft. ASP.Net позволяет защищать файлы cookie с конфиденциальным содержимым, которые создаются приложениями во время сеансов онлайн-банкинга и других подобных операций, посредством AES-шифрования; этот алгоритм одобрен правительством США для использования в соответствующих случаях. Тем не менее, потенциальные уязвимости, существующие в механизме обработки ошибок при изменении содержимого криптованных файлов cookie, могут позволить злоумышленнику существенно сузить диапазон возможных ключей, использовавшихся при шифровании.



Исследователи Тай Дуонг и Джулиано Риццо разработали программный инструмент, названный ими Padding Oracle Exploit Tool, чтобы продемонстрировать принципиальную осуществимость подобной атаки. Ранее им уже удавалось обнаружить похожие недочеты в JavaServer Faces и других сетевых средах.


"Наиболее важным и значимым является тот факт, что при помощи подобной атаки можно поразить вообще любое веб-приложение ASP.Net," - пояснил г-н Риццо. - "Если вкратце, то вы сможете расшифровать все, что было криптовано с помощью API этой среды - файлы cookie, сведения для аутентификации, пользовательские данные, пароли... Среда ASP.Net используется на 25% всех ресурсов в Интернете, и каждый из них может быть атакован посредством эксплуатации этих уязвимостей. Результат может быть разным; в зависимости от особенностей конкретного сервера это может быть и раскрытие некоторой информации, и полная компрометация системы".


Также г-н Риццо счел нужным заметить, что подобная атака может позволить даже не самому опытному и умелому злоумышленнику взломать веб-сайт менее чем за час. "Первый этап нападения требует отправки нескольких тысяч запросов, но, как только эта стадия будет успешно завершена, и взломщик получит секретные ключи, осуществить проникновение можно будет совершенно незаметно. Для реализации такой атаки достаточно вполне элементарных познаний в криптографии," - заявил он.


Подробную информацию по этой проблеме исследователи представят на конференции Ekoparty, проходящей в Аргентине на этой неделе.


The Register

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Российский рынок служб каталогов в 2025 году оценивают в 3 млрд руб.

После ухода Microsoft более половины объёма рынка служб каталогов делят «Астра», Red Soft и существующие инсталляции AD. В рейтинге отечественных решений лидируют ALD Pro, basealt и Red Soft. Рынок ИТ-каталогов в России стремительно трансформируется: после ухода зарубежных вендоров доля продуктов Microsoft (Active Directory) постепенно вытесняется российскими аналогами.

По данным, представленным на пресс-конференции группы компаний «Астра», объём рынка каталогов в 2025 году оценивается в 3 млрд рублей.

 

 

В тройке лидеров по установленной базе — ALD Pro (ГК «Астра»), РЕД АДМ (Red Soft) и всё ещё сохраняющийся пул ранее внедрённых решений Microsoft.

 

Лидеры и аутсайдеры

Рейтинг российских служб каталогов составляли по совокупности критериев:

  • функциональность,
  • совместимость и масштабируемость,
  • уровень кибербезопасности,
  • поддержка продукта.

ALD Pro 3.0 занял 1-е место, обойдя решения других участников:

  • ALD Pro (ГК «Астра»),
  • РЕД АДМ,
  • basealt,
  • Роса,
  • Эллэс,
  • Avanpost,
  • Multifactor.

Как отметили представители «Астры», компания продолжает наращивать долю за счёт поддержки крупных внедрений, обратной совместимости с AD и развитой партнёрской экосистемы.

Новый релиз ALD Pro 3.0: акцент на масштаб

В тот же день был представлен релиз ALD Pro 3.0 — обновлённой версии службы каталогов от «Астры», оптимизированной для работы в инфраструктурах с десятками тысяч учётных записей.

В числе ключевых улучшений:

  • повышение производительности,
  • переработанный механизм резервного копирования,
  • новые функции контроля и аудита,
  • интерфейс управления доверительными отношениями между разными экземплярами ALD.

Дополнительно была подтверждена совместимость с российскими ОС: Astra Linux, РЕД ОС, «Альт», Rosa, «Эльбрус», а также с платформами на базе процессоров «Эльбрус» и «Байкал».

«Версия ALD Pro 3.0 — это мажорный релиз, который поднимает продукт на новый уровень развития и зрелости, — отметил Алексей Фоменко, директор серверного ПО группы компаний „Астра“. — Он стал возможен во многом благодаря изменениям внутри нашей продуктовой команды».

Кроме того, компания регулярно изучает реальные потребности специалистов, работающих с ALD Pro, чтобы создать ведущий продукт на рынке, отвечающий высоким требованиям заказчиков и регуляторов, — подчеркнул Фоменко.

Внедрение — с опорой на безопасность

Продукт фокусируется на безопасном внедрении в критическую инфраструктуру. Среди механизмов защиты — строгая аутентификация, аудит событий, поддержка многофакторной авторизации, а также инструменты для формирования политик безопасности.

ALD Pro является единственной службой каталога, которая прошла сертификацию ФСТЭК России на соответствие «Требованиям по безопасности информации, устанавливающим уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий» по 2-му уровню доверия (сертификат № 4830).

«Астра» анонсировала планы по дальнейшему развитию ALD Pro с учётом запросов от крупнейших интеграторов и корпораций. В приоритете — расширение сценариев масштабного развертывания и создание единой панели управления для всей линейки решений «Астры».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru