Исследователь Google нашел новую брешь в LastPass

Исследователь Google нашел новую брешь в LastPass

Исследователь Google Project Zero, Тавис Орманди (Tavis Ormandy), выявил еще одну серьезную уязвимость в расширении для браузера LastPass. Разработчики приложения знают о ее наличии и работают над исправлением.

По причине того, что брешь до сих пор не была устранена, Орманди опубликовал только некоторые ее детали. Исследователь объяснил, что уязвимость затрагивает последнюю версию приложения, а эксплоит, разработанный им, должен работать на всех веб-браузерах.

Эта уязвимость может быть использована для кражи паролей пользователей, а если двоичный компонент LastPass включен, то злоумышленники смогут также выполнить произвольный код.

«Атака с использование этой уязвимости уникальна и очень сложна. Мы не хотели бы раскрывать подробности этой бреши до того момента, как выпустим исправление» - пишут разработчики LastPass в своем блоге.

Поскольку эти уязвимости, как правило, эксплуатируются злоумышленниками при посещении пользователем специально созданной, вредоносной веб-страницы, LastPass рекомендует пользователям защищаться от потенциальных атак с помощью хранилища LastPass. Авторизация через хранилище LastPass может гарантировать, что посещаемый сайт легитимен.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Российские банки заменят СМС-подтверждение платежей на цифровую подпись

Российские кредитные организации планируют задействовать новый способ подтверждения операций при использовании мобильного устройства. Ожидается, что это обезопасит россиян от кражи денежных средств посредством перехвата СМС-сообщений, push-уведомлений и даже подмены SIM-карты.

Чтобы защитить деньги клиента от несанкционированных переводов, банки хотят использовать упрощённую электронную подпись, которая будет храниться непосредственно в смартфоне клиента.

Пока Сбербанк и ещё несколько участников рынка рассматривают возможность внедрения нового способа подтверждения операций, ряд крупных российских банков уже запустил проверку с помощью упрощённой цифровой подписи. Например, МКБ в мае ввёл эту функцию.

Работает это следующим образом: клиент банка получает уведомление об оплате товара в интернет-магазине или о денежном переводе. Нажав кнопку «Подтвердить», гражданин сгенерирует цифровую подпись, которой можно будет воспользоваться только на конкретном смартфоне.

В этом случае отпадает необходимость в верификации с помощью коротких кодов и СМС-сообщений, как следствие, риск стать жертвой кибермошеннических схем значительно снижается.

Как сообщили СМИ, Сбербанк уже оценил эффективность подобных решений. Однако специалисты отметили, что социальная инженерия всё ещё может стать проблемой даже с цифровой подписью.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru