Chrome, Firefox и Opera уязвимы к атакам подмены домена

Chrome, Firefox и Opera уязвимы к атакам подмены домена

Chrome, Firefox и Opera уязвимы к атакам подмены домена

Злоумышленники могут создавать  фишинговые домены, выглядящие легитимно, используя уязвимость в популярных веб-браузерах, которые не могут должным образом защитить своих пользователей от атак.

Веб-разработчик Худонг Джэн (Xudong Zheng) продемонстрировал, как злоумышленник может зарегистрировать доменное имя «xn--80ak6aa92e.com», которое отображается веб-браузерами Chrome, Opera и Firefox, как «apple.com».

Unicode - стандарт кодирования символов, позволяющий представить знаки почти всех письменных языков. Символы Unicode могут использоваться в именах доменов через Punycode. Например, китайское слово «短» эквивалентно «xn - s7y».

Кириллическая «а» и латинская «а» могут выглядеть одинаково, но они представлены по-разному в Punycode, позволяя злоумышленникам создавать домены, где латинские буквы заменяются похожими греческими или кириллическими символами. Эта атака известна под именем IDN homograph attack.

Современные веб-браузеры должны предотвращать такие типы атак - например, «xn--pple-43d.com» будет отображаться как «xn--pple-43d.com» вместо «apple.com». Однако эксперт, что этот фильтр можно обойти в Chrome, Firefox и Opera, создав полное имя домена с использованием кириллических символов, в результате этого «xn--80ak6aa92e.com» будет отображаться как «apple.com».

Чтобы доказать свою гипотезу, исследователь зарегистрировал домен «xn--80ak6aa92e.com» и получил для него бесплатный цифровой сертификат от Let's Encrypt. Когда к домену обращаются через Opera, Chrome или Firefox, пользователь видит доменное имя «apple.com» с сертификатом, выданным для «apple.com».

Джэн сообщил о своей находке Google и Mozilla 20 января. В Chrome 58 эта проблема будет решена, а вот Mozilla все еще пытается выяснить, как исправить ее.

Recall в Windows 11 может записывать пароли и банковские данные

Переход на Windows 11 долго считался вопросом времени. Рано или поздно, дескать, всё равно придётся. Однако теперь специалисты по защите данных всё чаще говорят обратное: если вам важна конфиденциальность, с обновлением лучше повременить.

Поводом для тревоги стала ИИ-функция Recall, о которой пишет PCWorld. Она способна автоматически сохранять скриншоты экрана и, по мнению экспертов, может фиксировать важные данные: пароли, банковскую информацию, медицинские сведения и другую информацию.

Организация Centre for Digital Rights and Democracy прямо рекомендует пользователям, работающим с конфиденциальными данными, избегать Windows 11 вообще. Причина простая: даже если Recall отключён, он остаётся частью операционной системы.

Microsoft утверждает, что функция доступна только на Copilot+ PC, но, как отмечают эксперты, Recall обнаружен на всех компьютерах с Windows 11 версии 24H2. А значит, теоретически его можно активировать через обновления и без согласия пользователя.

Пока Recall встроен в систему, он рассматривается как потенциальный риск, а постоянная запись экранного контента, по мнению правозащитников, может даже нарушать требования GDPR.

Специалисты по защите данных выделяют несколько сценариев — с разной степенью риска:

  • Остаться на Windows 10, пока она получает патчи.
    Самый надёжный вариант, но только до октября 2026 года, когда закончится программа расширенной поддержки.
  • Перейти на Windows 11 и отключить Recall.
    Частично снижает риски, но не решает проблему полностью: функция остаётся в системе.
  • Перейти на Windows 11 и довериться Microsoft.
    Эксперты оценивают этот вариант как наименее безопасный — политика компании может измениться в любой момент.

С учётом того, что у Windows 10 есть чёткая дата окончания поддержки, правозащитники всё чаще советуют заранее рассматривать альтернативы, в первую очередь — Linux, как более прозрачную и контролируемую платформу.

«Ситуация вокруг Windows 11 наглядно показывает, к каким последствиям может привести поспешное внедрение новых технологий. Стремясь как можно быстрее вывести на рынок ИИ-функции, Microsoft сталкивается с серьёзными вопросами безопасности. Для коммерческих организаций — особенно в финансовом секторе, государственных структурах и на объектах критической информационной инфраструктуры — такие риски недопустимы.

Операционная система Astra Linux изначально разрабатывалась с фокусом на защиту корпоративных данных: безопасность здесь не дополнительная надстройка, а базовый элемент архитектуры. В платформе реализованы развитые механизмы защиты, включая мандатный контроль целостности (МКЦ), который обеспечивает комплексный подход — предотвращает несанкционированный доступ к данным, контролирует целостность системных файлов и блокирует их модификацию, разграничивает доступ на уровне процессов и надёжно защищает от утечек информации.

Эти механизмы проверены временем и позволяют нашим заказчикам быть уверенными в сохранности критически важной информации», — прокомментировал Роман Мылицын, руководитель отдела перспективных исследований «Группы Астра».

RSS: Новости на портале Anti-Malware.ru