Эксперты выступают против госмонополии на выдачу электронной подписи

Эксперты выступают против госмонополии на выдачу электронной подписи

Эксперты выступают против госмонополии на выдачу электронной подписи

Минкомсвязи собирается ограничить число удостоверяющих центров, которые сегодня имеют право выдавать квалифицированную электронную подпись, двумя государственными структурами. Соответствующий законопроект уже внесен ведомством.

В пояснении к нему сказано, что сегодня аккредитованные удостоверяющие центры допускают многочисленные нарушения, что вызывает недоверие к ним со стороны пользователей. Инициатива Минкомсвязи призвана установить единые стандарты предоставления услуги.

В настоящее время в России открыто более 440 удостоверяющих центров (УЦ) и 5000 точек выдачи электронных подписей, в которых работает не менее 15 тыс. высококвалифицированных специалистов. Существующие УЦ ежегодно приносят бюджету не менее ₽6,5 млрдв виде налогов. Стоимость квалифицированной электронной подписи (КЭП) для физических лиц начинается от ₽1400. Кроме ее выдачи, УЦ предлагают еще целый ряд услуг, например, программное обеспечение, позволяющее подписывать электронные документы и отправлять их в ведомства.

По мнению участников круглого стола «Сфера электронных услуг Российской Федерации. Пути развития и угрозы», проведенного ассоциацией РОСЭУ 20 апреля 2017 г., новая инициатива Минкомсвязи подрывает доверие к регулятору, способствует снижению конкуренции и, как следствие, ухудшению качества услуг удостоверяющих центров. Уже через 2 года после вступления в силу предложенных Минкомсвязи поправок на рынок труда будет выброшено 15 тыс. человек. Затраты государства на создание новой инфраструктуры составят не менее ₽5 млрд. Кроме того, в пояснительной записке к законопроекту сказано, что стоимость КЭП увеличится до ₽2500.

Для решения существующих на рынке проблем необходимы подзаконные акты, определяющие порядок работы УЦ, контроля за их деятельности и ответственности за нарушение законодательства. Также должны быть разработаны нормативно-правовые акты по применению полномочных сертификатов и электронной подписи. Кроме того, эксперты высказали пожелания по оптимизации законодательства, регулирующего применение КЭП как криптографического средства, и упрощению процесса использования СКЗИ в массовом сегменте. Сам реестр сертификатов должен быть доступен для того, чтобы можно было проверить легитимность предъявляемых данных. Также УЦ должны получить доступ к СМЭВ для проверки информации при выдаче КЭП.

По результатам круглого стола будет сформирован список предложений, которые РОСЭУ намерено передать в Минкомсвязи.

Один клик администратора может отдать WordPress-сайт злоумышленнику

В ядре WordPress обнаружили цепочку уязвимостей Click2Shell, которая позволяет удалённо выполнить PHP-код на сервере без учётной записи атакующего. Для захвата сайта достаточно, чтобы авторизованный администратор открыл специально подготовленную ссылку.

Проблему нашёл исследователь pwn.ai Паулос Йибело. Согласно техническому отчёту, WordPress по-разному обрабатывал один и тот же параметр ссылки предпросмотра темы.

API каталога очищал значение и находил легитимную тему, а JavaScript в браузере администратора вставлял исходную строку в jQuery-селектор без должного экранирования.

В результате подготовленный URL заставлял интерфейс WordPress самостоятельно нажать кнопку установки. Администратор при этом не выбирал ни «Установить», ни «Активировать», а тема оставалась неактивной и внешне сайт продолжал работать как обычно.

Для полноценного RCE исследователи добавили второй компонент — уязвимую тему Mobile Repair Zone 2.5.4 из официального каталога. Во время предпросмотра WordPress загружал её PHP-код, после чего небезопасный AJAX-обработчик позволял скачать и выполнить произвольный плагин.

Дальше атакующий мог читать wp-config.php, красть ключи и данные БД, менять файлы, создавать администраторов и внедрять скрипты. Атака не является полностью автоматической: ссылку должен открыть вошедший в систему администратор.

Роли Author и Editor нужных полномочий не имеют. Доставить URL можно через целевой фишинг или уже существующую XSS-уязвимость.

WordPress закрыл дыру в версии 7.1.1 и выпустил патчи для поддерживаемых старых веток. Поскольку подробности и PoC уже опубликованы, откладывать обновление нельзя. Временной страховкой может стать DISALLOW_FILE_MODS, запрещающий установку тем и плагинов, но нормальное лекарство всё то же — патч.

RSS: Новости на портале Anti-Malware.ru