На DEF CON взломали аппаратную двухфакторную аутентификацию

На DEF CON взломали аппаратную двухфакторную аутентификацию

На DEF CON взломали аппаратную двухфакторную аутентификацию

Аппаратные токены считаются одним из наиболее надежных вариантов для защиты двухфакторной аутентификации, в отличие от ненадежных SMS-сообщений с одноразовыми кодами, которые можно перехватить самыми разными способами.

Даже компания Google уже начала отказываться от использования SMS и ратует за использование токенов. Но, к сожалению, даже такие устройства тоже нельзя считать абсолютно защищенными, что и продемонстрировали исследователи на конференции DEF CON, прошедшей в Лас-Вегасе на прошлой неделе, пишет xakep.ru.

«Аппаратные токены – это шаг вперед. Это здорово. Они предоставляют уровень защиты, с которым не может соперничать ничто. Но нужно помнить о железе. Если нам говорят, что этот волшебный токен безопасен, это не значит, что нужно безоговорочно этому верить», — рассказывает ИБ-специалист Джо Фицпатрик (Joe FitzPatrick), который вместе со своим коллегой Майклом Лейбовицем (Michael Leibowitz) представил доклад на конференции.

На GitHub можно свободно найти исходный код для эмуляции устройства YubiKey посредством Arduino, однако исследователи не ограничились только лишь этим. Вместо «голой» платы с эмуляцией, они постарались воссоздать физический аппаратный ключ YubiKey, назвав получившийся результат DoobieKey. В ходе презентации специалисты показали, что серверы YubiKey распознают эту подделку как легитимный токен YubiKey.

И хотя DoobieKey выполнен достаточно грубо, и вряд ли такая подделка сможет кого-либо обмануть, на презентации Лейбовиц продемонстрировал и более убедительный 3D-макет для печати.

Что именно предлагают исследователи? Атаку на цепочку поставок. «Вы модифицируете устройства до того как их получат пользователи», — объясняет Фицпатрик. На практике это означает, что атакующие могут изготовить партию поддельных токенов DoobieKey и, к примеру, распространить их среди посетителей какой-нибудь ИБ-конференции, или даже продать под видом настоящих. После того как пользователи привяжут к DoobieKey, например, свои аккаунты Gmail, атакующие будут иметь копию их токенов.

В ответ на предостережения исследователей представители компании Yubico сообщили, что подобные атаки действительно могут представлять угрозу и напомнили о том, что поэтому приобретать железо и софт следует только у проверенных поставщиков. Представители компании заверили, что Yubico контролирует свою цепочку поставок и гарантирует безопасность продаваемых устройств.

Также Фицпатрик и Лейбовиц продемонстрировали атаку на RSA-токены (устройства, которые отображают на встроенном экране специальный одноразовый код, который пользователь должен сообщить сайту или сервису для завершения аутентификации). Подделать такие гаджеты тоже не составило труда: фальшивые RSA-токены могут сообщать одноразовые коды злоумышленникам посредством Bluetooth. Конечно, в данном случае атакующему придется находиться где-то неподалеку от жертвы.

Исходные коды этой разработчики, а также спецификации плат для поддельных RSA-токенов исследователи обещают опубликовать на GitHub в ближайшем будущем. То есть в данном случае злоумышленнику понадобится изготовить кастомную плату и дополнительно приобрести bluetooth-модуль. «Но самым сложным этапом будет приведение кода в работоспособное состояние», — отмечает Фицпатрик.

Минюст раскритиковал идею тюрьмы до 15 лет за мошенничество с ИИ

Минюст усомнился в законопроекте Минцифры, который предлагает считать использование искусственного интеллекта отягчающим обстоятельством при совершении мошенничества и других ИТ-преступлений. Основная претензия — слишком размытое определение ИИ, которое может привести к путанице и противоречивой судебной практике.

Это следует из заключения на законопроект, направленного замминистра юстиции Вадимом Федоровым в Минцифры.

Документ есть в распоряжении «Ведомостей». В Минюсте подтвердили, что провели правовую и антикоррупционную экспертизу и направили свои замечания разработчикам.

В Минцифры, в свою очередь, заявили, что законопроект уже доработан с учётом комментариев других ведомств, однако уточнять, какие именно изменения были внесены, не стали.

Несмотря на позицию Минюста, 12 января 2026 года законопроект был одобрен правительственной комиссией по законопроектной деятельности. По данным источников «Ведомостей», документ может быть внесён в Госдуму уже в ближайшие дни.

О планах ввести уголовную ответственность за преступления с использованием ИИ Минцифры говорило ещё летом 2025 года. Во втором пакете антимошеннических инициатив, например, говорилось о штрафах до 2 млн рублей или лишении свободы на срок до 15 лет. Теперь эти идеи оформлены в конкретные поправки в Уголовный кодекс.

Законопроект предлагает внести изменения сразу в несколько статей УК РФ — о краже, мошенничестве, вымогательстве и преступлениях в сфере компьютерной информации. В них появляется отдельный квалифицирующий признак: совершение преступления с использованием искусственного интеллекта.

Авторы инициативы объясняют её ростом дистанционных преступлений. В пояснительной записке указано, что в 2024 году было зарегистрировано более 485 тысяч преступлений по статьям о краже и мошенничестве, а ущерб от «дистанционных хищений» превысил 197 млрд рублей.

Главная претензия Минюста — в самом определении искусственного интеллекта. В законопроекте ИИ описывается как «комплекс технологических решений», способных имитировать когнитивные функции человека и выдавать сопоставимые результаты.

По мнению ведомства, такое определение слишком широкое. Его применение потребует обязательных экспертиз практически по каждому делу, что:

  • увеличит нагрузку на экспертные учреждения;
  • повысит расходы;
  • затянет сроки расследований и судебных процессов.

Кроме того, Минюст указывает на возможную конкуренцию новых норм с уже существующими статьями УК, регулирующими преступления в сфере компьютерной информации.

Юристы и специалисты по ИБ в целом разделяют опасения Минюста. По словам экспертов, под предлагаемое определение потенциально могут попасть не только нейросети и дипфейки, но и любые инструменты анализа данных — вплоть до обычного ПО, браузеров и даже антивирусов, если они используются преступником.

При этом эксперты признают: мошенники действительно всё активнее применяют ИИ — для создания реалистичных дипфейков, массового фишинга и автоматизированных звонков. Такие атаки становятся масштабнее, незаметнее и психологически опаснее для жертв.

Минцифры продолжает активно продвигать антифрод-инициативы — это уже второй пакет мер за год. Однако история с «ИИ как отягчающим обстоятельством» показывает, что регулирование новых технологий упирается не только в желание ужесточить наказание, но и в отсутствие чётких юридических рамок.

Если закон примут в текущем виде, ключевым вопросом станет не только борьба с мошенниками, но и то, как именно следствие и суды будут понимать, что считать искусственным интеллектом.

RSS: Новости на портале Anti-Malware.ru