Миллионы криптографических ключей, используемых в правительстве, уязвимы

Миллионы криптографических ключей, используемых в правительстве, уязвимы

Миллионы криптографических ключей, используемых в правительстве, уязвимы

Критический недостаток в широко используемой библиотеке подорвал безопасность миллионов ключей шифрования, участвующих в очень серьезных схемах, например, выдача национальных удостоверений личности, подпись программного обеспечения и приложения, защищающие правительственные и корпоративные компьютеры.

Брешь позволяет злоумышленникам рассчитать приватную часть любого уязвимого ключа, используя его публичную часть. Затем хакеры могут использовать этот ключ для расшифровки конфиденциальных данных, внедрению вредоносного кода в программное обеспечение с цифровой подписью, а также для обхода защитных мер.

Эта уязвимость вызывает опасения, поскольку находится в коде, соответствующем двум международно признанным стандартам сертификации, которые являются обязательными для многих правительств, подрядчиков и компаний по всему миру. Библиотека была разработана немецким производителем чипов Infineon, она с самого начала генерирует слабые ключи.

Правительство Эстонии в прошлом месяце ссылалось именно на этот недостаток, ставший причиной уязвимости 750 000 удостоверений личности, выпущенных с 2014 года. В правительстве Эстонии сообщили, что закрывают базу данных открытых ключей для предотвращения инцидентов с безопасностью.

Недостаток существует в разработанной Infineon библиотеке RSA версии v1.02.013, в частности, в алгоритме, который она реализует для генерации простых чисел RSA. Библиотека работает на оборудовании Infineon и продается широкому кругу производителей, использующих чипы от Infineon.

Также напомним, что чипсеты Infineon TPM, которые поставляются со многими современными материнскими платами, генерируют небезопасные ключи шифрования RSA, это делает устройства таких производителей, как Acer, ASUS, Fujitsu, HP, Lenovo, LG, Samsung и Toshiba уязвимыми для атаки.

ВТБ, СДЭК и Самокат: расширён список сервисов без мобильного интернета

Перечень цифровых платформ, которые продолжают работать во время отключений мобильного интернета по соображениям безопасности, снова расширили. В него добавили банки, СМИ, сервисы доставки и ряд других популярных и социально значимых сервисов.

В обновлённый список вошли банки ВТБ и ПСБ, а также службы доставки «Сдэк», «Купер» и «Самокат».

Среди медиа теперь доступны ресурсы ВГТРК, телеканалы «Звезда», «Вместе-РФ» и «Матч ТВ», издания «Коммерсант» и «Парламентская газета», а также дистрибьютор телеканалов в цифровой среде «Витрина ТВ».

Расширение коснулось и государственных сервисов. Во время ограничений мобильного интернета продолжают работать отдельные сервисы ФНС для налогоплательщиков, Государственная информационная система ЖКХ, мобильное приложение «Инспектор» для дистанционных проверок бизнеса и онлайн-платформы «Росагролизинга».

В список также включены операторы электронного документооборота «Тензор» и «СКБ Контур», онлайн-кассы «Эвотор», железнодорожный перевозчик «Гранд Сервис Экспресс», маркетплейс «Мегамаркет», магазин «Детский мир» и сеть ресторанов быстрого питания «Бургер Кинг». Кроме того, доступ сохраняется к ряду региональных сервисов и сайтам правительств субъектов РФ.

Как отмечается, перечень формируется по согласованию с органами, отвечающими за вопросы безопасности, и включает наиболее вост

Напомним, ранее мы писали, что ФСБ России наложила вето на включение в белые списки рунета ресурсы банков, не установивших СОРМ. По этой причине профильные приложения Сбербанка, Т-Банка, Газпромбанка в этом перечне пока отсутствуют.

RSS: Новости на портале Anti-Malware.ru