Новая уязвимость компрометирует данные пользователей криптовалютных бирж

Новая уязвимость компрометирует данные пользователей криптовалютных бирж

Новая уязвимость компрометирует данные пользователей криптовалютных бирж

Исследователи Пенсильванского университета и Университета Джонса Хопкинса обнаружили новую уязвимость, которая может быть использована для компрометации ключей шифрования вебсайтов. В потенциале эта уязвимость также ставит под угрозу регистрационные данные пользователей криптовалютных бирж.

Уязвимость, которая получила название DUHK (Don’t use hard-coded keys), обнаружили криптографы Надя Хенингер, Шаан Кони и Мэттью Грин. Ее источником назван ANSI X9.31 RNG – алгоритм генерирования псевдослучайных чисел (PRNG), который на протяжении последних 30 лет использовался в многочисленных онлайн-продуктах, включая создание ключей шифрования для VPN-соединений и браузерные сессии, содержащие учетные данные, платежную информацию и другую информацию, передает forklog.com.

Как обнаружили исследователи, что когда «железные» и софтверные продукты используют ANSI X9.31 и жестко закодированный seed key, атакующий имеет возможность расшифровать данные, проходящие через уязвимое устройство.

Также вина лежит на производителях, которые зачастую используют жестко закодированный seed key для ANSI X9.31. В нормальных обстоятельствах seed key должен генерироваться случайно при каждом запуске устройства или самого ANSI X9.31.

В январе 2016 года Федеральный стандарт по обработке информации (FIPS) – ведомство, отвечающее за выработку стандартов компьютерной безопасности в США – удалило ANSI X9.31 RNG из своих списков, назвав в качестве одной из причин некриптостойкое шифрование.

Как говорят исследователи, перед атаками DUHK уязвима FortiOS от версии 4.3.0 до 4.3.18, Таких устройств в сети в сети насчитывается более 23 000. FortiOS 5.x уязвимости не подвержена, в то время как seed key из кода FortiOS 4.3.19 уже был убран.

Исследователи также отмечают, что хотя атаку DUHK осуществить не так просто, применить ее на практике более чем возможно. Так, эксплуатируя DUHK, современный компьютер в среднем способен подобрать основной ключ шифрования для соединения всего за четыре минуты.

Ситуация осложняется тем, что Fortinet – не единственный уязвимый производитель. В своем отчете специалисты представили список продуктов, где используется ANSI X9.31 и жестко закодированные seed key. В список, в частности, вошли решения от Cisco и TechGuard.

Уязвимость не нацелена непосредственно на пользователей криптовалютных бирж, однако может быть использована хакерам для манипулирования выходными данными с целью компрометации ключей шифрования и их дальнейшего использования для получения доступа к конфиденциальной информации пользователей, включая регистрационные данные, детали банковских счетов и т.д.

Напомним, в сентябре сообщалось о найденной исследователями MIT Media Lab Digital Currency Initiative (DCI) уязвимости в криптографической хеш-функции цифровой валюты IOTA.

Передачу долгов клиентов SAP российской компании сочли законной

Арбитражный суд Москвы признал законной сделку по уступке долгов российской «дочки» SAP юридической компании «Легат». В 2024 году SAP передала ей права требования за 60 млн рублей, что составило около 3% от общего объёма долгового портфеля.

Как напоминает РБК, после ухода SAP из России компания продолжила взыскивать задолженность с российских пользователей своих продуктов.

Среди должников SAP оказались многие крупные компании, в том числе интегратор КРОК, футбольный клуб «Зенит», розничная сеть «О`КЕЙ», а также ряд структур «Росатома».

В число должников вошёл и краснодарский производитель дверей «Феррони». Задолженность компании по лицензионным договорам составила 63 млн рублей. «Феррони» обратилась в суд с иском к «Легату», назвав сделку между SAP и юридической фирмой способом обхода требований указа президента № 322, который регулирует порядок расчётов с правообладателями из недружественных стран.

Однако суд встал на сторону «Легата». В решении указано, что указ № 322 распространяется исключительно на отношения между российским должником и иностранным кредитором, а при уступке права требования российской компании действие контрсанкционных мер прекращается.

По оценке опрошенных РБК юристов, это решение формирует прецедент в вопросе вывода замороженных активов иностранных вендоров, покинувших российский рынок. При этом, как отмечает старший юрист BGP Litigation Ирина Ротачкова, оно противоречит позиции Верховного суда, который ранее выносил по аналогичным делам противоположные решения. В случае если «Феррони» дойдёт до высшей судебной инстанции, у компании остаются высокие шансы на отмену данного решения.

Советник коллегии адвокатов Pen & Paper Роман Кузьмин также назвал выводы суда несоответствующими сложившейся практике. По его словам, только в октябре 2024 года арбитражные суды не менее 226 раз отказывали зарубежным правообладателям в применении механизма цессии.

RSS: Новости на портале Anti-Malware.ru