Производитель дронов DJI хранил закрытые SSL-ключи 4 года публично

Производитель дронов DJI хранил закрытые SSL-ключи 4 года публично

Производитель дронов DJI хранил закрытые SSL-ключи 4 года публично

Китайский производитель дронов DJI оставил приватный ключ своего HTTPS-сертификата открытым на GitHub, причем он был публично доступен в течение четырех лет. В итоге ключ сертификата предоставил злоумышленникам информацию, необходимую для создания экземпляров с правильным HTTPS-сертификатом и перенаправлять пользователей на вредоносные сайты.

Киберпреступники также могли использовать ключ для дешифрования перехваченного трафика. Это довольно странная ситуация, учитывая, что DJI является одним из крупнейших в мире производителей авиационных беспилотных летательных аппаратов малого и среднего размера.

Частный SSL-ключ был найден в публичном репозитории GitHub, принадлежащем DJI, Кевином Финистерром (Kevin Finisterre), исследователем, специализирующимся на продуктах DJI.

«Я обнаружил незашифрованные журналы полетов, паспорта, водительские права и удостоверения личности. Следует отметить, что более новые журналы и персональная идентификационная информация (PII) были зашифрованы статическим паролем OpenSSL, так что некоторые данные были защищены», — объясняет Финистерр.

К слову, ранее в этом году американская армия полностью запретила использование продуктов DJI своим персоналом. Основания для такого решения до сих пор остаются туманными, власти ссылались на наличие неких «кибер-уязвимостей».

Также Финистерр опубликовал PDF-файл на 18 страниц, в котором описал процесс общения с представителями американского отделения DJI, в ходе которого он пытался сообщить о грубых ошибках по части безопасности.

Представители DJI связались с нами, сообщив, что они расследуют данный инцидент. Так как компания серьезно относится к безопасности данных своих клиентов, DJI привлекла независимую фирму, специализирующуюся на кибербезопасности, для расследования любого несанкционированного доступа.

«Некий хакер опубликовал в интернете данные, полученные в ходе конфиденциального общения с сотрудниками DJI, касающегося программы вознаграждения за найденные уязвимости. Несмотря на продолжающиеся попытки DJI вести переговоры с ним, он выдвигал свои условия и угрожал DJI, если они не будут выполнены», — говорится в официальном заявлении DJI.

«DJI очень серьезно относится к безопасности данных и будет продолжать совершенствовать свои продукты благодаря исследователям, которые ответственно обнаруживают проблемы, которые могут повлиять на безопасность пользовательских данных. Мы заплатили тысячи долларов исследователям, которые предоставили нам отчеты», — продолжают представители DJI.

Минцифры предложило взять осуждённых педофилов на цифровой учёт

В России могут создать единый реестр людей, совершивших преступления против половой неприкосновенности несовершеннолетних. Инициатива вошла в проект доктрины Минцифры по борьбе с ИТ-преступлениями. Отбыть срок и раствориться в другом регионе станет сложнее.

Реестр предлагают использовать для контроля за бывшими заключёнными, в том числе при помощи технических средств, выяснили «Известия».

Он должен помочь отслеживать соблюдение запретов на работу с детьми, посещение школ, лагерей и других детских учреждений, а также прохождение назначенного судом лечения.

Пока это не готовое решение, а направление для обсуждения. Минцифры не раскрыло, какие сведения попадут в базу, кто получит к ней доступ и будет ли она публичной. Для запуска системы потребуется отдельно менять законодательство. Сам проект доктрины ещё проходит общественное обсуждение.

Идея реестра гуляет по кабинетам не первый год. Одни депутаты предлагали открыть его для всех, другие настаивали на закрытом формате. Зампред комитета Госдумы по безопасности Анатолий Выборный считает, что доступ следует дать только правоохранителям, медикам, уголовно-исполнительным инспекциям и кадровым службам образовательных и социальных учреждений.

Сторонники инициативы указывают на дыру в межведомственном обмене данными. Сейчас у полиции, медиков и других ведомств свои базы, которые не всегда успевают поговорить друг с другом. В результате осуждённый за преступление против ребёнка может переехать и снова оказаться рядом с детьми, иногда даже в роли тренера или педагога.

У противников тоже есть весомые аргументы. В реестр могут попасть ошибочно осуждённые, а утечка данных способна обернуться травлей не только для них, но и для невиновных родственников. Кроме того, одна большая база не исправит формальный надзор и привычку некоторых учреждений заминать скандалы.

Поэтому главный вопрос не в том, нужен ли ещё один реестр. Гораздо важнее, кто, как и для чего будет нажимать в нём кнопки.

RSS: Новости на портале Anti-Malware.ru