Microsoft случайно слила TLS-сертификаты Dynamics 365

Microsoft случайно слила TLS-сертификаты Dynamics 365

Microsoft случайно слила TLS-сертификаты Dynamics 365

Компания Microsoft случайно оставила TLS-сертификат Dynamics 365, а также закрытый ключ, в публичном доступе. На исправление этой ошибки, согласно обнаружившему ее разработчику потребовалось 100 дней.

Маттиас Глика (Matthias Gliwka), разработчик программного обеспечения, обнаружил недочеты в облачной версии ERP-системы компании. Эксперт утверждает, что сертификат TLS лежал в открытом виде в песочнице Dynamics 365, предназначенной для испытаний.

В отличие от серверов, предназначенных для разработки и производства, песочница предоставляет администраторам доступ к RDP, и вот где, по словам Глика, «начинается самое интересное».

При помощи этого сертификата (который можно экспортировать с помощью довольно простых инструментов), как утверждает разработчик, любая атака «Человек посередине» (man-in-the-middle) может позволить видеть сообщения пользователей, а также изменять этот контент, оставаясь незамеченным.

Глика связался с Microsoft 17 августа, чтобы детализировать проблему, однако она была исправлена только 5 декабря.

Телега пропала из App Store, но в Google Play она всё ещё в топе

Приложение «Телега», которое продвигалось как Telegram со «стабильным доступом», исчезло из App Store. Это проверили корреспонденты Anti-Malware.ru. При этом в Google Play программа пока остаётся доступной и, как сообщается, занимает восьмое место в топе бесплатных приложений в России, а число скачиваний превышает 5 млн.

Новая волна внимания к приложению поднялась после заявлений группы анонимных исследователей.

Они утверждают, что «Телега» якобы использует схему «человек посередине» и может вмешиваться в трафик между пользователем и серверами Telegram.

По их версии, приложение сначала обращается к собственному API, получает список серверов, которые подменяют стандартные адреса Telegram, а затем перенаправляет подключение клиента уже на инфраструктуру самой «Телеги».

 

Впрочем, пока это именно заявления исследователей, вокруг которых продолжается обсуждение. Сама команда «Телеги» на фоне шума вокруг приложения тоже выступила с комментариями.

Разработчики ответили на публикации, где поднимались вопросы о происхождении приложения, его технологической базе и возможной связи проекта со структурами VK.

На этом фоне удаление из App Store выглядит особенно заметно. Пока неясно, связано ли оно напрямую с последними обвинениями и обсуждением безопасности, но сам факт исчезновения приложения из магазина Apple только добавил истории внимания.

RSS: Новости на портале Anti-Malware.ru