Италия будет использовать Tor для борьбы с коррупцией

Италия будет использовать Tor для борьбы с коррупцией

Италия будет использовать Tor для борьбы с коррупцией

Антикоррупционное Управление Италии (ANAC) запустило национальную онлайн-платформу для анонимных сообщений о взяточничестве. В основе работы платформы — технологии “луковой маршрутизации” (Tor), позволяющие анонимно обмениваться информацией и защищать таким образом личность доносчиков.

Технологии ЛМ используются миллионами людей, чтобы избежать слежки и цензуры. Защита конфиденциальности Tor позволяет работать активистам и журналистам, а также дает обычным людям безопасный доступ к заблокированным ресурсам.

Сегодня использование технологий анонимности становится юридическим требованием, которое предъявляют к государственным органам и корпорациям. Одним из первых прецедентов стало введение Xnet в мэрии Барселоны.

Многие национальные законы (например, итальянский Dlgs. 231/2001) требуют от компаний ввести системы управления, снижающие риски для осведомителей. Тем не менее, большинство законов о разоблачении защищают доносчиков только в тех случаях, когда их личность уже стала известной, что ставит под угрозу людей, сообщающих о коррупции. 

В 2016 году Международная организация по стандартизации (ISO) выпустила новую модель для организаций, которые создают и используют системы борьбы со взяточничеством, ISO 37001:2016. Чтобы соответствовать стандартам ISO, компании, осуществляющие антикоррупционные процедуры, должны обеспечить возможность анонимной отчетности. Это указано в пункте 8.9 раздела с ISO 37001:2016.

Кроме того, некоторые национальные законы (например, последний итальянский 179/2017) требуют принятия IT-систем для информирования, что практически приводит к интеграции и использованию Tor. Именно для соблюдения этих стандартов итальянское Антикоррупционное Управление запустило свою национальную онлайн-платформу на базе технологий ЛМ. О запуске платформы сообщается на официальном сайте ANAC.

“Учитывая, что Tor является самым мощным анонимайзером в интернете, мы ожидаем, что использование ЛМ для безопасных систем связи во всех секторах продолжит набирать обороты”, — написали представители Tor в своем блоге.

Хотя проект Tor, помогающий пользователям оставаться анонимными в интернете, с каждым годом набирает популярность, возникает все больше споров о том, действительно ли браузер Tor обеспечивает полную анонимность

В конце прошлого года мы писали, какие предпринимались атаки деанонимизации на Tor.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Обнаружена уязвимость в WDS: PXE-сервер можно вывести из строя удалённо

Если вы всё ещё используете Windows Deployment Services (WDS) для раздачи образов Windows по сети, пора всерьёз задуматься. Специалист обнаружил серьёзную уязвимость, которая позволяет удалённо и без аутентификации вывести из строя сервер буквально за несколько минут.

Да-да, без логинов, паролей и вообще какого-либо взаимодействия с пользователем — просто взял и положил.

WDS использует старый добрый протокол TFTP по UDP (порт 69) для раздачи установочных образов Windows. При подключении клиента сервер создаёт объект CTftpSession.

Проблема в том, что никакого лимита на число сессий не предусмотрено. В результате злоумышленник может подделывать IP-адреса и порты, рассылать фальшивые UDP-пакеты — и сервер начинает захлёбываться в собственных объектах.

«Ключевая проблема в том, что EndpointSessionMapEntry не накладывает ограничений на число сессий», — говорится в техническом отчёте. — «Атакующий может подделывать IP-адреса и номера портов, многократно создавая новые сессии, пока ресурсы системы не будут исчерпаны».

На тестовом сервере с Windows Server Insider Preview и 8 ГБ оперативной памяти исследователю Чжиниану Пэну удалось полностью обрушить систему за 7 минут — исключительно с помощью случайных UDP-пакетов с поддельными исходными адресами.

Это классическая zero-click DoS-атака — никаких действий со стороны пользователя не требуется. Просто поток UDP-трафика, и PXE-инфраструктура, через которую разворачиваются Windows-образы, оказывается парализованной.

Что ответил Microsoft? Пэн сообщил об уязвимости в Microsoft 8 февраля 2025 года. 4 марта компания подтвердила наличие бага, а 23 апреля… отказалась его исправлять. По официальной позиции Microsoft, проблема «не соответствует критериям для выпуска патча».

Пэн не скрывает разочарования:

«Мы считаем, что это важная уязвимость, которая подпадает под стандарт SDL, и нам было очень неприятно общаться с Microsoft по этому поводу», — написал он.

Тем не менее Microsoft патч выпускать не планирует, поэтому Пэн даёт однозначную рекомендацию:

«Чтобы защитить PXE-сеть от этой угрозы, не используйте Windows Deployment Services».

Альтернативы — сторонние PXE-решения на базе Linux, кастомные сборки или переход к другим способам развёртывания.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru