Система мастер-пароля в Firefox использует слабый механизм шифрования

Система мастер-пароля в Firefox использует слабый механизм шифрования

Система мастер-пароля в Firefox использует слабый механизм шифрования

На протяжении последних девяти лет Mozilla использует недостаточно устойчивый механизм шифрования для функции «мастер-пароль» («master password»). Напомним, что Firefox и Thunderbird позволяют настраивать «мастер-пароль», который используется для шифрования каждой строки любого пароля, который пользователь сохраняет в своем браузере или почтовом клиенте.

Ранее эксперты хвалили эту функцию, так как  большинство браузеров умудрялись хранить сохраненные пароли в открытом виде, что, конечно же, позволяло злоумышленникам без проблем их перехватить. Не говоря уже о том, что любой, кто имеет физический доступ к компьютеру пользователя, мог запросто просмотреть сохраненные пароли пользователя.

Однако теперь автор расширения AdBlock Plus Владимир Палант (Wladimir Palant) утверждает, что используемая функцией «мастер-пароля» схема шифрования достаточно слаба и может быть уязвима к атаке вида брутфорс.

«Заглянув в исходный код, я обнаружил функцию sftkdb_passwordToKey(), которая отвечает за конвертацию пароля в ключ шифрования при помощи алгоритма SHA-1. Так вот, здесь кроется уязвимое место», — рассказывает Палант.

Автор AdBlock Plus имеет в виду количество итераций функции SHA-1 — 1. То есть SHA-1 применяется лишь один раз, что недопустимо, учитывая, что отраслевые практики пришли к минимальной цифре в 10 000. Например, популярный менеджер паролей LastPass использует значение, равное 100 000.

Такое малое количество итераций чревато тем, что атакующий может взломать защиту, используя пресловутую атаку типа брутфорс, что позволит ему расшифровать пароли, сохраненные в базах Firefox или Thunderbird.

Палант напоминает, что современные технологии позволяют графическим процессорам подбирать несложные мастер-пароли меньше чем за минуту.

Удивительно, что Палант далеко не первый исследователь, отметивший наличие этой проблемы. Девять лет назад некто Джастин Долск (Justin Dolske) рапортовал Mozilla об этом же баге.

Выручка СКБ Контур в 2025 году выросла на 19,6% — до 48,3 млрд рублей

СКБ Контур подвёл итоги 2025 года: выручка выросла на 19,6% и достигла 48,3 млрд рублей по сравнению с 2024-м. Число клиентов, по данным компании, превысило 3,1 млн — это примерно 35% российского бизнеса. Основной вклад в рост, как объясняют в Контуре, дали направления электронного документооборота и обязательной отчётности.

Через Контур.Диадок за год прошло 1,5 млрд документов — это +24,5% год к году. На динамику повлияли и сервисы маркировки, и более активный переход малого бизнеса на ЭДО.

Из заметных событий — Диадок стал первым негосударственным оператором ГосЭДО, в сервисе стартовал публичный пилот Госключа, а также заработал юридически значимый трансграничный ЭДО с Беларусью и Казахстаном.

Отдельно компания выделяет «логистическую» часть ЭДО — просто потому, что скоро она станет обязательной: с 1 сентября 2026 года значительную часть перевозочных документов (включая транспортные накладные) нужно будет переводить в электронный вид. Контур в 2025 году участвовал в подготовке подзаконных актов через ассоциацию «Цифровой транспорт и логистика» и параллельно подключал клиентов к системе.

По Контур.Экстерну тоже рост: объём оборота документов с контролирующими органами увеличился на 15% и превысил 200 млн документов. А у комплексного решения для малого бизнеса (учёт + отчётность + ЭДО) количество подключений, по данным компании, выросло в 1,5 раза.

В кибербезопасности Контур в 2025 году запустил отдельный бренд Контур.Эгида, куда свели решения для защиты «внутреннего контура» компаний — от двухфакторной аутентификации до инструментов привилегированного доступа. Помимо этого, на рынок вышла система для защищённого корпоративного доступа Коннект.

Ещё одна заметная линия — ИИ-функции в продуктах. В ноябре 2025 года в Экстерне появился ИИ-ассистент бухгалтера для работы с налоговым законодательством. В Контур.Фокусе с помощью ИИ сделали краткие пересказы исходов арбитражных дел (чтобы не перечитывать длинные судебные документы), а в Контур.Толке добавили автоматическое определение дипфейков и генерацию протоколов встреч.

Совокупные социальные инвестиции компании, по её данным, выросли на 15%. Контур продолжил образовательные программы — в профориентационных проектах участвовали более 100 тысяч школьников в 38 регионах, а для первокурсников ФИИТ УрФУ в 2025–2026 учебном году появилась новая стипендия.

RSS: Новости на портале Anti-Malware.ru