Система мастер-пароля в Firefox использует слабый механизм шифрования

Система мастер-пароля в Firefox использует слабый механизм шифрования

Система мастер-пароля в Firefox использует слабый механизм шифрования

На протяжении последних девяти лет Mozilla использует недостаточно устойчивый механизм шифрования для функции «мастер-пароль» («master password»). Напомним, что Firefox и Thunderbird позволяют настраивать «мастер-пароль», который используется для шифрования каждой строки любого пароля, который пользователь сохраняет в своем браузере или почтовом клиенте.

Ранее эксперты хвалили эту функцию, так как  большинство браузеров умудрялись хранить сохраненные пароли в открытом виде, что, конечно же, позволяло злоумышленникам без проблем их перехватить. Не говоря уже о том, что любой, кто имеет физический доступ к компьютеру пользователя, мог запросто просмотреть сохраненные пароли пользователя.

Однако теперь автор расширения AdBlock Plus Владимир Палант (Wladimir Palant) утверждает, что используемая функцией «мастер-пароля» схема шифрования достаточно слаба и может быть уязвима к атаке вида брутфорс.

«Заглянув в исходный код, я обнаружил функцию sftkdb_passwordToKey(), которая отвечает за конвертацию пароля в ключ шифрования при помощи алгоритма SHA-1. Так вот, здесь кроется уязвимое место», — рассказывает Палант.

Автор AdBlock Plus имеет в виду количество итераций функции SHA-1 — 1. То есть SHA-1 применяется лишь один раз, что недопустимо, учитывая, что отраслевые практики пришли к минимальной цифре в 10 000. Например, популярный менеджер паролей LastPass использует значение, равное 100 000.

Такое малое количество итераций чревато тем, что атакующий может взломать защиту, используя пресловутую атаку типа брутфорс, что позволит ему расшифровать пароли, сохраненные в базах Firefox или Thunderbird.

Палант напоминает, что современные технологии позволяют графическим процессорам подбирать несложные мастер-пароли меньше чем за минуту.

Удивительно, что Палант далеко не первый исследователь, отметивший наличие этой проблемы. Девять лет назад некто Джастин Долск (Justin Dolske) рапортовал Mozilla об этом же баге.

Путин поручил запустить пилот по обучению ИИ и информационной безопасности

Владимир Путин поручил запустить в Московской области пилотный проект по обучению технологиям искусственного интеллекта и информационной безопасности. Соответствующие поручения опубликованы на сайте Кремля по итогам заседания Госсовета.

Проект правительство должно реализовать совместно с властями региона. Доклад о его запуске президент ожидает до 1 июля — его представят премьер-министр Михаил Мишустин и губернатор Подмосковья Андрей Воробьёв.

Кроме того, к 15 июля поручено включить компетенции в сфере ИИ в образовательные и профессиональные стандарты. Речь идёт о том, чтобы навыки работы с искусственным интеллектом стали частью формальной системы подготовки специалистов.

Отдельно поставлена задача организовать программы повышения квалификации для преподавателей и учителей по направлениям ИТ и ИИ — с участием технологических компаний.

Тема развития искусственного интеллекта ранее уже звучала на федеральном уровне. В ноябре, выступая на конференции AI Journey-2025, президент заявил о необходимости создать штаб по управлению отраслью ИИ и поручил правительству совместно с регионами сформировать национальный план внедрения генеративного ИИ.

Тогда Владимир Путин подчеркнул, что зависимость от иностранных нейросетей недопустима, поскольку речь идёт о технологическом суверенитете страны. Новые поручения, судя по всему, становятся практическим шагом в этом направлении.

Анастасия Федорова, руководитель образовательных программ Positive Education, поделилась с Anti-Malware.ru своим комментарием:

«Поручение о запуске пилотного проекта по обучению ИИ и кибербезопасности —  сигнал о приоритете повышения безопасности в цифровой среде. Это поможет интегрировать ключевые компетенции в образование и сформировать культуру кибербезопасности на всех уровнях.

Внимание к вопросу кибербезопасности на самом высшем уровне говорит о том, что киберугрозы воспринимаются как серьезная проблема, решение которой — межотраслевая задача.

Аналитики Positive Technologies в 2026 году прогнозируют рост успешных атак на компании и частных лиц на 30–35% по сравнению с 2025 годом. Важно понимать, что сегодня личный и корпоративный кибербез неразделимы — часть атак на бизнес начинается с компрометации устройств или аккаунтов сотрудников в личном пространстве. Поэтому обучение должно фокусироваться на реальных повседневных сценариях, где ошибка одного человека может запустить цепную реакцию до уровня компании. В Positive Education мы активно развиваем именно такие корпоративные программы».

RSS: Новости на портале Anti-Malware.ru