Баг в функции JavaScript подвергает адреса Bitcoin риску брутфорса

Баг в функции JavaScript подвергает адреса Bitcoin риску брутфорса

Специалисты в области кибербезопасности предупреждают, что старые адреса Bitcoin, сгенерированные в браузере или через приложения на основе JavaScript, могут содержать недостаток, благодаря которому злоумышленники могут провести атаку брутфорс закрытых ключей, завладеть кошельками пользователей и украсть их средства.

Уязвимость существует из-за функции JavaScript SecureRandom(), которая используется для генерации случайного Bitcoin-адреса и его закрытого ключа (некого аналога пароля). Вся проблема заключается в том, что эта функция не генерирует по-настоящему случайные данные.

«Функция будет генерировать ключи, которые, несмотря на их длину, имеют менее 48 бит энтропии. Таким образом, на выходе будет не более тех же 48 бит. Затем SecureRandom() запускает номер, который он получает через устаревший алгоритм RC4, что еще снижает количество бит энтропии. Следовательно, ваш ключ становится более предсказуем», — уточнил обнаруживший брешь эксперт.

Напрашивается вывод — все адреса Bitcoin, созданные с использованием функции SecureRandom(), уязвимы для атак брутфорс, с помощью которых можно угадать закрытый ключ учетной записи.

Специалисты отмечают, что уязвимы все адреса Bitcoin, созданные с использованием BitAddress до 2013 года, а также Bitcoinjs до 2014 года. Wallet-приложения, использующие старые версии jsbn.js, по-прежнему генерируют слабые секретные ключи, которые легко сбрутфорсить.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Создано приложение для выявления ботов в Twitter на любом языке

Специалисты Университета Восточной Финляндии и Университета Линнеус в Швейцарии создали интересное приложение, способное выявлять ботов в социальной сети Twitter. При этом разработка совершенно не зависит от языка, на котором написаны анализируемые твиты.

Принято считать, что боты в Twitter давно используются в различных политических кампаниях и для формирования определенного мнения у масс. Процент ботов от общего числа пользователей находится в пределах 5-10%.

Эти аккаунты генерируют приблизительно 20-25% от общего числа твитов, публикуемых в этой социальной сети.

Однако теперь специалисты создали специальное приложение, которое использует машинное обучение для выявления ботов в Twitter. Новый инструмент способен детектировать автоматически сгенерированные твиты на любых языках.

Исследователи проанализировали 15 тыс. твитов на финском, шведском и английском языках. Первые два языка использовались в качестве обучения системы, а английский — для оценки языковой независимости приложения.

Подробная информация содержится в отчете экспертов «Towards a language independent Twitter bot detector» (PDF).

В мае представители социальной платформы Twitter признали наличие бага, благодаря которому данные геолокации пользователей мобильной операционной системы iOS «ненамеренно» сливались партнеру, имя которого не разглашается.

А у нас 12 июня, пока граждане праздновали День России, неизвестные взломали учетную запись премьер-министра Дмитрия Медведева в социальной сети Twitter. Факт киберинцидента подтвердили в пресс-службе правительства России.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru