Новый законопроект запрещает правительству США внедрять бэкдоры

Новый законопроект запрещает правительству США внедрять бэкдоры

Новый законопроект запрещает правительству США внедрять бэкдоры

Американские законодатели обеих основных политических партий в четверг представили законопроект, который, если он будет принят, запретит правительству США принуждать производителей техники к внедрению бэкдора в шифрование.

Ранее этот законопроект (Secure Data Act) терпел неудачи в 2014 и 2015 годах. На самом деле, «Закон о безопасных данных» запрещает любому государственному органу требовать, чтобы «производитель, разработчик или продавец продуктов изменял функции безопасности с целью предоставить возможность наблюдения за любым пользователем такого продукта или услуги, а также предоставлял агентствам возможность физического поиска такого продукта».

По этому закону судам также запрещается выдавать распоряжения для выдачи принудительного доступа к данным. В перечень продуктов входят: компьютерное оборудование, программное обеспечение или электронные устройства, доступные для общественности.

Законопроект делает исключение для телекоммуникационных компаний, которые по-прежнему должны будут помогать правоохранительным органам получать доступ к их сетям. Кроме этого, закон предполагает защиту целостности систем шифрования.

Напомним, что спецслужбы уже вольно давно добиваются внедрения бэкдора в системы шифрования отдельных технологических продуктов, оправдывая это тем, что так правоохранителям будет проще проводить расследования и получать доступ к важной информации.

В начале этого месяца коалиция техногигантов Кремниевой долины (включает в себя представителей Microsoft, Apple, Facebook, Google, Verizon и материнской компании Yahoo Oath) в очередной раз высказалась против внедрения бэкдора в шифрование, которое власти хотят реализовать соответствующими законопроектами. Такой подход поможет правоохранительным органам получать доступ к заблокированным и зашифрованным устройствам.

Корпорации выступили с резкой критикой подобной инициативы, продолжая отстаивать позицию сильного шифрования и осуждать попытки подорвать технологию.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Давние уязвимости в Fluent Bit грозили разрухой AWS, Azure, Google Cloud

В популярном инструменте телеметрии Fluent Bit пропатчены несколько уязвимостей, грозящих нарушением работы облачных сервисов, в том числе таких крупных провайдеров, как Amazon, Google, Oracle, IBM, Microsoft и OpenAI.

По данным Oligo Security, выявленные ее экспертами проблемы, позволяющие с легкостью нарушить работу облачных сервисов и изменить данные, объявились в Fluent Bit от четырех до восьми лет назад.

Суммарно эксперты обнаружили пять застарелых уязвимостей:

  • CVE-2025-12969 — отсутствие аутентификации пользователей на доступ к плагину in_forward, что позволяет подменять пересылаемые логи либо создать флуд из фальшивых событий;
  • CVE-2025-12970 — переполнение буфера в стеке при подключении Docker Metrics, которое можно использовать для выполнения стороннего кода либо вызова отказа агентской программы;
  • CVE-2025-12972 — возможность выхода за пределы рабочего каталога из-за отсутствия санации тегов; эксплойт позволяет посредством манипуляции логами удаленно выполнить вредоносный код;
  • CVE-2025-12977 — неадекватная проверка ввода, а именно, заполнения полей тегами, что может привести к порче журнальных записей;
  • CVE-2025-12978 — логическая ошибка, позволяющая подменить доверенные теги событий и обойти защитные фильтры.

Эксплойт во всех случаях осуществляется по сети. Получаемый в результате уровень контроля обеспечивает управление фиксацией событий и позволяет скрыть следы атаки на облачный сервис.

Патчи, устраняющие новые уязвимости в мультиплатформенной утилите, вышли в прошлом месяце в составе сборок 4.1.1 и 4.0.12. Пользователям продукта с открытым кодом рекомендуется произвести обновление.

Полтора года назад в Fluent Bit была пропатчена критическая уязвимость CVE-2024-4323, вызванная некорректной реализацией HTTP-сервера. Эксплойт не требовал аутентификации и позволял через вредоносный запрос к API спровоцировать отказ в обслуживании (DoS), получить доступ к конфиденциальной информации, а также удаленно выполнить сторонний код на хосте.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru