Signal тестирует новую функцию, скрывающую информацию об отправителе

Signal тестирует новую функцию, скрывающую информацию об отправителе

Разработчики мессенджера Signal постепенно внедряют новые методы, обеспечивающие лучшую конфиденциальность пользователей. В последнем бета-релизе видны наметки новых функций, которые призваны спрятать информацию о том, кто кому пишет.

Соответствующей информацией разработчики Signal поделились в блоге компании. Они объясняют нововведения следующим образом:

«Когда вы отправляете типичное электронное сообщение, отправляемый пакет также включает адреса отправителя и получателя. Эти же базовые принципы используются и в случае с сообщением, отправленным посредством Signal».

«Сервис не может заглянуть "внутрь" зашифрованного пакета, однако он использует информацию, указанную на так называемой "обратной стороне" пакета. Это делается для облегчения доставки сообщений между пользователями».

Разработчики подчеркивают, что сервису совершенно необязательно знать, кто отправитель сообщения. Для доставки потребуется лишь информация о том, куда надо доставить сообщение.

«Было бы куда лучше, если бы сервис обрабатывал пакеты, в которых указано только место назначения. А поле "от кого" было бы просто пустым», — пишут представители Signal.

Разработчики опубликовали наглядный видеоролик, в котором показан описываемый ими принцип. С видео также можно ознакомиться в блоге компании.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

На GitHub выложили эксплойт для критической уязвимости в Realtek SDK

В Сети появился код эксплойта для критической уязвимости, затрагивающей сетевые устройства с однокристальной системой (System-on-a-Chip, SoC) Realtek RTL819x. По подсчётам экспертов, общее число уязвимых устройств исчисляется миллионами.

Проблема отслеживается под идентификатором CVE-2022-27255 и позволяет удалённому злоумышленнику взломать затронутые устройства — от маршрутизаторов и точек доступа до усилителей сигнала.

Исследователи из компании Faraday Security обнаружили брешь в Realtek SDK для операционной системы eCos с открытым исходным кодом. Свои выводы специалисты представили на конференции DEFCON.

На мероприятии исследователи покрыли всю цепочку возможной атаки: от выбора цели и анализа её прошивки, до эксплуатации уязвимости и автоматизации детектирования бага в других образах прошивки.

По своей сути CVE-2022-27255 представляет собой классическую проблему переполнения буфера на уровне стека. Специалисты дали ей 9,8 балла из 10 по шкале CVSS (статус критической). С помощью этой уязвимости удалённый атакующий может использовать специально созданные SIP-пакеты с вредоносными SDP-данными внутри для выполнения кода без аутентификации.

Разработчики Realtek устранили (PDF) баг в марте, отметив, что он затрагивает серии rtl819x-eCos-v0.x и rtl819x-eCos-v1.x. Согласно описанию, использовать дыру в атаке можно через WAN-интерфейс.

Специалисты Faraday Security создали демонстрационный эксплойт (proof-of-concept, PoC), выложив его на GitHub, а также записали видеоролик, в котором демонстрируется атака с использованием PoC:

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru