В WPA3 найдены новые уязвимости Dragonblood, раскрывающие пароль Wi-Fi

В WPA3 найдены новые уязвимости Dragonblood, раскрывающие пароль Wi-Fi

В WPA3 найдены новые уязвимости Dragonblood, раскрывающие пароль Wi-Fi

Исследователи в области безопасности Мати Ванхоф и Эяль Ронен сообщили о двух новых уязвимостях класса Dragonblood, которые были найдены в стандарте Wi-Fi WPA3. Напомним, что изначально вид уязвимостей Dragonblood был открыт в апреле.

Согласно отчёту специалистов, новые проблемы безопасности похожи на апрельские тем, что допускают утечку информации из криптографических операций WPA3. Благодаря этому можно успешно провести брутфорс пароля сети Wi-Fi.

Первый баг отслеживается под идентификатором CVE-2019-13377 и затрагивает хендшейк WPA3 Dragonfly. Dragonfly представляет собой механизм обмена ключами в процессе аутентификации пользователей в системе WPA3-роутера.

В апреле Ванхоф и Ронен обнаружили, что Dragonfly, полагающийся на эллиптические кривые P-521, можно понизить до менее защищённых — P-256. В ответ на это Wi-Fi Alliance рекомендовал вендорам использовать более защищённые кривые Brainpool как часть алгоритмов Dragonfly.

«Однако мы обнаружили, что кривые Brainpool приводят к другому классу утечек по сторонним каналам. В ходе тестов наша теория подтвердилась — атака прошла успешно против последней версии Hostapd. В результате нам удалось сбрутфорсить пароль, используя утёкшую информацию», — объясняют эксперты.

Вторая брешь — CVE-2019-13456 — затрагивает имплементацию EAP-pwd во фреймворке FreeRADIUS. Такая связка используется многими вендорами для поддержки связи Wi-Fi.

EAP-pwd (Extensible Authentication Protocol, Расширяемый Протокол Аутентификации) — система аутентификации, используемая в прошлых стандартах WPA и WPA2. В WPA3 она также задействована из соображений поддержки устаревшей технологии.

Как и первая уязвимость, CVE-2019-13456 приводит к утечке информации, которая раскроет атакующему пароль сети.

Эксперты заявили, что уже уведомили Wi-Fi Alliance о проблемах безопасности, что может привести к выпуску версии WPA3.1.

Включил смартфон — выбери ИИ: Минцифры меняет правила предустановки ПО

При первом включении смартфона россиянам могут предложить выбрать системного ИИ-помощника — отечественного, зарубежного или никакого. Минцифры РФ подготовило соответствующий проект постановления и вынесло его на общественное обсуждение.

В действующих правилах класс «голосовой помощник» хотят заменить более широким понятием — «системный помощник».

Речь идёт об ИИ-программе, которая взаимодействует с устройством, операционной системой и приложениями через голосовые, текстовые и визуальные команды. Просто поговорить о погоде уже мало, теперь помощнику предлагают дать ключи почти от всего гаджета.

При первом запуске устройства пользователь сможет выбрать программу из списка доступных решений или отказаться от её установки. Конкретный сервис, компанию или платформу проект не навязывает.

Выбранному помощнику обещают те же условия, что и встроенным решениям производителей устройств и операционных систем. Он должен получать обновления, поддерживать пользовательские настройки и отображаться в интерфейсе на равных. Предустановленная версия будет бесплатной, а после обновления или сброса устройства до заводских настроек не должна бесследно исчезать.

Изменения затронут и поисковые сервисы: в перечень смогут включать решения со встроенными технологиями искусственного интеллекта. В Минцифры считают, что это усилит конкуренцию между российскими и зарубежными платформами и сохранит пользователям доступ к современным ИИ-сервисам, даже если отдельные иностранные продукты столкнутся с ограничениями.

Идея проекта проста: производитель больше не должен единолично решать, какой ИИ поселится в смартфоне. Финальное слово хотят оставить владельцу гаджета.

RSS: Новости на портале Anti-Malware.ru