Let's Encrypt отозвал 3 млн сертификатов из-за бага проверки CAA-полей

Let's Encrypt отозвал 3 млн сертификатов из-за бага проверки CAA-полей

Let's Encrypt отозвал 3 млн сертификатов из-за бага проверки CAA-полей

Центр сертификации Let's Encrypt вынужден отозвать более 3 миллионов TLS-сертификатов из-за бага, обнаруженного в бэкенд-коде. Как сообщили представители Let's Encrypt, проблема нашлась в серверном софте Boulder.

Как известно, Let's Encrypt использует Boulder для верификации пользователей и их доменов перед тем, как выдать TLS-сертификат.

Выявленный баг затрагивал имплементацию стандарта безопасности CAA (Certificate Authority Authorization) в Boulder. CAA позволяет владельцам доменов обозначить только те центры сертификации, которые перечислены в специальном поле.

Все центры вроде Let's Encrypt должны строго следовать спецификации CAA по закону, в противном случае могут последовать санкции со стороны разработчиков браузеров.

Согласно опубликованной на форуме информации, из-за бага Boulder игнорировал проверку CAA. Команда Let's Encrypt уже устранила проблему, и теперь поля CAA обрабатываются корректно.

Компания считает, что никто не успел воспользоваться этим багом. И тем не менее центр решил отозвать все сертификаты, выданные с некорректными поверками CAA.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники крадут данные через поддельные рабочие чаты без живых людей

Управление по организации борьбы с противоправным использованием информационно-коммуникационных технологий МВД России (УБК МВД) предупредило о новой схеме мошенничества — злоумышленники всё чаще используют фейковые рабочие чаты для кражи данных.

Как сообщает УБК МВД, такие чаты создаются с целью имитировать официальное рабочее общение и тем самым ввести жертву в заблуждение.

«Сценарий простой: человека добавляют в якобы рабочий или тематический чат — например, от имени бывшего или текущего работодателя. В чате — якобы “коллеги”, которые уже прошли все необходимые “процедуры” и охотно делятся опытом. На деле, возможно, ни одного реального человека в этом чате и нет», — говорится в официальном телеграм-канале УБК МВД.

Главная цель мошенников — убедить жертву совершить одно из следующих действий:

  • передать код из СМС-сообщения;
  • перейти по ссылке для «подтверждения личности»;
  • «пройти проверку» по предложенной схеме;
  • передать ключ электронной подписи.

Признаки фейкового чата, на которые стоит обратить внимание: отсутствие знакомых участников, постановочный характер диалогов, а также то, что все участники якобы уже успешно прошли предложенные процедуры.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru