Ростелеком-Солар отметил уязвимости open source-браузера Brave

Ростелеком-Солар отметил уязвимости open source-браузера Brave

Эксперты компании «Ростелеком-Солар» провели исследование защищенности популярных пользовательских приложений с открытым исходным кодом для ПК. Анализ 10-ти open-source программ продемонстрировал, что ряд обнаруженных уязвимостей в случае успешной эксплуатации злоумышленниками открывают доступ ко всем данным пользователей, которые хранятся на компьютерах в незашифрованном виде. При этом абсолютное большинство людей не шифруют свои данные на ПК.

Рынок программного обеспечения с открытым исходным кодом находится на этапе бурного роста. Начиная с 2014 года, в комьюнити наблюдается ежегодный интенсивный приток участников: только в 2019 году к сообществу open source присоединилось более 1,3 млн новых авторов. С 2018 года мировые ИТ гиганты вроде Microsoft прекратили борьбу с открытым ПО и стали вносить свой вклад в развитие индустрии. По прогнозам мировых экспертов, к концу 2021 года объем использования продуктов с открытым исходным кодом в компаниях вырастет на 77% по сравнению с аналогичным периодом текущего года.

В связи с ростом популярности open source-приложений как в корпоративной, так и в пользовательской среде специалисты «Ростелеком-Солар» решили проверить уровень защищенности наиболее популярного свободного ПО для ПК в самых востребованных пользователями категориях с помощью инструмента Solar appScreener. Были отобраны приложения в категориях «браузеры», «офисные пакеты», «графические редакторы», «текстовые редакторы», «программы восстановления данных», «редакторы диаграмм», «программы расширенного поиска файлов и папок в Windows», «программы для очистки компьютера» и «эмуляторы видеоигр». Таким образом, в исследовании приняли участие приложения Brave browser, LibreOffice, Krita, Notepad++, TestDisk & PhotoRec, GIMP, Dia, Search Everything, BleachBit и RetroArch.

По результатам автоматизированного сканирования лидером рейтинга защищенности open source-приложений для ПК является программа для восстановления данных TestDisk & PhotoRec. Она не содержит критических уязвимостей в коде и при этом имеет минимальное количество уязвимостей среднего уровня среди всех исследованных приложений. Чуть большее число уязвимостей средней критичности содержит бесплатный аналог Adobe Photoshop – приложение GIMP. Уровень защищенности обеих программ Solar appScreener оценил в 4.2 балла.

Неожиданно слабые результаты – 1.3 балла из 5.0 – продемонстрировал популярный браузер с открытым исходным кодом Brave Browser, который по состоянию на июнь 2020 года имеет в активе 15 млн ежемесячных пользователей и до 5 млн ежедневных. В просканированном ядре браузера критические уязвимости в коде встречаются 15 раз, что превышает предельно допустимый показатель в 5 единиц, чтобы не опуститься ниже среднего по рынку общего уровня защищенности. Это обстоятельство не позволяет считать данное приложение безопасным для использования.

Впрочем, самые низкие показатели защищенности отмечены у популярного эмулятора видеоигр для ПК с открытым исходным кодом RetroArch (0.8 балла из 5.0). Программа имеет наибольшее количество вхождений критических уязвимостей.

«Для исследованного свободного ПО характерны такие серьезные бреши, как заданные в исходном коде пустые ключи шифрования, пустые пароли, указанные в явном виде конфиденциальные данные. Эти уязвимости несут серьезную угрозу данным пользователей на тех компьютерах, на которых это ПО установлено. В целом, результаты проверки наглядно демонстрируют, в каких приложениях активно используются заимствованные из сторонних библиотек части кода, а какие программы написаны разработчиками максимально собственными силами. В последнем случае количество уязвимостей и НДВ в коде заметно ниже, и, соответственно, выше защищенность пользовательских данных, к которым приложение имеет доступ», – подчеркнул директор центра решений безопасности ПО компании «Ростелеком-Солар» Даниил Чернов.

Сервисы для анализа были отобраны согласно позициям в обзоре «11 лучших программ с открытым исходным кодом в 2020 году», а также исходя из количества скачиваний мобильных версий данных приложений в Google Play и App Store. В свое исследование эксперты «Ростелеком-Солар» включили 10 приложений из 11-ти, представленных в данном обзоре, обойдя вниманием программу для создания цифровых Lego-моделей Stud.io ввиду специфичности ее применения узкой аудиторией.

Анализ безопасности кода приложений осуществлялся автоматически с помощью Solar appScreener – российского программного продукта для проверки защищенности приложений. Решение использует методы статического, динамического и интерактивного анализа.

 

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Kaspersky опровергла причастность к разработке российских военных БПЛА

Компания «Лаборатория Касперского» отвечает на заявления о том, что ее ИИ помог России разработать военные беспилотные системы.

По словам добровольцев по сбору разведывательной информации, в российских беспилотниках в ходе спецоперации на Украине использовался ИИ, созданный российской компанией Kaspersky.

Аналитики OSINT из InformNapalm изучили 100 ГБ украденных данных российской компании «Альбатрос» и сообщили, что «Лаборатория Касперского» начала сотрудничество с компанией еще в 2018 году.

В то время группа из шести человек создала команду «ALB-search», чтобы принять участие в конкурсе на разработку технологий поисково-спасательных дронов.

В докладе говорится, что несмотря на поражение, член группы, Никита Калмыков, основал компанию «Альбатрос», а Алексей Флоров и Константин Спиридонов, входившие в состав «ALB-search», заняли руководящие должности.

Сообщается, что Владимир Клешнин и Владимир Туров, которые также были участниками «ALB-search», занимались разработкой шпионских дронов «Альбатрос», будучи сотрудниками «Лаборатории Касперского».

С 2018 года Туров возглавляет платформу Kaspersky Antidrone, которая позволяет предотвратить нежелательное проникновение БПЛА на различные объекты в охраняемом воздушном пространстве.

Специалисты InformNapalm утверждают, что после конкурса участники группы «ALB-search» зарегистрировали патент на использование дронов в поиске пропавших людей. Для полного функционирования БПЛА необходимо было разработать бортовую нейронную сеть. Беспилотник, оснащенный камерой, микрофоном и встроенным ИИ, смог бы определять присутствие людей с помощью этих датчиков и передавать их координаты на базу.

Из доклада добровольцев, искусственный интеллект для дронов был якобы создан членами команды Kaspersky, в которую входили Туров и Клешнин. В утечке говорилось, что «Лаборатория Касперского» использует беспилотники «Альбатрос» в качестве носителя для своих «интеллектуальных систем», такие как БПЛА «Альбатрос М5» и промышленные квадрокоптеры «Альбатрос Д1».

По заявлению InformNapalm, «Лаборатория Касперского» должна быть подвергнута санкциям, как и весь технологический сектор РФ.

Kaspersky опровергла большинство утверждений. Представители рассказали, что действительно сотрудничали с «Альбатрос», но лишь на экспериментальном уровне в качестве гуманитарного проекта, но не над конечным продуктом.

Туров и Клешнин, по сообщению компании, действительно являются ее сотрудниками, а их взаимодействие с «Альбатрос» предшествовало работе в Kaspersky. Представители также упомянули о наличии дистрибьюторского соглашения Antidrone с «Альбатрос», которое закончилось в 2022 году.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru