Эксперты показали первую атаку по сторонним каналам против чипа Apple M1

Эксперты показали первую атаку по сторонним каналам против чипа Apple M1

Эксперты показали первую атаку по сторонним каналам против чипа Apple M1

Команда специалистов, в которую вошли сотрудники университетов США, Австралии и Израиля, продемонстрировала пример атаки по сторонним каналам, с помощью которой злоумышленники могут пробить защиту чипа M1, представленного Apple в ноябре прошлого года. Известно, что атака основана на взаимодействии с браузером, но при этом не требует использования JavaScript.

Эксперты опубликовали отчёт, согласно которому они использовали лишь CSS и HTML для запуска атаки. Такой метод сработает даже в том случае, если JavaScript полностью отключён. По словам самих исследователей, это первый подобный вид атаки по сторонним каналам.

Основная цель атакующих в этом случае — кеш. Потенциальные злоумышленники вычисляют, к каким областям кеша обращается жертва, а затем пытаются «вытащить» из этих областей конфиденциальную информацию.

Как правило, при запуске подобных атак с помощью браузера преступнику нужно задействовать JavaScript и отследить тайминг. Именно поэтому разработчики популярных браузеров усердно работали над защитой от подобных кибератак: ограничили или полностью отключили выполнение JavaScript-кода и старались не дать хакерам измерить тайминг.

Тем не менее новый метод позволяет отойти от использования JavaScript, ограничившись HTML и CSS. Более того, исследователи даже утверждают, что все существующие защитные меры можно легко обойти с помощью их атаки.

Специалисты протестировали свой метод в наиболее защищённых средах браузеров (Chrome Zero, DeterFox), а также на устройствах с чипами от Intel, AMD, Samsung и даже Apple M1.

 

Все затронутые разработчики получили соответствующие уведомления о проблеме безопасности. Представители Apple отметили, что публикация подробностей этого метода атаки не вызывает у них никаких опасений.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

88% россиян забывают пароли: почему это нормально и что с этим делать

Ко Всемирному дню пароля, который отмечается 1 мая, эксперты напомнили, почему мы так часто забываем свои пароли — и как с этим справляться безопасно. По результатам опроса, большинство россиян хоть иногда, но сталкиваются с ситуацией, когда приходится восстанавливать доступ к своим аккаунтам.

У 16% это случается часто, у 37% — время от времени, у 35% — редко, но бывает. И это не только неудобно, но и потенциально опасно с точки зрения кибербезопасности.

Почему мы забываем пароли? Всё дело в особенностях памяти. Человеческий мозг запоминает лучше то, что связано с эмоциями, имеет личную значимость или повторяется часто. А вот случайные наборы символов, которые используются редко, мозг склонен «выкидывать» как ненужные. К тому же, забывание — это естественный процесс, который помогает регулировать эмоции и обновлять информацию.

Чтобы всё-таки защитить свои аккаунты и не сойти с ума от количества паролей, специалисты советуют:

  • Не хранить пароли на бумажках и в виде скриншотов;
  • Пользоваться менеджерами паролей — так достаточно будет запомнить всего один мастер-пароль;
  • Создавать надёжные, но запоминаемые комбинации, используя ассоциации, понятные только вам. Например, взять первую букву каждого слова из любимого стихотворения, перемешать заглавные и строчные буквы, добавить символ и важную для вас цифру;
  • Разделять пароль на логические части — так его будет проще держать в памяти;
  • Применять визуальные и аудиальные методы запоминания: «фотографировать» пароль в голове или проговаривать его вслух.

Кроме самих паролей, специалисты рекомендуют включать дополнительные меры безопасности: двухфакторную аутентификацию (например, код из СМС-сообщения) или использовать альтернативные способы входа, основанные на биометрии, одноразовых кодах или токенах. Последние становятся всё популярнее — не нужно ничего запоминать, а уровень защиты при этом высокий.

Возможно, будущее действительно за беспарольной авторизацией. Но пока она не стала повсеместной, стоит позаботиться хотя бы о том, чтобы придуманные пароли не превращались в головоломку — ни для вас, ни для вашей безопасности.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru