Новая версия КриптоПро CSP поддерживает дуальные смарт-карты Рутокен ЭЦП

Новая версия КриптоПро CSP поддерживает дуальные смарт-карты Рутокен ЭЦП

Новая версия КриптоПро CSP поддерживает дуальные смарт-карты Рутокен ЭЦП

В рамках многолетнего технологического сотрудничества компании «Актив» и «КриптоПро» провели тестирование, подтвердившее совместимость смарт-карт и токенов Рутокен со средством криптографической защиты информации КриптоПро CSP версии 5.0 R2.

Эксперты компаний «Актив» и «КриптоПро» провели совместное тестирование продуктов Рутокен с СКЗИ КриптоПро CSP версии 5.0 R2. Испытания подтверждают корректность совместной работы устройств Рутокен и средства криптографической защиты информации КриптоПро CSP 5.0 R2.

КриптоПро CSP 5.0 R2 в режиме ФКН с неизвлекаемыми ключами и защитой канала связи поддерживает новые дуальные смарт-карты Рутокен ЭЦП 3.0 NFC и Рутокен ЭЦП 2.0 3000 (Type-C, micro). Протокол SESPAKE (ФКН) позволяет провести аутентификацию, не передавая в открытом виде PIN-код пользователя, и установить шифрованный канал для обмена сообщений между криптопровайдером и носителем.

КриптоПро CSP в режиме защищенного хранилища ключей работает с Рутокен ЭЦП PKI (Type-C, micro), Рутокен S (micro) и Рутокен Lite (micro). Применение этих устройств позволяет пользователям криптопровайдера обезопасить ключевую информацию от несанкционированного использования. Ключи и сертификаты хранятся в защищенной файловой системе ключевых носителей.

В режиме «активного вычислителя» ключи контейнера КриптоПро создаются сразу в защищенной памяти устройства. Подписание документов возможно и на неизвлекаемых аппаратных ключах. Этот режим предотвращает извлечение ключа в память компьютера в момент подписания.

Работа с неизвлекаемыми ключами возможна со следующими устройствами: Рутокен ЭЦП 2.0 (micro); Рутокен ЭЦП 2.0 2100 (Type-C, micro); Рутокен ЭЦП 2.0 2151; Рутокен ЭЦП 2.0 Flash/Touch; Рутокен ЭЦП 2.0 3000 (Type-C, micro); Рутокен ЭЦП 3.0 NFC; Рутокен ЭЦП Bluetooth; смарт-карты Рутокен ЭЦП 2.0 2100.

Тестирование устройств Рутокен и криптопровайдера проводилось в операционных системах Windows/Linux/macOS/FreeBSD. Дуальные смарт-карты Рутокен ЭЦП 3.0 NFC и Рутокен ЭЦП Bluetooth работают с iOS/Android и по беспроводным каналам.

«Вместе с компанией «КриптоПро» мы делаем все возможное, чтобы наши решения работали четко и слаженно в различных информационных системах. Для этого регулярно проводится работа по тестированию новинок и последних версий продуктов. Надеюсь, заказчики по достоинству оценят возможности новых дуальных смарт-карт Рутокен ЭЦП 3.0 NFC в сочетании с самым популярным криптопровайдером», - отметил Павел Анфимов, руководитель отдела продуктов и интеграций Рутокен компании «Актив».

«Мы рады расширению сотрудничества с компанией «Актив» и добавлению в КриптоПро CSP 5.0 R2 поддержки смарт-карты Рутокен ЭЦП 3.0 NFС. Реализованный в ней протокол SESPAKE выводит безопасность хранения пользовательской ключевой информации на новый уровень, что является безусловным приоритетом нашей работы», - подчеркнул Сергей Агафьин, начальник отдела разработки ФКН компании «КриптоПро».

Критическая дыра в Elementor Pro позволяет захватывать WordPress-сайты

В плагине Elementor Pro для WordPress обнаружили критическую уязвимость CVE-2026-32475, позволяющую без аутентификации загрузить на сервер PHP-файл и выполнить произвольный код. Под угрозой находятся версии до 4.2.2. Проблема скрывается в модуле загрузки файлов.

Как выяснили специалисты Patchstack, проверка и сохранение вложений выполняются разными циклами, которые неодинаково реагируют на пустое имя файла.

Атакующий может отправить специально подготовленный запрос из нескольких частей. В первой будет файл без имени, а во второй — PHP-бэкдор. Проверка споткнётся о пустую запись и завершится, так и не добравшись до полезной нагрузки.

А обработчик загрузки, наоборот, пропустит пустышку и заботливо сохранит следующий файл в публичном каталоге wp-content/uploads/elementor/forms/.

После этого остаётся определить имя загруженного файла и открыть его по прямой ссылке. Сервер запустит PHP-код с правами веб-сервера, и сайт фактически перейдёт под управление атакующего.

Имя можно подобрать по времени создания, а в некоторых конфигурациях точный адрес файла способен утечь через письмо автоответчика.

Для атаки на сайте должна быть опубликована форма Elementor Pro с полем загрузки и включённой возможностью прикреплять несколько файлов. Эта настройка по умолчанию отключена. Бесплатная версия Elementor, насчитывающая более 10 млн установок, уязвимости не подвержена.

Разработчики закрыли брешь в Elementor Pro 4.2.2. Администраторам советуют немедленно обновить плагин и проверить каталог загрузок на PHP-файлы и другие незнакомые сюрпризы. Само обновление уже заброшенные бэкдоры не удалит.

Активных атак пока не зафиксировано. Но теперь, когда технические подробности опубликованы, они не заставят себя ждать.

RSS: Новости на портале Anti-Malware.ru