В России тестируют аутентификацию в соцсетях через портал госуслуг

В России тестируют аутентификацию в соцсетях через портал госуслуг

В России тестируют аутентификацию в соцсетях через портал госуслуг

В России тестируется возможность использования федеральной информационной системы идентификации и аутентификации (ЕСИА) для входа в социальные сети, на сайты трудоустройства, в онлайн-магазины и другие площадки, проводящие сделки по купле-продаже. Эксперимент стартовал 1 апреля и продлится до 1 июля 2022 года.

Система ЕСИА была создана с целью обеспечения безопасного доступа россиян к информационным ресурсам государственных и муниципальных учреждений, предоставляющих услуги населению в электронной форме.

Согласно постановлению правительства РФ, отныне граждане, зарегистрированные в ЕСИА и получившие ключ простой электронной подписи, смогут заходить на другие сайты участников эксперимента, используя учетную запись портала госуслуг. Дополнительной регистрации при этом не потребуется.

Создание дополнительного удобства для пользователей Рунета — не единственная задача пилотного проекта. Он также призван расширить использование функциональности ЕСИА за счет подключения к ней информационных систем бизнес-структур.

Не исключено также, что авторы проекта стремились внести свою лепту в подготовку перевода криптозащиты Рунета на отечественные рельсы: к 1 января 2022 года ЕИАС, согласно утвержденным срокам, должна полностью перейти на использование российских криптографических алгоритмов и средств шифрования.

Новой возможностью авторизации через портал госуслуг можно воспользоваться в следующих случаях:

  • для осуществления входа в соцсети;
  • при совершении сделок по купле-продаже услуг и товаров, в том числе транспортных средств;
  • при заключении договоров аренды имущества;
  • при совершении иных юридически значимых действий посредством агрегаторов информации;
  • при поиске работы и трудоустройства.

По условиям эксперимента, сумма сделки, указанная в договоре, не должна превышать 10 млн рублей.

Участие в новом проекте осуществляется на добровольной основе; персональные данные пользователей, по заверениям Минцифры, передаваться с портала госуслуг при этом не будут. Правительство РФ также планирует запустить и обратный процесс — обеспечение возможности доступа к госуслугам с коммерческих платформ.

Подпишитесь на новости

Один клик администратора может отдать WordPress-сайт злоумышленнику

В ядре WordPress обнаружили цепочку уязвимостей Click2Shell, которая позволяет удалённо выполнить PHP-код на сервере без учётной записи атакующего. Для захвата сайта достаточно, чтобы авторизованный администратор открыл специально подготовленную ссылку.

Проблему нашёл исследователь pwn.ai Паулос Йибело. Согласно техническому отчёту, WordPress по-разному обрабатывал один и тот же параметр ссылки предпросмотра темы.

API каталога очищал значение и находил легитимную тему, а JavaScript в браузере администратора вставлял исходную строку в jQuery-селектор без должного экранирования.

В результате подготовленный URL заставлял интерфейс WordPress самостоятельно нажать кнопку установки. Администратор при этом не выбирал ни «Установить», ни «Активировать», а тема оставалась неактивной и внешне сайт продолжал работать как обычно.

Для полноценного RCE исследователи добавили второй компонент — уязвимую тему Mobile Repair Zone 2.5.4 из официального каталога. Во время предпросмотра WordPress загружал её PHP-код, после чего небезопасный AJAX-обработчик позволял скачать и выполнить произвольный плагин.

Дальше атакующий мог читать wp-config.php, красть ключи и данные БД, менять файлы, создавать администраторов и внедрять скрипты. Атака не является полностью автоматической: ссылку должен открыть вошедший в систему администратор.

Роли Author и Editor нужных полномочий не имеют. Доставить URL можно через целевой фишинг или уже существующую XSS-уязвимость.

WordPress закрыл дыру в версии 7.1.1 и выпустил патчи для поддерживаемых старых веток. Поскольку подробности и PoC уже опубликованы, откладывать обновление нельзя. Временной страховкой может стать DISALLOW_FILE_MODS, запрещающий установку тем и плагинов, но нормальное лекарство всё то же — патч.

RSS: Новости на портале Anti-Malware.ru