Эксперт обвинил Apple в принижении уязвимости брутфорса пароля iCloud

Эксперт обвинил Apple в принижении уязвимости брутфорса пароля iCloud

Эксперт обвинил Apple в принижении уязвимости брутфорса пароля iCloud

Исследователь в области кибербезопасности Лаксман Матья обвинил Apple в непорядочном поведении, касающемся уязвимости в функции сброса пароля. Именно Матья выявил брешь, позволяющую получить контроль над аккаунтами iCloud.

По словам самого специалиста, обнаруженная дыра позволяла обойти меры безопасности, которые Apple внедрила для защиты учётных записей пользователей от брутфорса функции «забыл свой пароль».

Когда вы пытаетесь сбросить пароль для iCloud-аккаунта, вас просят подтвердить телефонный номер или адрес электронной почты. Для этого Apple отправит вам шестизначный код, который нужно будет ввести в специальное поле.

Таким образом, злоумышленник, задумавший взломать учётную запись жертвы, должен сначала выведать её телефонный номер или имейл. Потом потребуется как-то угадать отправленный шестизначный код или же подобрать его, на что может уйти около миллиона различных комбинаций.

Чтобы защитить аккаунты пользователей от брутфорса, Apple ограничила число попыток ввода кода. В итоге у владельца учётной записи (или преступника) есть всего пять попыток. Дополнительно купертиновцы ввели лимит на POST-запросы к одному серверу с одного IP-адреса — таких запросов допускается всего шесть.

Тем не менее Лаксман Матья обнаружил, что потенциальный атакующий может отправлять запросы при помощи облачных сервисов. Такой подход уже открывал возможность для брутфорса шестизначного кода.

Исследователь сообщил о проблеме представителям Apple ещё в июле 2020 года, а патч при этом вышел аж в апреле 2021-го. Apple поступила странно, даже не уведомив Матья о выпуске заплатки. Более того, техногигант отметил:

«В зоне риска лишь очень ограниченное число аккаунтов пользователей, поскольку атака сработает лишь в том случае, если пользователь никогда не входил в аккаунт с устройств iPhone, iPad или Mac, защищённых паролем».

Это не убедило Матья, который остался при своём мнении: корпорация просто попыталась скрыть факт наличия критической уязвимости. Также эксперт отказался от передоложенного вознаграждения в размере 18 тысяч долларов, поскольку считает, что ему должны выплатить $100 000 или даже $350 000.

Гознак хочет усилить защиту паспортов с помощью лазероактивных материалов

Гознак решил не ограничиваться выпуском банкнот, паспортов и защитных элементов. Компания работает над созданием новых лазероактивных материалов, которые в перспективе могут использоваться при производстве документов нового поколения и других защищенных изделий.

Об этом в интервью РИА Новости рассказал генеральный директор Гознака Аркадий Трачук.

По его словам, технология выросла из решений, которые уже применяются при выпуске биометрических паспортов. Сегодня информация на странице с персональными данными наносится не обычной печатью, а с помощью лазера. Луч активирует специальные материалы внутри защитной пленки, формируя необходимые данные и изображения.

Теперь специалисты Гознака пытаются пойти дальше.

«У нас сейчас идут эксперименты по созданию новых лазероактивных материалов», — сообщил Аркадий Трачук.

Компания задалась вопросом, можно ли использовать подобные технологии не только в документах, но и в композитных материалах. Первые испытания уже проведены, и результаты разработчиков обнадежили.

В Гознаке рассчитывают, что проект удастся довести до промышленного образца уже до конца текущего года.

Если технология подтвердит свою эффективность, в распоряжении производителей появится новый класс материалов с возможностью лазерной персонализации и дополнительной защитой от подделок. Одним из перспективных направлений применения могут стать современные ID-карты и другие документы с повышенными требованиями к безопасности.

Подробности о составе новых материалов и принципах их работы пока не раскрываются. Однако сам факт того, что Гознак экспериментирует с лазероактивными композитами, показывает: борьба с подделками постепенно выходит за пределы привычной полиграфии и всё больше смещается в область высоких технологий и материаловедения.

RSS: Новости на портале Anti-Malware.ru