Критический баг генератора случайных чисел угрожает миллиардам IoT-девайсов

Критический баг генератора случайных чисел угрожает миллиардам IoT-девайсов

Критический баг генератора случайных чисел угрожает миллиардам IoT-девайсов

В аппаратных генераторах случайных чисел обнаружена критическая уязвимость, затрагивающая миллиарды IoT-устройств. Поскольку такие генераторы не могут корректно выдать случайные числа, существует риск кибератак на «умные» устройства.

Об уязвимости рассказали специалисты компании Bishop Fox Дэн Петро и Аллан Сесил. В опубликованном отчёте исследователи описывают проблему так:

«В ходе наших тестов оказалось, что так называемые ‘’случайные’’ числа на деле оказались не такими уж рандомными, особенно когда речь идёт об IoT-устройствах. В большинстве случаев девайсы выбирают ключи шифрования уровня 0 или ещё хуже. Такой подход может привести к катастрофическим последствиям для безопасности умных устройств».

Генераторы случайных чисел являются ключевыми компонентом отдельных криптографических приложений. С их помощью, например, задаются ключи, однократно используемые числа и соли (модификатор входа хеш-функции). Однако в случае IoT-девайсов эксперты указывают на серьёзную киберугрозу, связанную с недостаточно корректной работой генераторов случайных чисел.

Проблема в том, что всё работает на SoC (system-on-a-chip — система на кристалле), которая содержит аппаратный генератор случайных чисел (TRNG). Последний используется для извлечения случайности из физических процессов или явлений.

Так вот, специалисты отметили недостаток проверок ошибок в коде, при котором случайно сгенерированные числа уже нельзя назвать рандомными. Хуже того — они предсказуемые.

 

Проблема ограничивается IoT-устройствами, поскольку у них нет надлежащих операционных систем, которые бы шли с соответствующим API для генерации случайных чисел (например, /dev/random в Unix-подобных системах или BCryptGenRandom в Windows). Тем не менее, по словам специалистов, проблему можно решить обновлением софта.

Пользователи Android чаще всего блокируют рекламу через Private DNS

Пользователи Android всё чаще отказываются от приложений и VPN для блокировки рекламы, выбирая Private DNS как самый простой и эффективный способ защиты. Опрос показал, что DNS-сервисы вроде AdGuard и Cloudflare позволяют убрать рекламу, снизить риск мошенничества и не замедлять работу смартфона.

Как выяснили исследователи, самым популярным способом блокировки рекламы стал Private DNS. Этот вариант заметно опередил все остальные.

Около 65% респондентов сообщили, что используют Private DNS, например Cloudflare 1.1.1.1 или специализированные решения вроде AdGuard DNS. Такие сервисы легко настраиваются, не требуют установки сторонних приложений и позволяют отсеивать рекламные и потенциально опасные домены на уровне запросов.

Для сравнения: менее 19% пользователей предпочитают сторонние приложения для блокировки рекламы, такие как Blokada. Совсем небольшая доля респондентов призналась, что вообще не использует никакие инструменты для защиты от рекламы.

 

Пользователи отмечают сразу несколько преимуществ DNS-подхода:

  • он не нагружает систему и не замедляет интернет, как это иногда бывает с VPN;
  • не конфликтует с сервисами вроде Android Auto;
  • помогает фильтровать не только рекламу, но и фишинговые или сомнительные сайты;
  • настраивается за пару минут прямо в системных параметрах Android.

При этом Private DNS не ограничивает доступ к сервисам и не ломает работу приложений, что для многих оказалось решающим фактором.

Помимо DNS-сервисов, пользователи активно рекомендуют браузеры с встроенной блокировкой рекламы. Среди популярных вариантов — Firefox с расширением uBlock Origin и фирменный браузер Samsung, который поддерживает контент-блокеры из коробки.

Некоторые, наоборот, выбирают отдельные приложения для блокировки рекламы. Такой подход может быть удобнее, например, в корпоративной среде, где важно, чтобы инструменты защиты корректно работали с бизнес-приложениями.

RSS: Новости на портале Anti-Malware.ru