Let’s Encrypt через два дня отзовёт миллионы сертификатов

Let’s Encrypt через два дня отзовёт миллионы сертификатов

Let’s Encrypt через два дня отзовёт миллионы сертификатов

Популярный центр сертификации Let’s Encrypt с 28 января 2022 (эта пятница) начинает отзывать сертификаты SSL / TLS, выпущенные за последние 90 дней. Пользователей предупреждают, что эта процедура может затронуть миллионы действующих сертификатов.

Напомним, что некоммерческая организация Let's Encrypt подчиняется Internet Security Research Group (ISRG). Центр сертификации выпускает бесплатные криптографические сертификаты стандарта X.509, обеспечивающие шифрование передаваемых по сети данных.

Сторонние исследователи, изучившие репозиторий Let's Encrypt, проинформировали ISRG о двух проблемах (PDF) в имплементации метода валидации «TLS с использованием ALPN».

Чтобы исправить недостаток, Let’s Encrypt потребовалось вынести два изменения в работу проверки TLS-ALPN-01.

«Все действующие сертификаты, выпущенные с проверкой TLS-ALPN-01 до 26 января 2022 года, будут считаться некорректными. Всё дело в фиксе, который мы выпустили на этой неделе», — объяснили представители центра сертификации.

Таким образом, 28 января около 19:00 Let’s Encrypt начнёт отзывать проблемные сертификаты, которых затронула брешь метода валидации TLS-ALPN-01. По оценкам сотрудников, проблема коснулась менее 1% от всех выпущенных сертификатов.

Учитывая, что активных сертификатов на сегодняшний день насчитывается более 221 млн, один процент на деле может значить миллионы отозванных. НКО обещает уведомить по электронной почте всех, кого коснётся эта процедура.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Поведенческие атаки на медсектор в августе выросли почти на треть

В августе сектор здравоохранения столкнулся с заметным ростом кибератак: количество поведенческих веб-атак увеличилось почти на треть, подсчитали в компании «Вебмониторэкс». В отличие от классических эксплойтов уязвимостей, такие атаки маскируются под обычные действия пользователя — используют легитимные функции, но в злонамеренных целях.

Из-за отсутствия «вредоносных следов» заметить их значительно сложнее.

С начала года каждая организация в отрасли (от аптечных сетей до медицинских клиник) в среднем пережила около 3 миллионов попыток взлома онлайн-сервисов. Пик активности пришёлся на апрель, затем в июле был традиционный спад, но уже в августе число атак снова резко пошло вверх — на 60% больше, чем месяцем ранее.

Поведенческие атаки имитируют реальных пользователей и не требуют внедрения кода в запросы. Поэтому обычные методы обнаружения здесь не работают. Примеры таких атак: массовый перебор паролей для входа в личные кабинеты или BOLA — доступ к чужим данным через хитрые манипуляции с API. При этом всё чаще хакеры применяют ботов и сканеры, способные за секунды генерировать тысячи запросов с разных IP-адресов.

Но проблема не ограничивается только «поведенкой». В августе вдвое выросло число атак типа Path Traversal — когда злоумышленники получают доступ к закрытым файлам и конфигурациям приложений. А классические XSS по-прежнему остаются актуальными: через внедрение кода на страницу можно красть пользовательские сессии или подменять контент сайта.

«Мы видим, что интерес к здравоохранению у киберпреступников растёт. Это подтверждает и статистика атак, и недавние сбои в работе аптечных сетей и клиник. Медицинские веб-сервисы содержат огромные массивы чувствительных данных, и успешная атака может привести не только к утечкам, но и к сбоям всей инфраструктуры», — подчеркнула гендиректор «Вебмониторэкс» Анастасия Афонина.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru