Атака Terrapin способна снизить уровень защиты OpenSSH-соединений

Атака Terrapin способна снизить уровень защиты OpenSSH-соединений

Атака Terrapin способна снизить уровень защиты OpenSSH-соединений

Исследователи разработали новый вектор атаки под названием «Terrapin», в основе которого лежит манипуляция последовательностью номеров при хендшейке. Terrapin позволяет нарушить целостность SSH-канала, если используются распространённые режимы шифрования.

Злоумышленники могут удалить или модифицировать сообщения, проходящие через канал, в результате чего происходит даунгрейд алгоритмов открытого ключа, которые участвуют в аутентификации пользователей.

Terrapin также позволяет отключить защиты от атак, основанных на тайминге нажатия клавиш (угрожает OpenSSH 9.5). Специалисты Рурского университета в Бохуме отмечают:

«Атака Terrapin использует уязвимости в протоколе SSH вместе с криптографическими алгоритмами и режимами шифрования, представленными в OpenSSH более десяти лет назад».

Упомянутые уязвимости, связанные с новым вектором атаки, получили идентификаторы CVE-2023-48795, CVE-2023-46445 и CVE-2023-46446. Стоит отметить, что для реализации Terrapin атакующие должны находится в статусе «злоумышленник посередине» (adversary-in-the-middle, MiTM), а соединение должно быть защищено либо ChaCha20-Poly1305, либо CBC с Encrypt-then-MAC.

 

В настоящее время многие вендоры принимают меры для снижения риска от эксплуатации Terrapin. Одним из способов борьбы является использование строго обмена ключами, при котором нельзя внедрить пакеты во время хендшейка.

Эксперты отмечают, что по-настоящему эффективные меры защиты подразумевают реализацию как на стороне клиента, так и на стороне сервера, поэтому на полное устранение этого вектора потребуется время.

Пока исследователи опубликовали на GitHub сканер, который администраторы могут использовать для выявления уязвимостей, необходимых для реализации Terrapin.

Россиянкам в Таиланде грозит тюрьма из-за сбоя оплаты по QR-коду

Двум россиянкам в Таиланде грозит до трёх лет лишения свободы после оплаты покупок в местном ювелирном магазине по QR-коду. Такие платежи иногда проходят со сбоями: уведомление в приложении может появиться, но деньги при этом не поступают на счёт продавца.

В такой ситуации, как сообщает Mash, оказались две россиянки, отдыхавшие в популярной у туристов Паттайе.

Покупки одной из них были довольно скромными, другая приобрела товары примерно на 23 тыс. рублей. Обе расплатились по QR-коду и не стали дожидаться подтверждения поступления средств на терминале магазина, ограничившись уведомлением в приложении.

Однако в момент оплаты произошёл сбой, и деньги на счёт магазина не поступили. Владелец обратился в местную полицию, после чего россиянок объявили в розыск.

Указанных сумм может быть достаточно, чтобы их не выпустили из страны и отправили под суд. В таком случае им может грозить до трёх лет лишения свободы.

Проблемы возможны даже в том случае, если средства поступят в магазин с задержкой. Чтобы избежать претензий со стороны правоохранительных органов, женщинам необходимо либо повторить оплату и убедиться, что она прошла, либо обратиться к местным юристам.

RSS: Новости на портале Anti-Malware.ru