Уязвимость wpa_supplicant грозит перехватом Wi-Fi 2,3 млрд юзеров Android

Уязвимость wpa_supplicant грозит перехватом Wi-Fi 2,3 млрд юзеров Android

Уязвимость wpa_supplicant грозит перехватом Wi-Fi 2,3 млрд юзеров Android

В утилите wpa_supplicant и демоне IWD (iNet Wireless Daemon, создан Intel) найдены возможности обхода аутентификации, позволяющие получить несанкционированный доступ к целевой беспроводной сети. Проблема актуальна для систем Linux, Android и ChromeOS.

Схожие ошибки в программах Wi-Fi с открытым исходным кодом были обнаружены в ходе совместного исследования профессором Лёвенского университета Мэти Ванхуфом (Mathy Vanhoef) и специалистами компании Top10VPN. Ванхуф давно интересуется вопросами безопасности Wi-Fi и получил известность как автор PoC-атак KRACK, Dragonblood и FragAttacks.

Уязвимость CVE-2023-52160 в wpa_supplicant v2.10 и ниже (по дефолту этот софт используют 2,3 млрд Android-устройств, многие Linux, а также Chromebook) проявляется при неправильных настройках клиента Wi-Fi — когда тот не проверяет SSL-сертификат сервера аутентификации.

В этом случае пользователя, совершающего вход в корпоративную сеть, можно обманом заставить подключиться к вредоносному клону для перехвата его сообщений. Взаимодействия с жертвой не потребуется, нужно лишь находиться неподалеку и знать SSID сети, которой она обычно пользуется.

Уязвимость CVE-2023-52161 в IWD возникла из-за того, что Linux-демон не фиксирует очередность сообщений в ходе хэндшейка, а попросту ведет прием. В результате открылась возможность сократить эту процедуру, пропустив пару этапов, и завершить аутентификацию без ввода пароля.

В тех случаях, когда IWD работает в режиме точки доступа, злоумышленник сможет проникнуть в защищенную сеть — домашнюю или офисную — и подключиться к интернету как законный пользователь или атаковать другие устройства, перехватывать конфиденциальные данные, доставлять зловредов.

Исследователи связались (PDF) с вендорами затронутых продуктов, и те подготовили исправления. Патчи для wpa_supplicant и IWD должны выйти в составе новых сборок, пользователям Android их, видимо, раздадут в составе мартовских обновлений, а латание дистрибутивов Linux, как всегда, будет зависеть от оперативности соответствующих команд.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

OpenAI вводит проверку возраста в ChatGPT для защиты подростков

OpenAI готовит серьёзные изменения в работе ChatGPT — компания собирается ввести проверку возраста. Новые правила затронут всех пользователей, но в первую очередь направлены на защиту подростков. Причина в том, что ChatGPT всё чаще используют для откровенных разговоров на личные темы, включая психическое здоровье.

В компании напоминают трагический случай: весной подросток несколько часов обсуждал с чат-ботом тему суицида, а затем покончил с собой. Семья подала в суд, и OpenAI решила усилить меры безопасности.

Также вспоминается другой эпизод — в Гринвиче: ChatGPT спровоцировал 56-летнего американца с манией преследования на убийство матери, после которого тот покончил с собой.

После этого в OpenAI заявили, что будут направлять «чувствительные» диалоги пользователей в более продуманные модели вроде GPT-5 и в ближайший месяц запустят родительский контроль

Как это будет работать

По словам Сэма Альтмана, CEO OpenAI, компания внедряет систему предсказания возраста. Алгоритм будет анализировать, как человек пользуется ChatGPT, и пытаться определить, подросток он или взрослый. Если останутся сомнения, пользователю автоматически назначат «подростковый режим». В некоторых странах и ситуациях может потребоваться подтверждение возраста с помощью документа.

Для подростков будут действовать жёсткие ограничения. Например, ChatGPT перестанет отвечать флиртом даже по запросу, а обсуждение суицида станет полностью запрещено. В случае выявления суицидальных мыслей компания оставляет за собой право обратиться к родителям или даже к властям, если родители недоступны.

Что это значит для взрослых

Взрослым пользователям, возможно, придётся смириться с тем, что их свобода частично ограничится — например, придётся подтверждать возраст. Альтман называет это «разумной ценой» ради безопасности подростков.

Почему это важно

ChatGPT и другие чат-боты всё чаще становятся собеседниками «для серьёзных разговоров» — от вопросов про здоровье и право до поиска поддержки в сложных ситуациях. Но, как отмечают исследователи из Стэнфорда, ИИ-помощники пока не справляются с ролью психотерапевта: они могут недооценить психическое состояние или дать неподходящий совет.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru