Добавленная в Chrome 124 постквантовая криптография ломает TLS-соединения

Добавленная в Chrome 124 постквантовая криптография ломает TLS-соединения

Добавленная в Chrome 124 постквантовая криптография ломает TLS-соединения

Ряд пользователей браузера Google Chrome жалуется на проблемы с подключением к сайтам, серверам и файрволам. Судя по всему, вина лежит на новом квантово-устойчивом механизме инкапсуляции X25519Kyber768, включенном по умолчанию в вышедшем на прошлой неделе Chrome 124.

Напомним, с августа Google тестирует постквантовый механизм инкапсуляции, а теперь корпорация включила его по умолчанию в последних сборках Chrome для всех пользователей.

Нововведение использует квантово-устойчивый алгоритм Kyber768 для подключений по TLS 1.3 и QUIC, что должно помочь защитить трафик от квантового криптоанализа.

«После нескольких месяцев тестирований на совместимость и проверок производительности мы запускаем в десктопной версии Chrome 124 гибридный постквантовый обмен ключами TLS», — объясняет команда Chrome Security.

«Новый подход защитит трафик пользователей от атак, которые руководствуются принципом “сохрани сейчас, расшифруй потом”. Смысл этого принципа в том, чтобы дождаться введения в массовую эксплуатацию квантовых компьютеров, которые смогут расшифровать трафик, перехваченный сегодня».

Однако все оказалось не так просто даже после «нескольких месяцев тщательных тестирований». Например, с выходом версий Google Chrome 124 и Microsoft Edge 124 некоторые системные администраторы обратили внимание на разрыв соединений с приложениями, межсетевыми экранами и серверами после хендшейка TLS ClientHello.

«Похоже на то, что TLS-хендшейк обрывается при соединении с серверами, которые не знают, что делать с дополнительными данными в приветственном сообщении», — пишет один из сисадминов.

«У меня та же проблема с SSL-дешифровкой palo alto. Появилась после выхода Chrome и Edge 124», — подтверждает другой администратор.

Причина этих ошибок не в баге самого браузера Chrome, а скорее в невозможности веб-серверов корректно имплементировать Transport Layer Security (TLS) и, как следствие, обработать более объемные сообщения ClientHello для постквантовой криптографии.

Специалисты даже запустили сайт tldr.fail, на котором можно найти дополнительную информацию о том, насколько большое сообщение ClientHello может сломать подключение.

В октябре на эфире AM Live мы выясняли, насколько реальна квантовая угроза и можно ли от неё защититься.

iPhone будут сами блокироваться, если их вырвали из рук

Apple готовит новую защиту для iPhone на случай классического уличного сценария: секунду назад смартфон был в руке, а теперь злоумышленник уже убегает с ним за поворот. Компания работает над функцией, которая сможет автоматически заблокировать устройство, если система решит, что его выхватили у владельца.

Сейчас у Apple уже есть Find My, Activation Lock и Stolen Device Protection. Всё это полезно, но есть проблема: если вор забрал разблокированный iPhone, у него появляется окно возможностей.

Можно успеть залезть в приложения, настройки, аккаунты и вообще устроить цифровой бардак до того, как владелец придёт в себя.

Новая функция должна закрыть именно этот сценарий. iPhone будет анализировать сигналы вроде резкого движения по данным акселерометра и пытаться понять, не вырвали ли его из руки. Если система решит, что устройство украли, смартфон автоматически заблокируется.

Дополнительно Apple планирует учитывать расстояние до привязанных Apple Watch. Логика понятная: если iPhone резко уехал от часов владельца, а дело происходит не дома и не на работе, пора не философствовать, а закрывать доступ.

Функция также будет учитывать правила Stolen Device Protection: знакомые сети Wi-Fi, привычные места и другие признаки того, находится ли устройство в безопасной среде. Если условия подозрительные, iPhone не только заблокируется, но и ограничит доступ к чувствительным разделам.

Когда Apple официально представит эту возможность, пока неизвестно. Но код, найденный 9to5Mac, указывает, что функция уже находится в разработке.

RSS: Новости на портале Anti-Malware.ru