В защищённых рациях нашли уязвимость во втором уровне шифрования

В защищённых рациях нашли уязвимость во втором уровне шифрования

В защищённых рациях нашли уязвимость во втором уровне шифрования

Пару лет назад нидерландские исследователи вскрыли серьёзную уязвимость в алгоритмах шифрования, которые встроены в радиостанции по стандарту TETRA. Эти устройства используют службы по всему миру — от полиции и военных до объектов критической инфраструктуры. Тогда выяснилось, что один из алгоритмов, TEA1, снижает длину ключа с 80 до 32 бит, что позволяло расшифровывать перехваченные переговоры за минуту.

Чтобы как-то компенсировать эту дыру, Европейский институт телекоммуникационных стандартов (ETSI) в 2023 году порекомендовал использовать дополнительное шифрование — end-to-end encryption (E2EE), разработанное группой TCCA.

Но теперь та же команда исследователей из Midnight Blue заявила: в одном из реализованных вариантов E2EE — тоже уязвимость. Более того, суть проблемы — всё та же: ключ вроде бы начинается с 128 бит, но потом зачем-то обрезается до 56. Это делает взлом таким же реальным, как и с TEA1.

Исследователи нашли и ещё одну уязвимость: можно подделывать сообщения или проигрывать старые, чтобы запутать пользователей. То есть кто-то может вставить в эфир ложную команду или дезинформацию, и никто сразу не поймёт, что что-то не так. И это — не проблема одного производителя, такая дыра есть у нескольких вендоров.

Важно: речь идёт не о каких-то обычных гаджетах. Эти системы стоят миллионы и используются для охраны границ, операций спецслужб, связи военных. Сама же TCCA, по словам экспертов, документирует алгоритмы и длины ключей, но делает это под NDA, так что доступ к спецификациям есть только у производителей.

Один из производителей — Sepura — в старом внутреннем документе (утекшем в сеть) упоминал, что длина ключа зависит от экспортных ограничений, и на заводе устройство могут настроить на 128, 64 или даже 56 бит. Но ни Sepura, ни другие производители, по словам исследователей, не всегда доносят до клиентов факт, что они используют ослабленную криптографию. Иногда это упоминается в брошюрах, иногда только во внутренних документах, а чаще — вообще никак.

ETSI открестился от авторства E2EE, заявив, что разработка была инициативой TCCA. Тем не менее, они одобрили использование этого шифрования два года назад, и, судя по всему, теперь оно внедрено шире, чем планировалось.

Вопрос в том, знают ли пользователи об этом. ETSI утверждает, что правительственные заказчики должны быть в курсе. Исследователи в этом сомневаются:

«Мы не верим, что кто-то платит миллионы долларов, зная, что в итоге получает всего 56 бит защиты», — говорит один из авторов работы, Йос Ветзелс.

Вывод один: если даже «поверх» небезопасного шифрования кладут ещё один слой, он тоже может оказаться дырявым. Особенно если за спецификациями никто толком не следит, а покупатели верят на слово.

ГАИ проиграла суд против роботов-доставщиков

Московский городской суд отклонил жалобу ГАИ на решение суда первой инстанции, который не усмотрел в действиях роботов-доставщиков состава административного правонарушения, связанного с нарушением Правил дорожного движения. Ранее ГАИ обвинило дочернюю компанию Яндекса — «Рободоставку» — в нарушении ПДД.

Поводом для разбирательства стало происшествие 7 марта, когда инспектор ГАИ счёл, что робот-доставщик, передвигавшийся по тротуару, создаёт помехи пешеходам.

По мнению инспектора, это подпадало под статью 12.33 КоАП РФ. Компании «Рободоставка» в этом случае грозил штраф в размере 300 тыс. рублей.

Представители Яндекса с такой трактовкой не согласились, указав, что в действиях роботов-доставщиков отсутствует и не может присутствовать умысел. Дело было рассмотрено в Мещанском районном суде Москвы, который поддержал позицию компании.

«Роботы-доставщики не относятся к транспортным средствам, определённым нормами действующего законодательства. Как следует из видеозаписи, робот-доставщик передвигался по краю тротуара, не перекрывая пешеходную зону, автоматически останавливался при приближении людей. Пешеходы продолжали движение. Контакта, вынужденного сближения, опасных манёвров или остановок зафиксировано не было. Следовательно, объективных признаков угрозы безопасности дорожного движения не имелось», — такую выдержку из решения суда приводит Autonews.

ГАИ с таким решением не согласилась и подала жалобу в Московский городской суд. Однако Мосгорсуд оставил её без удовлетворения. Решение было принято ещё 5 февраля, но опубликовано только вечером 9 февраля.

«Мы работаем над тем, чтобы роботы-доставщики безопасно и корректно интегрировались в городскую среду и городскую инфраструктуру в рамках экспериментального правового режима, а также находимся в постоянном взаимодействии с профильными ведомствами. Подобные кейсы помогают формировать и развивать понятные правила использования автономных устройств в городе по мере накопления практического опыта», — прокомментировали судебное решение в Яндексе.

RSS: Новости на портале Anti-Malware.ru