S3R

4-5 августа 2014 года в Московской области на полигоне «Алабино» состоится выдающаяся выставка «День Инноваций Министерства Обороны Российской Федерации»!

Выставка является специализированным мероприятиям, целью которого является демонстрация перспективных идей и инновационных разработок российской промышленности и ОПК руководящему составу и специалистам Министерства обороны и Вооруженных Сил Российской Федерации.

Участниками-экспонентами выставки выступают:

• федеральные органы исполнительной власти;
• государственные корпорации;
• предприятия ОПК России – производители вооружений и военной техники, продукции материально-технического обеспечения Вооруженных сил Российской Федерации;
• ведущие НИИ и вузы Российской Федерации;
• иностранные предприятия и организации;
• разработчики и производители вооружения и военной техники двойного и специального назначения.

Как один из ведущих отечественных разработчиков программно-аппаратных средств защиты информации НПО «Эшелон» представит на выставке свои основные разработки, прошедшие сертификацию Минобороны России и используемые для защиты информации в автоматизированных системах управления военного назначения, например:

«КОМРАД» — современная масштабируемая система управления событиями информационной безопасности, предназначенная для организации централизованного контроля и мониторинга различных технических средств, в том числе средств защиты информации, используемых в автоматизированных системах.

«Рубикон» – программно-аппаратный комплекс, сочетающий в себе функционал высокопроизводительного межсетевого экрана, системы обнаружения вторжений, однонаправленного шлюза, крипто-шлюза. Необходимо отметить, что Рубикон является единственным межсетевым экраном, поддерживающим мандатные метки защищенной операционной системы Astra Linux, т.е. позволяет обеспечивать надежное разделение сетевого доступа к совершенно секретным ресурсам.

«МДЗ-Эшелон» – программный модуль доверенной загрузки, не использующий внешних аппаратных средств. МДЗ-Эшелон используется для обеспечения доверенной загрузки автоматизированных рабочих станций и серверов, контроля целостности, идентификации и аутентификации пользователя до передачи управления операционной среде. Такое инновационное решение позволяет обеспечить защиту информации в том числе виртуальных сред.

«Сканер-ВС» — миниатюрный комплекс инструментов для проведения «боевого» тестирования защищенности автоматизированных систем военного назначения. Сканер-ВС позволяет проверять стойкость используемых паролей, перехватывать сетевой трафик, осуществлять поиск остаточной информации на носителях информации вне зависимости от используемой файловой системы, проводить выявление и эксплуатацию различных уязвимостей, выявлять факты несанкционированного подключения USB-накопителей и многое другое. Важно, что указанный комплекс не зависит от операционной и сетевой среды проверяемых АСУ и АРМ.

«Генератор» — комплекс, предназначенный для управления и создания устойчивых паролей, соответствующих инженерно-криптографическим требованиям ВС РФ.

«АК-ВС 2.0» — инструментарий для проведения сертификационных испытаний и тематических исследований до 1-го (наивысшего) уровня контроля включительно.

На стенде НПО «Эшелон» можно будет «вживую» посмотреть работу данных инновационных продуктов и получить консультацию от ведущих экспертов компании.

Possibly Related Posts:

• Ставка только на Линукс — это ошибка
• В эфире Antimalware Live эксперты обсудят безопасную разработку
• II Всероссийская научная школа-семинар «Современные тенденции развития методов и технологий защиты информации»
• Кибербезопасность умных городов: вызовы, проблемы, решения
• XVI Международный форум по международной информационной безопасности

GhostCrypt 1.0 — европейский форк TrueCrypt с использованием советской криптографии.

Автор TrueCrypt не дали разрешения и посоветовали начать работу с чистого листа. Хотя GhostCrypt не позаимствовал название TrueCrypt, но всё-таки содержит потенциально небезопасный код TrueCrypt, который авторы оригинальной программы не рекомендовали использовать.

«Утечки Сноудена ясно дали понять, что массовое использование шифрования гражданами должно стать реальностью. Это возможно только тогда, когда существунадёжные продукты с открытым исходным кодом, таких как Truecrypt, с сильной поддержкой хакерского сообщества. Тем не менее, в то время мы не предвидели беспрецедентный переворот и страшное потрясение с недавним исчезновением TrueCrypt. Более чем когда-либо мы все должны всё больше и больше делать проектов для его замены. Gostcrypt является одним из (мы надеемся) таких», — сообщается на сайте gostcrypt.org

В частности, они использовали блочный шифр ГОСТ 28147-89 с 256-битными ключами, которые разделяются на восемь 32-битных ключей.

Хэширование осуществляет хэш-функция ГОСТ Р 34.11-2012.

Possibly Related Posts:

• Ставка только на Линукс — это ошибка
• В эфире Antimalware Live эксперты обсудят безопасную разработку
• II Всероссийская научная школа-семинар «Современные тенденции развития методов и технологий защиты информации»
• Кибербезопасность умных городов: вызовы, проблемы, решения
• XVI Международный форум по международной информационной безопасности

В программном обеспечении Microsoft для управления сетевым доступом была выявлена критически опасная уязвимость.

Появилась атака, которая поволяет сменить пароли пользователей системы Active Directory и потенциально получить доступ к уязвимым системам. 

В исследовании говорится, уязвимость заключается в протоколе NTLM для аутентификации. Все версии Windows старше XP SP3 используют NTLM по умолчанию, тогда как все остальные версии Windows — более новый протокол Kerberos. NTLM уязвим перед так называемой атакой Pass-the-Hash, в которой атакующий получает данные логинов и может применять математические репрезентации для них (хеш-функции) для вычисления пароля с последующим доступом.

Эксперты говорят, что атаки подобного рода — одни из самых популярных, когда нужно получить данные, с системы, где нет уязвимого ПО. Кроме того, pass-the-hash представляет собой один из самых простых и популярных способов атаки на системы Single Sign-On, в которых реквизиты хранятся удаленно.

По словам экспертов, блокировка SSO отчасти может решить проблему, но ограничит функционал. Либо предприятия могут отказаться от NTLM в пользу kerberos.

Полный отчёт можно прочитать тут.

Possibly Related Posts:

• Ставка только на Линукс — это ошибка
• В эфире Antimalware Live эксперты обсудят безопасную разработку
• II Всероссийская научная школа-семинар «Современные тенденции развития методов и технологий защиты информации»
• Кибербезопасность умных городов: вызовы, проблемы, решения
• XVI Международный форум по международной информационной безопасности

Разработчики проекта OpenBSD представили первый выпуск LibreSSL (форк OpenSSL), нацеленный на обеспечение более высокого уровня безопасности. Из особенностей LibreSSL можно отметить ориентацию на качественную поддержку протоколов SSL/TLS с удалением излишней функциональности и проведением значительной чистки и переработки кодовой базы. При разработке LibreSSL также проводится работа по повышению читаемости кода, добавлению дополнительных средств защиты и устранению ошибок.

Переносимая версия LibreSSL пригодна для использования в различных операционных системах и не ограничивается работой в окружении OpenBSD. Для обеспечения переносимости используется та же техника, что и для других проектов из состава OpenBSD: основной исходный код по возможности не трогается, а недостающие компоненты добавляются в рамках отдельного подпроекта, LibreSSL Portable. Это позволяет сохранять читабельность кода, что в свою очередь уменьшает издержки на его поддержку и вероятность пропуска ошибок.

Данный релиз предназначен для получения обратной связи от сообщества. Работа пакета протестирована в OpenBSD, Linux, Solaris, OS X и FreeBSD. По мере появления заинтересованности количество поддерживаемых платформ будет увеличиваться. Интеграция LibreSSL в состав OpenBSD ожидается в ближайшем выпуске 5.6, который намечен на 1 ноября.

Среди внесённых изменений:

• Удалена поддержка всех движков шифрования (кроме padlock и aesni) и слабых дополнений для получения энтропии.
• Прекращена поддержка устаревших и малоиспользуемых платформ, в том числе Mac OS, NetWare, OS/2 и VMS, прекращена поддержка big-endian для i386 и amd64 (они всегда little-endian).
• Проведена чистка кода от некоторых компонентов, специфичных для платформы Windows. Например, удалён код OPENSSL_isservice и других функций для учёта особенностей не POSIX-систем.
• Удалён весь код, связанный с поддержкой SSL-расширения heartbeat, ошибка в котором привела к катастрофической уязвимости.
• Прекращено использование дополнительных обёрток для различных потенциально небезопасных функций (snprintf, opendir, функции работы с сокетами и т.п.).
• Вызовы strlcat/strlcpy замены на snprintf, связка malloc+memset заменена на calloc.
• Исправлена серия ошибок распределения памяти (например, в некоторых местах почищен двойной вызов free).
• Внесена серия исправлений, связанных с решением проблемы 2038 года.
• Объявлено излишним и удалено собственное кэширование результатов DNS-запросов.
• Удалена поддержка bdes;
• Удалены неиспользуемые ssl-утилиты на Perl;
• Удалена поддержка FIPS API, так как навязываемые сертификацией требования противоречат целям свободного проекта;

По горячим следам выпущен корректирующий релиз LibreSSL 2.0.1, в котором учтены все полученные замечания. В том числе добавлены опции OPENSSLDIR и ENGINESDIR, обеспечена поддержка pkg-config, решены некоторые проблемы с переносимостью (решены проблемы с жестко зашитыми опциями компилятора, такими как «-Werror»), произведена синхронизация со свежей кодовой базой из состава OpenBSD. Релиз на этот раз подписан, посредством разработанной в OpenBSD утилиты signify(1). 

Possibly Related Posts:

• Ставка только на Линукс — это ошибка
• В эфире Antimalware Live эксперты обсудят безопасную разработку
• II Всероссийская научная школа-семинар «Современные тенденции развития методов и технологий защиты информации»
• Кибербезопасность умных городов: вызовы, проблемы, решения
• XVI Международный форум по международной информационной безопасности

Google объявил о запуске нового проекта, в рамках которого нанятые интернет-компанией хакеры займутся поиском и устранением уязвимостей в интернете. 

Проект получил название Project Zero и в рассчитан на выявление в сети  уязвимостей нулевого дня (0-day), то есть багов и различных вредоносных программ, против которых ещё не разработаны механизмы защиты. Руководство компании сочло целесообразным сформировать особый хакерский отдел Project Zero. Теперь они занимаются любимым делом ежедневно, на постоянной основе ломая сайты, веб-сервисы и ПО, получая зарплату за это. Более того, Google объявляет дополнительный набор в штат. 

Все найденные баги загружаются в открытую базу данных.

По словам представителя Google Криса Эванса (Chris Evans), отвечающего за развитие проекта, Project Zero должен помочь снизить общее число пользователей, подвергающихся атакам в интернете, и улучшить защищённость распространённого на сегодняшний день софта.

Кто именно вошёл в команду Project Zero, на каких условиях будут работать её члены и как можно подать заявку на вступление, в Google не уточняют.

Possibly Related Posts:

• Ставка только на Линукс — это ошибка
• В эфире Antimalware Live эксперты обсудят безопасную разработку
• II Всероссийская научная школа-семинар «Современные тенденции развития методов и технологий защиты информации»
• Кибербезопасность умных городов: вызовы, проблемы, решения
• XVI Международный форум по международной информационной безопасности