Рубрика «Новости»

AppChecker’ом по Бляйхенбахеру

Ваш отзыв

Эксперты НПО «Эшелон» в результате исследования открытых программных проектов выявили критическую угрозу для интернет-приложений – возможность проведения атаки Бляйхенбахера! В настоящее время самым эффективным средством для заблаговременного предупреждения данной атаки является статический анализатор кодов AppChecker!

В далеком 1998-м году американский профессор Даниэль Бляйхенбахер показал возможность атаки на алгоритм шифрования RSA, позволяющей злоумышленнику без наличия закрытого ключа получить доступ к зашифрованным сообщениям или осуществить атаку «человек посередине».

Атака Бляйхенбахера может быть заранее предупреждена, благодаря статистическому анализатору AppChecker. C помощью него можно отыскивать всевозможные дефекты кодирования на языках C/C++, Java, PHP и C#.

На сегодняшний день, активно применяя AppChecker, специалисты лаборатории НПО «Эшелон» провели анализ безопасности кода различных opensource-проектов, включая Dolibarr (ERP/CRM), Chamilo LMS (LMS), ocPortal (CMS) и др. Практически во всех случаях были обнаружены бреши, а в одной из них и была найдена критическая уязвимость, позволяющая провести атаку Бляйхенбахера.

К уязвимости приводит следующий фрагмент кода:
function encrypt_data($data)
{

function encrypt_data($data)
if (!openssl_public_encrypt($input,$encrypted,$key))

}

Использование функции openssl_public_encrypt без указания параметра padding приводит к тому, что используется значение по умолчанию — OPENSSL_PKCS1_PADDING. Известно, что этот padding является уязвимым, и с помощью атаки Бляйхенбахера злоумышленник может получить закрытый ключ. Обо всех обнаруженных уязвимостях эксперты НПО «Эшелон» известили разработчиков указанных проектов и бреши были ликвидированы.

«Возможность предупредить атаку Бляйхенбахера – это важнейшее событие в безопасной ИТ-сфере. Разумеется, гораздо эффективнее использовать мощное профилактическое средство AppChecker, чем пожинать столь горькие плоды этой страшнейшей атаки!» — прокомментировал волнующее известие профессор Алексей Сергеевич Марков.

Possibly Related Posts:


Группа компаний «Эшелон» приглашает на InfoSecurity Russia 2018!

Ваш отзыв

21-23 ноября в конгрессно-выставочном центре «Сокольники» (павильон 4.1) пройдет одна из наиболее значимых выставок рынка информационной безопасности InfoSecurity Russia 2018, в которой группа компаний «Эшелон» традиционно примет самое активное участие.

На стенде D3.1 вас ждут встречи и консультации с нашими экспертами, а также демонстрации ведущих разработок.

Читать полностью »

Possibly Related Posts:

Новая версия SIEM-системы КОМРАД: теперь с поддержкой масштабирования и без ограничений на производительность

Ваш отзыв

Группа компаний «Эшелон» представляет обновленную систему управления событиями информационной безопасности КОМРАД. Новая версия SIEM-системы поддерживает возможность масштабирования и включает ряд новых возможностей.

В новой версии:

  • появилась возможность разнесения компонентов системы на отдельные узлы (лицензия Enterprise): коллектор, процессор, коррелятор и узел управления;
  • стала еще удобнее фильтрация событий информационной безопасности;
  • добавлены новые протоколы сбора событий: NetFlow v5/v7;
  • расширены возможности средств аналитики и визуализации данных: появилась функция редактирования диаграмм и создания на их основе шаблонов;
  • изменена схема лицензирования и теперь производительность системы определяется возможностями «железа», а не лицензионными ограничениями.

Программа лицензирования обновленной SIEM-системы КОМРАД предусматривает  три вида лицензий: Base, All-in-one и Enterprise. Лицензия Base подразумевает развертывание на одном узле и поддержку базовых протоколов сбора событий: syslog и ossec, в лицензии All-in-one широкий и постоянно пополняемый список протоколов сбора событий, а лицензия Enterprise позволяет разнести компоненты системы на отдельные узлы.

КОМРАД является самой доступной сертифицированной ФСТЭК России и Минобороны России SIEM-системой на российском рынке информационной безопасности.
Читать полностью »

Possibly Related Posts:

Минкомсвязи: доля отечественного ПО будет повышаться на 10% в год

Ваш отзыв

Согласно дорожной карте развития конкуренции, Минкомсвязи будет отвечать за рост доли отечественного ПО, используемого в том числе в социально-значимых сферах, на 10% в год. В четвертом квартале 2018 г. министерство должно представить правительству доклад о формировании условий недискриминационного участия отечественного ПО в госзакупках.

В России утверждена правительственная дорожная карта по развитию конкуренции в различных отраслях экономики и созданию конкурентного немонополизированного рынка (PDFна файл-сервере CNews). Мероприятия карты охватывают 2018-2020 гг. Помимо других отраслей, в карте присутствуют мероприятия, которые будут реализованы в сфере ИКТ.

В частности, в целях развития конкуренции дорожная карта обязывает Минкомсвязи совместно с Федеральной антимонопольной службой (ФАС) отвечать за повышение доли российского ПО, включая предоставление услуг в формате облачных сервисов, не менее чем на 10% ежегодно. Доля должна повышаться в том числе в социально значимых отраслях, таких как энергетика, жилищно-коммунальное хозяйство, здравоохранение, образование, транспорт и безопасность.

Читать полностью »

Possibly Related Posts:

GDPR: Новые правила обработки персональных данных в EU

Ваш отзыв

Все слышали о General Data Protection Regulation (GDPR) (Regulation (EU) 2016/679), который вступил в силу 25 мая 2018 года. Штрафы большие и придётся соответствовать. Как и любой официальный документ, он написан сухо и может трактоваться по-разному.

Территориальное действие GDPR:

Пару интересных моментов по регламенту:

Читать полностью »

Possibly Related Posts: