 |
AppChecker’ом по Бляйхенбахеру
В далеком 1998-м году американский профессор Даниэль Бляйхенбахер показал возможность атаки на алгоритм шифрования RSA, позволяющей злоумышленнику без наличия закрытого ключа получить доступ к зашифрованным сообщениям или осуществить атаку «человек посередине».
Атака Бляйхенбахера может быть заранее предупреждена, благодаря статистическому анализатору AppChecker. C помощью него можно отыскивать всевозможные дефекты кодирования на языках C/C++, Java, PHP и C#.
На сегодняшний день, активно применяя AppChecker, специалисты лаборатории НПО «Эшелон» провели анализ безопасности кода различных opensource-проектов, включая Dolibarr (ERP/CRM), Chamilo LMS (LMS), ocPortal (CMS) и др. Практически во всех случаях были обнаружены бреши, а в одной из них и была найдена критическая уязвимость, позволяющая провести атаку Бляйхенбахера.
К уязвимости приводит следующий фрагмент кода:
function encrypt_data($data)
{
...
if (!openssl_public_encrypt($input,$encrypted,$key))
...
}
Использование функции openssl_public_encrypt без указания параметра padding приводит к тому, что используется значение по умолчанию - OPENSSL_PKCS1_PADDING. Известно, что этот padding является уязвимым [https://framework.zend.com/security/advisory/ZF2015-10] и с помощью атаки Бляйхенбахера злоумышленник может получить закрытый ключ.
Обо всех обнаруженных уязвимостях эксперты НПО «Эшелон» известили разработчиков указанных проектов и бреши были ликвидированы.
«Возможность предупредить атаку Бляйхенбахера – это важнейшее событие в безопасной ИТ-сфере. Разумеется, гораздо эффективнее использовать мощное профилактическое средство AppChecker, чем пожинать столь горькие плоды этой страшнейшей атаки!» - прокомментировал волнующее известие профессор Алексей Сергеевич Марков.
Контактное лицо: Алеся Данилкович
Компания: АО "НПО "Эшелон"
Добавлен: 23:21, 01.04.2019
Количество просмотров: 377
Страна: Россия
| Юрий Чернышов, UDV Group: Цифровая гигиена — основа безопасности Comnews, UDV Group, 20:19, 03.11.2025, Россия332 |
| Доцент УНЦ «Искусственный интеллект» УрФУ, руководитель исследовательского центра UDV Group Юрий Чернышов дал комментарий изданию Comnews о том, что срочное формирование «цифровой гигиены» и просвещение разных групп пользователей необходимы для снижения рисков при работе с ИИ и чат-ботами, а конфиденциальные данные нельзя передавать недоверенным сервисам. |
| «1С-Рарус» в 5 раз ускорил маркировку химических препаратов «ПРО-БРАЙТ», 1С-Рарус, 23:28, 02.11.2025, Россия439 |
| «1С-Рарус» создал модуль интеграции оборудования с подсистемой маркировки в типовых программах 1С. Проект реализован для конвейерной линии производителя профессиональной химии «ПРО-БРАЙТ». С помощью разработки «1С-Рарус», встроенной в систему управления предприятием «1С:ERP», в 5 раз ускорена маркировка и упаковка продукции, обеспечена передача данных в ГИС «Честный знак». |
|
|
