 |
AppChecker’ом по Бляйхенбахеру
В далеком 1998-м году американский профессор Даниэль Бляйхенбахер показал возможность атаки на алгоритм шифрования RSA, позволяющей злоумышленнику без наличия закрытого ключа получить доступ к зашифрованным сообщениям или осуществить атаку «человек посередине».
Атака Бляйхенбахера может быть заранее предупреждена, благодаря статистическому анализатору AppChecker. C помощью него можно отыскивать всевозможные дефекты кодирования на языках C/C++, Java, PHP и C#.
На сегодняшний день, активно применяя AppChecker, специалисты лаборатории НПО «Эшелон» провели анализ безопасности кода различных opensource-проектов, включая Dolibarr (ERP/CRM), Chamilo LMS (LMS), ocPortal (CMS) и др. Практически во всех случаях были обнаружены бреши, а в одной из них и была найдена критическая уязвимость, позволяющая провести атаку Бляйхенбахера.
К уязвимости приводит следующий фрагмент кода:
function encrypt_data($data)
{
...
if (!openssl_public_encrypt($input,$encrypted,$key))
...
}
Использование функции openssl_public_encrypt без указания параметра padding приводит к тому, что используется значение по умолчанию - OPENSSL_PKCS1_PADDING. Известно, что этот padding является уязвимым [https://framework.zend.com/security/advisory/ZF2015-10] и с помощью атаки Бляйхенбахера злоумышленник может получить закрытый ключ.
Обо всех обнаруженных уязвимостях эксперты НПО «Эшелон» известили разработчиков указанных проектов и бреши были ликвидированы.
«Возможность предупредить атаку Бляйхенбахера – это важнейшее событие в безопасной ИТ-сфере. Разумеется, гораздо эффективнее использовать мощное профилактическое средство AppChecker, чем пожинать столь горькие плоды этой страшнейшей атаки!» - прокомментировал волнующее известие профессор Алексей Сергеевич Марков.
Контактное лицо: Алеся Данилкович
Компания: АО "НПО "Эшелон"
Добавлен: 23:21, 01.04.2019
Количество просмотров: 293
Страна: Россия
| ЕДИНЫЙ ЦУПИС и «Флант» стали лауреатами премии РБК Digital Awards, ЕДИНЫЙ ЦУПИС (НКО "Мобильная карта"), 02:19, 10.04.2024, Россия883 |
| ЕДИНЫЙ ЦУПИС и российская ИТ-компания «Флант» получили премию Digital Awards РБК Петербург за первое внедрение в финтех-отрасли платформы Deckhouse Kubernetes Platform. В исследовании отмечено, что платформа соответствует высоким регуляторным требованиям по безопасности, устойчивости и импортонезависимости. |
| 1С:Фастфуд. Фронт-офис прошел тестирование «Совместимо!», 1С-Рарус, 02:18, 10.04.2024, Россия886 |
| Отраслевой продукт Центра разработки «1С-Рарус» прошел сертификацию «Совместимо! Система программ 1С:Предприятие». Сертификат получил 1С:Фастфуд. Фронт-офис, предназначенный для автоматизации процессов обслуживания гостей. |
| Домклик перешел на безбумажный документооборот от HRlink, HRlink, 05:13, 09.04.2024, Россия183 |  |
| Онлайн-сервис Домклик перевел кадровый документооборот в электронный формат с помощью программного решения от HRlink. Половина сотрудников перешла на кадровый ЭДО в первый же месяц проекта. Сейчас сервис используют более 1000 человек. |
| PRO32 составил рейтинг городов с повышенным диджитал-аппетитом, PRO32, 05:13, 09.04.2024, Россия172 |
| В число лидеров рейтинга самых “голодных до IT” городов вошли Ростов-на-Дону, Краснодар и Самара. К такому выводу пришли эксперты PRO32, проанализировав интересы россиян и выяснив, жители каких городов-миллионников чаще всего ищут информацию про антивирусы, таск-трекеры, удаленный доступ и другие технологичные продукты. |
| «ДиалогНаука» и Xello участвуют в CISO-Forum 2024, АО ДиалогНаука, 05:09, 09.04.2024, Россия199 |
| Компания «ДиалогНаука», системный интегратор в области информационной безопасности, и компания Xello, разработчик первой российской платформы класса DDP, совместно участвуют в 17-ом Межотраслевом Форуме «CISO-Forum 2024». Мероприятие состоится 12 апреля 2024 года в Москве в технологическом кластере «Ломоносов». |
|
|
