/ Безопасность / Шифрование, SSH, SSL | ||
· | 06.10.2024 | Выпуск HTTPS-анализатора Mitmproxy 11 с поддержкой HTTP/3 (64 +14) |
Представлен релиз проекта Mitmproxy 11, развивающего инструментарий для перехвата трафика внутри соединений, установленных по HTTPS, с возможностями инспектирования, модификации и повторного воспроизведения трафика. Основным назначением Mitmproxy является организация отслеживания трафика в корпоративных системах и диагностика проблем, например, выявление скрытой сетевой активности приложений. Исходные тексты проекта написаны на языке Python и распространяются под лицензией MIT...
| ||
· | 20.09.2024 | Релиз OpenSSH 9.9 с поддержкой алгоритма постквантового шифрования ML-KEM (54 +16) |
Опубликован релиз OpenSSH 9.9, открытой реализации клиента и сервера для работы по протоколам SSH 2.0 и SFTP. Основные...
| ||
· | 12.09.2024 | Microsoft добавил алгоритмы постквантового шифрования в библиотеку SymCrypt (94 +9) |
Компания Microsoft объявила об интеграции криптоалгоритмов, стойких к подбору на квантовом компьютере, в открытую библиотеку SymCrypt, предоставляющую базовые криптографические функции, применяемые в таких проектах Microsoft, как Windows, Azure, Microsoft 365, Azure Stack HCI и Azure Linux. Библиотека SymCrypt написана на языке Си и распространяется под лицензией MIT. В Linux библиотека SymCrypt может быть использована сама по себе, в виде движка для OpenSSL и в форме обвязки на языке Rust...
| ||
· | 11.09.2024 | Попытка получения TLS-сертификатов для чужих доменов mobi, используя просроченный домен с WHOIS-сервисом (31 +20) |
Исследователи из компании watchTowr Labs опубликовали результаты эксперимента с захватом устаревшего WHOIS-сервиса регистратора доменной зоны ".MOBI". Поводом для исследования послужило то, что регистратор поменял адрес WHOIS-сервиса, переместив его с домена whois.dotmobiregistry.net на новый хост whois.nic.mobi. При этом домен dotmobiregistry.net перестал использоваться и в декабре 2023 года был освобождён и стал доступен для регистрации...
| ||
· | 06.09.2024 | Атака EUCLEAK, позволяющая клонировать YubiKey 5 и другие ключи на чипах Infineon (107 +19) |
Исследователи безопасности из компании NinjaLab разработали технику атаки по сторонним каналам, позволяющую клонировать ECDSA-ключи, хранимые в криптографических токенах YubiKey 5 и других устройствах, в которых используется криптографическая библиотека от компании Infineon. Атака получила кодовое имя EUCLEAK и помимо токенов с чипами Infineon SLE78, таких как YubiKey 5, может применяться ко многим другим системам с микроконтроллерами компании Infineon, включая чипы Infineon Optiga Trust M и Infineon Optiga TPM...
| ||
· | 28.08.2024 | Выпуск системы шифрования дисковых разделов VeraCrypt 1.26.14 (78 +15) |
После 11 месяцев разработки опубликован выпуск проекта VeraCrypt 1.26.14, развивающего форк системы шифрования дисковых разделов TrueCrypt, прекратившей своё существование. VeraCrypt примечателен заменой используемого в TrueCrypt алгоритма RIPEMD-160 на SHA-512 и SHA-256, увеличением числа итераций хэширования, упрощением процесса сборки для Linux и macOS, устранением проблем, выявленных в процессе аудита исходных текстов TrueCrypt. Разработанный проектом VeraCrypt код распространяется под лицензией Apache 2.0, а заимствования из TrueCrypt продолжают поставляться под лицензией TrueCrypt License 3.0. Готовые сборки формируются для Linux, FreeBSD, Windows и macOS...
| ||
· | 14.08.2024 | NIST стандартизировал три алгоритма постквантового шифрования (102 +19) |
Национальный институт стандартов и технологий США (NIST) представил первые три стандарта, определяющие криптоалгоритмы, стойкие к подбору на квантовом компьютере. Первый стандартизированный алгоритм (CRYSTALS-Kyber) определяет способ инкапсуляции ключей и предназначен для шифрования обмена данными, а два других (CRYSTALS-Dilithium и Sphincs+) реализуют варианты формирования цифровых подписей, которые могут использоваться для решения задач, связанных с аутентификацией. Для того, чтобы избежать путаницы стандартизированные варианты алгоритмов переименованы: CRYSTALS-Kyber в ML-KEM, CRYSTALS-Dilithium в ML-DSA, а Sphincs+ в SLH-DSA. Выбранные алгоритмы разрабатываются с 2016 года и являются победителями ранее объявленного NIST конкурса по разработке алгоритмов постквантовой криптографии...
| ||
· | 12.08.2024 | Уязвимость в поставляемом во FreeBSD варианте OpenSSH, допускающая удалённое выполнение кода (72 +24) |
В поставляемом в составе FreeBSD сервере OpenSSH выявлена уязвимость (CVE-2024-7589), позволяющая добиться удалённого выполнения кода с правами root без прохождения аутентификации. Уязвимость является вариантом выявленной в начале июля проблемы в OpenSSH (CVE-2024-6387) и также вызвана состоянием гонки, возникающем из-за выполнения в обработчике сигналов функций, не рассчитанных на вызов в асинхронном режиме...
| ||
· | 03.08.2024 | Apple опубликовал открытую библиотеку гомоморфного шифрования (70 +14) |
Компания Apple объявила о создании открытой библиотеки с реализацией методов гомоморфного шифрования на языке Swift. Библиотека позволяет создавать приложения, обрабатывающие данные, доступные только в зашифрованном виде, без промежуточной расшифровки ни на одном из этапов вычислений. На выходе выдаётся зашифрованный результат, который аналогичен шифрованию результата выполнения тех же вычислений над исходными незашифрованными данными. Код проекта распространяется под лицензией Apache 2.0. Реализация основана на схеме BFV (Brakerski-Fan-Vercauteren), которая, в свою очередь, основана на задаче обучения с ошибками в кольце (RLWE), защищённой от криптоанализа квантовыми компьютерами. Низкоуровневые примитивы для шифрования используются из библиотеки Swift Crypto...
| ||
· | 24.07.2024 | Реструктуризация проекта OpenSSL. Переход под крыло OpenSSL библиотек Bouncy Castle и Cryptlib (96 –10) |
Разработчики криптографической библиотеки OpenSSL объявили о полном преобразовании структуры и методов управления проектом. Для поддержания миссии проекта созданы два равноправных подразделения - некоммерческая организация OpenSSL Foundation и коммерческая компания OpenSSL Corporation, сфокусированные на интересах некоммерческого сообщества и коммерческих предприятий. Оба подразделения функционируют полностью независимо и имеют раздельные процессы принятия решений...
| ||
· | 18.07.2024 | Атака Port Shadow, позволяющая перенаправлять соединения других пользователей VPN и Wi-Fi (28 +14) |
Группа исследователей из канадских и американских университетов разработала технику атаки Port Shadow, позволяющую через манипуляцию с таблицами трансляции адресов на стороне VPN-сервера добиться отправки ответа на запрос другому пользователю, подключённому к тому же VPN-серверу. Метод может быть использован для организации перехвата или перенаправления шифрованного трафика, проведения сканирования портов и деанонимизации пользователей VPN. В качестве примера показано как можно использовать метод для перенаправления на хост атакующего DNS-запросов пользователя, работающего через VPN-сервер, к которому в качестве клиента имеет возможность подключиться атакующий...
| ||
· | 14.07.2024 | Доступна система фильтрации спама Rspamd 3.9 (19 +17) |
Состоялся релиз системы фильтрации спама Rspamd 3.9, предоставляющей средства для оценки сообщений по различным критериям, включая правила, статистические методы и чёрные списки, на основе которых формируется итоговый вес сообщения, используемый для принятия решения о необходимости блокировки. Rspamd поддерживает практически все возможности, реализованные в SpamAssassin, и имеет ряд особенностей, позволяющих фильтровать почту в среднем в 10 раз быстрее, чем SpamAssassin, а также обеспечивать лучшее качество фильтрации. Код системы написан на языке Си и распространяется под лицензией Apache 2.0...
| ||
· | 09.07.2024 | Уязвимость в пакетах с OpenSSH из состава RHEL 9, допускающая удалённое выполнение кода (133 +14) |
В процессе изучения выявленной на прошлой неделе критической уязвимости в OpenSSH, обнаружена ещё одна похожая уязвимость (CVE-2024-6409), позволяющая добиться удалённого выполнения кода без прохождения аутентификации. Новая уязвимость не столь опасна как прошлая, так как проявляется после сброса привилегий в запущенном SSH-сервером дочернем процессе. Уязвимость присутствует в пакетах openssh из дистрибутива Red Hat Enterprise Linux 9, основанных на опубликованном в 2021 году выпуске OpenSSH 8.7. Проблема также затрагивает пакеты для Fedora Linux 36 и 37, основанные на выпусках OpenSSH 8.7 и 8.8...
| ||
· | 06.07.2024 | Выпуск GnuPG 2.5.0 с поддержкой ключей, устойчивых к подбору на квантовых компьютерах (49 +22) |
Спустя полтора года с момента формирования прошлой значительной ветки представлен выпуск инструментария GnuPG 2.5.0 (GNU Privacy Guard), совместимого со стандартами OpenPGP (RFC-4880) и S/MIME, и предоставляющего утилиты для шифрования данных, работы с электронными подписями, управления ключами и доступа к публичным хранилищам ключей. Код проекта написан на языке Си и распространяется под лицензией GPLv3...
| ||
· | 05.07.2024 | Разработчик WireGuard серьёзно ускорил вызов getrandom() в Linux (122 +58 ↻) |
Джейсон Доненфилд (Jason A. Donenfeld), автор VPN WireGuard, представил патчи, значительно ускоряющие получение случайных чисел от системы через функцию getrandom(), реализованную через соответствующий системный вызов Linux. Преимуществом такого решения по сравнению с использованием /dev/random или /dev/urandom является неподверженность атакам на исчерпание файловых дескрипторов, которые могут привести к неинициализированным и неслучайным криптографическим ключам...
| ||
Следующая страница (раньше) >> |
Закладки на сайте Проследить за страницей |
Created 1996-2024 by Maxim Chirkov Добавить, Поддержать, Вебмастеру |