Архив по тэгу 'Информационная безопасность'
Опубликовано: 12 февраля 2016 года
Обнаруженная в iOS ошибка позволяет сломать аппарат на время – до тех пор, пока не сядет его батарея. В противном случае устройство можно отнести в техподдержку Apple, где его починят тут же.
Ошибка возникает, когда пользователь пытается установить определенную дату и время.
«Ошибка 1970»
В операционной системе iOS, под управлением которой работают iPhone, iPad и iPod touch, найдена ошибка, из-за которой устройство может перестать работать после простой смены текущей даты. Пользователь, обнаруживший ошибку, рассказал о ней на сайте Reddit под ником vista980622.
Сообщение vista980622 было опубликовано сутки назад и за это время набрало свыше 500 комментариев.
Новая ошибка была негласно названа «Ошибкой 1970».
Описание проблемы
«Если на устройстве с 64-разрядной iOS поставить текущей датой 1 января 1970 г., устройство не сможет загрузиться.
Подключение к iTunes и восстановление заводских настроек не возвращают работоспособность устройства. Починить его можно лишь физически», — рассказал владелец.
Автор настоятельно рекомендовал пользователям не пробовать устанавливать указанную дату.
Он добавил, что ошибку могут эксплуатировать злоумышленники для массового вывода устройств из строя . Например, когда устройство подключается к публичной сети Wi-Fi, оно синхронизует свое время с сервером точного времени.
Злоумышленники могут внедрить в публичную сеть вредоносный код, который будет выводить из строя каждый подключенный к нему iPhone и iPad путем автоматического перевода даты.
Суть проблемы
По мнению пользователя princekolt, написавшего комментарий к записи vista980622, проблема кроется в методе представления времени во всех UNIX-подобных системах, к которым, в том числе относится, iOS. Дело в том, что текущее время в них определяется исходя из количества секунд, пройденных с полуночи 1 января 1970 г. всемирного координированного времени.
При переводе даты на iOS на 1 января 1970 г. и времени на 0:00, если пользователь находится, например, в Нью-Йорке, iOS решает, что время имеет отрицательную величину (-5 часов всемирного координированного времени). Происходит попытка присвоить беззнаковому типу переменной отрицательное значение, в результате чего происходит сбой в ядре операционной системы.
Решение
После возникновения сбоя в ядре iOS вернуть работоспособность устройства можно двумя способами.
Читать запись полностью »
Опубликовано: 11 февраля 2016 года
Директор Национальной разведки США Джеймс Клеппер заявил, что набирающая популярность концепция «интернет вещей» поможет разведывательным службам делать свою работу.
Впервые чиновник подобного ранга признал намерение использовать новые технологии в слежке и наблюдении за людьми.
В будущем разведывательные службы США смогут использовать интернет вещей (Internet of Things — IoT) для идентификации и определения местоположения людей, а также для наблюдения за их действиями и перемещениями, а также для получения доступа к компьютерным сетям и учетным данным пользователей.
Об этом комиссии Сената США в рамках доклада о национальных угрозах заявил директор Национальной разведки США Джеймс Клеппер (James Clapper) .
Как отмечает Guardian, эта возможность впервые была оглашена высокопоставленным чиновником США официально.
Недавнее исследование
В начале февраля 2016 г. исследователи из Беркманского центра изучения интернета и общества при Гарвардской юридической школе пришли к выводу, что развитие интернета вещей отрицательно скажется на неприкосновенности частной жизни. П
о их данным, рост количества сигналов, с помощью которых устройства будут обмениваться друг с другом данными, в конечном счете приведет к тому, что технологии шифрования уже не будут играть для разведывательных служб столь важную роль, как сейчас.
Раздутые заявления
В своем обращении к комиссии Клеппер, к слову, технологии шифрования тоже затронул. Он заявил, что они «оказывают негативное влияние на способность собирать данные». Однако в докладе исследователей фигурирует иная точка зрения.
ФБР и другие ведомства второй год сетуют на то, что шифрование данных усложняет их работу. Но в действительности мир находится в преддверии «золотой эры для наблюдателей», которая наступит благодаря именно интернету вещей.
За примером далеко ходить не надо
В феврале 2015 г. в центре внимания оказалась политика конфиденциальности, которую принимают все пользователи «умных» телевизоров Samsung. В ней говорится, что с помощью телевизора компания может записывать речь находящихся в комнате людей, поэтому им, в присутствии телевизора, не стоит делиться какими-то секретами.
В действительности запись речи предназначена для улучшения функции распознавания голоса для голосового управления телевизором.
Читать запись полностью »
Опубликовано: 9 февраля 2016 года
Многие пользователи Apple iPhone столкнулись с «ошибкой 53» после обновления до iOS 9, после чего больше не могут воспользоваться своими смартфонами.
Проблема затронула тысячи устройств и связана с тем, что они когда-либо были отремонтированы в неавторизованном сервис-центре.
Отключение iPhone по всему миру
Тысячи владельцев Apple iPhone по всему миру лишились возможности использовать свои смартфоны: после обновления до iOS 9 на экране возникло сообщение об «ошибке 53» и что-либо сделать оказалось невозможно — устройство переставало работать, все данные были удалены.
Первые сообщения об этом появились еще осенью 2015 г. после выхода iOS 9, но сейчас она приняла масштабный характер, сообщает Guardian.
Как выяснилось, «ошибка 53» появилась на всех тех смартфонах, датчик отпечатка пальца в которых был отремонтирован не в авторизованном сервис-центре.
«Проблема возникает, если ремонтник что-либо изменил в кнопке „Домой“ или кабеле к ней. После обновления софт проверяет, по прежнему ли используются оригинальные компоненты. Если это не так, то он блокирует устройство. Нет никаких предупреждений об этом, а также нет известного мне способа реанимировать смартфон после этого», — рассказал эксперт сайта iFixit Кайл Вайнс (Kyle Wiens).
Некоторые пользователи сообщили, что они столкнулись с «ошибкой 53», хотя никогда не отдавали мобильник в ремонт, хотя наносили ему до этого незначительные повреждения, например, в результате падения на асфальт. После этого устройство продолжило исправно функционировать, поэтому они не несли его в ремонт.
Отсутствие способов решить проблему
Примечательно, что Apple никогда не предупреждала пользователей своей продукции о том, что она может перестать работать, если ремонт произвести не в авторизованном сервис-центре.
«Лишь немногие сотрудники техподдержки Apple могут объяснить, что произошло, если вообще у вас получится добиться от них объяснений, — поделился автор ресурса iCracked Рубен Эспарза (Reuben Esparza). — И никакого решения: ни ни аппаратного, ни программного. Ни способа обратно получить доступ к памяти устройства. Единственный способ выхода из ситуации — новый iPhone».
Комментарий Apple
Читать запись полностью »
Опубликовано: 3 февраля 2016 года
Россия по итогам 2015 года стала третьей в рейтинге жертв ddos-атак. Такие выводы сделали спецалисты провайдера защиты DDoS-GUARD.
Больше всего паразитного трафика поступало в 2015 году на ресурсы из Китая — 43%. Второе место в этом антирейтинге у США — с результатом в 29%. На третьем месте Россия с 28%. Процентное соотношение было рассчитано исходя из среднего количества атак на 1000 ресурсов из каждой страны за год.
Если говорить про клиентов со всего мира, всего за 2015 год было зафиксировано 50146 DDoS-атак на клиентов компании, в среднем — по 137 атак в день, по 5 атак в час.
Это на 37 % больше, чем в 2014 году (с поправкой на возросшее число клиентов компании).
При этом самым «горячим» кварталом был первый (январь, февраль, март), в это время была зафиксирована 14321 атака.
Самый насыщенный атаками месяц оказался январь — было зафиксировано 6102 атаки. Это объясняется желанием хакеров нанести наибольший урон сайтам, пик посещаемости которых приходится на праздничное время и каникулы (торренты, интернет-магазины, игровые проекты и т.п.).
Это же подтверждается анализом «жертв» атак по специфике деятельности. Если рейтинговать, то соотношение атак выглядит так:
- Хостинги — 21,5 %,
- Игровые проекты — 18 %,
- Торрент-трекеры — 16,9 %,
- СМИ — 16,7 %,
- Интернет-магазины — 15%,
- Другое — 11,9%.
Специалисты также отмечают, что выросла мощность атак.
Атак мощностью более 100 Гбит/с в 2015 году по сравнению с прошлым годом стало больше примерно на 5 %, количество мегамощных (более 200 Гбит/с) выросло в 4 раза.
Общее количество мощных атак (свыше 100 Гбит/сек) — 111. Количество мегамощных атак (свыше 200 Гбит/сек) — 12.
Средняя мощность атак выросла в 1,5 раза и достигла 1,37 Гбит/сек. Самая мощная атака превысила 242 Гбит/сек, это на 36% мощнее рекорда 2014 года.
Читать запись полностью »
Опубликовано: 23 января 2016 года
Компания SplashData, специализирующаяся в области компьютерной безопасности, составила список самых слабых и неудачных паролей по итогам 2015 года.
Антирейтинг основан на более чем двух миллионах ключевых фраз, просочившихся в Интернет за последний год, сообщает anti-malware.ru.
Аналитики SplashData отметили тенденцию прошлого года, согласно которой пароли стали длиннее, однако многие из них по-прежнему легко отгадать из-за простой последовательности букв или цифр.
Два примера крайне неудачных паролей: «1234567890» и «qwertyuiop», которые можно набрать с помощью верхнего ряда клавиш на обычной клавиатуре с QWERTY-раскладкой.
Кроме того, в 2015 году многих людей на выбор пароля вдохновила тематика фильма «Звездные войны». Выход в прокат «Эпизода VII: Пробуждение Силы» породил такие неустойчивые ко взлому фразы, как «starwars», «solo» и «princess».
Эксперты призывают быть внимательнее и не использовать один и тот же пароль от почты, интернет-банка и других онлайн-сервисов.
Защищенный пароль должен содержать не менее восьми символов, включать цифры и буквы в верхнем и нижнем регистре, а также специальные символы (например, подчеркивания, доллара или процента).
Сгенерировать надежную комбинацию помогут менеджеры паролей, такие как 1Password, LastPass или Dashlane.
Еще один способ обезопасность свой аккаунт — подключить двухфакторную авторизацию, которая подразумевает ввод PIN-кода, приходящего в виде СМС на телефон. Функцию усиленной защиты поддерживают, в частности, Gmail, «ВКонтакте», Twitter и Microsoft.
Полный список худших паролей 2015 года по версии SplashData выглядит так (в скобках указаны изменения с прошлым годом):
Читать запись полностью »
Опубликовано: 17 января 2016 года
Американская корпорация Microsoft на днях прекратила техподдержку и выпуск обновлений для устаревших версий интернет-браузера Internet Explorer (IE) 7, 8, 9 и 10, которые сейчас используют многие государственные организации.
Для продолжения стабильной работы в системе госзакупок ее участникам, возможно, придется заплатить американской компании не менее 12 млрд руб. Игроки рынка напоминают, что в России есть ПО, альтернативное американскому, однако софт Microsoft применяет большинство госучреждений.
О том, что национальные госзакупки находятся под угрозой, рассказал президент Ассоциации директоров по закупкам Андрей Черногоров.
Техническая поддержка и обновления безопасности с 12 января 2016 года доступны лишь пользователям Internet Explorer 11. Однако вся инфраструктура электронных подписей для проведения электронных торгов в госкомпаниях России через электронные торговые площадки (ЭТП) базируется на браузере IE, причем на ранних версиях.
По словам Андрея Черногорова, проблема коснулась корневого ПО, которым пользуются все участники электронных торгов, а это более 600 тыс. организаций и физических лиц. Ежегодно в России проходит 5 млн электронных торгов, а электронные подписи имеют не менее 3 млн субъектов. Для корректной работы системы онлайн-тендеров они будут обязаны установить на компьютерах исполнителей торгов новую Windows 8, а это сопряжено с финансовыми затратами.
Как считает Андрей Черногоров, действия Microsoft недобросовестны.
«Мы имеем дело с нерыночными методами давления на отечественные компании. Для продолжения корректной работы в системе госзакупок они теперь обязаны не просто обновить браузер IE, но и купить по полной стоимости лицензию на новую ОС Windows», — недоволен он.
Новое ПО придется поставить не менее чем на 1,5 млн рабочих мест. По его данным, стоимость одной лицензии на новую ОС Windows составляет не менее 8 тыс. руб., а суммарно участникам закупок придется потратить не менее 12 млрд руб.
Представитель удостоверяющего центра (УЦ) Единой Электронной торговой площадки (ЕЭТП) Павел Соколов напомнил, что взаимоотношения сферы госзакупок с продуктами IE начались еще в 2004 г.
В те времена Microsoft выпустила релиз свободно распространяемого набора средств разработки Platform SDK CAPICOM, который можно было использовать для цифровой подписи данных, подписывания кода, проверки цифровых подписей, обработки данных в целях конфиденциальности и т.п. Этот модуль получил массовое распространение в закупках. Однако с 2012 г. Microsoft прекратила развитие модуля. Тем не менее российский сегмент госзакупок не перестал его использовать.
Читать запись полностью »
Опубликовано: 26 декабря 2015 года
Все более популярными в сфере корпоративных информационных технологий становятся облака, вместе с этим меняются и потребности в обеспечении безопасности данных. Вслед за облачными сервисами для бизнеса появились облачные сервисы для информационной безопасности, или безопасность как услуга.
Безопасность из облака для облака
Безопасность как услуга, или Security as a Service (SecaaS) — это бизнес-модель, в которой сервис-провайдер услуг безопасности интегрирует свои сервисы в корпоративную инфраструктуру заказчика. При этом совокупная стоимость владения для компании снижается за счет облачной архитектуры решений, оплаты сервисов по подписке и отсутствия капитальных затрат для заказчика.
Методика расчета TCO для SecaaS и сравнения с традиционными (on-premise) решениями достойна отдельной будущей статьи, но уже в самом определении заложена экономическая целесообразность SecaaS. Но только ли низким TCO, обеспечиваемым за счет многопользовательской архитектуры и масштабности, может заинтересовать SecaaS потенциального заказчика?
Некоторые категории SecaaS уже привычны — антивирусная и антиспам-фильтрация электронной почты в облаке, сервисы по защите от DDoS-атак. Все больше подсистем безопасности уходят в облако, так как это позволяет защищать данные в новых ИТ-системах и приспосабливаться к быстро меняющейся ИТ-инфраструктуре.
SecaaS-решения, базирующиеся на облачных технологиях, в отличие от традиционных средств защиты (on-premise), архитектурно лучше подходят для защиты данных в новой ИТ-инфраструктуре, к которой относятся:
- Мобильные сотрудники с ноутбуками, смартфонами и планшетами. Пример — традиционные средства контроля веб-доступа и URL-фильтрации, устанавливаемые внутри периметра компании, не способны защищать доступ удаленных сотрудников с их разнообразных устройств. SaaS-решение для веб-фильтрации, использующее ближайший к пользователю сервер фильтрации и агентов на ноутбуках и мобильных устройствах, решает эту задачу.
- Увеличивающийся набор SaaS-бизнес-приложений. Пока традиционные вендоры адаптировались к облачным бизнес- и консьюмерским приложениям, появился целый класс решений SaaS IDM и Access Management для управления учетными записями в SaaS-системах.
- Динамичная и масштабируемая инфраструктура веб-приложений. Пример: традиционный «коробочный» Web Application Firewall, устанавливаемый внутри периметра, не сможет защитить веб-приложение, динамически развернутое в нескольких дата-центрах. Невозможно перенести уже купленный «железный» WAF в облако Amazon или Azure. Нельзя настроить «коробочный» WAF на работу с несколькими резервными дата-центрами для обработки трафика одного веб-приложения — если, конечно, компания не приобретет несколько «коробок», что непременно увеличит TCO. Облачный Web Application Firewall, предоставляемый по SaaS-модели, способен экономически эффективно справиться с задачей защиты веб-приложений в современных инфраструктурах.
- Облачные серверы, инфраструктура как сервис (IaaS), гибридные облака. Для примера возьмем базовые подсистемы безопасности — межсетевое экранирование и обнаружение вторжений. В традиционной корпоративной инфраструктуре эти подсистемы безопасности реализуются на аппаратных платформах. Но для серверов в публичной или гибридной IaaS-инфраструктуре необходимы более гибкие решения — так на сцену вышли host-based средства сетевой безопасности. Наибольшую ценность и удобство управления предоставляют SecaaS-решения, которые интегрируются с интерфейсами управления IaaS-платформы.
Читать запись полностью »
Опубликовано: 20 декабря 2015 года
Исследователи по безопасности обнаружили необычную уязвимость в Linux-загрузчике Grub2. Она позволяет войти в аварийную консоль загрузчика, просто 28 раз нажав на клавишу Backspace.
28 нажатий на Backspace
Войти в аварийную консоль Linux-загрузчика Grub2, минуя ввод пароля, можно просто нажав 28 раз подряд клавишу Backspace. Такую необычную находку обнаружили исследователи Гектор Марко (Hector Marco) и Исмаэль Риполл (Ismael Ripoll) из Политехнического университета Валенсии в Испании, сообщает Motherboard. Grub2 служит для загрузки ядра операционной системы и используется в большинстве дистрибутивов Linux, включая Ubuntu.
По словам Марко, «количество уязвимых систем не поддается подсчету».
Затронутые версии Ubuntu
Брешь затрагивает все поддерживаемые дистрибутивы Ubuntu, в том числе Ubuntu 15.10, Ubuntu 15.04, Ubuntu 14.04 LTS и Ubuntu 12.04 LTS, а также производные, сообщили в компании Canonical, занимающейся разработкой Ubuntu.
При этом уязвимость содержится в версиях Grub2 начиная с 1.98 (дата выхода — декабрь 2009 г.) и заканчивая 2.02 (дата выхода — декабрь 2015 г).
Canonical опубликовала на своем сайте инструкцию, как исправить данную ошибку. Уязвимости был присвоен номер CVE-2015-8370.
Читать запись полностью »
Опубликовано: 27 ноября 2015 года
По указу правительства полиция Китая приступила на прошлой неделе к отключению абонентов мобильной связи, использующих на своих устройствах приложения для обхода интернет-цензуры или иностранные мессенджеры, такие как WhatsApp и Telegram, сообщает New York Times.
Издание добавило, что меры были введены вскоре после терактов в Париже. Пользователи сообщили на условиях анонимности, что они проживают в Синьцзян-Уйгурском автономном районе Китая. О жалобах из других районов не сообщается.
По словам абонентов, незадолго до отключения мобильной связи они получили SMS-сообщение от оператора со следующим содержанием:
«По требованию полиции и согласно действующему законодательству, мы отключим ваш номер от сети сотовой связи в течение двух часов. Если у вас есть вопросы, пожалуйста, немедленно обратитесь в местный полицейский участок».
Название оператора не уточняется.
Пояснение полиции
Один из абонентов рассказал, что, когда позвонил в полицию, ему сообщили, что они отключают всех, кто использует средства связи без идентификации личности. К таким средствам связи относятся виртуальные частные сети (Virtual Private Network — VPN), позволяющие обходить интернет-цензуру («Великий китайский фаервол»).
Также описанные меры касаются тех, кто использует иностранные мессенджеры, хотя они и привязываются к номеру телефона, то есть позволяют выяснить личность абонента.
Китайское правительство давно заботят средства обхода интернет-цензуры, такие как VPN. Однако ранее оно не прибегало к столь радикальным мерам, как отключение абонентов, пользующихся подобными инструментами.
Почему происходят отключения
В последнее время официальный Пекин неоднократно заявлял о том, что интернет служит средством для распространения экстремизма в Синьцзян-Уйгурском автономном районе. Правозащитники предупреждали, что многие жители района недовольны тем, что государство ограничивает права местной тюркской этнической группы.
Читать запись полностью »
Опубликовано: 28 сентября 2015 года
22 сентября 2015 года был зарегистрирован и вступил в силу совместный Приказ Министерства связи и массовых коммуникаций Российской Федерации, Федеральной службы охраны Российской Федерации от 27.05.2015 № 186/258 «Об утверждении Требований к организационно-техническому взаимодействию государственных органов и государственных организаций посредством обмена документами в электронном виде» (зарегистрирован в Минюсте России 22.09.2015 № 38956).
Помимо общих положений, в рамках правил обмена электронными документами приказ, в частности, определяет требования к форматам файла документа и электронной подписи (ЭП), а также требования к так называемому транспортному контейнеру и правила визуального отображения документов в электроном виде, подписанных ЭП.
Реакция отрасли
Председатель совета директоров компании ЭОС Владимир Баласанян в разговоре с CNews заверил, что он, как и многие его коллеги, склонен приветствовать появление нового нормативного акта.
«Это конкретный шаг на пути перехода от работы с бумажными документами или их сканами к работе с электронными подлинниками», — считает он.
Баласанян отмечает, что выпуск приказа растянулся более чем на два года, и в том, что он, наконец, согласован и принят, глава ЭОС усматривает заслугу, в первую очередь, сотрудников из департамента проектов по информатизации Минкомсвязи.
В принятии и согласовании приказа эксперты в первую очередь усматривают заслугу департамента проектов по информатизации Минкомсвязи
Значимость принятого документа отметил и директор направления ЕСМ компании TerraLink Александр Бейдер.
«Любая регламентация в области электронного обмена, которая устанавливает правила и стандарты, пусть даже только для госорганов — это важно и полезно, — заверил он. — Очень хорошо, что движение в этом направлении идет, и, будем надеяться, что оно станет корректироваться с учетом достигнутых результатов и потребностей участников обмена».
Впрочем, отношение отрасли все же нельзя назвать однозначным. У того же Баласаняна акт вызывает смешанные чувства.
«Дело даже не в том, что документ, конечно же, несовершенен, а в том, столько усилий и времени понадобилось для решения весьма скромной задачи — почтового обмена электронными подлинниками между участниками системы межведомственного электронного документооборота — МЭДО», — сокрушается он.
Общие требования
Читать запись полностью »