Архив категории 'Информационная безопасность'
Опубликовано: 6 марта 2015 года
Россия является наиболее искусным противником США в киберпространстве, считает директор Национальной разведки США Джеймс Клеппер, отмечая, что по сложности и скрытости кибератак Россия превзошла Китай.
В ходе презентации доклада «Международная оценка угроз разведывательному ведомству США» на собрании комитета сената США по вооруженным силам директор национальной разведки США отметил, что киберугрозы, исходящие со стороны России, являются более серьезными, чем ранее были оценены.
В докладе обращается внимание на то, что Россия выделилась в международном киберпространстве как один из самых сложных национально-государственных акторов, а Министерство обороны РФ ведет активную работу по укреплению своего киберкомандования.
По данным Национальной разведки США, российский киберпотенциал включает в себя не только схожие с американскими технологии нападения на вражеские системы управления войсками и ведения киберпропагандистских операций, но и технологии воздействия на системы промышленного контроля, электросети, системы управления воздушным движением, а также на нефте- и газораспределительные сети.
Эксперты сходятся во мнении, что США совершенно не имеют представления о реальных кибервозможностях России, поскольку долгое время игнорировали необходимость отслеживания развития в России этого направления.
«Киберугрозы для национальной и экономической безопасности США становятся более частыми, масштабными, сложными и тяжелыми по последствиям», — сообщил Клеппер.
Наиболее опасными странами с точки зрения кибербезопасности США считают Китай, Северную Корею, Иран и Россию. Традиционно этот список возглавлял Китай, однако в 2015 году впервые лидером стала Россия.
США готовятся к масштабной кибер-войне
Массовое наблюдение, которым занимается Агентство национальной безопасности (АНБ) США, — лишь начало более глобальных событий, пишет Spiegel. Новые документы, обнародованные Эдвардом Сноуденом (Edward Snowden) и оказавшиеся в распоряжении издания, говорят о том, что агентство вооружает Америку для будущих войн в киберпространстве, в которых ключевую роль должен сыграть интернет.
Читать запись полностью »
Опубликовано: 5 марта 2015 года
Группа экспертов по информационной безопасности, при участии специалистов из корпорации Microsoft, обнаружила уязвимость, позволяющую хакерам взламывать веб-сайты и расшифровывать данные, циркулирующие между этими веб-сайтами, мобильными устройствами на платформах Apple iOS, Google Android и компьютерами на базе Apple OS X, сообщает Ars Technica.
Как заявил изданию Ars Technica Мэттью Грин (Matthew Green), криптограф, научный сотрудник Университета Джона Хопкинса, уязвимы практически все устройства на Android, iOS и OS X. При этом проблема не касается устройств на базе Windows и Linux.
Из российских сайтов в «черный» список попали vesti.ru, alfabank.ru, labirint.ru, subscribe.ru, artlebedev.ru и др. Из американских — americanexpress.com, bloomberg.com, businessinsider.com, nsa.gov, fbi.gov и др.
Уязвимость в технологии шифрования трафика SSL/TLS существует более 10 лет, и до сих пор не была замечена. Все это время миллионы пользователей оставались беззащитны к действиям злоумышленников.
Обнаруженная уязвимость, получившая кодовое имя FREAK и стандартную маркировку CVE-2015-0204, позволяет злоумышленникам вставлять пакеты в сетевой трафик, заставляющие источник трафика понижать уровень шифрования данных путем перехода на 512-битный ключ. После этого хакеры, перехватывая трафик, могут расшифровать его, воспользовавшись мощностями облачных провайдеров, например Amazon (Amazon Web Services).
Грин рассказал в своем блоге, что его коллегам удалось расшифровать ключ, потратив на это около семи с половиной часов процессорного времени виртуальных серверов Amazon EC2. Затраты на операцию составили $104. «Все, что вам нужно, — это сайт с уязвимостью», — резюмирует эксперт.
512-битные ключи шифрования — это пережиток прошлого, поясняет Ars Technica. В 1990-х годах администрация президента США Билла Клинтона (Bill Clinton) обязала американских производителей оборудования и программного обеспечения, идущего на экспорт, добавлять возможность переключения на 512-битные ключи на тот случай, если США потребуется расшифровать иностранный трафик. Впоследствии это правило было отменено, однако более простые шифры сохранились во множестве продуктов.
Читать запись полностью »
Опубликовано: 23 февраля 2015 года
АНБ добилось слежки за миллионами абонентов взломав производителя SIM-карт
Агентство национальной безопасности США взломало внутреннюю систему крупнейшего в мире производителя SIM-карт и имело возможность следить за трафиком миллионов абонентов тайком от сотовых компаний. Об этом сообщает издание The Intercept со ссылкой на секретные документы, полученные от Эдварда Сноудена.
Согласно документам от 2010 года, АНБ и Центр правительственной связи (GCHQ, британская спецслужба) взломали внутреннюю сеть голландской компании Gemalto, производящей чипы для кредитных карт и около 2 миллиардов SIM-карт для мобильных телефонов ежегодно.
В ходе проникновения во внутреннюю сеть Gemalto были украдены секретные ключи, обеспечивающие безопасность глобальной коммуникации, утверждает издание.
Взлом дал спецслужбам возможность следить за абонентами около 450 сотовых операторов по всему миру, включая как голосовые звонки, так и текстовые данные, а также расшифровывать уже перехваченные ранее зашифрованные данные, пишет tjournal.ru.
Издание поясняет, для чего агентствам нужны были ключи безопасности. При производстве SIM-карту снабжают таким ключом, а его копию получают операторы сотовой связи через интернет или курьерской доставкой всего массива данных на отдельном носителе.
Чтобы подключиться к сети, SIM-карта авторизуется с использованием этого ключа, сравнивая его с тем, что имеет оператор: если они совпадают, то устанавливается зашифрованное подключение. Поэтому вместо того, чтобы расшифровывать трафик абонентов, агентства выкрали ключи безопасности, чтобы мониторить его в чистом виде.
Имея такие ключи, АНБ и другие правительственные агентства США могли следить за пользователями без необходимости получать на это разрешение у самих провайдеров и зарубежных правительств. Чтобы получить доступ к ключам, спецслужбы в том числе следили за сотрудниками Gemalto через одну из популярных американских социальных сетей и электронную почту на Google и Yahoo при помощи утилиты X-KEYSCORE.
По словам исполнительного вице-президента Gemalto Пола Беверли (Paul Beverly), ни он, ни остальные сотрудники компании не подозревали о взломе.
Читать запись полностью »
Опубликовано: 10 февраля 2015 года
В политике конфиденциальности Samsung для «умных» телевизоров содержится предупреждение об отправке личной информации третьей стороне, поэтому компания рекомендует воздержаться от того, чтобы рассказывать в присутствии телевизора свои секреты, пишет Daily Beast.
«Компания Samsung может собирать, а ваше устройство может записывать голосовые команды и соответствующие тексты, чтобы мы могли предоставлять вам функции распознавания голоса, а также оценивать и улучшать их работу.
Имейте в виду, что если произносимые вами слова включают личную или конфиденциальную информацию, эта информация будет среди данных, записанных и переданных сторонней организации при вашем использовании распознавания голоса», — говорится в документе, описывающем политику конфиденциальности Samsung.
Предупреждение относится к моделям телевизоров с функцией голосового управления.
Член правозащитной организации Electronic Frontier Foundation Паркер Хиггинс (Parker Higgins) сравнил это предупреждение с фрагментом текста из романа-антиутопии «1984» Джорджа Оруэлла (George Orwell). В нем для слежки за людьми используются телевизоры со встроенными камерами, которые нельзя отключить. Они называются телекранами.
«Телекран работал на прием и на передачу. Он ловил каждое слово, если его произносили не слишком тихим шепотом; мало того, покуда Уинстон оставался в поле зрения мутной пластины, он был не только слышен, но и виден. Конечно, никто не знал, наблюдают за ним в данную минуту или нет.
Часто ли и по какому расписанию подключается к твоему кабелю полиция мыслей — об этом можно было только гадать.
Не исключено, что следили за каждым — и круглые сутки. Во всяком случае, подключиться могли когда угодно. Приходилось жить – и ты жил, по привычке, которая превратилась в инстинкт, — с сознанием того, что каждое твое слово подслушивают и каждое твое движение, пока не погас свет, наблюдают», — приводит Хиггинс цитату из романа.
Читать запись полностью »
Опубликовано: 31 января 2015 года
Разработчики из военной академия США в Вест-Пойнте создают новую систему идентификации служащих, которая будет способна заменить пароли и биометрию. Правительство выделило на проект «миллионы долларов». Конкретная сумма не уточняется.
Проект называется cognitive fingerprint («когнитивные отпечатки») и посвящен способам идентификации человека по особенностям использования мобильного устройства или на персональном компьютере. Например, как быстро он печатает на клавиатуре, перемещает курсор мыши или как часто допускает орфографические ошибки.
Новая технология может изменить рынок систем идентификации — такой вывод содержится в посвященных проекту документах, доступ к которым получил Sky News.
«Когда вы взаимодействуете с технологией, ваш мозг обрабатывает информацию индивидуальным образом. Таким образом, вы как бы оставляете присущий только вам «когнитивный отпечаток», точно так же, как оставляете отпечаток своего пальца на датчике отпечатка», — говорится в документах.
«Наша задача — создать систему идентификации нового поколения, которую можно было бы использовать на стандартном оборудовании Министерства обороны», — говорят авторы.
Подобные технологии в настоящее время используются в коммерческом программном обеспечении, например, в приложениях для проверки на плагиат. Они сравнивают два текста и делают вывод, является ли второй текст оригинальным или измененной копией первого. Точно также и здесь система будет понимать, работает с ней авторизованный пользователь или чужой человек.
«Мы живем в мире, где любой пользователь может стать жертвой мошенничества, угроз или действий спецслужб вследствие отсутствия достаточно надежных средств идентификации в интернете.
По этой причине любая новая технология, которая бы смогла определять личность человека в фоновом режиме, могла бы сделать всемирную сеть более цивилизованным местом», — такой комментарий дал консультант по стратегии Шариф Сакр (Sharif Sakr) из компании ViaTheWire.
Власти планируют внедрить новую технологию во всех военных ведомствах и не исключают, что в будущем она выйдет на коммерческий рынок.
Читать запись полностью »
Опубликовано: 31 января 2015 года
Власти Китая приняли закон, согласно которому все иностранные компании, включая компании из США, желающие осуществлять поставку вычислительного оборудования китайским финансовым организациям, обязаны раскрыть исходный код своих проприетарных продуктов и быть готовыми к их тщательным проверкам, сообщает New York Times со ссылкой на копию документов, оказавшуюся в распоряжении газеты.
Документ содержит 22 страницы, он был принят в конце 2014 г. и является первым шагом на пути реализации новой стратегии китайского правительства. Предполагается, что более подробная информация об этой стратегии будет обнародована в ближайшие месяцы. Ее цель — обеспечить информационную безопасность важнейших отраслей экономики государства, пишет газета.
В письме, отправленном комитету Коммунистической партии Китая по информационной безопасности на этой неделе, иностранные компании выразили свое несогласие с новыми правилами и пожаловались на то, что они облегчат местным компаниям конкуренцию за рынок.
Представители Торговой палаты США призвали к «немедленному диалогу». Они заявили, что обеспокоены набирающей обороты в Китае тенденции, когда под предлогом кибербезопасности китайские власти стремятся заблокировать зарубежным компаниям поставки своей продукции на местный рынок.
Проблема заключается в том, что формулировки Пекина довольно размыты. Поэтому у властей остается достаточно большое поле для маневра. Китай предъявляет более жесткие требования к поставщикам оборудования в сравнении с другими странами, пишет New York Times.
Помимо иностранных компаний, соблюдать принятые правила должны и местные производители. Но им это будет сделать легче, так как их клиенты в основном находятся здесь же, добавляет издание.
В настоящее время в Китае действует «Великий китайский фаервол» — национальный интернет-фильтр, установленный правящей Компартией. Он блокирует доступ китайским пользователям ко многим американским сервисам, включая Gmail, YouTube и Google Play.
По мнению The New York Times, введение новых правил относительно раскрытия исходного кода «еще больше разделит мир технологий», то есть заставит производителей выпускать оборудование отдельно для Китая и отдельно для всего остального мира.
Можно добавить, что ранее США и Китай неоднократно обменивались взаимными обвинениями в кибершпионаже.
Читать запись полностью »
Опубликовано: 28 января 2015 года
В Совете Федерации считают важным усиливать экономическое воздействие на нарушителей законодательства о защите информации.
Об этом заявил заместитель председателя комитета Совфеда по регламенту и организации парламентской деятельности Вячеслав Тимченко, комментируя внесенные правительством России законопроекты, повышающие материальную ответственность за некорректное обращение с информацией.
Первый законопроект касается сведений, являющихся коммерческой, налоговой и банковской тайной, второй – персональных данных физических лиц.
Сенатор пояснил, что законопроекты предусматривают увеличение максимальных сумм штрафов за нелегальный сбор и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну.
По его словам, если в процессе получения конфиденциальной информации использовались криминальные методы – похищались документы, совершались подкупы, звучали угрозы – максимальная сумма штрафов возрастет до 500 тысяч рублей.
В действующем законодательстве она составляет 80 тысяч рублей. За передачу третьим лицам, обнародование, а также использование такой информации виновник заплатит до миллиона рублей. Прежде верхняя граница финансового наказания была 120 тысяч рублей. В случае же, если эти деяния повлекли последствия в виде крупного материального ущерба для клиента, штраф достигнет 1,5 миллионов вместо 200 тысяч рублей.
Кроме того, законопроекты дифференцируют финансовые наказания за нарушения в сфере персональных данных в зависимости от тяжести последствий.
«Сейчас в Кодексе об административных правонарушениях значатся штрафы без разграничения на составы: для граждан сумма составляет от 300 до 500 рублей, для должностных лиц – от 500 до 1 тысячи рублей, для юридических лиц – от 5 тысяч до 10 тысяч рублей.
Категории «индивидуальный предприниматель» здесь вовсе нет. В законопроекте же наказания за отдельные составы дорожают в разы», — сказал Тимченко.
Читать запись полностью »
Опубликовано: 28 января 2015 года
День защиты персональных данных (Data Protection Day) ежегодно празднуют 28 января, и этот день является международным праздником.
Он учрежден для того, чтобы пользователи Интернета всегда помнили о необходимости соблюдать личные правила безопасного поведения в Сети, которые обеспечивают возможность обезопасить их собственную жизнь, причем не только виртуальную, но и реальную.
Решение отмечать эту дату было принято 26 апреля 2006 года комитетом министров Совета Европы. Эта дата соответствует годовщине подписания Конвенции Совета Европы от 28 января 1981 года «О защите лиц в связи с автоматизированной обработкой персональных данных».
В некоторых государствах этот праздник называют Днем конфиденциальности.
Конвенция «О защите лиц в связи с автоматизированной обработкой персональных данных» — первый международный обязывающий инструмент в области защиты личной информации. Документ определяет принципы защиты прав человека относительно неприкосновенности его личной жизни. Именно этот документ является первым и основополагающим в части международного разъяснения понятия «персональных данных».
Главными принципами защиты личной информации являются законность и добросовестность ее получения, а также обработки, хранения и не применение способов использования этой информации, несовместимых с указанными принципами.
Правильные меры безопасности и обеспечения достаточной конфиденциальности должны максимально обеспечивать невозможность потери, несанкционированного либо случайного уничтожения персональных данных, а также предотвращение незаконного доступа к ним, их распространение и модификацию.
Основой для формирования международных и национальных механизмов регулирования в области защиты личной информации (персональных данных) стала именно Конвенция, которая стала наиболее актуальной в свете стремительного развития информационно-телекоммуникационных технологий, а также в связи с интенсивным распространением глобализационных и интеграционных процессов как в мире, так и на уровне отдельных государств и мировых сообществ.
Читать запись полностью »
Опубликовано: 27 января 2015 года
Сотрудники фирмы SplashData опубликовали статистику самых слабых паролей 2014 года. В пятёрку попали «qwerty» «123456», «password» и «12345». Если заметите в списке что-то знакомое, немедленно вносите изменения в учетные записи.
По словам сотрудников SplashData, использование данных паролей с большой вероятностью приведёт к краже учетных записей или персональных данных пользователей. Для составления статистики специалисты проанализировали более 3,3 млн паролей, которые просочились в Сеть за прошлый год.
Примечательно, что «123456» и «password» остаются фаворитами с 2011 года. В списке также фигурируют пароли вроде «dragon» и «football».
Как и в предыдущие годы, пользователи продолжают задавать простые пароли с цифрами. 9 из 25 самых популярных паролей ушедшего года были полностью цифровыми. Впервые в анти рейтинге SplashData фигурируют пароли «696969» и «batman».
«Iloveyou» выбыл из списка в прошлом году, хотя пользовался популярностью в 2013.
Согласно данным SplashData, паролями рейтинга прошлого года скорее всего пользовались жители Северной Америки и Западной Европы.
В 2014 в Сеть также попали миллионы паролей россиян, однако их не анализировали. Список показывает, что многие люди рискуют из-за слабых паролей, которые легко угадать, оказаться жертвами хакеров.
«Простые пароли продолжают оставаться популярными, несмотря на их опасность. Не стоит использовать пароль только с цифрами. Конечно, многие вебсайты требуют применять пароли с комбинациями цифр и букв, но и это не улучшает положение дел.
Во многих случаях пользователи просто нажимают по большему количеству клавиш подряд. Например, задают пароли типа «qwertyuiop» или «1qaz2wsx»», – заявил глава SplashData Морган Слейн (Morgan Slain).
В сотню слабых паролей также входят ругательные слова и выражения, хобби, имена известных атлетов, бренды автомобилей и названия фильмов.
Читать запись полностью »
Опубликовано: 17 января 2015 года
Google продолжила действовать Microsoft на нервы: поисковик повторно обнародовал сведения о новой уязвимости в Windows, не дожидаясь ее закрытия. Первая такая публикация была сделана Google несколько дней назад.
Текущая «дыра» содержится в двух версиях операционной системы — 7 и 8.1. Она находится в функции CryptProtectMemory, служащей для шифрования данных в памяти, например, паролей, чтобы их не смогли прочитать другие пользователи.
Уязвимость была найдена участником проекта Google Project Zero Джеймсом Форшоу (James Forshaw) 17 октября 2014 г. «Microsoft проинформировала нас, что патч для этой уязвимости планируется выпустить в январе.
Однако обновление было отложено из-за возникших с совместимостью проблем. Ожидается, что оно выйдет в феврале», — рассказал он.
Ранее Microsoft резко раскритиковала Google за то, что та разместила в открытом доступе информацию об уязвимости в Windows 8.1 и эксплойт к ней всего лишь за два дня до того момента, когда Microsoft собиралась выпустить соответствующий патч.
Уязвимость, информация о которой была опубликована ранее, позволяет пользователям Windows повышать свои привилегии в системе до администратора и получать доступ к функциям, которые по умолчанию должны быть для них недоступны.
Серьезное недовольство, в частности, в официальном блоге корпорации высказал Крис Бетс (Chris Betz), старший директор Microsoft Security Response Center. В длинной статье, автором которой он стал, говорится о появлении более серьезных угроз информационной безопасности и необходимости сплоченной борьбы с ними вместо того, чтобы действовать по отдельности.
«К сожалению, Google пренебрегла правилами координированного раскрытия информации об уязвимостях и опубликовала информацию за два дня до запланированного выпуска обновления, несмотря на наши просьбы не делать этого», — заявил Бетс. По его мнению, для Google оказалось важнее первой сообщить об уязвимости, чем обезопасить пользователей.
Читать запись полностью »