/ Безопасность / Шифрование, SSH, SSL
·	18.12.2023	Terrapin - уязвимость в протоколе SSH, позволяющая снизить защиту соединения (26 +13)
	Группа исследователей из Рурского университета в Бохуме (Германия) представила новую технику MITM-атаки на SSH - Terrapin, эксплуатирующую уязвимость (CVE-2023-48795) в протоколе. Атакующий, способный организовать MITM-атаку, имеет возможность в процессе согласования соединения блокировать отправку сообщения с настройкой расширений протокола для снижения уровня защиты соединения. Прототип инструментария для совершения атаки опубликован на GitHub... (26 +13) обсуждение | весь текст
·	17.12.2023	Представлен SSH3, вариант протокола SSH, использующий HTTP/3 (209 +50)
	Доступен первый официальный выпуск экспериментальной реализации сервера и клиента для протокола SSH3, оформленного в форме надстройки над протоколом HTTP/3, использующей QUIC (на базе UDP) и TLS 1.3 для установки защищённого канала связи и механизмы HTTP для аутентификации пользователей. Проект разрабатывает Франсуа Мишель (François Michel), аспирант Лувенского католического университета (Бельгия), при участии Оливье Бонавентуры (Olivier Bonaventure), профессора того же университета, известного разработкой подсистемы Multipath TCP и кода сегментной маршрутизации IPv6 для ядра Linux, а также соавтора 10 RFC и черновиков более 60 сетевых спецификаций. Код эталонной реализации клиента и сервера написан на языке Go и распространяется под лицензией Apache 2.0... (209 +50) обсуждение | весь текст
·	08.12.2023	Автор GnuPG основал LibrePGP, форк стандарта OpenPGP (169 +25)
	Вернер Кох (Werner Koch), основной разработчик и создатель проекта GnuPG (GNU Privacy Guard), основал проект LibrePGP, сосредоточенный на развитии обновлённой спецификации, альтернативной стандарту OpenPGP. Форк был создан в ответ на изменения, намеченные рабочей группой IETF для внесения в следующее обновление спецификации OpenPGP (RFC-4880) и воспринятые Кохом как сомнительные с точки зрения сохранения совместимости и обеспечения безопасности. Поддержавшие форк разработчики проектов GnuPG, RNP (реализация OpenPGP от Thunderbird) и Gpg4win опасаются, что намеченные изменения окажутся губительны для существующих внедрений приложений на базе OpenPGP, пользователи которых рассчитывают на стабильность спецификации в длительной перспективе и не готовы мириться с изменениями, нарушающими совместимость... (169 +25) обсуждение | весь текст
·	29.11.2023	BLUFFS - уязвимости в Bluetooth, позволяющие провести MITM-атаку (78 +16)
	Даниэле Антониоли (Daniele Antonioli), исследователь безопасности Bluetooth, ранее разработавший техники атак BIAS, BLUR и KNOB, выявил две новые уязвимости (CVE-2023-24023) в механизме согласования сеансов Bluetooth, затрагивающие все реализации Bluetooth, поддерживающие режимы защищённого сопряжения "Secure Connections" и "Secure Simple Pairing", соответствующие спецификациям Bluetooth Core 4.2-5.4... (78 +16) обсуждение | весь текст
·	24.11.2023	Выпуск OpenSSL 3.2.0 с клиентской поддержкой протокола QUIC (65 +17)
	После восьми месяцев разработки сформирован релиз библиотеки OpenSSL 3.2.0 с реализацией протоколов SSL/TLS и различных алгоритмов шифрования. Поддержка OpenSSL 3.2 будет осуществляться до 23 ноября 2025 года. Поддержка прошлых веток OpenSSL 3.1 и 3.0 LTS продлится до марта 2025 года и сентября 2026 года соответственно. Поддержка ветки 1.1.1 прекращена в сентябре этого года. Код проекта распространяется под лицензией Apache 2.0... (65 +17) обсуждение | весь текст
·	23.11.2023	Уязвимость в strongSwan IPsec, приводящая к удалённому выполнению кода (40 +11)
	В strongSwan, VPN-пакете на базе протокола IPSec, применяемом в Linux, Android, FreeBSD и macOS, выявлена уязвимость (CVE-2023-41913), которую можно использовать для удалённого выполнения кода злоумышленника. Уязвимость вызвана ошибкой в процессе charon-tkm с реализацией протокола обмена ключами (IKE) на базе TKMv2 (Trusted Key Manager), приводящей к переполнению буфера при обработке специально оформленных значений схемы DH (Diffie–Hellman). Уязвимость проявляется только в системах, использующих charon-tkm и в выпусках strongSwan, начиная с 5.3.0. Проблема устранена в обновлении strongSwan 5.9.12. Для исправления уязвимости в ветках, начиная с 5.3.x, также подготовлены патчи... (40 +11) обсуждение | весь текст
·	20.11.2023	Выпуск OpenIKED 7.3, переносимой реализации протокола IKEv2 для IPsec (27 +10)
	Проект OpenBSD опубликовал выпуск проекта OpenIKED 7.3, развивающего реализацию протокола IKEv2. Изначально, компоненты IKEv2 представляли собой неделимую часть IPsec-стека OpenBSD, но затем были выделены в отдельный переносимый пакет и теперь могут использоваться в других операционных системах. Работа OpenIKED проверена во FreeBSD, NetBSD, macOS и различных дистрибутивах Linux, включая Arch, Debian, Fedora и Ubuntu. Код написан на языке Си и распространяется под лицензией ISC... (27 +10) обсуждение | весь текст
·	14.11.2023	Воссоздание RSA-ключей через анализ SSH-соединений к сбойным серверам (37 +22)
	Группа исследователей из Калифорнийского университета в Сан-Диего продемонстрировала возможность воссоздания закрытых хостовых RSA-ключей SSH-сервера, используя пассивный анализ трафика SSH. Атака может быть совершена на серверы, на которых в силу стечения обстоятельств или действий атакующего возникают сбои во время вычисления цифровой подписи при установке SSH-соединения. Сбои могут быть как программными (некорректное выполнение математических операций, повреждение памяти), так и аппаратными (ошибки при работе NVRAM и DRAM или сбои при перебоях с питанием)... (37 +22) обсуждение | весь текст
·	23.10.2023	В Chrome планируют реализовать режим скрытия IP-адреса пользователя (261 +9)
	Компания Google приступила к реализации в браузере Chrome функции IP Protection, предназначенной для скрытия IP-адреса пользователя от владельцев сайтов. Новая возможность может использоваться в качестве встроенного анонимайзера, нацеленного прежде всего на предотвращение отслеживания перемещений, но, среди прочего, пригодного и для обхода блокировок, реализованных как на стороне сайтов, так и на уровне операторов связи... (261 +9) обсуждение | весь текст
·	20.10.2023	Зафиксирован перехват шифрованного трафика jabber.ru и xmpp.ru (428 +65)
	Администратор Jabber-сервера jabber.ru (xmpp.ru) выявил атаку по расшифровке трафика пользователей (MITM), проводимую на протяжении от 90 дней до 6 месяцев в сетях немецких хостинг-провайдеров Hetzner и Linode, в которых размещён сервер проекта и вспомогательные VPS-окружения. Атака организована через перенаправление трафика на транзитный узел, подменяющий TLS-сертификат для XMPP-соединений, шифруемых с использованием расширения STARTTLS... (428 +65) обсуждение | весь текст
·	08.10.2023	Представлен OpenPubKey, протокол криптографической верификации объектов (59 +9)
	Linux Foundation, BastionZero и Docker представили новый открытый проект OpenPubKey, развивающий одноимённый криптографический протокол для заверения цифровой подписью произвольных объектов. Технология разработана как совместный проект компаний BastionZero и Docker с целью упрощения заверения цифровыми подписями образов контейнеров Docker для исключения их подмены и для подтверждения сборки заявленным создателем. Проект будет развиваться на нейтральной площадке под покровительством организации Linux Foundation, что исключит зависимость от отдельных коммерческих компаний и упростит совместную работу с привлечением сторонних участников. Эталонная реализация OpenPubKey написана на языке Go и распространяется под лицензией Apache 2.0... (59 +9) обсуждение | весь текст
·	05.10.2023	Релиз OpenSSH 9.5 (67 +20)
	Опубликован релиз OpenSSH 9.5, открытой реализации клиента и сервера для работы по протоколам SSH 2.0 и SFTP... (67 +20) обсуждение | весь текст
·	04.10.2023	В Firefox и Cloudflare включена поддержка ECH для скрытия домена в HTTPS-трафике (301 +44)
	Компания Mozilla объявила о включении для пользователей стабильной ветки Firefox поддержки механизма ECH (Encrypted Client Hello), продолжающего развитие технологии ESNI (Encrypted Server Name Indication) и предназначенного для шифрования информации о параметрах TLS-сеансов, таких как запрошенное доменное имя. Изначально код для работы с ECH был добавлен в выпуск Firefox 85, но был отключён по умолчанию. В Chrome поддержку ECH начали постепенно включать, начиная с выпуска Chrome 115... (301 +44) обсуждение | весь текст
·	02.10.2023	Доступна система шифрования дисковых разделов VeraCrypt 1.26, пришедшая на смену TrueCrypt (126 +17)
	После полутора лет разработки опубликован выпуск проекта VeraCrypt 1.26, развивающего форк системы шифрования дисковых разделов TrueCrypt, прекратившей своё существование. VeraCrypt примечателен заменой используемого в TrueCrypt алгоритма RIPEMD-160 на SHA-512 и SHA-256, увеличением числа итераций хэширования, упрощением процесса сборки для Linux и macOS, устранением проблем, выявленных в процессе аудита исходных текстов TrueCrypt. Прошлый официальный релиз VeraCrypt 1.25.9 был опубликован в феврале 2022 года. Разработанный проектом VeraCrypt код распространяется под лицензией Apache 2.0, а заимствования из TrueCrypt продолжают поставляться под лицензией TrueCrypt License 3.0. Готовые сборки формируются для Linux, FreeBSD, Windows и macOS... (126 +17) обсуждение | весь текст
·	30.09.2023	Атака Marvin для расшифровки RSA на основе измерения времени операций (116 +32)
	Хьюберт Карио (Hubert Kario), чешский исследователь безопасности, работающий в компании Red Hat, представил на завершившемся вчера Европейском симпозиуме по компьютерной безопасности технику атаки Marvin, позволяющую определить исходные данные через измерение задержек при выполнении операций расшифровки на базе алгоритма RSA. На практике предложенный метод позволяет расшифровать трафик или сформировать цифровые подписи без знания закрытого RSA-ключа. Для тестирования применимости атаки опубликован специальный скрипт для проверки TLS-серверов и инструментарий для выявления проблем в библиотеках... (116 +32) обсуждение | весь текст
<< Предыдущая страница (позже)
Следующая страница (раньше) >>