Новости про безопасность

Новый тип кибератаки позволяет украсть данные через блок питания

Исследователи из университета Бен-Гуриона в Негеве, Израиль, подтвердили новый вариант проведения кибератаки достойный фильма «Миссия невыполнима». И дело в том, что она осуществляется через блок питания без физического подключения.

Суть метода заключается в том, что блок питания издаёт звуки на высокой частоте. И это звучание меняется в зависимости от нагрузки. Таким образом, записывая звук блока питания на расстоянии 5 метров, удалось получить данные с компьютера. Для этого не требовалось ни специальное оборудование, ни системные привилегии, ни сложной подготовки.

Блок питания

В процессе контролируется ультразвук на частотах от 20 кГц до 20 МГц, издаваемый трансформаторами. Чтобы блок питания передавал данные, на компьютер жертвы нужно установить специальное зловредное приложение, которое считывает системные данные и вносит изменения в нагрузку процессора. Уязвимость получила название POWER-SUPPLaY.

POWER-SUPPLaY: Leaking Data from Air-Gapped Systems by Turning the Power-Supplies Into Speakers

Стоит ли правительственным организациям, военным или операторам атомных электростанций бояться этой уязвимости? Вряд ли. Угнать таким образом данные довольно просто, однако для начала процесса всё равно нужен доступ к компьютеру. Да и скорость передачи данных оставляет желать лучшего — 50 бит в секунду. То есть для передачи текстового документа латиницей в 10 000 слов нужно потратить около часа.

Не очень эффективно.

Европейские суперкомпьютеры были взломаны для майнинга

Целый ряд европейских суперкомпьютеров были остановлены после того, как в них выявлены уязвимости в системе безопасности. Эти уязвимости привели к тому, что несколько суперкомпьютеров из Великобритании, Германии, Швейцарии и, возможно, Испании, подверглись атаке.

О проблеме заявил университет Эдинбурга, с его суперкомпьютером ARCHER.

Организация bwHPC, координирующая исследовательские проекты на суперкомпьютерах в Германии, сообщила об инцидентах в области безопасности, касательно суперкомпьютеров в Университете Штутгарта, Технологическом Институте Карлсруэ, Университетах Ульма и Тюбингена, Баварской Академии Наук. Также проблемы выявлены в Швейцарском вычислительном центре Цюриха и в испанской Барселоне.

Суперкомпьютер ARCHER из университета Эдинбурга

Злоумышленники получили логины для доступа к этим суперкомпьютерам по SSH. Угнанные логины принадлежат различным университетам Польши, Канады и Китая. Затем, воспользовавшись уязвимостью CVE-2019-15666 в ядре Linux, они начали использовать суперкомпьютеры для майнинга Monero.

Отмечается, что это не первая попытка майнинга криптовалют на суперкомпьютерах. Однако ранее этим занимались сотрудники научных центров, имеющие непосредственный доступ к системам, а вот столь массированная распределённая атака проведена впервые.

Fairphone предлагает Android без Google

Европейский производитель мобильных телефонов с ограниченным воздействием на окружающую среду, Fairphone, объявил о возможности предложить /e/OS, максимально лишённую связки с Google и ориентированную на приватность версию Android, в составе телефона Fairphone 3.

Разработчик сообщил, что удалил множество участков кода, которые отправляли персональные данные на удалённый сервер без согласия пользователей.

«Мы не сканируем данные в вашем телефоне или вашем облачном пространстве, и мы не отслеживаем ваше перемещение сотни раз в день или собираем данные о том, что вы делаете со своими приложениями».

Телефон Firephone 3 с e/OS доступен к покупке за 480 евро, «на 30 евро дороже стандартного Fairphone 3 с флёром Googl’а». Установить /e/OS на Fairphone 3 можно вручную через специальный инсталлятор на сайте.

Смартфон Fairphone 3

Смартфон Fairphone 3 предлагает модульную конструкцию с высокой ремонтопригодностью. Он «изготовлен из бесконфликтных, перерабатываемых материалов, выбранных с высокой ответственностью».

Что касается аппаратного обеспечения, то телефон имеет экран FullHD+ (2160×1080 пикс.) с защитой Gorilla Glass, заднюю камеру Sony разрешением 12 Мпикс., батарею ёмкостью 3000 мА×ч, накопитель на 64 ГБ с расширением через microSD. Устройство основано на процессоре Qualcomm Snapdragon 632 и имеет 4 ГБ оперативной памяти.

Из дополнительных функций можно отметить 8 Мпикс. фронтальную камеру, NFC и поддержку двух SIM-карт.

Безопасная ОС Tails получила UEFI Secure Boot

Операционная система Tails OS, рекомендованная Эдвардом Сноуденом как самая безопасная, получила поддержку UEFI Secure Boot.

Система Tails OS создана на основе Debian, однако полностью переработана для обеспечения максимальной безопасности. Её запуск осуществляется только со съёмного накопителя, и она не оставляет никаких следов на основном компьютере. В ней все подключения к интернету осуществляются через Tor.

И вот, последнее обновление Tails OS 4.5 получило поддержку UEFI Secure Boot, которую можно найти в большинстве ОС. Безопасная загрузка использует криптографическую защиту для проверки целостности файлов прошивки, загружаемых при запуске системы, и гарантирует, что они не были изменены.

Tails OS

Эта технология является частью спецификации UEFI более двух десятилетий, однако используется нечасто из-за проблем с совместимостью. Несмотря на это, сам факт отсутствия безопасной загрузки в самой безопасной ОС настораживал. Ну а если Secure Boot на компьютере использовался, то чтобы запустить Tails OS приходилось его выключать, что усложняло применение системы.

Работа над внедрением Secure Boot в Tails OS длилась 6 лет, и теперь, она завершена и готова к использованию.

Cloudflare готовит WARP на macOS и Windows

Компания Cloudflare объявила о том, что готовится запустить свой сервис VPN WARP для операционных систем macOS и Windows, и уже начинает выпуск бета версии приложения. В ближайшие месяцы компания также представит настольные клиенты для WARP+.

Вначале бета версия будет распространяться среди пользователей WARP+, которые подписаны на сеть Cloudflare Argo. Эти пользователи получат уведомление в приложениях 1.1.1.1 для iOS и Android, с предложением попробовать аналогичные клиенты в macOS и Windows.

VPN-клиент WARP от Cloudflare

Сервис VPN Cloudflare запустила для пользователей iOS и Android в прошлом году с целью обеспечения безопасного интернет-доступа с возможностью шифрования трафика. Разработчики отмечают, что пользователи уже давно просят настольную версию приложения, и они выполнили эту просьбу.

Как и мобильная, настольная версия WARP основывается на протоколе Wireguard. Базовая версия будет доступна бесплатно. В будущем же Cloudflare предложит платную подписку со скидками для нынешних пользователей WARP+.

Zoom не имеет сквозного шифрования

Сейчас конференц-сервис Zoom обладает невероятной популярностью. Его используют все, от школьников, вынужденных учиться онлайн, до офисных работников и руководителей, которым нужно проводить совещания или выполнять совместную работу. Сайт сервиса декларирует сквозное шифрование, однако это не совсем так.

Издание Intercept задало представителю Zoom вопрос о том, действительно ли видеоконференции, проводимые на платформе, имеют сквозное шифрование. На что получило ответ: «В настоящее время нет возможности обеспечить сквозное шифрование для видеовстреч в Zoom».

Платформа использует шифрование TLS, такое же, как и сайты с HTTPS. Это значит, что данные, пересылаемые между серверами Zoom и пользователями зашифрованы, как в Gmail или Facebook. Однако сквозное шифрование предполагает полное шифрование контента между пользователями, без возможности стороннего доступа, как в WhatsApp и Telegram. И Zoom не предлагает такой уровень безопасности, вводя пользователей в заблуждение.

Zoom

Компания же отрицает, что обманывает своих клиентов: «Когда мы используем фразу „сквозное“ в наших текстах, это относится к шифрованию соединения от одной конечной точки Zoom, до другой конечной точки Zoom… контент не дешифруется по мере его передачи в облаке Zoom».

В то же время текстовый чат, проводимый в ходе встречи, поддерживает сквозное шифрование, и по словам компании, у неё нет ключей для расшифровки этих сообщений.

В компании отметили, что они собирают лишь данные, необходимые для улучшения работы сервиса, включая IP-адреса, информацию об ОС и устройств, без возможности доступа сотрудников к самому содержимому онлайн встреч. Возможно, у Zoom есть возможность просмотреть конференции по требованию правоохранительных органов, однако этот вопрос компания проигнорировала.

Так что, если ваши дети используют Zoom для учёбы, то в этом никаких проблем нет, однако секреты корпораций в таком режиме явно обсуждать не стоит.

Реагируя на эти недоработки, а также выявленные уязвимости в платформе, инженеры решили прекратить обновлять функционал Zoom, а сосредоточились на поиске и исправлении проблем с безопасностью.

Microsoft сообщает о новой уязвимости

Компания Microsoft сообщила о новой уязвимости, допускающей удалённое исполнение кода. Эта уязвимость в Windows сейчас используется в ограниченном числе целевых атак.

Уязвимость затрагивает Adobe Type Manager Library. Эта библиотека помогает Windows осуществлять рендер шрифтов. Чтобы использовать уязвимость, «хакер должен заставить пользователя открыть специально созданный документ, либо просмотреть его в виде эскиза Windows Preview», — сообщает Microsoft. Уязвимость имеет наивысший «критический» уровень опасности.

Microsoft

В настоящее время патч не подготовлен. Как правило, исправления подобного рода приходят во вторник обновлений, ближайший из которых наступит 14 апреля. Пока же компания рекомендует отказаться от просмотра эскизов в Windows Explorer.

Firefox возвращает небезопасные TLS 1.0 и TLS 1.1

Mozilla приняла решение вернуть поддержку небезопасных стандартов TLS 1.0 и TLS 1.1 в последней версии Firefox. Виной этому — коронавирус.

Дело в том, что поддержка старых стандартов часто необходима для доступа к правительственным сайтам с информацией о распространении COVID-19, которые так и не обновились до TLS 1.2 или TLS 1.3.

Представитель разработчиков отметил: «Мы вернули изменения на неопределённый период времени для улучшения доступа к критически важным правительственным сайтам, распространяющим информацию о COVID-19».

Поддержка TLS 1.0 и TLS 1.1 была прекращена в версии Firefox 74.0, которая вышла 10 марта. Целью отказа от старых протоколов было повышение безопасности соединения. Сайты без поддержки TLS 1.2 или TLS 1.3 покажут страницу с ошибкой загрузки по причине низкой безопасности с предложением включить TLS 1.0 и TLS 1.1 для этого сайта.

В октябре 2018 года все крупные производители браузеров, включая Microsoft, Google, Apple и Mozilla объявили об отказе от протоколов TLS 1.0 и TLS 1.1, выпущенных более 10 лет назад. Лаборатория Qualys SSL Labs установила, что 97% исследованных сайтов поддерживают TLS 1.2 и TLS 1.3, решив отказаться от старых версий в угоду новым, более безопасным. Сама же Mozilla заявляла, что лишь 1,2% всех подключений осуществляются по протоколам TLS 1.0 или TLS 1.1.

Тем не менее, по данным Netcraft на март 2020 года, в мире существует 850 000 сайтов, которые по-прежнему используют устаревшие стандарты TLS 1.0 и TLS 1.1. Они подвергают пользователей широкому спектру криптографических атак, позволяя хакерам расшифровывать трафик.

Будущие процессоры Intel получат полное шифрование памяти

Сайт ARS Technica сообщает, что компания Intel планирует повторить идею AMD, обеспечив поддержку полного шифрования памяти в будущих процессорах.

Представитель Intel Аниль Рао сообщил, что Intel планирует реализовать технологии, которые выглядят подобно SME (Secure Memory Encryption) и SEV (Secure Encrypted Virtualization), которые есть в процессорах AMD EPYC. По заверениям AMD эти технологии дают незначительное влияние на производительность.

Intel

В настоящее время Software Guard Extensions является единственным аналогом от Intel. Рао рассказал об использовании SGX в реальности, и проинформировал о будущих технологиях, особенно, о полном шифровании памяти. Компания ссылается на свой метод полного шифрования, называемый TME (Total Memory Encryption) или MKTME (Multi-Key Total Memory Encryption), однако сейчас он исчез.

Инновации по защите данных

Правда, в прошлом году Intel выпустила несколько патчей для Linux, которые возвращают эту функцию, однако в реальном мире она по-прежнему не используется.

Подготовка к E3 идёт полным ходом

На фоне развивающейся эпидемии COVID-19 по миру отменяются многие массовые мероприятий, конференции и выставки. В мире высоких технологий мы видели, как был отменён MWC, а GDC перенесена на неопределённый срок.

Следующим крупным мероприятием должна стать выставка E3. Компания Sony не планирует её посещение, а потому в центре внимания окажется Microsoft с её Xbox Series X. К счастью, ESA, компания-организатор E3, в своём планировании выставки «движется вперёд на полной скорости», несмотря на угрозу короновируса.

E3

В настоящее время никто не знает, какова будет ситуация через несколько месяцев, а потому принимать решение об отмене выставки — преждевременно. Необходимые корректировки в плане безопасности будут проведены ближе к началу мероприятия, и они будут касаться как экспонентов, так и посетителей.

Тем не менее, организаторы заявляют, что «пристально следят за ситуацией». Главным приоритетом для них будет здоровье и безопасность участников. Тем не менее, пока выставка планируется на июнь, как изначально и задумывалось.