Новости про безопасность и Интернет

Боты проходят капчу лучше, чем люди

Новое исследование показало, что капчи, созданные специально для блокировки доступа ботов, на самом деле мешают только людям.

По информации Independent, недавнее исследование, проведённое Университетом Калифорнии, установило, что автоматические боты способны ломать тесты Captcha куда быстрее, чем могут люди. Исследование проводилось на более чем двухстах самых популярных сайтах, из которых 120 используют капчу. Они проверили 1000 различных посетителей, чтобы взять 10 капча-тестов и одновременно с ними сравнить с результатами расшифровки капчи ботами, а также определить, кто оказался быстрее. Для человека решение капчи занимало от 9 до 15 секунд с точностью 50—84%, в то же время боты делали это менее чем за секунду при точности 95—100%.

Иронично, что методы, созданные для ограничения доступа ботам, создают проблемы людям, а вовсе не автоматическим системам. Будем надеться, что это исследование приведёт к осознанию неэффективности Captcha и необходимости создания новой более эффективной и менее раздражающей схемы препятствования доступа ботам.

Firefox возвращает небезопасные TLS 1.0 и TLS 1.1

Mozilla приняла решение вернуть поддержку небезопасных стандартов TLS 1.0 и TLS 1.1 в последней версии Firefox. Виной этому — коронавирус.

Дело в том, что поддержка старых стандартов часто необходима для доступа к правительственным сайтам с информацией о распространении COVID-19, которые так и не обновились до TLS 1.2 или TLS 1.3.

Представитель разработчиков отметил: «Мы вернули изменения на неопределённый период времени для улучшения доступа к критически важным правительственным сайтам, распространяющим информацию о COVID-19».

Поддержка TLS 1.0 и TLS 1.1 была прекращена в версии Firefox 74.0, которая вышла 10 марта. Целью отказа от старых протоколов было повышение безопасности соединения. Сайты без поддержки TLS 1.2 или TLS 1.3 покажут страницу с ошибкой загрузки по причине низкой безопасности с предложением включить TLS 1.0 и TLS 1.1 для этого сайта.

В октябре 2018 года все крупные производители браузеров, включая Microsoft, Google, Apple и Mozilla объявили об отказе от протоколов TLS 1.0 и TLS 1.1, выпущенных более 10 лет назад. Лаборатория Qualys SSL Labs установила, что 97% исследованных сайтов поддерживают TLS 1.2 и TLS 1.3, решив отказаться от старых версий в угоду новым, более безопасным. Сама же Mozilla заявляла, что лишь 1,2% всех подключений осуществляются по протоколам TLS 1.0 или TLS 1.1.

Тем не менее, по данным Netcraft на март 2020 года, в мире существует 850 000 сайтов, которые по-прежнему используют устаревшие стандарты TLS 1.0 и TLS 1.1. Они подвергают пользователей широкому спектру криптографических атак, позволяя хакерам расшифровывать трафик.

Cloudflare выпустил бесплатный мобильный VPN 1.1.1.1 Warp

Интернет-гигант Cloudflare запустил в работу новые сервисы Warp и Warp+, которые станут дополнением к существующему сервису шифрования DNS.

Благодаря сервису шифрования доступа к DNS 1.1.1.1 пользователи мобильных платформ могли быть уверены, что никто не отследит посещаемый ими сайт. Благодаря новому сервису VPN, подключение становится полностью зашифрованным.

Новый VPN-сервис Warp заработал после длительного ожидания. По словам разработчиков, Warp ожидали порядка двух миллионов человек. Теперь он доступен всем желающим совершенно бесплатно.

Скриншот 1.1.1.1 Warp

Не обошлось и без платных возможностей. Сервис Warp+ обеспечивается сетью Cloudflare Argo, которая по словам компании, позволяет сайтам загружаться на 30% быстрее. Что касается стоимости — то она рассчитывается весьма необычно. Так, месячный тариф использования Warp+ составляет цену на один Big Mac в местной валюте. Кроме того, все, кто изъявил желание попробовать Warp до его готовности, получили по 10 ГБ бесплатного трафика в Warp+.

Что касается нашего опыта, то особой разницы в скорости между Warp+ и Warp мы не заметили.

Приложение 1.1.1.1 доступно для iOS и Android. Другие платформы Cloudflare обещает рассмотреть в будущем.

Firefox готовится внедрить DNS-over-HTTPS по умолчанию

Группа Mozilla тестирует технологию DNS-over-HTTPS в течение нескольких месяцев, сотрудничая в этом направлении с Cloudflare и Akamai. Получив необходимый опыт, Mozilla теперь готова к внедрению технологии по умолчанию.

В сборке Nightly Firefox технология DoH появилась в 2018 году, а в финальных сборках она стала доступна несколько месяцев назад. Сейчас её можно включить вручную. Целью работы было повышение интеграции с Firefox с DoH. Проведя эксперименты, разработчики смогли выявить и устранить возможные проблемы, не нарушив комфорт пользователей и работу промышленных сетей.

В результате было решено внедрять DoH в «выпадающем режиме». Это означает, что, если при использовании DoH не удастся получить доменное имя, Firefox вернётся к использованию DNS, указанному операционной системой. Также, если Firefox выявляет наличие родительского контроля или политики предприятия, Firefox отключит шифрованный доступ к DNS.

В Mozilla уже начинают постепенно подключать DNS-over-HTTPS в Firefox по умолчанию на территории США.

В Firefox может появиться сверхприватный режим

Организация Mozilla хочет профинансировать разработчиков, которые помогут ей решить один из 12 особых вопросов по развитию браузера. Последний из 12 вопросов самый интересный, поскольку предполагает интеграцию множества функций Tor в Firefox.

В результате проведенной работы должен появиться режим «Сверхприватного браузинга» (Super Private Browsing или SPB), который обеспечит высочайший уровень анонимности для противостояния системам «массового наблюдения, отслеживания и негласной идентификации».

Приватное окно в Firefox

При этом организация отмечает ряд трудностей при разработке режима SPB. Они связаны с тем, что при его включении сеть Tor получит множество новых пользователей, а потому сеть потребует новый протокол, который обеспечит необходимое масштабирование. Важным является исследование вопросов «альтернативных протокольных архитектур» и «протоколов выбора маршрутов», которые должны быть внедрены для обеспечения быстрой работы сети Tor.

Если эти вопросы удастся решить, то пользователи могут надеяться на интеграцию Tor в Firefox.