Новости за 24 ноября

Raspberry Pi 3 обновился до модели A+

Разработчики платформы Raspberry Pi представили новую модификацию своего миникомпьютера под названием A+. В отличие от существующей B+, новая машина обладает несколько урезанными возможностями, зато на 10 долларов дешевле.

В плане SoC новая модель ничем не отличается от старой. Она по-прежнему базируется на Broadcom BCM2837B0, 64-битной SoC архитектуры Cortex-A53 частотой 1,4 ГГц. Объём оперативной памяти LPDDR2 составляет 512 МБ. Также имеется поддержка сетей 802.11 b/g/n частотой 2,4 ГГц и 5 ГГц и сеть Bluetooth 4.2 BLE. Интерфейсы включают 40-контактный хедер GPIO, полноразмерный HDMI и USB 2.0, однако без хаба, который был в B+.

Raspberry Pi A+
Raspberry Pi A+

Модуль камеры поддерживается через порт CSI. Сенсорный дисплей подключается через интегрированный порт DSI. Если вам недостаточно HDMI выхода, то имеется 4-полюсный композитный видеовыход. Загрузка компьютера осуществляется через карту памяти microSD. Питается машина от 5 В потребляя 2,5 А.

Модель Raspberry Pi 3 A+ будет доступна за 25 долларов до января 2023 года.

Найден способ обхода аппаратного шифрования SSD

Исследователи из Университета Неймегена (Радбауд) в Нидерландах анонсировали уязвимость, которая касается некоторых твердотельных накопителей с аппаратными средствами безопасности.

Эта уязвимость позволяет злоумышленникам обойти аппаратное шифрование диска и получить доступ к данным.

Аппаратное шифрование в SSD реализовано с помощью специальных чипов. Исследователи Карло Мейер и Бернард Ван Гастель установили, что уязвимость кроется в прошивках. Они выяснили, что за шифрование отвечают две спецификации: ATA security и TCG Opal. В ходе расследования они выяснили, что расшифровать данные на диске можно не только с помощью пользовательского пароля, но и с помощью мастер пароля, который установили разработчики SSD. Как и в случае с роутерами, которые имеют учётную запись с завода, SSD также хранят такую запись в своей памяти, а значит, кто угодно, знающий заводской пароль, может получить доступ к данным.

Безопасность данных
Безопасность данных

Некоторые из исследованных накопителей имели неверную реализацию стандартов ATA security и TCG Opal. Эта неверная реализация означает, что пользовательский пароль не связан с ключом шифрования криптографически. «Отсутствие этой связи — катастрофично. На самом деле, защита пользовательских данных больше не связана секретом. Вся информация, требуемая для расшифровки данных, хранится на самом накопителе и может быть восстановлена», — отметили исследователи.

Также учёные отметили, что пока проверили ограниченное количество SSD, однако уязвимость срабатывала на всех. В объёме исследования были проверены модели Crucial MX100, Crucial MX200, Crucial MX300, Samsung 840 Evo, Samsung 850 Evo, Samsung T3 и Samsung T5.

Полмиллиона пользователей установили зловредное ПО из Google Play

Эксперт ESET в области безопасности Лукас Стефанко сообщил детали об инциденте массового инфицирования Android устройств через Google Play.

Эксперт обнаружил в Google Play 13 игровых приложений выпущенных одним и тем же разработчиком. Две из этих игр рекламировались самим Google Play, находясь в разделе «Топ платных». Это игры — автосимуляторы, однако они являются зловредами. По сумме инсталляций инфицированными оказались 580 тысяч устройств.

Вредоносные автосимуляторы из Google Play
Вредоносные автосимуляторы из Google Play

Загружавшие приложения надеялись погонять на грузовике или автомобиле, но по факту игра постоянно вылетала. В реальности игра загружала данные с другого домена, зарегистрированного на разработчика приложения в Стамбуле. Что делает зловред пока не выявлено. Ясно, что он загружается вместе с Android и имеет полный доступ к сетевому трафику, что позволяет автору воровать секретные данные.

Домен зарегистрирован на Мерта Озека, но на электронные письма он не отвечает. Представитель Google Скотт Вестовер подтвердил, что приложение нарушает правила Play Store. Компания Google достаточно часто подвергается критике за то, что допускает к публикации вредоносные приложения. Фирма создала специальный сервис для проверки злонамеренных действий, но, похоже, он не стал панацеей. Тем временем блог Лукаса продолжает полнится вредоносными приложениями из Google Play.