Новости про безопасность

Google скоро введёт обязательную двухфакторную аутентификацию

В ходе World Password Day Марк Ришер, директор по менеджменту продуктов для идентификации и пользовательской безопасности в Google, выразил уверенности, что двухфакторная аутентификация (2FA), станет заменой для паролей.

Он заявил, что рассматривает пароли как «единственную большую угрозу» онлайн-безопасности, ведь их легко похитить. Ришер надеется, что «пароли станут объектом прошлого», в будущем.

Настройка двухфакторной аутентификации от Google

Ришер добавил, что Google начнёт «автоматически разворачивать для пользователей 2FA, если их учётные записи правильно сконфигурированы». С включением двухфакторной аутентификации пользователи подтвердят свой вход в систему через отдельное приложение Authenticator на смартфоне.

Microsoft переходит на шифрование SHA-2

Secure Hash Algorithm 1 (SHA-1) вот уже 25 лет используется для криптографии на основе функции хэширования. Компания Google в 2017 году показала его слабость, и большинство браузеров перестали принимать сертификаты SHA-1 на сайтах как небезопасные.

И вот, со следующего месяца Microsoft также решила полностью перейти на SHA-2. Как можно догадываться по названию, этот алгоритм является усовершенствованным, более безопасным и быстрым. Все доверенные корневые сертификаты SHA-1 будут работать до их истечения, а большинство процессов, включая сертификаты TLS, хэширование файлов и подписание кода будут выполняться исключительно при помощи SHA-2 начиная с 9 мая.

Этот шаг вряд ли можно считать неожиданным. Два года назад Microsoft начала выпускать обновления Windows, подписанные SHA-2, а в Download Center с конца 2020 года.

В компании пояснили, что до истечения срока действия будут работать только сертификаты SHA-1 Root CA. при этом сертификаты вручную подписанные при помощи SHA-1 самими предприятиями не пострадают. Тем не менее, предприятиям рекомендуется переходить на SHA-2.

Intel хочет создать гомоморфное шифрование

Компания Intel подписала соглашение с Defense Advanced Research Projects Agency, или DARPA, для поиска Священного Грааля шифрования.

Главная идея заключается в использовании полного гомоморфного шифрования, которое позволяет использовать зашифрованные данные без их расшифровки. Конечно, гомоморфное шифрование существует и сейчас, однако его применение непрактично, поскольку оно отнимает огромное время даже при выполнении простых операций.

Применение этой технологии позволит значительно улучшить безопасность. Главной проблемой современного шифрования, по словам Intel, является необходимость расшифровки данных для их обработки. И именно в этот момент, когда информация открыта, она наиболее уязвима для неавторизованного доступа.

Целью программы Data Protection in Virtual Environments является разработка акселератора для полного гомоморфного шифрования, более практичного и масштабируемого. Роль разработчика процессоров в этой программе заключается в проведении академических исследований и разработке специализированных интегральных схем, которые ускорят обработку задач полного гомоморфного шифрования.

Компания Intel сообщает, что когда проект будет завершён, её чип-акселератор сократит время обработки в таких задачах на 5 порядков, по сравнению с современными решениями

Уязвимость Spectre взята на вооружение

Сайт VirusTotal, занимающийся сканированием на вирусы, выявил полноценный работоспособный эксплоит для известной уязвимости процессоров Spectre. Это впервые, когда рабочий эксплоит Spectre, способный нанести реальный вред, появился на публике.

Эксплоит открыл французский исследователь в области безопасности Жульен Вуасен. Этот эксплоит использует Spectre, большую уязвимость центральных процессоров, выявленную в январе 2018 года.

Вуасен отметил, что выявил две версии эксплоита, для Windows и для Linux. Последний способен копировать содержимое /etc/shadow, файла, в котором хранятся детальные сведения об учётной записи пользователя.

Уязвимости Spectre и Meltdown

После того как были выявлены уязвимости Spectre и Meltdown, производители процессоров провели большую работу по их устранению, что негативно повлияло на производительность. Новые же процессоры разрабатываются с учётом требований по недопущению уязвимостей подобного рода. Разработчики поняли, что нельзя жертвовать безопасностью данных в угоду производительности.

Но поскольку патчи в микрокоде процессоров и BIOS замедляют работу CPU, многие пользователи отказались устанавливать обновления. Да и на предприятиях не всегда за этим внимательно следят. Так что хакеры наверняка нашли применение выявленному эксплоиту.

DuckDuckGo выполняет по 100 миллионов запросов в день

По мере того, как люди всё больше беспокоятся о сетевой безопасности и гигиене, они ищут другие способы взаимодействия с Интернетом.

Мы все видим, какую шумиху подняло изменение в политике приватности WhatsApp. Раньше люди не думали, каким поисковым движком они пользуются, однако теперь этому стали уделять всё больше внимания.

Герой DuckDuckGo

Сервис DuckDuckGo (DDG) был основан в 2008 оду на принципах отказа от продажи персональной информации. Финансы же он получает за счёт продажи рекламы в движке. В 2010 году DDG обработала 16 413 461 поисковый запрос.

Статистика использования DuckDuckGo

11 января 2021 года DDG сообщила о рекорде за всё время — 102 251 307 запросов в день. За этот год движок обработал более миллиарда запросов, что заметно больше результата, полученного за весь 2020 год.

Похоже, что продолжающиеся угрозы взлома и продажи персональной информации будут вести к дальнейшему росту популярности этого поискового движка и прочих анонимных систем.

Microsoft: 2021 станет годом отказа от паролей

Компания Microsoft продвигает беспарольные технологии достаточно давно, утверждая, что она хочет смерти традиционных небезопасных паролей.

Для этого она разрабатывает различные технологии, включая Windows Hello, Microsoft Authenticator, ключи безопасности FIDO2 и систему аутентификации по венам ладони.

Фирма отметила, что прилагала все усилия для уничтожения паролей в 2020 году, и продолжит это делать и в 2021. Сообщается, что почти 80% кибератак нацелены на пароли, и один из 250 корпоративных аккаунтов каждый месяц из-за этого компрометируется. Учитывая это, софтверный гигант хочет перевести людей на беспарольные решения. В ноябре 2019 года около 100 миллионов человек использовали беспарольные методы входа. В мае 2020 года это число выросло до 150 миллионов. Эта статистика наглядно показывает, как быстро люди уходят от ввода паролей не только из-за их небезопасности, но и из-за сложностей с их запоминанием.

В 2021 году Microsoft хочет сделать пароли устаревшими для всех своих клиентов. Она разрабатывает новые API и UX для обслуживания ключей FIDO2. Также она хочет представить «сводный регистрационный портал», где клиенты смогут управлять беспарольными учётными данными. Все надеются, что в 2021 году мы вернёмся к нормальной жизни, в то же время в Microsoft хотят максимально упростить работу с онлайн сервисами.

Microsoft анонсирует процессор безопасности Pluton

Безопасность платформы всегда была важным аспектом работы ОС. На фоне роста популярности аппаратных кибератак, растёт спрос и на системы безопасности платформ от начального до самого глубокого уровня. И над этой проблемой совместно стали работать Microsoft, AMD, Intel и Qualcomm.

Работая со своими аппаратными партнёрами, компания Microsoft создала процессор Pluton Security, который является технологией безопасности «от чипа до облака». Разработкой занимались подразделения Microsoft Xbox и Azure Sphere. Благодаря этому чипу компания хочет привнести безопасность в «самую основу» компьютеров с Windows, усилив интеграцию аппаратного и программного обеспечения для «исключения атак всех направлений».

Процессор Microsoft Pluton Security

В настоящее время неизвестно, когда AMD, Intel и Qualcomm выпустят свои CPU с процессором Microsoft Pluton Security. Обновление прошивки для процессора будет выполняться через Windows, что гарантирует пользователям всегда актуальное состояние системы безопасности, не полагаясь на обновления BIOS и сторонних разработчиков.

Интеграция процессор Pluton Security в SoC и принцип действия

Процессор Pluton будет простым в обслуживании и обновлении и будет работать как хаб безопасности, отделённый от прочих аспектов пользовательских CPU. Критические данные, такие как ключи безопасности, будут храниться в процессоре Pluton, исключая возможные атаки на CPU с целью завладевания критический важной информацией. Это не только повысит безопасность будущих компьютеров с Windows, но и улучшит всю экосистему PC.

Kaspersky предупреждает о нацеленности хакеров на Linux

Аналитики лаборатории Касперского предупреждают, что хакеры и мошенники всё больше ориентируются в своих атаках на Linux, используя инструменты, специально созданные для эксплуатации уязвимостей платформы.

По данным Kaspersky, злоумышленники постоянно диверсифицируют свои арсеналы, содержащие инструменты Linux, что даёт им более широкий доступ к атакуемым системам.

Многие организации выбирают Linux для стратегически важных серверов и систем. Также наблюдается «заметная тенденция» по внедрению Linux в настольном окружении большого бизнеса и правительственных агенствах. Это привлекает большее число хакеров, которые активнее разрабатывают вредоносное ПО для этой платформы.

Более десятка целевых кибератак используют вредоносное ПО на Linux или некоторые модули, основанные на Linux, а также на несколько платформ одновременно. И хотя пока целевые атаки на Linux-системы не являются распространёнными, наборы веб-оболочек, бэкдоров и руткитов, наряду со специально разработанными эксплоитами, уже доступны для тех, кто ищет их применения.

Kingston выпускает шифруемый флэш-накопитель объёмом 128 ГБ

Компания Kingston Digital Europe анонсировала доступность нового шифруемого флэш-накопителя семейства DataTraveler 2000 объёмом 128 ГБ.

Серия DataTraveler 2000 характеризуется тем, что имеет цифробуквенную клавиатуру, которая позволяет заблокировать накопитель используя пин-код как дополнительный слой безопасности. Для ещё большей безопасности, функция автоблокировки активируется при отключении накопителя от компьютера, даже, если функция безопасного отключения не была использована.

Kingston DataTraveler 2000

Устройства DataTraveler 2000 сертифицированы FIPS 140-2 Level 3 и обеспечивают аппаратное 256-битное AES-шифрование военного уровня. Будучи созданной профессионалами в области информационной безопасности с мыслью о корпоративных пользователях, DT2000 идеально подойдёт для тех, кому требуется электронная защита данных с шифрованием.

Накопители DataTraveler 2000 доступны в объёмах от 4 ГБ до 128 ГБ и продаются с трёхлетней гарантией. Если вы беспокоитесь о низкой производительности этих накопителей, то зря. Младшие версии могут обеспечить доступ со скоростью до 80 МБ/с при чтении и 12 МБ/с при записи, а старшие — до 135 МБ/с при чтении и 40 МБ/с при записи. Габариты флэшки составляют 80х20х10,5 мм.

Цена, заявленная на официальном сайте, стартует от 64 фунтов и достигает 243 фунтов.

Процессор Snapdragon имеет уязвимость

Исследователи в области безопасности нашли в процессоре Qualcomm Snapdragon, одном из самых популярных чипов для смартфонов, сотни позиций уязвимого кода, который несёт угрозу миллионам пользователей Android.

Компания Check Point нашла уязвимости в цифровом сигнальном процессоре (DSP) в Qualcomm Snapdragon. Всего найдено более 400 элементов уязвимостей, который вместе получили название Achilles. Эта уязвимость может воздействовать на смартфон тремя способами.

В любом случае, вначале злоумышленникам нужно заставить жертву установить приложение, которое обойдёт обычные меры безопасности. После этого хакеры могут превратить телефон в инструмент шпионажа.

Они могут получить доступ к фотографиям, видеозаписям, данным GPS и геолокации. Также они могут осуществлять запись звонков и включать микрофон без ведома хозяина.

Qualcomm Snapdragon

Другой вариант использования уязвимости — окирпичивание устройства. Злоумышленники могут закрыть доступ ко всем данным на устройстве, что приведёт к отказу в работе.

И в последнем варианте есть возможность скрыть другой вредоносный код на устройстве так, чтобы он не был заметен жертве и его нельзя было удалить.

Одной из причин столь массивной уязвимости называется то, что DSP представляет собой типичный «чёрный ящик», и только производитель может понять, какие именно процессы в нём протекают.

Информация об уязвимости была опубликована после того, как Qualcomm предприняла меры по её устранению, однако некоторые производители устройств ещё не выпустили соответствующие патчи, а потому их смартфоны находятся в опасности.