Закон лаборатории Фетта

Никогда не пытайтесь повторить удачный эксперимент.

Сидит мужик на лавочке и смотрит как петух курочку топчет. ...

Открыт код классического почтового клиента Eudora
Wed, 23 May 2018 09:09:46 +0300

Kubuntu прекращает подготовку сборок для 32-разрядных систем x86
Mon, 21 May 2018 12:24:33 +0300

Компания Tesla частично опубликовала GPL-код для формирования системного окружения
Mon, 21 May 2018 08:31:05 +0300

Lubuntu переходит на пользовательское окружение LXQt
Sat, 19 May 2018 09:24:55 +0300

Представлена вторая версия протокола Git
Fri, 18 May 2018 21:50:53 +0300

В Chrome изменится индикация безопасных соединений
Thu, 17 May 2018 22:24:42 +0300

Сенат США проголосовал за отмену решения FCC, касающегося сетевого нейтралитета
Thu, 17 May 2018 10:53:01 +0300

Прекращена разработка дистрибутива Korora
Wed, 16 May 2018 23:20:47 +0300

Компания Canonical опубликовала заявление, связанное с вредоносным ПО в Snap Store
Tue, 15 May 2018 23:33:17 +0300

Фонд свободного ПО сертифицировал программатор Zerocat Chipflasher
Tue, 15 May 2018 22:37:05 +0300

Из файлового менеджера GNOME будет удалена возможность запуска исполняемых файлов
Tue, 15 May 2018 21:41:05 +0300

В openSUSE Leap появится поддержка атомарного обновления системы
Tue, 15 May 2018 11:27:56 +0300

Google планирует обязать OEM-производителей выпускать обновления безопасности для Android-устройств
Sat, 12 May 2018 11:00:33 +0300

GitHub опубликовал отчёт о блокировках в 2017 году
Fri, 11 May 2018 23:06:21 +0300

Опубликованы макеты мобильного интерфейса GNOME для смартфона Librem 5
Fri, 11 May 2018 10:25:21 +0300

Новости OPENNET
Новости

Себастьян Шинцель (Sebastian Schinzel), авторитетный немецкий эксперт по компьютерной безопасности (один из авторов атаки DROWN), предупредил о выявлении критических уязвимостей в системах шифрования почтовой переписки, основанных на использовании PGP/GPG и S/MIME. Проблемы позволяют определить исходный открытый текст шифрованных писем, в том числе отправленных ранее зашифрованных писем. В настоящее время доступно лишь общее предупреждение, детали будут раскрыты 15 мая в 7 утра (UTC). Проблемам присвоено имя Efail.

Правозащитная организация Electronic Frontier Foundation (EFF)

подтвердила, что выявленные уязвимости относятся к разряду наиболее критических проблем и представляют серьёзных риск для пользователей шифрованных коммуникаций по электронной почте, особенно так как проблемы позволяют получить доступ к содержимому ранее отправленных зашифрованных сообщений.

Утверждается, что надёжно работающих исправлений проблем пока не существует, поэтому пользователям PGP/GPG и S/MIME предлагается отключить в почтовых клиентах инструменты, поддерживающие автоматическую расшифровку сообщений. До формирования исправлений пользователям предлагается временно прекратить использование PGP для отправки и приёма писем и воспользоваться альтернативными каналами обмена шифрованными сообщениями, такими как Signal. Инструкции по отключению PGP/GPG и S/MIME подготовлены для Thunderbird с Enigmail, Apple Mail c GPGTools и Outlook c Gpg4win.

Судя по отрывочным сведениям, уязвимости напрямую не затрагивают PGP/GPG и S/MIME, а проявляются в конечных решениях на базе данных систем для почтовых клиентов и связаны с функциями автоматической расшифровки. С другой стороны, среди исследователей, которые входят в команду, выявившую уязвимость, в основном представлены эксперты, специализирующиеся на криптографических алгоритмах.

Дополнение: Разработчики GnuPG успокоили пользователей, что проблема напрямую не касается GnuPG и Enigmail, а затрагивает методы использования PGP в почтовых клиентах. Дополнительно появилось пояснение, что проблема касается только писем, переданных в формате HTML, т.е. из которых могут выполняться обращения к внешним ресурсам.

Судя по всему, проблема связана с тем, что HTML может использоваться как канал для подстановки в письма заранее известных меток (oracle), например, через манипуляции с тегом "img". Из-за недоработок в MIME-парсерах почтовых клиентов наличие в тексте подобных меток приводят к объединению связанных с ними фрагментов с расшифрованными MIME-блоками. Данная особенность может применяться для организации атак на основе подобранного шифротекста.

В качестве мер защиты разработчики GnuPG предлагают использовать аутентифицированное шифрование, например, рекомендуется использовать поддерживаемый в GnuPG с 2002 года механизм MDC (Modification Detection Codes) для предотвращения подстановки сторонних данных в содержимое. Атака становится невозможной, если в почтовом клиенте корректно используется MDC или реализован правильный MIME-парсер. Общий вывод: уязвимость не затрагивает протокол OpenPGP и его реализацию GnuPG, а охватывает только отдельные почтовые клиенты, в которых некорректно организован процесс шифрования, загружается содержимое внешних ссылок в HTML-тексте и отсутствует проверка MDC.

Дополнение 2: Досрочно раскрыты подробности атаки (для уязвимости создан отдельный сайт efail.de). Описание деталей изложено в отдельной новости.

61.2610 72.2390 0.552 9.6162

НОВОСТИ: Выпуск Kata Containers 1.0 с изоляцией на основе виртуализации Tue, 22 May 2018 22:48:15 +0300

Состоялся первый выпуск проекта Kata Containers, в рамках которого развивается стек для организации выполнения контейнеров с использованием изоляции на базе полноценных механизмов виртуализации, созданный компаниями Intel и Hyper путём объединения технологий Clear Containers и runV. Код проекта написан на языке Go и распространяется под лицензией Apache 2.0. Развитие проекта курирует рабочая группа, созданная под эгидой независимой организации OpenStack Foundation, в которой участвуют такие компании, как Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE и ZTE.

???????@Mail.ru Opera Firefox INFOBOX - хостинг Google Chrome