Мудрые люди обдумывают свои мысли, глупые - провозглашают их

(девушка программиста) Дорогой, по-моему, я беременна! ...

Mozilla развивает собственную систему машинного перевода
Mon, 21 Oct 2019 07:14:55 +0300

Samsung свернул проект "Linux on DeX"
Sun, 20 Oct 2019 22:54:09 +0300

Ubuntu исполнилось 15 лет
Sun, 20 Oct 2019 19:38:18 +0300

Первый выпуск Pwnagotchi, игрушки для взлома WiFi-сетей
Sun, 20 Oct 2019 08:40:38 +0300

Усиление изоляции между сайтами в Chrome
Fri, 18 Oct 2019 10:25:59 +0300

Компания Cloudflare реализовала модуль для поддержки HTTP/3 в NGINX
Thu, 17 Oct 2019 18:51:04 +0300

В Firefox появятся новые индикаторы безопасности и интерфейс about:config
Thu, 17 Oct 2019 10:40:04 +0300

Дистрибутив Trident переходит с BSD-системы TrueOS на Void Linux
Thu, 17 Oct 2019 07:51:57 +0300

WireGuard и andOTP удалены из Google Play из-за ссылок на приём пожертвований
Wed, 16 Oct 2019 21:21:15 +0300

Arch Linux готовится к применению алгоритма сжатия zstd в pacman
Wed, 16 Oct 2019 20:20:58 +0300

Khronos предоставил возможность бесплатной сертификации открытых драйверов
Wed, 16 Oct 2019 09:23:42 +0300

Mozilla прекращает поддержку поисковых дополнений на базе технологии OpenSearch
Wed, 16 Oct 2019 07:42:45 +0300

Язык Perl 6 переименован в Raku
Tue, 15 Oct 2019 20:47:16 +0300

В Debian 11 предлагается по умолчанию задействовать nftables и firewalld
Mon, 14 Oct 2019 21:53:29 +0300

Недоработка в Python-скрипте могла привести к неверным результатам в более 100 публикациях по химии
Sun, 13 Oct 2019 11:02:13 +0300

Новости OPENNET
Новости

Зафиксирована атака на сеть серверов криптографических ключей, построенных на базе ПО SKS Keyserver. Атакующие воспользовались проблемой в протоколе OpenPGP, о которой известно уже более 10 лет, но которая неустранима без кардинальных изменений и до сих пор не применялась для осуществления реальных атак. В случае импорта с сервера атакованного OpenPGP-сертификата проблема приводит к нарушению работы окружения GnuPG у пользователя (зависание, делающее невозможным дальнейшую работу).

Суть атаки в размещении на серверах хранения открытых ключей большого числа подписей для сертификата жертвы. Спецификация OpenPGP даёт возможность пользователям добавлять цифровые подписи для произвольных сертификатов, подтверждая их владельца, но не регламентирует максимальное число таких подписей. Сервер ключей SKS допускает размещение в сети до 150 тысяч подписей на один сертификат, но GnuPG такое число подписей не поддерживает. Попытка загрузки пользователем атакованного сертификата приводит к трудно восстановимому нарушению нормальной работы GnuPG и других реализаций OpenPGP.

В силу распределённого характера сети ключей предсказать на какие ещё сертификаты направлена атака невозможно до момента начала проявления сбоев при их обработке. Иными словами любой сертификат может быть атакован и эта атака проявится лишь тогда, когда начнутся сбои. Единственным способом защиты является полное прекращение использования серверов ключей, т.е. необходимо удаление настроек keyserver из gpg.conf. Если проблема уже проявилась, то, если известен проблемный сертификат, для восстановления работы достаточно удалить его из локального хранилища, а если сертификат не известен, то,

возможно, потребуется пересоздание хранилища сертификатов на основе проверенных открытых ключей.

Рекомендация по полному прекращению использования существующих серверов ключей обусловлена тем, что пострадавшие в ходе атаки сертификаты не могут быть удалены из сети серверов ключей, а атакованные сертификаты невозможно отследить до проявления сбоя на стороне пользователей. В строй введён новый экспериментальный сервер ключей keys.openpgp.org, в котором реализована защита от подобных атак, но БД данного сервера заполняется с нуля, а сам сервер не входит в сеть серверов криптографических ключей. Для активации данного сервера в конец файла dirmngr.conf можно добавить строку "keyserver keys.openpgp.org". При этом в обозримом будущем атака не может быть блокирована на уровне уже существующих сетей хранения ключей SKS.

Основная проблема в том, что одним из ключевых принципов серверов хранения ключей является то, что уже размещённый сертификат никаким образом не может быть удалён. Сертификаты и любую другую информацию можно только добавлять, но не удалять, чтобы оставалась цепочка для прослеживания всех действий и было невозможно подменить сертификат после его удаления. Более того, серверы криптографических ключей постоянно взаимодействуют между собой и осуществляют сверку своих баз для выявления возможных изменений или удаления сертификатов. Не существует единого эталонного сервера, на котором можно было бы удалить проблемные записи, все серверы равноправны, что делает задачу внесения архитектурных изменений крайне сложной.

Маловероятно, что исправление, нарушающее данную концепцию, будет внесено на уровне протокола OpenPGP. В любом случае для исправления и обновления ПО на серверах и клиентских системах потребуется очень много времени. Внесению исправления на уровне ПО SKS (Synchronizing Key Server) мешает необходимость аккуратного изменения проверенного временем достаточно сложного алгоритма синхронизации. Задача усложняется тем, что SKS написан на достаточно специфичном языке OCaml и остаётся без сопровождающего - никто из остающихся в сообществе разработчиков не знает начинку настолько хорошо, чтобы безболезненно вносить фундаментальные изменения (в текущем виде в код вносятся лишь исправления ошибок, но в данном случае требуется переработка архитектуры).

В настоящее время приводящее к проблемам наводнение подписями сертификатов зафиксировано для двух известных участников сообщества OpenPGP (Robert J. Hansen (rjh) и Daniel Kahn Gillmor (dkg)). Ожидается, что атака не остановится на двух жертвах и из-за простоты проведения атаки число проблемных сертификатов лишь будет расти со временем. Возможный размер ущерба от атаки пока трудно оценить.

9.0294 71.1299 0.5886 63.9542

НОВОСТИ: Уязвимость в пакетном менеджере GNU Guix Fri, 18 Oct 2019 09:16:50 +0300

В пакетном менеджере GNU Guix выявлена уязвимость (CVE-2019-18192), позволяющая добиться выполнения кода в контексте другого пользователя. Проблема проявляется в многопользовательских конфигурациях Guix и вызвана неверным выставлением прав доступа на системный каталог с профилями пользователей.

???????@Mail.ru Opera Firefox INFOBOX - хостинг Google Chrome