18.11.2019  Вопросы кибербезопасности: спецвыпуск, посвященный 90-летию Краснодарского высшего военного училища!

13.11.2019  Продолжение продаж комплекса средств анализа защищенности «Сканер-ВС»/«Сканер-ВС Инспектор»

11.11.2019  Кибербезопасная неделя в Поднебесной

07.11.2019  Эксперты ГК «Эшелон» приняли участие в работе методических сборов, организованных управлением ФСТЭК России по Дальневосточному федеральному округу

06.11.2019  ГК «Эшелон» приняла участие в семинаре ФСТЭК России по вопросам совершенствования системы подготовки специалистов в области ИБ

19.09.2019  Журнал «Вопросы кибербезопасности» за прошедший год признан лучшим в РИНЦ по тематике!

17.09.2019  Эксперты АО НПО «Эшелон» провели секцию по защите критической информационной инфраструктуры в рамках Всероссийского форума «ПРОФ-IT.2019»

06.08.2019  ГК «Эшелон» в очередной раз вошла в список крупнейших компаний в области информационных и коммуникационных технологий!

02.08.2019   АО «НПО «Эшелон» вошло в ТОП-20 крупнейших ИБ-компаний России

23.07.2019  Запуск новой услуги НПО «Эшелон» для компаний-разработчиков по внедрению процесса безопасной разработки ПО

01.04.2019

AppChecker’ом по Бляйхенбахеру


Эксперты НПО «Эшелон» в результате исследования открытых программных проектов выявили критическую угрозу для интернет-приложений – возможность проведения атаки Бляйхенбахера! В настоящее время самым эффективным средством для заблаговременного предупреждения данной атаки является статический анализатор кодов AppChecker!

В далеком 1998-м году американский профессор Даниэль Бляйхенбахер показал возможность атаки на алгоритм шифрования RSA, позволяющей злоумышленнику без наличия закрытого ключа получить доступ к зашифрованным сообщениям или осуществить атаку «человек посередине».

47485.jpg

Атака Бляйхенбахера может быть заранее предупреждена, благодаря статистическому анализатору AppChecker. C помощью него можно отыскивать всевозможные дефекты кодирования на языках C/C++, Java, PHP и C#.

На сегодняшний день, активно применяя AppChecker, специалисты лаборатории НПО «Эшелон» провели анализ безопасности кода различных opensource-проектов, включая Dolibarr (ERP/CRM), Chamilo LMS (LMS), ocPortal (CMS) и др. Практически во всех случаях были обнаружены бреши, а в одной из них и была найдена критическая уязвимость, позволяющая провести атаку Бляйхенбахера.


К уязвимости приводит следующий фрагмент кода:

function encrypt_data($data)

{

...

if (!openssl_public_encrypt($input,$encrypted,$key))

...

}


Использование функции openssl_public_encrypt без указания параметра padding приводит к тому, что используется значение по умолчанию - OPENSSL_PKCS1_PADDING. Известно, что этот padding является уязвимым и с помощью атаки Бляйхенбахера злоумышленник может получить закрытый ключ.

Обо всех обнаруженных уязвимостях эксперты НПО «Эшелон» известили разработчиков указанных проектов и бреши были ликвидированы.

7е90.jpg


«Возможность предупредить атаку Бляйхенбахера – это важнейшее событие в безопасной ИТ-сфере. Разумеется, гораздо эффективнее использовать мощное профилактическое средство AppChecker, чем пожинать столь горькие плоды этой страшнейшей атаки!» - прокомментировал волнующее известие профессор Алексей Сергеевич Марков.


Возврат к списку