Компьютерра, 2006 № 11 (631) - [4]

Проверяйте файлы, не отходя от кассы

Разработчики GPG, популярной криптопрограммы с открытыми исходниками, известной также под именами GnuPG и GNU Privacy Guard, извещают о паре выявленных в коде серьезных багов, которые снижают безопасность криптографии. Обнаруженные слабости теоретически позволяют злоумышленнику незаметно делать собственные вставки в контент, защищаемый цифровой подписью, либо подделывать подписи файлов. Потенциальной угрозе подвержены все версии программы, предшествовавшие 1.4.2.2.

GPG родилась как проект германских программистов, решивших создать бесплатный аналог ушедшей в коммерцию PGP. Программа быстро завоевала популярность и сегодня входит во многие дистрибутивы таких операционных систем, как FreeBSD, OpenBSD и многочисленные разновидности Linux. Оба нынешних бага в GPG обнаружил Тавис Орманди (Tavis Ormandy) из команды программистов-разработчиков, отвечающих за безопасность ОС Gentoo Linux.

Распространители дистрибутивов Linux и Unix часто используют цифровую подпись GPG для подтверждения подлинности выпускаемых обновлений, а также для верификации рассылки почтовых сообщений о выявленных проблемах с безопасностью. Обнаруженные Тависом Орманди баги позволяют встраивать в электронное письмо или подписываемые файлы дополнительные пакеты, так что проверяющая подписи программа эти вставки «как бы не замечает» и подтверждает подлинность полученной корреспонденции. Поэтому все системы, распространяющие дистрибутивы с опорой на GPG, нуждаются в обновлении программы до версии 1.4.2.2 или выше. Подробно ознакомиться с выявленными в GnuPG слабостями можно по этому адресу. — Б.К.

Сумчатый грипп

На ежегодной «Конференции по всепроникающему компьютингу и коммуникациям» (IEEE PerCom), проходившей в итальянском городе Пиза, группа исследователей из Свободного университета Амстердама представила доклад о выявленной ими новой уязвимости систем на основе RFID, чипов радиочастотной идентификации. Ученые продемонстрировали на практике, что все шире внедряемые RFID-метки, приходящие на смену традиционным штрих-кодам, точно так же подвержены угрозам вирусных инфекций , как и любое другое компьютерное устройство.

Вплоть до последнего времени предполагалось, что мизерный объем памяти большинства RFID-чипов сам по себе является гарантией вирусного иммунитета этой технологии. Однако голландцы показали, что и этого объема вполне достаточно для внедрения злонамеренного кода. Когда этот код вместе с остальной информацией считывает прибор-ридер, подключенный к компьютерной базе, то дальше происходит заражение системы и перенос вируса на все последующие RFID-чипы, обрабатываемые и программируемые ридером. Иными словами, имеются все условия для распространения инфекции.

Опасность подобного сценария демонстрируется на примере аэропорта Лас-Вегаса, где ежемесячно обрабатывается два миллиона единиц багажа пассажиров. С мая 2006 года администрация аэропорта намерена прикреплять к чемоданам, сумкам и тюкам RFID-метки для ускорения обработки всей этой клади. И если всего лишь один злоумышленник приклеит к своему чемодану зараженную вирусом RFID-метку, то скоро система автоматизированного учета и сортировки рухнет. Тем же вирусом будут заражены чипы идентификации на всех прошедших обработку чемоданах. По прибытии в пункты назначения этот багаж может быть просканирован RFID-системой других аэропортов, так что теоретически эпидемия способна быстро распространяться по всему миру… Как это часто бывает с изобретением еще не существующих угроз, у придумавших RFID-вирус ученых уже имеется разработанное ими же средство борьбы с подобной заразой, которое (вкупе со взаимовыгодным сотрудничеством) предлагается заинтересованным лицам на сайте www.rfidgu-ardian.org. — Б.К.

У ЦРУ сносит крышу

Американские журналисты из газеты Chicago Tribune продемонстрировали то, о чем специалисты по защите информации предупреждают давным-давно: крупные централизованные базы, собирающие данные из открытых источников, а затем продающие всевозможную информацию о людях, являются обоюдоострым оружием. Они могут быть очень удобным подспорьем для спецслужб, составляющих профиль на заинтересовавшего их или вызывающего подозрение человека. Но эти же базы могут с успехом разоблачать и сотрудников разведки, работающих под прикрытием ради успешного выполнения задач и нередко просто ради сохранения жизни в опасных операциях.

Журналисты решили проверить, сколько тайн ЦРУ — находящихся «под крышей» агентов, засекреченных зданий и прочих объектов, телефонов и т. д. — можно раскрыть с помощью Интернета, пользуясь услугами платных и бесплатных баз. В итоге было «вычислено» 2653 сотрудника ЦРУ (из которых лишь 160 официально называют себя аналитиками и представителями администрации разведки), полсотни внутренних телефонов Управления, а также множество секретных объектов в Чикаго, штатах Флорида, Пенсильвания и Вашингтон. Сделано все это на основе перекрестного изучения таких доступных источников, как телефонные справочники, налоговые документы на недвижимость, списки избирателей, судебные решения и деловые бумаги корпораций.