Стабильность: и в области безопасности тоже

В уходящем 2011 г. все как-то увлеклись обсуждением безопасности "постписи"-устройств, похоже, несколько подзабыв, что пока мы еще живем в прежнем "писи" мире.

Благо, исследователи готовы развеять любые иллюзии. Специально ли они приберегли свои находки к концу года? Может и нет, но заключительный аккорд вышел громким.

Прежде всего, большое число приложений и технологий оказалось уязвимо для атак на основе хэш-коллизий. Это относится к ASP.NET, Java, PHP, Ruby, V8 и пр. В частности, для веб-серверов это означает, что определенным образом подобранные данные форм в POST-запросе могут вызывать 100% загрузку процессора и, следовательно, использоваться для DoS-атак.

Некоторые подробности можно найти здесь, разработчики соответствующих технологий начали выпускать исправления, в частности, у Microsoft они уже распространяются через Windows Update.

Как обычно и бывает в подобных случаях, данный тип атак был описан еще в 2003 г., а методы поиска коллизий уже известны почти для всех хэш-функций, тем не менее, нужно было дождаться, пока их таки научатся применять на деле. Хотя защититься заранее было совсем не сложно.

Но не только перед веб-серверами встали новые угрозы. Достаточно забавные подробности открылись относительно упрощенного способа подключения к Wi-Fi сетям - WPS (Wi-Fi Protected Setup). Один из стандартизованных вариантов предполагает ввод восьмизначного PIN-кода, указанного на беспроводной точке. Учитывая, что проверка каждого значения занимает порядка 1-2 с, можно предположить, что 10^8 степени комбинаций дают достаточно надежную защиту от метода грубой силы - вряд ли кто-то станет ломиться к вам годами.

Однако Stefan Viehböck обнаружил, что форма ответа EAP-NACK на неудачную попытку ввода PIN, позволяет сравнительно легко узнать, были ли правильными первые 4 цифры. Учитывая, что последняя из восьми играет роль контрольной суммы, весь перебор сводится всего навсего к 11 тыс. попыткам. В документе даже приводятся оценки, сколько времени он может занять - к примеру, в рекомендованной конфигурации (три попытки до минутной блокировки доступа) нужно менее трех дней.

WPS поддерживается многими беспроводными устройствами от практически всех вендоров, в основном, рассчитанными на SOHO. Но такое деление довольно условно, поэтому в любом случае нелишне проверить. К тому же, по умолчанию этот способ подключения практически всегда активен (это ведь преимущество). Соответственно, нужно отказаться от него и ограничиться "чистым" WPA2.

Конечно, в отличие от первого "открытия", это - достаточно внезапное. Ну, чего-то недосмотрели при составлении спецификации - бывает. Но спать было бы гораздо спокойнее, если бы соблюдался давно известной принцип минимизации угроз - по умолчанию отключать все, чтобы пользователь самостоятельно включал только реально нужные функции, а никак не наоброт. Однако даже самые приличные компании не гнушаются таким вот заигрыванием с потребителем, потому "эта музыка будет вечна" даже без замены батареек. Стабильность чисто по Зубинскому :)

Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365