Рубрика «криптография» - 81

Компания Apple недавно допустила крупную ошибку, забыв удалить лишнюю строчку с оператором безусловного перехода goto посередине функции SSLVerifySignedServerKeyExchange для проверки серверной подписи при установке SSL-соединения. В результате, функция успешно завершала работу, независимо от результата проверки подписи.

Однако, это не первый случай в истории, когда критическая ошибка объясняется единственной строчкой кода. Вот ещё несколько таких примеров.

X Server

В 2006 году было обнаружено, что X Server проверяет рутовые права у пользователя, но при этом разработчики в реальности забыли вызвать соответствующую функцию.

--- hw/xfree86/common/xf86Init.c
+++ hw/xfree86/common/xf86Init.c
@@ -1677,7 +1677,7 @@
   }
   if (!strcmp(argv[i], "-configure"))
   {
-    if (getuid() != 0 && geteuid == 0) {
+    if (getuid() != 0 && geteuid() == 0) {
        ErrorF("The '-configure' option can only be used by root.n");
        exit(1);
     }

Читать полностью »

Здравствуйте, эта статья более представляет собой наброски для размышления, нежели полноценную статью и её цель — обсудить одну интересную и неактуальную тему.

Постановка задачи

Передать сообщение собеседнику, быстро проверить доставку, гарантировать возможность чтения не ранее, чем через заданное время, причём гарантировать только саму возможность чтения, а не непосредственно чтение.
Читать полностью »

Мы начинаем серию постов, посвященных работам победителей ИнфоТеКС Академии 2011-2012 по направлению «Научное исследование», надеемся, что наши заметки станут для Вас настоящим источником вдохновения и помогут победить.

Сегодня расскажем об исследовании команды из Санкт-Петербурга под руководством Антона Сергеева, направленное на проверку возможности скрытой виртуализации пользовательской операционной системы и перевода ее в гостевой статус.

В результате исследовательской атаки система может находиться под полным контролем со стороны внешнего скрытого гипервизора, причем заметить факт атаки крайне непросто: наличие на ПК встроенных аппаратных средств ускорения виртуализации делает работу гипервизоров чрезвычайно эффективной. Скорость загрузки и работы «чистой» операционной системе после виртуализации отличается несильно. И это уже в базовой версии гипервизора, без какой-либо оптимизации внутренних процессов!

В качестве prof-of-concept варианта была проведена виртуализация операционной системы Ubuntu 13.04.

Читать полностью »

От переводчика

Это не очередной клон Bitcoin

В двух словах

Написано с нуля на Go. Проект вдохновлён Bitcoin.
15-секундные транзакции. 100 миллионов монет.
Доказуемо безопасный протокол. Первая безопасная не-PoW криптовалюта.
Никакого майнинга. Никаких «атак 51%». Никаких двойных списаний.

image
Читать полностью »

Вчера компания Apple выпустила обновление безопасности iOS 7.0.6 для iPhone 4 и более поздних моделей, iPod touch 5-го поколения и iPad 2+. Одновременно выпущен аналогичный патч 6.1.6 для iPhone 3GS и iPod touch 4-го поколения.

Обновление закрывает уязвимость CVE-2014-1266, которая позволяет злоумышленнику из «привилегированной позиции в сети» перехватывать и модифицировать пакеты в сессиях, защищённых SSL/TLS. Речь идёт о MiTM-атаке с подменой трафика.

В лаконичном пояснении Apple говорит, что при установке защищённого соединения по SSL/TLS система не способна определить аутентичность соединения. Проблему решили путём «добавления недостающих этапов валидации».
Читать полностью »

Если у вас нет огромной фермы из десятков видеокарт, да и пара-тройка ASIC Miner’ов тоже отсутствует, не печальтесь – способы заработать на криптовалютах еще остаются. Один из более-менее рабочих вариантов – перед вами.

Как заработать на майнинге с обычным домашним компьютером

Читать полностью »

Представьте, что мы живем в мире криптографии, электронной коммерции и свободных экономических отношений. Пользуемся электронными средствами платежей, где в корзине и кошельке операции осуществляет калькулятор, где микроскопические суммы и огромные средства проводятся в многочисленных транзакциях без каких-либо проблем за ничтожное количество времени, с автоматическим учетом налогов, сборов и отчислений, где нам привычны покупки в электронных супермаркетах и доставка до порога по одному прикосновению к экрану телефона или клику мышкой. И вот, в наш прекрасный, удобный и отлаженный мир электронных платежей, построенный на принципах безопасности и криптографии, со всеми присущими ему технологиями и образу мышления, впитанными с молоком матери, приходит причудливый и странный механизм, которым, как говорят средства массовой информации, пользуются только анархисты, конспираторы и преступники.
Читать полностью »

image
Плохие новости на этой неделе валятся на Биткойн просто одна за другой. Согласно появившейся сегодня ночью на сайте Reddit информации, нелегальный сайт Silk Road 2, который пришел на смену оригинальному детищу Ужасного Пирата Робертса, подвергся атаке двойного вывода, аналогичной той, которая ранее привела к прекращению вывода биткойнов с биржи Mt.Gox.

В сообщении на форумах SR2, подписанном аутентичной цифровой подписью Defconа, администратора сайта, говорится что хакерам удалось опустошить эскроу-кошелек сайта, который содержал средства клиентов за товары, находящиеся в процессе доставки. В сообщении говорится, что использовалась атака «пластичности транзакций», аналогичная той от которой ранее пострадал Mt.Gox. Читать полностью »

Мы объявляем конкурс в рамках направления «Соревнование». Победители получат премии в размере до 350 000 рублей.

Заявки и конкурсные работы будут приниматься до 15 июля 2014 года включительно путем регистрации в Личном кабинете и заполнения заявки на сайте academy.infotecs.ru/ либо по e-mail academy@infotecs.ru.

Читать полностью »

Идея написать для себя что-то шифрующее родилась довольно тривиально — пришлось завести еще одну дебетовую карту и, следовательно, хранить в голове еще один пин-код. Хранить такую информацию в открытом виде паранойя не позволяет, использовать сторонние сервисы тоже, поэтому после некоторых поисков остановился на стандарте AES. Сразу захотелось разобраться и реализовать алгоритм самому, не прибегая к дополнительным модулям.

В статье я расскажу подробно о составляющих алгоритма, немного окунемся в мат часть и приведу пример реализации на python. В разработке я ограничивался только тем, что входит в состав стандартной библиотеки.
Читать полностью »


https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js