В края на миналия месец (30 ноември) за 27-ми път беше отбелязан Денят за компютърна безопасност, който се появява през 1988 г. след преодоляването на първата масова информационна заплаха - Morris worm. Това в съчетание с наближаващата 2016 година е добър повод да обобщим кои бяха най-големите опасностите в информационните технологии през 2015 г.
На първо място привършващата вече година започна с масово експлоатиране на Heartbleed - дупка в програмното осигуряване за криптография OpenSSL. Това вероятно беше най-голямата информационна уязвимост в досегашната история. Критическата дупка се прояви при обработката на специално оформени данни, които се използват в много програми за преубразуване на името на хоста на сайта в IP-адрес. Проблемът засегна операционните системи Debian, Red Hat, CentOS, Ubuntu, Suse и много други.
Освен това има и още един важен факт. Проблемът присъства в програмния код на въпросните системи още от 2000 г. и е бил отстранен през 2013 г. Разработчиците обаче не са уведомили, че уязвимостта може да има сериозни последствия за безопасността, в резултат на което огромен брой дистрибутори на собствени ОС въз основа на Linux и компютърни администратори са игнорирали кръпката за проблема, докато излезе по-стабилна нейна версия. Именно това е довело до бума в експлоатирането на Heartbleed. Не на последно място този проблем нанесе и значителен удар по репутацията на Linux, която се смята за една от най-сигурните платформи.
На 3 март 2015 изследователи съобщиха и за друга голяма информационна опасност - FREAK.
Тази уязвимост е открита в криптографските протоколи TLS и SSL, които осигуряват сигурност на комуникацията по Интернет. Тя позволява на атакуващия да прекъсне HTTPS (криптирана) връзка, между уязвими потребителски програми и сървъри и да ги накара да изпозват по-слаба криптозащита. Когато това се случи атакуващата страна може да открадне и използва важна информация като пароли, данни за електронно банкиране и други лични данни.
Най-учудващото в случая с FREAK е, че и тази уязвимост датира от много години. До 1999 г. САЩ забраняваше износа на устройства със силна криптографска защита. За да избегнат това ограничение, компаниите трябваше да вграждат по-слаба защита, оставяйки по този начин отворена врата за бъдещи пробиви в сигурността.
Flash player
През юли 2015 компанията Adobe пусна обновление за своята програма Flash Player, което затвори критична уязвимост. Въпросната уязвимост позволяваше дадена атакуваща страна да придобие отдалечен контрол над цялата операционна система, без значение дали тя е Windows, Linux или Mac OS. Освен това позволяваше незабелязано да се инсталира малуерът CryptoWall 3.0, който криптира файловете на потребителя и така ги прави неизползваеми, а след това плащането на откуп, за да ги декриптира. И всички тези опасности заради Flash Player.
Именно затова като цяло годината мина под девиза "Хайде вече да погребем Flash". Директорът по информационна безопасност на Facebook Алекс Стамос директно призова Adobe да спре завинаги разработката на технологията. Компанията Recorded Future пък проведе изследване относно уязвимостите, които използват най-известните вируси. Осем от десет от тях са били насочени именно срещу Flash.
Отново през юли на конференцията Defcon 2015 стана ясно, че група програмисти са успели да хакнат елтектроавтомобила на Tesla - Tesla Model S. Тогава стана ясно, че в софтуера на машината има 6 уязвимости, благодарение на които те успели да отключат вратите, да стартират двигателя и да я подкарат. Освен това те могли да активират командата за "убиване" на Model S, която спира всички системи на колата и я кара да спре.
Тогава от Tesla бързо пуснаха обновления за софтуера, които отстраниха дупките в сигурността, но през същия месец хакери в сътрудничество с онлайн-изданието Wired успяха да хакнат Jeep Cherokee.
Благодарение на уязвимоста в системата Uconnnect на возилото "добрите хакери" получили отдалечен достъп до мултимедийната система, чистачките и климатика. След това те успели да преодолеят защитата за управлението на волана, а също успели да изключат спирачките. И всичко това, за разлика от случая с Tesla, успяло да се случи дистанционно.
През февруави 2015 беше открита дупка в сигурността и при информационно-развлекателната система ConnectedDrive при автомобилите на BMW. Програмистите, направили атаката, успели да отключат вратите на 2,2 милиона Ролс-Ройса, Mini-та и БМВ-та. Също така те успели и да свалят стъклата на автомобилите, но не и да изгасят двигателя.
95% уязвими на заразяване устройства с Android
Не е тайна, че колкото по-популярна е една платформа, толково повече са и атаките към нея. През юли експерти откриха, че мобилната операционна система Android съдържа дупка в сигурността, която излага на опасност почти един милиард устройства, работещи под нейното управление. Компрометирането на защитата ѝ се оказа много лесно - чрез MMS. Вградената в Android библиотека, която отговаря за обработката на медийните файлове, съдържала бъг, който позволява заразяването на 95% от всички устройствата.
Alphabet бързо пусна обновление за уязвимостта, но, за съжаление, то е само за най-новите версии на Android, докато много устройства работят с по-стара версия, която продължава да представлява опасност за потребителя.
Пробиха iOS 9
Миналия месец неизвестно кой и по какъв начин успя да пробие защитата на най-новата мобилна операционна система на Apple - iOS 9. За това съобщи компанията Zerodium, която се занимава с намиране и продажба на информация за уязвимости в известни софтуерни продукти. Zerodium проведе конкурс, в който участниците трябваше да намерят уязвимост в браузърите Safari или Chrome.
Изглеждало, че никой няма да успее да се справи с предизвикателството в определения от организатора на конкурса срок, но печелившият отбор предал информацията за уязвимостта броени часове преди края на 31 октомври. Откритата уязвимост позволява отдалеченото инсталиране на различни програми на устройствата под управлението на iOS 9. Анонимната хакерска група, постигнала успех, е получила 1 млн. долара.
Въпреки че хакерите продължават да работят и да търсят нови начини за печелене на пари от експлоатирането на уязвимости в съвременното програмно осигуряване, ние можем да направим нещо по въпроса - да увеличим културата си относно това как да намалим максимално риска от компрометиране на системата ни. На тазгодишния международен форум за практическа безопасност Positive Hack Days потвърдиха добре познатата истина - най-големият източник на уязвимости си остава човекът.
Затова старайте се да се информирате за най-добрите практики в информационната защита и помагайте на своите по-малко запознати с материята приятели.
Още по темата
Технологии
Тенденциите в технологиите през 2015 и прогнозите за 2016
Технологии
Колко струва да си построим завод за микропроцесори? (видео)
Технологии
Какви са предизвикателствата пред това да направим R2-D2 и C-3PO
Коментари
Моля, регистрирайте се от TУК!
Ако вече имате регистрация, натиснете ТУК!
Няма коментари към тази новина !
Последни коментари