The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

·16.08.2022 Попытка захвата учётных записей Signal через компрометацию SMS-сервиса Twilio (12)
  Разработчики открытого мессенджера Signal раскрыли сведения о целевой атаке, направленной на получение контроля над учётными записями некоторых пользователей. Атака проведена через взлом сервиса Twilio, используемого в Signal для организации отправки SMS-сообщений с кодами подтверждения. Анализ данных показал, что взлом Twilio мог затронуть около 1900 номеров телефонов пользователей Signal, для которых атакующие имели возможность перерегистировать номера телефонов на другое устройство, после чего получать или отправлять сообщения для привязанного номера телефона (доступ к истории прошлой переписки, информации из профиля и адресной книге не мог быть получен, так как подобная информация хранится на устройстве пользователя и не передаётся на серверы Signal).

В промежуток времени с момента взлома до блокировки сервисом Twilio скомпрометированной учётной записи сотрудника, использованной для атаки, по отмеченным 1900 номерам телефонов наблюдалась активность, связанная с регистрацией учётной записи или отправкой проверочного кода через SMS. При этом получив доступ к служебному интерфейсу Twilio атакующие интересовались конкретными тремя номерами пользователей Signal, и как минимум один из телефонов удалось привязать к устройству злоумышленников, судя по жалобе, полученной от владельца пострадавшей учётной записи. Signal отправил SMS-уведомления об инциденте всем пользователям, которых потенциально могла коснуться атака, и отменил регистрацию их устройств.

Взлом Twilio был совершён с использованием методов социальной инженерии, позволившим атакующим заманить одного из сотрудников компании на фишинговую страницу и получить доступ к его учётной записи в системе поддержки клиентов. В частности, атакующие разослали сотрудникам Twilio SMS-сообщения с предупреждением об истечении времени действия учётной записи или информацией об изменении расписания, к которым была прикреплена ссылка на поддельную страницу, стилизованную под интерфейс единого входа в служебные сервисы Twilio. По данным Twilio, подключившись к интерфейсу службы поддержки, атакующие успели получить доступ к данным, связанным со 125 пользователями.

  1. OpenNews: Мокси Марлинспайк уходит с поста руководителя Signal Messenger
  2. OpenNews: Мессенджер Signal возобновил публикацию серверного кода и интегрировал криптовалюту
  3. OpenNews: Уязвимости в Signal Desktop и в платформе Electron
  4. OpenNews: Представлен метод атаки на групповой чат WhatsApp и Signal
Обсуждение (12) | Тип: Проблемы безопасности |
·16.08.2022 Представлена новая открытая система синтеза изображений Stable Diffusion (59 +7)
  Открыты наработки, связанные с системой машинного обучения Stable Diffusion, синтезирующей изображения на основе текстового описания на естественном языке. Проект развивается совместными усилиями исследователями из компаний Stability AI и Runway, сообществ Eleuther AI и LAION, а также группы CompVis lab (лаборатория исследований в области машинного зрения и машинного обучения при Мюнхенском университете). По возможностям и уровню качества результата Stable Diffusion напоминает проект DALL-E 2, но развивается как открытый и общедоступный. Реализация Stable Diffusion написана на языке Python и распространяется под лицензией MIT.

Готовые модели в настоящий момент предоставляются по отдельному запросу образовательным учреждениям и независимым исследователям, но разработчики обещают открыть их для всех желающих после завершения тестирования и готовности первого релиза. Для обучения системы использовался кластер из 4000 GPU NVIDIA A100 Ezra-1 и коллекция LAION-5B, включающая 5.85 миллиардов изображений с текстовыми описаниями. Компоненты для генерации изображения отмечаются как достаточно легковесные для работы на пользовательских системах, например, для синтеза изображений с разрешением 512x512 достаточно наличия в системе GPU с 10GB видеопамяти.

Кроме синтеза изображений по текстовому описанию предлагается вариант для модификации изображений, который может с использованием уточняющих текстовых подсказок генерировать картины по схематичным наброскам, редактировать и изменять изображения или восстанавливать утраченные детали при увеличении масштаба. В разработке также находится вариант Stable Diffusion для редактирования видео на основе текстовых команд на естественном языке.

  1. OpenNews: Реализация системы машинного обучения для синтеза изображений по текстовому описанию
  2. OpenNews: NVIDIA открыла код StyleGAN3, системы машинного обучения для синтеза лиц
  3. OpenNews: Yahoo открыл модель машинного обучения для выявления неприличных изображений
  4. OpenNews: Опубликован проект PIXIE для построения 3D-моделей людей по фотографии
  5. OpenNews: HyperStyle - адаптация системы машинного обучения StyleGAN для редактирования изображений
Обсуждение (59 +7) | Тип: Программы |
·15.08.2022 Выпуск мобильной платформы Android 13 (88 +16)
  Компания Google опубликовала релиз открытой мобильной платформы Android 13. Связанные с новым выпуском исходные тексты размещены в Git-репозиторий проекта (ветка android-13.0.0_r1). Обновления прошивки подготовлены для устройств серии Pixel. Позднее планируется подготовить обновления прошивок для смартфонов производства Samsung, Asus, HMD (Nokia), iQOO, Motorola, OnePlus, Oppo, Realme, Sharp, Sony, Tecno, vivo и Xiaomi. Дополнительно сформированы универсальные сборки GSI (Generic System Images), подходящие для разных устройств на базе архитектур ARM64 и x86_64.

Основные новшества:

  • Предложен набор предварительно подготовленных вариантов цветового оформления интерфейса, позволяющих немного корректировать цвета в рамках выбранной цветовой схемы. Цветовые варианты влияют на внешний вид всех компонентов операционной системы, включая фоновые обои.
  • Предоставлена возможность адаптации фона пиктограмм любых приложений к цветовой схеме темы оформления или цвету фонового изображения.
  • В интерфейсе управления воспроизведением музыки обеспечено использование в качестве фона изображений обложек воспроизводимых альбомов.
  • Добавлена возможность привязки к приложениям индивидуальных настроек языка, отличающихся от настроек языка, выбранных в системе.
  • Значительно улучшена работа на устройствах с большими экранами, такими как планшетные ПК, Chromebook и смартфоны со складными экранами. Для больших экранов оптимизирована компоновка выпадающего блока с уведомлениями, домашнего экрана и экрана блокировки системы, которые теперь используют всё имеющееся экранное пространство. В блоке, появляющемся при скользящем жесте сверху-вниз, на больших экранах обеспечено разделение в разные столбцы быстрых настроек и списка уведомлений. Добавлена поддержка двухпанельного режима работы в конфигураторе, в котором на больших экранах теперь постоянно видны разделы настроек.

    Улучшены режимы совместимости для приложений. Предложена реализация панели задач, показывающая в нижней части экрана пиктограммы запущенных приложений, позволяющая быстро переключаться между программами и поддерживающая перенос приложений через интерфейс drag&drop в различные области многооконного режима (split-screen), разделяющего экран на части для работы одновременно с несколькими приложениями.

  • Повышено удобство рисования и ввода текста с использованием электронного пера. Добавлена защита от появления ложных мазков при касании сенсорного экрана руками во время рисования стилусом.
  • Для некоторых устройств, таких как Pixel 6, добавлена поддержка полной виртуализации, позволяющая запускать окружения с другими операционными системами. Виртуализация реализована на базе гипервизора KVM и инструментария crosvm (VVM, Virtual Machine Manager). Опционально доступен режим pKVM (Protected KVM), обеспечивающий более строгую изоляцию окружений с использованием расширений виртуализации для архитектуры AArch64. В платформе виртуализацию планируют использовать для повышения защиты выполнения стороннего системного кода, например, закрытых исполняемых файлов и компонентов DRM.
  • Добавлена возможность выборочного предоставления полномочий для доступа к мультимедийным файлам. Если раньше для чтения мультимедийных файлов приходилось предоставлять доступ ко всем файлам в локальном хранилище, то теперь доступ можно ограничить только изображениями, звуковыми файлами или видео.
  • Реализован новый интерфейс выбора фотографий и видео, позволяющий предоставить приложению доступ только к выбранным изображениям и видео и блокировать обращение к остальным файлам. Ранее похожий интерфейс был реализован для документов. Возможна работа как с локальными файлами, так и с данными, размещёнными в облачных хранилищах.
  • Добавлен запрос полномочий на вывод уведомлений приложениями. Без получения предварительного права на отображение уведомлений отправка уведомлений приложением будет блокироваться. Для ранее созданных приложений, рассчитанных на использование с прошлыми версиями Android, полномочия будут предоставлены системой от имени пользователя.
  • Сокращено число приложений, требующих доступа к информации о местоположении пользователя. Например, приложениям выполняющим операции сканирования беспроводных сетей теперь не требуются полномочия, связанные с определением местоположения.
  • Расширены возможности, нацеленные на повышение конфиденциальности и информирование пользователя о возможных рисках. Помимо предупреждений о доступе приложения к буферу обмена в новой ветке обеспечено автоматическое удаление истории помещения данных в буфер обмена после определённого времени неактивности.
  • Добавлена новая унифицированная страница с настройками безопасности и конфиденциальности, в которой реализована наглядная цветовая индикация состояния безопасности и предложены рекомендации по усилению защиты.
  • Добавлен новый тип полномочий для Wi-Fi, предоставляющий приложениям, предназначенным для поиска беспроводных сетей и подключения к точкам доступа, возможности доступа к подмножеству API управления Wi-Fi, за исключением вызовов, связанных определением местоположения (ранее приложения, осуществляющие подключение к Wi-Fi, получали и доступ к информации о местоположении).
  • Добавлен API для размещения кнопок в секции с быстрыми настройками в верхней части выпадающей панели уведомлений. При помощи данного API приложение может вывести запрос на размещение своей кнопки с быстрым действием, позволяющий пользователю добавить кнопку не покидая приложение и отдельно не переходя к настройкам.
  • Оптимизирована операция переноса слов (разрыв не умещающихся в строку слов с использованием дефиса). В новой версии производительность переноса увеличена на 200% и теперь практически не влияет на скорость отрисовки.
  • Добавлена поддержка программируемых графических шейдеров (объектов RuntimeShader), определяемых на языке AGSL (Android Graphics Shading Language), представляющем собой подмножество языка GLSL, адаптированное для использования с движком рендеринга платформы Android. Подобные шейдеры уже используются в самой платформе Android для реализации различных визуальных эффектов, таких как пульсация, размытие и растягивание при прокрутке за границу страницы. Подобные эффекты теперь можно создавать и в приложениях.
  • Базовые Java-библиотеки платформы и средства разработки приложений обновлены до OpenJDK 11.
  • В рамках проекта Mainline, позволяющего обновлять отдельные системные компоненты без обновления платформы целиком, подготовлены новые обновляемые системные модули. Обновления затрагивают не привязанные к оборудованию компоненты, которые загружаются через Google Play отдельно от OTA-обновлений прошивки от производителя. Среди новых модулей, которые смогут обновляться через Google Play без обновления прошивки - Bluetooth и Ultra wideband. Через Google Play также распространяются модули с Photo picker и OpenJDK 11.
  • Упрощено тестирование и отладка новых возможностей платформы. Изменения теперь можно выборочно включать для приложений в разделе настроек для разработчиков или через утилиту adb.
  • Добавлен API, позволяющий приложению отказаться от ранее полученных полномочий. Например, если в новой версии потребность в каких-то расширенных правах исчезла, программа в рамках заботы о конфиденциальности пользователя может отозвать ранее полученные права.
  • Предоставлена возможность регистрации обработчиков несистемных широковещательных операций (BroadcastReceiver) в привязке к контексту их использования. Для управления экспортом подобных обработчиков добавлены новые флаги RECEIVER_EXPORTED и RECEIVER_NOT_EXPORTED, которые позволяют исключить использование обработчиков для отправки широковещательных сообщений из других приложений.
  • Добавлена поддержка цветных векторных шрифтов в формате COLRv1 (подмножество шрифтов OpenType, содержащих помимо векторных глифов слой c информацией о цвете). Также добавлен новый набор многоцветных emoji, поставляемый в формате COLRv1. Новый формат предоставляет компактную форму хранения, поддерживает градиенты, наложения и трансформации, обеспечивает эффективное сжатие и допускает повторное использование контуров, что позволяет существенно уменьшить размер шрифта. Например, шрифт Noto Color Emoji в растровом представлении занимает 9MB, а в векторном формате COLRv1 - 1.85MB.
  • В среде выполнения приложений ART реализован более эффективный сборщик мусора, основанный на использовании API ядра Linux userfaultfd, который позволяет создавать обработчики обращений к невыделенным страницам памяти (page faults) в пространстве пользователя. Новый сборщик мусора обеспечивает фиксированные накладные расходы для каждого загруженного объекта, потребляет меньше памяти и приводит к сокращению скомпилированного кода примерно на 10%. Применение нового сборщика мусора также позволяет продлить время автономной работы, избавиться от подвисаний во время сборки мусора и защитить приложений от принудительного завершения при нехватке памяти в системе.

    В ART существенно повышена производительность переключения на нативный код и наоборот - JNI-вызовы теперь выполняются до 2.5 раз быстрее. Код обработки ссылок (reference processing) во время выполнения переведён на работу в неблокирующем режиме для сокращения подвисаний. Добавлен API Reference.refersTo(), который можно использовать для более быстрого возвращения памяти. В интерпретаторе ускорен поиск классов и методов. Добавлена возможность верификации байткода на этапе установки, а не при выполнении, что позволило сократить время запуска приложений.

  • Добавлена поддержка технологии Bluetooth LE Audio (Low Energy), позволяющей снизить энергопотребление при передаче высококачественных звуковых потоков через Bluetooth. В отличие от классического Bluetooth новая технология также позволяет переключаться между разными режимами использования для достижения оптимального соотношения между качеством и энергопотреблением.
  • Добавлена поддержка спецификации MIDI 2.0 и возможность подключения музыкальных инструментов и контроллеров, поддерживающих MIDI 2.0, через порт USB.
  • Для приложений, генерирующих ключи, API Keystore и KeyMint теперь предоставляют более детальные и точные индикаторы ошибок и позволяют использовать исключения java.security.ProviderException для перехвата ошибок.
  • В AudioManager добавлен API для маршрутизации звука, позволяющий определить каким образом будет обработан звуковой поток. Добавлен метод getAudioDevicesForAttributes() для получения списка устройств, в через которые возможен вывод звука, а также метод getDirectProfilesForAttributes() для определения возможности прямого воспроизведения звуковых потоков.

  1. OpenNews: Выпуск мобильной платформы LineageOS 19 на основе Android 12
  2. OpenNews: Доступна платформа Android TV 12
  3. OpenNews: Выпуск мобильной платформы Android 12
  4. OpenNews: Google перейдёт к развитию новшеств для Android в основном ядре Linux
  5. OpenNews: Проект Waydroid развивает пакет для запуска Android в дистрибутивах GNU/Linux
Обсуждение (88 +16) | Тип: Программы |
·15.08.2022 Продемонстрирован взлом терминала Starlink (97 +30)
  Исследователь из Лёвенского католического университета продемонстрировал на конференции Black Hat технику компрометации пользовательского терминала Starlink, используемого для подключения абонентов к спутниковой сети SpaceX. Терминал оснащён собственным 64-разрядном SoC, созданным компанией STMicro специально для SpaceX. Программное окружение основано на Linux.

Предложенный метод позволяет выполнить свой код на терминале Starlink, получить root-доступ и доступ в недоступную пользователю через обычные порты внутреннюю сеть, используемую терминалами, например, для обновления прошивок. Опубликованные наработки также могут быть применены для продвинутых экспериментов в области программно определяемых радиосистем (SDR), в силу специфичной структуры терминала Starlink (фазированная антенная решётка, управляемая программно).

Взлом терминала Starlink интересен с точки зрения атаки на хорошо защищённую Linux-систему с качественной реализацией режима безопасной загрузки (Secure Boot). Так как программно систему не удалось скомпрометировать, взлом был осуществлён на аппаратном уровне с применением специального лабораторного оборудования. В конечном счёте, необходимое для взлома оборудование удалось свести к готовой плате-надстройке (modchip), использующей обычный микроконтроллер Raspberry Pi RP2040 (2-ядерный Cortex M0).

Подготовленная modchip-плата подключается к определённым дорожкам основной платы терминала Starlink и вызывает сбой путём изменения напряжения в определённых частях электрической схемы ("voltage fault"). Вызов сбоя в момент проверки цифровой подписи в ROM bootloader (BL1) позволяет запустить на SoC произвольный код, несмотря на отсутствие для этого кода корректной цифровой подписи.

Схема платы для взлома терминалов Starlink опубликована на GitHub в формате KiCad. Также опубликован код использованной для атаки прошивки микроконтроллера. Стоимость изготовления платы оценивается примерно в 25 долларов.

  1. OpenNews: Продемонстрирована техника удалённого клонирования электронного ключа Tesla Model X
  2. OpenNews: Уязвимость TPM-Fail, позволяющая восстановить ключи, хранимые в TPM-модулях
  3. OpenNews: Отобранный NIST постквантовый криптоалгоритм SIKE оказался не защищён от взлома на обычном компьютере
  4. OpenNews: Плачевная ситуация с безопасностью спутникового интернета
  5. OpenNews: Уязвимости в GRUB2, позволяющие обойти UEFI Secure Boot
Обсуждение (97 +30) | Автор: Аноним | Тип: Проблемы безопасности |
·12.08.2022 SQUIP - атака на процессоры AMD, приводящая к утечке данных по сторонним каналам (97 +18)
  Группа исследователей из Грацского технического университета (Австрия), ранее известная разработкой атак MDS, NetSpectre, Throwhammer и ZombieLoad, раскрыла сведения о новом методе атаки по сторонним каналам (CVE-2021-46778) на очереди планировщика процессоров AMD, применяемые для планирования выполнения инструкций в разных исполнительных блоках CPU. Атака, получившая название SQUIP, позволяет определить используемые при вычислениях в другом процессе или виртуальной машине данные или организовать скрытый канал связи между процессами или виртуальными машинами, позволяющий обмениваться данными в обход системных механизмов разграничения доступа.

Проблеме подвержены CPU AMD на базе микроархитектур Zen первого, второго и третьего поколений (AMD Ryzen 2000-5000, AMD Ryzen Threadripper, AMD Athlon 3000, AMD EPYC) при использовании технологии одновременной многопоточности (SMT). Процессоры Intel атаке не подвержены, так как в них используется одна очередь планировщика, в то время как в уязвимых процессорах AMD для каждого исполнительного блока применяются отдельные очереди. В качестве обходного пути для блокирования утечки информации компания AMD рекомендовала разработчикам использовать алгоритмы, математические вычисления в которых всегда выполняются за постоянное время, независимо от характера обрабатываемых данных, а также избегать ветвления на основе секретных данных.

Атака основана на оценке уровня возникновения конфликтов (contention level) в разных очередях планировщика и проводится через измерение задержек при запуске проверочных операций, выполняемых в другом потоке SMT на том же физическом CPU. Для анализа содержимого использован метод Prime+Probe, подразумевающий заполнение очереди эталонным набором значений и определение изменений через измерение времени доступа к ним при повторном заполнении.

В ходе эксперимента исследователям удалось полностью воссоздать закрытый 4096-битовый RSA-ключ, используемый для создания цифровых подписей при помощи криптографической библиотеки mbedTLS 3.0, в которой для возведении числа в степень по модулю применяется алгоритм Монтгомери. Для определения ключа потребовалось выполнить 50500 трассировок. Общее время атаки заняло 38 минут. Продемонстрированы варианты атаки, обеспечивающие утечку между разными процессами и виртуальными машинами, управляемыми гипервизором KVM. Также показано, что метод можно использовать для организации скрытой передачи данных между виртуальными машинами со скоростью 0.89 Mbit/s и между процессами со скоростью 2.70 Mbit/s при уровне ошибок менее 0.8%.

  1. OpenNews: Уязвимость в механизме спекулятивного выполнения инструкций процессоров AMD
  2. OpenNews: В процессорах AMD выявлена ещё одна уязвимость, допускающая атаки класса Meltdown
  3. OpenNews: В процессорах AMD на базе микроархитектур Zen+ и Zen 2 обнаружена уязвимость класса Meltdown
  4. OpenNews: Уязвимость в специфичном для CPU AMD коде KVM, позволяющая выполнить код вне гостевой системы
  5. OpenNews: Две атаки на механизм предсказания каналов кэша в процессорах AMD
Обсуждение (97 +18) | Тип: Проблемы безопасности |
·11.08.2022 Выпуск языка программирования Rust 1.63 (343 +12)
  Опубликован релиз языка программирования общего назначения Rust 1.63, основанного проектом Mozilla, но ныне развиваемого под покровительством независимой некоммерческой организации Rust Foundation. Язык сфокусирован на безопасной работе с памятью и предоставляет средства для достижения высокого параллелизма выполнения заданий, при этом обходясь без использования сборщика мусора и runtime (runtime сводится к базовой инициализации и сопровождению стандартной библиотеки).

Методы работы с памятью в Rust избавляют разработчика от ошибок при манипулировании указателями и защищают от проблем, возникающих из-за низкоуровневой работы с памятью, таких как обращение к области памяти после её освобождения, разыменование нулевых указателей, выход за границы буфера и т.п. Для распространения библиотек, обеспечения сборки и управления зависимостями проектом развивается пакетный менеджер Cargo. Для размещения библиотек поддерживается репозиторий crates.io.

Безопасная работа с памятью обеспечивается в Rust во время компиляции через проверку ссылок, отслеживание владения объектами, учёт времени жизни объектов (области видимости) и оценку корректности доступа к памяти во время выполнения кода. Rust также предоставляет средства для защиты от целочисленных переполнений, требует обязательной инициализации значений переменных перед использованием, лучше обрабатывает ошибки в стандартной библиотеке, применяет концепцию неизменяемости (immutable) ссылок и переменных по умолчанию, предлагает сильную статическую типизацию для минимизации логических ошибок.

Основные новшества:

Дополнительно можно отметить инициативу по использованию языка Rust для написания работающего на уровне ядра Linux драйвера для GPU Apple AGX, используемого в чипах Apple M1 и M2. Отмечается, что GPU Apple AGX выполняет прошивку и использует достаточно сложные совместно используемые структуры данных. Реализация управления прошивками и структурами на Rust позволила бы упростить разработку и добиться более высокой безопасности. Рассматриваются два варианта разработки: написание основой части на Си, но использование компонентов на Rust для взаимодействия с прошивкой и управления структурами данных в разделяемой памяти, или написание всего драйвера на Rust и создание Rust-обвязки для подсистемы DRM.

  1. OpenNews: Девятая версия патчей для ядра Linux с поддержкой языка Rust
  2. OpenNews: Восьмая версия патчей для ядра Linux с поддержкой языка Rust
  3. OpenNews: В Rust будет прекращена поддержка старых Linux-систем
  4. OpenNews: В GCC утверждено включение поддержки языка Rust
  5. OpenNews: Выпуск языка программирования Rust 1.62
Обсуждение (343 +12) | Тип: Программы |
·10.08.2022 AEPIC Leak - атака, приводящая к утечке ключей из анклавов Intel SGX (29 +14)
  Раскрыты сведения о новой атаке на процессоры Intel - AEPIC Leak (CVE-2022-21233), приводящей к утечке конфиденциальных данных из изолированных анклавов Intel SGX (Software Guard eXtensions). Проблема затрагивает 10, 11 и 12 поколения CPU Intel (включая новые серии Ice Lake и Alder Lake) и вызвана архитектурной недоработкой, позволяющей получить доступ к неинициализированным данным, оставшимся в регистрах APIC (Advanced Programmable Interrupt Controller) после выполнения прошлых операций.

В отличие от атак класса Spectre, утечка в AEPIC Leak происходит без применения методов восстановления по сторонним каналам - сведения о конфиденциальных данных передаются напрямую через получение содержимого регистров, отражённых в странице памяти MMIO (memory-mapped I/O). В общем виде атака позволяет определить данные, передаваемые между кэшами второго и последнего уровней, включая содержимое регистров и результаты операций чтения из памяти, которые до этого обрабатывались на том же ядре CPU.

Так как для осуществления атаки необходимо наличие доступа к физическим страницам APIC MMIO, т.е. требуются привилегии администратора, метод ограничен атакой на анклавы SGX, к которым администратор не имеет прямого доступа. Исследователями разработан инструментарий, позволяющий в течение нескольких секунд определить хранимые в SGX ключи AES-NI и RSA, а также аттестационные ключи Intel SGX и параметры генератора псевдослучайных чисел. Код для проведения атаки опубликован на GitHub.

Компания Intel заявила о подготовке исправления в форме обновления микрокода, в котором реализована поддержка чистки буферов и добавлены дополнительные меры для защиты данных анклавов. Также подготовлен новый выпуск SDK для Intel SGX с изменениями, предотвращающими утечки данных. Разработчикам операционных систем и гипервизоров рекомендовано использовать вместо устаревшего режима xAPIC, режим x2APIC, в котором для доступа к регистрам APIC вместо MMIO используются MSR-регистры.

  1. OpenNews: Retbleed - новая атака на механизм спекулятивного выполнения CPU Intel и AMD
  2. OpenNews: Hertzbleed - новое семейство атак по сторонним каналам, затрагивающее современные CPU
  3. OpenNews: Компания AMD подтвердила потенциальную подверженность CPU AMD Zen 3 атаке Spectre-STL
  4. OpenNews: Атака по извлечению данных из кэша CPU, реализуемая в web-браузере без JavaScript
  5. OpenNews: Новая атака на микроархитектурные структуры процессоров Intel и AMD
Обсуждение (29 +14) | Тип: Проблемы безопасности |
·09.08.2022 В NPM планируют использовать Sigstore для подтверждения подлинности пакетов (91 –2)
  GitHub выставил на обсуждение предложение по внедрению сервиса Sigstore для верификации пакетов по цифровым подписям и ведения публичного лога для подтверждения подлинности при распространении релизов. Применение Sigstore позволит реализовать дополнительный уровень защиты от атак, нацеленных на подмену программных компонентов и зависимостей (supply chain). Например, внедряемое изменение защитит исходные тексты проектов в случае компрометации учётной записи разработчика одной из зависимостей в NPM и формирования злоумышленником обновления пакета с вредоносным кодом.

Благодаря новому уровню защиты разработчики смогут привязать сформированный пакет к использованному исходному коду и сборочному окружению, предоставив пользователю возможность убедиться, что содержимое пакета соответствует содержимому исходных текстов в основном репозитории проекта. Применение Sigstore существенно упрощает процесс управления ключами и позволяет избавиться от сложностей, связанных с регистрацией, отзывом и управлением криптографическими ключами. Sigstore преподносится как аналог Let’s Encrypt для кода, предоставляющий сертификаты для заверения кода цифровыми подписями и инструментарий для автоматизации проверки.

Вместо постоянных ключей в Sigstore применяются короткоживущие эфемерные ключи, которые генерируются на основе полномочий. Используемый для подписи материал отражается в защищённом от внесения изменений публичном логе, который позволяет убедиться, что автор подписи именно тот, за кого себя выдаёт, и подпись сформирована тем же участником, что отвечал за прошлые релизы. Для обеспечения целостности и защиты от искажения данных задним числом применяется древовидная структура "дерево Меркла" (Merkle Tree), в которой каждая ветка верифицирует все нижележащие ветки и узлы благодаря совместному (древовидному) хешированию. Имея конечный хеш, пользователь может удостовериться в корректности всей истории операций, а также в корректности прошлых состояний БД (корневой проверочный хеш нового состояния базы вычисляется с учётом прошлого состояния).

  1. OpenNews: Red Hat и Google представили Sigstore, сервис для криптографической верификации кода
  2. OpenNews: Атака на немецкие компании через NPM-пакеты
  3. OpenNews: GitHub раскрыл данные о взломе инфраструктуры NPM и выявлении открытых паролей в логах
  4. OpenNews: В NPM включена обязательная двухфакторная аутентификация для 500 самых популярных пакетов
  5. OpenNews: Выпуск пакетного менеджера NPM 8.15 с поддержкой локальной проверки целостности пакетов
Обсуждение (91 –2) | Тип: К сведению |
·07.08.2022 Для Linux предложен механизм верификации корректности работы ядра (123 +36)
  Для включения в состав ядра Linux 5.20 (возможно, ветка получит номер 6.0) предложен набор патчей с реализацией механизма RV (Runtime Verification), представляющего средства для проверки корректности работы на высоконадежных системах, гарантирующих отсутствие сбоев. Проверка производится во время выполнения через прикрепление обработчиков к точкам трассировки, сверяющих фактический ход выполнения с заранее определённой эталонной детерминированной моделью автомата, определяющего ожидаемое поведение системы.

Информация от точек трассировки переводит модель из одного состояния в другое, и если новое состояние не соответствует параметрам модели, генерируется предупреждение или ядро переводится в состояние "panic" (подразумевается, что высоконадёжные системы будут определять подобные ситуации и реагировать на них). Модель автомата, определяющая переходы из одного состояния в другое, экспортируется в формат "dot" (graphviz), после чего транслируется при помощи утилиты dot2c в представление на языке Си, которое загружается в форме модуля ядра, отслеживающего отклонения хода выполнения от предопределённой модели.

Сверка с моделью во время выполнения позиционируется как более легковесный и простой для реализации на практике способ подтверждения корректности выполнения на критически важных системах, дополняющий классические методы подтверждения надёжности, такие как проверка модели и математические доказательства соответствия кода спецификациям, заданным на формальном языке. Из достоинств RV называется возможность обеспечить строгую верификацию без отдельной реализации всей системы на языке моделирования, а также гибкое реагирование на непредвиденные события, например, для блокирования дальнейшего распространения сбоя в критически важных системах.

  1. OpenNews: Red Hat и Google представили Sigstore, сервис для криптографической верификации кода
  2. OpenNews: Найден способ формального подтверждения 100% отсутствия ошибок в программе
  3. OpenNews: Микроядро seL4 математически верифицировано для архитектуры RISC-V
  4. OpenNews: Прототип отечественной ОС Phantom на базе Genode будет готов до конца года
  5. OpenNews: Новая криптографическая библиотека EverCrypt с математическим доказательством надёжности
Обсуждение (123 +36) | Тип: К сведению |
·07.08.2022 Выпуск NetBSD 9.3 (151 +24)
  Спустя 15 месяцев после формирования прошлого обновления опубликован релиз операционной системы NetBSD 9.3. Для загрузки подготовлены установочные образы размером 470 МБ, доступные в сборках для 57 системных архитектур и 16 различных семейств CPU. Версия 9.3 полностью совместима с прошлыми выпусками ветки 9.x и содержит важные исправления, в том числе связанные с устранением уязвимостей.

Изначально предполагалось сформировать новый значительный выпуск NetBSD 10.0, но из-за необходимости решения проблем с совместимостью, связанных с реализацией списков контроля доступа для FFS, решено отложить значительный релиз и опубликовать дополнительный промежуточный выпуск ветки 9.x, выделив дополнительное время на стабилизацию кодовой базы.

Основные улучшения в NetBSD 9.3:

  • Значительно улучшена поддержка спящего режима (suspend/resume). Во многих драйверах решены проблемы с блокировками и сохранением состояния, проявляющиеся при переходе в спящий режим.
  • Расширена поддержка оборудования в драйверах устройств.
  • Добавлена поддержка новых гигабитных Ethernet-чипов Intel.
  • Улучшена поддержка новых чипсетов Intel и AMD Zen 3.
  • Обеспечена совместимость с файловыми системами UDF (Universal Disk Format), в том числе внесены исправления для достижения полной совместимости с разделами UDF, созданными в Windows 10 (с учётом особенностей и ошибок).
  • В инсталляторе sysinst реализована возможность настойки беспроводных соединений.
  • В сборки для платформы Commodore Amiga добавлена возможность запуска X11-сервера с использованием драйвера wsfb (использует вывод через framebuffer).
  • Внесены изменения, нацеленные на повышение производительности гипервизора Xen.

  1. OpenNews: Выпуск NetBSD 9.2
  2. OpenNews: Удалённая уязимость в ядре NetBSD, эксплуатируемая из локальной сети
  3. OpenNews: NetBSD перешёл на оконный менеджер CTWM по умолчанию и экспериментирует с Wayland
  4. OpenNews: В ядро NetBSD добавлена поддержка VPN WireGuard
  5. OpenNews: Релиз операционной системы NetBSD 9.0
Обсуждение (151 +24) | Тип: Программы |
·06.08.2022 Студия Dreamworks анонсировала открытие системы рендеринга MoonRay (75 +40)
  Анимационная студия Dreamworks анонсировала открытие кода системы рендеринга MoonRay, использующей трассировку лучей на основе численного интегрирования по методу Монте-Карло (MCRT). Продукт применялся для рендеринга анимационных фильмов "Как приручить дракона 3", "Семейка Крудс 2: Новоселье", "Плохие парни" и "Кот в сапогах 2: Последнее желание". В настоящий момент уже запущен сайт открытого проекта, но сам код обещают опубликовать позднее на GitHub под лицензией Apache 2.0.

Система разработана с нуля, избавлена от зависимости от устаревшего кода и готова для создания профессиональных работ, уровня полнометражных фильмов. Изначально при проектировании основное внимание уделялось обеспечению высокой эффективности и масштабируемости, в том числе поддерживается многопоточный рендеринг, распараллеливание операций, использование векторных инструкций (SIMD), реалистичная симуляция освещения, обработка лучей на стороне GPU или CPU, реалистичная симуляция освещения на базе трассировки путей, рендеринг объёмных структур (туман, огонь, облака).

Для организации распределённого рендеринга используется собственный фреймворк Arras, позволяющий разносить вычисления на несколько серверов или облачных окружений. Код Arras будет открыт вместе с основной кодовой базой MoonRay. Для оптимизации расчёта освещения в распределённых окружениях может использоваться библиотека трассировки лучей Intel Embree, а для векторизации шейдеров - компилятор Intel ISPC. Возможна остановка рендеринга в произвольный момент и возобновление операций с прерванной позиции.

Пакет также включает большую библиотеку материалов на основе физически корректного рендеринга (PBR), протестированных в рабочих проектах, и прослойку USD Hydra Render Delegates для интеграции с привычными системами создания контента, поддерживающими формат USD. Возможно применение различных режимов генерации изображений, от фотореалистичных до сильно стилизированных. Благодаря поддержке распределённого рендеринга аниматоры могут отслеживать результат в интерактивном режиме и одновременно визуализировать несколько вариантов сцены с разными условиями освещения, разными свойствами материалов и с разных точек зрения.

  1. OpenNews: Pixar передал проект OpenTimelineIO под покровительство Linux Foundation
  2. OpenNews: Инициатива по развитию открытого ПО для киноиндустрии
  3. OpenNews: Студия Dreamworks начала открытие кода своих анимационных программ
  4. OpenNews: Анимационная студия Pixar приняла решение об открытии пакета USD
  5. OpenNews: Pixar передал проект OpenTimelineIO под покровительство Linux Foundation
Обсуждение (75 +40) | Тип: К сведению | Интересно
·06.08.2022 Дэниэл Бернштейн подал в суд из-за утаивания NIST информации о постквантовых криптоалгоритмах (161 +85)
  Дэниэл Бернштейн (Daniel J. Bernstein), известный эксперт в области криптографии и создания защищённого ПО, разработавший такие проекты, как qmail, djbdns, NaCl, Ed25519, Curve25519 и ChaCha20-Poly1305, инициировал судебное разбирательство против правительства США, связанное с невыполнением Национальным институтом стандартов и технологий США (NIST) требований по полному раскрытию информации, связанной со стандартизацией криптоалгоритмов.

Претензии Бернштейна касаются проводимой в настоящее время стандартизации алгоритмов, стойких к подбору на квантовом компьютере. NIST не раскрывает полной информации о проводимых обсуждениях и не полностью публикует результаты анализа стойкости предложенных алгоритмов. С учётом интереса спецслужб к подстановке закладок, предопределённых уязвимостей и бэкдоров в претендующие на стандартизацию системы, Бернштейн предположил, что NIST может утаивать отчёты, в которых выявлены слабые места проанализированных криптоалгоритмов.

После выявления бэкдора в стандартизированном алгоритме Dual EC DRBG, разработанном в Агентстве национальной безопасности США, организация NIST обязалась обеспечить прозрачность процесса стандартизации и раскрывать всю сопутствующую информацию. Тем не менее, все решения по выбору алгоритмов продолжают приниматься в NIST за закрытыми дверями с раскрытием лишь части имеющейся информации. В соответствии с законом FOIA (Freedom of Information Act), предписывающим передавать информацию по запросу, с 2020 года Бернштейн отправил семь запросов о раскрытии данных о работе проекта NISTPQC (Post-Quantum Cryptography Standardization Project), но получил лишь отписки и так ничего не добился.

Так как скрываемая информация имеет большое общественное значение и необходим анализ полученной от АНБ информации, а также изучение корректности принятия решений в NIST, Бернштейн подал в федеральный суд США иск с требованием принудить NIST к публикации всех записей, связанных с работой группы NISTPQC, а также записей всех встреч и совещаний NIST с участием представителей Агентства национальной безопасности США, в которых встречается слово 'quantum', независимо от их связи с проектом стандартизации алгоритмов постквантовой криптографии. Отмечается, что без полного раскрытия всех данных можно легко пропустить доказательства атак на предложенные алгоритмы и попытки саботажа со стороны злоумышленников, пытающихся влиять на проект через подставных лиц.

  1. OpenNews: Отобранный NIST постквантовый криптоалгоритм SIKE оказался не защищён от взлома на обычном компьютере
  2. OpenNews: NIST утвердил алгоритмы шифрования, устойчивые к квантовым вычислениям
  3. OpenNews: Рассчитаны параметры квантового компьютера для взлома ключей, используемых в Bitcoin
  4. OpenNews: Дэниэл Бернштейн выступил с инициативой создания Си-компилятора для защищённого ПО
  5. OpenNews: Дэниел Бернштейн выступил с критикой позиции ФБР о шифровании смартфонов и сетей
Обсуждение (161 +85) | Тип: Тема для размышления |
·05.08.2022 Уязвимость в HTTP-сервере muhttpd, открываяющая доступ к файлам вне рабочего каталога (81 +10)
  В HTTP-сервере muhttpd, применяемом преимущественно в маршрутизаторах и точках доступа, выявлена уязвимость (CVE-2022-31793), позволяющая неаутентифицированному атакующему через отправку специально оформленного HTTP-запроса загрузить произвольные файлы, насколько это позволяют права доступа, под которыми выполняется HTTP-сервер (во многих устройствах muhttpd запускается с правами root). Например, атакующий может получить доступа к файлам с паролями, настройками беспроводного доступа, параметрами подключения к провайдеру и закрытыми ключами.

Проблема вызвана ошибкой при обработке пути в запросе, что позволяет обратиться к файлам, вне корневного каталога web-сервера. Атака сводится к указанию вначале пути любого дополнительного символа, отличного от точки, слеша и вопроса. Например, для загрузки файла /etc/hosts достаточно отправить запрос "GET a/etc/hosts" или "GET a/etc/hosts" (printf "GET b/etc/hosts\n\n" | nc server port).

Причина указанного поведения в том, что открытие запрошенного файла производится командой "open(&req->filename[1], O_RDONLY)" с предварительным выполнением функции chdir() для перехода в корень web-сервера. Указание &req->filename[1] приводит к игнорированию первого символа пути (разработчики подразумевали, что первый символ всегда "/"). Таким образом, при запросе "GET /etc/hosts" сервер попытается открыть файл по относительному пути "etc/hosts", но если указать вначале любой дополнительный символ ("GET a/etc/hosts") - последующий путь будет обработан полностью.

Проблема присутствует начиная с самой первой версии muhttpd и устранена в выпуске 1.1.7. Из устройств, использующих muhttpd, наличие проблемы подтверждено в маршрутизаторах SaskTel и Arris. Потенциально проблема также может проявляться в устройствах, выпускаемых компаниями AT&T, Frontier и Windstream. При ограничении доступа к порту HTTP только для внутренней сети атака может быть совершена из внешней сети при помощи техники "DNS rebinding", позволяющую при открытии пользователем определённой страницы в браузере отправить HTTP-запрос на сетевой порт, недоступный для прямого обращения через интернет.

  1. OpenNews: Обновление DNS-сервера BIND c устранением уязвимости в реализации DNS-over-HTTPS
  2. OpenNews: Обновление HTTP-сервера H2O 2.2.5 с устранением уязвимости
  3. OpenNews: Ещё одна уязвимость в Apache httpd, позволяющая обратиться за пределы корневого каталога сайта
  4. OpenNews: Уязвимость в http-сервере Apache 2.4.49, позволяющая получить файлы вне корня сайта
  5. OpenNews: Уязвимость в http-сервере Nostromo, приводящая к удалённому выполнению кода
Обсуждение (81 +10) | Тип: Проблемы безопасности |
·05.08.2022 Доступна операционная система Chrome OS 104 (117 –3)
  Доступен релиз операционной системы Chrome OS 104, основанной на ядре Linux, системном менеджере upstart, сборочном инструментарии ebuild/portage, открытых компонентах и web-браузере Chrome 104. Пользовательское окружение Chrome OS ограничивается web-браузером, а вместо стандартных программ задействованы web-приложения, тем не менее, Chrome OS включает в себя полноценный многооконный интерфейс, рабочий стол и панель задач. Исходные тексты распространяются под свободной лицензией Apache 2.0. Сборка Chrome OS 104 доступна для большинства актуальных моделей Chromebook. Для использования на обычных компьютерах предлагается редакция Chrome OS Flex. Энтузиастами также формируются неофициальные сборки для обычных компьютеров с процессорами x86, x86_64 и ARM.

Основные изменения в Chrome OS 104:

  • Обновлён интерфейс Smart Lock, позволяющий использовать смартфон на базе платформы Android для разблокировки Chromebook. Для включения Smart Lock следует привязать свой смартфон к Chrome OS в настройках "Chrome OS Settings>Connected devices".
  • В панель быстрых настроек и строку состояния добавлена возможность вызова календаря с представлением дней по месяцам. Из календаря можно сразу просматривать события, отмеченные в Google Calendar.
  • Добавлена кнопка для закрытия разом всех окон и вкладок, связанных с выбранным виртуальным рабочим столом. Кнопка "Close desk and windows" доступна в контекстном меню, показываемом при подведении курсора к виртуальному рабочему столу в панели.
  • Переработано оформление интерфейса вывода уведомлений. Реализована группировка уведомлений в зависимости от отправителей.
  • В мультимедийном просмотрщике Gallery добавлена поддержка аннотаций в PDF-документах. Пользователь теперь может не только просматривать PDF, но и выделять текст, заполнять интерактивные формы и прикреплять произвольные аннотации.
  • При поиске в интерфейсе запуска программ (Launcher) обеспечен вывод рекомендаций установки приложений из каталога Play Store, соответствующих поисковому запросу.
  • Предложена для тестирования функциональность для создания интернет-киосков и цифровых демонстрационных стендов. Инструменты для организации работы киосков поставляются на платной основе ($25 в год).
  • Модернизирован хранитель экрана, в котором теперь можно настроить показ изображений и фотографий из выбранного альбома. Таким образом в режиме простоя устройство может использоваться как цифровая фоторамка.
  • Реализована поддержка светлых и тёмных вариантов тем оформления, а также режима автоматического выбора тёмного или светлого стиля.
  • В системе удалённого доступа Chrome Remote Desktop появилась возможность работы с несколькими мониторами. При подсоединении к устройству нескольких экранов пользователь теперь может выбрать на каком экране показывать удалённый сеанс.
  • В интерфейсе администратора предоставлена возможность экспорта в формате CSV отчётов об использовании приложений и дополнений, а также добавлена новая страница с детальной информацией о выбранном приложении.
  • Реализована возможность осуществления плановой автоматической перезагрузки при активном сеансе пользователя. Если сеанс активен, то за час до запланированной администратором перезагрузки пользователю будет выведено специальное предупреждение.
  • Дополнительно анонсирована реализация в приложении Google Photos возможностей для редактирования видео и создания роликов из набора клипов или фотографий, которые будут предложены пользователем в осеннем обновлении. Также отмечены новые предустановленные приложения для создания скринкастов и ведения рукописных заметок.

  1. OpenNews: Релиз Chrome 104
  2. OpenNews: Операционная система Chrome OS Flex готова для установки на любое оборудование
  3. OpenNews: Доступна операционная система Chrome OS 103
  4. OpenNews: В Chrome OS появилась возможность запуска игр, распространяемых через Steam
  5. OpenNews: Новая техника эксплуатации уязвимостей класса Spectre в Chrome
Обсуждение (117 –3) | Тип: Программы |
·04.08.2022 GitLab намерен удалять бесплатно размещённые проекты, неактивные в течение года (дополнено) (312 –63)
  Компания GitLab планирует в сентябре внести изменения в правила использования сервиса, в соответствии с которыми проекты, размещаемые на хостинге GitLab.com бесплатно, будут автоматически удаляться, если в течение 12 месяцев их репозитории будут оставаться неактивными. Изменения правил пока не объявлены официально и находятся на стадии внутреннего планирования.

Изменение нацелено на снижение издержек на поддержание хостинга за счёт высвобождения ресурсов на хранение и обработку заброшенных проектов и неразвивающихся форков. Предполагается, что на поддержание инфраструктуры для заброшенных проектов приходится до четверти всех затрат на работу хостинга GitLab.com и автоматическая чистка подобных проектов позволит сэкономить до миллиона долларов в год.

До фактического удаления в течение нескольких недель или месяцев владельцам претендующих на удаление репозиториев будут направляться уведомления с предупреждением о необходимости подтвердить актуальность проекта. Удалять планируют только заброшенные проекты, авторы которых не реагируют на предупреждения, в репозитории в течение года не отмечалось изменений, не публиковались новые issue и не отправлялись комментарии.

Тем не менее, некоторые участники сообщества считают предлагаемое удаление порочной практикой, так как код из неактивных репозиториев может использоваться в качестве зависимости в других проектах, остающихся активными. Также отмечается, что постоянные изменения не являются целью некоторых авторов, которые вполне могут считать, что текущее состояние их проекта достигло оптимального уровня, и код достаточно хорош и не требует улучшения, или изначально открывать готовые наработки, которые не планируется развивать, но которые могут оказаться полезными окружающим.

Кроме того, на код неактивных проектов могут ссылаться внешние ресурсы, и его удаление приведёт к потере подтверждённой эталонной копии, на которую можно ссылаться (в неофициальных копиях не гарантируется отсутствие вредоносной активности), поэтому вместо удаления, вероятно, более оптимальным был бы перевод в архивное состояние с сохранением возможности доступа к коду в режиме только для чтения. Для экономии дискового пространства при хранении мусорных форков можно использовать более эффективные методы обработки дубликатов, например, GitHub для исключения дублирования данных хранит вместе все объекты из основного репозитория и связанных с ним форков, логически разделяя принадлежность коммитов.

Дополнение 1: Компания GitLab пересмотрела свои планы и решила не удалять неиспользуемые репозитории, а перемещать их в отдельное объектное хранилище. Отмечается, что хранилище с устаревшими проектами будет более медленным, чем основное хранилище для активных репозиториев, но оно позволит не потерять безвозвратно код. Пока не уточняется смогут ли обращаться к архиву все желающие или он останется доступен только для владельцев удалённых проектов.

Дополнение 2: Руководитель GitLab уточнил, что подлежащие чистке неактивные репозитории останутся доступны для чтения всем желающим и, скорее всего, доступ к ним будет напоминать возможность работы с проектами, переведёнными разработчиками в разряд архивных.

  1. OpenNews: Разработчики Wine приняли решение о переводе разработки на GitLab
  2. OpenNews: Fedora и CentOS запускают Git Forge. GitLab открывает 18 проприетарных возможностей
  3. OpenNews: GitLab отложил включение телеметрии
  4. OpenNews: Уязвимость в GitLab, позволяющая захватить аккаунты, авторизированные через OAuth, LDAP и SAML
  5. OpenNews: GitLab вводит проверку по номеру кредитной карты для запуска обработчиков в CI
Обсуждение (312 –63) | Тип: Тема для размышления |
Следующая страница (раньше) >>



Спонсоры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2022 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру