gladilov.org.ru gladilov.org.ua

53 заметки с тегом

интернет

Банк HSBC приобрёл виртуальный участок земли

HSBC, один из крупнейших в мире международных поставщиков банковских и финансовых услуг, и метавселенная Sandbox, сегодня объявили о новом партнёрстве, «которое откроет множество возможностей для виртуальных сообществ по всему миру для взаимодействия с глобальными поставщиками финансовых услуг и спортивными сообществами в метавселенной».

Показать

Партнёрство между Sandbox и HSBC приведёт к тому, что глобальный поставщик финансовых услуг приобретёт участок земли, виртуальную недвижимость в метавселенной, которая будет использована для привлечения и общения с энтузиастами спорта, киберспорта и игр.

The Sandbox Game — это многопользовательская онлайн игра, использующая технологию блокчейна с элементами децентрализованных финансов (DeFi) и незаменяемых токенов (NFT). Sandbox — это целая игровая метавселенная, в которой игроки могут покупать и продавать «земли», создавать и реализовывать свои «активы» — NFT-токены, а также участвовать в управлении проектом, определяя вектор его дальнейшего развития. В отличие от многих игр, в The Sandbox нет заранее определенного игрового мира и заранее продуманного сценария. При этом, помимо создания и добавления своих объектов в игровой мир, пользователи могут заработать на продаже своих творений.

«Метавселенная — это то, как люди будут работать с Web3, следующим поколением Интернета, используя иммерсивные технологии, такие как дополненная реальность, виртуальная реальность и расширенная реальность» — заявил Суреш Баладжи, директор HSBC по маркетингу Азиатско-Тихоокеанский региона.

Сумма сделки не раскрывается. Интересен тот факт, что не так давно банк HSBC запрещал своим клиентам покупать акции Microstrategy (разработчика ПО, который все свои ликвидные средства инвестировала в криптовалюту) как высокорисковые, а руководители финансового гиганта неоднократно заявляли, что «крипта — это не наше».

P. S. Применительно к реалиям сегодняшнего дня и местоположению — ждите разгонов протестов в метавселенных...

Источники:
The Sandbox
iXBT

2022   в мире   досуг   интересное   интернет   сеть   события

Let’s Encrypt отзывает 2 млн сертификатов

Некоммерческий удостоверяющий центр Let’s Encrypt, контролируемый сообществом и предоставляющий сертификаты безвозмездно всем желающим, объявил о досрочном отзыве около двух миллионов TLS-сертификатов, что составляет около 1% от всех активных сертификатов данного удостоверяющего центра. Отзыв сертификатов инициирован из-за выявления несоответствия требованиям спецификации в применяемом в Let’s Encrypt коде с реализацией расширения TLS-ALPN-01 (RFC 7301, Application-Layer Protocol Negotiation). Несоответствие было связано с отсутствием некоторых проверок, выполняемых в процессе согласования соединений на базе TLS-расширения ALPN, применяемого в HTTP/2. Детальная информация об инциденте будет опубликована после завершения отзыва проблемных сертификатов.

Показать

26 января в 03:48 (MSK) проблема была устранена, но все сертификаты, при выдаче которых для верификации использовался метод TLS-ALPN-01, решено признать недействительными. Отзыв сертификатов начнётся 28 января в 19:00 (MSK). До этого времени пользователям, использующим метод проверки TLS-ALPN-01, рекомендуется успеть обновить свои сертификаты, иначе они досрочно будут признаны недействительными.

Соответствующие уведомления о необходимости обновления сертификатов отправлены на email. Пользователей, применяющих для получения сертификата инструментарии Certbot и dehydrated, при использовании настроек по умолчанию проблема не затронула. Метод TLS-ALPN-01 поддерживается в пакетах Caddy, Traefik, apache mod_md и autocert. Проверить корректность своих сертификатов можно через поиск идентификаторов, серийных номеров или доменов в списке проблемных сертификатов.

Так как изменения затрагивают поведение при проверке методом TLS-ALPN-01, для продолжения работы может требоваться обновление ACME-клиента или изменение настроек (Caddy, bitnami/bn-cert, autocert, apache mod_md, Traefik). Изменения сводятся к использованию версий TLS не ниже 1.2 (клиенты теперь не смогут использовать TLS 1.1) и прекращению поддержки OID 1.3.6.1.5.5.7.1.30.1, идентифицирующего устаревшее расширение acmeIdentifier, поддерживаемое только в ранних черновиках спецификации RFC 8737 (при формировании сертификата теперь допускается только OID 1.3.6.1.5.5.7.1.31, а клиенты использующие OID 1.3.6.1.5.5.7.1.30.1 не смогут получить сертификат).

Источники:
https://www.opennet.ru/opennews/art.shtml?num=56588
https://community.letsencrypt.org/t/2022-01-25-issue-with-tls-alpn-01-validation-method/170450

Компания Intel развивает протокол HTTPA, дополняющий HTTPS

Инженеры из компании Intel предложили новый протокол HTTPA (HTTPS Attestable), расширяющий HTTPS дополнительными гарантиями безопасности произведённых вычислений. HTTPA позволяет гарантировать целостность обработки запроса пользователя на сервере и убедиться в том, что web-сервис заслуживает доверия и работающий в TEE-окружении (Trusted Execution Environment) на сервере код не был изменён в результате взлома или диверсии администратора.

Показать

HTTPS защищает передаваемые данные на этапе передачи по сети, но не может исключить нарушение их целостности в результате атак на сервер. Изолированные анклавы, создаваемые при помощи таких технологий, как Intel SGX (Software Guard Extension), ARM TrustZone и AMD PSP (Platform Security Processor), дают возможность защитить важные вычисления и снизить риск утечек или изменения конфиденциальной информации на конечном узле.

HTTPA для гарантирования достоверности переданной информации позволяет задействовать предоставляемые в Intel SGX средства аттестации, подтверждающие подлинность анклава, в котором произведены вычисления. По сути HTTPA расширяет HTTPS возможностью удалённой аттестации анклава и позволяет проверить то, что он выполняется в подлинном окружении Intel SGX и web-сервису можно доверять. Протокол изначально развивается как универсальный и помимо Intel SGX может быть реализован и для других TEE-систем.

Помимо штатного для HTTPS процесса установки защищённого соединения, HTTPA дополнительно требует согласования сессионного ключа, заслуживающего доверия. Протокол вводит в обиход новый HTTP-метод «ATTEST», который позволяет обрабатывать три типа запросов и ответов:

«preflight» для проверки, поддерживает ли удалённая сторона аттестацию анклавов;
«attest» для согласования параметров аттестации (выбор криптографического алгоритма, обмен уникальными для сеанса случайными последовательностями, генерация идентификатора сеанса и передача клиенту открытого ключа анклава);
«trusted session» — формирование сессионного ключа для доверительного обмена информацией. Сессионный ключ формируется на основе ранее согласованной предварительной секретной последовательности (pre-session secret), сформированной клиентом с использованием полученного от сервера открытого ключа TEE, и сгенерированных каждой стороной случайных последовательностей.

HTTPA подразумевает, что клиент заслуживает доверия, а сервер нет, т. е. клиент может использовать данный протокол для верификации вычислений в TEE-окружении. При этом HTTPA не гарантирует, что производимые в процессе работы web-сервера остальные вычисления, производимые не в TEE, не были скомпрометированы, что требует применения отдельного подхода к разработке web-сервисов. Таким образом, в основном HTTPA нацелен на использование со специализированными сервисами, к которым предъявляются повышенные требования к целостности информации, такие как финансовые и медицинские системы.

Для ситуаций когда вычисления в TEE должны быть подтверждены как для сервера, так и для клиента предусмотрен вариант протокола mHTTPA (Mutual HTTPA), выполняющий двухстороннюю верификацию. Данный вариант более усложнённый из-за необходимости двустороннего формирования сессионных ключей для сервера и клиента.

Источники:http://www.opennet.ru/opennews/art.shtml?num=56050
https://arxiv.org/pdf/2110.07954.pdf

Запланированные проблемы

На странице «События» сайта Группы пользователей Linux в Зеландии и в Сконе (Skåne Sjælland Linux User Group, SSLUG) нашёл забавное запланированное событие. На 19 января 2038 года они собираются участвовать в событии «Паника, хаос и разрушение».

2021   Linux   досуг   интересное   интернет   юмор

Смена метода доступа к Git

Протух пароль в гит, сделал так:

здесь сгенерировал новый токен.
Удалил старые кредентиалы гита:

git remote remove origin

git remote add origin https://<токен>@<URL к репозиторию>.git

Ну и находясь в директории репозитория выполнил единоразово:

git pull https://<токен>@<URL к репозиторию>.git

Источник

День рождения Википедии

20 лет назад, 15 января 2001 года, был открыт сайт «Википедия», универсальная энциклопедия, свободно распространяемая во всемирной сети Интернет. Статьи энциклопедии создаются на многих языках мира коллективным трудом добровольных авторов. Одним из основных достоинств Википедии является возможность представить информацию на родном языке, сохраняя ее ценность в аспекте культурной принадлежности.

Прародителем Википедии принято считать Нупедию (Nupedia) — проект энциклопедии на английском языке, реализующий принципы свободы информации. Статьи Нупедии писали ученые и люди из академической среды, а основателями были Ларри Сэнгер (Larry Sanger) и Джимми Уэйлс (Jimmy Wales). Чтобы ускорить пополнение энциклопедии, 15 января 2001 года Уэйлс и Сэнгер открыли сайт «Википедия». С тех пор принимать участие в редактировании энциклопедии мог любой пользователь Всемирной сети.

Показать

Википедия получила свое название от используемой для её реализации технологии «вики». В переводе с гавайского языка вики означает «быстро».

В мае 2001 года были запущены языковые разделы Википедии: русский, немецкий, шведский, французский, итальянский, испанский, португальский, эсперанто, каталанский, иврит, японский, а чуть позднее — арабский и венгерский. Сейчас в Википедии насчитывается более 300 языковых разделов.

Объём Википедии неуклонно растет. Энциклопедия набирает популярность у пользователей Сети, входя в десятку самых посещаемых интернет-ресурсов мира.

Всемирный день блога

С 2005 года активные пользователи LiveJournal 31 августа празднуют Всемирный день блога, усмотрев в слове blog цифры 3108.. В блогерской среде этот день принято посвящать знакомству с товарищами из разных стран, с разными интересами.

Инициаторы Дня блога призывают посвятить его знакомству с товарищами из разных стран и с разными интересами. Для этого предлагается написать короткие рецензии о пяти разных блогах и 31 августа опубликовать эти записи у себя со ссылками на авторские страницы. Считается, что лучше всего в этот день писать о блогах, которые расходятся со сферой обычных интересов автора, его точкой зрения и жизненной позицией, чтобы и сам пользователь, и посетители его страницы открыли для себя что-то новое.

Блогеры восприняли идею с энтузиазмом. Когда впервые 31 августа объявили праздником, в индексе Google появилось сразу 30 тысяч новых страниц. А в 2007 году в связи с этой датой начался конкурс лучших блогов Best of Blogs. В нем могут принимать участие публикации на десяти языках: английском, арабском, испанском, китайском, немецком, нидерландском, персидском, португальском, французском и русском.

Обнаружена уязвимость в чипах Qualcomm и MediaTek с WPA2

Исследователи из компании Eset выявили новый вариант (CVE-2020-3702) уязвимости Kr00k, применимый к беспроводным чипам Qualcomm и MediaTek. Как и первый вариант, которому были подвержены чипы Cypress и Broadcom, новая уязвимость позволяет дешифровать перехваченный Wi-Fi трафик, защищённый с использованием протокола WPA2.

Напомним, что уязвимость Kr00k вызвана некорректной обработкой ключей шифрования при отсоединении (диссоциации) устройства от точки доступа. В первом варианте уязвимости при отсоединении выполнялось обнуление сессионного ключа (PTK), хранимого в памяти чипа, так как дальнейшая отправка данных в текущем сеансе производиться не будет. При этом оставшиеся в буфере передачи (TX) данные шифровались уже очищенным ключом, состоящим только из нулей и, соответственно, могли быть легко расшифрованы при перехвате. Пустой ключ применяется только к остаточным данным в буфере, размер которого составляет несколько килобайт.

Показать

Ключевым отличием второго варианта уязвимости, проявляющейся в чипах Qualcomm и MediaTek, является то, что вместо шифрования нулевым ключом данные после диссоциации передаются вообще не зашифрованными, несмотря на то, что флаги шифрования устанавливаются. Из протестированных на наличие уязвимости устройств на базе чипов Qualcomm отмечены D-Link DCH-G020 Smart Home Hub и открытый маршрутизатор Turris Omnia. Из устройств на базе чипов MediaTek протестирован маршрутизатор ASUS RT-AC52U и IoT-решения на базе Microsoft Azure Sphere, использующие микроконтроллер MediaTek MT3620.

Для эксплуатации обоих вариантов уязвимостей атакующий может отправить специальные управляющие кадры, вызывающие диссоциацию, и перехватить отправляемые следом данные. Диссоциация обычно применяется в беспроводных сетях для переключения с одной точки доступа на другую во время роуминга или при потере связи с текущей точкой доступа. Диссоциацию можно вызвать отправкой управляющего кадра, который передаётся в незашифрованном виде и не требует аутентификации (атакующему достаточно достижимости Wi-Fi сигнала, но не требуется подключение к беспроводной сети). Проведение атаки возможно как при обращении уязвимого клиентского устройства к неуязвимой точке доступа, так и в случае обращения не подверженного проблеме устройства к точке доступа, на которой проявляется уязвимость.

Уязвимость затрагивает шифрование на уровне беспроводной сети и позволяет проанализировать лишь устанавливаемые пользователем незащищённые соединения (например, DNS, HTTP и почтовый трафик), но не даёт возможность скомпрометировать соединения с шифрованием на уровне приложения (HTTPS, SSH, STARTTLS, DNS over TLS, VPN и т. п.). Опасность атаки также снижает то, что за раз атакующий может расшифровать только несколько килобайтов данных, которые находились во время отсоединения в буфере передачи. Для успешного захвата отправляемых через незащищённое соединение конфиденциальных данных, атакующий либо должен точно знать момент их отправки, либо постоянно инициировать отсоединение от точки доступа, что бросится в глаза пользователю из-за постоянных перезапусков беспроводного соединения.

Проблема устранена в июльском обновлении проприетарных драйверов к чипам Qualcomm и в апрельском обновлении драйверов для чипов MediaTek. Исправление для MT3620 было предложено в июле. О включении исправлений в свободный драйвер ath9k у выявивших проблему исследователей информации нет. Для тестирования устройств на подверженность обоих вариантов уязвимости подготовлен скрипт на языке Python.

Дополнительно можно отметить выявление исследователями из компании Сheckpoint шести уязвимостей в DSP-чипах Qualcomm, которые применяются на 40% смартфонов, включая устройства от Google, Samsung, LG, Xiaomi и OnePlus. До устранения проблем производителями детали об уязвимостях не сообщаются. Так как DSP-чип представляет собой «чёрный ящик», который не может контролировать производитель смартфона, исправление может затянуться и потребует координации работ с производителем DSP-чипов.

DSP-чипы используются в современных смартфонах для совершения таких операций как обработка звука, изображений и видео, в вычислениях для систем дополненной реальности, компьютерного зрения и машинного обучения, а также в реализации режима быстрой зарядки. Среди атак, которые позволяют провести выявленные уязвимости, упоминаются: Обход системы разграничения доступа — незаметный захват данных, таких как фотографии, видео, записи звонков, данные с микрофона, GPS и т. п. Отказ в обслуживании — блокирование доступа ко всей сохранённой информации. Скрытие вредоносной активности — создание полностью незаметных и неудаляемых вредоносных компонентов.

Источники
https://www.opennet.ru/opennews/art.shtml?num=53512
https://blog.checkpoint.com/2020/08/06/achilles-small-chip-big-peril/

Ранее Ctrl + ↓
Наверх