Поиск
Показаны результаты для тегов 'technologies:'.
Найдено: 3 результата
-
Компания Positive Technologies опубликовала результаты исследования текущего уровня защищённости финансовых приложений. Речь идёт прежде всего о системах дистанционного банковского обслуживания (ДБО). Отмечается, что больше половины таких систем содержат критически опасные уязвимости. Впрочем, наблюдается тенденция повышения уровня защищённости банковских приложений. Так, если в 2015 году опасные «дыры» содержались в 90 % проанализированных систем, а в 2016 году — в 71 %, то в 2017-м — уже только в 56 %. В среднем в прошлом году на каждую систему ДБО приходилось по 7 уязвимостей. Наиболее распространёнными уязвимостями онлайн-банков в 2017 году стали «межсайтовое выполнение сценариев» (75 % систем) и «недостаточная защита от атак, направленных на перехват данных» (69 %). Эксплуатируя эти «дыры», злоумышленники могут атаковать клиентов банков. Что касается мобильных приложений, то в половине систем (48 %) была выявлена хотя бы одна критически опасная уязвимость. В 52 % мобильных банков уязвимости позволяли расшифровать, перехватить, подобрать учётные данные для доступа в мобильное приложение или вовсе обойти процесс аутентификации. При этом приложения для устройств на базе Android уступают по уровню защиты аналогам для гаджетов на платформе iOS. «2017 год подарил надежду, что финансовые приложения когда-нибудь станут безопасными. Мы наблюдали существенное повышение уровня защищённости анализируемых систем ДБО — как онлайн-банков, так и мобильных приложений», — отмечают эксперты.
-
- positive
- technologies:
- (и ещё 7 )
-
Компания Positive Technologies обнародовала результаты комплексного исследования, в ходе которого изучалась защищённость современных сотовых сетей. Сообщается, что безопасность систем мобильной связи всё ещё находится на низком уровне, что подтверждается результатами работ по анализу защищённости сетей SS7 (Signaling System 7). Стандарт SS7 используется для обмена служебной информацией между сетевыми устройствами в телекоммуникационных сетях. В то время, когда разрабатывался этот стандарт, доступ к сети SS7 имели лишь операторы фиксированной связи, поэтому безопасность не была приоритетной задачей. Сегодня сигнальная сеть уже не является в той же степени изолированной, поэтому злоумышленник, тем или иным путём получивший к ней доступ, имеет возможность эксплуатировать недостатки безопасности для того, чтобы прослушивать голосовые вызовы абонентов, читать SMS, похищать деньги со счетов, обходить системы тарификации или влиять на функционирование мобильной сети. Исследование показало, что все сотовые сети подвержены атакам злоумышленников. Они, в частности, содержат опасные уязвимости, которые позволяют нарушить доступность сервисов для абонентов. Практически в каждой сети можно прослушать разговор абонента или прочитать входящие SMS, а мошеннические операции можно успешно проводить в 78 % сетей. Более того, успешными для злоумышленников являются 100 % атак, направленных на перехват SMS-сообщений. При этом кража передаваемых таким образом одноразовых кодов чревата компрометацией систем дистанционного банковского обслуживания, мобильных банков, интернет-магазинов, порталов государственных услуг и множества других сервисов. Другой вид атак — отказ в обслуживании — представляет угрозу для электронных устройств Интернета вещей. Сегодня к сетям мобильной связи подключены не только отдельные устройства пользователей, но и элементы инфраструктуры «умных» городов, современные промышленные предприятия, транспортные, энергетические и иные компании.
-
- positive
- technologies:
- (и ещё 6 )
-
Positive Technologies представила аналитический отчет о защищенности Diameter — одного из основных сигнальных протоколов в сетях четвертого поколения. В 2016 г. каждая исследованная экспертами Positive Technologies сеть 4G на базе сигнального протокола Diameter обладала уязвимостями, позволяющими злоумышленникам перехватить SMS-сообщения (в том числе с банковскими одноразовыми паролями), определить местоположение абонента, заблокировать пользователям доступ к сети связи и выполнить другие нелегитимные действия. В отчете отмечается, что любой злоумышленник, обладающий достаточным уровнем компетенций, или специальная группа могут с легкостью заполучить информацию о текущем месторасположении абонента, а затем использовать ее при слежке, шпионаже или для публичного разглашения сведений о перемещениях абонента. Для реализации большинства атак на абонента злоумышленнику необходимо выдать себя за роуминг-партнера и заполучить международный идентификатор абонента мобильной сети (IMSI). В документе приводятся несколько техник, позволяющих узнать IMSI абонента — в частности, раскрытие этого идентификатора возможно через уязвимости сигнального протокола SS7. Проблемы с конфигурацией оборудования и сервисов позволяют перехватить пользовательские данные, в том числе SMS-сообщения. Эту возможность злоумышленник может использовать для получения доступа к системе ДБО, в которой для подтверждения входа пользователя используются временные пароли, пересылаемые по SMS. Перехватив временный пароль, атакующий получит полный доступ к интернет-банку пользователя и может похитить все денежные средства, которыми тот располагает. Оповещения о транзакциях в случае несанкционированного перевода могут оказаться бесполезны, так как ряд фундаментальных особенностей реализации протокола Diameter позволяют атакующему заблокировать пользователю доступ к сети связи. В результате абонент не будет получать уведомления ни через SMS-сообщения, ни по электронной почте — в связи с блокировкой услуг, предоставляющих доступ к мобильному Интернету. Более того, после перехвата денежных средств пользователь не сможет связаться с банком, чтобы произвести блокировку счета, поскольку оборудование оператора будет «считать», что он находится в другом регионе, и постоянно отключать его от сети. Помимо DoS-атаки, направленной на абонента, злоумышленник потенциально может проводить аналогичные атаки и против оборудования оператора, нарушая его работу и вызывая прерывание предоставления услуг связи уже не одному, а множеству абонентов атакуемого оператора. Каждый второй элемент исследованных сетей можно было вывести из строя направляемым ему пакетом со всего лишь одним неправильным битом. Эксплуатация уязвимостей Diameter может осуществляться и с целью мобильного мошенничества. В отчете описаны сценарий атак, при которых злоумышленнику становятся доступны бесплатные услуги связи, такие как звонки, SMS, передача данных за счет оператора либо других абонентов, что приводит к прямой потере денег оператором. «В стандарт протокола Diameter изначально заложены возможности защиты данных как на сетевом, так и на транспортном уровне, однако в реальности операторы далеко не всегда их используют. И даже применяя их, они не всегда могут защититься от уязвимостей. — сказал Сергей Машуков, эксперт группы исследований информационной безопасности телекоммуникационных систем Positive Technologies. Для противодействия таким атакам мы рекомендуем операторам сотовой связи регулярно проводить анализ защищенности сигнальной сети и осуществлять постоянный мониторинг, анализ и фильтрацию сообщений, пересекающих границы сети».
-
- positive
- technologies:
-
(и ещё 6 )
C тегом: