DSecRG продемонстрировал эксплоит для клиентского ПО системы «Банк-Клиент»

DSecRG продемонстрировал эксплоит для клиентского ПО системы «Банк-Клиент»

Специалисты исследовательского центра DSecRG, основанного компанией Digital Security, на конференции «Infobez-Expo/ИнфоБезопасность» рассказали о проблемах безопасности в отечественных банковских продуктах. В частности, внимание было обращено на отсутствие у разработчиков процедур тестирования безопасности собственного кода, что приводит к проявлению классических уязвимостей. При этом было рассказано как про ошибки в клиентской части ПО, так и в серверной.



Так, в рамках выступлений специалистами DSecRG был продемонстрирован эксплоит, нацеленный на клиентское ПО системы «Банк-Клиент», который не обнаруживался антивирусами и использовал последние методики для обхода защитных механизмов ОС (DEP/ASLR), что возможно не только потому, что в коде присутствуют ошибки, но и потому, что разработчики часто пренебрегают использованием защитных механизмов операционной системы.

«Все, что было сказано и продемонстрировано, необходимо лишь для того, чтобы банки и разработчики ПО для банков поняли, что взламывать можно все, включая их продукты. Сейчас очень важно поднять качество кода отечественного ПО, ведь найти ошибку, скажем, в “Банк-Клиенте” сейчас легче, чем в популярном западном ПО. Поэтому необходимо обращать внимание на такое положение дел, ведь злоумышленники тоже ищут эти уязвимости и используют их в своих целях, и мы должны максимально усложнить им эту задачу», — подчеркнул Алексей Синцов, ведущий аудитор компании Digital Security.

В целом, за два года работы исследовательского центра DSecRG были обнаружены ошибки в коде большинства популярных банковских решений таких компаний, как BSS, INIST, ЦФТ, R-Style и «Сигнал-КОМ», говорится в сообщении Digital Security. Производители были своевременно уведомлены о данных уязвимостях и сообщили об их успешном закрытии и отправке обновлений всем клиентам.

В связи со спецификой продуктов, в которых были найдены уязвимости, детальная техническая информация опубликована только на закрытом форуме Ассоциации Российских Членов Европей. Более подробную информацию об обнаруженных уязвимостях в банковских продуктах можно получить на сайте исследовательского центра DSecRG.

Источник

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

84% детей младше 13 лет легко обходят возрастные ограничения соцсетей

Проведенный в Австралии опрос показал, что 84% детей от 8 до 12 лет посещают YouTube, TikTok, Snapchat, несмотря на возрастные ограничения. Более трети пользуются своим аккаунтом, у 10% его заблокировали.

В конце этого года в Австралии вступит в силу запрет на создание аккаунтов в соцсетях лицами младше 16 лет. Чтобы оценить ситуацию, Комитет по электронной безопасности (eSafety Commission) провел опрос несовершеннолетних; в нем приняли участие 1504 жителя страны в возрасте от 8 до 15 лет (1049 — до 12-ти включительно).

Как оказалось, 95% респондентов используют (PDF) как минимум один из указанных в анкете сервисов: TikTok, Twitch, YouTube, Discord, Snapchat, Reddit, Facebook или Instagram (два последних признаны в России экстремистскими и запрещены).

В числе прочих в прошлом году эти платформы посещали 84% опрошенных младше 13 лет (чаще всего YouTube. TikTok и Snapchat), и больше половины из них заходят на такие сайты из-под учетной записи родителя либо опекуна. Обзавестись собственным аккаунтом детям обычно помогают родители, а особо одаренным он и вовсе не нужен.

 

Многие соцсети ввели возрастной ценз на доступ (13+), и при создании аккаунта почти все поименованные (кроме Reddit) просят указать дату рождения. Однако ее достоверность никак не проверяется, и дети с легкостью обходят это препятствие, солгав.

На YouTube, правда, предусмотрена легальная альтернатива для тех, кому еще нет 13-ти: посещения под присмотром родителей (запрет и ограничения по контенту снимаются через приложение Family Link).

Вместе с тем некоторые сервисы располагают средствами проактивного выявления возраста юзеров:

  • технологии анализа языка (TikTok, Twitch, Snapchat);
  • классификация каналов (YouTube);
  • ИИ и верификация по лицу (TikTok);
  • анализ голоса, поведения, трафика (Twitch).

В случае обнаружения нарушителя правил доступа Twitch, Snapchat, Reddit и Discord немедленно его банят (согласно результатам опроса, с этим столкнулись 10% малолетних владельцев аккаунтов), а TikTok для верности подключает команду аналитиков.

В Facebook и Instagram процесс фильтрации по возрастному признаку более сложен. При вводе в форму даты рождения, говорящей о нежном возрасте, посетителю выводится сообщение об ошибке.

Если тот упорствует, попытки создания аккаунта откладываются на 12 часов. Дополнительно для оценки возраста юзера могут использоваться инструменты идентификации Yoti или помощь специалиста-аналитика.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru