Добавленная в Chrome 124 постквантовая криптография ломает TLS-соединения

Добавленная в Chrome 124 постквантовая криптография ломает TLS-соединения

Добавленная в Chrome 124 постквантовая криптография ломает TLS-соединения

Ряд пользователей браузера Google Chrome жалуется на проблемы с подключением к сайтам, серверам и файрволам. Судя по всему, вина лежит на новом квантово-устойчивом механизме инкапсуляции X25519Kyber768, включенном по умолчанию в вышедшем на прошлой неделе Chrome 124.

Напомним, с августа Google тестирует постквантовый механизм инкапсуляции, а теперь корпорация включила его по умолчанию в последних сборках Chrome для всех пользователей.

Нововведение использует квантово-устойчивый алгоритм Kyber768 для подключений по TLS 1.3 и QUIC, что должно помочь защитить трафик от квантового криптоанализа.

«После нескольких месяцев тестирований на совместимость и проверок производительности мы запускаем в десктопной версии Chrome 124 гибридный постквантовый обмен ключами TLS», — объясняет команда Chrome Security.

«Новый подход защитит трафик пользователей от атак, которые руководствуются принципом “сохрани сейчас, расшифруй потом”. Смысл этого принципа в том, чтобы дождаться введения в массовую эксплуатацию квантовых компьютеров, которые смогут расшифровать трафик, перехваченный сегодня».

Однако все оказалось не так просто даже после «нескольких месяцев тщательных тестирований». Например, с выходом версий Google Chrome 124 и Microsoft Edge 124 некоторые системные администраторы обратили внимание на разрыв соединений с приложениями, межсетевыми экранами и серверами после хендшейка TLS ClientHello.

«Похоже на то, что TLS-хендшейк обрывается при соединении с серверами, которые не знают, что делать с дополнительными данными в приветственном сообщении», — пишет один из сисадминов.

«У меня та же проблема с SSL-дешифровкой palo alto. Появилась после выхода Chrome и Edge 124», — подтверждает другой администратор.

Причина этих ошибок не в баге самого браузера Chrome, а скорее в невозможности веб-серверов корректно имплементировать Transport Layer Security (TLS) и, как следствие, обработать более объемные сообщения ClientHello для постквантовой криптографии.

Специалисты даже запустили сайт tldr.fail, на котором можно найти дополнительную информацию о том, насколько большое сообщение ClientHello может сломать подключение.

В октябре на эфире AM Live мы выясняли, насколько реальна квантовая угроза и можно ли от неё защититься.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Основная масса россиян никогда не меняла пароли в соцсетях

Как показало исследование социальной сети «Одноклассники», 40% российских пользователей соцсетей никогда не меняли пароль после первичной настройки учетной записи.

Согласно результатам исследования, которые оказались в распоряжении «Лента Ру», основная масса пользователей (40%) никогда не меняет пароли.

Еще 30% делает это только тогда, когда получает уведомление о том, что учетные данные оказались среди тех, которые «утекли».

Более-менее регулярно меняют пароли только 30% пользователей. При этом 22% делают это через каждые 3-6 месяцев, а 8% — ежемесячно.

Двухфакторную аутентификацию применяет около трети пользователей. Наиболее распространены одноразовые СМС-коды (27 процентов) и звонки для сброса (5 процентов). 

При этом четверть опрошенных не пользуется двухфакторной аутентификацией, хотя знает о такой возможности. Причем почти половина (43%) осознает, что отказ от двухфакторной аутентификации резко снижает уровень безопасности.

При создании паролей пользователи учитывают такие критерии, как легкость запоминания (30%), сложность пароля, включая цифры и символы (23%), а также использование паролей для каждого профиля (17%).

При этом более 35% не знают о возможностях менеджеров паролей, а 26% не видят необходимости в них. Только 8% применяют данный инструмент.

Как показало исследование, 37% пользователей оценивают безопасность своих учетных данных как среднюю, 14% — как высокую.

Проблема с невысоким качеством паролей носит глобальный характер. Как показало исследование NordVPN, на протяжении последних лет доминируют простые и легко подбираемые пароли.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru