Привет! Меня зовут Алексей, я — разработчик. Здесь я расскажу о недавнем кейсе, в рамках которого мы реализовали нетипичное решение для обеспечения безопасной обработки данных. А также, сколько времени ушло на выбор оптимального архитектурного решения, и почему мы остановились на сложном в реализации методе шифрования.

Утечка данных 150 тыс. клиентов Совкомбанка, слив исходного кода Госуслуг, потеря данных более 8 млн. пользователей сервисов доставки еды — мне продолжать? Кажется, всё это — достаточно веские причины, чтобы задуматься о безопасности. Говоря о приложениях для финансового учета, вопрос сохранности данных стоит ребром.

Читать далее

https://habr.com/ru/post/680660/?utm_source=habrahabr&utm_medium=rss&utm_campaign=680660

На прошлой неделе исследователи из Высшей технической школы Цюриха в Швейцарии (ETH Zurich) опубликовали работу, в которой анализируется система сквозного шифрования файлового хостинга Mega. В своей обзорной статье издание ArsTechnica напоминает, что сквозное шифрование уже много лет является важным отличием Mega от других хостингов, и компания не устает это рекламировать.

На первый взгляд схема шифрования, показанная в общих чертах на скриншоте выше, действительно выглядит надежно. Приватный ключ генерируется на основе пароля пользователя и случайного набора цифр и хранится только на клиенте. Его производные в дальнейшем применяются для шифрования файлов, так что даже сам хостинг, правоохранительные органы или злонамеренный атакующий, получивший доступ к инфраструктуре, не могут увидеть содержимое этих файлов. На практике выяснилось, что пусть обойти систему шифрования и не легко, но есть надежный способ расшифровать файлы. Для этого достаточно, чтобы пользователь авторизовался на сервисе не менее 512 раз.
Читать дальше →

https://habr.com/ru/post/673690/?utm_source=habrahabr&utm_medium=rss&utm_campaign=673690

В один прекрасный день наш сертификат подписи кода протух.

Ну протух и протух, случается. У нас же есть новый сертификат! Щас переподпишем, и всё заработает!

А вот и нет. У нового сертификата - новая цепочка доверия, а владельцы системы куда мы ставимся не настроены устанавливать сертификаты от (в принципе весьма известного) CA в своё хранилище доверенных сертификатов.

Но они готовы использовать на своей стороне скрипт на powershell, который будет проверять валидность, а потом устанавливать без проверки подписей. Да и мы хотим быть уверены, что устанавливаться будет именно наш код. А пакуем мы код на машине, на которую powershell ставить не хочется.

Так что призовём на помощь криптографию, и набьём немного шишек.

Читать далее

https://habr.com/ru/post/665768/?utm_source=habrahabr&utm_medium=rss&utm_campaign=665768

В 1643 году Пьер де Ферма предложил метод факторизации. Этот метод позволяет эффективно раскладывать целые числа на простые множители.



Алгоритм шифрования и подписи RSA основывается на том, что факторизация — это задача с высокой сложностью. Открытый ключ RSA содержит составное число (обычно называемое N), которое является произведение двух простых чисел (обычно p и q).



Если ключи RSA генерируются из «близко стоящих» простых чисел, то RSA можно взломать с помощью метода факторизации Ферма. И хотя это довольно известный факт, но, насколько я знаю, уязвимые ключи RSA не обнаруживались в «дикой природе» — до сегодняшнего дня.



Я применил метод факторизации Ферма к большим наборам открытых ключей RSA. И я смог обнаружить небольшое количество уязвимых ключей, которые принадлежали принтерам Canon и Fujifilm (первоначально выпускавшихся под маркой Fuji Xerox). В этих устройствах используется криптографический модуль от компании Rambus.
Читать дальше →

https://habr.com/ru/post/659215/?utm_source=habrahabr&utm_medium=rss&utm_campaign=659215