[Перевод] Баг с псионическими сигнатурами в Java
|
|
Пятница, 10 Июня 2022 г. 12:02
+ в цитатник
В классическом научно-фантастическом сериале BBC
Доктор Кто часто используется следующий сюжетный приём: Доктору удаётся избежать неприятностей, показав удостоверение личности, которое на самом деле совершенно пустое. Разумеется, удостоверение сделано из специальной
«психобумаги», заставляющей смотрящего на неё человека видеть то, что захочет Доктор: пропуск, ордер или что-то ещё.
Оказывается, некоторые новые релизы Java тоже были подвержены подобному трюку в реализации широко используемых сигнатур
ECDSA. Если запустить одну из уязвимых версий, то нападающий легко сможет подделать некоторые типы сертификатов SSL и handshake (что позволяет вмешиваться в обмен данными и модифицировать их),
подписанные JWT,
декларации SAML или
id-токены OIDC и даже сообщения аутентификации
WebAuthn. И для всего этого достаточно цифрового аналога чистого листа бумаги.
Читать дальше → https://habr.com/ru/post/670742/?utm_source=habrahabr&utm_medium=rss&utm_campaign=670742
Метки:
Блог компании Sportmaster Lab
java
Oracle
информационная безопасность
сигнатуры
-
Запись понравилась
-
0
Процитировали
-
0
Сохранили
-