OpenNET: Новости

/ Безопасность / Шифрование, SSH, SSL
·	28.05.2023	Выпуск криптографической библиотеки LibreSSL 3.8.0 (29 +10)
	Разработчики проекта OpenBSD представили выпуск переносимой редакции пакета LibreSSL 3.8.0, в рамках которого развивается форк OpenSSL, нацеленный на обеспечение более высокого уровня безопасности. Проект LibreSSL ориентирован на качественную поддержку протоколов SSL/TLS с удалением излишней функциональности, добавлением дополнительных средств защиты и проведением значительной чистки и переработки кодовой базы. Выпуск LibreSSL 3.8.0 рассматривается как экспериментальный, в котором развиваются возможности, которые войдут в состав OpenBSD 7.4... (29 +10) обсуждение \| весь текст

·	23.04.2023	В PyPI реализована возможность публикации пакетов без привязки к паролям и токенам API (33 +3)
	В репозитории Python-пакетов PyPI (Python Package Index) предоставлена возможность использования нового защищённого метода публикации пакетов, позволяющего обойтись без сохранения на внешних системах (например, в GitHub Actions) фиксированных паролей и токенов доступа к API. Новый метод аутентификации получил название 'Trusted Publishers' и призван решить проблему с публикацией вредоносных обновлений, осуществляемых в результате компрометации внешних систем и попадания в руки злоумышленников предопределённых паролей или токенов... (33 +3) обсуждение \| весь текст

·	20.04.2023	Amazon опубликовал открытую криптографическую библиотеку для языка Rust (34 –6)
	Компания Amazon представила криптографическую библиотеку aws-lc-rs, предназначенную для использования в приложениях на языке Rust и совместимую на уровне API с Rust-библиотекой ring. Код проекта распространяется под лицензиями Apache 2.0 и ISC. Библиотека поддерживает работу на платформах Linux (x86, x86-64, aarch64) и macOS (x86-64)... (34 –6) обсуждение \| весь текст

·	12.04.2023	Выпуск криптографической библиотеки Botan 3.0.0 (34 +2)
	Доступен выпуск криптографической библиотеки Botan 3.0.0, применяемой в проекте NeoPG, форке GnuPG 2. Библиотека предоставляет большую коллекцию готовых примитивов, используемых в протоколе TLS, сертификатах X.509, шифрах AEAD, модулях TPM, PKCS#11, хэшировании паролей и постквантовой криптографии (подписи на основе хэша и согласование ключей на основе McEliece). Библиотека написана на языке C++ и поставляется под лицензией BSD... (34 +2) обсуждение \| весь текст

·	04.04.2023	В Fedora рассматривают возможность применения шифрования ФС по умолчанию (275 +8)
	Оуэн Тейлор (Owen Taylor), создатель GNOME Shell и библиотеки Pango, входящий в рабочую группу по развитию Fedora для рабочих станций, выставил на обсуждение план шифрования по умолчанию системных разделов и домашних каталогов пользователей в Fedora Workstation. Из плюсов перехода к шифрованию по умолчанию называется защита данных в случае кражи ноутбука, защита от атак на оставленные без присмотра устройства, поддержание конфиденциальности и целостности из коробки без необходимости совершения лишних манипуляций... (275 +8) обсуждение \| весь текст

·	30.03.2023	IETF стандартизирует протокол сквозного шифрования MLS (89 +21)
	Комитет IETF (Internet Engineering Task Force), занимающийся развитием протоколов и архитектуры интернета, утвердил публикацию стандарта MLS (Messaging Layer Security), определяющего протокол для организации сквозного шифрования в приложениях, выполняющих обмен сообщениями. Предполагается, что продвижение MLS позволит унифицировать механизмы сквозного шифрования сообщений в группах, охватывающих двух и более участников, и упростить внедрение их поддержки в приложения... (89 +21) обсуждение \| весь текст

·	28.03.2023	Выпуск rPGP 0.10, реализации OpenPGP на языке Rust (108 +1)
	Опубликован выпуск проекта rPGP 0.10, развивающего реализацию стандарта OpenPGP (RFC-2440, RFC-4880) на языке Rust, предоставляющую полный набор функций, определённых в спецификации Autocrypt 1.1, для шифрования электронной почты. Наиболее известным проектом, использующим rPGP является мессенджер Delta Chat, использующий email в качестве транспорта. Код проекта распространяется под лицензиями MIT и Apache 2.0... (108 +1) обсуждение \| весь текст

·	26.03.2023	Let's Encrypt внедрил расширение для координации обновления сертификатов (154 +50)
	Некоммерческий удостоверяющий центр Let's Encrypt, контролируемый сообществом и предоставляющий сертификаты безвозмездно всем желающим, объявил о реализации в своей инфраструктуре поддержки ARI (ACME Renewal Information), расширения протокола ACME, позволяющего передавать клиенту сведения о необходимости обновления сертификатов и рекомендовать оптимальное время для обновления. Спецификация ARI проходит процесс стандартизации комитетом IETF (Internet Engineering Task Force), занимающимся развитием протоколов и архитектуры интернета, и находится на стадии проверки чернового варианта... (154 +50) обсуждение \| весь текст

·	24.03.2023	GitHub поменял закрытый RSA-ключ для SSH после его попадания в публичный репозиторий (24 +16)
	GitHub сообщил об инциденте, в результате которого закрытый RSA-ключ, используемый в качестве хостового ключа при доступе к репозиториям GitHub по SSH, по ошибке оказался опубликован в публично доступном репозитории. Утечка коснулась только ключа RSA, хостовые SSH-ключи ECDSA и Ed25519 продолжают оставаться безопасными. Попавший в открытый доступ хостовый SSH-ключ не позволяет получить доступ к инфраструктуре GitHub или данным пользователей, но может использоваться для перехвата Git-операций, производимых через SSH... (24 +16) обсуждение \| весь текст

·	17.03.2023	NordVPN открыл код Linux-клиента и библиотек с реализацией MeshNet (111 +25)
	VPN-провайдер NordVPN... (111 +25) обсуждение \| весь текст

·	16.03.2023	Обновление OpenSSH 9.3 с устранением проблем с безопасностью (13 +16)
	Опубликован релиз OpenSSH 9.3, открытой реализации клиента и сервера для работы по протоколам SSH 2.0 и SFTP. В новой версии устранены проблемы с безопасностью:... (13 +16) обсуждение \| весь текст

·	15.03.2023	Выпуск криптографической библиотеки OpenSSL 3.1.0 (52 +12)
	После полутора лет разработки состоялся релиз библиотеки OpenSSL 3.1.0 с реализацией протоколов SSL/TLS и различных алгоритмов шифрования. Поддержка OpenSSL 3.1 будет осуществляться до марта 2025 года. Поддержка прошлых веток OpenSSL 3.0 и 1.1.1 продлится до сентября 2026 года и сентября 2023 года соответственно. Код проекта распространяется под лицензией Apache 2.0... (52 +12) обсуждение \| весь текст

·	07.03.2023	Уязвимости в эталонной реализации TPM 2.0, позволяющие получить доступ к данным в крипточипе (178 +37)
	В коде с эталонной реализацией спецификации TPM 2.0 (Trusted Platform Module) выявлены уязвимости (CVE-2023-1017, CVE-2023-1018), приводящие к записи или чтению данных за границей выделенного буфера. Атака на реализации криптопроцессоров, использующих уязвимый код, может привести к извлечению или перезаписи хранящейся на стороне чипа информации, такой как криптографические ключи. Возможность перезаписи данных в прошивке TPM может быть использована атакующим для организации выполнения своего кода в контексте TPM, что, например, может быть использовано для реализации бэкдоров, работающих на стороне TPM и не определяемых из операционной системы... (178 +37) обсуждение \| весь текст

·	04.03.2023	Представлен VPN Rosenpass, устойчивый к атакам с использованием квантовых компьютеров (71 +23)
	Группа немецких исследователей, разработчиков и криптографов опубликовала первый выпуск проекта Rosenpass, развивающего VPN и механизм обмена ключами, устойчивые ко взлому на квантовых компьютерах. В качестве транспорта используется VPN WireGuard со штатными алгоритмами шифрования и ключами, а Rosenpass дополняет его средствами обмена ключами, защищёнными от взлома на квантовых компьютерах (т.е. Rosenpass дополнительно защищает обмен ключами, не меняя алгоритмы работы и методы шифрования WireGuard). Rosenpass также может применяться отдельно от WireGuard в форме универсального инструментария для обмена ключами, подходящего для защиты других протоколов от атак на квантовых компьютерах... (71 +23) обсуждение \| весь текст

·	03.03.2023	Уязвимость в strongSwan IPsec, допускающая удалённое выполнение кода (66 +16)
	Доступен выпуск strongSwan 5.9.10, свободного пакета для создания VPN-соединений на базе протокола IPSec, используемого в Linux, Android, FreeBSD и macOS. В новой версии устранена опасная уязвимость (CVE-2023-26463), которая может быть использована для обхода аутентификации, но потенциально также может привести к выполнению кода атакующего на стороне сервера или клиента. Проблема проявляется при проверке специально оформленных сертификатов в методах аутентификации EAP (Extensible Authentication Protocol) на базе TLS... (66 +16) обсуждение \| весь текст

Следующая страница (раньше) >>