Автор
KL FC Bot
в Новости и события из мира информационной безопасности
-
Похожий контент
-
Автор KL FC Bot
Компьютеризация автомобиля давно дошла до такого уровня, что кибератаки на него весьма действенны — возможны угон, несанкционированное включение дополнительного оборудования, дистанционные торможение и руление, шпионаж. Но чтобы провести эти атаки, зачастую нужен кратковременный физический доступ к автомобилю или взлом его телематических систем, то есть связи с сервером производителя по сотовой сети. В недавно опубликованном исследовании PCA Cyber Security описан новый способ — для взлома достаточно подключиться к развлекательной системе автомобиля по Bluetooth. Четыре уязвимости, коллективно названные PerfektBlue, вряд ли приведут к массовым угонам или взломам, но знать о них и соблюдать внимательность все же стоит.
Под капотом PerfektBlue
Подключить смартфон к автомобилю по Bluetooth для разговоров по громкой связи или прослушивания музыки можно в любом авто, выпущенном за последние 10 лет. Для этого в развлекательной системе (infotainment system), которая является частью головной системы (head unit), имеется чип Bluetooth и набор специального ПО. Многие производители автомобилей используют один и тот же набор ПО под названием OpenSynergy BlueSDK. По словам разработчиков, BlueSDK используется в 350 млн автомобилей. По имеющейся информации, в их числе Ford, Mercedes-Benz, Skoda, Volkswagen.
Исследователи PCA Cyber Security обнаружили четыре уязвимости в BlueSDK (CVE-2024-45431, CVE-2024-45432, CVE-2024-45433, CVE-2024-45434), которые атакующий может объединить, чтобы запустить на устройстве свой вредоносный код. Для этого ему нужно быть подключенным к автомобилю по Bluetooth, то есть пройти процедуру сопряжения (pairing). Если это условие выполнено, то дальше злоумышленник беспрепятственно посылает автомобилю вредоносные команды по протоколу управления аудиоплеером (AVCRP). Это вызывает в операционной системе головного устройства ошибку, и в итоге хакер получает на нем те же права, что и программный код автопроизводителя для работы с Bluetooth. С этими правами атакующий теоретически может отслеживать местоположение жертвы, записывать происходящее в машине с помощью встроенных микрофонов, а также красть сохраненные в головной системе данные, например записную книжку жертвы. В зависимости от архитектуры конкретного автомобиля, из головной системы через CAN-шину злоумышленнику могут быть доступны управляющие модули (ECU) для контроля более серьезных функций, таких как тормоза.
View the full article
-
Автор KL FC Bot
Переход на ключи доступа (КД, passkeys) сулит организациям экономически эффективный способ надежной аутентификации сотрудников, увеличение продуктивности и достижение регуляторного соответствия. Все за и против этого решения для бизнеса мы подробно разобрали в отдельной статье. Но на успех проекта и саму его возможность влияют технические подробности и особенности реализации технологии в многочисленных корпоративных системах.
Поддержка passkeys в системах управления identity
Перед тем как решать организационные проблемы и писать политики, стоит разобраться, готовы ли к переходу на КД основные ИТ-системы в организации.
Microsoft Entra ID (Azure AD) полностью поддерживает КД и позволяет администраторам выбрать КД в качестве основного метода входа в систему.
Для гибридных внедрений, где есть on-prem-ресурсы, Entra ID может генерировать токены Kerberos (TGT), которые затем будет обрабатывать доменный сервер Active Directory.
А вот для входа через RDP и VDI и входа в AD, работающую только on-premises, нативной поддержки у Microsoft пока нет. Впрочем, с некоторыми ухищрениями организация может записывать passkey на аппаратный токен, например YubiKey, который будет одновременно поддерживать традиционную технологию PIVKey (смарт-карты) и FIDO2. Также для поддержки этих сценариев есть сторонние решения, но организации потребуется оценить, как их применение влияет на общую защищенность и регуляторное соответствие.
В Google Workspace и Google Cloud есть полная поддержка passkeys.
Популярные системы управления identity, такие как Okta, Ping, Cisco Duo, RSA ID Plus, поддерживают FIDO2 и все основные формы КД.
View the full article
-
Автор KL FC Bot
Умные спортивные часы продолжают привлекать пристальное внимание злоумышленников, позволяя получить множество интересной информации о потенциальной жертве. Мы уже писали о том, как трекинговые приложения собирают данные своих владельцев и делятся ими — большинство из них по умолчанию отображают логи ваших тренировок, включая точную геопозицию, всем желающим.
Спортивные часы, как выяснилось, продолжают тенденцию расслабленного подхода к защите персональных данных своих владельцев. Так, в конце июня 2025 года появилась информация о серьезных уязвимостях во всех часах COROS, дающих доступ не только к самим часам, но и к аккаунту пользователя. Воспользовавшись этими уязвимостями, злоумышленники могут получить полный доступ к данным в аккаунте жертвы, перехватывать конфиденциальную информацию (например, уведомления), менять настройки устройства или сбрасывать их до заводских и даже прерывать запись трека тренировки с потерей всех данных.
Что особенно неприятно — COROS была уведомлена об этих проблемах еще в марте 2025 года, но исправления планируются только к концу года.
Похожие уязвимости в 2022 году были обнаружены (но вскоре закрыты) и у, пожалуй, самого популярного производителя спортивных часов и других спортивных гаджетов — Garmin.
На фоне подобных угроз хочется по максимуму защитить свою приватность, правильно настроив безопасность в спортивных приложениях. Сегодня мы разберем, как защитить свои данные в Garmin Connect и Connect IQ Store — двух сервисах одной из наиболее популярных экосистем спортивных гаджетов.
View the full article
-
Автор KL FC Bot
Умный дом сегодня — это не фантастика из фильмов конца девяностых, а реальность практически каждого жителя мегаполиса. Умные розетки, колонки и телевизоры можно встретить практически в любой современной квартире. А что касается новых домов, то их иногда и вовсе сразу же строят умными, получаются умные жилые комплексы. Их жители могут с единого приложения управлять не только внутриквартирными приборами, но и внешними: домофоном, камерами, шлагбаумами, счетчиками и датчиками пожарной сигнализации.
Но что будет, если в таком приложении окажется дыра в безопасности? Ответ знают наши эксперты из Global Research and Analysis Team (GReAT). Мы обнаружили уязвимость в приложении Rubetek Home и рассказали, что могло бы случиться с безопасностью владельцев умных квартир и домов — но, к счастью, не случилось.
Что за уязвимость
Уязвимость заключалась в отправке чувствительных данных в процессе логирования работы приложения. Разработчики использовали Telegram Bot API для сбора аналитики и отправки файлов с отладочной информацией от пользователей в приватный чат команды разработки при помощи Telegram-бота.
Проблема в том, что отправляемые файлы, помимо системной информации, содержали в себе персональные данные пользователей, а также, что более критично, Refresh-токены, необходимые для авторизации в аккаунте пользователя, чей токен был получен. У потенциальных атакующих была возможность переслать все эти файлы себе при помощи того же Telegram-бота. Для этого они могли получить его Telegram-токен и идентификатор нужного чата из кода приложения, а после перебрать порядковые номера сообщений, содержащих такие файлы.
View the full article
-
Автор KL FC Bot
Лето в самом разгаре, а это значит одно — пора путешествовать! Помните, как раньше готовились к поездкам? Покупали небольшой путеводитель, маленькую книжку-переводчик и допрашивали всех друзей и заядлых туристов: «Что там посмотреть? Сколько стоят экскурсии? А как сим-карту оформить?»
Сегодня мир изменился, организовать комфортное путешествие можно, сидя дома на диване со смартфоном в руках, а подготовиться к нему — у гейта в аэропорту. Нужно всего лишь загрузить правильные приложения. В этом материале рассказываем, как подготовить себя и свой смартфон к поездке.
Как не потеряться в новой локации? Как оставаться на связи? Как передвигаться с комфортом? Как насладиться городом, как местный житель? Как находить места, где можно вкусно поесть? Как путешествовать безопасно? View the full article
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти