Рассылка закрыта
При закрытии подписчики были переданы в рассылку "Информационная безопасность: новости, статьи, обзоры" на которую и рекомендуем вам подписаться.
Вы можете найти рассылки сходной тематики в Каталоге рассылок.
15 новостей по информационной безопасности каждый день
| Информационный Канал Subscribe.Ru |
Содержание
- Регулирование: Законы, постановления, сертификация, контроль
- Проблемные ситуации, информационная преступность, сетевые войны
- Технологии безопасности. Организации разработчики, интеграторы.
- Информационая безопасность бизнеса
- Информационая безопасность государственной власти
- Информационные ресурсы
- Дыры и патчи программ и операционных сред
Регулирование: Законы, постановления, сертификация, контроль |
Каждому россиянину отпечаток пальца будет стоить 2 доллара
27 сентября | @ASTERAНа днях президент России подписал распоряжение об
образовании межведомственной рабочей группы по подготовке введения
паспортно-визовых документов нового поколения, содержащих биометрическую
информацию. До 1 января 2006 г. эта группа должна будет создать
нормативно-правовую базу для внедрения таких документов. В России уже существует
биометрическая технология, которая может использоваться при создании паспортных
систем в широком понимании этого слова. В частности, недавно был подготовлен
проект, предусматривающий создание биометрической системы учета, регистрации и
идентификации иностранных граждан ("Бриг") с целью усиления контроля за
миграционными процессами. О возможностях системы "Бриг" (разработка российских
инженеров) корреспонденту RBC daily Елене Тофанюк рассказывает генеральный
директор ЗАО "Биопаспорт" (компания, непосредственно занимающаяся разработкой и
внедрением биометрических технологий) Александр Каширин.
- Вы уже предлагали ввести биометрические миграционные карты в Москве. Чем
закончилась эта история? - Работа над этим продолжается. Я должен заметить, что начало этой работе
положило не только само решение "восьмерки", но и в целом развитие рынка
биометрических технологий, в том числе и дактилоскопических. Вообще-то
биометрические технологии имеют две сферы применения: для создания паспортных
систем и для создания систем доступа на объекты. До сих пор в основном они
применялись для создания систем доступа. Однако угроза терроризма заставила
задуматься об их использовании для паспортизации населения и контроля за
миграцией. - Правильно ли я понимаю, что применение дактилоскопических технологий в
паспортных системах (грубо говоря - наличие отпечатка пальца в паспорте
гражданина) позволяет повысить степень защищенности паспорта? Или есть еще
какая-то функция у "пальчика"? - Это и степень защищенности паспорта, но главное здесь - это идентификация
личности человека, владельца паспорта. А эффективного исполнения этой функции
можно добиться, лишь применяя дактилоскопические технологии в сочетании с базами
данных. Биометрические паспортные системы характеризуются тем, что отпечатки
пальцев хранятся в трех местах: это непосредственно палец владельца, отпечаток
пальца на документе и отпечаток в базе данных. Таким образом, подделка паспорта
станет просто бесполезной и более того - опасной, поскольку при сравнении живых
отпечатков пальцев с отпечатками, имеющимися в базе данных, эта подделка будет
легко выявлена. При наличии же двухуровневой паспортной биометрической системы
(без базы данных) резко возрастает возможность подделки паспортов. - Создание паспортных систем - это достаточно трудоемкий процесс. Сколько
времени он может занять? - Бумажные паспорта меняли шесть лет. Конечно, процесс введения
биометрических данных в паспорта в любом случае растянется по времени.
Во-первых, необходимы линии связи. Конечно, можно сказать, что необходимо
отложить создание системы до тех пор, пока не будет линий связи. Но это
неразумно. Космические корабли тоже начинали строить тогда, когда в космосе
ничего не было. Кроме того, сейчас многие страны уже начали создавать такие
системы, хотя на данный момент они также не имеют всю необходимую
инфраструктуру, которая будет создаваться параллельно. - Насколько мне известно, именно отсутствие линий связи сейчас является одним
из основных аргументов против внедрения этой системы. - Новое всегда вызывает сопротивление. К тому же в случае с внедрением
биометрических систем необходимо учитывать тот факт, что ведомства ведут борьбу
за право формировать центральную базу данных на основе уже имеющихся у них. Ведь
у каждого ведомства есть своя база, и никто не хочет ее отдать кому-то. Хотя
следует иметь в виду, что новая база данных будет формироваться на новых
принципах и подходах, и в какой мере она включит в себя имеющиеся наработки по
базам данных, пока остается неизвестным. Необходимость борьбы с терроризмом
будет ускорять процесс создания новой паспортной системы. О чем и
свидетельствует лишний раз создание Президентом РФ межведомственной рабочей
группы по этому вопросу. - Вы входите в эту группу? - Нет. - Но Вы будете предлагать свой проект этой группе? - Конечно. Наш проект представляет из себя предложение по созданию
биометрической паспортной системы, имеющей центральную базу данных, линии связи,
пункты выдачи документов и пункты проверок. - А каким образом постовой будет проверять документы? Ему нужно будет
специальное оборудование? - Предполагается, что будет создано специальное мобильное устройство,
размещенное на рации, имеющее дактилоскопический сканер и другие необходимые
функции для идентификации человека. Основные необходимые элементы этого
устройства в целом имеются. С этого устройства по каналам связи информация
передается на ближайшую точку, связанную оптоволоконными линиями связи с
центральной базой данных. - Насколько реально ввести паспорта с "пальчиками" к 2006 г.? - Речь идет о том, что с 2006 г. начнется внедрение биометрических
документов. Этот процесс займет год или два, многое будет зависеть от
финансирования. Посмотрите, сейчас выделяются огромные средства на безопасность,
но проблемы остаются. Значит, необходимо искать качественно новые решения,
внедрять новые технологии. И на внедрение этого направлять необходимые средства.
- Сколько будет стоить эта система? - Мы предполагаем, что это может стоить около 1-2 долл. в пересчете на один
паспорт. Я должен сказать, что наша система отличается от зарубежных аналогов
тем, что главный ее элемент - дактилоскопический сканер - считывает узор с
помощью инфракрасного излучения, проходящего через палец. Зарубежные технологии
используют другие способы снятия отпечатков пальцев: емкостной и оптический.
Наша технология отличается тем, что позволяет не только просканировать грязный
или поврежденный палец, но и отличить живой от мертвого с помощью анализа
объемного пульса, а также снять отпечаток пальца с документа. - Вы предлагали использовать дактилоскопические технологии в деле регистрации
мигрантов. Каким образом Вы планировали это осуществить? - Во-первых, мы предлагаем установить пункты регистрации иностранных граждан
и выдачи им биометрических документов как на границе, так и в других точках на
территории страны и за рубежом (в консульствах). Эти пункты будут оборудованы
программно-аппаратными комплексами по идентификации личности иностранного
гражданина и выдачи ему миграционной карты, которая представляет из себя
пластиковую карточку с цветной фотографией владельца, его отпечатками пальцев и
идентификационным номером и другой необходимой информацией. Предполагается, что
иностранный гражданин, уже зарегистрированный в системе, имеющий биометрический
документ, будет иметь возможность в автоматическом режиме проходить пограничный
контроль. В этом случае иностранный гражданин вставляет карту в устройство и из
базы данных извлекается его файл, после чего "система просит" приложить палец.
Если его отпечатки пальцев и отпечатки на пластиковой карте совпадают с его
файлом в центральной базе данных, он может проходить. Процесс занимает несколько
секунд. - Кстати, а как Вы оцениваете свои перспективы по внедрению этой системы? Вам
удастся убедить чиновников, что нужно внедрять именно Ваше предложение? - Это покажет будущее. - А у Вас есть конкуренты? - Конечно, есть. Но они в основном за рубежом, к тому же их разработки
существенно дороже. Мы считаем, что мы сможем конкурировать, потому что,
во-первых, наша система обладает целым рядом уникальных функций, которых нет в
зарубежных аналогах, а во-вторых, она дешевле. Кроме того, мы полагаем, что в
России необходимо развивать отечественные технологии хотя бы потому, что это
создает рабочие места, способствует росту доходов населения и в итоге влияет на
рост ВВП.
Проблемные ситуации, информационная преступность, сетевые войны |
Новый MyDoom
27 сентября | PROext
Новая версия червя MyDoom включает фотографию предполагаемого автора другого червя - Netsky, Свена Джашана. Кроме фотографии автора, присутствует описание червя MyDoom.Y и последствий его деятельности.
Столь причудливые действия несколько озадачили разработчиков антивирусного программного обеспечения.
"Похоже, они хотели помочь нам", - прокомментировал Майко Хиппонен, директор исследовательского отдела компании F-Secure. Описание вируса включало две подписи - Nemog и Zincite, ранее уже встречавшиеся в коде других вредоносных программ.
Технологии безопасности. Организации разработчики, интеграторы. |
В продуктах Macromedia нет уязвимости при обработке JPEG-изображений
27 сентября | uinC НовостиКомпания Macromedia выпустила бюллетень, в котором
констатируется, что в продуктах этой компании нет уязвимости при обработке
JPEG-изображений. После появления знаменитого MS04-028 специалисты по
безопасности исследовали все продукты компании и не обнаружили там уязвимостей.
Это связано с тем, что при обработке графических изображений используются
собственные бибилиотеки, однако, как подчёркивается, некоторые продукты при
инсталляции ставить библиотеку gdiplus.dll. Тем не менее ПО Macromedia не
использует подпрограммы, которые приводят к уязвимости. Среди подобных продуктов
названы: Contribute, Dreamweaver, Fireworks, Flash, FlashPaper, FreeHand,
RoboSource Control,* Studio MX.
Panda взялась за дело всерьез
27 сентября | SoftKey.infoКак сообщили представители Panda Software, руководство компании приняло решение прекратить разработку собственной технологии для борьбы со спамом. Вместо этого в некоторые софтверные продукты Panda планируется внедрение антиспамерского движка, созданного специалистами Mailshell.
Финансовые условия сделки Panda Software с калифорнийской компанией пока не разглашаются, однако стало известно, что движок Mailshell будет установлен в программы по обеспечению компьютерной безопасности, выпускаемые как для предприятий, так и для отдельный пользователей.
По словам Хосе Мария Хернандеса, вице-президента департамента международного сотрудничества Panda, использование антиспамерской разработки Mailshell защитит клиентов компании не только от почтового мусора, но и от различных вирусных атак.
Информационая безопасность бизнеса |
Новости - Легальный или нет?
27 сентября | SoftKey.info:В рамках компании по борьбе с производителями нелегального программного обеспечения, компания Microsoft представила новую технологию, способную блокировать установку патчей и утилит, скачанных с сайта Microsoft Download Center, на пиратские копии операционной системы Windows.
Как сообщил Дэвид Лазар, руководитель клиентской команды Windows, на сегодняшний день программа является бесплатной и помогает узнать больше о распространении легального софта. Цель разработки - борьба с подделками и повышение ценности настоящих продуктов Microsoft.
Новая программа поможет пользователям определить, является ли законной их копия операционной системы. По словам Лазара, 23% американских компьютеров оборудованы пиратской версией операционки, в то время как многие клиенты даже не подозревают, что стали жертвами недобросовестных продавцов.
Кроме этого, свою лепту в борьбу с пиратством вносит и Windows Update, проверяющий лицензионные ключи, используемые для активации Windows XP.
Информационая безопасность государственной власти |
Информационная инфраструктура государства - мишень для террористов
27 сентября | www.crime-research.ruМеждународный терроризм рассматривает информационную инфраструктуру государств в
качестве перспективной цели своих атак. Об этом заявил сегодня начальник
Генерального штаба Юрий Балуевский, выступая на Всероссийском совещании по
проблемам информационной безопасности в РФ.
По его словам, "мировое
сообщество признало проблему международной информационной безопасности, и курс
на подготовку информационной войны становится приоритетной задачей госполитики
ряда стран". Так, по данным Министерства обороны РФ, в настоящее время
разработка информационного оружия ведется в более чем 120 странах мира.
В
России, подчеркнул начальник Генштаба, для обеспечения информационной
безопасности также образуются специальные подразделения, в задачу которых войдет
оценка ущерба от компьютерной преступности и минимизация его последствий.
Последние трагические события в мире и РФ, продолжил Балуевский, доказали
необходимость своевременного выявления и оперативного реагирования на
возникающие новые угрозы.
Информационные ресурсы |
Обзор уведомлений дистрибьюторов операционных систем (с 20 по 26 сентября 2004 года).
27 сентября | SecurityLab.ru
GENTOO LINUX опубликовал 8 уведомлений, устраняющих уязвимости в новых версиях Mozilla, Firefox, Thunderbird, Epiphany, удаленный отказ в обслуживании в Common UNIX Printing System (CUPS), множественные уязвимости в GTK+ 2, gdk-pixbuf, удаленный отказ в обслуживании в FreeRADIUS, множественные уязвимости в xine-lib, удаленный отказ в обслуживании в jabberd XML, поднятие локальных привилегий и небезопасное создание временных файлов в getmail и неавторизованный доступ в Apache.
Red Hat опубликовал 4 уведомления, устраняющие множественные уязвимости в обновленных пакетах redhat-config-nfs в Red Linux, удаленное выполнение произвольных команд в Foomatic в foomatic-rip фильтре, неавторизованный доступ в Subversion и уязвимость в httpd в Fedora Core.
Debian опубликовал 3 уведомления, устраняющие переполнение буфера в wv, уязвимость в lukemftpd и переполнение в imlib2.
Mandrake опубликовал 3 уведомления, устраняющих уязвимости в обновленных пакетах mpg123, уязвимости в обновленных пакетах уязвимости в обновленных пакетах webmin и удаленное выполнение произвольного кода в обновленных пакетах ImageMagick.
Conectiva Linux опубликовал 3 уведомления, устраняющих уязвимости в qt3, отказ в обслуживании в spamassassin и множественные уязвимости в apache, mod_ssl и mod_dav.
Slackware Linux опубликовал 1 уведомление, устраняющее удаленный отказ в обслуживании в Common UNIX Printing System (CUPS).
Trustix опубликовал 1 уведомление, устраняющее уязвимости в apache.
FreeBSD опубликовал 1 уведомление, устраняющее множественные уязвимости в CVS.
Дыры и патчи программ и операционных сред |
SQL инъекция в aspWebCalendar
27 сентября | SecurityLab.ru
|
Программа: aspWebCalendar
Опасность: Средняя Наличие эксплоита: Да Описание: Уязвимость обнаружена в aspWebCalendar. Удаленный пользователь может внедрить SQL команды. Удаленный пользователь может внедрить специально сформированные данные через '/calendar.asp?action=login' страницу, чтобы выполнить произвольные SQL команды на целевой системе. Пример (для поле username): " ' union select Cal_User_Password,1,1,1,1,1,1,1,1,1 from Cal_User where Cal_User_UserName = 'admin'-- "Поле 'eventid' в '/calendar.asp?action=eventdetail&eventid=' также уязвимо. URL производителя:http://www.fullrevolution.com/calendar_overview.asp Решение:Способов устранения обнаруженной уязвимости не существует в настоящее время. |
У тулбара Google обнаружена "дыра" в системе безопасности
27 сентября | Новости от Searchengines.ru
Поскольку у многих читателей SearchEngines.Ru (включая и меня самого) на компьютерах, вероятно, установлен тулбар Google, мы подумали, что это предупреждение будет весьма кстати. Что касается безопасности тулбара Google, то в ней, по-видимому, есть некая "дыра", о которой сообщалось на SecurityTracker.com.
Там сказано, что раздел "About" тулбара Google неправильно фильтрует HTML код. HTML код, созданный злоумышленником, когда его загрузит какой-то другой конкретный пользователь, может вызвать страницу "About" и задействовать произвольный код скрипта, содержащийся на странице.
Суть проблемы: злоумышленник может выполнить код скрипта в зоне безопасности локального компьютера пользователя.
Решение: к этому времени пока не найдено
К настоящему времени Google еще не создал патча для решения этой проблемы. Этот недостаток может быть и не очень серьёзен, но, как считают аналитики, "…среди пользователей тулбара Google всегда были те, кто считал, что он собирает слишком много информации. Они будут рады узнать об этом упущении в безопасности", отмечает SearchengineJournal.
Поднятие локальных привилегий в flc
27 сентября | SecurityLab.ru
|
Программа: flc 1.0.4 и более ранние версии
Опасность: Низкая Наличие эксплоита: Да Описание: Переполнение буфера обнаружено в flc. Локальный пользователь может получить поднятые привилегии в некоторых конфигурациях. Локальный пользователь может представить специально обработанный параметр командной строки, чтобы вызвать переполнение буфера и выполнить произвольный код. Если утилита сконфигурирована с set user id (setuid) привилегиями (не по умолчанию, то локальный пользователь может получить поднятые привилегии на системе. Уязвимость расположена в 'flc.c'. Пример: flc perl -e 'print "A" x 50000' URL производителя: http://ucon64.sourceforge.net/ Решение:Способов устранения обнаруженной уязвимости не существует в настоящее время. |
Удаленное переполнение буфера в MySQL в libmysqlclient
27 сентября | SecurityLab.ru
|
Программа: MySQL до версии 4.1.5
Опасность: Средняя Наличие эксплоита: Нет Описание: Уязвимость обнаружена в MySQL в libmysqlclient. Удаленный авторизованный пользователь может вызвать переполнение буфера. Удаленный авторизованный пользователь может выполнить bulk insert, используя готовые инструкции, содержащие тысячи placeholders, чтобы вызвать переполнение буфера. URL производителя: http://bugs.mysql.com/bug.php?id=5194 Решение:Установите MySQL 4.1.5: http://dev.mysql.com/downloads/mysql/4.1.html |
Инструменты управления содержанием Метод.ру
Дата создания документа: 18:31 27.09.04
| http://subscribe.ru/
http://subscribe.ru/feedback/ |
Подписан адрес: Код этой рассылки: inet.safety.cybersecurity |
Отписаться |
| В избранное | ||
