/ Безопасность / Шифрование, SSH, SSL
·	22.04.2025	Уязвимость в удостоверяющем центре SSL.com, позволявшая получить сертификат для чужого домена (47 +17)
	В удостоверяющем центре SSL.com выявлена уязвимость в системе проверки владения доменом, позволявшая получить TLS-сертификат для любого домена, предоставившего email атакующему. Для получения TLS-сертификата было достаточно доступа к email с целевым доменом. Например, уязвимость позволяла получить TLS-сертификат для доменов, используемых в общедоступных email-сервисах, таких как gmail.com, yandex.ru, yahoo.com, outlook.com и icloud.com... (47 +17) обсуждение | весь текст
·	19.04.2025	В Python задействованы криптофункции с математическим доказательством надёжности (66 +28)
	Объявлено об успешном завершении инициативы по замене в Python реализаций криптографических алгоритмов, предлагаемых в модулях hashlib и hmac, на варианты с математическим (формальным) доказательством надёжности, подготовленные проектом "HACL*". Работа по переходу на функции с математическим доказательством надёжности велась с 2022 года и была инициирована после выявления переполнения буфера в реализации алгоритма SHA3, используемой в Python-модуле hashlib... (66 +28) обсуждение | весь текст
·	18.04.2025	Уязвимость в SSH-сервере из Erlang/OTP, допускающая удалённое выполнение кода (35 +18) ↻
	В библиотеке ssh, входящей в состав инструментария Erlang/OTP, выявлена уязвимость (CVE-2025-32433), позволяющая удалённо без прохождения аутентификации выполнить свой код на SSH-сервере, созданном с использованием уязвимой библиотеки. Проблема присвоен критический уровень опасности (10 из 10)... (35 +18) ↻ обсуждение | весь текст
·	14.04.2025	Максимальное время жизни TLS-сертификатов сократят с 398 до 47 дней (284 –48)
	Участники ассоциации CA/Browser Forum, являющейся площадкой для координации совместной работы производителей браузеров и удостоверяющих центров, проголосовали за сокращение максимального времени жизни TLS-сертификатов. Максимальное время действия TLS-сертификатов будет сокращено с 398 до 47 дней, если в дальнейшем CA/Browser Forum не пересмотрит принятое решение. Помимо времени действия сертификатов решено заметно сократить и сроки повторного использования данных валидации объектов: для SAN (Subject Alternative Name, когда один сертификат охватывает несколько ресурсов, например, действует сразу для нескольких доменов) срок будет сокращен с 398 до 10 дней, а для не-SAN - с 825 до 398 дней... (284 –48) обсуждение | весь текст
·	09.04.2025	Релиз OpenSSH 10.0 (98 +30)
	Опубликован релиз OpenSSH 10.0, открытой реализации клиента и сервера для работы по протоколам SSH 2.0 и SFTP. Основные... (98 +30) обсуждение | весь текст
·	08.04.2025	Выпуск криптографической библиотеки OpenSSL 3.5.0 (32 +16)
	Состоялся релиз библиотеки OpenSSL 3.5.0 с реализацией протоколов SSL/TLS и различных алгоритмов шифрования. OpenSSL 3.5 отнесён к выпускам с длительным сроком поддержки (LTS), обновления для которых выпускаются в течение 5 лет (до апреля 2030 года). Поддержка прошлых веток OpenSSL 3.3, 3.2 и 3.0 LTS продлится до апреля 2026 года, ноября 2025 года и сентября 2026 года соответственно. Код проекта распространяется под лицензией Apache 2.0... (32 +16) обсуждение | весь текст
·	26.03.2025	Компания Cloudflare опубликовала opkssh для аутентификации в SSH через OpenID Connect (152 +10)
	Компания Cloudflare представила инструментарий opkssh (OpenPubkey SSH), позволяющий интегрировать в OpenSSH средства централизованной аутентификации с возможностью входа через провайдеров OpenID Connect. При помощи opkssh можно избавиться от ручной работы по настройке SSH-ключей, а также организовать подключение к серверу с любых хостов, без необходимости создания закрытых ключей на каждом клиентском компьютере и без ручного копирования открытых ключей на сервер. Для подключения достаточно выполнить на сервере привязку к учётной записи у провайдера OpenID. Код инструментария написан на языке Go и распространяется под лицензией Apache 2.0... (152 +10) обсуждение | весь текст
·	19.03.2025	Обновление Firefox 136.0.2. Новые требования Mozilla к удостоверяющим центрам (92 +16)
	Доступен корректирующий выпуск Firefox 136.0.2, в котором устранено несколько проблем:... (92 +16) обсуждение | весь текст
·	13.03.2025	Уязвимость в библиотеке ruby-saml, приводящая к обходу аутентификации в GitLab (67 +9)
	Опубликованы корректирующие обновления платформы для организации совместной разработки GitLab - 17.9.2, 17.8.5 и 17.7.7, в которых устранена уязвимость (CVE-2025-25291, CVE-2025-25292), позволяющая обойти аутентификацию на базе SAML (Security Assertion Markup Language). Уязвимость присутствует в Ruby-библиотеке ruby-saml, реализующей функции для SAML-авторизации. Кроме GitLab уязвимость затрагивает и другие проекты, использующие данную библиотеку. Проблема устранена в обновлениях ruby-saml 1.18.0 и 1.12.4... (67 +9) обсуждение | весь текст
·	18.02.2025	Обновление OpenSSH 9.9p2 с устранением возможности совершения MITM-атаки (131 +18)
	Доступен корректирующий выпуск OpenSSH 9.9p2, в котором устранены две уязвимости, выявленные компанией Qualys. Продемонстрирован пример использования данных уязвимостей для совершения MITM-атаки, позволяющей при попытке подключения клиента к SSH-серверу, перенаправить трафик на собственный фиктивный сервер, обойти проверку хостовых ключей и создать у клиента видимость подключения к желаемому серверу (ssh-клиент примет хостовый ключ фиктивного сервера вместо ключа легитимного сервера)... (131 +18) обсуждение | весь текст
·	11.02.2025	Обновление OpenSSL 3.4.1 с устранением уязвимостей (15 +15)
	Доступны корректирующие выпуски криптографической библиотеки OpenSSL 3.0.16, 3.1.8, 3.2.4, 3.3.3 и 3.4.1. В версиях 3.2.4, 3.3.3 и 3.4.1 устранена уязвимость (CVE-2024-12797), которой присвоен высокий уровень опасности. Уязвимость позволяет организовать MITM-атаку на соединения TLS и DTLS. Проблема проявляется только в системах, использующих для аутентификации клиентов открытые ключи RPK (Raw Public Key, RFC 7250). По умолчанию поддержка RPK отключена на стороне клиента и сервера... (15 +15) обсуждение | весь текст
·	10.02.2025	Выпуск SSH-клиента PuTTY 0.83 (105 +22)
	Сформирован релиз PuTTY 0.83, клиента для протоколов SSH, Telnet, Rlogin и SUPDUP, поставляемого со встроенным эмулятором терминала и поддерживающего работу в Unix-подобных системах и Windows. Исходные тексты проекта доступны под лицензией MIT... (105 +22) обсуждение | весь текст
·	08.02.2025	Выпуск Arti 1.4.0, официальной реализации Tor на языке Rust (119 +20)
	Разработчики проекта Tor опубликовали выпуск Arti 1.4.0, реализации Tor-клиента, написанного на языке Rust. Ветка 1.x отмечена как пригодная для использования обычными пользователями и обеспечивающая тот же уровень конфиденциальности, юзабилити и стабильности, что и основная реализация на языке Си. Достижение паритета с клиентом на языке Си намечено в ветке 2.0. Когда код на Rust достигнет уровня, способного полностью заменить вариант на Си, разработчики намерены придать Arti статус основной реализации Tor и постепенно прекратить сопровождение реализации на Си. Код распространяется под лицензиями Apache 2.0 и MIT... (119 +20) обсуждение | весь текст
·	06.02.2025	Началось производство чипов на базе открытой платформы OpenTitan (100 +23)
	Компания Google после шести лет работы над проектом объявила о начале производства чипа, построенного на базе открытой платформы OpenTitan. Чип выпускается компанией Nuvoton и отмечен как первая реализация OpenTitan, готовая для использования в рабочих проектах. В настоящее время для тестирования выпущена пробная партия, а запуск массового производства намечен на весну этого года... (100 +23) обсуждение | весь текст
·	22.01.2025	Выпуск системы шифрования дисковых разделов VeraCrypt 1.26.19 (54 +14) ↻
	Опубликован выпуск проекта VeraCrypt 1.26.18, развивающего форк системы шифрования дисковых разделов TrueCrypt, прекратившей своё существование. VeraCrypt примечателен заменой используемого в TrueCrypt алгоритма RIPEMD-160 на SHA-512 и SHA-256, увеличением числа итераций хэширования, упрощением процесса сборки для Linux и macOS, устранением проблем, выявленных в процессе аудита исходных текстов TrueCrypt. Разработанный проектом VeraCrypt код распространяется под лицензией Apache 2.0, а заимствования из TrueCrypt продолжают поставляться под лицензией TrueCrypt License 3.0. Готовые сборки формируются для Linux, FreeBSD, Windows и macOS... (54 +14) ↻ обсуждение | весь текст
Следующая страница (раньше) >>