Авторизация / Регистрация

[Efemische]

Обязательный для установки Windows 11 модуль безопасности TPM 2.0 оказался довольно небезопасным, о чем сообщили товарищи из Quarkslab. Специалисты этой компании обнаружили в библиотеке TPM 2.0 две уязвимости с CVE-идентификаторами CVE-2023-1017 и CVE-2023-1018. Это уязвимости из категории переполнения буфера, которые позволяют проводить запись и чтение данных. Самая плохая часть новости в том, что эти уязвимости доступны простым пользовательским приложениям, а это значит, что установка вредоносного софта в обход TPM 2.0 перестает быть проблемой.

Quarkslab также напоминают, что модули TPM 2.0 используются в огромном множестве устройств по всему миру и являются одним из основных решений для шифрования на протяжении уже почти десяти лет. Атакующему систему понадобится четко понимать, что он намерен делать, но простого способа защититься от такой атаки сейчас нет.

[Theory III]

ПЛЮС



Не благодарите.

[ConnectingPeople]

Сообщение от Theory III:

Не благодарите

если бы еще понять за что благодарить

[JohnRocket]

Сообщение от ConnectingPeople:

если бы еще понять за что благодарить

за божественный протон и габэна

[MikeNew]

Сообщение от Theory III:

Можно еще больше безопасности, чтобы вообще нельзя было хакнуть:

[Altwazar]

Сообщение от Efemische:

Это уязвимости из категории переполнения буфера, которые позволяют проводить запись и чтение данных. Самая плохая часть новости в том, что эти уязвимости доступны простым пользовательским приложениям, а это значит, что установка вредоносного софта в обход TPM 2.0 перестает быть проблемой.

Хранить полные ключи в TPM изначально тупая идея (типа шифрования в винде bitlocker-ом). Сама по себе штука интересная и полезная, но предлагаемые типичные сценарии использования "из коробки" приводят только к увеличению шансов потерять и слить свои данные.
Идея на уровне "у меня могут ключ угнать, оставлю его у соседа, он меня в лицо знает и откроет".

[Theory III]

Для безопасности есть эльбрус и линукс, эти ЦПУ и создавались для этого. Сидеть на дырявых Интел и АМД, которые создавались для массового сегмента и думать что протоколы виндоус тебя защитят глупо. Они в 1 очередь думают как бы заманить лошье за счет цифр.