В мире технологий
08-08-2007 13:23
Монетный двор Новой Зеландии выпустил серию серебряных монет, посвященных героям советского фильма о
08-08-2007 12:31
Microsoft и Softkey продлевают работу Фонда мотивации разработчиков
07-08-2007 15:01
QuakeCon 2007: id Software представила три игры под брендом Quake
07-08-2007 14:56
Создатели ICQ откроют видеосервис нового типа
07-08-2007 14:54
Microsoft и Adobe обвиняют в нарушении патентов
07-08-2007 14:52
На конференции Black Hat обсудили ненадежность софтверных IP-телефонов
07-08-2007 14:51
Google и Microsoft требуют пересмотреть систему защиты авторских прав в США
05-08-2007 06:49
Core Security Technologies продемонстрировали новый тип атаки на коммерческие базы данных
05-08-2007 06:43
Обзор июльских вирусов от «Доктор Веб»
01-08-2007 06:18
Разборки в форуме закончились сожжением реального трейлера
01-08-2007 06:16
Защиту ядра Windows Vista можно взломать с помощью бесплатной утилиты
01-08-2007 06:02
Евгений Касперский займет место своей бывшей жены
01-08-2007 06:01
В США стартовала конференция Black Hat
01-08-2007 05:57
Microsoft представила P2P-клиент
31-07-2007 07:29
Google вводит новый мета тэг
25-07-2007 04:08
Windows 7
22-07-2007 07:27
Интервью с Линусом Торвальдсом
22-07-2007 07:25
В Европе собираются распространить антимонопольное расследование на Word и Excel
22-07-2007 07:24
Microsoft отчиталась за 2006-2007 финансовый год
21-07-2007 08:39
IBM выпустила бета-версию ОС AIX 6
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28
Сообщение
05-08-2007 06:49
Автор: nikedeforest
Core Security Technologies продемонстрировали новый тип атаки на коммерческие базы данных
Специалисты компании Core Security Technologies на открывшейся 2 августа в Лас-Вегасе (Невада, США) конференции Black Hat продемонстрировали новый тип атаки на коммерческие базы данных, при помощи которой злоумышленники смогут получать из баз данных закрытую информацию, причем в самой системе управления базами данных или в связующем программном обеспечении может и не быть каких-либо уязвимостей.



Во время демонстрации уязвимости специалисты компании заявили, что в данном случае используется так называемая атака тайминга, техника применяемая для взлома многих криптографических систем.

Новая атака эффективно работает против алгоритма Btree, используемого для создания индексов почти во всех популярных СУБД, например в MySQL или Oracle.

"На сегодня угрозы безопасности касаются в основном ошибок в программном обеспечении или неверной конфигурации сетевого окружения и дополнительного связующего программного обеспечения, поэтому злоумышленники могут получить доступ к данным, так или иначе обойдя систему авторизации и аутентификации" - говорят в Core Security.

Новый же тип атак полностью полагается на наследственные характеристики алгоритмов индексирования данных.

В криптографии, атаки, использующие метод тайминга, представляют собой специальную технику, когда атакующий анализирует время, затраченное программой на выполнение криптографического алгоритма.

Далее, при помощи статистических данных о скорости работы всех используемых алгоритмов хакер из открытых источников получает информацию о том, какой алгоритм используется (на основании данных по времени), а также какая именно криптографическая система развернута. После чего, работа злоумышленника сводится к обнаружению готовых эксплоитов для связки алгоритм шифрования - программа шифрования, либо к созданию собственного "ключа" для этого алгоритма, что более трудоемко, но и более эффективно.

В случае с базами данных подход тот же. Злоумышленник, желающий, например, получить закрытые данные из БД какого-либо сайта, заходит на этот сайт, после чего производит тестовые замеры время выполнения команды Insert, отвечающей за добавление данных в БД. Сделать это можно массой способов, например, написав в форуме сайта сообщения различной длины. Далее сравниваются данные вставки малого и большого объема данных. В результате временнЫх замеров (тайминга) у злоумышленника появляются данные об используемой СУБД и ее версии.

Еще более эффективен метод тайминга в случае одновременной вставки данных различного объема.

В результате получения данных о времени выполнения, можно будет получить информацию о структуре данных и дереве индексов СУБД, после чего задача злоумышленника по получению закрытых данных многократно упрощается.

Еще одна опасность данного метода в том, что обнаружить данную атаку при активном посещении сайта практически невозможно, так как помимо злоумышленника с данными активно работают и легитимные пользователи.