2SDnjcbPXe3
В системе сертификации SSL.com нашли уязвимость, через которую можно было получить TLS-сертификат для домена, даже не владея им. Это выяснил исследователь под псевдонимом Sec Reporter — он оформил сертификат на домен Alibaba Cloud, просто указав адрес электронной почты с этим именем.
Сервер SSL.com считал, что если почтовый ящик принадлежит, например, адресу vulture@example.com, то человек автоматически имеет право запросить сертификат и на весь example.com. При этом сам домен мог вообще не принадлежать отправителю письма — главное, чтобы почта работала.
Проверка была основана на записи в DNS — туда нужно было добавить адрес электронной почты, на который приходил код подтверждения. Проблема в том, что система неверно обрабатывала эту запись и не проверяла, кому действительно принадлежит домен. В результате исследователь получил сертификаты для aliyun.com и www.aliyun.com, хотя не имел к ним никакого отношения.
После инцидента SSL.com отозвала 11 выданных сертификатов. Помимо доменов Alibaba, в список попали адреса Medinet, Gurusoft, BetVictor и ещё нескольких компаний. Пока неясно, успели ли эти сертификаты использовать в реальных атаках, но сама уязвимость открывала путь для фишинга и подмены трафика.
Метод проверки, через который случилась ошибка, временно отключили. В компании обещают до 2 мая опубликовать подробный разбор инцидента.
Хакеры начали скрывать атаки на веб-приложения российских компаний под видом запросов от популярных сервисов искусственного интеллекта — DeepSeek, ChatGPT, Perplexity, Claude и Grok.
Эксперт по безопасности и выравниванию искусственного интеллекта Билал Чугтай, недавно покинувший Google DeepMind, выступил с тревожным заявлением о рисках неуправляемого развития технологий.
29 сентября в Москве состоится BIS Summit 2026 — ведущая ежегодная отраслевая конференция, которая фокусируется на самых актуальных темах цифровизации и кибербезопасности.
24 сентября 2026 года в Новосибирске пройдет ежегодная конференция «Код ИБ», на которой участники обсудят, как компании внедряют ИИ и какие риски это создает для бизнеса и ИТ-инфраструктуры.
25 сентября в рамках «АстраКонф», посвящённой информационным технологиям в России, Михаил Кобик, технический директор платформы «Боцман» расскажет про Боцман AI и запуск языковых моделей в защищенном контуре.
Исследователи раскрыли аппаратную уязвимость DDRop, которая взламывает архитектуры конфиденциальных вычислений в процессорах Intel TDX и AMD SEV-SNP.
Microsoft представила проект свода правил, который установит жесткие границы для будущих искусственных интеллектов.
Российская микроэлектроника столкнулась с серьёзной технологической уязвимостью.
Как быстро адаптировать ИТ-инфраструктуру к переменам и при этом не потерять стабильность?
21% промышленных компаний в мире планируют расширить использование технологий искусственного интеллекта для решения задач кибербезопасности — на основе как внешних ИИ-сервисов, так и собственных разработок.
