[Перевод] Баг с псионическими сигнатурами в Java
В классическом научно-фантастическом сериале BBC Доктор Кто часто используется следующий сюжетный приём: Доктору удаётся избежать неприятностей, показав удостоверение личности, которое на самом деле совершенно пустое. Разумеется, удостоверение сделано из специальной «психобумаги», заставляющей смотрящего на неё человека видеть то, что захочет Доктор: пропуск, ордер или что-то ещё.
Оказывается, некоторые новые релизы Java тоже были подвержены подобному трюку в реализации широко используемых сигнатур ECDSA. Если запустить одну из уязвимых версий, то нападающий легко сможет подделать некоторые типы сертификатов SSL и handshake (что позволяет вмешиваться в обмен данными и модифицировать их), подписанные JWT, декларации SAML или id-токены OIDC и даже сообщения аутентификации WebAuthn. И для всего этого достаточно цифрового аналога чистого листа бумаги.
Читать дальше →
Оказывается, некоторые новые релизы Java тоже были подвержены подобному трюку в реализации широко используемых сигнатур ECDSA. Если запустить одну из уязвимых версий, то нападающий легко сможет подделать некоторые типы сертификатов SSL и handshake (что позволяет вмешиваться в обмен данными и модифицировать их), подписанные JWT, декларации SAML или id-токены OIDC и даже сообщения аутентификации WebAuthn. И для всего этого достаточно цифрового аналога чистого листа бумаги.
Читать дальше →
Источник: Хабрахабр
Похожие новости
- Топ новостей инфобеза за май 2025 года
- Check Point Software и ее интеллектуальная собственность
- Новый кандидат в односторонние функции для криптографии и PRNG
- Как не потерять доступ к Telegram и защититься от взлома
- Данные на продажу: что происходит с информацией после утечек
- Использование больших языковых моделей (LLM) в Access Management
- Укрощение SAML 2.0: нюансы работы с протоколом
- Это личное! Как femtech-приложения защищают наши данные
- [Перевод] Localhost-атака: как Meta и Яндекс отслеживали пользователей Android через localhost
- Рейтинг Рунета выпустил 34 рейтинга digital-подрядчиков