321
Digital Security : безопасность систем ДБО находится на уровне 90-х годов
DSecRG, исследовательский центр компании Digital Security,
опубликовал отчет о результатах исследований защищенности системы ДБО банк-клиент
ведущих российских производителей за период с 2009 по 2011 гг. Основной вывод
из трехлетнего исследования: общий уровень защищенности большинства имеющихся
на российском рынке систем ДБО несмотря на чрезвычайную критичность
программного обеспечения данного класса, по оценкам исследователей, находится
на крайне низком уровне. Система «Банк-клиент» содержит большое количество
критичных уязвимостей разных классов, большая часть из которых была свойственна
системам, разработанным еще в 90-е годы.
Так, в совокупности с отсутствием защитных механизмов и
наличием уже далеко не новых уязвимостей, в системах ДБО актуальны атаки,
приводящие к подделке злоумышленником платежных поручений с корректной ЭЦП
пользователя. Атакующие могут элементарно взаимодействовать с
ActiveX-компонентами токена или системы ДБО, выполняя скрытый перебор ПИН-кодов
с вредоносного сайта и подпись любых данных.
Алексей Синцов, руководитель департамента аудита «Digital
Security» отметил: «Опыт нашей работы показал печальный факт: критичность ПО не
влияет на уровень его защищенности. Разработчики уделяют внимание безопасности
кода, только когда их продукт начинают массово взламывать. Пример такого
отношения – то, что сейчас происходит с ПО АСУ ТП. Точно такая же ситуация – и
с банковским ПО».
«Аудит защищенности банк-клиентов является одной из наших
основных специализаций. Поэтому «дежавю» - вот первое, что приходит нам в
голову для наиболее точной характеристики результатов проведенного
исследования. Мы как будто перенеслись на 10–15 лет назад в 90-е годы, когда о
безопасности бизнес-приложений, к которым относятся системы ДБО, не задумывался
практически никто. Разработчики систем ДБО по-прежнему допускают те же ошибки,
не заметив, что мир безопасности, как и мир киберпреступности, за последнее
десятилетие сделал огромный шаг вперед «, – отметил Илья Медведовский, директор
Digital Security.
С результатами исследования можно ознакомиться на
официальном сайте Digital Security
Ознакомиться с другими новостями по данной тематике Вы
можете в рубриках Безопасность и Исследования
и обзоры
По материалам Digital
Security
