Базам данных грозит новый вид атак
Специалисты компании Core Security Technologies на открывшейся сегодня в Лас-Вегасе (Невада, США) конференции Black Hat продемонстрировали новый тип атаки на коммерческие базы данных, при помощи которой злоумышленники смогут получать из баз данных закрытую информацию, причем в самой системе управления базами данных или в связующем программном обеспечении может и не быть каких-либо уязвимостей.
Во время демонстрации уязвимости специалисты компании заявили, что в данном случае используется так называемая атака тайминга, техника применяемая для взлома многих криптографических систем.
Новая атака эффективно работает против алгоритма Btree, используемого для создания индексов почти во всех популярных СУБД, например в MySQL или Oracle.
“На сегодня угрозы безопасности касаются в основном ошибок в программном обеспечении или неверной конфигурации сетевого окружения и дополнительного связующего программного обеспечения, поэтому злоумышленники могут получить доступ к данным, так или иначе обойдя систему авторизации и аутентификации” - говорят в Core Security.
Новый же тип атак полностью полагается на наследственные характеристики алгоритмов индексирования данных.
В криптографии, атаки, использующие метод тайминга, представляют собой специальную технику, когда атакующий анализирует время, затраченное программой на выполнение криптографического алгоритма.
Далее, при помощи статистических данных о скорости работы всех используемых алгоритмов хакер из открытых источников получает информацию о том, какой алгоритм используется (на основании данных по времени), а также какая именно криптографическая система развернута. После чего, работа злоумышленника сводится к обнаружению готовых эксплоитов для связки алгоритм шифрования - программа шифрования, либо к созданию собственного “ключа” для этого алгоритма, что более трудоемко, но и более эффективно.
В случае с базами данных подход тот же. Злоумышленник, желающий, например, получить закрытые данные из БД какого-либо сайта, заходит на этот сайт, после чего производит тестовые замеры время выполнения команды Insert, отвечающей за добавление данных в БД. Сделать это можно массой способов, например, написав в форуме сайта сообщения различной длины. Далее сравниваются данные вставки малого и большого объема данных. В результате временнЫх замеров (тайминга) у злоумышленника появляются данные об используемой СУБД и ее версии.
Еще более эффективен метод тайминга в случае одновременной вставки данных различного объема.
В результате получения данных о времени выполнения, можно будет получить информацию о структуре данных и дереве индексов СУБД, после чего задача злоумышленника по получению закрытых данных многократно упрощается.
Еще одна опасность данного метода в том, что обнаружить данную атаку при активном посещении сайта практически невозможно, так как помимо злоумышленника с данными активно работают и легитимные пользователи.
Метки: база данных, БД
29 сентября 2008 в 19:07
Все юзают аську, но никому в голову не придет перейти на миранду.
30 сентября 2008 в 14:20
Хоть кто-то на этой земле нормально работает. Читать приятно.
1 октября 2008 в 4:45
Очень живой рассказ, спасибо автору.
3 октября 2008 в 2:16
Прямо даже не верится, что такой блог есть
3 октября 2008 в 2:39
Занятно
3 октября 2008 в 2:43
Автор старается сделать свой блог для простых людей, и мне кажеться, что это у него получилось.
3 октября 2008 в 15:25
С уводольствием пожал бы автору руку, благо, его блог - чудо.
3 октября 2008 в 17:44
Спасибо за такой пост, заставляет не ковыряться в носу и не чесать яйца. А думать и развиваться.
3 октября 2008 в 18:36
*Хитро щурюсь, сопоставляя факты…*
4 октября 2008 в 1:47
Отличная статья, главное не останавливайтесь и продолжайте писать
4 октября 2008 в 2:40
Актуальный блог, свежая инфа, почитываю
4 октября 2008 в 3:24
в след раз очень прошу обратить внимание на тематику блога и не распыляться по пустякам таким постом. а то Вас читать не буду.
4 октября 2008 в 12:16
Спасибо за пост, а это тема=)
4 октября 2008 в 19:05
грамотный блог, но коллайдер все равно взорвется…
4 октября 2008 в 19:10
Спасибо за пост, а это тема=)
4 октября 2008 в 21:14
все реально искренне и в “теме”. ))
4 октября 2008 в 22:19
подкупила искренность поста
4 октября 2008 в 23:38
да, новость пошла по инету и распространяется со старшной силой.
5 октября 2008 в 1:14
Ты один из немногих, кто действительно хорошо пишет. Твои слова всегда как-то умели находить брешь в моем зашоренном и скептическом сознании… Удачи.
5 октября 2008 в 3:49
До скорых встреч онлайн!
5 октября 2008 в 4:26
Это просто бомба!!!
5 октября 2008 в 7:04
Я был приятно удивлен, как автор легко пишет обо всем, что его интересует. В этом что-то есть!
5 октября 2008 в 7:23
хороший рассказ, все разложено по полкам
5 октября 2008 в 9:13
это очень хорошая идея и я ее поддерживаю. Вообще, любюой человек с интересной историей может опубликоваться у меня, как это делают некоторый журналисты. Так что пишите мне на почту - договоримся.
5 октября 2008 в 11:04
Спасибо! У Вас часто замечательные посты! Прямо с утра поднимаете настроение.
5 октября 2008 в 12:27
А вы знаете, что сегодня день независимости Албании? Святой день для всего рунета
5 октября 2008 в 13:09
знакомая тема)
5 октября 2008 в 15:15
Мне все понравилось, только если бы еще денег на длоге дали или конкурс провели, было бы вообще отлично.
5 октября 2008 в 16:03
Бойтесь гнева автора, ненавистники!
6 октября 2008 в 0:53
Супер! Спасибо :0
6 октября 2008 в 1:44
Мож на блоге форум открыть? ТАк хоть общаться будет поудобнее… А то в комментариях все в одну кучу, еще и оффтопят
6 октября 2008 в 3:16
Help! У автора афтограф можно взять?
6 октября 2008 в 3:30
Всегда приятно читать умных людей. Спасибо!
6 октября 2008 в 9:53
Офигенно)
6 октября 2008 в 13:12
круто!
6 октября 2008 в 15:22
Достаточно интересная и познавательная тема
6 октября 2008 в 16:24
Радует, что блог постоянно развивается. Такой пост только прибавляет популярности.
6 октября 2008 в 18:07
Мне понравилось!Беру….)))))))
6 октября 2008 в 20:26
думаю, у автора с такими постами все получится. удачи!
6 октября 2008 в 21:39
Есть интересные посты, но этот офигенный просто!
7 октября 2008 в 0:16
Мне, например есть чем поделиться, думаю не только мне.
7 октября 2008 в 4:00
Класс! Очень понравилось
7 октября 2008 в 6:58
Полезного много нашла для себя =)
7 октября 2008 в 7:20
Только недавно стал Вашим читателем и сразу подписчиком. Спасибо за пост.
7 октября 2008 в 10:06
Ух ты
Здорово как!
7 октября 2008 в 12:42
Пост не однозначный. нельзя бросаться в крайности.
7 октября 2008 в 19:16
Интересные решения.:-)
7 октября 2008 в 22:27
Хороший пост, прочитав пару книг на тему всё таки не взглянул со стороны, а пост как-то задел.
8 октября 2008 в 0:21
Пост хорош, читал и видел многие свои ошибки, но не увидел главной:)
8 октября 2008 в 3:51
До скорых встреч онлайн!
8 октября 2008 в 5:30
спасибо и удачи в организации своего дела
8 октября 2008 в 8:21
Если бы я был девушкой, я бы дал автору за такой пост.
8 октября 2008 в 10:02
Ты - симпатяга. Было приятно общаться с тобой виртуально. Буду скучать. Точно.
8 октября 2008 в 12:57
Приятно понимать, что остались действительно стоящие блоги в этой мусорке рейтинга Яши. Ваш - один из таких. Спасибо!
8 октября 2008 в 13:10
Всем привет. Понравился пост, ставлю 5 баллов.
8 октября 2008 в 15:37
Офигенно)
8 октября 2008 в 16:45
было интересно вас почитать, спасибо и удачи!
8 октября 2008 в 19:24
жуть)))) надо пост использовать в корыстных целях. обязательно!
8 октября 2008 в 21:46
Ух ты
Здорово как!
9 октября 2008 в 0:13
Help! У автора афтограф можно взять?
9 октября 2008 в 2:09
Да, проблема описанная в посте существует уже давно. Но кто ее будет решать?
9 октября 2008 в 5:13
мысли здравые, но тяжело читать, не знаю почему.
9 октября 2008 в 11:44
и вправду оригинально)
9 октября 2008 в 14:20
Прямо даже не верится, что такой блог есть
9 октября 2008 в 17:44
Жалко, но порой необходимо сменить образ жизни. И писать такие грамотные посты.
9 октября 2008 в 22:32
шуму то было…., а получилось все наоборот
10 октября 2008 в 1:03
Актуальный блог, свежая инфа, почитываю
10 октября 2008 в 1:15
отличный пример стоящего материала. благо, автор просто гений.
10 октября 2008 в 4:28
Ты один из немногих, кто действительно хорошо пишет. Твои слова всегда как-то умели находить брешь в моем зашоренном и скептическом сознании… Удачи.
10 октября 2008 в 7:28
да, новость пошла по инету и распространяется со старшной силой.
10 октября 2008 в 8:48
удачи в бизнесе с таким блогом
10 октября 2008 в 11:04
Когда суть придет - вопросы “как жить” закончатся но это долгий развития пройти нужно.
10 октября 2008 в 12:34
хеех..прикольно)
10 октября 2008 в 13:00
Я не знаю, каким оружием будет вестись третья мировая война, но четвёртая — палками и камнями.
10 октября 2008 в 17:35
Так здоровски!!
10 октября 2008 в 17:49
Работай с умом, а не до ночи.
10 октября 2008 в 19:00
Да, довольно интересная статья.
10 октября 2008 в 20:15
Прикольно, логично, по теме блога. Спасибо за поднятие настроения!
10 октября 2008 в 22:50
Пост хорош, читал и видел многие свои ошибки, но не увидел главной:)
10 октября 2008 в 22:57
Бескорыстное вранье — это не ложь, это поэзия.
11 октября 2008 в 1:38
Спасибо! У Вас часто замечательные посты! Прямо с утра поднимаете настроение.
11 октября 2008 в 1:59
Нет ничего плохого в компромиссах. Даже если вся жизнь — сплошной компромизм.
11 октября 2008 в 4:47
Пост не однозначный. нельзя бросаться в крайности.
11 октября 2008 в 5:21
В экзистенции обрисовалась тенденция к ухудшению жизненных кондиций, или, попросту сказать, дела были хреновей некуда.
11 октября 2008 в 7:25
Мне жаль, что вся жизнь уходит на то, чтобы научиться жизни.
11 октября 2008 в 7:39
это прямо в точку!!! другими словами и не скажешь!
11 октября 2008 в 9:27
Help! У автора афтограф можно взять?
11 октября 2008 в 10:26
Пост не однозначный. нельзя бросаться в крайности.
11 октября 2008 в 10:58
Вся Россия — пьющий Гамлет.
11 октября 2008 в 13:53
Прямо даже не верится, что такой блог есть
11 октября 2008 в 17:20
Человек никогда не реализует всех своих возможностей, пока прикован к земле. Мы должны взлететь и покорить небеса.
11 октября 2008 в 19:36
ништяг, все правильно написано. Молодец!
11 октября 2008 в 23:51
ооо…я в шоке) он гений)
12 октября 2008 в 0:14
Мне жаль, что вся жизнь уходит на то, чтобы научиться жизни.
12 октября 2008 в 2:37
оригинальная находка в блогосфере.
12 октября 2008 в 4:41
Занятно
12 октября 2008 в 6:21
Действительно интересная подборка.
12 октября 2008 в 9:47
Мы говорили ни о чем, в основном о жизни. Хотя странно, конечно, называть жизнь «ничем», но обычно разговаривают о ней, когда говорить больше не о чем.
12 октября 2008 в 11:29
есть действительно классные посты по теме блога, но этот не понравился.
12 октября 2008 в 19:12
Пост хорош, читал и видел многие свои ошибки, но не увидел главной:)
12 октября 2008 в 22:47
блог - это всего лишь часть жизни, и когда нет времени писать в блог - значит все время уходит на другие, не менее приятные дела.
12 октября 2008 в 23:42
Наше нормальное состояние — это ползти и выползать. Это уникальная способность России выползать из пропастей с перебитыми костями, иногда на зубах, если зубов нет — на деснах.
13 октября 2008 в 1:46
ооо…я в шоке) он гений)
13 октября 2008 в 2:02
Американская инициатива не что иное, как предложение «сжечь дом, чтобы приготовить яичницу. (Насчет создания системы ПРО)
13 октября 2008 в 4:14
блин, почему так мало хороших блогов осталось? этот вне конкуренции.
13 октября 2008 в 4:42
Займитесь лучше делом, а не всякой хуйней.
13 октября 2008 в 9:36
Мне, например есть чем поделиться, думаю не только мне.
13 октября 2008 в 10:01
От оскорбления можно защититься, от сострадания — нельзя.
13 октября 2008 в 11:12
Классный блог. Жду с нетерпением возвращения. Успехов!
13 октября 2008 в 11:35
Знаешь, люди делятся на 2 категории. Те, которые имеют заряженный пистолет и те, которые копают. Ты копаешь.
13 октября 2008 в 12:30
Дружище, писать всякий горазд,… но чтобы так!!! Дай пять!
13 октября 2008 в 18:31
было интересно вас почитать, спасибо и удачи!
13 октября 2008 в 19:09
Нет ничего плохого в компромиссах. Даже если вся жизнь — сплошной компромизм.
13 октября 2008 в 21:30
Смешно до чёртиков. Или, боюсь, уж и не смешно, а жутко.
13 октября 2008 в 21:45
Ваши записи произвели на меня огромное впечатление, заставили думать по-другому. Продолжайте свои творческие поиски, а я буду следовать за Вами!
14 октября 2008 в 9:26
Класс! Очень понравилось
14 октября 2008 в 9:41
Наше нормальное состояние — это ползти и выползать. Это уникальная способность России выползать из пропастей с перебитыми костями, иногда на зубах, если зубов нет — на деснах.
14 октября 2008 в 12:49
лучше и не скажешь!!!
14 октября 2008 в 13:15
Бескорыстное вранье — это не ложь, это поэзия.
14 октября 2008 в 15:28
*Хитро щурюсь, сопоставляя факты…*
15 октября 2008 в 1:44
Я не люблю мужчин, я не люблю женщин, мне не нравятся люди. Этой планете я бы поставила ноль.