Η σύνοψη αυτού του μήνα συζητά δύο περιπτώσεις που υπαινίσσονται πιθανές τάσεις που θα αντιμετωπίσουν οι κυβερνητικές υπηρεσίες όταν πρόκειται για επιθέσεις στον κυβερνοχώρο. Ως εταιρεία που στοχεύει στην προστασία κυβερνήσεων και ιδιωτικών οργανισμών από κυβερνοεπιθέσεις, παρέχουμε συνδέσμους για πλήρη άρθρα που συζητούν τα προϊόντα και τις υπηρεσίες που προσφέρουμε και ενισχύουν την ασφάλεια στον κυβερνοχώρο οποιουδήποτε οργανισμού. Τέλος, συζητάμε επίσης δύο ενημερώσεις υπηρεσιών που προσφέρουμε στους πελάτες μας. Συνέχισε να διαβάζεις!
Η κομητεία του Νέου Μεξικού γίνεται το πρώτο θύμα ransomware τοπικής αυτοδιοίκησης αυτόν τον Ιανουάριο
Τον περασμένο Ιανουάριο, στις 5 Ιανουαρίου, η κομητεία Bernalillo, η μεγαλύτερη κομητεία στο Νέο Μεξικό, αναγκάστηκε να κλείσει τα περισσότερα από τα κυβερνητικά της κτίρια ως απάντηση σε μια επίθεση ransomware.
Πολλά από τα συστήματα ηλεκτρονικών υπολογιστών της κυβέρνησης της κομητείας αποσυνδέθηκαν από το Διαδίκτυο για την προστασία των αρχείων και άλλων ευαίσθητων αρχείων. Επίσης εκτός σύνδεσης ήταν οι ιστότοποι του νομού.
Μέχρι τις 14 Ιανουαρίου, οι κάτοικοι συνέχισαν να λαμβάνουν μη υπηρεσίες όταν επρόκειτο για διεκπεραίωση συναλλαγών ακινήτων, εγγραφή εκλογέων ή άδειες γάμου.
Σύμφωνα με ένα έκθεση ειδήσεων, "η ΧΩΡΑ κατέθεσε επίσης μια έκτακτη ειδοποίηση στο ομοσπονδιακό δικαστήριο ότι δεν ήταν σε θέση να συμμορφωθεί με τους όρους ενός διακανονισμού που αφορούσε συνθήκες στη φυλακή της κομητείας, επειδή η επίθεση ransomware απέκλεισε την πρόσβαση στις κάμερες ασφαλείας της φυλακής.» Η αποτυχία τήρησης των όρων έθεσε τη φυλακή σε καθεστώς κλειδώματος και μείωσε σημαντικά ορισμένα προνόμια των κρατουμένων, συμπεριλαμβανομένου του ελεύθερου χρόνου που περνούν έξω και της τηλεφωνικής πρόσβασης.
Η κυβερνοεπίθεση επηρέασε επίσης τα δικαστικά συστήματα αναγκάζοντας τους υπαλλήλους να επεξεργάζονται εφεδρικά σχέδια που θα μπορούσαν να επιτρέψουν προσωρινά την ποινική δίωξη.
Από τα τέλη Ιανουαρίου, ο Bernalillo δεν έχει ακόμη αναρρώσει πλήρως από αυτό το περιστατικό.
Εάν οι κυβερνητικές υπηρεσίες δεν λάβουν σοβαρά μέτρα για τη βελτίωση της κυβερνοασφάλειάς τους, θα συνεχίσουν να κινδυνεύουν από εξουθενωτικές επιθέσεις. Το 2020, 113 επιθέσεις ransomware ήταν γνωστό ότι είχαν εκτελεστεί εναντίον τοπικών κυβερνήσεων. Το 2021, 76 δήμοι παραδέχτηκαν επίσης ότι δέχθηκαν την ίδια επίθεση.
Takeaway του SSL.com: Οι κυβερνητικές υπηρεσίες θα συνεχίσουν να αποτελούν στόχο των εγκληματιών του κυβερνοχώρου αυτό το 2022. Εάν είστε μέλος μιας κρατικής υπηρεσίας, η καλύτερη μέθοδος για την προστασία του ιστότοπού σας, των δεδομένων και των συναλλαγών σας είναι να αποκτήσετε δοκιμασμένες PKI υπηρεσίες από επαγγελματίες. Κατευθυνθείτε προς αυτό το άρθρο για να διαβάσετε πώς βοηθάμε τις κυβερνήσεις να ενισχύσουν την κυβερνοασφάλειά τους μέσω PKI.
Το Υπουργείο Άμυνας καλείται να εξασφαλίσει το Internet of Battlefield Things (IOBT)
Το Υπουργείο Άμυνας (DOD) αναπτύσσει συνεχώς αυτό που αναφέρεται ως «Internet of Battlefield Things» (IOBT). Πρόκειται για δίκτυα μιας ευρείας σειράς στρατιωτικού εξοπλισμού που συνδέονται με την έξυπνη τεχνολογία. Αυτά περιλαμβάνουν αισθητήρες πεδίου μάχης, ραδιόφωνα και όπλα.
Ενώ το IOBT αυξάνει τις δυνατότητες του στρατού, τους προδιαθέτει επίσης σε πολλά ζητήματα κυβερνοασφάλειας. Καθώς στο IOBT προστίθενται περισσότερες συσκευές συνδεδεμένες στο Διαδίκτυο, αυξάνονται και τα σημεία εισόδου για τους χάκερ για να παραβιάσουν το δίκτυο. Όταν οι διαβαθμισμένες πληροφορίες και τεχνολογίες κλαπούν από χάκερ, αυτό μπορεί να είναι μια κατάσταση ζωής ή θανάτου. Για παράδειγμα, το 2018, αποκαλύφθηκε ότι οι ιχνηλάτες γυμναστικής που φορούσαν στρατιωτικό προσωπικό μπορούσαν να διεισδύσουν και διαρροή η κίνηση των στρατευμάτων που τα φορούν.
Το Υπουργείο Άμυνας ανταποκρίθηκε στην αυξανόμενη ανησυχία με το IOBT δημιουργώντας το σύστημα Comply to Connect (C2C). Οπως και εξήγησε από τον Daniel Goure της δεξαμενής σκέψης Lexington Institute, το C2C περιλαμβάνει τέσσερις λειτουργίες, οι οποίες είναι: «1) αναγνώριση και επικύρωση νέων συσκευών που είναι συνδεδεμένες σε ένα δίκτυο. 2) αξιολόγηση της συμμόρφωσής τους με τις πολιτικές ασφαλείας του Υπουργείου Άμυνας. 3) τη διεξαγωγή συνεχούς παρακολούθησης αυτών των συσκευών και 4) την αυτόματη αντιμετώπιση προβλημάτων συσκευών, μειώνοντας έτσι την ανάγκη διατήρησης της υγιεινής στον κυβερνοχώρο στους διαχειριστές κυβερνοασφάλειας.»
Προφανώς, το DoD ήταν δύο φορές εντολή από το Κογκρέσο των ΗΠΑ να εφαρμόσει σθεναρά το C2C. Μέχρι στιγμής, μόνο το Πολεμικό Ναυτικό των ΗΠΑ, το Σώμα Πεζοναυτών των ΗΠΑ και πολλά στοιχεία του Υπουργείου Άμυνας έχουν συμμορφωθεί με την εντολή, με τους περισσότερους υποκαταστάτες του τμήματος να υστερούν.
Η συνεχής ανάπτυξη της υποδομής δημόσιου κλειδιού (PKI) η τεχνολογία στον ιδιωτικό τομέα παρουσιάζει μια επείγουσα ευκαιρία για το Υπουργείο Άμυνας να συνεργαστεί με ειδικούς του κλάδου όσον αφορά την εξασφάλιση του IOBT τους. Αυτή η συνεργασία θα επιτρέψει στο Υπουργείο Άμυνας να εκτελεί με ασφάλεια τα καθήκοντά του ενώ θα είναι σε θέση να προσαρμοστεί στις εξελισσόμενες στρατιωτικές ανάγκες.
Takeaway του SSL.com: Το SSL.com είναι σύμμαχος της κυβέρνησης όσον αφορά την ασφάλεια στον κυβερνοχώρο. Ανάγνωση αυτό το άρθρο για να μάθετε πώς βοηθάμε τις κρατικές υπηρεσίες να προστατεύουν τα συστήματα IoT τους μέσω της υποδομής δημόσιου κλειδιού (PKI) Τεχνολογία.
Το SSL.com ανακοινώνει υποστήριξη για TLS Εκχωρημένα διαπιστευτήρια
Εμείς στο SSL.com ανακοινώνουμε ότι υποστηρίζουμε τη χρήση των εκχωρημένων διαπιστευτηρίων για όλους τους πελάτες. Η έκδοση πιστοποιητικών με δυνατότητα ανάθεσης διαπιστευτηρίων μπορεί να γίνει μέσω της χρήσης API για αυτοματοποίηση χρησιμοποιώντας το πρωτόκολλο ACME. Εφόσον το SSL.com χρησιμοποιεί το ECDSA για την υλοποίηση του PKI που προσφέρονται σε πελάτες, τα εξουσιοδοτημένα διαπιστευτήρια που εκδίδονται από τους πελάτες μας δεν είναι ευάλωτα σε επιθέσεις πλαστογραφίας υπογραφής.
Τα εξουσιοδοτημένα διαπιστευτήρια είναι δομές δεδομένων με ψηφιακή υπογραφή που αποτελούνται από δύο μέρη: ένα διάστημα εγκυρότητας και ένα δημόσιο κλειδί (μαζί με τον σχετικό αλγόριθμο υπογραφής). Χρησιμεύουν ως α "πληρεξούσιο" για τους διακομιστές που υποδεικνύουν ότι είναι εξουσιοδοτημένοι να τερματίσουν το TLS σύνδεσης.
Τα εξουσιοδοτημένα διαπιστευτήρια έχουν σχεδιαστεί με σκοπό την αύξηση της ασφάλειας. Ως εκ τούτου, διαθέτουν ορισμένα χαρακτηριστικά, όπως ορίζονται στο προσχέδιο του IEFT. Αυτά τα χαρακτηριστικά περιλαμβάνουν τα ακόλουθα:
- Η μέγιστη περίοδος ισχύος ενός εκχωρημένου διαπιστευτηρίου είναι επτά (7) ημέρες για να ελαχιστοποιήσετε την έκθεση σε περίπτωση παραβίασης του ιδιωτικού κλειδιού.
- Τα εξουσιοδοτημένα διαπιστευτήρια είναι κρυπτογραφικά δεμένο στο πιστοποιητικό τελικής οντότητας. Συγκεκριμένα, το ιδιωτικό κλειδί του πιστοποιητικού τελικής οντότητας χρησιμοποιείται για τον υπολογισμό της υπογραφής του DC μέσω ενός αλγορίθμου που καθορίζεται από το διαπιστευτήριο.
- Τα εξουσιοδοτημένα διαπιστευτήρια εκδίδονται από τον πελάτη, κάτι που είναι πολύ πιο εύκολο από τη δημιουργία πιστοποιητικού υπογεγραμμένου από μια ΑΠ. Τα πιστοποιητικά που εκδίδονται από τον πελάτη είναι επίσης χρήσιμα για τη διατήρηση της λειτουργίας της υπηρεσίας ακόμη και αν η ΑΠ έχει διακοπή λειτουργίας.
- Τα εξουσιοδοτημένα διαπιστευτήρια έχουν εξ ορισμού σύντομες περιόδους ισχύος. Κατά τον καθορισμό της διάρκειας ζωής των εκχωρημένων διαπιστευτηρίων, οι διακομιστές πρέπει να λαμβάνουν υπόψη τη λοξή χρονομέτρηση του πελάτη για να αποφύγουν την απόρριψη πιστοποιητικών.
- Δεν υπάρχει μηχανισμός ανάκλησης για τα εκχωρημένα διαπιστευτήρια. Καθίστανται άκυρα μόλις λήξει η περίοδος ισχύος.
- Τα εξουσιοδοτημένα διαπιστευτήρια έχουν σχεδιαστεί για χρήση σε TLS 1.3 ή αργότερα. Υπάρχει μια γνωστή ευπάθεια όταν TLS Οι διακομιστές 1.2 υποστηρίζουν ανταλλαγή κλειδιών RSA, επιτρέποντας τη σφυρηλάτηση μιας υπογραφής RSA σε ένα αυθαίρετο μήνυμα.
- Οι οργανισμοί μπορούν να χρησιμοποιήσουν υπάρχοντα API αυτοματοποιημένης έκδοσης, όπως το ACME, για την παράδοση των εξουσιοδοτημένων διαπιστευτηρίων.
- Τα εξουσιοδοτημένα διαπιστευτήρια δεν μπορούν να χρησιμοποιηθούν ξανά σε πολλαπλά περιβάλλοντα.
Διαβάστε περισσότερα για το θέμα του TLS ανάθεση διαπιστευτηρίων κάνοντας κλικ σε αυτό σύνδεσμος στο πλήρες άρθρο μας.
Το SSL.com λανσάρει πλήρως το eSigner CKA
Αυτόν τον Ιανουάριο, το SSL.com κυκλοφόρησε το eSigner CKA – μια προσθήκη Microsoft Crypto Next Generation (CNG) που επιτρέπει στα εργαλεία των Windows όπως το certutil.exe και το signtool.exe να χρησιμοποιούν το eSigner CSC για λειτουργίες υπογραφής κώδικα. Υπάρχουν πέντε αναγνωρισμένα πλεονεκτήματα για τους προγραμματιστές λογισμικού και τους εκδότες όταν χρησιμοποιούν το eSigner CKA.
- Λειτουργεί σαν εικονικό διακριτικό USB – Μόνο τα ψηφιακά πιστοποιητικά που είναι αξιόπιστα από τα Windows εμφανίζονται στο Certificate Store. Επειδή το eSigner CKA είναι ένα πρόγραμμα που αναπτύχθηκε από την SSL.com (α PKI εταιρεία που αναγνωρίζεται από τα Windows ως Αρχή έκδοσης πιστοποιητικών), παρέχεται επίσης εμπιστοσύνη σε αυτήν, επειδή είναι σε θέση να φορτώσει με επιτυχία το πιστοποιητικό υπογραφής κωδικού EV στο Κατάστημα πιστοποιητικών χρήστη χωρίς προβλήματα.
- Μπορεί να χρησιμοποιηθεί απευθείας στο Windows SignTool – Η υπογραφή κωδικού EV με το eSigner CKA είναι τόσο βολική που κυριολεκτικά πρέπει απλώς να ανοίξετε το SignTool και να εισαγάγετε τη γραμμή εντολών. Εάν είστε πιο άνετοι με τη λήψη κωδικών πρόσβασης μίας χρήσης στο κινητό σας τηλέφωνο και τη χρήση μιας εφαρμογής ελέγχου ταυτότητας, μπορείτε να επιλέξετε τη μη αυτόματη λειτουργία. Εάν θέλετε να υπογράφετε κώδικα στο λογισμικό σας με ταχύτερο ρυθμό, αλλά εξακολουθείτε να λαμβάνετε το ίδιο υψηλό επίπεδο ασφάλειας και εάν θέλετε να έχετε τον έλεγχο του ιδιωτικού κλειδιού σας για την υπογραφή, μπορείτε να επιλέξετε την αυτοματοποιημένη λειτουργία.
- Απλή και καθαρή διεπαφή χρήστη – Η φιλική προς το χρήστη πλατφόρμα του eSigner CKA εξοικονομεί πολύτιμο χρόνο στις εταιρείες λογισμικού και τους επιτρέπει να επικεντρωθούν σε πραγματικές εργασίες ανάπτυξης. Εγκαταστήστε το πρόγραμμα, επιλέξτε τη λειτουργία υπογραφής, εισαγάγετε τα διαπιστευτήρια σύνδεσής σας και υπογράψτε τον κωδικό σας. Όλα αυτά τα βήματα είναι σχεδιασμένα για εσάς σε απλές οθόνες παραθύρων. Γρήγορη εγκατάσταση και ακόμα πιο γρήγορη εκτέλεση.
- No Lost Tokens – Το eSigner CKA επιλύει τον περιορισμό με τη χρήση φυσικών διακριτικών στον κώδικα υπογραφής. Με αυτό το πρόγραμμα, δεν χρειάζεστε ξεχωριστά διακριτικά USB για να εκτελέσετε με επιτυχία την υπογραφή EV Code. Το eSigner CKA είναι το ίδιο το «κουπόνι». Αφού το εγκαταστήσετε, πρέπει απλώς να λάβετε το πιστοποιητικό υπογραφής κωδικού EV από το κατάστημα πιστοποιητικών και είστε έτοιμοι να υπογράψετε. Αυτό σημαίνει ότι δεν χρειάζεται να ανησυχείτε μήπως τοποθετήσετε λανθασμένα το διακριτικό υλικού ή κλειδωθείτε επειδή ξεχάσατε τον κωδικό πρόσβασής σας και καταναλώσετε τον κωδικό πρόσβασης που απομένει.
- Υποστηρίζει την υπογραφή κωδικού EV σε περιβάλλοντα CI/CD – το eSigner CKA μπορεί να χρησιμοποιηθεί από απόσταση σε οποιοδήποτε μέρος και οποιαδήποτε στιγμή. Αυτό το πρόγραμμα ενισχύει την ασφάλεια του αγωγού DevOps διασφαλίζοντας ότι τα στοιχεία λογισμικού που μοιράζονται οι μηχανικοί, οι οποίοι εργάζονται σε διαφορετικά χρονοδιαγράμματα και τοποθεσίες, ελέγχονται με πιστοποιητικό SSL.com EV Code Signing. Ως εκ τούτου, οι χάκερ δεν μπορούν να διακινδυνεύσουν τη διαδικασία κατασκευής του λογισμικού σας, επειδή ένα κακόβουλο αρχείο που επιχειρούν να εισάγουν θα αναγνωριστεί ότι δεν έχει υπογραφεί με ασφάλεια.
Κατεβάστε το eSigner CKA κάνοντας κλικ εδώ: eSigner CKA (προσαρμογέας κλειδιού Cloud)
Αποκτήστε τα πιστοποιητικά υπογραφής κωδικού EV SSL.com εδώ.
Και κάντε κλικ σε αυτό καθοδηγήσει σχετικά με τον τρόπο εγκατάστασης και χρήσης του eSigner CKA.
