Выпуск 5 | август 2026 г.
Этот месяцЛео Гроув, президент и генеральный директор SSL, объясняет, почему мы отказываемся от доверия и как это помогает новаторам преодолевать барьеры.
Дополнительная Что такое вишинг? Также рассмотрим последствия кибератак, от крупных корпораций до гораздо более близких к нам объектов: кухонного крана.
От Лео Гроува, президента и генерального директора SSL.
За эти годы я видел достаточно случаев, когда стандарты безопасности заходили в тупик, чтобы понять причину: зачастую доступ к ним слишком дорог для всех, кроме крупнейших игроков.
Поскольку требования C2PA постоянно повышаются, SSL теперь предлагает бесплатные сертификаты подписи утверждений уровня 1, содержащие 10 000 доверенных меток времени для соответствующих продуктов.
In моя новая запись в блогеВ этой статье я подробно расскажу, почему мы это делаем и что, на мой взгляд, это означает для будущего стандарта.
Если вы работаете в сфере отслеживания происхождения контента или смежных областях, мне было бы интересно узнать ваше мнение, особенно если вы разрабатываете продукт, соответствующий стандарту C2PA.
Последние новости: последние события в сфере цифрового доверия
Американские компании сталкиваются с растущей волной кибератак. – Растущий список крупных американских компаний, включая Nike, West Pharmaceutical Services и Carnival, сообщил о кибератаках в этом году, в результате которых были украдены данные, раскрыты данные клиентов и нарушена работа предприятий. Узнайте, кто есть в этом списке, и не попали ли ваши данные уже в него. Полная история
Крупнейшие фонды Уолл-стрит пострадали от фишинговых атак. – Недавно хакеры развернули волну изощренных атак на крупные компании по управлению активами, включая Point72, Millennium, Citadel и Two Sigma, используя фишинг с помощью искусственного интеллекта (также называемый «вишингом»), чтобы обманом заставить сотрудников предоставить доступ. Узнайте, как реагируют хедж-фонды, управляющие триллионами, и что это говорит о том, как ИИ меняет тактику злоумышленников. Полная история
Взлом систем водоснабжения выявил многолетние игнорированные предупреждения. – Федеральные и региональные чиновники спешат устранить масштабную атаку на национальную систему водоснабжения, которая, по их мнению, вероятно, является делом рук иранских хакеров, после многолетних попыток усилить киберзащиту в этом секторе. Узнайте, насколько глубока эта уязвимость и что она раскрывает об инфраструктуре, защищающей вашу водопроводную воду. Полная история
В центре внимания отрасли: Практические решения для реальных задач
Когда ваш сервер видеоконференцсвязи превращается в систему доставки вредоносного ПО
Злоумышленник, известный под ником Head Mare, использует уязвимости безопасности в незащищенных серверах TrueConf для замены собственных установщиков платформы. Угроза использует зараженные версии, которые внедряют бэкдор PhantomCore и троян удаленного доступа в системы любого, кто их скачивает. Атака не основана на обмане пользователей с целью заставить их перейти по подозрительной ссылке или открыть вредоносное вложение. Она использует механизм обновления, которому они уже доверяют.
Цепочка уязвимостей позволяет злоумышленникам выполнять произвольный код с правами уровня SYSTEM на сервере, после чего они устанавливают веб-оболочку для постоянного доступа и заменяют легитимную версию клиента TrueConf зараженной версией. С этого момента каждый сотрудник, который загружает то, что он считает официальным клиентом видеоконференцсвязи своей организации, устанавливает вредоносное ПО.
Влияние на бизнесКомпания Kaspersky обнаружила атаки в июле 2026 года, направленные на организации в секторах приборостроения, электроники, транспорта, энергетики, ИТ и разработки программного обеспечения. После установки PhantomCore предоставляет злоумышленникам постоянный удаленный доступ, возможность сбора учетных данных и плацдарм для перемещения по сети. Атаку особенно сложно обнаружить, поскольку механизм доставки — это доверенный внутренний сервер, а не внешний злоумышленник, распространяющий нежелательные файлы. К моменту обнаружения взлома злоумышленник может находиться в сети в течение нескольких недель.
Что могло бы этому помешать: Сам установщик TrueConf имел легитимную цифровую подпись. Атака работала на другом уровне, заменяя работающее программное обеспечение после установки, используя уязвимость в самой службе. Выявление подобных подмен требует применения мер контроля приложений. Такие инструменты, как AppLocker и Windows Defender Application Control, можно настроить на проверку подписи каждого исполняемого файла перед его запуском, не только во время установки, но и во время выполнения. Замененный или измененный исполняемый файл, не имеющий действительной, доверенной подписи, блокируется до запуска. Для того чтобы эта политика работала, легитимное программное обеспечение должно быть должным образом подписано. Сертификаты подписи кода SSL обеспечивают криптографическую основу, которую обеспечивают политики контроля приложений. Без подписанных бинарных файлов отсутствует базовый уровень доверия, на котором могли бы работать эти инструменты.
Более широкий урокЦелостность цепочки поставок, включая целостность программного обеспечения, распространяемого организациями внутри компании, все чаще становится основной уязвимой зоной для атак. Устранение уязвимостей серверов остается важным, но само по себе этого недостаточно. Организации, которые криптографически подписывают свое программное обеспечениеи настроить свои конечные точки для принудительного использования этих подписей, добавив уровень защиты, который сохраняется даже при компрометации инфраструктуры доставки.
Источник:
https://thehackernews.com/2026/08/head-mare-exploits-trueconf-flaws-to.html
Прошедшие и предстоящие мероприятия: конференции, совещания по стандартам и многое другое.
Пропустили наш последний вебинар? Не беда! Теперь вы можете это сделать. Посмотреть повтор можно в записи.
Мероприятие «За пределами спецификации: построение реального доверия в C2PA» провели Доминик Гинар, директор по продуктам SSL в области аутентификации контента и IoT, и Тони Родригес, технический директор Digimarc.
Этот вебинар рассматривает, что требуется для обеспечения доверия на уровне, пригодном для производственной среды; как сделать учетные данные контента более надежными, долговечными и совместимыми на практике; а также точки зрения специалистов, работающих с C2PA в настоящее время. Смотрите:.
Статья 50 Закона ЕС об искусственном интеллекте
Снова в действии 2 августа 2026В соответствии с новым законодательством, любая организация, которая разрабатывает или внедряет системы генеративного искусственного интеллекта, доступные людям в ЕС, обязана раскрывать информацию о том, что контент создан с помощью ИИ. Подробнее о данном регламенте можно узнать здесь. здесь.
Закон Калифорнии о прозрачности в сфере ИИ (SB 942 / AB 853)
Закон Калифорнии также вступил в силу 2 августа 2026 года. А.Б. 853 Первоначальная дата вступления в силу — январь 2026 года — была перенесена специально для того, чтобы соответствовать срокам ЕС. Крупные поставщики генеративного ИИ, работающие в Калифорнии, должны внедрять данные о происхождении, предлагать бесплатный инструмент обнаружения и обеспечивать машинное обнаружение результатов работы своих систем, созданных с помощью ИИ. Законопроект AB 853 напрямую ссылается на такие стандарты, как C2PA, для выполнения требования о происхождении. Ознакомьтесь со всеми подробностями. Актуальные сроки принятия решений по регулированию ИИ можно посмотреть здесь..
Быстрые ссылки: Руководства, статьи и отраслевые ресурсы
- Проверка подлинности сертификатов SSL.com: полное руководство — Узнайте, как пройти проверку подлинности SSL, включая список принимаемых документов, удостоверяющих личность, советы по использованию видеопроверки в реальном времени и шаги по исправлению неудачной отправки.
- Проверка записей DNS CNAME для SSL/TLS Сертификаты — Узнайте, как проверить право собственности на домен с помощью проверки CNAME DNS для SSL/TLS Сертификаты предоставлены GoDaddy, Namecheap, Amazon Route 53 и Cloudflare.
- Начало работы с сертификатом для подписи кода: установка, настройка и первая операция подписи. — Узнайте, как установить, настроить и использовать сертификат SSL.com для подписи кода, чтобы безопасно подписывать программное обеспечение и проверять подлинность вашего приложения.
- Что такое протокол ACME? — Узнайте о протоколе ACME, автоматизированном методе управления SSL/TLS Жизненный цикл сертификатов. Узнайте, как это упрощает выдачу и продление сертификатов, а также повышает безопасность веб-сайтов за счет стандартизированной автоматизации.
У вас есть вопросы по любой из этих тем или вы хотите обсудить ваши решения в области цифрового доверия с нашими экспертами? Свяжитесь с нами, используя форму ниже: