Выпуск 2 | Май 2026 г.
В этом месяце: наш исполнительный вице-президент по технологиям подробно расскажет нам о C2PA (контекстной модели взаимодействия между потребителями и бизнесом), включая то, что это такое, как она работает и почему она необходима современным компаниям, работающим с потребителями, испытывающими недостаток доверия.
Кроме того: NIST усиливает защиту PCQ, потенциальные уязвимости в Windows Phone Link и то, что наша команда узнала на выставке NAB 2026.
Со стола Дастин УордSSL EVP в области технологий:
Команда SSL недавно посетила выставку NAB Show 2026 в Лас-Вегасе. Судя по беседам, которые я там провел, я заметил явный разрыв в том, как люди сейчас думают о Content Credentials, подлинности контента и его происхождении.
Я понял, насколько важно помочь людям точно понять, что... C2PA То есть, как это может принести пользу экосистеме цифрового доверия и как это защищает фирменную символику организации в целом.
Я решил взяться за перо и делюсь первой частью серии статей, посвященных всему, что связано с C2PA, и надеюсь, внесу ясность, объяснив, что это такое, почему это важно и как это работает, чтобы все, от самых стратегически мыслящих до самых технических специалистов, имели полное понимание.
Если вас интересует более подробная информация о том, что такое C2PA, ознакомьтесь с моей последней статьей. блоге.
Последние новости: последние события в сфере цифрового доверия
NIST разработал девять постквантовых алгоритмов подписи для защиты данных от квантовых атак. – Национальный институт стандартов и технологий (NIST) перевел девять постквантовых алгоритмов цифровой подписи в третий и заключительный этап процесса стандартизации, продолжая многолетнюю работу по замене существующих стандартов шифрования до того, как квантовые компьютеры станут достаточно мощными, чтобы их взломать. Полная история.
Студент взломал тайваньскую высокоскоростную железнодорожную линию с помощью программно-определяемых радиосистем. – 23-летний студент из Тайваня остановил четыре высокоскоростных поезда на 48 минут, передав ложный сигнал общей тревоги, используя уязвимость системы радиосвязи, которая 19 лет не меняла свой криптографический ключ. Полная история.
Риск выполнения кода Клода выявлен – Исследователи из Adversa AI обнаружили уязвимость под названием «TrustFall», при которой открытие вредоносного репозитория в инструментах для разработки ИИ, таких как Claude Code, может незаметно выполнить предоставленный злоумышленником код на компьютере разработчика практически без участия пользователя. Полная история.
В центре внимания – практическое применение решений для реальных задач.
Когда двухфакторная аутентификация становится проблемой: атака CloudZ на Windows Phone (ссылка)
Большинство организаций, внедряющих двухфакторную аутентификацию на основе SMS, считают, что они добавили существенный уровень безопасности. Раскрытая Cisco Talos в начале 2026 года кампания демонстрирует, как быстро это предположение может обернуться против них.
В основе операции лежат инструмент удаленного доступа под названием CloudZ и ранее не описанный плагин Pheno, которые работают вместе для сбора учетных данных и перехвата кодов аутентификации, синхронизированных с сопряженного смартфона. Атака использует не столько уязвимость Windows, сколько ее особенность. Злоупотребляя функцией Windows Phone Link, легитимной функцией синхронизации между устройствами, встроенной в Windows 10 и 11, злоумышленники могут полностью обойти двухфакторную аутентификацию, исключив этап проверки личности, который, по мнению многих пользователей, обеспечивает безопасность их учетных записей, и сделать это, не касаясь самого мобильного устройства.
Влияние на бизнес: Проникнув внутрь, злоумышленник получает учетные данные браузера, доступ к файлам, возможность записи экрана и перехвата OTP-кодов в режиме реального времени, в то время как целевая организация считает, что ее многофакторная аутентификация работает должным образом. Однако более глубокая проблема носит структурный характер: двухфакторная аутентификация на основе SMS распределяет аутентификацию по каналам, устройствам и локальным файлам, ни один из которых не контролируется полностью ни одной командой. В корпоративных средах такая фрагментация увеличивает поверхность атаки для каждого пользователя, у которого на рабочем месте активна функция Phone Link.
Что могло бы этому помешать: Решение заключается не в улучшении мониторинга SMS. Скорее, альтернативой SMS-аутентификации является аутентификация с помощью сертификатов. Для некоторых клиентов это может быть лучшим вариантом, поскольку нет сообщений OTP, которые можно перехватить, нет файлов базы данных, которые можно взломать, и нет моста Phone Link, который можно использовать для взлома. Если аутентификация происходит на уровне сертификата, скомпрометированная конечная точка Windows не принесет злоумышленнику никакой пользы. Для организаций, которым необходимо развертывать сертификаты в больших масштабах, SSL-сертификаты могут быть полезны. Частное предприятие PKI предоставляет инфраструктуру для централизованной выдачи, управления и отзыва сертификатов, не полагаясь на общедоступную инфраструктуру или ненадежную цепочку доставки SMS-сообщений, которую использовала эта атака.
Более широкий вывод: Обход многофакторной аутентификации (MFA) становится все более распространенной стратегией компрометации, поскольку все больше организаций внедряют его для более широкого круга учетных записей. Злоумышленники не взламывают MFA, а обходят ее, атакуя механизм доставки. SMS-коды OTP передаются по каналам, синхронизируются с устройствами и записываются в локальные файлы, каждый из которых является потенциальной точкой перехвата. Аутентификация на основе сертификатов полностью исключает этот канал.
Прошедшие и предстоящие мероприятия: конференции, совещания по стандартам и многое другое.
Дневник команды SSL с саммита CSC Trust Without Borders 2026
Наша команда публикует обновления и аналитические материалы непосредственно с мест проведения саммита, уделяя особое внимание цифровому доверию в трансграничном контексте, юрисдикциях и нормативно-правовых рамках. Узнайте, что они сказали и как эти важные выводы могут повлиять на будущее глобальной совместимости. Читайте далее. здесь.
Главные моменты выставки NAB 2026 года
Компания SSL приняла участие в ежегодной выставке NAB Show в Лас-Вегасе с 18 по 22 апреля 2026 года, чтобы продвинуть свою идею подлинности медиаконтента через C2PA (Continuous to a Progress – конкуренция за подлинность). Конференцию посетили более 58 000 зарегистрированных участников, которые получили доступ к более чем 530 сессиям с участием более 600 спикеров из мировой медиа- и развлекательной индустрии.
Читать Полный текст статьи о том, что узнала наша команда и почему отслеживание происхождения контента должно стать приоритетом в индустрии телевещания.
Предстоящий:
16-18 июня 2026 г. – Унификация 2026Мероприятие проходит в Остине, штат Техас. Компания SSL с гордостью выступает спонсором этого события. Альянс стандартов связиСоздано для демонстрации последних достижений в области инноваций в сфере Интернета вещей. Подписывайтесь на нас! LinkedIn Чтобы узнать о наших обновлениях, местоположении стенда, способах связи с нашей командой и многом другом.
Июнь 2026 - Предстоящий вебинар «За пределами спецификации: построение реального доверия в C2PA», который проведет Доминик Гинар, директор по продуктам SSL – аутентификация контента и IoT. Этот вебинар предназначен для тех, кто уже внедрил стандарт C2PA в свою работу и хочет глубже разобраться в том, что требуется для обеспечения доверия на производственном уровне. Мы сосредоточимся на том, как сделать учетные данные контента более надежными, долговечными и совместимыми на практике, опираясь на работу SSL.com по созданию доверенных точек (корневые сертификаты, доверенные метки времени, надежные цепочки происхождения) и на практические взгляды команд, которые сегодня внедряют C2PA.
Быстрые ссылки: Руководства, статьи и отраслевые ресурсы
- Что означает миграция корневого каталога SSL для вас? — SSL переходит на новую технологию. TLS Выдача сертификатов для корневых сертификатов 2022 года. Узнайте, что меняется, почему это важно и какие у вас есть варианты, если ClientAuth EKU затрагивает ваши системы.
- Обновление информации о соблюдении требований: 03.04.2026 Инциденты EJBCA и массовые случаи отзыва лицензий — Объяснение события аннулирования сертификата, связанного с ACME, 3 апреля 2026 года из-за отклонения от требований CABF, не повлекшего за собой последствий для безопасности и предусматривающего немедленную перевыпуск.
- Полное руководство SSL по проверке VMC: требования к товарным знакам, спецификации логотипа и руководство по настройке DNS BIMI. — Узнайте о требованиях к товарным знакам, спецификациях логотипов SVG и настройке DNS BIMI, необходимых для получения сертификата подтвержденного товарного знака (VMC) от SSL.
- Проверка подлинности сертификатов SSL.com: полное руководство — Узнайте, как пройти проверку подлинности SSL, включая список принимаемых документов, удостоверяющих личность, советы по использованию видеопроверки в реальном времени и шаги по исправлению неудачной отправки.
- Голосование CA/Browser Forum SC099: Улучшение метода записи проверки — Полный вариант бюллетеня улучшает регистрацию результатов проверки, заменяя неоднозначные требования к протоколам аудита конкретными требованиями к журналам аудита. Он требует от центров сертификации регистрировать точные используемые методы проверки в соответствии с установленными правилами. действует с 15 июля 2026 г..
У вас есть вопросы по любой из этих тем или вы хотите обсудить ваши решения в области цифрового доверия с нашими экспертами? Свяжитесь с нами, используя форму ниже:
