Специалист по информационной безопасности Мэтт Берч выявил 9 уязвимостей в программе CryptoPro Secure Disk, которая используется для шифрования дисков и проверки подлинности до загрузки системы. По его данным, недостатки могли позволить обойти механизмы контроля целостности и получить полный доступ к зашифрованным устройствам. Исследователь представил результаты на конференциях Black Hat и Defcon в Лас-Вегасе.
Продукт CryptoPro Secure Disk разработан немецкой компанией CryptWare и применяется в том числе производителями банкоматов. Программное обеспечение используется в отдельных устройствах, включая комплекс Vynamic Security Suite компании Diebold Nixdorf, а также предлагается производителям встроенной техники и организациям, работающим с Microsoft Windows. О результатах исследования сообщил WIRED.
Управляющий директор CryptWare Уве Зааме заявил, что все 9 обнаруженных ошибок были устранены в 2 этапа. Обновления вошли в версии CryptoPro 7.7.2, выпущенную в начале ноября, и 7.7.3, вышедшую в начале декабря. Берч подтвердил, что исправления закрывают найденные им уязвимости, и отметил оперативное взаимодействие компании в ходе раскрытия информации.
В Diebold Nixdorf сообщили, что к их системе Vynamic Security Hard Disk Encryption относятся только 2 из 9 уязвимостей. Исправления для них были выпущены в декабре. Представитель компании Майкл Якобсен подчеркнул, что эти недостатки сами по себе не позволяли скомпрометировать банкомат Diebold Nixdorf.
Исследователь обратил внимание на сложности с устранением ошибок в цепочке поставок программного обеспечения. После выпуска обновления разработчиком компании, использующие продукт в собственных решениях, должны подготовить свои исправления, а затем установить их у клиентов. Этот процесс особенно затруднен для банкоматов и других устройств, которые уже работают на местах и не всегда могут быть остановлены для обновления.
По словам Берча, развитие систем искусственного интеллекта упрощает поиск уязвимостей даже для тех, кто не обладает глубокими знаниями конкретного программного продукта. Он считает, что это повышает важность проверки специализированных средств защиты. В Diebold Nixdorf заявили, что оценивают влияние каждой выявленной проблемы, определяют затронутые конфигурации и доводят обновления до клиентов через стандартные каналы распространения программного обеспечения.