Мир за неделю: Запад готовит меры защиты в ожидании квантовой революции

Британский Закон о безопасности в Интернете начнет карать за вредный контент,  компания Cloudflare внедряет защиту на основе постквантовой криптографии, исследователь киберугроз успешно обманул популярные инструменты генеративного ИИ, Европол предупредил о гибридных киберугрозах со стороны противников ЕС, известный физик Брайан Кокс выступит с докладом о квантовом прорыве, а власти Соединенного Королевства дают компаниям десять лет для перехода на постквант

Закон Великобритании о безопасности в Интернете: Ofcom теперь может вводить санкции

Технологические платформы, работающие в Великобритании, теперь могут быть наказаны за неудаление незаконного контента. Закон о безопасности в Интернете, принятый в октябре 2023 года, требует от социальных сетей, поисковых систем, приложений для обмена сообщениями, игр и знакомств, а также порнографических и файлообменных сайтов удалять любые материалы, которые считаются противоправными, со своих платформ.

Это включает в себя террор, ненависть, мошенничество, сексуальное насилие над детьми и любой контент, способствующий или поощряющий самоубийство. Когда был принят закон, затронутым им компаниям был предоставлен льготный период. Они должны были до 16 марта 2025 года завершить оценку риска появления незаконных материалов на своих площадках. Ofcom, регулятор коммуникаций Великобритании, с 17 марта имеет право налагать санкции на любую организацию, которая не соблюдает указанные правила.

Штрафы могут достигать 18 млн фунтов стерлингов (23,4 млн долларов США) или 10% от мирового дохода компании, в зависимости от того, что больше. В самых серьезных случаях регулятор может обратиться в суд с просьбой заблокировать доступ к сайту-нарушителю в Великобритании.

Соблюдение Закона о безопасности в Интернете не должно быть просто упражнением для галочки, утверждает Марк Джонс, партнер британской юридической фирмы Payne Hicks Beach. По его словам, проведения оценки рисков недостаточно — технологическим компаниям необходимо определить, как они будут бороться с противоправным вредом (illegal harms), и активно искать и удалять такой контент.

Другой эксперт, Джейсон Сороко из Sectigo, опасается, что законодательство может непреднамеренно навредить платформам, подавить инновации и усилить цензуру в Интернете. Платформы, особенно небольшие или независимые операторы, могут столкнуться с расходами на проверку, что может вытеснить их с рынка в нерегулируемые пространства. Отсутствие ясности в отношении «вредного контента» еще больше усложняет соблюдение положений закона.

По мнению Ионы Сильверман, партнера юридической фирмы Freeths, Закон о безопасности в Интернете имеет значительный потенциал для борьбы с вредоносным онлайн-контентом и не направлен на цензурирование дебатов. Для усиления эффективности Ofcom необходимо будет гарантировать, что поставщики услуг, особенно самые крупные, возьмут на себя конкретные обязательства по удалению такого рода материалов.

Сильверман отметила, что некоторые из крупнейших ресурсов в последнее время демонстрируют тенденции к несоблюдению Закона. Она сослалась на решение Meta прекратить в январе свою стороннюю программу проверки фактов, выбрав вместо этого модель, управляемую сообществом. Кроме того, Марк Цукерберг открыто признал, что изменения в системе фильтрации контента Meta, скорее всего, приведут к тому, что платформа не сможет обнаруживать и удалять вредоносный контент.

Cloudflare представляет постквантовую криптографическую защиту

Американская компания Cloudflare сделала значительный шаг к защите онлайн-коммуникаций от будущих квантовых угроз, внедрив защиту на основе постквантовой криптографии (PQC) в свою платформу Zero Trust. Это позволяет организациям защищать свой корпоративный сетевой трафик от потенциальных атак с использованием квантовых вычислений без индивидуальной модернизации каждого приложения или системы.

Cloudflare активно работает над постквантовой безопасностью с 2017 года. Этот шаг согласуется с усилиями Национального института стандартов и технологий (NIST) по отказу от традиционных криптографических алгоритмов. В ноябре 2024 года NIST объявил о поэтапном подходе к отказу от RSA (криптографический алгоритм с открытым ключом) и эллиптической криптографии (ECC), при этом полное прекращение поддержки запланировано на 2035 год. Однако Cloudflare опережает этот график, чтобы гарантировать своим клиентам защиту задолго до прорывов в области квантовых вычислений.

В настоящее время более 35% HTTPS-трафика, не относящегося к ботам и проходящего через Cloudflare, уже защищено с помощью PQC. Компания также объявила, что организации теперь могут использовать ее платформу Zero Trust для сквозного шифрования корпоративного сетевого трафика с помощью постквантовой криптографии. Это обновление устраняет необходимость для предприятий вручную перестраивать свои внутренние приложения, предлагая немедленную защиту от квантовых угроз.

Для защиты PQC на платформе Zero Trust от Cloudflare были описаны три основных варианта использования:

1. Бесклиентский доступ: решение Zero Trust Network Access (ZTNA) от Cloudflare теперь защищает каждый HTTPS-запрос к корпоративным приложениям с помощью PQC, гарантируя квантово-устойчивые соединения из веб-браузеров.

2. Клиент устройства WARP: к середине 2025 года клиент WARP будет шифровать весь трафик — независимо от протокола — через соединение, защищенное PQC. Это обеспечит безопасность корпоративных устройств и частную маршрутизацию в глобальной сети Cloudflare.

3. Secure Web Gateway (SWG): трафик TLS, проходящий через Cloudflare Gateway, теперь шифруется с помощью PQC, блокируя угрозы и сохраняя соответствие стандартам квантово-безопасного шифрования.

Помимо HTTPS Cloudflare также уделяет первостепенное внимание безопасности для замен VPN и других критически важных сетевых функций. Сообщается, что компания работает с банками, интернет-провайдерами и правительствами над внедрением решений PQC, предотвращая атаки «собирай сейчас, расшифруй позже», когда злоумышленники собирают зашифрованные данные для расшифровки после того, как квантовая технология станет более зрелой.

Исследователь безопасности доказывает, что инструменты GenAI могут разрабатывать кражи информации из Google Chrome

Исследователь киберугроз в израильской компании Cato Networks обнаружил новую технику использования самых популярных больших языковых моделей (LLM) для кодирования вредоносного ПО, крадущего информацию. Для своего первого ежегодного отчета об угрозах Лаборатория исследований киберугроз Cato (Cato CTRL) попросила одного из своих сотрудников Виталия Симоновича провести собственную атаку с использованием джейлбрейка LLM.

Хотя у Симоновича не было опыта кодирования вредоносных программ, он успешно обманул популярные инструменты генеративного ИИ (GenAI), включая DeepSeek R1 и V3, Microsoft Copilot и OpenAI ChatGPT-4o, и разработал вредоносное ПО, которое может красть учетные данные для входа в Google Chrome версии 133.

Симонович разработал новый метод джейлбрейка с использованием повествовательной инженерии для обхода элементов управления безопасности LLM. Cato CTRL назвал этот метод Immersive World. Сначала он создал подробный вымышленный мир, где каждый инструмент GenAI играл свою роль, с четкими правилами, назначенными задачами и вызовами. В этой среде, называемой Velora, разработка вредоносного ПО считается законной деятельностью.

Симонович также настроил контролируемую тестовую среду с помощью менеджера паролей Google Chrome в Chrome версии 133 и заполнил ее поддельными учетными данными. С помощью этой повествовательной инженерии исследователь обошел элементы управления безопасностью и эффективно нормализовал ограниченные операции. В конечном итоге ему удалось убедить все четыре протестированных инструмента GenAI написать Chrome infostealers.

Хотя команда Cato CTRL заявила, что не будет раскрывать весь код, используемый для этого опыта, она поделилась фрагментами подсказок, которые использовал Симонович. Компания обратилась к DeepSeek, Microsoft и OpenAI, чтобы раскрыть свои выводы. Microsoft и OpenAI подтвердили получение информации, но никакого дальнейшего ответа предоставлено не было. DeepSeek не ответила вовсе. Кроме того, Cato Networks связалась с Google и предложила поделиться кодом Chrome infostealer, но технологический гигант отказался, решив не проверять код.

Европол предупреждает о «теневом альянсе» между государствами и преступниками

Цифровые и ИИ-технологии позволяют «гибридным» субъектам угроз из России и других стран объединяться с киберпреступниками и дестабилизировать Европу, предупредил Европол. Ведущее полицейское учреждение региона сделало заявления в своем отчете ЕС «Оценка серьезных и организованных угроз преступности» (EU-SOCTA) 2025.

Гибридные угрозы — это те, которые направлены на подрыв государств или институтов, часто через цифровые каналы, оставаясь при этом ниже порога формальной войны. Понятие может включать «саботаж критически важной инфраструктуры с помощью цифровых или физических средств, кражу информации, кампании по дезинформации, кибератаки», отмечается в документе.

Преступники обычно сотрудничают со спонсируемыми государством субъектами гибридных угроз. Они могут преследовать цели получения финансовой выгоды или укрытия в безопасных убежищах. Отчет гласит: передача определенных видов деятельности на аутсорсинг хакерским сетям позволяет этим государствам отрицать свою прямую причастность. Также это может быть экономически выгодно, поскольку данные сети уже имеют инфраструктуру и часто глобальный охват.

Европол выделил такие киберугрозы, как программы-вымогатели, кража данных, дезинформация через поддельные аккаунты в социальных сетях, операции троллей и манипулируемый новостной контент. В ведомстве убеждены, что цифровой мир стал «главным театром» для организованных преступников.

По мнению авторов отчета, ИИ будет играть все большую роль в криминальных тактиках, методах и процедурах, делая атаки еще более масштабируемыми и более сложными для обнаружения. Группы хакеров организуют гиперреалистичные атаки на основе социальной инженерии с использованием дипфейков или изменения голоса.

ИИ также может использоваться для улучшения и автоматизации криминальных процессов (поиск новых уязвимостей, сортировка украденной информации, автоматизация переговоров о выкупе) или различных форм схем онлайн-мошенничества, таким образом увеличивая масштаб атак. В будущем полностью автономный ИИ сумеет «проложить путь для полностью контролируемых ИИ преступных сетей, ознаменовав новую эру в организованной преступности», резюмировал Европол.

Брайан Кокс расскажет о роли квантовых вычислений на Infosecurity Europe 2025

Всемирно известный физик, профессор Брайан Кокс, был объявлен основным докладчиком на Infosecurity Europe 2025. Он выступит в первый день мероприятия, 3 июня, с докладом под названием «Квантовые компьютеры могут изменить все, в конечном итоге...». Кокс изложит свою уникальную точку зрения на принципы, лежащие в основе квантовых вычислений, и на то, как черные дыры и квантовая механика могут явиться ключом к будущему вычислений, включая кибербезопасность.

Брайан Кокс числится профессором физики элементарных частиц в Манчестерском университете, профессором Королевского общества по вопросам участия общественности в науке и ключевым участником эксперимента ATLAS на Большом адронном коллайдере ЦЕРНа. 

«Квантовые вычисления раздвигают границы физики, а принципы ошеломляют — попытка понять механику, лежащую в их основе, является захватывающей и сложной задачей. Существует множество теорий вокруг квантовой физики, и мы находимся на пороге прорыва, поскольку видим, как ее принципы применяются к вычислениям таким образом, что могут преобразовать цифровой мир», — отметил эксперт.

Недавние достижения в области квантовых вычислений, включая разработку компанией Microsoft первого в мире квантового чипа в феврале 2024 года, повысили вероятность того, что полностью функциональные коммерчески доступные квантовые компьютеры будут доступны уже через несколько лет, а не десятилетий. Это предоставит средства для захватывающих новых прорывов в таких областях, как здравоохранение и производство.

Однако квантовые компьютеры также поднимают важные вопросы, связанные с кибербезопасностью, в частности, способностью таких машин взламывать текущие протоколы шифрования, подвергая риску охраняемую информацию. Первые алгоритмы постквантовой криптографии (PQC) уже были опубликованы Национальным институтом стандартов и технологий США (NIST). Тем не менее большинство организаций не готово к переходу своих текущих систем.

В отчете Infosecurity Europe о тенденциях кибербезопасности за 2025 год говорится, что только 23% опрошенных специалистов по кибербезопасности считает, что их организация хорошо подготовлена и внедрила надежные меры безопасности, устойчивые к квантовым технологиям. Как пояснил директор мероприятий в Infosecurity Europe Брэд Мол-Финч, квантовые вычисления больше не являются отдаленной возможностью, это неизбежная реальность, и индустрия кибербезопасности должна быть к этому готова.

«Квантовые вычисления обещают огромный потенциал и возможности, но они также представляют фундаментальные проблемы, особенно когда речь идет о кибербезопасности. Я с нетерпением жду возможности изучить эти идеи и концепцию черных дыр в квантовом хранилище информации и то, что они означают для будущего технологий», — подытожил Брайан Кокс.

NCSC устанавливает крайний срок для перехода на постквантовую криптографию — 2035 год

Национальный центр кибербезопасности Великобритании (NCSC) призвал организации полностью перевести свои системы, услуги и продукты на постквантовую криптографию (PQC) к 2035 году. В новом руководстве изложены этапы перехода на PQC, тип шифрования, предназначенный для защиты конфиденциальной информации от будущих рисков, создаваемых квантовыми компьютерами. Поэтапный подход призван обеспечить плавный, контролируемый транзит, который снижает риск поспешного внедрения и возникающих в результате этого пробелов в безопасности.

NCSC заявил, что руководство в первую очередь нацелено на техдиров, принимающих решения, ответственных за риски в крупных организациях, операторов критически важных национальных инфраструктурных систем, включая промышленные системы управления, и компании, которые заказывают ИТ.

Центр кибербезопасности, входящий в GCHQ (правительственное управление по связи), отметил, что для многих малых и средних организаций переход на PQC станет обычным делом, поскольку поставщики услуг и технологий будут предоставлять его в рамках своих обычных обновлений. Главный технический директор NCSC Олли Уайтхаус сказал: «Квантовые вычисления должны произвести революцию в технологиях, но они также представляют значительные риски для текущих методов шифрования».

В новом руководстве для организаций установлен десятилетний период перехода на PQC, чтобы предоставить время для появления подробных стандартов, разработки экосистемы продуктов, которые их используют, и для широкого внедрения. Как известно, алгоритмы PQC были стандартизированы Национальным институтом стандартов и технологий США (NIST) в 2024 году. NCSC планирует выпустить конкретные руководства по шаблонам и конфигурациям для распространенных криптографических технологий, когда они будут готовы к использованию, и продолжит в дальнейшем их обновлять.

Ожидается, что к 2028 году крупные организации и те, кто управляет собственной ИТ-инфраструктурой, создадут первоначальный план миграции. В течение следующих двух-трех лет, к 2031 году, соответствующие компании должны завершить свои приоритетные действия по переходу для защиты наиболее важных активов. А в течение следующих четырех лет организации должны реализовать план, внедрив новые криптографические технологии, и обеспечить полную миграцию PQC в 2035 году.

Внедрение PQC необходимо до того, как мощные квантовые компьютеры станут коммерчески доступными.