Microsoft устранит уязвимость в Windows XP, связанную с генератором случайных чисел

Корпорация Microsoft признала существование ошибки в механизме шифрования информации, реализованном в операционных системах Windows 2000 и Windows XP, но заявила о том, что серьезной угрозы для безопасности ПК та не представляет. Эксперты, обнаружившие уязвимость, не согласны с софтверным гигантом.

Ошибка, о которой идет речь, была выявлена командой ученых из университета Хайфы (Израиль) под руководством Бенни Пинкаса (Benny Pinkas). В ходе анализа кода генератора случайных чисел (CryptGenRandom) в операционной системе Windows 2000, выяснилось, что он не совсем корректен. Как следствие, злоумышленник при желании может не только просчитать, какие шифровальные ключи будут создаваться системой, но и выяснить, какие ключи генерировались ею в прошлом.

Представители Microsoft после долгих споров все же подтвердили существование уязвимости, но отметили, что новейшие операционные системы от атак на ее основе надежно защищены: в Windows Vista, Windows Server 2003 и готовящейся к выходу Windows Server 2008 применяется модифицированный генератор случайных чисел.

Корпорация Microsoft также сообщила, что данная проблема будет устранена в третьем сервисном пакете обновлений и дополнений к операционной системе Windows XP. Напомним, что выпуск Windows XP SP3 запланирован ориентировочно на первую половину 2008 года.

Не совсем понятна, впрочем, ситуация с Windows 2000. Сейчас эта ОС, по оценкам агентства Forrester Research, установлена примерно на 9% парка компьютеров предприятий в США и Европе. В настоящий момент Microsoft предлагает владельцам лицензий на Windows 2000 так называемую "расширенную поддержку", в рамках которой бесплатно предоставляются только обновления безопасности.

В то же время Microsoft проблему в генераторе случайных чисел проблемой именно безопасности считать отказывается. Представители корпорации подчеркивают, что использовать данную уязвимость можно лишь после получения доступа к ОС с правами администратора. А если такой доступ получен, об угрозе безопасности как таковой говорить уже не приходится.