Pull to refresh

Защищенный от взлома смартфон Purism Librem 5 на Debian Linux появится уже в этом году

Information Security *Computer hardware Smartphones


О смартфоне Purism Librem 5, который защищен от большинства методов взлома, говорят уже давно. В этом году его можно будет купить. Он работает на Linux OS, что дает владельцу достаточно надежную защиту. Кроме того, производители оснастили девайс тремя аппаратными кнопками, при помощи которых можно отключать многие функции устройства.

По словам разработчиков, этот смартфон исключает возможность установить за владельцем слежку. Правда, при условии, что тот примет определенные меры для этого. Операционная система мобильного устройства — доработанный Debian Linux с GNOME Shell. Последнюю также модифицировали в соответствии с нуждами мобильных пользователей.
Читать дальше →
Total votes 13: ↑13 and ↓0 +13
Views 12K
Comments 23

В оборудовании Cisco обнаружена критическая уязвимость на 10 из 10 баллов по шкале CVSS

ITSumma corporate blog Information Security *Network hardware


В роутерах Cisco серий 4000, ASR 1000 и 1000V обнаружена критическая уязвимость
(CVE-2019-12643), которую оценили на 10 из 10 возможных баллов по шкале угроз CVSS (обычно угрозы уровня Critical получают 7,5-9,1 баллов, редко — 9,8). Соответствующая информация размещена на официальном сайте производителя оборудования.

Уязвимость в контейнере виртуальных сервисов API Cisco REST для ПО Cisco IOS XE позволяет удаленному злоумышленнику обойти аутентификацию на управляемом устройстве без прохождения проверки подлинности.

Инженеры Cisco рекомендуют срочно установить патч на все роутеры под управлением IOS XE, например, с помощью специального инструмента Cisco IOS Software Checker.
Читать дальше →
Total votes 26: ↑26 and ↓0 +26
Views 14K
Comments 7

Исследование DeviceLock: 30% объема банковских утечек произошли с участием IT-специалистов

Information Security *Legislation in IT

Источник: РИА Новости/Алексей Мальгавко

Согласно результатам исследования, проведенного DeviceLock, в 2019 году участились случаи утечек важной информации с участием IT-специалистов. В количественном соотношении доля таких утечек составляет всего 2%, но вот если считать по объему похищенной информации, то цифра вырастает до 25-30%. Другими словами, утечки, которые спровоцированы IT-специалистами, гораздо объемнее, чем любые другие.

Выяснение того, причастны ли сотрудники IT-отделов, проводилось простыми методами — эксперты проверяли, есть ли в слитых таблицах служебные поля, плюс проверялось и наличие полной резервной копии с большим количеством строк. Что касается остальных утечек — они происходят из-за сотрудников других подразделений банков и компании. Это может быть бэк-офис или клиентская поддержка.
Читать дальше →
Total votes 7: ↑7 and ↓0 +7
Views 1.8K
Comments 2

Крупнейшая коллекция паролей: в сеть выложили файл с 8,4 млрд элементов

Selectel corporate blog Information Security *Research and forecasts in IT *

На днях в сети появился файл объемом в 100 ГБ с 8,4 млрд паролей внутри (8 459 060 239 уникальных записей). Эксперты предполагают, что эти пароли — компиляция предыдущих утечек. Логинов в файле нет, только пароли размером от 6 до 20 символов. Огромное их количество — сложные пароли со спецсимволами. Все они содержатся в одном файле с названием RockYou2021.txt.

Выложил этот файл пользователь с одноименным ником — RockYou2021. Скорее всего, этот ник является отсылкой к утечке 2009 года, которая называлась Rock You. Но та утечка была в разы меньше — в файле, выложенном в 2009 году, содержалось всего 32 млн строк.
Total votes 44: ↑42 and ↓2 +40
Views 27K
Comments 86

Число DDoS-атак на российские организации выросло в восемь раз

Information Security *IT Infrastructure *IT-companies

Исследование «Лаборатории Касперского» показывает, что число DDoS-атак на российские компании в марте выросло в восемь раз. При этом их средняя длительность увеличилась с 12 минут до 29 часов. 

Читать далее
Total votes 5: ↑5 and ↓0 +5
Views 1.8K
Comments 2

InfoWatch: в 2021 году в мире произошло меньше утечек личных данных

Information Security *Research and forecasts in IT *Statistics in IT

Специалисты по кибербезопасности InfoWatch заявили, что в 2021 году они зафиксировали меньше утечек конфиденциальных данных, чем за год до этого.

Читать далее
Total votes 2: ↑2 and ↓0 +2
Views 543
Comments 0

Исследование: половина российских компаний защищают себя только антивирусами

Information Security *Antivirus protection *Research and forecasts in IT *

Эксперты по кибербезопасности SearchInform выяснили, что менее половины компаний в России внедряют в свою работу серьезные средства защиты от кибератак, а большинство используют только антивирусы. 

Читать далее
Total votes 6: ↑6 and ↓0 +6
Views 1.3K
Comments 3

Palo Alto Unit 42: 99% облачных ресурсов дают чрезмерные разрешения

Information Security *Research and forecasts in IT *Cloud services *

Исследователи Palo Alto Unit 42 проанализировали работу облачных сервисов и пришли к выводу, что они предоставляют чрезмерные разрешения. По словам экспертов, неправильно настроенное управление идентификацией и доступом (IAM) повышает риски компрометации облачной инфраструктуры и учетных данных.

Читать далее
Total votes 2: ↑2 and ↓0 +2
Views 580
Comments 0

Роскомнадзор создаст национальную систему защиты от DDoS-атак на базе DPI

Information Security *Network technologies *Legislation in IT Network hardware

Роскомнадзор решил создать национальную систему защиты российских ресурсов от DDoS-атак из-за рубежа, которая будет базироваться на оборудовании для глубокой фильтрации трафика (Deep Packet Inspection, DPI). В настоящее время операторы используют его для исполнения закона о суверенном интернете. 

Читать далее
Total votes 4: ↑4 and ↓0 +4
Views 3.9K
Comments 5

Эксперты предсказали дефицит специалистов кибербеза в России

Information Security *Personnel Management *Legislation in IT IT career

Представитель сервиса поиска работы HeadHunter Виталий Терентьев подсчитал, что для выполнения требований президентского указа о дополнительных мерах по обеспечению инфобезопасности стране может потребоваться ещё 30 тысяч высококвалифицированных специалистов из области кибербеза. По его мнению, это усилит дефицит кадров в данной области. 

Читать далее
Total votes 2: ↑2 and ↓0 +2
Views 1.8K
Comments 3

Сканер ВС — это не просто еще один дистрибутив linux

*nix *
А что же это тогда, спросите вы. Это дистрибутив linux, который является сертифицированным ФСТЭК средством аналаза защищенности автоматизированных систем, не содержащих государственную тайну. Звучит достаточно солидно, получить сертификат ФСТЭК весьма непросто.
Производит сие чудо инженерной мысли некое НПО Эшелон (осторожно, суровый web 0.9 и анимированная гифка). Если отбросить шутки в сторону компания достаточно известна как разработчик аппаратных средств защиты информации (Защита от ПЭМИН и всякое такое) Теперь заходим на сайт самого сканера. Как только мы налюбуемся на левую треть экрана и посетуем, что не все желаемые темы раскрыты (утонченные особы ещё могут получить удовольствие, посмотрев код, показывающий картинки в исходниках страницы) можно переходить к делу.
и что?
Total votes 49: ↑43 and ↓6 +37
Views 17K
Comments 62

NeoQUEST-2014: регистрация объявляется открытой

НеоБИТ corporate blog Information Security *CTF *

Привет, Хабр! Наверняка, яркая и динамичная Олимпиада, проходящая в Сочи, зажгла во многих из вас дух соревнования, жажду победы и желание как-то проявить себя. Мы предлагаем «компьютерный» вариант, а именно — очередной этап ежегодного хакерского соревнования NeoQUEST-2014! Уже 24 февраля стартует онлайн-тур NeoQUEST-2014, а регистрация на него открыта здесь.

Как и в прошлом году, лучшие участники онлайн-тура пройдут в очный тур, победа в котором принесет лучшему из лучших поездку на одну из международных хакерских конференций, по выбору участника! Победитель NeoQUEST прошлого года, AVictor, выбравший поездку в Амстердам на конференцию RSA, прекрасно провел там время и, к счастью, не испытал на себе всю «прелесть» урагана «Святого Иуды», возвратившись живым, здоровым и довольным!

О том, что ждет участников NeoQUEST-2014 – под катом!
Читать дальше →
Total votes 11: ↑10 and ↓1 +9
Views 4.9K
Comments 8

Как я участвовал в bug bounty от Xiaomi и что мне за это было

Information Security *IT systems testing *Mobile applications testing *
— У нас дыра в безопасности.
— Ну, хоть что-то у нас в безопасности.


— Айфоны, вон, каждый год ломают, и ничего.

Я нашел эту ошибку случайно. Уверен, что ни один тестировщик и не подумал бы пойти таким путем — это настолько не очевидно, дико и непредсказуемо, что только случайность помогла мне поучаствовать в bug bounty от Xiaomi. В этом посте расскажу о том, как мне это удалось, что за это было и почему китайские сервисы — зло.

Читать дальше →
Total votes 77: ↑76 and ↓1 +75
Views 37K
Comments 60

Умную автомойку можно превратить в ловушку для автомобиля и пассажира

Car Gadgets

Заехать на мойку легко, но злоумышленники могут сильно осложнить выезд

Технологии продолжают развиваться, мобильные устройства, бытовая техника и промышленные системы становятся все «умнее». Управлять многими такими системами можно удаленно, равно, как и получать важную информацию об их состоянии в режиме реального времени. Все это очень удобно, но одновременно, и опасно. Специалисты по инфобезу достаточно давно обсуждают вопрос о необходимости надежной защиты для систем и устройств, которые предполагают возможность удаленного управления.

И речь не о компьютерах или умных холодильниках, из которых формируют ботнеты. Злоумышленники, при должном умении, могут взламывать и другие объекты, о которых сразу и не скажешь, что ими можно управлять удаленно. Какие это объекты? Ну например, автомойки. На днях группа специалистов по информационной безопасности показала возможность взлома автомойки с превращением ее в ловушку для водителя и пассажиров машины.
Total votes 12: ↑10 and ↓2 +8
Views 8.9K
Comments 3

Оператор ботнета Mirai получил условный срок

Software


В феврале этого года в британском аэропорту был арестован человек, которого подозревали в осуществлении большого количества мощнейших DDoS-атак на сети многих организаций. В числе пострадавших — французский хостинг-провайдер OVH и компания Dyn, которая обеспечивает работу сетевой инфраструктуры таких компаний и сервисов, как Twitter, Amazon, Tumblr, Reddit, Spotify и Netflix. Также ботнет атаковал оборудование и сервисы Deutsche Telekom, Eircom, TalkTalk, UK Postal Office и KCOM.

Вину задержанного пытались доказать в течение нескольких месяцев. Полиция понемногу разматывала клубок, получала новую информацию и в конце концов, получила признание самого арестованного. В феврале его имя не сообщалось, но сейчас стало известно, что его зовут Дэниел Кайе. Ему 29 лет, он гражданин Великобритании. Как уже сообщалось, именно он управлял модифицированной версией Mirai, которая была способна атаковать роутеры через 7547-й порт, работая для этого с протоколами TR-064 и TR-069.
Читать дальше →
Total votes 13: ↑13 and ↓0 +13
Views 10K
Comments 13

«Жучок» в запчасти для смартфона — еще одна возможность для шпиона

Smartphones Software


Пользователи мобильных телефонов, которые доверились сервисным центрам, где ремонтируют устройства, могут стать жертвами кибершпионажа. Пока что это лишь теоретическая возможность, показанная специалистами по информационной безопасности, но в этом случае теория без труда может стать практикой, если еще не стала. О пользователях мобильных устройств, которые после ремонта обнаружили в своих телефонах «жучков», особо ничего не слышно. Возможно, причина только в том, что такие модули хорошо спрятаны.

Отчет о проделанной работе, опубликованный группой хакеров, может стать причиной легкой (или не очень) паранойи у многих владельцев мобильных устройств. Но удивляться возможности прослушки не приходится — сделать это не так и тяжело. Причем жертвами кибершпионажа могут стать как пользователи Android телефонов, так и владельцы iOS девайсов.
Total votes 17: ↑15 and ↓2 +13
Views 33K
Comments 91

Сервис Google Duplex пугает своей красивой и правильной речью, есть недовольные

Artificial Intelligence The future is here


Несколько дней назад корпорация Google представила сразу несколько новинок, которые взбудоражили как представителей телекоммуникационной сферы, так и обычных людей. Одна из них — сервис Google Duplex, это слабая форма ИИ, способная позвонить вместо своего пользователя в парикмахерскую и записать человека на определенное время.

Duplex можно считать своего рода цифровым ассистентом человека, причем гораздо более «человечным» чем те же Siri или Cortana. Обычные диалоги ассистент вести не может, работа его касается лишь назначения времени встречи или приема. Но «речь» виртуального помощника звучит очень реалистично. Вряд ли кто-либо из нас смог бы отличить ее от речи обычного человека. И как раз эта схожесть напугала некоторых специалистов по информационной безопасности.
Total votes 43: ↑42 and ↓1 +41
Views 67K
Comments 207

Как мы закрываем уязвимости в ОС Astra Linux Special Edition

Astra Linux corporate blog Information Security *Development for Linux *Software
Операционных систем без уязвимостей не бывает — вопрос лишь в том, как эффективно разработчики их выявляют и закрывают. Наша ОС Astra Linux Special Edition здесь не исключение: мы постоянно проверяем и тестируем код на ошибки, нарушения логики, прочие баги и оперативно их устраняем. Иначе бы ФСТЭК России вряд ли сертифицировала Astra Linux на обработку данных, составляющих гостайну. Но о сертификации мы поговорим подробней в другом посте. А в этом расскажем о том, как организована работа над уязвимостями Astra Linux и взаимодействие с отечественным банком данных угроз безопасности информации.


Фото: Leonhard Foeger/Reuters
Читать дальше →
Total votes 39: ↑31 and ↓8 +23
Views 24K
Comments 96

Прохождение лабораторной машины для пентеста «Hackthebox — Friendzone»

Information Security *
Sandbox
Привет, Хабр! В этой статье хочу вам рассказать про свой опыт прохождения лаборатории Friendzone на портале hackthebox. Для тех, кто не слышал, что такое hackthebox — это портал, на котором вы можете проверить свои умения пентеста на практике, имеются CTF таски и собственно лабораторные машины, о прохождении одной из которых и пойдет речь в этой статье.
Читать дальше →
Total votes 9: ↑8 and ↓1 +7
Views 9K
Comments 0
Часто в комментариях на Хабре приходится встречать высказывания, что российские банки не умеют хранить персональные данные, да и вообще не очень-то расположены защищать клиента, например, при покупках через интернет. На самом деле система безопасности банков продумана лучше, чем может показаться. На примере Газпромбанка разбираемся в деталях защиты данных клиентов.
Подробности — под катом
Total votes 33: ↑23 and ↓10 +13
Views 22K
Comments 26