Pull to refresh
142
Karma
11
Rating
GlobalSign_admin @GlobalSign_admin

информационная безопасность

Зачем менять надёжный пароль? Брутфорс и энтропия

GlobalSign corporate blog Information Security *Website development *IT Standards *Mathematics *


Что такое надёжный пароль? По мере развития технологий за последние десятилетия несколько раз менялись политика, что считать таковым. Мощности для брутфорса становятся всё доступнее, в том числе в облаках, поэтому и требования к энтропии паролей повышаются — в 2022 году рекомендуется использовать спецсимволы, цифры, буквы в разных регистрах, с общей длиной минимум 11 символов.

Недавно в индустрии информационной безопасности поднялась дискуссия на тему смены паролей. В частности, появились рекомендации против периодической смены паролей. Логика в том, что пользователям сложнее учить новые пароли каждую неделю, чем запомнить один большой и сложный пароль. В 2017 году рекомендации против смены паролей опубликовала организация NIST, отвечающая за принятие стандартов парольной защиты.
Читать дальше →
Total votes 21: ↑14 and ↓7 +7
Views 8.7K
Comments 44

Съём пароля с клавиатуры ПК через 0–60 секунд по тепловому следу

GlobalSign corporate blog Information Security *Image processing *Machine learning *IOT


Современные тепловизоры подключаются к компьютеру и записывают температуру каждого пикселя в CSV. Эти данные отлично подходят для обучения нейросети. Несколько месяцев назад учёные из университета Глазго провели эксперимент и разработали реально эффективную модель ThermoSecure для распознавания нажатых клавиш по тепловому следу.

Учёные пришли к выводу, что с клавиатуры можно относительно надёжно снимать введённые пароли через 0–60 секунд после ввода символов. Давайте посмотрим, как работает система машинного зрения пошагово.
Читать дальше →
Total votes 18: ↑17 and ↓1 +16
Views 5.7K
Comments 16

Хронология атак на промышленные предприятия. Контрмеры

GlobalSign corporate blog Information Security *Manufacture and development of electronics *Software IOT


Все слышали про ransomware — «программы-вымогатели», которые проникают компьютерную сеть компании и шифруют файлы. Затем злоумышленники предлагают купить ключ расшифровки.

Жертвами атак становятся и госучреждения, и коммерческие компании. Например, недавно пострадал военный IT-подрядчик NJVC, который разрабатывает специализированный софт для кибербезопасности. Хотя в том случае вымогатели, вероятно, получили ответную атаку, поскольку очень быстро отказались от претензий.

Однако госучреждения и IT-компании — не главная мишень.
Читать дальше →
Total votes 4: ↑3 and ↓1 +2
Views 2.9K
Comments 1

Перспективы IT — разный взгляд на будущие тренды

GlobalSign corporate blog Information Security *Programming *Software The future is here


Что нас ждёт в будущем? Куда мы движемся, и насколько светлое это будет время? Такие вопросы актуальны в любой момент развития человеческой цивилизации, в том числе и сейчас. Хотя люди больше хотят верить хорошим прогнозам, чем плохим, но важно смоделировать все варианты.

В недавней редакционной статье технологический совет журнала Forbes обсудил несколько технологий и трендов, которые могут сильно повлиять на индустрию разработки ПО в ближайшие годы.

Некоторые прогнозы кажутся логичными, но есть и спорные.
Читать дальше →
Total votes 5: ↑3 and ↓2 +1
Views 6.4K
Comments 14

Видеосъёмка из браузера. HTML-код, который включает камеру на смартфоне

GlobalSign corporate blog Information Security *Website development *Image processing *Browsers


Современные стандарты HTML и JavaScript дают разработчикам мощные инструменты для работы со смартфоном через браузер. Мы уже рассказывали о трекинге движений человека по гироскопу/акселерометру с распознаванием паттернов (ходьба, бег, общественный транспорт, нахождение рядом с другим пользователем с аналогичными паттернами) на веб-странице.

Это далеко не единственная такая функция. Например, в мобильных браузерах поддерживается HTML-атрибут <capture>, который начинает видеосъёмку на смартфоне просто по нажатию кнопки на веб-странице.
Читать дальше →
Total votes 9: ↑9 and ↓0 +9
Views 7.2K
Comments 4

Шифрование сертификатов TLS — как формируется цифровая подпись

GlobalSign corporate blog Information Security *Website development *Cryptography *IT Standards *


По оценке независимой исследовательской и консалтинговой компании Frost & Sullivan, TLS-сертификаты от GlobalSign обеспечивают максимально надёжное шифрование. В том числе за это GlobalSign получила в сентябре 2022 года награду 2022 Global Competitive Strategy Leadership Award.

Но возникает вопрос, чем же отличается шифрование в разных сертификатах? В частности, какие алгоритмы используются для криптографической подписи?
Читать дальше →
Total votes 32: ↑17 and ↓15 +2
Views 8.3K
Comments 3

Системный шрифт как проприетарные куки. Необычный метод пометки вашего устройства

GlobalSign corporate blog Information Security *Website development *IT Standards *Software
Предположим, перед разработчиком поставлен такой вопрос — как со стороны веб-сайта определить, что у пользователя установлено конкретное приложение? Вопрос интересный. На него есть несколько способов ответа. Как вам такой вариант — поставить в систему уникальный шрифт при инсталляции программы? Ведь браузер всегда отдаёт по запросу список системных шрифтов. Значит, проблема решена.

Так делают различные программы, хотя это не назовёшь образцом правильного программирования. У метода свои преимущества и недостатки.
Читать дальше →
Total votes 23: ↑23 and ↓0 +23
Views 7.6K
Comments 8

Проникновение в чужой ящик Gmail через скрытое расширение Chrome

GlobalSign corporate blog Information Security *Google Chrome Browser extensions Browsers


Взлом почты — одно из самых популярных заданий на подпольном рынке хакерских услуг в даркнете, поскольку это краегольный камень для доксинга, кражи личности и перехвата коммуникаций жертвы.

Неудивительно, что злоумышленники придумывают новые способы атаки для проникновения в чужой почтовый ящик. В прошлом году появился ещё один новый и достаточно неординарный вектор атаки — через расширение Chrome, которое не ворует пароли, как обычно, а производит прямую инспекцию и эксфильтрацию трафика из почтового ящика через «Инструменты разработчика» в браузере. Таким образом, в логах Gmail не остаётся никаких следов постороннего проникновения, только сессия легитимного клиента.

Посмотрим, как это сделано технически.
Читать дальше →
Total votes 21: ↑18 and ↓3 +15
Views 11K
Comments 5

Флешка Rubber Ducky стала ещё опаснее

GlobalSign corporate blog Information Security *Gadgets Computer hardware Periphery


Rubber Ducky — известное хакерское устройство, давно знакомое специалистам по информационной безопасности (и любителям сериала Mr. Robot). Первая версия вышла более десяти лет назад. С виду обычная флешка при подключении выдаёт себя за USB-клавиатуру и запускает произвольный скрипт. Это позволяет проводить необычные атаки, которые сложно обнаружить с помощью антивируса.

Атака Rubber Ducky — просто последовательность нажатий клавиш (чтобы открыть консоль и ввести в ней некоторые команды).
Читать дальше →
Total votes 57: ↑55 and ↓2 +53
Views 34K
Comments 111

Для подписи приложений iOS/macOS не нужен компьютер Apple

GlobalSign corporate blog Open source *Development for MacOS *Software


В экосистеме Apple сейчас так устроено, что для выпуска приложений iOS/macOS требуется получение сертификата, затем подпись кода и нотаризация подписи. Согласно документации, подпись кода гарантирует пользователям, что приложение получено из известного источника и не изменялось. Для получения и использования сертификатов требуется участие в программе Apple Developer Program.

Такая система удобна с точки зрения безопасности закрытой экосистемы Apple, но создаёт некоторые трудности для разработчиков.

Однако любые трудности на то и существуют, чтобы их преодолевать.
Читать дальше →
Total votes 24: ↑24 and ↓0 +24
Views 6.3K
Comments 6

Необычные проекты интернета вещей. Пёс-охранник на Raspberry Pi и умная видеоняня

GlobalSign corporate blog Information Security *Open source *Development for Raspberry Pi *IOT


Умный дом делает жизнь комфортнее и безопаснее. Безопасность никогда не бывает лишней. Одна из задач интернета вещей — защита человека и его жилища, поэтому мы ставим камеры видеонаблюдения с датчиками движения и уведомлениями через интернет. В любой момент можно достать телефон и проверить, что в дом не пробрались еноты.
Читать дальше →
Total votes 3: ↑3 and ↓0 +3
Views 4.5K
Comments 2

Кабель SATA как радиопередатчик — скрытая передача данных

GlobalSign corporate blog Information Security *Computer hardware Data storaging Desktop PC's


Передача информации с изолированного (air-gapped) компьютера — нетривиальная задача, поскольку он отключён от сети и обычно находится в отдельном помещении. Но это возможно по сторонним каналам. Например, съём электромагнитного излучения с видеокарты или с других компонентов на материнской плате, распознавание нажатий клавиш по звуку и др.
Читать дальше →
Total votes 14: ↑9 and ↓5 +4
Views 7.3K
Comments 11

P2P-мессенджеры с шифрованием — что нового?

GlobalSign corporate blog Information Security *Instant Messaging *Open source *Software


В современных условиях трудно переоценить важность надёжных средств связи. В частности, для нестабильного интернета оптимально подходят децентрализованные и пиринговые месседжеры со сквозным шифрованием. Также разрабатываются радиопротоколы mesh-сетей, которые работают вообще без интернета (Reticulum, Meshtastic).

В этой области в последнее время произошло много интересного. Во-первых, стоит поздравить с круглой датой платформу Matrix, аудитория которой достигла 60 млн человек. Matrix продолжает неравный бой с технологическими гигантами за создание защищённой, открытой и удобной платформы коммуникаций.
Читать дальше →
Total votes 30: ↑29 and ↓1 +28
Views 10K
Comments 20

Звуковой кейлоггер. Определяем нажатые клавиши по звуку

GlobalSign corporate blog Information Security *Periphery Sound


Не секрет, что у каждой клавиши на клавиатуре — уникальное звучание, которое зависит от её расположения и других факторов. Теоретически, анализ спектрограммы позволяет отличить клавиши друг от друга, а по частотности нажатий определить, какому символу соответствует каждый звук. Задача распознавания звуков упрощается тем, что при наборе связного текста символы хорошо прогнозируются по словарю (а именно, по частотности n-грамм для текстов).
Читать дальше →
Total votes 23: ↑21 and ↓2 +19
Views 9.3K
Comments 20

В трафик сайтов опять внедряют посторонний контент. Как защититься?

GlobalSign corporate blog Information Security *Website development *Display advertising *Contextual advertising *

Источник

В последнее время участились случаи инъекций стороннего контента на страницы российских сайтов, не защищённых HTTPS. Этим занимаются некоторые операторы связи, то есть это законная практика.

Логично, что если вам противостоит легальная угроза, то от неё следует защищаться техническими средствами.
Читать дальше →
Total votes 9: ↑7 and ↓2 +5
Views 6.5K
Comments 34

Картинкам нельзя верить. Видеоспуфинг в реальном времени

GlobalSign corporate blog Information Security *Working with video *Image processing *Video conferencing


Некоторые люди полагаются на зрение для распознавания личности собеседника. Это крайне ненадёжный подход, если можно подделать картинку на экране. В эпоху цифровой видеосвязи внешность, голос и поведение человека перестали выполнять функцию надёжной идентификации.

За последние годы разработано несколько эффективных инструментов для подделки видеопотока, в том числе Avatarify Desktop и Deepfake Offensive Toolkit. Таким образом, у злоумышленников появились все возможности, чтобы подделать лицо и голос произвольного человека во время звонка. Специалисты по безопасности и пользователи должны понимать, насколько элементарно выполняется такая операция.
Читать дальше →
Total votes 25: ↑23 and ↓2 +21
Views 13K
Comments 20

SRAM PUF. Внедрение уникальных ID по «цифровому отпечатку» микросхем

GlobalSign corporate blog Information Security *Cryptography *Manufacture and development of electronics *IOT


В прошлой статье упоминалось, что у современных производителей устройств IoT система PKI внедряется непосредственно на заводе. То есть прямо на конвейере. Каждое устройство получает уникальный ID и сертификат, по которому выполняется идентификация и аутентификация этого конкретного девайса на протяжении всего жизненного цикла.

Как это происходит, если вкратце?
Читать дальше →
Total votes 6: ↑6 and ↓0 +6
Views 2.3K
Comments 0

Кнопка “Mute” не выключает микрофон

GlobalSign corporate blog Information Security *Development for Windows *Software Sound


Среди простых пользователей распространено заблуждение, что микрофон можно выключить нажатием кнопки в программе. Конечно, это не так. Единственный способ надёжного отключения — разъединение физической электроцепи, по которой передаётся сигнал или подаётся питание. Например, это может быть тумблер на материнской плате или кнопка на самом микрофоне.

Однако нативной программе ничто не мешает даже после нажатия кнопки “Mute” снимать звук с микрофона и передавать его на сервер. Некоторые программы так и делают.
Читать дальше →
Total votes 70: ↑69 and ↓1 +68
Views 44K
Comments 172

Автоматическая установка сертификатов S/MIME для корпоративных пользователей

GlobalSign corporate blog Information Security *Cryptography *System administration *DevOps *

По статистике, 91% кибератак начинается с фишинга. Жертва получает письмо с поддельным именем и адресом. Это основная уязвимость, которую хакеры эффективно используют уже сорок лет, с момента изобретения email.

S/MIME (Secure/Multipurpose Internet Mail Extensions) — стандарт для шифрования и подписи электронной почты с помощью открытого ключа. Получил распространение после выхода третьей версии S/MIME в 1999 году (RFC 2633). По идее, он должен защищать от такого рода кибератак.
Читать дальше →
Total votes 3: ↑3 and ↓0 +3
Views 2.4K
Comments 2

Chrome на Android сломал чужие MitM-сертификаты, но это можно исправить

GlobalSign corporate blog Information Security *Google Chrome Development for Android *Browsers


Прозрачность сертификатов (CT) — отличный проект компании Google, который сейчас фактически стал стандартом де-факто в интернете. Серверы CT показывают все выпущенные EV-сертификаты в открытых и общедоступных источниках.

Всё работает отлично до тех пор, пока не сломается.

В частности, в последнее время браузер Chrome создал ряд проблем под Android, фактически заблокировав работу сторонних приложений, таких как снифферы, MitM-прокси и средства разработки. Эти программы устанавливают в систему собственные доверенные сертификаты для перехвата и разбора трафика.
Читать дальше →
Total votes 15: ↑13 and ↓2 +11
Views 5.4K
Comments 14

Information

Rating
Does not participate
Registered
Activity