Search
Write a publication
Pull to refresh
1
0
Евгений @psyangel

Информационная безопасность

Send message

Ваш сайт теряет пользователей прямо сейчас. Виноват один символ: '+' в email

Level of difficultyMedium
Reading time5 min
Views8.6K

Привет, Хабр! Представьте ситуацию: вы нашли крутой сервис, регистрируетесь, вводите свой email my.name+coolservice@gmail.com (ведь вы, как и я, любите порядок во входящих) и… получаете ошибку «Некорректный email». Знакомо? Уверен, что да.

Каждый раз, когда я сталкиваюсь с таким, у меня дергается глаз. Это не просто мелкий баг. Это симптом глубокой проблемы в подходе к разработке и непонимания базовых стандартов. Давайте раз и навсегда разберемся, почему сервисы не принимают почту с «плюсом», почему это плохо для бизнеса и, главное, как это исправить.

Читать далее

Когда VPN душат, в бой идёт SOCKS5: что нового в ProxiFyre 2.0

Level of difficultyMedium
Reading time4 min
Views76K

В последние месяцы я всё чаще сталкиваюсь с ситуациями, когда привычные VPN-соединения становятся всё менее надёжными или вовсе блокируются. Для тех, кто, как и я, продолжает получать доступ к домашней инфраструктуре из-за границы, особенно из стран с усиливающимся контролем за трафиком, это уже не просто неудобство, а реальный риск потери стабильной связи.

Моя собственная схема — домашний сервер за WireGuard-эндпоинтом — уже не раз демонстрировала странности: внезапные падения скорости, потеря UDP-пакетов (особенно в мобильных сетях). Всё вроде работает, но как-то не так: туннель подключается, но затем «виснет» или показывает подозрительно низкую пропускную способность. В таких случаях надёжным обходным путём становится туннелирование TCP-трафика через SOCKS5-прокси, например, поверх SSH.

Но и у SOCKS5 есть ограничение — сам по себе он ничего не даст, если не существует механизма для перенаправления трафика от нужных приложений. Многие программы не поддерживают прокси напрямую, а системный прокси на Windows — история сложная и не всегда результативная.

Читать далее

Разбираем новый закон про VPN и «поиск материалов» с технической точки зрения

Level of difficultyEasy
Reading time7 min
Views214K

На Хабре уже было несколько публикаций про новые принятые в Госдуме поправки (https://habr.com/ru/news/928638/, https://habr.com/ru/companies/amnezia/articles/928378/, https://habr.com/ru/news/928332/ и т.д.), и там в комментариях звучало много довольно схожих вопросов на тему "а как оно может быть?", на которые я постараюсь сегодня ответить.

Сразу говорю, разбирать будем именно с технической, а не с юридической точки зрения. С юридической точки зрения там, конечно, тоже есть интересные моменты.

Читать далее

Магия ZeroTier: Создаем личную VPN-сеть для дома и облака за 20 минут

Level of difficultyMedium
Reading time9 min
Views21K

Привет, Хабр!

Помните времена, когда «белый» IP-адрес был нормой, а не платной услугой? Когда для доступа к своему серверу хватало простого ssh user@ip_address? Я тоже помню. Но эта эпоха незаметно уходит.

Сегодня мы оказались в новой реальности. Ваша домашняя «Малинка» задыхается за провайдерским NAT, а облачный VPS в Европе кажется далеким и изолированным островом. Как получить доступ к первой или второй?

Эта статья — не очередной гайд по VLESS или Shadowsocks для обхода сложных блокировок. Это не "серебряная пуля" против DPI. Это честный гайд по постройке вашей личной, плоской и безопасной L2-сети поверх хаоса современного интернета. Мы соберем VPN-хаб, который не боится NAT, независимо от того, где он будет жить — на скромной «Малинке» дома или на арендованном VPS в другой стране. Мы разберем весь процесс по шагам, от регистрации до настройки полного туннеля, и честно поговорим о компромиссах этого решения.

Читать далее

72 рабочих часа в неделю, никаких пушей и «следующее действие»: формула на 100 млн ₽

Level of difficultyEasy
Reading time3 min
Views19K

Сейчас все топят быть продуктивным, эффективным. Я тоже адепт эффективности.

Как сделать еще больше, как иметь больше энергии?

Я пробовал Яндекс.Календарь, потому что я всегда пытаюсь пользоваться чем-то отечественным. Искренне хочу, чтобы у нас были классные вещи, но я не знаю, по какой причине Яндекс.Календарь — это пока что дно.

Читать далее

Ходим в Интернет с отключённым IPv4

Level of difficultyMedium
Reading time14 min
Views77K

Несколько дней назад в маршрутизаторе моего провайдера после отключения электричества поломался IPv4. К счастью, подключение по IPv6 продолжало работать, но доступна была только малая часть веб-сайтов.

В этом посте я расскажу, как на помощь мне пришли Linux, WireGuard и Hetzner, благодаря которым я смог получить доступ ко всему Интернету через одно лишь соединение IPv6.

Читать далее

10 треков, которые обязательно стоит запустить для проверки акустики

Reading time5 min
Views38K

Салют, Хабр!

Я Артур, CPO умных колонок Sber. Я отвечаю за создание наших умных колонок, в том числе за предмет этой статьи — их звучание.

Как компания, которая разрабатывает умные аудиоустройства, мы оцениваем любую попавшую нам в руки акустику, чтобы понимать, как звучат разные варианты аудиосистем, и усиливать нашу экспертизу при создании собственных устройств. Ведь даже умные, колонки служат и для проигрывания музыки. А значит, мы должны обеспечивать пользователям максимально лучший из возможного опыт.

Чтобы оценить аудиосистему, нужны музыкальные треки, которые раскроют весь её потенциал и способность передавать разные аспекты музыки. Собрали 10 треков, которые используем в работе, оценивая любые колонки. Рассказываем, как проверяют звучание устройств и как мы тестируем его при разработке умных колонок; делимся плейлистом для проверки, насколько совершенно ваше аудиоустройство.    

Читать далее

Инструмент оценки рисков безопасности: что нужно учесть при выборе

Level of difficultyMedium
Reading time6 min
Views3.2K

Привет, Хабр! Меня зовут Ирина Созинова, я эксперт по информационной безопасности в Авито. Моя прошлая публикация была о том, как мы выстраиваем в Авито процесс оценки рисков безопасности. В этой же статье рассказываю, на какой функционал стоит обратить внимание при выборе инструмента в целом и что было важно конкретно для нас. А еще — разбираю плюсы и минусы системы класса GRC для управления рисками. 

Читать далее

7 проблем при создании СОИБ АСУ ТП в 2025 году

Level of difficultyMedium
Reading time8 min
Views3K

Так сложилось, что создание основной массы автоматизированных систем управления технологическим процессом (АСУ ТП) в нашей стране пришлось на конец XX века. И тогда ресурса, заложенного для полноценного функционирования и дальнейшего масштабирования, было вполне достаточно. То есть проблемы, с которыми мы сталкиваемся при проектировании систем обеспечения информационной безопасности (СОИБ), пришли со временем и являются результатом влияния изменений законодательства, морального устаревания оборудования, увеличения компетенций персонала и роста уровня цифровизации.

Исходя из опыта последних реализованных проектов и текущих работ, мы выявили 7 «кругов» проблем, которые в данной статье постараемся закрыть.

Читать далее

Исследую роутеры с «вечным VPN» с российских маркетплейсов: admin:admin, открытые порты и доступ к соседям

Reading time11 min
Views159K

Привет, Хабр! Меня зовут Иван Глинкин, я занимаюсь инфраструктурным тестированием и аппаратным хакингом в Бастионе. Недавно наткнулся на интересное предложение на российских маркетплейсах — роутеры с предустановленным «пожизненным» VPN. Звучит заманчиво: купил, включил и сразу получаешь безлимитный доступ к виртуальной частной сети, причем без подписки.

Но как говорится, бесплатный сыр бывает только в мышеловке. Я решил разобраться, что на самом деле скрывается за красивыми обещаниями продавцов. Приобрел три роутера из разных ценовых категорий — от бюджетного Cudy за 3000 рублей до топового Xiaomi за 7000. Спойлер: если вы ожидали хеппи-энд, то вы зашли не в тот блог. 

В процессе исследования обнаружил несегментированные сети, где можно получить доступ к устройствам других покупателей, пароли admin:admin, хранящиеся в открытом виде, и SSH-доступ для продавцов. А еще выяснил, что «пожизненные» серверы работают на дешевом хостинге за 2,5 доллара.

В этой статье расскажу, какие угрозы скрываются за яркой рекламой и почему экономия на сетевой безопасности может обойтись слишком дорого.

Читать далее

Основы переезда Kaspersky Security Center

Level of difficultyEasy
Reading time11 min
Views7.3K

Рано или поздно каждому администратору безопасности Kaspersky Security Center придётся столкнуться с радостями и трудностями переезда сервера администрирования, в связи с абсолютно различными причинами, начиная от миграции локальных мощностей в ЦОД, и заканчивая невозможностью обновления старого ПО.
И многие, подозреваю, хотели бы знать различные подводные камни, возникавшие в аналогичных ситуациях, детали о тонкостях планирования инфраструктуры серверов администрирования и узнать каким бэйзлайнам (стандартам) развёртывания следовать.

Читать далее

Взломают или нет? Оцениваем риски вашей информационной системы и моделируем угрозы

Reading time13 min
Views3.4K

Привет, Хабр! Меня зовут Алексей Костянов, я архитектор по информационной безопасности в Selectel. В этой статье я расскажу, как составить список потенциально уязвимых мест вашей информационной системы, и что делать с этим списком.

Важно уточнить, что эта статья предназначена по большей части для новичков. Я расскажу про самые простые способы реализовать оценку и моделирование для своей системы. Эти способы сильно отличаются от ситуаций, когда моделирование угроз выполняется в рамках стандартизированных регламентов, например требований законодательства или в процессе сертификации. О таких ситуациях мы тоже поговорим под катом.
Читать дальше →

Paranoia Mode: подборка инструментов для приватной и безопасной работы в Linux

Level of difficultyEasy
Reading time7 min
Views11K


Технологии позволяют следить за каждым — где вы бываете, что ищете, на что кликаете. А любая утечка личных данных может обернуться серьезными последствиями: от взлома аккаунтов до компрометации корпоративной инфраструктуры. Особенно если вы работаете с чувствительной информацией или просто не хотите, чтобы кто-то строил ваш цифровой портрет без спроса.

Привет, Хабр! Я Вика, системный администратор в Selectel. В этой статье предлагаю взглянуть на несколько проверенных методов и технологий для минимизации цифрового следа — без лишней паранойи, но с пониманием, как все устроено. Прошу под кат!
Читать дальше →

Атака на уязвимую систему Deathnote Vulnhub. Получение доступа к системе пользователя и суперпользователя root. Часть 7

Level of difficultyMedium
Reading time6 min
Views677

Всех приветствую, читатели Хабра!

Седьмая часть анализа защищенности, правда в этот раз системы (серверной) Vulnhub. Система я поднимал на virtualbox, а не на докер, то есть иной метод виртуализации.

Вот ссылки на первые четыре части уязвимых веб-приложений, советую ознакомиться:

https://habr.com/ru/articles/894508/
https://habr.com/ru/articles/895092/
https://habr.com/ru/articles/895856/
https://habr.com/ru/articles/897296/
https://habr.com/ru/articles/898918/ (это уязвимая ОС на virtualbox)
https://habr.com/ru/articles/902248/

Примечание

Правовая информация:

Данная статья создана исключительно в ознакомительных/образовательных/развивающих целях.
Автор статьи не несет ответственности за ваши действия.
Автор статьи ни к чему не призывает, более того напоминаю о существовании некоторых статей в уголовном кодексе РФ, их никто не отменял:
УК РФ Статья 272. Неправомерный доступ к компьютерной информации
УК РФ Статья 273. Создание, использование и распространение вредоносных компьютерных программ
УК РФ Статья 274. Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей

Все атаки я проводил на локальный сервер, внутри моего сетевого интерфейса, на моем компьютере, то есть все действия легитимны.

И как всегда просьба не переходить на личности в комментариях, если вы обнаружили ошибку недочет или неточность, просто без оскорблений напишите комментарий или напишите мне личным сообщением. здесь я всего лишь делюсь опытом взлома уязвимой машины

Читать далее

Яндекс.Разврат или анти-этичный ИИ

Level of difficultyEasy
Reading time6 min
Views45K

tl;dr: как обойти внутреннюю цензуру «Шедеврума» и получить то, что хочешь. Описание реализованных состязательных атак с примерами реализации. Без глубокого раскрытия механизма почему так получается.

Читать далее

Схема взлома аккаунта на ГосУслугах

Level of difficultyEasy
Reading time2 min
Views117K

Понимаю, что тема с краю от Хабра стоит, но все же как сценарий для служб безопасности, да и процедур контроля ОЗОНА и МТС - имеет место быть. Да и лишний раз предупредить тоже стоит! 

Звонок от «Технический отдел» с телефона +7 (924) 420-64-71 (по whatsup)
Уже это должно было насторожить, но отвечаю:

- Служба доставки ОЗОН, могу быть у вас через 10-15 минут, вы по адресу доставки?

Немного торможу, вспоминая что я мог заказать (вроде было что-то) но больше удивило что доставка домой курьером, хотя всегда делаю в пункт выдачи. Домой – так домой. Кладу трубку.

Через несколько минут повторный вызов:

- простите, вам должны были выслать код от службы доставки Roolz (в whatsup). Можете его озвучить?

- нет, там написано, чтоб я никому не говорил.

Действительно, пришло сообщение от Roolz (номер +370 682 70239) https://roolz.net

- ой, я вас понимаю, но что мне делать, я не могу взять посылку без него.

- называю номер (все же whatsup, что могло не так пойти?) и спрашиваю, а по какому адресу вы будете доставлять?

Дальше идет какое-то замешательство, я сейчас уточню и делает вид, что ставит меня на удержание, а сам демонстративно:

- Вань, а тут его на удержание поставил, проверь, подошел ли код. – Да, подошел! – Можешь тогда действовать!

Тут я немного офигел. Тут же положил трубку, вошел на госуслуги и поменял пароль (хотя, ничего по факту делать не надо было). Там же на гос услугах теперь есть услуга – «Сообщить о подозрительном звонке», заполнил заявление.

В этот момент мне приходит sms : «Был произведен вход в ваш аккаунт на портале Гос. Услуг. Если это не ваши действия, пожалуйста, сообщите по телефону: +79855482864 

Читать далее

Краткая история Activity Monitor (утилиты «Мониторинг системы»)

Level of difficultyEasy
Reading time2 min
Views1.1K

Во времена классической Mac, мы в основном беспокоились  о памяти  Мака, а не о производительности процессора, диска или сети. Инструменты для управления памятью в Mac OS процветали. Все изменилось с выходом Mac OS X, когда мы начали проявлять интерес к утилитам Process Viewer (Диспетчер задач) и CPU Monitor (Мониторинг центрального процессора).

Читать далее

Обойдемся без VPN: связка из 2 прокси для хождения в Интернет

Level of difficultyMedium
Reading time17 min
Views95K

На Хабре есть уже десятки статей о том, как поднять свой VPN. Но, кроме VPN, существует еще и прокси. Для браузера его более, чем достаточно.

Практика показывает, что РКН на данный момент не ломает даже прозрачные HTTP прокси (МГТС, Москва). Надеяться на это, впрочем, не приходится, поэтому мы поднимем еще и HTTPS прокси с помощью Squid.

Данный прокси работает тупо по адресу и паре логин:пароль безо всяких PAC файлов и прочих костылей на стороне клиента (костылей на стороне сервера будет предостаточно). Позволяет гонять через себя весь трафик не интересуясь, что там уже заблокировано, а что еще нет. Кроме того, его хорошо понимают скрипты и программы Linux, потому что он совместим с переменными HTTP_PROXY и HTTPS_PROXY.

Читать далее

Как сделать так, что бы заработал youtube и discord самые действенные методы от zapret до поднятие своего VPN сервера

Reading time4 min
Views294K

Ну что ж статей на эти темы было не мало, но хочу поделиться инструментами и опытом которые по моей практике оказались очень удобными и весьма качественными, будут как индивидуальные способы конкретно под приложение, так и универсальные которые помогут решить проблемы разом

VPN-сервер

Ну что ж начнем наверное с самого простого и универсального способа, который поможет вам во всем, это поднятие своего VPN-сервера на таких протоколах как shadowsocks, openvpn, vless, vmess, trojan. Самый главный плюс заключается в том, что при хорошем клиенте пинг будет минимальный, многие пользуется outline который ну уж очень сильно лагает, или v2rayN который работает на много лучше, если говорить про еще крутые и качественные клиенты то можно попробовать Hiddify, если знаете еще более качественные можете написать в коментах. Суть прост вы можете купить сервер и сами все установить гайдов полным полно, вот лично которым пользовался я, все интуитивно понятно и без всяких проблем. Решает абсолютно все блокировки youtube, нельяграмм, discrod, xtwitter, chat gpt

2. Дальше пойдем к способу который помогает с discord и youtube

Читать далее
1
23 ...

Information

Rating
Does not participate
Location
Москва, Москва и Московская обл., Россия
Registered
Activity