Pull to refresh
Ворч Ун @sav1812read⁠-⁠only

Разработчик

Send message

«Макдоналдс» и другие компании используют ультразвук для слежки за пользователями

Reading time3 min
Views82K

Схема работы технологии ультразвуковых следящих маячков

Группа исследователей из Брауншвейгского технического университета (Германия) нашла большое количество приложений под Android, использующих ультразвуковые маячки за слежки за пользователями. Специалисты говорят, что технология (ultrasound cross-device tracking, uXDT) приобрела большую популярность в последние несколько лет.
Читать дальше →

Уязвимость в протоколе SS7 уже несколько лет используют для перехвата SMS и обхода двухфакторной аутентификации

Reading time3 min
Views79K

Схема атаки с перехватом SMS-сообщения. Иллюстрация: Positive Technologies

О критических уязвимостях в сигнальном протоколе SS7 известно уже несколько лет. Например, в 2014 году российские специалисты Positive Technologies Дмитрий Курбатов и Сергей Пузанков на одной из конференций по информационной безопасности наглядно показали, как происходят такие атаки. Злоумышленник может прослушать звонки, установить местоположение абонента и подделать его, провести DoS-атаку, перевести деньги со счёта, перехватывать SMS. Более подробно эти атаки описаны в исследовании «Уязвимости сетей мобильной связи на основе SS7» и в отчёте «Статистика основных угроз безопасности в сетях SS7 мобильной связи».

И вот сейчас появились первые свидетельства, что хакеры с 2014 года действительно используют эту технику для обхода двухфакторной авторизации и перевода денег со счетов клиентов банков. Своё расследование опубликовала немецкая газета Süddeutsche Zeitung.
Читать дальше →

Российские светодиодные лампы Uniel

Reading time3 min
Views36K
Светодиодные лампы Uniel можно встретить во многих крупных магазинах. До последнего времени все эти лампы производились в Китае, но недавно компания открыла завод по производству светодиодных ламп в Черноголовке.


Читать дальше →

DNS glue records – что такое и почему они так важны?

Reading time3 min
Views29K
Служба DNS, невидимая обычному пользователю, периодически оказывается в фокусе интереса IT-специалистов. По разным поводам. Особенно актуальной эта тема становится в периоды, когда основные провайдеры DNS подвергаются DDoS-атакам. Именно тогда, когда DNS становится частично неработоспособной, приходит понимание, что DNS – это основа, костяк всей структуры интернета.

DNS переводит имена доменов в IP-адреса. Несмотря на то, что с виду эта задача выглядит очень просто, на деле ее решение привело к возникновению, наверное, самой сложной и большой информационной системы на планете.

  • Реестры доменов
  • Глобальные домены верхнего уровня (gTLD)
  • Различные национальные домены верхнего уровня (ccTLD)
  • И растущий с каждым годом список всех прочих доменов высшего уровня (.space, .photography и так далее)

Все это делает и так не простую систему еще более сложной.
Читать дальше →

Wap-Click: простой вариант поиметь (денег с) абонента

Reading time3 min
Views71K

Относительно честные способы отъема денег у населения — популярный вид заработка, знаете ли. Уверен, вы слышали о подписках. Или даже платили за них. Операторы сотовой связи зовут такие услуги по разному: «Мой контент», «Контент-подписки», но суть одна. Для оказания таких услуг (по заверениям ОпСоСов) вы должны сначала указать свой номер, получить SMS с подтверждающим кодом, ввести этот самый код, а после вам еще и условия в сообщении пришлют. Видите, как всё честно! Так откуда же берутся все эти несчастные люди, которые утверждают, что их одурачили, обманом списали деньги и возвращать не собираются? Наверное они по глупости не туда нажали да и подписались. Всякое же бывает. Вон однажды моя бабушка зарегистрировалась вместо «Одноклассников» в «Сексоклассниках» или как-то так. Зрение уже не то, сами понимаете. Впрочем, она старушка любопытная, может и не ошиблась. Но вы то все молодые и смекалистые! Вас так просто не возьмёшь. Кто в здравом уме будет SMS на короткие номера отправлять, правда же? А что, если я скажу вам, что никого подтверждения не нужно? И никакой информации о подписке вы не получите. А единственный способ узнать о списаниях — посмотреть детализацию. Такие дела.
Читать дальше →

Компьютерная криминалистика (форензика) — обзор инструментария и тренировочных площадок

Reading time5 min
Views139K

 
Форензика (компьютерная криминалистика, расследование киберпреступлений) — прикладная наука о раскрытии преступлений, связанных с компьютерной информацией, об исследовании цифровых доказательств, методах поиска, получения и закрепления таких доказательств. В этой статье мы рассмотрим популярные инструменты для проведения криминалистического анализа и сбора цифровых доказательств.
Читать дальше →

Так зачем же все таки нужны Refresh токены в OAuth?

Reading time3 min
Views17K
Наверняка каждый программист, работающий с OAuth 2.0, задумывался – зачем же нужны Refresh токены, неужели Access токенов недостаточно? 64 KB — Их должно хватать каждому!

Эта тема довольно активно дискутируется – вот и на Stackoverflow вопрос есть и на Хабре тоже обсуждается. Собственно, именно обсуждение на Хабре и заставило меня высказаться.

Все предложенные комментаторами и авторами мнения касаются безопасности двухтокенного подхода. Безусловно, так и должно быть, ведь безопасность – это главное для фреймворка авторизации/аутентификации! Но будем откровенны – во многих случаях использования подход с двумя токенами не дает никакого выигрыша в защищенности по сравнению с простым и тупым подходом с одним токеном. Или этого сразу не видно…

«Refresh токен можно хранить более защищенно!» — можно и нужно, хотя почти никто так не делает.
«Access token передается по сети чаще – и вероятность его утечки больше» — полноте, мы ведь всегда используем TLS, правда?
«Утечка Ассеss токена на так страшна как утечка Refresh токена» — да, и это тоже правда, именно поэтому в браузер Refresh токен и не выдается…

Есть много нюансов, есть много сценариев использования, при которых использование разных токенов становится полезным, просто видно их не сразу!

Но есть и еще один аргумент, который я почему-то ни разу не встречал – хотя он, на мой взгляд, полностью объясняет, зачем же нужен Refresh токен и почему нельзя, абсолютно, категорически нельзя обойтись только Access токеном.

Производительность.
Читать дальше →

SVG спрайт с webpack одной строкой

Reading time5 min
Views41K

Пару дней назад вышла полностью обновлённая версия svg-sprite-loader — webpack лоадера для создания SVG спрайтов. Внутри я подробно рассскажу о том как он работает и чем облегчает жизнь разработчику.

Читать дальше →

Переходим с Disqus на комментарии Github

Reading time5 min
Views43K
Какое-то время я хотел убрать комментарии из своего блога; в основном, потому что здесь вообще мало комментариев, да и не хочется возиться с лишними «тормозами» от Disqus. Посмотрев на время загрузки Disqus, я был потрясён тем, что приходится терпеть посетителям сайта по моей вине (кроме тех, кто использует блокировщики вроде Privacy Badger и uBlock Origin.

Эта статья заточена под Hugo, но код легко адаптируется для любого сайта.

Что не так с Disqus?


Вот как выглядит типичный журнал запросов с включенным Disqus.


А вот лог после отключения Disqus.


ЧЕГО!?
Читать дальше →

Виртуальная Машина PHP 7

Reading time34 min
Views30K
Всем доброго времени суток! Меня зовут Константин, в Badoo я работаю в команде Features Team. Скорее всего, вы уже знаете, что наш бэкенд написан на PHP и обслуживает более трёх сотен миллионов пользователей. Так что я не мог упустить шанс перевести эту статью core-разработчика PHP Никиты Попова. Уверен, она будет полезна разработчикам всех уровней, но новичкам может показаться сложноватой. Приятного (и полезного) чтения!



В статье представлен обзор виртуальной машины Zend для PHP 7. Это не исчерпывающее описание, но я постараюсь охватить большинство важных частей, а также некоторые детали.

Описание сделано на основе PHP версии 7.2 (в настоящее время находится в разработке), но почти всё справедливо и для PHP 7.0/7.1. Однако отличия от виртуальных машин серии PHP 5.x являются значительными, и с ними я, как правило, не проводил параллели.
Читать дальше →

+32Гб на Яндекс.Диске навсегда

Reading time1 min
Views92K


Предполагаю, что в нынешнее время уже мало кто гонится за бесплатными гигабайтами в облачных хранилищах данных. Если судить по себе, то достаточно давно определился с тем, который меня устраивает и приобрел достаточный тариф за 2 доллара в месяц.

Но всё же храню некоторую информацию (например, разные объёмные видеокурсы, которые надеюсь однажды посмотреть) на других сервисах, и в подобных ситуациях еще пару десятков гигабайт точно не будут лишними.

Да и в любом случае, всегда наверное приятно получить что-то на халяву, даже если тебе это не очень нужно.

Поэтому я не упустил возможности получить 32Гб на Яндекс.Диске. Особенно, учитывая то, что сделать это крайне легко. Нужно лишь скачать приложение и загрузить хотя бы одну фотографию.

Акция длится до 3 июля.

Адрес промо-страницы: yandex.ru/set/lp/disk-32gb/0

Закон об онлайн-кассах: давайте ставить точки? Электронные деньги и агрегаторы

Reading time5 min
Views24K
Сегодня анализировал toster, несколько форумов и блогов, где обсуждаются вопросы ФЗ №54 об онлайн-кассах (как ККТ) и пришёл к выводу, что абсолютное большинство онлайн-предпринимателей до сих пор не сделало выводов о том, что именно предписывает данный акт.

Ниже вы узнаете:

нужна ли ККТ при приёме пластиковых карт и электронных денег?
нужна ли ККТ при приёме платежей через агрегаторов?

Дабы не повторяться — остальные аспекты можно посмотреть тут и тут, или даже вот здесь. И да — ещё ликбез.



Итак, электронные деньги (Яндекс, Qiwi, PayPal, но — внимание! — не WebMoney).

Начинаем, как учат всех юристов-первокурсников с названия: ФЗ называется «О контрольно-кассовой технике при осуществлении наличных денежных расчетов и (или) расчетов с использованием электронных средств платежа».

Далее открываем мой «любимый» ФЗ №161 «О национальной платёжной системе», а именно — ст. 3 и читаем: «электронное средство платежа — средство и (или) способ, позволяющие клиенту оператора по переводу денежных средств составлять, удостоверять и передавать распоряжения в целях осуществления перевода денежных средств в рамках применяемых форм безналичных расчетов с использованием информационно-коммуникационных технологий, электронных носителей информации, в том числе платежных карт, а также иных технических устройств».

Идём дальше и читаем ст. 1.2 ФЗ №54 (тот, что о ККТ): «Контрольно-кассовая техника применяется на территории Российской Федерации в обязательном порядке всеми организациями и индивидуальными предпринимателями при осуществлении ими расчетов, за исключением случаев, установленных настоящим Федеральным законом». О сроках и субъектах уже говорил, поэтому акцентируемся на другом.
пояснение про исключения

«Теперь обязательно»: выдача SSL-сертификатов с учетом DNS-записи

Reading time2 min
Views17K
В этом году публичные организации, отвечающие за распределение сертификатов, в обязательном порядке начнут учитывать специальные DNS-записи. Эти записи позволяют владельцам доменов определять «круг лиц», которым дозволено выдавать сертификаты SSL/TLS (о них мы писали в нашем предыдущем посте) для их домена.

Читать дальше →

Методы обхода защитных средств веб-приложений при эксплуатации XSS-векторов

Reading time8 min
Views41K
image

 
Несмотря на большое количество рекомендаций по защите веб-приложения от клиент-сайд атак, таких как XSS (cross site scripting) многие разработчики ими пренебрегают, либо выполняют эти требования не полностью. В статье будут рассмотрены способы обхода средств фильтрации и при эксплуатации xss-векторов.

Читать дальше →

На сказочном Бали выпал снег или как же легко обмануть GPS

Reading time6 min
Views37K

image


Добрый день, судя по фотографии, на Бали выпал снег! Как же так получилось?


Плач


В последнее время мне приходится заниматься проектированием и изготовлением спутниковых навигационных антенн, антенных решеток и радиоприемных устройств (РПУ). Здесь нужно заметить, что эти РПУ — это пребразователи навигационного сигнала к виду удобному для дальнейшей обработки, а не те навигационные приемники, которые выдают решение навигационной задачи и которые встроены в ваши гаджеты.


При тестировании антенн, особенно новых их конструкций, в обычной городской комнате возникают проблемы с хорошей радио-видимостью спутников. Грубо говоря, сложно понять новая антенна лучше или хуже старой, измененная схема согласования РПУ с антенной дала или нет улучшение чувствительности системы. Про антенные решетки вообще говорить не приходится. К тому же, лично в моем случае, присутствует какая-то помеха, которая мешает приему. Стоит отойти от окна и приемник теряет спутники, хотя прямая видимость четверти неба сохраняется.


Летом дача становится спасением. Там почти свободное небо и нет никаких помех. Но туда нужно либо ехать со всем имуществом, либо держать там его дополнительный комплект. Есть еще товарищи с прошлой работы, которые дают поработать в безэховой камере. Не знаю за что, но бывает такое счастье.


В общем, нелегка доля разработчика.


Удача


Недавно мне посчастливилось подобраться к решению этой проблемы. Я всегда знал о симуляторах навигационных сигналов, но они были дороги для меня. Тут сложилось несколько счастливых событий.

Читать дальше →

Не верьте навигатору: уязвимости GPS и ГЛОНАСС

Reading time4 min
Views32K


Изображение: 2Tales, Flickr

Сейчас приемник GPS/ГЛОНАСС есть не только в каждом смартфоне, но даже в тех устройствах, которые не особенно перемещаются — в промышленных установках, в датчиках телеметрии, в банкоматах. Кроме того, такие приемники обеспечивают навигацию в автоматически управляемых системах, от городского транспорта до военных дронов. Системы глобального позиционирования настолько глубоко проникли во все сферы нашей жизни, что большинство людей пользуются ими, не задумываясь о том, насколько им можно доверять.

Между тем уже есть множество примеров, подтверждающих, что подобные системы уязвимы к разнообразным атакам, включая spoofing, то есть подмену сигнала. Более 5 лет назад иранские военные смогли посадить американский беспилотник, используя данную технику. А в конце 2016 года темой многих СМИ стали искажения GPS и ГЛОНАСС в центре Москвы, около Кремля: навигаторы вдруг показывали своим пользователям, что они находятся в аэропорту Внуково. Мы решили выяснить, действительно ли нужно обладать возможностями спецслужб, чтобы спровоцировать подобные сбои.
Читать дальше →

MakiseGUI — бесплатная библиотека графического интерфейса для микроконтроллеров

Reading time6 min
Views34K

Существует множество библиотек графического интерфейса для микроконтроллеров и встраиваемых систем, но многие из них имеют ограниченный функционал, сложность в использовании и интеграции, необходимость обязательного использования внешней оперативной памяти, а некоторые стоят больше, чем ваш проект целиком. Из-за этих причин и многих других было решено писать свою библиотеку.


Назвал я её MakiseGui.


DroidScript – простой и функциональный инструмент для разработки мобильных приложений под Android

Reading time3 min
Views25K

Некоторое время назад мне была поставлена следующая задача: разработать прототип приложения под Android для беспроводной связи с Arduino в реальном времени. Погружаться ради этого с головой в Java, Qt или C# было непрактично, поэтому решил искать готовое решение на скриптовом движке. PhoneGap? Интересно, но не для работы с Bluetooth. Что-то из мобильных сред разработки? Возможно, но хотелось работать в привычной десктопной среде, а не на планшете с небольшим экраном. Вскоре желаемое нашлось – мобильная среда разработки DroidScript с возможностью подключения к ней из браузерной WiFi IDE, которую можно установить на Windows, Mac и Linux.
Читать дальше →

Как управлять сном: методы прямого воздействия на активность мозга

Reading time14 min
Views85K

image
Источник


Каждую пятницу второй полной недели марта, в рамках проекта Всемирной организации здравоохранения по проблемам сна и здоровья, отмечается Всемирный день сна. Сегодня сам Морфей велел заняться настройкой периода, когда организм обрабатывает воспоминания, крутит сновидения, «промывает» мозг и делает другие полезные вещи.


В мире есть люди, которым достаточно всего 4–5 часов сна, но их очень мало. Большинству сокращение ночного режима грозит деструкцией и смертью. Продолжительность сна имеет большое значение, ведь он не просто занимает часть суток, а «съедает» треть жизни! Если длительность нельзя уменьшить, можно ли повысить эффективность? Оказывается, да. Существуют способы регулировать работу мозга во сне так, чтобы увеличить свою продуктивность без побочных эффектов.

Если Магомет не идёт к АЭС

Reading time5 min
Views36K

image


Энергия — главный ресурс человечества. Точнее, электричество. В обиход оно вошло по историческим меркам совсем недавно, но уже превратилось в источник жизни для нас. Слишком много всего от него зависит: промышленность, производство пищи, водоснабжение, системы управления транспортом, городское освещение, несметное количество приборов и устройств, от лифтов и систем воздухоочистки и вентиляции зданий до вашего ноутбука и мобильника. Если завтра в розетке кончится электричество, сразу начнётся хаос и коллапс. Даже в сельской местности исчезновение электричества будет хоть и не фатальным, но весьма неприятным событием. А для средних и крупных городов это кошмарный сценарий, сравнимый с ковровыми бомбардировками. Электричество — это жизнь.


Мы уже не раз упоминали о том, что многие впечатляющие разработки, технологии и объекты были созданы в нашей стране, чтобы связать информационно, транспортно или ресурсно отдалённые территории и населённые пункты. Не было забыто и электричество. Точнее, его источники. А ещё точнее, в СССР существовали экспериментальные передвижные АЭС. Пуркуа бы, собственно, и не па?

Читать дальше →

Information

Rating
Does not participate
Location
Россия
Registered
Activity