Как стать автором
Обновить
948.43

Информационная безопасность *

Защита данных

Сначала показывать
Порог рейтинга
Уровень сложности

Что это за устройство у меня в комнате?

Уровень сложностиСредний
Время на прочтение13 мин
Количество просмотров49K
Примерно год назад я переехал в новую квартиру. Одной из причин её выбора стал возраст здания. Строить его закончили в 2015 году, что гарантировало неплохую теплоизоляцию на зиму, а также кучу приятных мелочей наподобие Ethernet-разъёмов в каждой комнате. Однако в квартире обнаружилась одна деталь, слишком новая и умная для меня. Вот эта:


Очевидно, что это некий сенсорный экран, но не было никаких указаний на то, чем он управляет. Арендодатель понятия не имел, что это. На устройстве не было ни кнопок, ни надписей, лишь крошечный жёлтый огонёк, дающий понять, что у него есть питание.
Читать дальше →
Всего голосов 149: ↑146 и ↓3+143
Комментарии128

OpenWrt отмечает 20 лет выпуском собственного маршрутизатора

Время на прочтение3 мин
Количество просмотров21K


В 2024 году опенсорсному проекту OpenWrt исполняется 20 лет. Разработчики решили отпраздновать этот юбилей дизайном нативного маршрутизатора OpenWrt One/AP-24.XY. Пока что это идея, предложенная на обсуждение сообществу.

В целом, преимущества свободной прошивки OpenWrt для маршрутизаторов хорошо известны. Это улучшенная безопасность и надёжность работы устройства, продвинутые функции блокировки рекламы, точечное перенаправление трафика по спискам доменов (например, для РФ внутри страны, для РФ снаружи и пр.), установка любых необходимых программ под Linux и др.

С выходом нативного маршрутизатора на рынке появится своего рода базовая референсная модель с идеальной программно-аппаратной совместимостью.
Читать дальше →
Всего голосов 41: ↑41 и ↓0+41
Комментарии46

Фишинг «фичи» Телеграма

Уровень сложностиПростой
Время на прочтение4 мин
Количество просмотров29K

Телеграмм старается быть безопасным, но как написано в их BugBounty программе, социальная инженерия - вне скоупа. В этом я с ними абсолютно согласен. Но они считают, что под это попадают и все небезопасно реализованные функции, которые могут использоваться только для социальной инженерии. В этом уже я с ними не согласен.

В этой статье я расскажу вам про две "фичи", которые исправлять мессенджер не намерен, но которые могут быть легко использоваться для социальной инженерии, особенно в связке.

Читать далее
Всего голосов 120: ↑118 и ↓2+116
Комментарии61

Фишинг «фичи» Телеграма

Уровень сложностиПростой
Время на прочтение4 мин
Количество просмотров29K

Телеграмм старается быть безопасным, но как написано в их BugBounty программе, социальная инженерия - вне скоупа. В этом я с ними абсолютно согласен. Но они считают, что под это попадают и все небезопасно реализованные функции, которые могут использоваться только для социальной инженерии. В этом уже я с ними не согласен.

В этой статье я расскажу вам про две "фичи", которые исправлять мессенджер не намерен, но которые могут быть легко использоваться для социальной инженерии, особенно в связке.

Читать далее
Всего голосов 120: ↑118 и ↓2+116
Комментарии61

Истории

Apple M1 — разбор с точки зрения аппаратной безопасности

Уровень сложностиПростой
Время на прочтение11 мин
Количество просмотров9.4K
Давным-давно, в далёкой-далёкой яблочной компании зародилась идея создать собственный процессор для ноутбуков. И вот, спустя годы, Apple презентовала свой десктопный процессор M1.


В этой статье мы сосредоточимся на разборе безопасности процессора M1 от Apple. Компания всегда уделяла значительное внимание информационной безопасности своих устройств, особенно мобильных. Это не значит, что iPhone или iPad нельзя взломать. Нет, можно, конечно, вопрос лишь в цене. Просто цена взлома iOS существенно выше, чем взлома устройств на других ОС.
Читать дальше →
Всего голосов 46: ↑39 и ↓7+32
Комментарии8

Аутентификация для WebSocket и SSE: до сих пор нет стандарта?

Уровень сложностиСредний
Время на прочтение21 мин
Количество просмотров8K

WebSocket и SSE появились более десяти лет назад, однако до сих пор в стандартах отсутствуют рекомендации по решению задачи аутентификации для подобных соединений.

В статье разберем особенности аутентификации применительно к протоколу WebSocket и технологии Server-Sent Events, обсудим, какие нюансы могут быть, когда клиентская часть находится в браузере, и на что еще стоит обратить внимание, чтобы избежать неочевидных проблем.

А еще заодно поговорим про уязвимость Cross-Site WebSocket Hijacking (CSWSH) и в целом посмотрим на многие вопросы через призму информационной безопасности.

Читать далее
Всего голосов 53: ↑53 и ↓0+53
Комментарии5

Вступил в силу запрет на статьи о Tor и VPN

Время на прочтение5 мин
Количество просмотров61K

С сегодняшнего дня, 1 марта, Роскомнадзор может вносить в реестр запрещённых ресурсов страницы с информацией ‎о способах, методах обеспечения доступа к ресурсам и (или) информационно-телекоммуникационным сетям, доступ к которым ограничен на территории РФ — проще говоря, банить сайты за информацию о VPN, Tor и прочих прокси: как их настраивать или какими сервисами пользоваться.

Читать далее
Всего голосов 74: ↑65 и ↓9+56
Комментарии204

Странный и очень прибыльный мир конкурсов писателей-киберпреступников

Уровень сложностиПростой
Время на прочтение12 мин
Количество просмотров8.2K

Соревнования на форумах киберпреступников в Рунете обещают призовые до 80 тысяч долларов. Всё это происходит почти в открытую, а победителей потом хантят к себе хакерские сообщества. Слышали ли вы об этом секрете Полишинеля?


На всякий случай ссылки давать не буду. И заходить на эти сайты не рекомендую, если у вас нет хороших антивирусов. Но если кто-то об этой истории не знал, велком.

Читать дальше →
Всего голосов 60: ↑57 и ↓3+54
Комментарии14

WinRAR CVE-2023-38831

Уровень сложностиСредний
Время на прочтение4 мин
Количество просмотров7.8K

10 июля 2023 года при исследовании распространения троянского ПО под названием DarkMe, специалистами из Group-IB была обнаружена раннее неизвестная уязвимость в WinRAR, которая касалась обработки zip-архивов. Данная уязвимость получила идентификатор CVE-2023-38831. С помощью этой уязвимости, по данным специалистов Group-IB, злоумышленники производили атаку на пользователей трейдерских форумов с апреля 2023 года. После заражения устройств пользователей, злоумышленники выводили деньги с брокерских счетов жертв. В этой статье мы разберемся, в чем кроется уязвимость и как её можно проэксплуатировать.

Читать далее
Всего голосов 30: ↑30 и ↓0+30
Комментарии24

Взлом космоса — теперь и на STANDOFF 12

Уровень сложностиСредний
Время на прочтение3 мин
Количество просмотров1.8K


В ноябре в рамках конференции Moscow Hacking Week прошла ещё одна кибербитва STANDOFF — мероприятие проводится уже 12-й раз. Однако STANDOFF 12 запомнился не только присвоением звания пятикратного чемпиона команде Codeby, но и новыми отраслями — в разработке одной из них мы приняли непосредственное участие. И если вы следите за нашими новостями, то сможете без проблем ответить, что это была за отрасль… Правильно, космос!

Соревнование было поистине масштабным: 15 команд 4 дня нон-стопом взламывали все из представленных областей (не досталось только сборочной инфраструктуре Positive Technologies, за взлом наивысшего уровня которой организаторы пообещали 5 миллионов рублей). Мы также проводили собственные отборочные испытания, давшие возможность победителям отправиться покорять Государство F в составе команды bRedTeam.
Читать дальше →
Всего голосов 35: ↑33 и ↓2+31
Комментарии1

Биометрические системы Apple и их безопасность

Время на прочтение11 мин
Количество просмотров5K

Сегодня у большинства людей на их мобильных устройствах стоят код-пароли — это может быть как короткий пин-код, так и пароль с использованием букв и цифр. Но несколько десятков раз на дню вводить его было бы просто неудобно. Поэтому многие компании придумали, как упростить процесс разблокировки своих девайсов с помощью биометрии — отпечаток пальца, сканирование лица или сетчатки глаза. Все эти способы имеют свои плюсы и минусы, но в общем-то свою основную задачу успешно выполняют — быстро разблокируют устройство.

Биометрия не является полноценной заменой код-пароля, так как при работе с настройками безопасности и раз в 48 часов вам обязательно нужно его вводить. Тем не менее, она существенно упрощает жизнь. С другой стороны, в случае код-пароля единственным носителем этой информации является ваш головной мозг (да, да, автор не в курсе о существовании бумаги и ручки, всё так), откуда вытащить информацию, конечно, можно, но это очень сложно. Казалось бы, с биометрией всё точно также. Но нет. При определенном старании вы можете заполучить биометрию владельца незаметно для него: отпечаток пальца, параметры лица, ну и сетчатку глаза (это наиболее труднодоступная информация, но из головного мозга достать пароль всё ещё сложнее, не прибегая к известным методам).

Поэтому с помощью биометрии вы не можете получить доступ к тем же настройкам безопасности — вас в любом случае обяжут вводить пароль.

Ещё один путь, по которому можно пойти, дабы заполучить доступ к вашей информации — это взломать устройство, в памяти которого находятся биометрия и пароль. Именно поэтому компании особенно тщательно оберегают такие данные не только на программном уровне, но и на аппаратном. Как? Давайте поговорим об этом, предварительно рассмотрев, каким образом, собственно, работает сканирование вашей биометрии.

Читать далее
Всего голосов 36: ↑34 и ↓2+32
Комментарии0

Переделали всё, не разломав ничего, или Проект по информационной безопасности (взглядом PM)

Время на прочтение10 мин
Количество просмотров4.5K

Тихо скрипнула задвижка, дверь открылась, и вот они — специалисты информационной безопасности со своими задачами. Куда бежать? Кого спасать? Где лазейки? А поздно! Мы уже всё увидели, услышали и готовы действовать. Новость или само появление отдела информационной безопасности (или Cyber Security-направления) в большой, узнаваемой на рынке компании с хорошей репутацией, часто встречается сотрудниками компании очень неоднозначно.

В данной статье поделюсь своими «заметочками» и полученным опытом в изменении уже функционирующих процессов разработки в компании. Процессов, которыми пользуются абсолютно все в компании. 

Читать далее
Всего голосов 30: ↑29 и ↓1+28
Комментарии8

История любви или как мы «взломали» телеграм бота анонимных вопросов

Уровень сложностиСредний
Время на прочтение4 мин
Количество просмотров12K

Статья о том, как нам разбили сердце и о том, как обычная кнопка может стать главным фактором деанонимизации пользователя, который прислал вам сообщение в бота анонимных вопросов.

Читать далее
Всего голосов 30: ↑28 и ↓2+26
Комментарии9

Ближайшие события

Анатомия мошенничества «Заработай онлайн»

Уровень сложностиПростой
Время на прочтение8 мин
Количество просмотров14K

Все мы неоднократно отвечали на телефонные звонки от так называемых “сотрудников МВД” и “служб безопасности” банков. Если не вы лично, то кто-то из знакомых или родственников, сталкивались с аферистами при покупке или продаже товаров на Авито или Юле. Лично меня эти радости не обошли стороной. С учетом долгоиграющей карьеры в информационной безопасности (более 15 лет) я не могу остаться равнодушным к проблеме мошенничества в интернете и спекуляции на человеческих слабостях. Именно поэтому поделюсь с вами историей о том, как меня пытались вовлечь в схему развода на деньги простым призывом заработать онлайн. 

Читать далее
Всего голосов 78: ↑76 и ↓2+74
Комментарии44

SmartFlow: «В начале был пароль...» или новая аутентификация VK ID

Уровень сложностиПростой
Время на прочтение10 мин
Количество просмотров3K

Привет, Хабр! Исторически сложилось, что первым способом аутентификации (в 1960-х) с появлением доступных компьютеров стал пароль. О рисках его использования и об изобретённых человечеством альтернативах мы подробно рассказали в статье о будущем беспарольной аутентификации. Этот подход к проверке подлинности пользователя мы начали развивать с апреля 2022 года и развиваем по сей день.

Меня зовут Саша, я работаю Android-разработчиком в команде VK ID. Мой рассказ — про SmartFlow, новый процесс аутентификации ВКонтакте, нюансы его внедрения и отличия от старого процесса переключения факторов. Разумеется, рассказывать буду применительно к Android-платформе. 

Читать далее
Всего голосов 27: ↑26 и ↓1+25
Комментарии10

«Захватить флаги!»: решаем задачи с DiceCTF 2024 Quals

Уровень сложностиПростой
Время на прочтение9 мин
Количество просмотров2.1K

Привет, Хабр! В начале февраля команда DiceGang провела квалификацию DiceCTF 2024 Quals. Это был Jeopardy-турнир длительностью 48 часов. Он состоял всего из пяти направлений: crypto, misc, pwn, rev и web. Как специалисту по информационной безопасности, мне нравится участвовать в подобных мероприятиях. Под катом расскажу, как я решил несколько задач из последней категории.

Дисклеймер: данный материал не обучает хакингу и взлому и не призывает к совершению противозаконных действий. Все описанное ниже лишь демонстрирует, какие пробелы в безопасности встречаются в реальных веб-приложениях. И предупреждает, на что нужно обратить внимание при разработке программного обеспечения.
Читать дальше →
Всего голосов 29: ↑29 и ↓0+29
Комментарии0

«Захватить флаги!»: решаем задачи с DiceCTF 2024 Quals

Уровень сложностиПростой
Время на прочтение9 мин
Количество просмотров2.1K

Привет, Хабр! В начале февраля команда DiceGang провела квалификацию DiceCTF 2024 Quals. Это был Jeopardy-турнир длительностью 48 часов. Он состоял всего из пяти направлений: crypto, misc, pwn, rev и web. Как специалисту по информационной безопасности, мне нравится участвовать в подобных мероприятиях. Под катом расскажу, как я решил несколько задач из последней категории.

Дисклеймер: данный материал не обучает хакингу и взлому и не призывает к совершению противозаконных действий. Все описанное ниже лишь демонстрирует, какие пробелы в безопасности встречаются в реальных веб-приложениях. И предупреждает, на что нужно обратить внимание при разработке программного обеспечения.
Читать дальше →
Всего голосов 29: ↑29 и ↓0+29
Комментарии0

Российские сайты начали удалять статьи о VPN

Время на прочтение4 мин
Количество просмотров18K

Газета «Коммерсант» заметила, что некоторые российские сайты начали досрочно удалять статьи о VPN в преддверии запрета на их «популяризацию». В заметке «Рунет самоочищается к весне» они сообщили, что форум 4PDA и корпоративное медиа Skillfactory, полностью удалили информацию о VPN, включая инструкции по настройке сети или подборки сервисов по обходу блокировок. Происходит это в преддверии вступления в силу запрета на популяризацию VPN-сервисов и публикацию информации о способах обхода блокировок с 1 марта.

Читать далее
Всего голосов 32: ↑31 и ↓1+30
Комментарии52

Пароли в открытом доступе: ищем с помощью машинного обучения

Уровень сложностиСредний
Время на прочтение18 мин
Количество просмотров9.5K

Я больше 10 лет работаю в IT и знаю, что сложнее всего предотвратить риски, связанные с человеческим фактором. 

Мы разрабатываем самые надежные способы защиты. Но всего один оставленный в открытом доступе пароль сведет все усилия к нулю. А чего только не отыщешь в тикетах Jira, правда?

Привет, меня зовут Александр Рахманный, я разработчик в команде информационной безопасности в Lamoda Tech. В этой статье поделюсь опытом, как мы ищем в корпоративных ресурсах чувствительные данные — пароли, токены и строки подключения — используя самописный ML-плагин. Рассказывать о реализации буду по шагам и с подробностями, чтобы вы могли создать такой инструмент у себя, даже если ML для вас — незнакомая технология.  

Читать далее
Всего голосов 30: ↑30 и ↓0+30
Комментарии13

Знакомство с DevSecOps Guideline: правила организации безопасной разработки на уровне процессов

Время на прочтение10 мин
Количество просмотров4.7K


Количество киберинцидентов постоянно увеличивается, что вынуждает компании реагировать на растущие риски и делает практику DevSecOps обязательной для соблюдения при разработке ИТ-продуктов. При этом топорное внедрение мер не просто не гарантирует безопасность разработки, а может вызвать обратный эффект.
Читать дальше →
Всего голосов 33: ↑32 и ↓1+31
Комментарии3