Информационная безопасность *

Это часть 2. Первую часть смотреть по ссылке.

Данная статья является второй из цикла по описанию особенностей построения приложений с использованием идей, описанных в книге «Искусство неизменяемой архитектуры: теория и практика управления данными в распределенных системах».

Описание создаваемого ТЕСТОВОГО / ТРЕНИРОВОЧНОГО приложения и базовые сокращения можно найти в начале первой части.

В рамках данной статьи будет описана задача реализации аутентификации внешних клиентов/сервисов с помощью сертификатов и идей «неизменяемой архитектуры».

Что такое аутентификация и ее отличие от авторизации можно уточнить по этой ссылке.

Cursor — AI-powered IDE на базе VS Code, которая обрабатывает миллионы строк кода разработчиков через свои серверы. Когда я задумался о безопасности этого продукта, возник вопрос: насколько надёжна серверная модель авторизации, которая стоит между бесплатным пользователем и Claude 4 Opus?

Геопространственная разведка (GEOINT) привлекает все больший интерес и внимание широкой общественности. Действительно, способность синтезировать сложные ситуации в визуальных представлениях позволяет ей напрямую охватить большую аудиторию

— В этой статье мы разберёмся с GEOINT и покажем, что подобные исследования доступны каждому

В марте 2026 году криптографы из Google Quantum AI опубликовали доказательство, что сверхпроводящий квантовый компьютер с 500 000 физических кубитов (это 1200 кубитов с коррекцией ошибок) способен взломать приватные ключи Bitcoin максимум за 9 минут (быстрее, чем 10-минутное время генерации новых блоков). Хотя опасность квантовых вычислений для традиционных шифров известна давно, ранее для этого предполагалась более серьёзная конфигурация, чем 500 тыс. кубитов.

Новое доказательство поднимает перед финансовой индустрией несколько вопросов. Самый главный — когда будут разработаны и поступят в продажу квантовые компьютеры на 500 тыс. кубитов, если сейчас у самого мощного около 150 кубитов?

Исследователи Google Quantum AI в техническом отчёте дают рекомендации по минимизации ущерба.

Когда компания Anthropic анонсировала свою большую языковую модель Mythos , на первый взгляд этот инструмент произвёл неиллюзорное впечатление, а кого-то и всерьёз озаботил. Но, вчитавшись в материалы о Mythos, замечаешь, что общественный отклик не столь однозначен, как броские заголовки. То и дело приводится цифра «до 20 000 долларов», но она не означает, что Mythos походя нашла один катастрофический баг, поиск которого был оценён в такую сумму. В собственном отчёте компании Anthropic описано, что в эту сумму входит обширный поиск, сложившийся из тысячи взаимодополняющих прогонов, а найдено было несколько десятков трофеев. Бесспорно, это тоже замечательное достижение, но правда отличается от той патетической версии событий, которую подхватила молва. Далее компания Mozilla выпустила статью, в которой рассказала, что при помощи Mythos удалось выявить в браузере Firefox 150 множество проблем, найденных средствами ИИ, причём, они клонят всё к тому же: искусственный интеллект всерьёз заявил о себе в поиске уязвимостей. В оригинале этот пост называется «The zero-days are numbered» (Нулевые дни сочтены).

В Государственную думу Российской Федерации 26 декабря 2025 года внесён законопроект № 1110676-8, который изменяет и дополняет сразу несколько законов. Интересных моментов в этом законопроекте много, рассмотрю только самые на мой взгляд существенные.

Обычно говорят:
- ручки просто стали не нужны
- помогали удерживать добычу
- участвовали в брачных играх
Но есть и другая, куда более жёсткая гипотеза, о которой и читайте в этой статье.

Думаю, вы уже в курсе, что происходит в РФ с белыми списками: работают белые списки, ТСПУ в режиме drop-all пропускает только одобренные IP + SNI, рунет медленно, но верно становится интранетом

Мы просканировали 46 млн российских IP-адресов, нашли 63 тысячи выживших, разобрали работу ТСПУ. И главное - актуальные методы пробива (от Serverless-функций и покупки VPS с белым IP до туннелей через WebRTC).

В 1980-е годы произошли еще два события, благодаря которым биометрия теоретически превращалась в абсолютно точную науку. В 1984 генетик из Лестерского университета Алек Джеффрис открыл в ДНК человека повторяющиеся последовательности нуклеотидов, уникальные для каждого человека, а в следующем 1985 году в журнале «Nature» он опубликовал одну за другой две статьи, которые сделали его открытие, как любили говорить как раз в те годы в нашей стране, достоянием гласности. 

В номере «Nature» от 7 марта 1985 года в статье под заголовком «Гипервариабельные «минисателлитные» участки в ДНК человека» он писал: «Геном человека содержит множество диспергированных тандемно повторяющихся «минисателлитных» участков из 10-15 пар оснований… Многие минисателлиты сильно полиморфны из-за аллельных вариаций в количестве копий повторов в минисателлитах. Зонд, основанный на тандемном повторении ядерной последовательности, может одновременно обнаруживать множество сильно вариабельных локусов и служить индивидуальным “отпечатком” ДНК при генетическом анализе человека».

Если вы сейчас вкатываетесь в Linux на фоне хайпа вокруг DevOps и инфобеза — статья для вас.

Собрал в одном месте всё, что нужно знать о правах в Linux, простым и понятным языком: символьная и восьмеричная нотация, SUID/SGID/Sticky bit, SELinux-контекст, DAC, MAC, RBAC, ABAC, команды ls/stat/chmod/chown/find — с примерами и схемами, к которым легко вернуться.

На старых Intel Mac установка proxy-клиента часто превращается в странный квест: если приложение ставится, подписка импортируется, серверы вроде бы появляются, но рабочего подключения всё равно нет. На macOS Catalina 10.15.8 эта проблема ощущается особенно остро: часть современных клиентов уже не поддерживает систему, часть формально запускается, но ломается на встроенном core, а автоматический импорт VLESS/Reality-конфигов может создавать пустую заглушку вместо рабочего профиля.

Эта инструкция написана не экспертом по сетям, а обычным пользователем для таких же обычных пользователей. Я собрал в одном месте весь путь, который реально сработал у меня на старом Intel iMac: как понять, какая версия клиента вообще подходит для Catalina, где брать старые релизы, как распознать сломанный импорт, как вручную собрать рабочий config и почему Telegram Desktop может не заработать, даже когда браузер уже работает.

Служба каталогов Active Directory остается одной из самых популярных целей как среди злоумышленников, так и среди специалистов по Red Teaming и пентестеров. С выходом новых версий операционных систем семейства Windows продолжают появляться новые векторы атак на AD, например атаки на Delegated Managed Service Accounts (dMSA) в 2025-м.

В ходе каждой атаки есть этап сбора информации, обнаружение которого является более сложной задачей, чем кажется на первый взгляд. Согласно аналитическому отчету нашего сервиса MDR за 2025 год в целом обнаружение данного этапа атак затруднено из-за большого количества ложных срабатываний, что снижает качество обнаружения и уменьшает вероятность предотвращения атаки, особенно в больших инфраструктурах с тысячами активов.

Меня зовут Степан Ляхов, я работаю старшим инженером SOC в «Лаборатории Касперского». В этой статье я хочу рассмотреть один из самых популярных инструментов для сбора информации о домене Active Directory, разобрать, какие следы он оставляет в журналах и как обнаружить его активность.

Когда сотрудник открывает письмо и видит вложение invoice.pdf — он знает, что это документ. Когда он видит setup.exe — большинство уже насторожится. А когда он видит scan_12.html — он, скорее всего, подумает, что это “какая-то страничка” и кликнет без задней мысли.

Хотя на самом деле .html — это программа. Маленькая программа для браузера, которая может делать всё то, что умеет JavaScript на стороне клиента. В том числе — собрать ZIP-архив прямо в памяти и скачать. Без единого запроса наружу.

Это работает. И будет работать дальше. Разбираемся почему.

31 декабря 2025 выходит новость на Anti-Malware.ru, что сайт Роскомнадзора упал.

В новостях пишут про некую “группировку”, которая кошмарит сайты ради саморекламы.

Внутри, кому на самом деле “повезло” стать хакерской группировкой.
И как правильно принимать новогоднее поздравление типа "Поздравляем, Ваш сайт Лег!".

Как ИИ поменял пентест уже вчера и где взять материалы для подготовки к сертификации по безопасности ИИ на русском языке и в одном месте

Kerberos — один из тех протоколов, которые в инфраструктуре работают «тихо». Пользователь вошёл в систему один раз, и дальше всё открывается без лишних вопросов. За этим удобством стоит строгая модель доверия, построенная вокруг KDC и тикетов.

Но есть нюанс: классический Kerberos — это по сути однофакторная аутентификация. Если пароль скомпрометирован, вся цепочка доверия находится под угрозой.

В этой статье разберём, как можно усилить Kerberos с помощью второго фактора и как это реализовано в связке MULTIDIRECTORY и MULTIFACTOR.

> Названием «глухарь» птица обязана известной особенности токующего в брачный период самца утрачивать чуткость и бдительность, чем часто пользуются охотники

Защита программного кода — извечная битва меча и щита. Одни люди стараются создать устойчивые ко взлому программные и аппаратные продукты, другие пытаются эти решения сломать. Но что происходит, когда команда, специализирующаяся на взломе, выпускает на рынок свой продукт? Можно ли в этих обстоятельствах разработать устройство, защиту которого невозможно обойти?

Сегодня мы посмотрим внутрь флеш-картриджа для Nintendo Switch под названием MIG Switch и раскроем тайну его происхождения! Ну и в качестве побочного квеста победим защиту одного из самых современных микроконтроллеров на рынке.

Привет, Хаброжители! Мы открыли предзаказ на книгу «Охота за киберугрозами» Надема аль-Фардана. Предлагаем ознакомиться с отрывком «Процесс охоты за угрозами».

Процесс охоты за угрозами состоит из трех этапов: подготовки, проведения охоты и коммуникации. В следующих подразделах они будут рассмотрены подробнее.

Биометрия в России все активнее регулируется в последние годы. Федеральный закон № 572-ФЗ от 2023 года диктует новые правила. Теперь все биометрические векторы граждан централизованно хранятся в Единой биометрической системе (ЕБС), и чтобы их использовать, нужно обращаться напрямую к государству. А еще появились коммерческие биометрические системы (КБС) — с их помощью компании могут «арендовать» биометрические векторы из ЕБС для реализации своих сценариев аутентификации.

Привет! Я Кузьмин Иван, отвечаю за продукт МТС KYC Платформа — систему для автоматической проверки документов, идентификации пользователей и эффективной защиты от мошенничества. В посте попробовал объяснить в общих чертах, как сейчас регулируется биометрия в России, в чем сложность внедрения биометрических систем и что делать, если и до вас добрались требования регуляторов.

Нередко в процессе реверс-инжиниринга мы сталкиваемся с STL-кодом, анализ которого на первый взгляд кажется затруднительным. Неопытный глаз может принять этот код за полезный и потратить время на анализ какого-нибудь конструктора.

На самом деле, здесь важно потратить время на то, чтобы распознать STL-контейнер по косвенным признакам, быстро понять, где какие данные лежат, типизировать их и идти дальше. В новой серии публикаций мы расскажем о самых распространенных контейнерах STL и начнем с std::vector.