Мы представляем TorusCSIDH — полностью реализуемую постквантовую криптосистему на основе изогений суперсингулярных кривых. Она совместима с Bitcoin, не требует хардфорка и защищена не только алгеброй, но и оригинальным геометрическим критерием, основанным на структуре графа изогений.
Это продолжение статей «161-ФЗ и апелляция на Bybit: как я победил треугола» и «Блеск и ад p2p-торговли на Bybit». В этой статье герой интервью расскажет о конкретных деталях работы 161‑ФЗ на практике, о том, как он живёт под его действием и как пытается выбраться из-под него.
До недавнего времени криптографическая безопасность оценивалась через эмпирические тесты: проверка на устойчивость к известным атакам, статистический анализ случайности и т.д. Однако такой подход имеет фундаментальный недостаток — он может подтвердить наличие уязвимости, но не может доказать безопасность.
Наше открытие совершает парадигмальный сдвиг: безопасность — это не отсутствие структуры, а наличие правильной структуры.
Современное образование безопасной разработке выглядит крайне уныло:
Баги старых годов оторванные от реальности, лабораторные на которые везде можно найти прохождение. Уявзимости появляются крайне быстро а делать под них стенды крайне дорого и долго. Сегодня расскажу как решаем эту проблему
Некоторое время назад на Reddit завирусилась эта фотография. Это сравнение пальца шимпанзе и пальца человека. Она подтверждает, что отпечатки пальцев — наше древнее эволюционное приобретение. Узоры на пальцах действительно являются уникальным биометрическим идентификатором не только у человека, но и у горилл, и шимпанзе. Отпечатки пальцев как биометрический идентификатор привлекли внимание чиновников и криминалистов Британской империи в середине 19 века. Систематическое изучение узоров на подушечках пальцев (дактилоскопия) развивается с конца 19 века, когда количество жителей в мегаполисах, частота и плотность совершаемых преступлений способствовали развитию дактилоскопии как одной из первых областей «больших данных». В тот же период (1880-е годы) развивалась альтернативная техника под названием «бертильонаж», изобретённая французским юристом Альфонсом Бертильоном (1853 — 1914). Бертильонаж был прототипом биометрии, и в таком качестве сейчас даже возрождается, но в своё время проиграл дактилоскопии по практичности, точности и информационной ёмкости. Но сколько времени существует дактилоскопия — столько времени предпринимаются попытки в принципе избавиться от отпечатков пальцев, как хирургическими, так и химическими методами. Об этом мы расскажем в статье.
Писать код с LLM — очень легко, просто и весело. Не нужно мучаться с документацией, не нужно фиксить баги. Вообще ничего не нужно. Только инструкцию в чат написать. Раз-два — и всё готово. Заманчиво? Да. Но у всего есть цена — и про неё важно помнить.
Сейчас разберём, как именно AI-агенты могут сломать твой прод и что можно сделать, чтобы очередной вайб-кодинг не превратился в катастрофу. В конце — чеклист, который поможет не упустить ничего важного.
Исследователи информационной безопасности и охотники за багами часто сталкиваются с трудностью перехвата трафика приложений на Flutter, поскольку эта технология не поддерживает системные настройки прокси. В данном материале я расскажу, каким образом я обошел данное ограничение.
Название приложения будет скрыто, допустим, приложение называется XYZ.
Настроив Burp Suite прокси на телефоне / эмуляторе и попытавшись перехватить трафик приложения, я не добился никаких результатов.
Всем привет! Сегодня мы поговорим о том, как использовать Google Таблицы в одной из фундаментальных задач в OSINT — поиск по никнейму.
Как вы уже знаете, Google Таблицы — это мощный инструмент, который допускает гибкую настройку под широкий спектр задач. С его помощью мы можем автоматизировать и анализ никнеймов: от проверки соцсетей и электронных почт до анализа активности на найденных страницах и подтягивания данных из веб-архивов. За подробностями добро пожаловать под кат!
Привет!
Ко дню программиста мы с коллегами из TrueConf предлагали вам пройти небольшой ИБ-опрос. Целиком форму заполнили 106 человек, теперь же, как обещали — сводная статистика.
История о том, как современный подход к лицензированию вендора поставил нас в тупик, а решение нашлось в самом неожиданном месте.
Привет, Хабр!
Наверняка у многих из вас бывали такие дни. Приезжает новое, блестящее железо. В нашем случае — маршрутизатор Cisco ISR4331/K9. Задача стандартная: поднять на нём Site-to-Site VPN для клиента. Процедура, казалось бы, отработана до мелочей. Но, как говорится, есть один нюанс.
Оборудование было поставлено с предустановленной PLR (Permanent License Reservation) лицензией. Это современный механизм, который пришёл на смену классической активации через Smart Account, ставший недоступным в РФ. Теоретически, PLR — это благо: лицензия вечная, привязана к устройству и даёт право использовать весь функционал. На практике же мы столкнулись с тем, что самый нужный нам инструмент — команда crypto map — в консоли просто отсутствовал.
Привет, Хабр!
Наверняка у многих из вас бывали такие дни. Приезжает новое, блестящее железо. В нашем случае — маршрутизатор Cisco ISR4331/K9. Задача стандартная: поднять на нём Site-to-Site VPN для клиента. Процедура, казалось бы, отработана до мелочей. Но, как говорится, есть один нюанс.
Хабр, привет! На связи Александр Леонов, ведущий эксперт PT Expert Security Center и дежурный по самым опасным уязвимостям месяца. Мы с командой аналитиков Positive Technologies каждый месяц исследуем информацию об уязвимостях из баз и бюллетеней безопасности вендоров, социальных сетей, блогов, телеграм-каналов, баз эксплойтов, публичных репозиториев кода и выявляем во всем этом многообразии сведений трендовые уязвимости. Это те уязвимости, которые либо уже эксплуатируются вживую, либо будут эксплуатироваться в ближайшее время.
С прошлого дайджеста мы добавили 3 трендовые уязвимости.
Интернет‑провайдер работает в условиях, где сбой в инфраструктуре или успешная атака могут обернуться не просто потерей клиентов, а остановкой критичных сервисов для целых регионов. Поэтому подход «поставим пару фильтров и сделаем бэкап» давно не работает. На первый план выходит системная работа по обеспечению непрерывности бизнеса (BCM) и киберустойчивости. Это и проектирование сетей, и резервирование каналов до интеграции SOC, и импортонезависимые средства защиты.
В этой статье разберём ключевые стратегии и технологии, которые позволяют провайдерам держать сервис «на плаву».
В этой статье мы узнаем, что такое chains of gadget, и рассмотрим на примерах (с картинками), как неаккуратная десериализация через нативные Java механизмы может привести к удалённому выполнению кода.
Как защитить Kubernetes, если злоумышленник попытается выбраться из контейнера на хост? Рафаэль Натали предлагает многоуровневый подход: настройка Security Context, отказ от лишних прав, запуск контейнеров без root-доступа, а также усиление защиты с помощью AppArmor и seccomp.
Всем привет. Меня зовут Аня (SavAnna) я работаю AppSec и как хобби занимаюсь багбаунти. Багбаунти - отличный способ отдохнуть от своих сервисов и сменить фокус с "защиты" на "нападение". Не всегда баги ищутся целенаправленно - иногда это происходит случайно. Хочу показать, что много странных и простых багов может найти каждый.
Что-то очень много вопросов про согласие и его оформление задают мне в последнее время. Поэтому решил написать много текста в виде максимально развернутого ответа на эту тему. Надеюсь кому-то поможет разобраться в теме. Так что наливаем чай или кофе, и приступаем :-)
Привет, Хабр!
На связи Артемий Новожилов, архитектор систем ИБ и автор ТГ-канала Data Security и Дмитрий Ларин, руководитель продуктового направления по защите баз данных, группа компаний «Гарда». С нами вы могли познакомиться по таким статьям как маскирование и Apache Kafka. И сегодня мы хотим продолжить тему маскирования данных.
Современные компании обрабатывают огромные объемы конфиденциальных данных: персональные данные (как сотрудников, так и партнеров и клиентов), информацию о клиентах и их заказах, финансовые и бухгалтерские сведения, данные, относящиеся к коммерческой тайне и интеллектуальной собственности, а также технические настройки и доступы. В связи с этим возникают повышенные риски утечки данных, сложности с соблюдением требований законодательства (например, ФЗ-152 и GDPR), угроза инсайдерских атак, а для тестов или аналитики приходится создавать отдельные копии баз данных (БД).
Один из эффективных способов защиты данных – динамическое маскирование (Dynamic Data Masking, DDM).
В этой статье мы рассмотрим, как топологические методы меняют или будут менять наше понимание безопасности. Мы увидим, что безопасность не достигается через максимальную случайность, а через специфическую, строго определенную топологическую структуру — тор с максимальной энтропией. Это не просто шаг вперед — это прыжок в новую эпоху, где безопасность перестает быть верой и становится наукой.
Про управление рисками достаточно подробно написано в соответствующих учебниках, стандартах и методологиях, нет смысла пересказывать то же самое еще раз. Но недавно коллега, беседуя по вопросам рисков, поделился одним изящным решением придуманным недавно в ходе мозгового штурма и был удивлен, когда узнал, что в моей библиотеке практик это решение присутствует уже несколько лет. Поэтому хотелось бы поделиться некоторым набором практических подходов, которые, возможно, помогут другим хотя бы сэкономить время.
Однако, прежде чем рассказывать что‑либо о рисках, надо все таки обратиться к основам и определиться с терминами. Нужно сразу оговориться, что на практике иногда используют двойственную природу риска, говоря, что кроме опасностей он несет и возможности, но в данном случае мы будем рассматривать только о негативную сторону рисков.
В дискуссиях и спорах, для обоснования своей точки зрения при разработке стратегий, планировании бюджета и особенно при прохождении проверок и аудитов, участники часто используют термины «высоко‑рисковый», «риск‑ориентированный», «аппетит к риску». Но если спросить, что каждый из них под этим понимает, может выясниться, что понимание у всех разное.
Обычно используют определение из методик COSO (The Committee of Sponsoring Organizations) или стандартов ГОСТ серии 31 000 в виде: «Риск это следствие влияния неопределенности на достижение поставленных целей» либо более коротко, как в стандартах ГОСТ 27 000 или ГОСТ 51897: «Влияние неопределенности на достижение целей». Это определение полезно тем, что привязывает риск к бизнес‑цели и дает возможность отсечь то, что не относится к достижению целей бизнеса. Но, к сожалению, в таком определении отсутствуют четко измеряемые показатели. Поэтому обычно рядом с таким определением есть уточнение или примечание, как в том же стандарте 31000, где говорится, что понятие риска связано с размером потенциального ущерба и вероятностью его наступления. Таким образом у нас появляются два параметра, которые можно измерять.
Данная статья посвящена обзору целого класса способов и техник атак, направленных на маскирование своей активности и обход имеющихся механизмов защиты и обнаружения. Этот класс техник атак достаточно стар и носит название Living Off the Land, он активно используется злоумышленниками на протяжении последних нескольких десятилетий — сейчас практически ни одна APT атака не обходится без использования данных техник. Они завоевали огромную популярность среди злоумышленников в первую очередь ввиду того, что в силу своей природы позволяют им оставаться ниже радара SOC, маскируясь под легитимные системные события. Эти техники подразумевают использование имеющихся механизмов ОС и доверенных, не вызывающих подозрения инструментов, для скрытного выполнения кода, горизонтального перемещения, удаленного контроля, сбора данных, повышения привилегий и т.д. Также в статье будут рассмотрены способы обнаружения и противодействия данному классу техник атак.
