Информационная безопасность *

Эффективность сайта в немалой степени зависит от его репутации. Избавить пользователя от спама – одна из важнейших задач в сети для добросовестного бизнеса. Для борьбы со спамом формируются списки хостов-спамеров, которые помещаются в блеклисты, формируя DNSBL. ХостТрекер предлагает функционал, который, помимо обычной проверки доступности сайта, проверяет домен на попадание в DNSBL.

Компания Starbucks Coffee, владеющая крупнейшей сетью кофеен в мире, никак не может победить мошенников, опустошающих банковские карты их клиентов. Мошенники, взломав учётную запись клиента сети, уводят деньги с банковской карты через подарочные сертификаты, которые затем продают.

Жертвами мошенников стали те из клиентов Старбакс, кто, зарегистрировав учётную запись на сайте компании, привязал к ней свой paypal-кошелёк или данные банковской карты. Такая комбинация позволяет покупать электронные подарочные карты и даже отправлять их на произвольный e-mail. Затем этими картами можно расплачиваться в кофейнях сети.

Судя по всему, хакеры эксплуатируют природную лень и отсутствие элементарных навыков интернет-безопасности у людей, которые сплошь и рядом используют одинаковые логины и пароли. Воспользовавшись периодически утекающими в сеть из разных источников базами логинов с паролями, несложно получить доступ к онлайн-аккаунтам клиентов Starbucks.

Форум Positive Hack Days славится своей разносторонней и оригинальной конкурсной программой. Соревнования по анализу защищенности систем ДБО, АСУ ТП и банкоматов стали визитной карточкой PHDays.

Однако мы не собираемся останавливаться на достигнутом и сегодня представляем вашему вниманию три совершенно новых хакерских конкурса, принять участие в которых сможет любой участник мероприятия.

Как и в прошлом году, редакция «Хакера» приглашает своих читателей превратиться в писателей и бесплатно попасть на конференцию Positive Hack Days. Пять лучших материалов, которые вы пришлете до 15 мая 2015 года, будут опубликованы на страницах издания, а их авторы получат гонорар вместе с приглашениями на форум.

Помимо редакции журнала, материалы оценит программный комитет, который отвечает за Call for Papers на PHDays. Автор наиболее интересного исследования на темы компьютерной криминалистики, практических взломов, атак на веб- и корпоративные приложения, новых открытий в области конкурентной разведки и т.д. получит сразу три инвайта на форум, а остальные участники — по одному приглашению.

От переводчика: в процессе программирования никогда не забываю о том, что я опасно некомпетентен в криптографии, и всем советую исходить из этого тезиса (ну, может быть кроме вас и еще вон того крутого парня). Однако, так или иначе, в процессе работы возникают задачи, связанные с защитой данных, и их надо решать. Поэтому я предлагаю вашему вниманию перевод статьи финского разрабочика Timo H, которая показалась мне достаточно интересной и полезной.

Важный update: в комментариях SamDark сделал замечание, что библиотека Mcrypt давно не поддерживается и имеет ряд недоработок, поэтому рекомендуется использовать OpenSSL. Если требуется переписывать имеющийся код, то может помочь эта статья. Кроме того, есть сведения, что Mcrypt может быть удален в PHP7.

Это краткое руководство о том, как избежать распространенных ошибок с симметричным шифрованием на PHP.

Будем рассматривать случай, когда данные обрабатываются на стороне сервера (в частности, шифрование происходит на сервере, а данные могут быть получены, например, от клиента в виде открытого текста, пароля и т.п.), что является типичным случаем для PHP-приложений.

Cведения из этого руководства не стоит использовать для создания шифрованных сетевых соединений, которые имеют более сложные требования. Для таких случаев надо использовать spiped или TLS.

Естественно, рекомендации, приведенные здесь, не являются «единственно возможным способом» организации шифрования на PHP. Цель этого руководства — попытаться оставить поменьше места для ошибок и сложных неоднозначных решений.

На хакерскую конференцию Defcon летом этого года привезут одну из моделей электромобиля Tesla, и все желающие могут попробовать взломать его. Естественно, не физически взломать, выбив двери или окна, а через встроенную компьютерную систему.

«Выгода для Tesla будет двоякой, — считают аналитики. — Они узнают о багах в машине и узнают тех хакеров, которых стоит нанять на работу». Добавим, что есть и третья потенциальная выгода: если уязвимостей не найдут, то Tesla может использовать этот факт для рекламы.

2 года назад на Хабре появился радужный пост о том, как скоро будет запущен первый полностью защищенный мессенджер от создателей пиратской бухты. Прошло время, вышел Telegram, Whatsapp обзавёлся шифрованием, а Hemlis так и не появился в онлайн-магазинах для мобильных платформ. Разработчики по началу исправно кормили завтраками в твиттере, переодически выкладывали отчёты в своём блоге, и тратили пожертвования на сумму $100 000, собранные в первые 36 часов.

Cообщение полугодовой давности о том, что в ближайшем будущем MS & Google будут считать некоторые сертификаты серверов «недоверенными». Как следствие, в браузерах сервер будет не «зелёненьким», а «красненьким», что совсем не понравится клиентам.

www.symantec.com/connect/blogs/google-s-sha-1-deprecation-plan-chrome

В частности, к проблемным сертификатам относятся сертификаты серверов с подписью SHA-1/SHA-2 у котороых промежуточный сертификат содержит SHA-1 (но рутовый CA может содержать SHA-1).

У многих наших клиентов и потенциальных заказчиков установлены те или иные средства отслеживания активности на файловых серверах, SharePoint сайтах, Exchange и даже Active Directory. И всё это вроде даже работает – можно зайти в программу, сгенерировать отчеты, просмотреть статистику и выявить нестандартные шаблоны поведения. Но дьявол кроется в мелочах – проверять такие вещи необходимо регулярно, на постоянной основе, а не когда данные уже окажутся в чужих руках. Как показывает практика, делают это совсем не многие, несмотря на наличие соответствующих технических возможностей.

Но существует достаточно простой выход – автоматизация. Настроить всё один раз, а потом сидеть, попивать чаёк и реагировать только в случае возникновения подозрительных ситуаций – что может быть лучше? О том, что можно и даже нужно автоматизировать и на какие события высылать уведомления, мы и поговорим в рамках данной статьи.

18-20 апреля в МИФИ на базе факультета кибернетики и информационной безопасности состоится третья всероссийская студенческая олимпиада по информационной безопасности. Принять участие в соревновании могут не только студенты МИФИ, но и учащиеся других вузов в возрасте 18-25 лет.

Не так давно прошла первая волна Call For Papers форума по информационной безопасности PHDays V. Представляем вашему вниманию новую порцию выступлений, которые прозвучат 26—27 мая в Москве (на Хабрахабре можно почитать первый и второй анонсы). Докладчики расскажут, как повысить безопасность iOS-приложения, чем суперкомпьютер привлекает хакеров и как его защитить, а также поведают о взаимоотношениях продавцов и покупателей эксплойтов уязвимостей нулевого дня.

Наша компания продолжает развивать линейку библиотек, которые позволяют встраивать электронную подпись с использованием российских криптоалгоритмов в информационные системы различного типа.

Некоторое время назад мы поддержали Рутокен ЭЦП в openssl, затем выпустили кроссплатформенный плагин для браузера, а теперь сделали высокоуровневую криптобиблиотеку для встраивания в С++ приложения.

Концептуально данные решения выполнены идентично: используется аппаратная реализация российских криптоалгоритмов на чипе Рутокен ЭЦП, обеспечивается поддержка цифровых сертификатов X.509, запросов на сертификаты PKCS#10, подписанных и зашифрованных сообщений CMS.

Новая библиотека пригодится тем, кто пишет «толстые клиенты», десктопные приложения, свои браузерные плагины и т.п.

Поддерживаемые устройства:

• USB-токен Рутокен ЭЦП
• Смарт-карта Рутокен ЭЦП
• Bluetooth-токен Рутокен ЭЦП
• Trustscreen-устройство Рутокен PINPad
• USB-токен Рутокен WEB (HID)

Основные сценарии применения библиотеки с примерами кода под катом.

Если точнее, то SSL/TLS сертификаты. Если смотреть трезво, то использовать теперь следует только TLS. Но сертификат-то что для SSL, что для TLS один. И называют его все по привычке «SSL сертификат».

Статья предназначена, в основном, для администраторов веб-серверов. Причина, по которой вам возможно предстоит досрочно обновить сертификат вашего сервера заключается в том, что распространенный алгоритм хэширования SHA-1 сегодня считается небезопасным.

Исследователи IBM сегодня объявили о запуске новой облачной технологии, которая поможет потребителям усилить защиту их персональных данных в интернете.

Технология под названием Identity Mixer использует криптографический алгоритм для шифрования таких подтвержденных идентификационных данных пользователя, как его возраст, гражданство, адрес и номер кредитной карты. Благодаря использованию данной технологии потребитель сможет передавать третьей стороне только необходимый объем личной информации. Identity Mixer может быть использован и в электронном кошельке, в котором есть данные учетной записи, подтвержденные доверенной третьей стороной, в частности информация из электронных удостоверений личности. Важно отметить, что сторона, выдавшая документ, не получает никакой информации о том, как и когда данные используются.

Должен признаться, сам был удивлен подобной ситуацией. Я вообще ни разу не сисадмин, не пишу код и даже работаю в сфере, очень далекой от IT. Короче, я менеджер. По продажам промышленного оборудования. Однако люблю поковыряться в Linux (не могу не признаться в любви к calculate-linux) и поиграть в Windows.

Компания выпустила набор обновлений для своих продуктов, в т. ч. iOS 8.1.1 (APPLE-SA-2014-11-17-1), закрыв ряд уязвимостей в компонентах мобильной ОС с формулировкой "This release includes bug fixes, increased stability and performance improvements for iPad 2 and iPhone 4S". Всего было закрыто девять уязвимостей в различных компонентах, включая браузерный движок WebKit и сервис блокировки экрана Lock Screen. Кроме этого, специально для iPad 2 & iPhone 4S были исправлены недоработки ОС, которые приводили к быстрой разрядке аккумулятора при использовании Wi-Fi, а также проблемы с подключением устройства по Bluetooth.



Список исправленных уязвимостей представлен ниже.

*Оставьте свою работу на рабочем месте!*

Итак, нелёгкий путь по обзиранию созданию краткого обзора NIST SP 800-53 подходит к логическому концу. Я рад, что мне удалось совершить задуманное и написать пусть небольшой, но законченный по содержанию цикл статей, не остановившись на первой или второй части. В дальнейшем, надеюсь, получится от случая к случаю делиться с общественностью своими соображениями на тему ИБ, ИТ и аудита.

Итак, в этой статье будет наконец-то поведано о выборе набора контролей безопасности, подгонке его под нужды конкретной организации и создании так называемых перекрытий «overlays», применимых вне масштабов отдельной организации.

Ссылки на предыдущие статьи:

ИБ по-американски. Часть 1. Что такое NIST 800-53 и как выглядят контроли безопасности?
ИБ по-американски. Часть 2. А можно поподробнее о NIST 800-53 и причём тут управление рисками?
ИБ по-американски. Часть 3. Что из себя представляет базовый набор контролей безопасности и как определять критичность информационных систем?
ИБ по-американски. Часть 4. Разбираемся с «подгонкой» и «перекрытиями» и завершаем этот обзор

Недавно ХостТрекер представил функцию проверки уязвимости Shellshock с помощью куки, что было описано в соответствующей публикации. Следуя пожеланиям наших клиентов, а также комментариям к предыдущей статье, мы несколько расширили функционал проверки — теперь можно тестить Shellshock с помощью любого поля в http запросе, а не только куки.

Выпуск бесплатной версии Cryptic Disk Free — первый шаг навстречу пользователям.
Второй шаг — встроенная поддержка контейнеров умирающего TrueCrypt.
Ждём ещё один, последний шажок — открытые исходники.



Скачать бесплатную версию
История версий
Официальная новость

Здравствуйте, уважаемые читатели!

Картинка, кратко и аллегорично передающая смысл описанного в посте скрипта:


У меня есть несколько сайтов, на которых в какой-то момент начал появляться вредоносный код, выглядящий как отдельные php-файлы либо дополнительные строки с длинными eval() в существующих файлах.

После смены всех паролей, обновления CMS до последних версий и других мероприятий по повышению устойчивости сайтов от злоумышленников такие случаи стали редкими, но не прекратились.

Тогда я задумался, как бы мне так оперативно узнавать, куда в очередной раз будет внедрен код, чтобы можно было его тут же прибить?