Рубрика «информационная безопасность» - 101

в 15:46, , рубрики: BlockAdBlock, Brave, javascript, uBlock Origin, блокировка рекламы, браузеры, информационная безопасность, Расширения для браузеров, реверс-инжиниринг

Если вы пользуетесь блокировщиками рекламы, то могли встречать BlockAdBlock. Этот скрипт обнаруживает ваш блокировщик и не пускает на сайт, пока вы его не отключите. Но мне стало интересно, как он работает. Как антиблокировщик обнаруживает блокировщики? А как на это реагируют блокировщики и как они блокируют антиблокировщики?

История реверс-инжиниринга

Первым делом я взглянул на их сайт. BlockAdBlock предлагает конфигуратор с настройками: интервал ожидания и как будет выглядеть предупреждение, генерируя разные версии скрипта.

Это натолкнуло меня на мысль о версиях. А что, если мог посмотреть не на одну версию, а на все сразу? Так я и сделал. Я вернулся назад во времени с помощью Wayback Machine. После этого скачал все версии BlockAdBlock и хэшировал их.
Читать полностью »

в 13:19, , рубрики: beeline, информационная безопасность, маркетологи в ударе, медийная реклама, нас не догонят, никто не читает название сети, сотовая связь

Кажется, не так давно гремели дебаты вокруг того, что маркетологи иных сотовых компаний (не будем перечислять их по именам, а цвета лого и так все знают) обнаружили, что показываемое пользователю название сотовой сети можно изменить (и им за это ничего не будет). Тогда я ещё порадовался, что Билайн — молодцы, до сих пор вроде бы не опускались до столь дешёвых трюков. Как говорится, блажен, кто верует!

«Не осилили» — именно это я подумал сегодня, когда случайно в «шторке» телефона обнаружил на месте имени сети «Beeline» невнятное «#beefree».

#BeeFree, или… Билайн — ты не смог удержаться? - 1
Читать полностью »

в 16:01, , рубрики: telegram, безопасность, информационная безопасность, Системы обмена сообщениями

Телеграм.пёс, или как не нужно делать зеркала - 1

Под катом — история о том, как официальное зеркало Telegram может привести вашего друга на верифицированный канал, который принадлежит мошенникам.
Читать полностью »

в 12:35, , рубрики: аудит информационной безопасности, Блог компании Инфосистемы Джет, вредные советы, информационная безопасность

Привет! Спустя 9 лет на проектах по аудитам ИБ за спиной мне нестерпимо хочется взять и написать книгу «1000 и 1 попытка обмануть аудитора». Начну, пожалуй, с первой главы — поделюсь вредными советами, как можно «успешно» пройти аудит, получив минимальное количество замечаний от аудитора.

Зачем вообще компании проводят аудит информационной безопасности? Причин может быть несколько:

  • чтобы получить объективную оценку состояния ИБ (для себя);
  • потому что аудит является обязательным (для регуляторов);
  • потому что аудит требуют партнеры или головная организация (для других).

Любой из перечисленных видов аудита преследует основную позитивную цель — сделать компанию лучше, локализовав текущие проблемы. Большинство наших заказчиков заинтересованы в эффективном проведении таких работ. Однако иногда встречаются случаи, когда критерием успешности заказанного аудита служит отсутствие выявленных проблем в аудиторском отчете (при полном их наличии). Причины бывают разные, но чаще всего встречаются следующие.

  • Аудит «навязан» вышестоящей организацией.
  • Непрохождение аудита (например, PCI DSS) влечет за собой санкции со стороны контролирующих органов
  • ИБ-служба боится получить «по шапке» от руководства.

Во всех этих случаях штатный аудит превращается в поле боя, где компания стремится по максимуму сохранить рубежи, не показав «лишнего», а работа аудитора становится больше похожа на детективный сюжет.

P.S. Перечисленное под катом не является вымыслом, все это случалось и периодически встречается на реальных проектах.
Вставляем палки в колеса на аудиторских проверках, или Как сделать аудит ИБ максимально некомфортным для аудитора - 1
Читать полностью »

в 7:00, , рубрики: CloudFlare, информационная безопасность, личность, лобно-височная деменция, мозг

Своими программами Ли Холлоуэй заложил основы компании Cloudflare, специализирующуюся на интернет-безопасности. Но со временем он стал апатичным, непредсказуемым, отдалился от всех – и долгое время никто не мог понять, что с ним произошло.

Как разрушалась личность блестящего молодого программиста - 1

В пятницу 13 сентября 2019 года Мэтью Принс и Мишель Зэтлин, сооснователи компании Cloudflare из Сан-Франциско, занимающейся интернет-безопасностью, стояли на узком мраморном балконе, с которого открывался вид на Нью-Йоркскую фондовую биржу. Стайка директоров компании сгрудилось рядом с Принсом, готовая вести вслух обратный отсчёт. «Громче! Громче! – призывал их Принс. – Пять! Четыре! Три!..» Ровно в 9:30 основатели потянулись к знаменитому колоколу биржи, знаменующему начало торгового дня, а также – выход их 10-летней компании на биржу. Это был и переходный обряд, и момент получения прибыли, освободивший миллионы долларов новообретённого богатства.

Более сотни сотрудников и инвесторов, стоявших внизу на первом этаже, разразились радостными криками, а их поднятые телефоны фотографировали происходящее. Кристин Холлоуэй, сотрудник №11, подняла взгляд на балкон, сделала несколько фотографий, а потом отправила их через мессенджер своему мужу, Ли Холлоуэю, третьему сооснователю компании. Он в это время находился дома, в Калифорнии. Периодически чьё-нибудь знакомое лицо выныривало из толпы, чтобы сказать ей: «Ли должен был быть здесь».
Читать полностью »

в 5:07, , рубрики: интернет-маркетинг, информационная безопасность, платежные системы, привязка карты, Тестирование мобильных приложений

В последнее время многие сервисы стараются запоминать данные банковской карты при оплате, чтобы в следующий раз пользователю было удобнее платить, и не нужно было заполнять данные карты снова. Почти уверен, что во всех учебниках по маркетингу написано, что в случае привязки карты вероятность покупки возрастает на 146%.

Яндекс автоматически привязывает карту к другому аккаунту - 1

Из способов привязки можно выделить 3 самых основных:

  • Предлагать ненавязчиво — кому нужно сам поставит галочку;
  • Предлагать активно — галочка у привязки стоит по умолчанию, кто забыл её убрать — сам виноват;
  • Привязывать без какого-то уведомления — сервис сам знает, как пользователю будет лучше.

Во всех этих вариантах есть одно общее: привязка происходит к тому аккаунту, где выполняется оплата. Сегодня я хочу рассказать Вам о том, что Яндекс изобрел 4-й вариант привязки: в некоторых случаях карта может быть привязана к (почти) чужому аккаунту.
Читать полностью »

в 13:55, , рубрики: hobby, Ilfak, reverse engineering, информационная безопасность, отладка, реверс-инжиниринг, хобби

О новой IDA Home (обзор) - 1

Приветствую,

На днях товарищи из Hex-Rays анонсировали новую IDA Home, которая как IDA Starter, только под одну конкретную платформу (против более чем 20-ти), с локальным отладчиком и поддержкой x64, скриптингом на Python и стоит 365$ в год (против $979). Далее был запущен конкурс на лучший рисунок логотип для новой IDA, за который автор лучшей работы получит Home-версию бесплатно.

В данном "обзоре" я хотел бы пристальнее рассмотреть, что же из себя представляет новая версия продукта, постараюсь разобраться на кого же она была ориентирована (центральная аудитория), и сделать некоторые выводы.Читать полностью »

в 10:32, , рубрики: bug bounty, Bugcrowd, hackerone, miran, NDA, Synack, аренда серверов, Блог компании Дата-центр «Миран», дата-центр "Миран", Законодательство в IT, информационная безопасность, Кэти Муссури, неразглашение, плата за молчание, серверы, Управление сообществом

Фирмы используют баг-баунти, чтобы купить молчание хакеров - 1

Платформы баг-баунти — HackerOne, Bugcrowd и Synack — служат посредниками между белыми хакерами и компаниями, которые хотят улучшить безопасность своих продуктов. При правильном использовании логика простая:

  1. Хакер сообщает о найденной уязвимости.
  2. Компания-разработчик исправляет баг и перечисляет хакеру вознаграждение в качестве благодарности за то, что он поступил правильно.

Но в реальности всё работает иначе. Как показало расследование CSO, компании и платформы баг-баунти настолько перевернули раскрытие уязвимостей с ног на голову, что многие эксперты, включая бывшего директора по политике HackerOne Кэти Муссури, называют это «извращением».
Читать полностью »

в 17:00, , рубрики: asn.1, python, библиотека, информационная безопасность, Программирование

Продолжаю прошлую статью о PyDERASN — свободном ASN.1 DER/CER/BER кодеке на Python. За прошедший год, с момента её написания, кроме всяких мелочей, небольших исправлений, ещё более строгой проверки данных (хотя и прежде он был уже самым строгим из известных мне свободных кодеков), в этой библиотеке появился функционал для работы с большими объёмами данных — не влезающих в оперативную память. Об этом и хочу рассказать в данной статье.

ASN.1 browser

Читать полностью »

в 12:16, , рубрики: captcha, Блог компании RUVDS.com, информационная безопасность, разработка, Разработка веб-сайтов

Переход с reCAPTCHA на hCaptcha в Cloudflare - 1

Компания Cloudflare сообщила о том, что она недавно перешла с использования сервиса reCAPTCHA, предоставляемого Google, на сервис hCaptcha, который поддерживает компания Intuition Machines. В Cloudflare очень рады тому, что им удалось совершить этот переход, так как он способствует решению проблем со сбором конфиденциальной информации, актуальных в то время, когда компания полагалась на сервисы Google. Это, кроме того, способствует более гибкой настройке CAPTCHA-задач, предлагаемых посетителям сайтов. Данное изменение, в принципе, затрагивает всех пользователей Cloudflare. Поэтому компания решила поделиться подробностями о переходе на reCaptcha и подготовила материал, перевод которого мы сегодня публикуем.Читать полностью »

1...1020...100101102...110120...956
Главная   |  Архив новостей  |   Android  |   Google  |   Apple  |   Microsoft  |   Информационная безопасность  |   Веб – разработка
Публикации RSS  |  Комментарии RSS
https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js