«Утечка данных, которая случилась в Ханты-Мансийском автономном округе 28 декабря 2019 года, произошла на прокси-сервере приложения „Госуслуги Югры“ и касалась не персональных, а технических данных,» — сообщили в Департаменте информационных технологий и цифрового развития Югры.
Читать полностью »
Пришло время продемонстрировать как криптографический АРМ на базе стандартов с открытым ключом cryptoarmpkcs работает на одной из мобильных платформ, а именно Android.
Концепция, которая закладывалась при разработке утилиты cryptoarmpkcs, состоит в том, что пользователь должен испытывать минимум неудобств при создании и проверке электронной подписи. Именно поэтому мы предлагаем в качестве ключевого носителя для личного сертификата использовать криптографические токены PKCS#11 и/или защищенные контейнеры PKCS#12. Надо сказать, что использование PKCS#12 во многих случаях оказывается чуть ли не единственно возможным, например, когда у тех же токенов PKCS#11 не оказывается поддержки для тех или иных платформах. Читать полностью »
Если посмотреть на нашу подборку важных новостей за 2018 год, то может возникнуть ощущение, что в уходящем 2019 году ничего не поменялось. Аппаратные уязвимости по-прежнему выглядят многообещающе (последний пример: обход защиты Software Guard Extensions в процессорах Intel) и все еще не применяются в реальных атаках. Зато применяется на практике машинное обучение, например для высокотехнологичного социального инжиниринга. Имитация голоса руководителя организации помогла украсть миллион евро, а компания Microsoft организовала конкурс на создание алгоритма, детектирующего дипфейки.
Угрозы из Интернета вещей тоже никуда не делись, причем в 2019 году было больше исследований про IoT нового поколения. Свежий пример: "голосовой фишинг" с использованием умных колонок. Все это примеры перспективных атак, которые могут (естественно, внезапно) стать актуальными в будущем. В настоящем же атакуется традиционная инфраструктура: эксперты «Лаборатории Касперского» одной из главных тем года назвали точечные атаки вымогателей-шифровальщиков. Самые громкие новости года были связаны с успешными атаками на инфраструктуру, которая одновременно является критически важной и хронически недофинансированной, — IT-системы в муниципалитетах и больницах.
Из такого большого ассортимента событий в области информационной безопасности трудно выбрать что-то по-настоящему знаковое, и это нормально: теоретические исследования или реальные атаки, радикально меняющие наши представления о защите данных на персональном устройстве или в облаке, к счастью, происходят редко. Поэтому сегодня у нас нестандартный топ новостей: в них нет прорывов или революции, но есть интрига, драма и нетривиальные методы исследования.
Читать полностью »
Прим. перев.: Представляем вниманию перевод статьи старшего инженера по безопасности приложений британской компании ASOS.com. С ней он начинает цикл публикаций, посвящённых повышению безопасности в Kubernetes благодаря использованию seccomp. Если введение понравится читателям, мы последуем за автором и продолжим с его будущими материалами по этой теме.
Эта статья — первая из серии публикаций о том, как создавать профили seccomp в духе SecDevOps, не прибегая к магии и колдовству. В первой части я расскажу об основах и внутренних деталях реализации seccomp в Kubernetes.
Экосистема Kubernetes предлагает достаточное разнообразие способов по обеспечению безопасности и изоляции контейнеров. Статья посвящена Secure Computing Mode, также известному как seccomp. Его суть состоит в фильтрации системных вызовов, доступных для выполнения контейнерами.Читать полностью »
В начале декабря мы провели командные соревнования по информационной безопасности. Помимо OTUS, организаторами мероприятия для «белых хакеров» выступили Volga CTF и CTF.Moscow. Пожалуй, пришла пора подвести итоги и подробно рассказать о заданиях. Читать полностью »
Согласно информации издания «Коммерсантъ», в публичном доступе оказались выложены персональные данные пользователей портала государственных услуг одного из российских регионов. Утечка данных стала возможна из-за ошибочной настройки программного обеспечения одного из серверов портала, в результате чего данные оказались доступными для свободного скачивания.
По данным издания РБК, всего в утекшей базе оказались данные двадцати восьми тыс. пользователей, включая: ФИО, даты рождения, паспортные данные, ИНН, СНИЛС, номера телефонов, адреса электронной почты, информацию о детях, токены авторизации для доступа в личные кабинеты граждан с мобильных устройств (нет информации, можно ли войти в личные кабинеты пользователей с их помощью). На данный момент настройки сервера, с которого произошла утечка, изменены таким образом, чтобы доступ к данным оказался закрыт.
Читать полностью »
Согласно информации издания «Би-би-си», на сайте британского правительства по ошибке выложили в открытый доступ таблицу с личными данными, включая полные домашние адреса, 1097 получателей королевских наград из списка «New Year Honours 2020». В этом году в этот список входили высокопоставленные чиновники, полицейские, политики, сотрудники скорой помощи и пожарной охраны, военнослужащие, артисты, спортсмены, ведущие телепередач, а также другие жители Великобритании, которые заслужили внимание и награды от британского правительства. На данный момент эти данные уже удалены с сайта, но многие пользователи могли их сохранить, так как эта таблица, по данным администрации сайта, была в открытом доступе в течение часа.
Читать полностью »
Уже сегодня банки формируют свои предложения исходя из данных собранных их приложениями на смартфонах клиентов. В частности ставка по кредиту, которую вам предложат, сильно зависит от файлов, размещенных на вашем устройстве, и сайтов, которые вы посещали. Именно поэтому банки так настойчиво предлагают их установить (даже отказывая в обслуживании, сославшись на возможность выполнения этих действий самостоятельно). Для этого банковские клиенты требуют максимальных прав на устройстве. Например, Сбербанк Онлайн утверждает, что ему необходим доступ к файловой системе для… поиска вирусов на устройстве.
В настоящей публикации будет затронут только вопрос приватности информации на смартфонах. Дело в том, что именно эти устройства позволяют получить большое количество информации о своих пользователях в удобном для анализа виде. Я предлагаю простое решение, которое закроет большинство дыр безопасности без сложных и опасных для устройства действий. Можно сказать, что я выделил 20% необходимых усилий, которые приведут к 80% эффекта.
Читать полностью »
Изображение: Unsplash
Власти Великобритании расследуют утечку информации, которая могла предоставить одним из участников фондового рынка преимущество над другими. Трейдеры смогли получить доступ к записям пресс-конференций Центробанка Англии (Bank of England) до старта их официальных трансляций.Читать полностью »
Российский технологический университет ввел зачет по «плану Даллеса», боевым мемам, расовому оружию и духовной войне Курс составил бывший преподаватель Высшей школы КГБ
В эту сессию студенты РТУ МИРЭА сдают зачет по курсу «Национальная система информационной безопасности». Что именно попадет в билеты по курсу, они узнали накануне зачета. «Буквально пару дней назад преподаватель выслал четвертому курсу теоретическую основу для подготовки, а именно слайды одной из прочитанных им лекций. В презентации фигурируют термины „план Даллеса“, „духовная война“, „перекодировка национального сознания“, „пси-вирусы“ и прочая ерунда, недостойная даже термина „псевдонаука“. Основываясь на этих слайдах, реальные студенты через несколько дней будут сдавать абсолютно реальный зачет. Поверить, что это происходит наяву, мне трудно», — рассказал «Медузе» родственник одного из студентов.
Читать полностью »
