Вчера, 22 октября, в официальном блоге Mozilla разработчики Firefox представили новые функции браузера, призванные повысить конфиденциальность пользователей при посещении сайтов и дающие возможность отслеживать, какие веб-ресурсы пытаются собирать персональные данные посетителей.
В основу новых функций легла система блокировки сторонних Cookies и криптомайнеров, которая ранее работала «под капотом» Firefox.
Читать полностью »
Специалисты из немецкой компании Security Research Labs провели независимое исследование, в котором наглядно показали, что умные колонки Alexa и Google Home могли быть легко взломаны с помощью сторонних приложений, например, для прослушивания гороскопов или игры с генератором случайных чисел. Активация этих приложений могла вызвать скрытую в них систему прослушки пользователя, хотя был абсолютно уверен, что устройство после окончания общения с программой не записывает его слова. Причем производители умных колонок не могли устранить этот тип уязвимости несколько месяцев. На данный момент, после понятия проблемы, в Amazon и Google закрыли возможность использовать эту уязвимость.
Читать полностью »
В конце августа Imperva оповестила клиентов сервиса Cloud WAF (бывш. Incapsula) об утечке конфиденциальной информации и инициировала сброс паролей учетных записей. Оказалось, что посторонние получили доступ к хешам паролей, ключам API и SSL-сертификатам.
10 октября исполнительный директор компании Крис Хайлен (Chris Hylen) и технический директор Кунаи Ананд (Kunal Anand) изложили post mortem с деталями инцидента. Как такое могло произойти у компании, которая специализируется на защите данных и приложений?
Если резюмировать, проблема возникла из-за некорректной миграции БД с собственного хостинга на Amazon Web Services.
Читать полностью »
Совсем недавно завершился ежегодный HackQuest, приуроченный к конференции ZeroNights. Как и в прошлые годы, участникам предстояло решить 7 различных заданий — по одному на сутки квеста. Задания, как всегда, помогли подготовить наши коммьюнити партнеры. Узнать, как же решались задания, и кто стал победителями хакквеста в этот раз, можно под катом.
Рассказывая о том, как устроена работа центра мониторинга и реагирования на кибератаки (SOC) изнутри, мы уже говорили об инженерах первой и второй линии и об аналитиках. Тогда же мы вскользь упомянули о сервис-менеджерах. Это сотрудники SOC, которые отвечают перед заказчиком за качество оказываемых услуг. За этим коротким определением фактически скрывается следующее: сервис-менеджер определяет практическую реализацию сервиса на площадке заказчика, должен быть готов в любой момент дня и ночи ответить на звонок заказчика или уведомление инженера мониторинга о критичном инциденте, собрать команду реагирования или расследования и выехать на площадку.
В большинстве своем сервис-менеджеры Solar JSOC — это мужчины в возрасте за 30 видавшие виды с разносторонним опытом в ИБ: от проектирования систем защиты информации до аудита процессов. Обязательно владение навыками перевода с птичьего на человеческий технического на бизнесовый и обратно.
Читать полностью »
Изображение: Unsplash
Прокси-серверы обычно используются в качестве «прокладки» между клиентом и веб-сайтом или онлайн-сервисов. Направление трафика через прокси помогает пользователям скрывать свое реальное местоположение и IP-адрес. При этом, прокси используют и компании (см. обратные прокси) для решения множества задач от повышения уровня информационной безопасности, до выполнения анонимных задач и контроля использования интернета сотрудниками.
Сегодня поговорим о том, как технология прокси реально используется разными компаниями для повышения уровня защищенности их инфраструктуры.Читать полностью »
Примечание переводчика. Simple Analytics — сервис аналитики для веб-сайтов, ориентированный на приватность (в некотором роде противоположность Google Analytics)
Как основатель Simple Analytics, я всегда помнил о важности доверия и прозрачности для наших клиентов. Мы несём ответственность за них, чтобы они могли спать спокойно. Выбор должен быть оптимальным с точки зрения конфиденциальности и посетителей, и клиентов. Так, одним из важнейших для нас вопросом стал выбор местоположения серверов.
В последние несколько месяцев мы постепенно переместили наши серверы в Исландию. Хочу объяснить, как всё происходило, и, самое главное, почему. Это был непростой процесс, и я хотел бы поделиться нашим опытом. В статье есть некоторые технические детали, которые я попытался написать понятным языком, но прошу прощения, если они слишком технические.
Читать полностью »
Уважаемые Хаброжители! Уважаемые эксперты! Представляю на вашу оценку новую концепцию идентификации пользователей на веб-сайтах, которая, как я надеюсь, с вашей помощью станет открытым интернет-стандартом, сделав этот интернет-мир чуточку лучше. Это вариант черновика протокола беспарольной идентификации, оформленный в виде вольной статьи. И если идея, положенная в его основу, получит от вас, уважаемый читатель, положительную оценку, я продолжу публикацию его на reddit.com и rfc-editor.org. И надеюсь, мне удастся заинтересовать в его реализации разработчиков ведущих браузеров. Потому ожидаю от вас конструктивную критику.
Внимание: очень много текста.
Несколько дней назад Ватикан рассказал об электронных четках, которые получили название «Click to Pray eRosary». Это высокотехнологичное устройство, которое работает по схожему с фитнес-трекерами принципу. Так, четки отслеживают количество пройденных шагов и общую дистанцию, которую преодолел пользователь. Но оно контролирует еще и отношение верующего к отправлению религиозных обрядов.
Устройство активируется, когда верующий начинает креститься. При этом девайс подключается к приложению с аудиоинструкциями, которые предназначены для молитв, там же есть и фотографии, видео и т.п. Для того, чтобы верующий не запутался, четки отмечают, какая молитва была произнесена и сколько раз. Все бы хорошо, но практически сразу после выхода четки взломал специалист по информационной безопасности, как оказалось, это несложно.
Читать полностью »
На днях Кабмин предложил сделать процедуру идентификации абонентов по номеру телефона обязательной для банков. Причем расходы на внедрение системы проверки понесут сами же банки. По мнению авторов предложения, оно позволит защитить граждан от звонков коллекторов, плюс снизит вероятность похищения средств клиентов банков при помощи социальной инженерии.
Что касается самой процедуры, то правительство собирается обязать банковские организации проверять паспортные данные клиентов, привязку номера телефона, частоту его использования и смену мобильного устройства.
Читать полностью »
