Согласно законодательству КНР, регистрация на любом интернет-портале или сервисе требует идентифицировать пользователя как реальное лицо. О том, как это сделать, что для этого требуется и какие последствия несет мы и поговорим в этой статье.
Читать полностью »
Рубрика «информационная безопасность» - 162
Верификация пользователей в Китае и социальный кредит
2019-10-13 в 10:51, admin, рубрики: api, будущее здесь, информационная безопасность, китай, распознавание лиц, социальный кредит, электронное правительствоПодрядчики Amazon не только подслушивают людей, но и подглядывают за ними
2019-10-13 в 8:19, admin, рубрики: amazon, cloud cam, видеонаблюдение, звук, Интернет вещей, информационная безопасность, прослушка, умный дом
В апреле 2019 года издание Bloomberg шокировало пользователей Amazon Alexa тем, что подрядчики Amazon прослушивают аудиозапросы, адресованные голосовому помощнику, для улучшения его работы. Теперь, как стало известно изданию из собственных источников подразделения Amazon в Индии, десятки работников-людей в Индии и Румынии могут просматривать отрывки видео, снятых с помощью ещё одного устройства Amazon — облачной камеры видеонаблюдения камеры Cloud Cam.
Видеоролики используются для обучения алгоритмов искусственного интеллекта. К примеру, ИИ учат отличать реальную угрозу от ложной. Сейчас Cloud Cam может среагировать, послав сигнал тревоги из-за прыгнувшей на диван кошки. Чтобы исправить это, подрядчики Amazon отсматривают в день около 150 видеороликов длительностью от 20 до 30 секунд.
Читать полностью »
Компания ESET обнаружила кибершпионаж за русскоязычными дипломатами и чиновниками
2019-10-11 в 13:23, admin, рубрики: ESET, информационная безопасность, кибершпионаж, СофтНа днях стало известно о том, что за рядом русскоязычных дипломатов и чиновников была установлена слежка — речь идет о масштабной кампании кибершпионажа. Обнаружили слежку специалисты компании ESET, которые утверждают, что слежка велась не менее семи лет.
В рамках кампании использовалось специализированное шпионское ПО, которое получило название Attor. Оно отличается от аналогов наличием целого ряда особенностей, включая уникальные функции. Так, Attor работает с зашифрованными модулями, взаимодействие с операторами ведется через Tor. Плюс ко всему, разработчики этой платформы создали плагин, который нужен для создания цифровых отпечатков GSM-устройств в использованием AT-протокола.
Читать полностью »
Безопасность контейнеров в CI-CD
2019-10-11 в 11:31, admin, рубрики: ci/cd, Блог компании Инфосистемы Джет, информационная безопасность, контейнеры, Микросервисная архитектура, микросервисыНа дворе наступила осень, во всю бушует техноутопия. Технологии стремительно рвутся вперед. Мы носим в кармане компьютер, вычислительная мощность которого в сотни миллионов раз больше мощности компьютеров, управляющих полетами на Луну. С помощью Youtube VR мы можем плавать в океане с медузами и китами, а роботы давно исследуют безжизненные горизонты холодных планет.
В это же время инженеры и специалисты ИТ-служб, разработчики и их бесчисленные коллеги разделились на два лагеря: тех, кто создает новые решения (ПО, стратегии, информационные системы), и тех, кто в них разбирается.
Ворвался в экосистему разработок приложений и метод использования микросервисов. Еще недавно это был непонятный, закрытый от посторонних глаз, принципиально новый прием. Но сегодня, спустя всего несколько лет, крупные и средние компании уже уверенно используют этот подход в собственной среде разработки. Что он собой представляет? Мы не будем использовать «классические» определения, а расскажем своими словами.
Проект Collage: как бороться с интернет-цензурой с помощью пользовательского контента
2019-10-11 в 11:02, admin, рубрики: Блог компании INFATICA.io, информационная безопасность, исследования, обход блокировок, цензура в интернете
Группа ученых из технологического университета штата Джорджия опубликовала концепцию нового инструмента обхода блокировок. Проект получил название Collage, и его концепция предполагает использование так называемого user-generated content. Мы представляем вашему вниманию основные тезисы этой работы.Читать полностью »
Chrome полностью заблокирует смешанный контент
2019-10-11 в 7:37, admin, рубрики: Google Chrome, HTTPS, mixed content, Блог компании GlobalSign, браузеры, информационная безопасность, Разработка веб-сайтов, смешанный контент
Загрузка картинок с незащищённых сайтов тоже будет блокироваться
Google продолжает продвигать HTTPS, всё больше ограничивая в возможностях сайты, у которых нет TLS-сертификатов, хотя таких сайтов осталось уже мало. С июля прошлого года Chrome начал помечать такие сайты как небезопасные. Сейчас следующий шаг — компания анонсировала ряд шагов по постепенной блокировке смешанного контента.
Смешанный контент (mixed content) — это незащищённые элементы, передаваемые по HTTP-протоколу через страницы с SSL-сертификатом. Например, изображения, аудио и видео со сторонних (незащищённых) доменов. От такой практики придётся отказаться совсем.
Читать полностью »
Как простой <img> тэг может стать высоким риском для бизнеса?
2019-10-10 в 13:14, admin, рубрики: penetration testing, security, websec, безопасность веб-приложений, информационная безопасность, Тестирование IT-систем, Тестирование веб-сервисовБезопасность на реальных примерах всегда интересна.
Сегодня поговорим об SSRF атаке, когда можно заставить сервер делать произвольные запросы в Интернет через img тэг.
Итак, недавно занимался тестированием на проникновение одновременно на двух проектах, сразу на двух эта уязвимость и выявилась. Скриншоты взяты прямо из отчетов, потому вся лишняя информация замазана.
Описание атаки
Теперь в Почту и Облако Mail.ru можно войти по отпечатку пальца
2019-10-10 в 12:28, admin, рубрики: авторизация, безопасность, Блог компании Mail.Ru Group, информационная безопасность, отпечаток пальца, почта mail.ru
Два наших сервиса — Почта и Облако Mail.ru — теперь позволяют входить в веб-клиенты по отпечатку пальца и с помощью внешних устройств: USB-, Bluetooth- и NFC-ключей. Наши сервисы пока единственные в России и одни из первых в мире начали использовать технологию электронных ключей WebAuthn в качестве альтернативы традиционным паролям.
Читать полностью »
Как уязвимость в Яндекс.Станции вдохновила меня на проект: Музыкальная передача данных
2019-10-10 в 12:01, admin, рубрики: diy или сделай сам, гаджеты, идея, информационная безопасность, музыка, передача данных, Программирование, прототип, Разработка веб-сайтовНа прошлой неделе я рассказал, как устроена активация Яндекс.Станции через звук. Оказалось, что пароль от WiFi передаётся в открытом виде. Я размышлял, зачем вообще нужно было делать активацию так, а не каким-то отлаженным способом.
В итоге, пришел к выводу, что в этом процессе важно шоу. Но, что будет, если сделать протокол передачи данных, полностью ориентированный на впечатление пользователя? Так родился проект «Octave» — для мелодичной передачи данных.
Под катом я расскажу, как сделан прототип, и дам ссылку на демку. Вы сможете сами послушать, как звучит любое сообщение :)
Читать полностью »
Unix-пароль Кена Томпсона
2019-10-10 в 10:54, admin, рубрики: crypt(3), Биографии гиков, брутфорс, информационная безопасность, Кен ТомпсонГде-то в 2014 году в дампах исходного дерева BSD 3 я нашёл файл /etc/passwd с паролями всех ветеранов, таких как Деннис Ричи, Кен Томпсон, Брайан В. Керниган, Стив Борн и Билл Джой.
Для этих хэшей использовался алгоритм crypt(3) на основе DES — известный своей слабостью (и с длиной пароля максимум 8 символов). Поэтому я подумал, что будет легко взломать эти пароли ради удовольствия.
Берём стандартные брутеры john и hashcat.
Читать полностью »