Рубрика «информационная безопасность» - 202

в 12:26, , рубрики: PHDays, positive hack days, Блог компании Positive Technologies, информационная безопасность, Спортивное программирование

На PHDays 9 мы решили рассмотреть с практической стороны модную сегодня тему безопасности машинного обучения. Для этого мы создали онлайн-конкурс AI CTF (capture the flag) формата task-based, с заданиями, посвященными безопасности применения техник искусственного интеллекта.

image

Напомним, что тасковые CTF-соревнования схожи с форматом «Своей игры»: есть набор заданий, разбитых по категориям с разной стоимостью. Традиционные для CTF темы: веб-уязвимости, обратная разработка, криптография, стеганография и бинарная эксплуатация. Победителем становится команда (с любым количеством участников, от одного), которая наберет наибольшее количество баллов.

AI CTF начался в первый день PHDays и длился чуть больше суток. Подразумевалось, что каждый участник будет играть за себя. Несмотря на то, что это был онлайн-конкурс, часть участников находилась на площадке форума, и все могли познакомиться друг с другом. В целом задания можно было решить за пару часов, они не требовали больших вычислительных ресурсов. Тем не менее трудные задания тоже были — не всем же выигрывать :D

Конкурс включал шесть заданий (седьмое было фановым). В этой статье мы подробно разберем, как их можно было выполнить.Читать полностью »

в 10:58, , рубрики: 1cloud, Блог компании 1cloud.ru, гаджеты, досмотр гаджетов, Законодательство в IT, ИБ, информационная безопасность, облачные сервисы, путешествия, таможенный досмотр

Проверка смартфонов и ноутбуков в аэропортах — становится нормой для многих стран. Кто-то считает это необходимостью, другие — вмешательством личную жизнь. Обсуждаем ситуацию, последние изменения по теме и рассказываем, как можно действовать в новых обстоятельствах.

Досмотр электронных устройств на границе — необходимость или нарушение прав человека? - 1Читать полностью »

в 10:29, , рубрики: bug bounty, ietf, web-разработка, безопасность веб-приложений, информационная безопасность, Разработка веб-сайтов, хакеры

Основная идея проекта — формализация взаимодействия между внутренней ИБ и внешними исследователями, давая четкое указание как и куда направлять информацию об уязвимостях или проблемах безопасности. Формализация взаимодействия — серьезная проблема, не все сайты имеют программы bug bounty, или даже просто указывают контакты специалистов по безопасности. А попытки достучаться через службу поддержки и твиттер зачастую заканчиваются уверениями что «Все так и должно быть», и последующим игнорированием.
Конечно, это будет работать только если компания размещающая информацию в security.txt готова проверять и своевременно реагировать на информацию полученную через этот канал.

Интернет проект security.txt — знакомство с еще одним .well-known файлом - 1
Читать полностью »

в 10:11, , рубрики: telegram, информационная безопасность, Павел Дуров, приватность, Ростелеком, Системы обмена сообщениями, слив данных

Привет. Однажды мы сидели, занимались своими очень продуктивными делами, как ВНЕЗАПНО выясняется тот факт, что по какой-то неведомой причине к инфраструктуре Telegram в качестве пира подключены как минимум замечательный Ростелеком и не менее прекрасный НТЦ «ФИОРД».

image
Список пиров Telegram Messenger LLP, можете убедиться сами

Как же так вышло? Мы решили поинтересоваться у Павла Дурова, через его же Telegram-аккаунт.
Что из этого вышло? Не то, чего мы ожидали от одного из создателей «самого безопасного мессенджера».
Читать полностью »

в 10:02, , рубрики: 301 редирект, Tor, Блог компании VDS.SH / DEDIC.SH, информационная безопасность

image

Данная статья описывает пример практического применения атаки «искажение кэша через 301 редирект», которая может быть использована выходным узлом сети «Tor» с вредоносным кодом для выявления реальных IP-адресов выбранных пользователей.
Читать полностью »

в 9:59, , рубрики: push notifications, push сервис, push-уведомления, security, Аналитика мобильных приложений, анонимность, безопасность, блокчейн, децентрализованные сети, информационная безопасность, мессенджер, разработка под iOS, Системы обмена сообщениями

Привет!

Сегодня расскажу о том, чем мы с коллегами заняты уже несколько месяцев: о пуш-уведомлениях для мобильных мессенджеров. Как я уже говорил, в нашем приложении главный упор сделан на безопасность. Поэтому мы выясняли, есть ли у пуш-уведомлений “слабые места” и если да, то как мы можем их нивелировать, чтобы добавить эту полезную опцию в наш сервис.

Публикую перевод нашей статьи с Medium с небольшими добавлениями от себя. В ней итоги “расследования” и рассказ о том, как решили проблему.

Исследуем матчасть

В классической модели пуш-уведомления делают мессенджеры уязвимыми для атак MITM (Man-in-the-middle, «Человек посередине»). Например, у Google, Microsoft и в старой версии iMessage приложение отправляет ключи шифрования на серверы Apple — на сервере происходит аутентификация пользователей и дешифровка заголовка сообщения (либо его содержания).

Безопасные push-уведомления: от теории к практике - 1

В итоге есть шанс прочесть переписку, получив доступ к серверу пуш-уведомлений. А это значит, что любые шифрования переписки бесполезны: пуш-уведомления все равно оставят возможность для чтения третьими лицами. Подробнее эту возможность обсуждали авторы статьи “Шифруйся грамотно” на Xaker.ru, посвященной способам шифрования сообщений.

Если вам кажется, что серверы Apple и Google 100% не допустят утечки ключей шифрования пользователей, подумайте о том, что к ним имеют доступ их сотрудники. А сотрудники — люди.
При всех уязвимостях пушей, многие «безопасные» мессенджеры, включая Signal и Telegram, используют их. Ведь иначе пользователям придется «вручную» мониторить новые сообщения, постоянно заходя в приложение. Что весьма неудобно, и мессенджеры-конкуренты получат преимущество.

Паранойя и здравый смысл

Читать полностью »

в 8:24, , рубрики: vulnarability management, Блог компании DataLine, инфомрационная безопасность, информационная безопасность, управление уязвимостями

Семинар «Управление уязвимостями: стандарты, реальность, инструменты», 4 июля, Москва - 1

Всем привет!

4 июля мы проведем небольшой Vulnerability Management Day.
Поговорим о том, какие стандарты и best practice существуют и как это все ложится (или нет ;)) на реальную жизнь.
Мы пригласили экспертов по различным продуктам и соответственно со своим подходом к управлению уязвимостями. Будет и отдельное выступление про open-source инструменты.
Мы не будем разбирать какие-то узкие уязвимости, поговорим в общем об управлении уязвимостями.

Обещаем много полезных докладов по делу, живое общение с экспертами и вкусный фуршет на закуску. Приходите!

Регистрация на семинар и на онлайн-трансляцию по ссылке.

Дата и время: 4 июля, 10:30.
Место: Москва, Спартаковский переулок 2с1, подъезд №7, Пространство Весна
Читать полностью »

в 17:27, , рубрики: Bi.Zone, bitcoin, Malware, reverse engineering, rtm, банковский троян, биткойн, Блог компании BI.ZONE, вредоносное ПО, информационная безопасность, кибербезопасность, криптовалюта, реверс-инжиниринг

Группировка киберпреступников RTM похищает деньги у банковских клиентов с 2015 г. Большинство ее жертв — российские компании. Вредоносное ПО, которое используют злоумышленники, в ИБ-сообществе так же принято называть RTM.

Об этой программе написано довольно много технических отчетов, которые подробно описывают общий механизм работы ВПО. В этой статье мы сосредоточимся на методах получения адресов управляющих (C&C) серверов RTM. В каждой итерации программы злоумышленники изобретательно подходят к этой задаче: они распространяют адрес через блоги, используют систему альтернативных DNS-серверов и сеть Tor. На днях же мы обнаружили, что RTM стала скрывать IP в транзакциях на биткойн-кошелек.

Читать полностью »

в 16:57, , рубрики: telegram, Геоинформационные сервисы, геолокация, геочаты, информационная безопасность, Социальные сети и сообщества

Telegram готовит функцию геочатов с локацией по местности - 1

Новая функция Telegram может открыть совершенно новые возможности для миллионов пользователей этого мессенджера: чаты с локацией на местности. Уже очень скоро функцию реализуют в финальной версии приложения.

Представьте: проходя мимо какой-то улицы или дома, вы можете пообщаться с жителями этой улицы или дома. Это лишь одно из возможных применений геочатов. Приходят в голову варианты сервисов знакомств с соседями (типа Tinder). И, конечно, организация стихийных групповых чатов в местах большого скопления людей.
Читать полностью »

в 16:36, , рубрики: Have I been pwned, HIBP, база паролей, информационная безопасность, Карьера в IT-индустрии, Разработка веб-сайтов, утечки данных

В 2013 году я начал понимать, что утечки приватных данных становятся повсеместными. Действительно, такие случаи участились. И возросло влияние этих утечек на их жертв, включая меня. Всё чаще я писал в блоге на эту тему, которая казалась увлекательным сегментом индустрии инфобеза: как повторное использование паролей на Gawker и Twitter привело к массовому черничному спаму в твиттере, и о том, что пароли юзеров Sony Pictures оказались действительно настолько плохими, насколько можно было ожидать от этих людей, но чёрт побери, до сих пор шокирует видеть свой пароль в этой утёкшей базе. При этом 59% паролей из базы Sony совпадали с паролями от почтовых ящиков Yahoo.

Примерно в то время произошла утечка данных Adobe, и это заставило меня действительно заинтересоваться данным сегментом отрасли, не в последнюю очередь потому, что я был в той базе. Дважды. Самое главное, что она содержала 153 млн других людей. Это была исключительно массовая утечка, даже по сегодняшним стандартам. Всё это вместе — частота утечек, мой анализ баз и масштаб Adobe — заставили меня задуматься: интересно, сколько людей знают? Понимают ли они, что их данные ушли в открытый доступ? Понимают ли, сколько раз? И, возможно, самое главное: изменили ли они свой пароль (да, почти всегда единственный) в других службах, которые используют? И так родился проект Have I Been Pwned (HIBP): поиск своих паролей в множестве утёкших баз.
Читать полностью »

1...1020...201202203...210220...956
Главная   |  Архив новостей  |   Android  |   Google  |   Apple  |   Microsoft  |   Информационная безопасность  |   Веб – разработка
Публикации RSS  |  Комментарии RSS
https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js