По информации издания The Hacker News, в 2018 году могла произойти утечка данных, в ходе которой была раскрыта информация пользователей сервиса iCloud. При этом Apple официально не объявляла о подобных проблемах.
Читать полностью »
Рубрика «информационная безопасность» - 250
СМИ: в iCloud могла произойти утечка данных, которую Apple пыталась скрыть
2019-01-31 в 14:39, admin, рубрики: apple, icloud, Блог компании Positive Technologies, информационная безопасность, уязвимостиApple перенесла персональные данные пользователей в Россию
2019-01-31 в 12:32, admin, рубрики: apple, Законодательство в IT, информационная безопасность, персональные данные29 декабря 2018 года в реестр операторов персональных данных Роскомнадзора внесено ООО «Эппл Рус». Это значит, что компания Apple подчинилась российским требованиям по хранению персональных данных пользователей на территории страны, перенесла информацию в российский дата-центр и назначила лицо, ответственное за обработку персональных данных россиян (Котилевский Александр Вячеславович).
В реестре указана дата начала обработки персональных данных: 29.12.2011 года и категории субъектов, чьи персональные данные обрабатываются. Среди них конечные покупатели продукции Apple.
Для хранения данных компания арендовала часть стоек дата-центра Ixcellerate, там же хранятся данные Booking.com, который собирает паспортные данные россиян для бронирования отелей.
Читать полностью »
Бесстрашная защита. Безопасность памяти в Rust
2019-01-31 в 11:45, admin, рубрики: Firefox, mozilla, Rust, аффинная типизация, базовая модель памяти, доказательство безопасности памяти, информационная безопасность, сборка мусора, умные указатели, управление памятью, утечка памятиВ прошлом году Mozilla выпустила Quantum CSS для Firefox, который стал кульминацией восьми лет разработки Rust — безопасного для памяти языка системного программирования. Потребовалось более года, чтобы переписать основной компонент браузера на Rust.
До сих пор все основные браузерные движки написаны на C++, в основном по соображениям эффективности. Но с большой производительностью приходит большая ответственность: программисты C++ должны вручную управлять памятью, что открывает ящик Пандоры уязвимостей. Rust не только устраняет такие ошибки, но его методы также предотвращают гонки данных, позволяя программистам более эффективно внедрять параллельный код.
Вам не нужен блокчейн: 8 популярных юзкейсов и почему они не работают
2019-01-31 в 8:30, admin, рубрики: bitcoin, blockchain, Ethereum, smart contracts, бизнес-модели, Блог компании Ростелеком-Solar, децентрализованные сети, Интернет вещей, информационная безопасность
Порой диву даёшься, чего только люди ни сделают «на блокчейне». С середины 2017 я занимаюсь аудитами безопасности смарт-контрактов и повидал всякого. В отдельную категорию я бы выделил «применения блокчейна», которые выглядят логичными и полезными, но в основе содержат проблему. И кочуют из стартапа в стартап вместе с ней. Здесь я рассмотрю ряд таких примеров, опишу проблемы и неработающие способы решения. После прочтения этого текста вы будете знать, с каких вопросов стоит начать, если вам как разработчику/клиенту/инвестору предложат такое «применение блокчейна».
Дисклеймеры
- Я описываю юзкейсы и проблемы, которые возникают на первом шаге. Я не утверждаю, что эти проблемы нельзя решить. Но при рассмотрении подобной системы стоит понимать, как создатели предлагают решать соответствующую проблему.
- Словосочетание «применение блокчейна» режет глаз. Тем не менее, здесь и далее я буду писать его без кавычек, хотя до сих пор до конца не уверен, что возможны другие применения блокчейна помимо денег, то есть кроме Bitcoin.
1. Supply Chain Management
Пусть мы заказали доставку товара и перевозчик обязуется по дороге соблюдать условия хранения, например, поддерживать низкую температуру. Предлагается следующее решение: устанавливаем в грузовик датчик, который регулярно публикует температуру в холодильнике в блокчейн. Таким образом, можно проследить историю температуры и убедиться, что условия хранения были соблюдены на всём пути.
GOSINT — open source решение для управления индикаторами компрометации (IoC)
2019-01-30 в 13:13, admin, рубрики: Cisco, ioc, open source, security operation center, SoC, TALOS, threat intelligence, Блог компании Cisco, индикатор компрометации, информационная безопасностьОдной из горячих тем в кибербезопасности в последнее время стали SOCи (Security Operations Center), которые не очень удачно переводят на русский язык как «центры мониторинга безопасности», умаляя тем самым одну из важных функций SOC, связанную с реагированием на инциденты ИБ. Но сегодня мне не хотелось бы вдаваться в терминологические споры, а вкратце рассказать об одном из проектов, который был реализован в нашем внутреннем SOCе — системе управления индикаторами компрометации (IoC) GOSINT. На самом деле служба ИБ Cisco не использует термин «Security Operations Center», заменяя его более приземленным CSIRT (Cisco Security Incident Response Team). Так вот GOSINT — это один из многочисленных наших проектов open source, который предназначен для сбора и унификации структурированной и неструктурированной информации об угрозах (threat intelligence). Я уже рассказывал о том, как мы мониторим безопасность нашей внутренней инфраструктуры, теперь пришел черед рассказать о том, что помогает нам это делать наиболее эффективно.
Куда уходит data: 12 атак, взломов и утечек
2019-01-30 в 9:42, admin, рубрики: атаки, блог binary district, Блог компании Binary District, взломы, информационная безопасность, утечкиFacebook и Cambridge Analytica, паника по поводу Spectre и Meltdown, фейковые новости — это только верхушка айсберга инцидентов 2018 года. Прошлый год был горячим и для специалистов по информационной безопасности, и для многих пользователей, которым пришлось спешно менять пароли. Мы в Binary District составили подборку из 12 показательных хаков, взломов и утечек данных, которые произошли в 2018 году.
В списке — истории про уязвимость, добившую Google+, слишком разговорчивую Alexa, предательские наушники, безалаберного бразильского админа, синергию багов в Facebook и беспрецедентный DDoS.
Читать полностью »
Краткий анализ доступных данных январской атаки, в которой на виртуальные угрозы приходилось реагировать реально
2019-01-30 в 9:11, admin, рубрики: email spam, информационная безопасность
В прошлые годы проводились централизованные атаки с использованием IP-телефонии, теперь новый виток, но уже с использованием электронной почты. Проанализируем доступные электронные данные по этой атаке.
Читать полностью »
Facebook платит $20 в месяц за установку своего псевдо-VPN
2019-01-30 в 7:47, admin, рубрики: Facebook, Facebook Research, Onavo Protect, Protect Atlas, информационная безопасность, псевдо-VPN, разработка под iOS
Многие читатели Хабра не верят, что на продаже своих персональных данных россияне могут зарабатывать до 5000 рублей в месяц, как сказали эксперты ФРИИ. Но последний скандал с Facebook показывает, что эта оценка имеет право на существование. Оказалось, что Facebook уже более двух лет ведёт секретный проект Atlas, в рамках которого платит людям до $20 в месяц за установку на смартфон фирменного псевдо-VPN. Оно устанавливает корневой сертификат и отслеживает действия пользователя.
Читать полностью »
Герои двухфакторной аутентификации, часть вторая
2019-01-30 в 7:44, admin, рубрики: Блог компании «Актив», двухфакторная аутентификация, информационная безопасность, управление персоналом, Управление продуктом
Недавно в первой части статьи, мы рассказали, что были удивлены, как мало компаний считают отсутствие двухфакторной аутентификации серьезной угрозой информационной безопасности.
Чтобы понять причины, мы составили четыре описания лиц принимающих решения — двух директоров и двух руководителей ИТ-отделов, по одному для крупной и средней компаний. С помощью этих психологических портретов мы и попытаемся понять причину легкомысленного отношения к ИБ компании.
В прошлый раз мы рассмотрели директора ИТ-департамента НПЗ «ФлайТек», а сегодня пришла пора познакомиться с его руководителем (и остальными двумя персонажами).
Читать полностью »
Зоопарк AFL фазеров
2019-01-30 в 7:00, admin, рубрики: afl, fuzzing, security, Блог компании «Digital Security», информационная безопасность
На Хабре уже пару раз появлялись статьи, поднимающие тему American Fuzzy Lop (AFL) (1,2). Но в данной статье речь пойдет не о классическом AFL, а о вспомогательных утилитах для него и его модификациях, которые, на наш взгляд, могут значительно улучшить качество фаззинга. Если вам интересно узнать, как можно прокачать AFL и искать быстрее и больше уязвимостей, то добро пожаловать под кат!
Читать полностью »