День добрый.
Хочу поделиться проектом, который недавно закончил. Надеюсь кому-то пригодится.
Все, кто пользуется интернетом длительное время, наверняка накопили большое количество различных приватных данных, таких как логины и пароли от сайтов, почтовых ящиков, серверов и баз данных. У кого-то меньше, у кого-то больше, но такие данные есть у всех. Можно хранить это на клочках бумаги, стикерах на мониторе, в блокноте на тумбочке или в файле на рабочем столе. Многие догадываются что это не очень безопасно: кто-то может подсмотреть или банально можно потерять эти драгоценные данные, но обычно редко кто пытается что-то с этим сделать.
Интернет очень плотно вошел в нашу жизнь и было бы неплохо иметь возможность упорядочить и обезопасить свои данные. Даже если не хранить в банках миллионы и не переживать, что кто-то украдет пароль от банковского счета, — это не значит, что будет приятна утеря доступа к почте, wm-киперу или фейсбуку. Личная переписка, деловые контакты, фотографии, секретная информация разного вида — всё это не должно быть доступно никому, кроме владельца.
Читать полностью »
Рубрика «информационная безопасность» - 937
FortNotes — онлайн менеджер паролей
2012-04-24 в 10:34, admin, рубрики: online, open source, password manager, security, Веб-разработка, информационная безопасность, метки: online, password manager, security
ЭЦП в браузере: проблемы, решения, личный опыт
2012-04-23 в 10:56, admin, рубрики: crypto, java, openssl, stunnel, web-разработка, гост, информационная безопасность, криптография, Песочница, плагины, электронная подпись, эцп, метки: crypto, java, openssl, stunnel, web-разработка, гост, информационная безопасность, криптография, плагины, электронная подпись, эцп 
Те, кто хоть раз сталкивался с необходимостью реализовать электронную цифровую подпись в браузере, хорошо знают, какая это головная боль для разработчика, и особенно для веб-разработчика, который успел привыкнуть к открытым стандартам, правилу, что его ПО одинаково хорошо работает во всех браузерах и ему все равно, какая ось стоит у пользователя, ну и прочим прелестям веба.
На самом деле сегодня ситуация с ЭЦП в браузере все же не так печальна как еще несколько лет назад, но она все же далека от идеала. Тема эта также несколько раз поднималась на хабре, например, здесь и здесь.
Под катом рассказ о самой проблеме, о том, как эту проблему можно решить, о том, как я ее решал, а также личные впечатления о том, как обстоят дела с ЭЦП в Беларуси.
Читать полностью »
Логические уязвимости при составлении SQL запросов с LIKE
2012-04-23 в 8:32, admin, рубрики: like, ONsec, sql-injection, sql-инъекция, безопасность веб-приложений, информационная безопасность, метки: like, ONsec, sql-injection, sql-инъекция, безопасность веб-приложений Когда пользовательские данные попадают в запрос под оператор LIKE следует быть предельно внимательными.
Дело в том, что ни одна функция фильтрации, включая mysql_real_escape_string, и даже prepared statements не защитят от логических ошибок, связанных с wildcard символами.
В нашей практике аудита веб-приложений, данная ошибка встречается примерно в каждом пятом веб-приложении, уязвимом к SQL-инъекциям (19.3%).
Оператор LIKE используется для поиска по неточному значению, строковых типов.
Синтаксис оператора позволяет использовать wildcard семантику, где
% заменяет классический * — последовательность любых символов
_ заменяет классический? — любой одиночный символ
Частая ошибка разработчиков состоит в том, что символы % и _ не фильтруются в попадании пользовательских данных в SQL запрос. Да, нарушить синтаксис запроса, то есть выполнить внедрение операторов, в этом случае нельзя, но может пострадать логика работы веб-приложения.
Читать полностью »
Самый частый шаблон SQL инъекций в РНР — бесполезное экранирование символов
2012-04-23 в 7:14, admin, рубрики: ONsec, php, sql-injection, sql-инъекция, аудит безопасности, безопасность веб-приложений, информационная безопасность, метки: ONsec, PHP, sql-injection, sql-инъекция, аудит безопасности, безопасность веб-приложений По роду своей деятельности, мне приходится выполнять аудиты безопасности исходного кода веб-приложений.
Много веб-приложений и много кода…
В этой статье я хотел бы поделиться одной простой (очень простой) истиной и статистикой, которые вывел и многократно проверил в течении трех последний лет просмотра тонн РНР кода.
Не секрет, что уязвимости внедрения операторов СУБД (SQL injections) являются самыми распространенными из всех серверных уязвимостей веб-приложений. Есть платформы и фреймворки, где такие вещи практически полностью исключены, например ORM'ом и прочим. Но статистика упорно говорит нам об абсолютном преобладании на просторах Интернета веб-приложений с простыми конкатенированными SQL запросами. Кроме того, есть случаи, где ORM вообще применим быть не может. Например, когда от пользовательских данных должны зависеть не только параметры выражений, но и сама логика запроса на уровне операторов.
Читать полностью »
Dynamic Binary Instrumentation в ИБ
2012-04-23 в 6:31, admin, рубрики: dbi, dsecrg, Блог компании «Digital Security», информационная безопасность, метки: dbi, dsecrgСложность программного обеспечения растет – программы становятся более динамическими и их поведение возможно оценить только в процессе выполнения. Производить оценку безопасности (поиск уязвимостей, недокументированных возможностей, и т.д.) таких приложений значительно сложнее. Использовать только статические подходы анализа становится не возможным, так как из-за динамически генерируемого кода, мы даже не можем гарантировать полное покрытие кода при анализе. На помощь приходят динамические методы анализа.
Есть такая замечательная технология, как динамическая бинарная инструментация (Dynamic Binary Instrumentation, DBI), которая заключается во вставке в бинарный исполняющийся код анализирующих (в общем случае) процедур. Основной прелестью данного подхода заключается в том, что нет необходимости в исходном коде анализируемого приложения – работа происходит непосредственно с бинарным файлом.Читать полностью »
Монетизация безопасности на free-lance.ru
2012-04-21 в 23:12, admin, рубрики: free-lance.ru, информационная безопасность, монетизация, фриланс, метки: free-lance.ru, монетизацияРаньше, когда я отмечал в профилях на различных сайтах «восстановление пароля по СМС» и оставлял свой номер телефона, я наивно полагал, что это сделано ради моей собственной безопасности и я делал это с ощущением того, что поступаю правильно. Но знаете, free-lance.ru меня искренне удивил и заставил сомневаться в такого рода суждениях. У них реализован действительно инновационный подход, неожиданный и беспощадный, который даже комментировать как-то сложно. Под катом две картинки, кликабельные.
Вирусы под Linux? Их есть у меня!
2012-04-21 в 10:00, admin, рубрики: Google Chrome, информационная безопасность, метки: Google Chrome, ВконтактеРечь пойдет не о Линуксе даже, и не о вирусах как таковых, а о плохих людях.
Открываю сегодня утром ВКонтактик в Chrome, открытым в линуксахзапущенным, и тут мне через каждую секунду в левый нижний угол (прям как новое личное сообщение) начинает падать одно и то же сообщение от некой «Администрации Гугл.ру» с «просьбой» обновить мой браузер:
Читать полностью »
Фишинг в крупных расширениях для Chrome
2012-04-21 в 10:00, admin, рубрики: Google Chrome, информационная безопасность, метки: Google Chrome, ВконтактеРечь пойдет не о Линуксе даже, и не о вирусах как таковых, а о плохих людях.
Открываю сегодня утром ВКонтактик в Chrome, и тут мне через каждую секунду в левый нижний угол (прям как новое личное сообщение) начинает падать одно и то же сообщение от некой «Администрации Гугл.ру» с «просьбой» обновить мой браузер:
Читать полностью »
На Chrome Webstore распространяются вредоносные расширения
2012-04-21 в 10:00, admin, рубрики: Google Chrome, информационная безопасность, метки: Google Chrome, ВконтактеРечь пойдет не о Линуксе даже, и не о вирусах как таковых, а о плохих людях.
Открываю сегодня утром ВКонтактик в Chrome, и тут мне через каждую секунду в левый нижний угол (прям как новое личное сообщение) начинает падать одно и то же сообщение от некой «Администрации Гугл.ру» с «просьбой» обновить мой браузер:
Читать полностью »