Рубрика «информационная безопасность» - 97

в 9:11, , рубрики: CloudFlare, ddos, DNS, SSL, TLS, Блог компании Флант, информационная безопасность, Сетевые технологии, системное администрирование

Гляди в оба: как не выставить наружу прокси для внутренних сервисов - 1

Распределенные атаки типа DDoS весьма популярны. Зачастую для защиты от них используются сервисы вроде Cloudflare, позволяющие «поглотить» поток вредного трафика. Но даже применение дополнительных механизмов защиты в них (например, режима «I'm Under Attack» в сочетании с белым списком для упомянутого сервиса) не поможет, когда вы допустили неосторожность и, сами того не заметив, раскрыли всему миру свой IP-адрес. О случае из жизни и о том, как не допустить подобного (и, соответственно, ненужных DDoS-атак), — читайте под катом.Читать полностью »

в 9:58, , рубрики: HTTPS, miran, Smart TV, TLS, Блог компании Дата-центр «Миран», гаджеты, дата-центр "Миран", Интернет вещей, информационная безопасность, корневой сертификат, Серверное администрирование, умные устройства

Проблема устаревших корневых сертификатов. На очереди Let's Encrypt и умные телевизоры - 1

Чтобы браузер мог аутентифицировать веб-сайт, тот представляет себя действительной цепочкой сертификатов. Типичная цепочка показана сверху, в ней может быть больше одного промежуточного сертификата. Минимальное количество сертификатов в действительной цепочке равно трём.

Корневой сертификат — сердце центра сертификации. Он буквально встроен в вашу ОС или браузер, он физически присутствует на вашем устройстве. Его не поменяешь со стороны сервера. Нужно принудительное обновление ОС или встроенного ПО на устройстве.

Специалист по безопасности Скотт Хельме (Scott Helme) пишет, что основные проблемы возникнут у центра сертификации Let's Encrypt, потому что сегодня это самый популярный ЦС в интернете, а его корневой сертификат скоро «протухнет». Смена корня Let's Encrypt назначена на 8 июля 2020 года.
Читать полностью »

в 8:03, , рубрики: баг, информационная безопасность, Социальные сети и сообщества, фича

«Особенности» Тиндера - 1

Informative

Бывают такие баги, которые, вроде как и угрозу безопасности не несут, но вред все-таки могут причинить. Интереснее всего, когда их и править никто не хочет, но и открыто о них нам не говорят. Часто в таких случаях разработчики утверждают, что это не баг, а фича. Именно о двух таких фичах в Тиндере и пойдет речь в посте.

Внимание! Перед тем, как рассказать аудитории Хабра об этих проблемах, мной были предприняты попытки сообщить о них разработчикам через платформу HackerOne. Разработчики посчитали это все “не багами”, а репорты были закрыты в статусе “informative”, дважды!

Читать полностью »

в 8:00, , рубрики: linux, oscp, Блог компании Инфосистемы Джет, информационная безопасность

Первый квартал 2020 года я провел за подготовкой к экзамену OSCP. Поиск информации в Google и множество «слепых» попыток отнимали у меня все свободное время. Особенно непросто оказалось разобраться в механизмах повышения привилегий. Курс PWK уделяет этой теме большое внимание, однако методических материалов всегда недостаточно. В Интернете есть куча мануалов с полезными командами, но я не сторонник слепого следования рекомендациям без понимания, к чему это приведет.

Мне хочется поделиться с вами тем, что удалось узнать за время подготовки и успешной сдачи экзамена (включая периодические набеги на Hack The Box). Я испытывал сильнейшее ощущение благодарности к каждой крупице информации, которая помогала мне пройти путь Try Harder более осознанно, сейчас мое время отдать должное комьюнити.

Я хочу дать вам мануал по повышению привилегий в OS Linux, включающий в себя разбор наиболее частых векторов и смежных фишек, которые вам обязательно пригодятся. Зачастую сами механизмы повышения привилегий достаточно несложные, трудности возникают при структурировании и анализе информации. Поэтому я решил начать с «обзорной экскурсии» и далее рассматривать каждый вектор в отдельной статье. Надеюсь, я сэкономлю вам время на изучение темы.

Я есть root. Разбираемся в повышении привилегий ОS Linux - 1

Читать полностью »

в 20:29, , рубрики: java, MFA, spring boot, Spring Security, telegram bots, информационная безопасность

Недавно столкнулся с проблемой: все приложения используют Telegram-бота в качестве подтверждения входа в аккаунт, а мое — нет. Я был настроен серьезно и провёл уйму времени в интернете в поиске туториала, но меня ждало разочарование. Задача сложная и имеет много подводных камней, а туториалов — ноль.

Следующую неделю я потратил на написание своей имплементации данной фичи и готов поделиться успехом.

Весь код, который мы сегодня напишем, доступен в репозитории на GitHub. Рекомендую параллельно с чтением статьи проверять этот код в проекте, чтобы не упустить детали.

Читать полностью »

в 10:13, , рубрики: airdrop, apple, apple_blee, BLE, bluetooth low energy, iphone, owlink, Беспроводные технологии, Блог компании RUVDS.com, информационная безопасность

Как я использую AirDrop вместо Тиндера - 1

В устройствах Apple есть прекрасная функция Airdrop — она сделана для пересылки данных между устройствами. При этом никакой настройки и предварительного сопряжения устройств не требуется, все работает из коробки в два клика. Для передачи данных используется надстройка над Wi-Fi, и поэтому данные передаются с огромными скоростями. При этом используя некоторые трюки, можно не просто пересылать файлы, но и узнать телефонный номер человека, находящегося с тобой в одном вагоне метро.

Последний год я использую эту функцию для интересных знакомств по пути на работу, в общественном транспорте, в общепитах. В среднем за день у меня получается заводить несколько новых знакомств, и иногда я выхожу из метро в компании нового человека.

Под катом я расскажу за всю хурму.
Читать полностью »

в 9:02, , рубрики: miran, SNOW, анб, Блог компании Дата-центр «Миран», дата-центр "Миран", информационная безопасность, микроточки, периферия, принтеры, пятничное, Стеганография, ЦРУ

Зачем принтеры ставят невидимые точки на документах - 13 июня 2017 года агенты ФБР нагрянули в дом 25-летней Реалити Леи Уиннер, которая работала в компании Pluribus International Corporation, подрядчике АНБ в штате Джорджия. Девушку (на фото) арестовали по обвинению в разглашении секретной информации, предположительно просочившейся в прессу. И действительно, к тому времени документ уже был в распоряжении онлайн-издания The intercept, а 5 июня 2017 года его опубликовали в открытом доступе.

В этой истории есть интересный момент. Агенты ФБР утверждали, что для вычисления источника утечки они тщательно изучили копии документа, предоставленные The Intercept, и якобы «заметили складки, свидетельствующие о том, что страницы были напечатаны и вручную вынесены из защищённого пространства».

Но анализ независимых специалистов из компании Errata Security показал истинную картину. Дело в том, что документ PDF из утечки содержал отсканированные копии бумажных документов очень хорошего качества. Включая точки-маркеры, которые скрыто проставляют принтеры на каждую отпечатанную страницу. Судя по всему, по этим точкам и вычислили Уиннер.
Читать полностью »

в 22:39, , рубрики: Законодательство в IT, информационная безопасность, контент-провайдер, Мегафон, мобильные подписки, Монетизация мобильных приложений, мошенничество, обман клиентов, платные подписки
[Вопрос] Вы видели людей, которые пользуются мобильными контент-подписками? - 1

Только что я впервые в жизни попался на развод с платной мобильной контент подпиской.
Я много раз читал гневные истории о мошеннических сайтах-прокладках, хитро подписывающих пользователей на гороскопы и анекдоты, помнил статью с разоблачением Как Мегафон спалился на мобильных подписках. Меня поразило, насколько быстро и незаметно проходит эта операция даже для такого задрота как я.

Я стоял в магазине и решил проверить, все ли я купил для окрошки. Загуглил «рецепт окрошки» и кликнул по первой попавшейся ссылке. Вместо рецепта открылась страница с единственной кнопкой «продолжить», которую я на автомате нажал. И за доли секунды, пока страница еще не догрузилась, я заметил мелкий серый текст вверху и понял — я лоханулся.

На видео ниже скринкаст с демонстрацией процесса. Видно, что от запроса в гугл до успешной подписки проходят считанные секунды.

И тут у меня возник вопрос:

Существует ли хоть один человек, который использует эти подписки добровольно по назначению?

Моя гипотеза состоит в том, что нет ни одного человека, который по-настоящему пользуется этими подписками. А значит, эта услуга существует с единственной целью — ради мошенничества.
Из этого следует другой вопрос: может ли в правовом государстве существовать услуга, единственным назначением которой является мошенничество?

Под катом я предлагаю разобраться.
Читать полностью »

в 11:31, , рубрики: архитектура, Блог компании ТЕХНОСЕРВ, виртуализация, гибридное облако, данные, защита, ИБ, информационная безопасность, инфраструктура, Облачные вычисления, облачные сервисы, провайдер, сервер

image

Гибридное облако образуется в двух случаях: у кого-то остался парк железа, который ещё надо самортизировать, либо же стоят какие-то уникальные серверы, которые невозможно закупить у облачного провайдера.

Самая частая ситуация — слияние-поглощение, когда вы купили конкурента, а у него куча старого, но ещё хорошего железа. А у вас уже облачный подход. Или когда вы настолько круты, что у вас есть P-машины IBM либо какие-то особенные хранилища (бывают у телестудий и медицинских центров). В любом случае вы столкнетесь с ситуацией, когда есть безопасники в облаке, есть департамент ИБ на вашей стороне и куча костылей — посередине.

По данным Garnter, есть вероятность 90 %, что вопрос переезда в облако коснётся вас в этом или следующем году, поэтому стоит задуматься над кибербезопасностью уже сейчас.

Ниже в статье — базовые вещи на тот случай, чтобы можно было легче договориться с провайдером о зонах ответственности и внедрить лучшие практики обеспечения информационной безопасности. Соответственно разделение зон ответственности и практики по ИБ мы используем в Техносерв Cloud для заказчиков с гибридными средами и потому знаем, что и где может пойти не так.
Читать полностью »

в 8:23, , рубрики: libssh, miran, open source, openssh, sha-1, ssh, Блог компании Дата-центр «Миран», дата-центр "Миран", информационная безопасность, коллизии хеша, криптография, Софт

Опасный алгоритм SHA-1 убирают из библиотек SSH - 1
Сложность атак на SHA-1. Стоимость указана из расчёта стоимости аренды одного GTX 1060 в 35 долларов/месяц

Намного позже всех остальных, но разработчики библиотек для SSH приняли решение наконец-то отключить по умолчанию устаревшую криптофункцию SHA-1. Сегодня подбор серверного ключа аутентификации SHA-1, то есть коллизия с выбранным префиксом, на арендованном кластере GPU обойдётся в $45 тыс., как указано в таблице вверху. Это делает атаку доступной не только для государственных спецслужб, но и для коммерческих клиентов.

Об отключении SHA-1 по умолчанию одновременно объявили разработчики опенсорсных библиотек OpenSSH (release notes) и libssh (изменение кода).
Читать полностью »

1...1020...969798...100110...956
Главная   |  Архив новостей  |   Android  |   Google  |   Apple  |   Microsoft  |   Информационная безопасность  |   Веб – разработка
Публикации RSS  |  Комментарии RSS
https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js