Всем привет! Недавно решил протестировать аппаратный OTP токен с возможностью перепрошивки по NFC, подключив его к своей учетке в vk.com. При этом наткнулся на недоработки в системе двухфакторной аутентификации Вконтакте, которые показались мне довольно существенными. Хочу поделиться своими наблюдениями с вами, так как в самом VK ошибок не признали. Возможно, я немного параноик? Интересно, что скажете вы.
В конце сентября на Хабре появилась заметка со ссылкой на чеклист для проверки приложений на соответствие европейскому законодательству в области защиты данных. В комментариях к заметке несколько человек высказали пожелание о переводе документа с немецкого на местное наречие. Ничтоже сумняшеся решил перевести данный документ на русский язык.
» Черновик перевода я оставил на GitBooks (просьба все правки по переводу добавлять прямо туда).
» Скомпилированная и готовая к боевому использованию версия документа может быть найдена тут.
» Оригинальная версия всё еще лежит здесь.Читать полностью »
Сначала разберем, что такое XSS и его виды.
XSS — Cross-Site Scripting — Одна из множества уязвимостей веб приложений, которая позволяет внедрить вредоносный код, на страницу.
Есть 2 типа XSS:
За несколько лет работы в сфере информационной безопасности, я смог набраться опыта и могу рассказать о некоторых нетипичных видах XSS. Данные типы уязвимостей довольно распространены на современных веб-сервисах, но к сожалению из-за своей необычности, они скрылись в тени.
В этом году мы получили сертификат ФСТЭК (ТУ+НДВ4) на версию Veeam Backup & Replication v8 Update #2. В этом посте я кратко расскажу о том, в каких случаях стоит выбирать именно эту (сертифицированную) версию продукта вместо обычной (не сертифицированной) версии, о ключевых отличиях нашей сертифицированной версии, и об общих требованиях законодательства к резервному копированию информации ограниченного доступа, не относящейся к гостайне.
Чипованные платежные карты, использующие современный стандарт EMV, поддержанный такими гигантами, как Europay, MasterCard, VISA, American Express и JCB, постепенно прокладывают себе путь в кошельки наших сограждан. Однако, перед компаниями, как это часто бывает, встает вопрос по использованию наиболее эффективного решения для внедрения новой технологии.
Один из наиболее распространенных способов проникновения злоумышленников в сеть компании — получение данных сотрудника компании с доступом к целевой сети. Данные этого пользователя добываются самыми разными методами, включая социальный инжиниринг, фишинг и malware. А поскольку пользователь с определенным уровнем допуска не вызывает подозрения, то злоумышленники с его данными доступа могут безнаказанно работать в сети предприятия долгое время. Порой, такой доступ сохраняется в течение недель или даже месяцев.
Сейчас наша компания разработала новое решение, которое позволит избежать подобной угрозы. Решение получило название IBM Security App Exchange. Это программа, расширяющая возможности платформы IBM QRadar. Она анализирует поведенческие шаблоны всех пользователей предприятия, имеющих доступ к сети, а также пользователей со стороны — партнеров, удаленных сотрудников и т.п. Если какой-то из пользователей начинает совершать необычные действия в сетевом окружении компании, IBM Security App Exchange проводит детальный анализ события или их совокупности сообщает о проблеме.
Читать полностью »
Web Proxy Auto-Discovery Protocol (WPAD) — это протокол автоматической настройки прокси, который используется клиентами (браузером) для определения места (URL) расположения конфигурационного файла с использованием технологий DHCP и/или DNS. При совершении запроса браузером вызывается функция FindProxyForURL из PAC-файла, куда передается URL и хост. Ожидаемый ответ — список прокси, через которые будет осуществляться выход на этот адрес.
WPAD включен по умолчанию в Windows, поддерживается он и другими операционными системами. Но этот протокол подвержен ряду уязвимостей, что показали специалисты по информационной безопасности Алекс Чапман (Alex Chapman) и Пол Стоун (Paul Stone) на Defcon. Злоумышленники, используя эти уязвимости, могут получить данные жертвы (история поиска, доступы к аккаунтам, фото, документы и т.п.), несмотря на HTTPS или VPS соединения. Тип атаки, который применяется в этом случае — man-in-the-middle.
Читать полностью »
Группа израильских ученых разработала новую технологию похищения данных с ПК, которые изолированы от интернета и локальных сетей с низким уровнем безопасности. Такой способ защиты компьютерных систем называется «воздушным зазором» (air-gap) и заключается в физической изоляции. «Зазором» считаются разного рода криптографические устройства, которые обеспечивают передачу данных по отдельному каналу связи или метод передачи информации на различных накопителях вместо передачи по сети.
Схожие методы ранее уже предлагались экспертами по информационной безопасности. Например, технология AirHopper, предполагает использование FM-модуля мобильного устройства для перехвата и анализа электромагнитного излучения графического адаптера ПК. Даже обычные кулеры могут стать источником утечки данных с ПК (метод Fansmitter). Метод получения закрытой информации, предложенный израильскими специалистами, получил название DiskFiltration.
Читать полностью »
Группа израильских ученых разработала новую технологию похищения данных с ПК, которые изолированы от интернета и локальных сетей с низким уровнем безопасности. Такой способ защиты компьютерных систем называется «воздушным зазором» (air-gap) и заключается в физической изоляции. «Зазором» считаются разного рода криптографические устройства, которые обеспечивают передачу данных по отдельному каналу связи или метод передачи информации на различных накопителях вместо передачи по сети.
Схожие методы ранее уже предлагались экспертами по информационной безопасности. Например, технология AirHopper, предполагает использование FM-модуля мобильного устройства для перехвата и анализа электромагнитного излучения графического адаптера ПК. Даже обычные кулеры могут стать источником утечки данных с ПК (метод Fansmitter). Метод получения закрытой информации, предложенный израильскими специалистами, получил название DiskFiltration.
Читать полностью »
Microsoft выиграла в суде важное дело, которое будет иметь последствия для всей телекоммуникационной отрасли США
Фото: Reuters/Lucy Nicholson
Федеральный апелляционный суд США на этой неделе вынес важное решение: правительство США не может заставить Microsoft или другие компании предоставлять данные своих клиентов, в случае, если эта информация хранится на серверах вне США. В судебном решении речь идет о содержимом ящиков электронной почты клиентов телекоммуникационных компаний США.
По словам экспертов это дело может рассматриваться как большой успех Microsoft и других телекоммуникационных компаний в плане защиты личных данных своих клиентов. Рассмотрение этого дела началось еще в 2013 году, когда окружной суд Нью-Йорка выдал ордер на запрос сообщений электронной почты и других данных клиента Microsoft, который, предположительно, был вовлечен в торговлю наркотиками. Компания частично удовлетворила запрос, предоставив мета-данные и другую информацию правоохранителям.
Читать полностью »
