Рубрика «Блог компании GlobalSign» - 5

в 11:43, , рубрики: dotless i, github, Unicode, Блог компании GlobalSign, забытый пароль, информационная безопасность, коллизия трансляции, проверка адреса email, Разработка веб-сайтов, типографика, Юникод

Взлом с помощью Юникода (на примере GitHub) - 1Юникод исключительно сложен. Мало кто знает все хитрости: от невидимых символов и контрольных знаков до суррогатных пар и комбинированных эмодзи (когда при сложении двух знаков получается третий). Стандарт включает 216 кодовых позиций в 17-ти плоскостях. По сути, изучение Юникода можно сравнить с изучением отдельного языка программирования.

Неудивительно, что веб-разработчики упускают из вида некоторые нюансы. С другой стороны, злоумышленники могут использовать особенности Юникода в своих целях, что и делают.

Специалист по безопасности Джон Грейси продемонстрировал на примере GitHub баг проверки адреса электронной почты для восстановления забытого пароля. Подобные баги можно встретить и на других сайтах.
Читать полностью »

в 11:51, , рубрики: Abry Partners, Ethos Capital, globalsign, icann, isoc, Public Interest Registry PIR, The Internet Society, Администрирование доменных имен, Блог компании GlobalSign, финансы в IT

Доменную зону .ORG продают частной компании. Общественность призывает ICANN расторгнуть контракт - 1Американская некоммерческая организация The Internet Society (ISOC) продаёт свои активы, включая оператора Public Interest Registry (PIR), который управляет доменной зоной .org. Созданная в «общественных интересах» для общественных организаций, доменная зона переходит в руки коммерческой фирмы Ethos Capital за неизвестную сумму. Сделку планируют закрыть в I кв. 2020 года (см. пресс-релиз).

Таким образом, реестр из 10 миллионов доменных имен. org и управление финансовым потоками отдают коммерческой компании. Интересно, что пять месяцев назад ICANN бессрочно сняла любые ограничения на максимальные цены доменов .org. В поддержку своего решения ICANN привела два комментария от общественности. При этом во время общественного обсуждения организация получила 3315 комментариев, из которых 3252 были против (98,2%).

По мнению критиков, со стороны ISOC это была предпродажная подготовка, а организацию ICANN ввели в заблуждение (или она участвовала в сговоре). Судя по всему, сейчас подозрения подтвердились.
Читать полностью »

в 14:25, , рубрики: Ansible, ci/cd, devops, globalsign, hashicorp vault, Jenkins CI, kubernetes, openshift, PKI, saltstack, terraform, Venafi, X.509, Блог компании GlobalSign, информационная безопасность, облачные сервисы, Серверное администрирование

Помощь девопсам по внедрению PKI - 1
Ключевые интеграции Venafi

У девопсов и так много работы, а от них ещё требуют экспертных знаний по криптографии и инфраструктуре открытых ключей (PKI). Это неправильно.

Действительно, у каждой машины должен быть валидный TLS-сертификат. Они нужны для серверов, контейнеров, виртуальных машин, в сетках service mesh. Но количество ключей и сертификатов растёт как снежный ком, а управление быстро становится хаотичным, дорогостоящим и рискованным, если всё делать самостоятельно. При отсутствии надлежащей практики применения политик и мониторинга бизнес может пострадать из-за слабых сертификатов или неожиданного истечения срока действия.

GlobalSign и Venafi организовали два вебкаста в помощь девопсам. Первый — вводный, а второй — с более конкретными техническими советами по подключению системы PKI от GlobalSign через облако Venafi с помощью опенсорсных инструментов через HashiCorp Vault из конвейера Jenkins CI/CD.
Читать полностью »

в 18:37, , рубрики: api, AudioContext API, Блог компании GlobalSign, браузеры, деанонимизация, звук, информационная безопасность, приватность, Сanvas API, трекинг, фингерпринтинг
Звуковой отпечаток компьютера через AudioContext API - 1

Компании, отслеживающие действия пользователей в интернете, нуждаются в надёжной идентификации каждого человека без его ведома. Фингерпринтинг через браузер подходит идеально. Никто не заметит, если веб-страница попросит отрисовать фрагмент графики через canvas или сгенерирует звуковой сигнал нулевой громкости, замеряя параметры ответа.

Метод работает по умолчанию во всех браузерах, кроме Tor. Он не требует получения никаких разрешений пользователя.
Читать полностью »

в 10:42, , рубрики: Certainly Something, Certificate Viewer, ev, Firefox, HTTPS, TLS, UI, Блог компании GlobalSign, браузеры, индикатор, интерфейсы, информационная безопасность

Как вернуть зелёный индикатор TLS в новом Firefox 70? - 1

С версий Chrome 77 и Firefox 70 (вышел 22.10.2019) дизайнеры приняли решение убрать зелёный «замочек», который сигнализирует о наличии TLS-сертификата. Более того, EV-сертификаты с расширенной проверкой теперь никак не выделяются.

Но разработчики Firefox 70 оставили возможность вернуть привычный интерфейс. И зелёный индикатор, и отдельную строчку с указанием компании для EV-сертификатов. Как со всеми другими настройками Firefox, это делается очень просто — изменением параметра в about:config.
Читать полностью »

в 7:37, , рубрики: Google Chrome, HTTPS, mixed content, Блог компании GlobalSign, браузеры, информационная безопасность, Разработка веб-сайтов, смешанный контент

Chrome полностью заблокирует смешанный контент - 1
Загрузка картинок с незащищённых сайтов тоже будет блокироваться

Google продолжает продвигать HTTPS, всё больше ограничивая в возможностях сайты, у которых нет TLS-сертификатов, хотя таких сайтов осталось уже мало. С июля прошлого года Chrome начал помечать такие сайты как небезопасные. Сейчас следующий шаг — компания анонсировала ряд шагов по постепенной блокировке смешанного контента.

Смешанный контент (mixed content) — это незащищённые элементы, передаваемые по HTTP-протоколу через страницы с SSL-сертификатом. Например, изображения, аудио и видео со сторонних (незащищённых) доменов. От такой практики придётся отказаться совсем.
Читать полностью »

в 7:31, , рубрики: DoH, RFC 8484, Блог компании GlobalSign, браузеры, великобритания, Законодательство в IT, информационная безопасность, шифрование трафика

Mozilla пообещала не включать шифрование DoH в Великобритании. Что это значит для России? - 1

Две недели назад на Хабре рассказывали о протоколе DNS-over-HTTPS (DoH) , недавно принятом в качестве стандарта RFC 8484. Разработанный Mozilla, Google и Cloudflare протокол DNS-шифрования сводит на нет попытки мониторинга трафика «человеком-в-середине». Он устраняет самое «слабое звено» в HTTPS — открытые DNS-запросы, по которым сейчас государство или злоумышленник на уровне провайдера может отслеживать содержимое DNS-пакетов и даже подменять их. Это позволяет блокировать доступ к ресурсу по IP-адресу или доменному имени.

И самое главное — организация Mozilla приняла решение включить его по умолчанию в браузере Firefox. Пока что только для пользователей США. Но в свете того, что менее полутора месяцев осталось до вступления в силу закона об изоляции Рунета, а закон Яровой уже вступил в силу, методы шифрования трафика как никогда актуальны для защиты от слежки в российском интернете.

Но сейчас пришла не очень приятная новость. Оказывается, в некоторых странах, где уже действует цензура трафика на государственном уровне, Mozilla может изменить своё решение. Такое обсуждается в Великобритании. Теоретически, такое может произойти и в России.
Читать полностью »

в 4:40, , рубрики: chrome, CloudFlare, DNS, DoH, dpi, Firefox, RFC 8484, Блог компании GlobalSign, браузеры, информационная безопасность, криптография

Firefox и Chrome будут шифровать DNS-запросы и обходить цензуру - 1
Обычно резолвер сообщает каждому DNS-серверу, какой домен вы ищете. Этот запрос иногда включает ваш полный IP-адрес или его большую часть, что можно легко объединить с другой информацией, чтобы установить вашу личность. Из статьи Лин Кларк «DoH в картинках»

На Хабре неоднократно рассказывали о протоколе DNS-over-HTTPS (DoH), недавно принятом в качестве стандарта RFC 8484. Разработанный Mozilla, Google и Cloudflare протокол DNS-шифрования сводит на нет попытки мониторинга трафика «человеком-в-середине». Он устраняет самое «слабое звено» в HTTPS — открытые DNS-запросы, по которым сейчас злоумышленник на уровне провайдера или государства может отслеживать содержимое DNS-пакетов и даже подменять их. Это позволяет блокировать доступ к ресурсу по IP-адресу или доменному имени.
Читать полностью »

в 17:00, , рубрики: ca, CA/Browser Forum, CABF, chrome, ev, Google, HTTPS, IT-стандарты, SSL, TLS, Администрирование доменных имен, Блог компании GlobalSign, браузеры, Серверное администрирование, сертификаты

26 июля 2019 года компания Google выступила с предложением уменьшить максимальный срок действия серверных сертификатов SSL/TLS с нынешних 825 дней до 397 дней (около 13 месяцев), то есть примерно вдвое. Google считает, что только полная автоматизация действий с сертификатами позволит избавиться от нынешних проблем с безопасностью, которые часто объясняются человеческим фактором. Поэтому в идеале нужно стремиться к автоматизированной выдаче короткоживущих сертификатов.

Вопрос поставили на голосование в организации CA/Browser Forum (CABF), которая устанавливает требования к SSL/TLS-сертификатам, в том числе к максимальному сроку действия.

И вот 10 сентября объявлены результаты: члены консорциума проголосовали против предложения.
Читать полностью »

в 15:38, , рубрики: CurlyTP, dead drop, Блог компании GlobalSign, информационная безопасность, Серверное администрирование, серверные логи, тайник

Согласно определению в Википедии, тайник (dead drop) — это инструмент конспирации, который служит для обмена информацией или какими-то предметами между людьми, использующими секретное местоположение. Смысл в том, что люди никогда не встречаются — но при этом обмениваются информацией, поддерживая эксплуатационную безопасность.

Тайник не должен привлекать внимание. Поэтому в офлайновом мире часто используют неброские вещи: свободный кирпич в стене, библиотечную книгу или дупло в дереве.

В интернете есть много инструментов для шифрования и анонимизации, но сам факт использования этих инструментов привлекает внимание. Кроме того, они могут быть заблокированы на корпоративном или государственном уровне. Что делать?
Читать полностью »

1...456...10...13
Главная   |  Архив новостей  |   Android  |   Google  |   Apple  |   Microsoft  |   Информационная безопасность  |   Веб – разработка
Публикации RSS  |  Комментарии RSS
https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js