Основная проблема доступа к информационным ресурсам сети Интернет состоит в том, что точка подключения к ней становится частью этой сети и, как следствие, становится общедоступной, взаимодействует с ней по общепринятым сетевым протоколам и по этим же протоколам взаимодействует с защищаемой сетью. Никакими методами тестирования невозможно доказать отсутствие ошибок в программном обеспечении (постулат Дейкстры). Имея неограниченное время доступа к точке подключения к сети Интернет, злоумышленник может, используя стандартные сетевые протоколы, стандартное программное обеспечение и найденные в нем ошибки или ошибки в его настройках осуществить несанкционированный доступ через точку подключения внутрь корпоративной сети со всеми вытекающими последствиями.
Читать полностью »
Рубрика «HTTPS» - 8
Дайте мне точку опоры или безопасный Интернет — это реальность
2017-01-25 в 7:43, admin, рубрики: http, HTTPS, proxy, squid, TLS, vpn, web, браузеры, государство и интернет, госуслуги, информационная безопасность, Разработка систем передачи данныхСуверенный интернет. Почему его не будет в 2017 году
2017-01-02 в 13:33, admin, рубрики: BGP, CDN, DNS, http, http2, HTTPS, ripe, SSL, TLS, Сетевые технологии, Стандарты связи, хостинг, хранение данныхПоследнее время всё чаще пробегают новости про «суверенный интернет», «отключение интернета» и прочие ужасы. Однако, по состоянию на начало 2017 года, отключить российский сегмент от остальной сети и оставить его работоспособным представляется маловероятным.
Давайте попробуем рассмотреть детально.
Читать полностью »
Как не распространять запрещённый контент, но всё равно ощутить на себе действие 139-ФЗ
2016-12-30 в 8:21, admin, рубрики: Dura Lex, HTTPS, SSL, а вас как поздравили с новым годом?, блокировки сайтов, ит-инфраструктура, Роскомнадзор, Серверное администрированиеВ этой истории будет рассказано о том, как ваш интернет-ресурс, особенно если вы беспокоитесь о безопасности и используете на сайте SSL, может внезапно стать недоступен для посетителей из России, якобы по воле Роскомнадзора. Вы можете сколь угодно долго пытаться найти причину у себя, но окажется, что от вас ничего не зависит и либо вам повезёт и всё разрешится само, либо предстоит долгая и упорная борьба за чистоту своего IP-адреса. Ну ещё можно от SSL отказаться, что вряд ли хорошая идея.
Скучно о работе дешифрации NGFW
2016-12-28 в 7:20, admin, рубрики: Cisco, Firepower, ftd, HTTPS, SSL, Блог компании CBS, Дешифрация, информационная безопасность, ит-инфраструктура, Сетевые технологии, системное администрирование
Если вы хотите окончательно испортить первое свидание – поговорите с девушкой о дешифрации. Да и в случае последующих – тоже не стОит.
Наша встреча с вами не первая, поэтому в этом тексте речь снова пойдет о дешифрации.
Да, я вновь расскажу об SSL. Могу обрадовать себя и вас тем, что это второй и последний материал на эту тему. Возможно.Читать полностью »
Скучно о дешифрации
2016-12-26 в 7:50, admin, рубрики: Cisco, Firepower, ftd, HTTPS, SSL, Блог компании CBS, Дешифрация, информационная безопасность, ит-инфраструктура, Сетевые технологии, системное администрирование
Нет, а вы вообще когда-либо видели веселый текст про SSL?
Я – нет. Но нам все равно придется страдать. Вы могли бы пролистать этот материал и почитать что-нибудь более интересное и интригующее. Но если вам надо разобраться, как и зачем это работает, то советую запастись чем-нибудь бодрящим. Ибо далее неподготовленный человек рискует заснуть.
Я, конечно, возьму на себя ответственность и буду периодически вас будить. Однако, советую все же налить себе чашечку крепкого кофе и устроиться поудобнее. Поговорить нам надо о многом:
дешифрация NGFW – дело тонкое.Читать полностью »
«Ультимативный» SSL-дайджест: Лучшие практические материалы на Хабре и не только
2016-11-21 в 12:43, admin, рубрики: 1сloud, http, HTTPS, SSL, TLS, Администрирование доменных имен, Блог компании 1cloud.ru, хостинг, хранение данных, хранилища данныхМы в 1cloud предоставляем услуги аренды виртуальной инфраструктуры и совсем недавно начали поставлять SSL-сертификаты от Сomodo, Geotrust, Rapidssl, Symantec и Thawte. Добавление такой возможности сподвигло нас к беглому анализу публикаций, которые затрагивали те или иные аспекты работы с SSL и выходили на Хабре за последние пару лет.
Мы обнаружили значительный объем переводных материалов и постов в корпоративных блогах, но и без руководств не обошлось. Именно на практической составляющей мы и решили сделать ставку в нашей подборке из полезных материалов.
Поддержка https совсем без настроек
2016-11-20 в 12:21, admin, рубрики: Go, golang, HTTPS, Let's Encrypt, LetsEncrypt, reverse-proxy, криптографияНаписал программу для автоматического выписывания ssl-сертификатов налету (при первом запросе к домену).
Для начала работы программы её достаточно просто запустить, настраивать не надо совсем (даже домены для сертификатов указывать не надо).
github.com/rekby/lets-proxy/releases/latest
Подробности внутри.
Читать полностью »
Делаем стартап просто и технологично. Маячки Eddystone
2016-11-14 в 8:15, admin, рубрики: android, api, bluetooth, Eddystone, github, Google, HTTPS, ibks, SSL, tool, Блог компании Google, маячки, Разработка для интернета вещей, разработка мобильных приложений, Разработка под androidВы когда-нибудь были в Лувре? Добрались до Мона-Лизы? Если да, то наверняка вы увидели лишь большую очередь перед ней, а саму картину лишь издалека и не в полный размер. Люди хотят изучить подробнее полотно, запомнить каждую его деталь, узнать о нем все подробности, поэтому они надолго остаются рядом с ним. Но что, если всю эту информацию перенести прямо в смартфон? Сделать так, чтобы картина сама рассказала устройству о себе, а оно передало информацию вам?
Статья автора Алексея Набережного, в рамках проекта «Devces Lab от Google».
Читать полностью »
Universal Mobile Electronic Key
2016-10-24 в 14:20, admin, рубрики: android, api, bluetooth, Eddystone, github, Google, HTTPS, ibks, SSL, tool, Блог компании Google, мобильные приложения, Разработка для интернета вещей, разработка мобильных приложений, Разработка под androidНе могу сказать, что я почувствовал большое воодушевление, когда мне предложили поучаствовать в проекте «Device Lab от Google», однако без сомнения интерес присутствовал. Когда-то я делал проект с различными взаимодействиями через Bluetooth и у меня получились крайне интересные реализации. Однако оказалось, что в ходе манипуляций с Bluetooth все телефоны, владельцы которых по недосмотру отставили их включенными в радиусе работы Bluetooth, теряли заряд в три раза быстрее, чем обычно. Коллеги, само собой, не очень радовались. Проект пришлось закрыть. В связи с этим мне давно хотелось подержать в «цепких» руках маячки последнего поколения. И проект Device Lab мне такую возможность предоставил.
Статья автора Дмитрия Сенашенко, в рамках конкурса «Device Lab от Google».
Читать полностью »
Security Week 42: зима на подходе, взрывающиеся свиньи, зашифрована половина интернета
2016-10-21 в 15:15, admin, рубрики: adb, android, exchange, Firefox, Foxconn, HTTPS, klsw, nine, Блог компании «Лаборатория Касперского», информационная безопасность
Как вы наверное уже поняли, этот выпуск еженедельного дайджеста новостей в сфере инфобезопасности посвящен борьбе с желтыми заголовками. Исследователь Джон Сойер нашел уязвимость в ряде моделей смартфонов на базе Android, выпускаемых компанией Foxconn (новость, исследование). Уязвимость произошла из-за ошибки производителя, поставляющего для части клиентов также собственную версию ОС: там имелся отладочный модуль, позволяющий без труда получить привилегии рута и полный доступ к смартфону.
Несмотря на то, что ошибка оказалась достаточно серьезной, Сойер в своем исследовании высказался против использования уязвимостей «для пиара» — не в том смысле, что о них не стоит сообщать публике, а в том, что не нужно раздувать опасность обнаруживаемых дыр ради шеров и лайков. Отсюда и название уязвимости, пародирующее иные попытки брендировать уязвимости вплоть до создания логотипа, флага и рингтона: «Свиной взрыв».
Эксплуатируется 
проще простого. Достаточно подключить телефон к компьютеру, ввести пару команд через отладчик и готово. Впрочем, не совсем так. Исследователь обнаружил, что через стандартную консоль adb ввести комнаду не получится и слегка модифицировал софт так, чтобы отправлять на телефон необходимую последовательность символов. Результат: загрузка телефона в режиме отладки, с полным доступом к системе. Это не позволяет напрямую читать зашифрованную информацию, но дает массу возможностей для брутфорса или других специализированных мероприятий.
Читать полностью »