Рубрика «информационная безопасность» - 91

INTRO

Недавно столкнулся с обычной для интернета ситуацией — классической просьбой от родственника отдать свой голос за него в каком-то голосовании. Оказалось, человека "взломали" мошенники, а ссылки на голосование вели на фишинговые ресурсы.

Я увлекаюсь безопасностью, поэтому решил из интереса проверить безопасность фишингового ресурса.

"Админку" мошенников удалось успешно взломать, внутри нашлось n-количество украденных учеток. Их логины были переданы в службу безопасности VK, плюс соответствующие "abuse" жалобы были направлены регистраторам, хостерам.

А теперь расскажу как и какие оказываются бывают Phishing-as-Service панели...

Читать полностью »

GitHub: новая Open Source библиотека для OSINT - 1
В мире информационной безопасности часто задаются вопросом об исследовании открытых источников на получение личной информации — будь то защищающая сторона (например, для контроля периметра, выявления открытых уязвимостей) или пентестеры (поиск точки входа, аудит периметра и т. д.). Рассмотрим один из таких источников — hunter.io, — работу с которым мы оптимизировали, написав под него новую библиотеку. Подробности и ссылка на GitHub под катом.Читать полностью »

image

Основатель сервиса проверки аккаунтов на утечки Have I Been Pwned Трой Хант рассказал, что он решил не продавать проект и управлять им самостоятельно. В своем блоге Хант поделился подробностями прошедших за последний год переговоров. Читать полностью »

Швейцария возбуждает уголовное дело по поводу тайного сговора криптографической фирмы Crypto AG с ЦРУ - 1
В 1967 компания Crypto AG выпустила H-460, полностью электронную шифровальную машину, начинку которой разработали в АНБ

Финансовый департамент правительства Швейцарии подал заявление о возбуждении уголовного дела «против неизвестных лиц» в связи с сообщениями СМИ о том, что ведущий мировой производитель криптографического оборудования Crypto AG тайно принадлежал Центральному разведывательному управлению США. Эта теория заговора циркулировала с 1980-х годов, а сейчас полностью подтвердилась.

Швейцарская фирма заработала миллионы долларов, продавая оборудование в более чем 120 стран. Но в феврале 2020 года стало известно, что ею тайно владела ЦРУ в рамках секретного партнёрства с западногерманской разведкой БНД. Как сообщается, операция «Рубикон» находится в числе наиболее дерзких операций в истории ЦРУ. Договор, длившийся несколько десятилетий, оказался раскрыт благодаря материалам, полученным газетой The Washington Post и немецким изданием ZDF.
Читать полностью »

Все уже привыкли к тому, что данные клиентов российских банков то тут, то там всплывают либо в открытом доступе, либо выставляются на продажу на различных теневых форумах.

Анализ утечки второго порядка: когда утекает у тех, кто ворует данные у банка - 1

Сейчас хочется поговорить о том, откуда эта информация берется, на примере конкретного случая с известным российским банком. Чтобы никого не обидеть (а банки очень обидчивы и любят публично поистерить силами своих пиар-отделов, все отрицая в стиле «вы все врете» и «на нас осуществляют информационную атаку»), назову данный банк условно «Эпсилон».

Мне на анализ попало два весьма интересных PHP-приложения, случайно оказавшихся в открытом доступе на одном из серверов в Нидерландах. Но обо всем по порядку…

Читать полностью »

Брифинг выступления:

Для многих из нас автомобиль – одна из самых дорогих покупок, которую мы когда-либо совершали. В мире, где все вещи взаимосвязаны, вполне естественно хотеть удаленно контролировать свою машину: получать напоминания, где мы ее припарковали, проверять, не забыли ли запереть двери или дистанционно запускать двигатель, чтобы заранее прогреть или охладить салон в зависимости от времени года.

Существует множество производителей, предлагающих дополнительные системы сигнализации, которые обеспечивают эти удобства и душевное спокойствие. Но насколько мы можем доверять поставщикам этих систем, защищающих доступ к нашим автомобилям в цифровом домене? В этом докладе Jmaxxz расскажет о том, что он обнаружил, когда заглянул в одну из таких систем.

Jmaxxz известен благодаря своей работе с системами «умного дома» August Smart Lock (доклад на DEFCON 24 «Взлом с черного хода» — «Backdooring The Frontdoor»). В последние годы в центре его внимания были устройства для Интернета вещей. Он участвовал в работе секций «IoT village zero day» DEFCON 24 и DEFCON 25 и наконец, решил, что пришло время исследовать продукт вторичного автомобильного рынка — дистанционный стартер (далее ДС).Читать полностью »

В Let's Encrypt нашли баг, отзываются ранее выданные сертификаты TLS-SSL, их нужно обновить до 4 марта 2020 года - 1

Джейкоб Хоффман-Эндрюс, инженер Let's Encrypt, 29 февраля 2020 года опубликовал на корпоративной странице центра сертификации информацию о том, что специалисты Let's Encrypt обнаружили ошибку в рабочем коде для CAA (Certification Authority Authorization). Оказывается, что с 25 июля 2019 года их программное обеспечение Boulder, предназначенное для проверки сертификации, некорректно отрабатывало процедуру повторной проверки в процессе выдачи сертификатов.
Читать полностью »

Обезл***вание д***ных — это не просто рандомизация - 1

В банке есть проблема: нужно давать доступ к базе данных разработчикам и тестировщикам. Есть куча клиентских данных, которые по PCI DSS требованиям Центробанка и законам о персональных данных вообще нельзя использовать для раскрытия на отделы разработки и тестирования.

Казалось бы, достаточно просто поменять всё на какие-нибудь несимметричные хеши, и всё будет хорошо.

Так вот, не будет.

Дело в том, что база данных банка — это множество связанных между собой таблиц. Где-то они связаны по ФИО и номеру счёта клиента. Где-то по его уникальному идентификатору. Где-то (тут начинается боль) через хранимую процедуру, которая вычисляет сквозной идентификатор на основе этой и соседней таблицы. И так далее.

Обычная ситуация, что разработчик первой версии системы уже десять лет как умер или уехал, а системы ядра, запущенные в старом гипервизоре внутри нового гипервизора (чтобы обеспечить совместимость) ещё в проде.

То есть прежде чем всё это обезличить, сначала надо разобраться в базе данных. Читать полностью »

Доброе утро!

Продолжаем рассказывать про нашу конференцию AnalogBytes, до которой остались последние два дня — она пройдёт уже в четверг. Расписание сформировалось, последние участники круглых столов подтверждаются — в общем, всё идёт по плану.

Конференция AnalogBytes Conference: Роскомнадзор, СМИ, хайлоад и все-все-все - 1

Несколько человек спросили — почему-то в мессенджерах, а не в комментариях — а в чём вообще смысл делать такую странную разношёрстную конференцию, на которой есть и немного хайлоада для разработчиков, и юридические темы, и Роскомнадзор, и СМИ, и политика одновременно?

Не лучше ли будет мух отдельно, котлеты — отдельно? Ну то есть вот политолог или журналист, привлечённый буквами «WADA», пойдёт слушать доклад Белявского — что он там вообще поймёт-то?

Так вот, в этом и состоит коварный замысел! Не в том, чтобы политологи ничего не поняли (с этим вообще многие и без нас справляются), а в том, чтобы свести людей, занимающихся на самом деле одними и теми же темами, но с разных сторон, вместе.

Много ли вы видели репортажей в РБК или Ведомостях с Highload++ про доклады о построении высоконагруженных избирательных систем или реальных перспективах использовании блокчейна на выборах? Ну ок, вы хотя бы корреспондента хотя бы одного такого издания на Highload++ видели? Так вот, у нас уже аккредитованы РБК, AFP, ZDF, SkyNews Arabia, TJournal и много ещё кто.

Много ли вы видели заседаний важных людей из высоких министерств, на которых за тем же столом сидят люди, обсуждаемые системы реально делающие своими руками — те, которым эти чиновники вчера DigitalOcean вместо с CloudFlare опять сломали? Как вы думаете, какой процент чиновников вообще реально верит в существование таких людей больше, чем в Деда Мороза и Снегурочку, если ни тех, ни других они ни разу в жизни вживую не встречали?

То-то и оно. Так что ожидаем, что будет весело. Приходите (NB: промокод на билеты — abchabr).

А теперь — анонсы оставшихся докладов и круглых столов.

Читать полностью »

Security Week 10: RSA Conference и восприятие кибербезопасности - 1На прошлой неделе в Сан-Франциско прошла очередная конференция по кибербезопасности RSA Security 2020 — мероприятие, в котором бизнеса немного больше, чем технологий. Деловые особенности индустрии не менее важны, чем технические, хотя это взаимодействие и проходит под знаком некоего антагонизма: менеджеры по развитию бизнеса говорят красивые слова, а технарям скучно. Кстати, о словах: вот как эволюционировали главные темы RSA, баззворды отдельно взятой конференции, за последние пять лет. В 2016 году главной темой была безопасность IoT, в 2017-м — искусственный интеллект, в 2018-м — отсутствие серебряных пуль и простых решений в киберзащите, в 2019-м — проблема репутации.

В 2020 году президент RSA поднял тему разделения на технарей и бизнесменов, неожиданно превратив торжественное открытие в обсуждение реальной проблемы, пусть и общими словами: «О наших делах будут судить по тому, какая история о них будет рассказана. И мы хотим, чтобы это была история об успешном сопротивлении киберугрозам, а не технические байки о кибер-пинг-понге». То есть: сообщество IT-безопасников — закрытое, человеку со стороны непонятное, и надо это изменить. Делиться не только проблемами, но и успешными решениями: «Переформатировать культуру из элитарной в открытую».
Читать полностью »


https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js