Метка «информационная безопасность» - 14

GPS мониторинг без лишних глаз

«Если вы не параноик, это еще не означает, что за вами никто не следит». Развитие Интернета перевело это высказывание на качественно новый уровень. Следить уже можно, не выходя из дома, а всю информацию добровольно предоставит сам объект наблюдения. Люди выкладывают в сеть свои личные данные, но не всегда задумываются о том, кому они могут быть доступны. Логин/пароль и «Показывать только друзьям» успокаивают. Создается иллюзия, что мы контролируем приватность собственных данных. Но есть еще администраторы и органы власти, которые узнают всё, что их интересует, без спроса и без вашего ведома.

Это проблема всех систем, централизованно обслуживающих множество клиентов. Например, любая популярная социальная сеть имеет единое хранилище данных (возможно, распределенное), которое доступно в служебных целях для некоторого круга лиц. Пользователи постепенно начинают осознавать угрозу: появляются пиринговые социальные сети (см. ссылки в статье про Пандору), но они с трудом пробивают себе дорогу.

Аналогичная ситуация с приватностью имеет место и для систем мониторинга транспорта. Для них можно предложить принципиально другой подход, который позволит пользователю полностью контролировать доступ к своим данным. Идея проста – предоставить каждому свой собственный выделенный сервер в облаке!Читать полностью »

После моей первой публикации на Хабре о стеганографии, у меня было много мыслей и в результате много интересных идей. На некоторые идеи меня натолкнули комментаторы предыдущей статьи, к некоторым я пришел сам.Читать полностью »

Хотелось бы немного рассказать о подходе повествования в данном посте. Всё описанное имеет реальные случаи произошедшие из моей личной практики, в большинстве своём это популярные проекты, поэтому в тексте буду их упоминать. Главное на что я хотел бы обратить внимание — эта статья может показаться не интересной специалистам ИБ, т.к. она не содержит никаких новых векторов атаки и супер крутых подходов. Вся информация ориентирована на разработчиков и проект-менеджеров.
Проводя заказы на аудит целью ставиться аналитика максимального ущерба при минимальных действиях и знаниях злоумышленника. Как показывает практика в суровых условиях производства ПО такие нюансы продумывают единицы проектов.

Заметки о безопасности. Восстановление пароля

Одной из популярных проблем является восстановление пароля и получение доступа к учётным записям пользователей. Сейчас наверное не существует ни одного сайта где бы не была функция восстановления пароля. Я их поделил на несколько типов, чтобы рассмотреть каждый из них:

Конечно это только часть большого айсберга. Существуют проблемы и в других подходах, например OAuth, но об этом уже много писали и там всё же технические нюансы, а меня больше интересует бизнес-логика.

И так, рассмотрим слабые места каждого из пунктов выше.
Читать полностью »

GPS мониторинг без лишних глаз

«Если вы не параноик, это еще не означает, что за вами никто не следит». Развитие Интернета перевело это высказывание на качественно новый уровень. Следить уже можно, не выходя из дома, а всю информацию добровольно предоставит сам объект наблюдения. Люди выкладывают в сеть свои личные данные, но не всегда задумываются о том, кому они могут быть доступны. Логин/пароль и «Показывать только друзьям» успокаивают. Создается иллюзия, что мы контролируем приватность собственных данных. Но есть еще администраторы и органы власти, которые узнают все, что их интересует, без спроса и без вашего ведома.

Это проблема всех систем, централизованно обслуживающих множество клиентов. Например, любая социальная сеть имеет единое хранилище данных (возможно, распределенное), которое доступно в служебных целях для некоторого круга лиц. Аналогичная ситуация имеет место и для систем мониторинга транспорта. В нашей системе применяется принципиально другой подход, который позволит каждому полностью контролировать доступ к своим данным.

Идея проста – каждому пользователю дать свой собственный выделенный сервер в облаке!Читать полностью »

Как инстаграммить по черному или следи за печеньками
Хэй, имярек, отгадай загадку! Какой стартап был продан в 2012 году за миллиард долларов? В какой очередной соцсети наш запасной президент завел блох в прошлом году? Какая соцсеть попыталась объявить своей собственностью генерируемый юзером контент?
Ага, верно! Сегодня мы поговорим про Instagram.
При всем медийном внимании к Instagram, я нигде не встречал анализа безопасности этого проекта, а там есть что анализировать. Instagram общается по открытому http (!) и если иногда и использует криптографию, то весьма странным образом.
Много подробностей и клевый DIY хак под катом.
Читать полностью »

Президент России Владимир Путин поручил ФСБ создать госсистему обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ.

По поручению Путина в ФСБ будет создана система предупреждения и ликвидации компьютерных атак

«Возложить на ФСБ РФ полномочия по созданию государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ — информационные системы и информационно-телекоммуникационные сети, находящиеся на территории РФ и в дипломатических представительствах и консульских учреждениях РФ за рубежом»Читать полностью »

imageИтак, в статье «UPD Уязвим...»(ознакомится можно ТУТ) описана проблема безопасности с window.opener, но основная проблема заключается не в window.opener, а в протоколе file://. Разные браузеры имеют разные политики безопасности относительно работы этого протокола, например Google Chrome, блокирует все привилегии даже если файл запущен с вашей локальной машины, а например Safari и Opera готовы выложить всю подноготную. С Mozilla Firefox дела обстоят немного иначе. Их политика безопасности предоставляет полные привилегии в случае, если Читать полностью »

Все мы, конечно же, слышали, знаем, и, в меру сил, проповедуем среди родственников и просто знакомых простые правила о том, что пароли должны быть трудноугадываемыми, операционная система — обновлена, а антивирус — включен.

руки мыли?Читать полностью »

imageДень добрый,
сим постом хочу предупредить русскоязычное сообщество о новой фишинг тенденции, семимильными шагами двигающейся по Европе. В настоящее время накрыло Германию. Думаю такими темпами очень быстро доберется до России и СНГ.

Смысл в том, что QR-код на плакате в аэропорту, рекламной брошюре у врача или например на информационном стикере, висящем в банке, содержащий QR-код аккуратно заклеивается другим, который ведет соответственно на злостную страничку фишера. Иногда он даже вырезается и вклеивается новый, например изнутри банка, на плакате за стеклом. Снаружи такая переклейка практически не заметна под стеклом и не вызывает никаких сомнений, что QR-код принадлежит банку.

На такую уловку попадаются даже люди, серьезно относящиеся к безопасности своих данных, например проверяющие URL в браузерах перед оплатой PayPal и т.д. Это объясняется высоким уровнем доверия к информации, висящей например внутри крупного банка.
Читать полностью »

Хотя пока и не настолько близко, чтобы начать волноваться всерьез.
На конференции 29C3 в Берлине аспирантами Университета Дрекселя (США) была представлена Альфа-версия JStylo — программного продукта, способного установить авторство текста с довольно высокой вероятностью.Читать полностью »


https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js