Информационная безопасность *

Сегодня расскажем о составе нашего типового полевого набора, который пентестеры берут с собой, выезжая для проведения анализа беспроводных сетей или проектов в формате Red Team.

27 августа 2022 года интернет-журналист, телеведущий и основатель некоммерческой организации WikiLeaks Джулиан Ассанж подал очередную апелляцию в Верховный суд Великобритании против экстрадиции в США. В Соединённых Штатах Ассанжу грозит 175 лет тюрьмы строгого режима. Американские прокуроры выдвинули против журналиста 17 обвинений в разглашении государственной тайны и одно — в незаконном взломе компьютерных сетей. 

Делюсь с вами своим опытом участия в квесте от ютубера...

Прозрачность блокчейн является преимуществом во многих случаях, но есть также ряд случаев использования смарт-контрактов, которые требуют конфиденциальности по различным деловым или юридическим причинам, например, использование частных данных в качестве входных данных для запуска исполнения смарт-контракта.
Все более распространенным способом достижения конфиденциальности в сетях блокчейн является доказательство с нулевым разглашением. Zero-Knowledge Proof - это метод, при котором одна сторона криптографически доказывает, что ей известна часть информации, не раскрывая фактической информации другой стороне. В контексте блокчейн-сетей единственная информация, раскрываемая в сети с помощью доказательства нулевого разглашения, заключается в том, что некоторая конфиденциальная информация является действительной и достоверно известна аттестуемому.

Доказательство с нулевым разглашением было впервые определено в статье 1985 года "The Knowledge Complexity of Interactive Proof Systems", написанной Шафи Голдвассером и Сильвио Микали. В этой статье авторы показывают, что аттестующий может убедить проверяющего в истинности определенного утверждения о точке данных, не раскрывая никакой дополнительной информации об этих данных.

Zero-Knowledge Proof может быть интерактивным, когда доказывающий убеждает конкретного проверяющего, но должен повторять этот процесс для каждого проверяющего, или неинтерактивным, когда доказывающий создает доказательство, которое может быть проверено любым человеком, использующим то же доказательство. Существует несколько реализаций доказательства нулевого знания, включая zk-SNARKS, zk-STARKS, PLONK и Bulletproofs, каждая из которых имеет свой размер доказательства транзакции, доказательство доказательства, время проверки и многое другое, работая с различными механизмами в своих системах.

Это и не статья, а всего лишь заметка, которая появилась в связи с грядущим окончанием действия TLS сертификатов у Сбербанка и некоторым бурлением, связанным с этим событием. В комментах к другой статье по этой же теме я предложил возможное решение, и мне предложили описать его в деталях, поэтому так и поступаю.

Это - отдельное руководство, описывающее ещё один способ получить личный
прокси-сервер shadowsocks бесплатно и служащее продолжением к моей предыдущей статье. В этот раз мы воспользуемся сервисом Replit.

В этот раз всё будет намного проще: регистрация, импорт, запуск. Три шага.

Многие компании отрасли столкнулись с мобилизацией. Призывают как рядовых сотрудников, так начальников. Очевидно, что это очередное испытание для российского бизнеса, поэтому все пытаются решить эту проблему. Легкие и быстрые в срочном порядке пересекли государственную границу. Но для многих приходится решать эту проблему на месте и отраслевые министерства пытаются помочь в этом. В частности сейчас наибольшую активность проявляют Минпромторг и Минцифры. Но при этом есть и подводные камни, которые пока еще не видны большинству участников.

С 1 марта 2023 г. законодательство ограничивает использование информационных систем (ИС) для идентификации и/или аутентификации с использованием биометрии. Как говорил Сенека: «Закон должен быть краток, чтобы его легко могли запомнить и люди несведущие». В этой статье буду придерживаться этого правила, и кратко расскажу, кому и на каких условиях разрешат использовать такие системы.

Сегодня в ТОП-3 — меры защиты от эксплуатации уязвимости ProxyNotShell, кража данных у подрядчика министерства обороны США и новая техника для обхода средств защиты на конечных узлах.

Новости собирал Павел Козяев, аналитик центра мониторинга и реагирования на инциденты ИБ Jet CSIRT компании «Инфосистемы Джет».

Подробнее читайте под катом.

Сбор телеметрических данных о пользователях и их действиях в вебе и приложениях — плата за пользование «бесплатными» сервисами в Интернете. Пользователи расплачиваются своим вниманием и временем, проведёнными в данных сервисах и приложениях. Поэтому производители мобильных платформ, ИТ-компании, социальные сети заинтересованы в получении максимального объёма данных с устройств.

Если по отдельности данные телеметрии не представляют угрозы конкретному человеку, то их совокупность может дать очень много информации о человеке, его интересах, семье, работе. В то же время постоянная связь устройств с инфраструктурой ИТ-гигантов создаёт потенциальную угрозу утечек конфиденциальной информации или изучения окружения при помощи микрофонов и камер смартфонов.

В данной статье рассматривается вопрос о том, какую конкретно информацию смартфон передает на серверы вендоров.

Привет, Хабр! Меня зовут Дима, я занимаюсь тестированием безопасности операционной системы Astra Linux в группе компаний «Астра». В статье я расскажу о фаззинг-тестировании, которое помогает обнаружить слабые места программ методом подачи на их входные интерфейсы различных наборов данных, при обработке которых ПО может начать вести себя нештатно или выйти из строя.

Привет, хабр! Мы с очередным постом из серии «интересное на иностранном языке» – история про экс-начальника службы безопасности Uber Джозефа Салливана, которого обвиняют в сокрытии кибератаки. Теперь ему грозит до восьми лет тюрьмы и шестизначный штраф. Примечательно, что к истории Джозефа, а точнее к судебному процессу, сейчас приковано внимание чуть ли не всего сообщества ИБ-руководителей США. Действительно, дело Джо можно назвать своего рода «киберпрецедентом» для инфобеза, ведь это первый случай, когда начальника службы безопасности компании обвиняют в «сокрытии преступления и воспрепятствовании правосудию». Но обо всем по порядку.

Как из «рок-звезды» мира информационной безопасности сделали «козла отпущения» и почему история заставила ИБ-специалистов задуматься, а надо ли стремиться к высоким должностям? Об этом в статье The New York Times, перевод которой читайте ниже.

А вот что: брать деньги.

В двух предыдущих статьях мы рассмотрели различные аспекты правления учетными записями и настройки доступа к файлам. Однако, при настройке доступа всегда можно ошибиться, задав неверные значения. Если администратор выдал недостаточные права, то такая ошибка будет найдена довольно быстро, так как, тот кому этих прав не хватит очень скоро пожалуется админу. Но что делать, если прав в итоге оказалось больше, чем нужно? Многие, конечно, могут сказать, что это вообще не проблема, мол больше не меньше, но на самом деле это ошибочная логика. Как мы увидим в сегодняшней статье, даже безобидные на первый взгляд разрешения могут привести к получению прав root в системе.

Продолжаем копать дальше и разбираться что же происходит интересного в мире web 3.0: стоит ли овчинка выделки, чтобы туда вообще погружаться. Сегодня мы попытаемся разобраться, что такое децентрализованное облако и причем там blockchain. Но начнем как всегда сначала с классического облака и рассмотрим историю его трансформации в децентрализованное.

Также в статье мы немного покритикуем AWS, Google Cloud и Azure. Как же без этого. Поговорим о применении контейниризации в децентрализованных облаках. Ведь одназначно мы выступает не за количество, а за качество, то есть стремимся к повышению эффективности использования оборудования. Затронем тему токенов и для чего они нужны проектам из web 3.0

На хабре были попытки обсуждения темы цифровых наличных (Digital Currency) и в частности фиатных цифровых наличных (Central Bank Digital Currency, CBDC). Однако, с моей точки зрения, не было ни одного удовлетворительного ни технического, ни социального описания "на пальцах" что это такое и зачем (а главное КОМУ) это нужно.

Если зайти на сайт https://cbdctracker.org/ то можно увидеть, что тема более чем хайповая с точки зрения многих государств... Так как инфобез понятие комплексное, думаю тема цифровых наличных обязательна к изучению для грамотных спецов хотя бы "на пальцах".

В данном посте разберём что такое цифровые наличные, чем они отличаются от криптовалют (спойлер: почти всем) и приведём пример алгоритма цифровых наличных.

Кто не любит "социально-экономическое бла-бла-бла" (а зря!) — идите к главе "Пример протокола", там описание алгоритма цифровых наличных "на пальцах".

Доступ к данным, хранящимся в документах нового поколения — вопрос актуальный. Для его решения применяются CV-сертификаты, не соответствующие стандарту X.509, но сохраняющие идею иерархичности открытых ключей и адаптированные к технологии смарт-карт. Они вполне заслуженно получили широкое распространение. Познакомится с ними можно в этой статье.

Всем привет! Подоспел наш традиционный дайджест самых горячих новостей информационной безопасности за ушедший месяц. Осень началась с заметных происшествий на геополитической арене, так что у нас сегодня немало инфобез-интриг на государственном уровне: иранцы взламывают Албанию, Черногории мерещатся вездесущие русские хакеры, португальцы упускают важные происшествия в перерыве на послеобеденный сон… Помимо этого, расскажем о громких взломах, затронувших Uber и Rockstar, и о падении зубров от мира киберпреступного рынка. За подробностями добро пожаловать под кат!