Как мессенджеры шифруют сообщения (end-to-end) на самом деле
В этой статье мы углубимся в реализацию шифрования (end-to-end) сообщений на стороне клиента с использованием JavaScript и Web Crypto API, разобрав практический пример, который будет в самом конце статьи. Начнём с того, что если вы полный ноль в криптографии, то понять написанное здесь может быть...
Безопасная сборка Docker-образов в CI: пошаговая инструкция
Привет, Хабр! Я Саша Лысенко, ведущий эксперт по безопасной разработке в К2 Кибербезопасность. Сейчас появилась куча инструментов для автоматизации рутинных задачи и все активно идут в эту сторону для оптимизации ресурсов и быстрых результатов. Так в DevOps внедрение CI/CD пайплайнов ускоряет...
Слил $800 на CEX, поднял $2000 на DEX — реальный опыт копитрейдинга в Solana
Как я попробовал копитрейдинг на Solana: слил $800 на CEX, но потом отбился и сделал +$2000 на DEX. 👉 Всё началось ещё до разработки арбитражного бота — вручную анализировал кошельки, следил за трейдерами и тестировал гипотезы. Наткнулся на копитрейдинг. Пробовал на CEX — слил почти весь депозит😅...
Видеть инфраструктуру как хакер. От графа моделирования угроз к алгоритмам, которые находят маршруты атак на нем
Эта статья — логическое продолжение статьи Антона и Кости про управление маршрутами атак хакера). Здесь мы расскажем о построении графа моделирования угроз и методах расчета путей атакующего на нем. Одна из задач проактивного анализа и повышения защищенности инфраструктуры – это поиск потенциальных...
Информационная безопасность для цифровых кочевников
Привет! Меня зовут Аня, я менеджер продукта в департаменте информационной безопасности Ozon Tech. Сейчас я занимаюсь проектом по внедрению дополнительных механизмов проверки прав пользователей при доступе к корпоративным ресурсам. Этот опыт помог мне иначе взглянуть на угрозы, с которыми...
Сравнительный обзор: Shodan, ZoomEye, Netlas, Censys, FOFA и Criminal IP
В современном интернете всё, что подключено к сети, может быть найдено — было бы желание и подходящий инструмент. Сканеры вроде Shodan, ZoomEye, Netlas, Censys, FOFA и Criminal IP давно вышли за рамки «поисковиков для хакеров» и стали рабочими лошадками для специалистов по кибербезопасности, Red...
Философия защиты персональных данных: долгая дорога к безопасности
Привет, Хабр! Меня зовут Илья Башкиров. Я юрист по информационной безопасности в ГК InfoWatch. Только ленивый не написал, что с июня этого года в России вводятся оборотные штрафы и другие санкции для компаний за утечку персональных данных. Здесь Россия движется в фарватере общемировых практик....
Аудит информационной безопасности: комплексная модель оценки зрелости процессов
Вопрос зрелости практик информационной безопасности волнует практически каждую российскую компанию: кибератаки становятся изощреннее, требования регуляторов ужесточаются, а импортозамещение требует быстро перестраивать ИТ-процессы. Как понять, насколько ваша система действительно надежна, где...
Вкратце об анонимных сетях и задачах анонимизации | Proxy, Onion, Dining Cryptographers, Queue Based, Entropy Increase
Каждую анонимную сеть можно классифицировать различным образом - можно смотреть на сетевую архитектуру: децентрализованная она или гибридная, можно смотреть на открытость или закрытость исходного кода, можно смотреть на то, каким образом пакеты маршрутизируются в системе, можно сравнивать модели...
Пошаговое руководство по внесению ПО и ПАК в Минцифры в 2025 году
Ежегодно процесс регистрации программного обеспечения (ПО) и программно-аппаратного комплекса (ПАК) в реестре отечественного ПО претерпевает значительные изменения, и их незнание увеличивает риск отказа. Эта статья — полноценный гайд для IT-компаний. Она ответит на все часто задаваемые вопросы по...
Взлом уязвимой операционной системы Vulnix. Уязвимая служба/протокол smtp
Всех приветствую, читатели Хабра! В сегодняшней статье я поделюсь примером взлома уязвимой ОС Vulnix и энумерацией порта/сокета/службы smtp. После чего опять же пример брутфорса паролей Примечание Правовая информация: Данная статья создана исключительно в ознакомительных/образовательных/развивающих...
Скрытые языки: как инженеры передают информацию внутри команды, избегая документации
Технические команды часто избегают лишней документации, но информация всё равно каким-то образом передаётся, сохраняется и развивается. В этой статье — попытка разобрать скрытые механизмы общения внутри инженерных команд: как выстраиваются негласные соглашения, каким образом рождаются "внутренние...
[Перевод] Пишем на C самоизменяющуюся программу x86_64
«Зачем вообще писать программу, меняющую код в процессе выполнения? Это же ужасная идея!» Да, всё так и есть. Но это и хороший опыт. Такое делают только тогда, когда хотят что-то исследовать, или из любопытства. Самоизменяемые/самомодифицируемые программы не обладают особой полезностью. Они...
Четыре взлома ИТ-инфраструктуры, один из которых выдуман. Какой?
Публикуем примеры взлома информационной инфраструктуры четырех объектов. Под раздачу попали: банк, два дата‑центра и умный дом. Как видно из заголовка, только три варианта произошли в реальности, а один мы выдумали сами. Ответы — в конце статьи. Полагаем, что учиться на чужих ошибках всегда...
Быстрый старт в маскировании данных PostgreSQL с инструментом pg_anon
В этой статье поговорим о не самом гламурном, но жизненно важном — маскировании данных. Маскирование может касаться имён, телефонов, номеров карт, медицинских диагнозов и другой чувствительной информации. Если ваша компания до сих пор передает данные подрядчикам или аналитикам как они есть в базе,...
[Перевод] Свой среди чужих: насколько токсична рабочая среда безопасника?
Привет, Хабр! В прошлом году мы опросили больше 300 ИБ-специалистов про уровень стресса на работе, и больше половины (53%) выбрали значения выше среднего. Выгорание – популярная тема обсуждений и реальная проблема в отрасли. Почему так происходит? Разбирались по следам интервью Роба Ли,...
[Перевод] Обход двухфакторной аутентификации в публичной баг-баунти программе: путь к $6000
Находить уязвимости в публичных программах — это одновременно захватывающе и прибыльно. В этом посте я расскажу, как обнаружил и использовал уязвимость обхода 2FA в одной публичной баг-баунти программе (название скрыто, используется redacted.com из соображений конфиденциальности), что принесло мне...
Кратко про XHTTP для VLESS: что, зачем и как
Просили нас тут рассказать про протокол технологию XHTTP в контексте XRay, VLESS и прочих. Просили - рассказываем! Для начала немного истории. Классическое использование VLESS и подобных прокси-протоколов (в том числе с использование XTLS-Reality) предполагает подключение клиента напрямую к...