[Из песочницы] О сертификации межсетевых экранов
Инструмент защиты от нежелательного трафика Будучи заинтересованным человеком в области сертификации СЗИ, решил изложить некоторые мысли по сертификации межсетевых экранов. В статье уделено внимание проблемам, которые почему-то очень неохотно решаются в настоящий момент. Если эта тема вам тоже...
[Из песочницы] Защита служебных учетных записей Microsoft
Защита учетных записей пользователей в корпоративной сети на базе домена MS Windows типовая и простая задача. Все уже реализовано и регламентировано (например, в MS TechNet Password Best practices или в 17/21 приказах ФСТЭК): Использование сложного и длинного пароля; Временная блокировка...
[Из песочницы] Троян, ворующий предметы из инвентаря Steam
Хотя про этот троян известно достаточно давно, настоящую массовость он приобрел в конце ноября. Интересно в нем то, что вместо обычной кражи логинов и паролей, от которой можно вполне просто защититься, он напрямую ворует предметы из инвентаря Steam. Компания Valve давно в курсе проблемы, но...
[Из песочницы] Троян, ворующий предметы из инвентаря Steam
Хотя про этот троян известно достаточно давно, настоящую массовость он приобрел в конце ноября. Интересно в нем то, что вместо обычной кражи логинов и паролей, от которой можно вполне просто защититься, он напрямую ворует предметы из инвентаря Steam. Компания Valve давно в курсе проблемы, но...
Открытый рекурсивный DNS-сервер. Часть 2
Практически 4 месяца назад я открыл свой рекурсивный DNS-сервер для всех пользователей интернет (см. предыдущую статью). Накопленный объем данных на первом этапе теста был достаточно большим, для его визуализации я загнал данные в БД и построил динамические изменяющиеся графики и карту. Записанное...
Квантмех для защиты пластиковых карт
«Квантовый мир» уже просачивается в нашу реальность, о чем свидетельствует статья на Ленте, которая пестрит перлами: «фотон пребывает сразу в нескольких местах» или «попытка подсмотреть эту процедуру аутентификации обрушит квантовую природу света» или «если бросить на карту квантовые фотоны». «Один...
Захватываем полный контроль над чужим облаком Digital Ocean
Как и многие хабрапользователи, я пользуюсь «облачными» технологиями, в т.ч. арендую VPS (виртуальные сервера) в разных странах мира. Порядка двух лет я пользовался Амазоном и не сказать, чтобы был доволен, но хватало. В сентябре прошлого года я наткнулся на очень агрессивную PR компанию от Digital...
12 шагов информационной безопасности
Это был наибольший вклад в корпоративную информационную безопасность (ИТ-безопасность) за последнее десятилетие, а возможно, и четверть века. И создателем ее, по сути, был Enron. Сегодня американцы, даже если они не могут вспомнить компанию Enron Corp., используют «Enron» как синоним корпоративного...
[recovery mode] Генератор случайных личностей
Иногда при регистрации на сайте не сильно хочется указывать свои настоящие пользовательские данные, тогда мы начинаем придумывать имя, фамилию, логин и т.д. Мне пришла в голову идея сделать сервис, который будет это думать за нас. Читать дальше →...
Как показать самые опасные уязвимости
По долгу службы мне часто приходится проводить инструментальный аудит безопасности различных предприятий. Процедура составления итогового отчета содержит одну неприятную особенность, от которой мне давно хотелось избавиться. Помимо наиболее опасных уязвимостей системы клиенту всегда надо показывать...
Разработчики Chrome предлагают помечать HTTP как небезопасное соединение
Сотрудники Chrome Security Team выступили с предложением постепенно изменить дизайн адресной строки в браузерах, чтобы отображать небезопасные соединения (HTTP) как явно небезопасные. В браузере Chrome это планируют реализовать в 2015 году. Цель: более чётко показывать пользователям, что передача...
[recovery mode] Дурацкая атака на пароли BIOS
К сожалению, недавно увидел, что паролями для защиты настроек BIOS всё ещё пользуются в организациях, хотя, казалось бы, всем известно, что пароли на BIOS небезопасны в том смысле, что 1. Они могут быть сброшены аппаратным переключателем 2. Они могут быть обойдены известным паролем производителя...
[recovery mode] Дурацкая атака на пароли BIOS
К сожалению, недавно увидел, что паролями для защиты настроек BIOS всё ещё пользуются в организациях, хотя, казалось бы, всем известно, что пароли на BIOS небезопасны в том смысле, что 1. Они могут быть сброшены аппаратным переключателем 2. Они могут быть обойдены известным паролем производителя...
Google Chrome пометит HTTP-сайты как небезопасные
Разработчики веб-браузера Google Chrome обещают пометить веб-сайты, которые используют простое HTTP-подключение с клиентом как небезопасные и предлагают всем другим веб-приложениям (User Agent) сделать то же самое. Таким образом, пользователям хотят дать понять, что это простое подключение не...
WiFi Pineapple Mark V: черный ящик для беспроводного перехвата
Перед специалистом в области информационной безопасности, в частности пентестером, стоят задачи эффективного решения головоломок по поиску и эксплуатации уязвимостей исследуемых систем. Немаловажным элементом любой работы по тестированию защищенности инфраструктуры заказчика является проверка...
[Из песочницы] Роскомнадзор сам нарушает 152 ФЗ РФ?
Началось все с того, что управляющая компания прислала мне пароль. Мой новый сгенерированный пароль из 20 символов в открытом виде. Не тот, который она сама для меня сгенерировала год назад для первого входа. Читать дальше →...
[Из песочницы] Роскомнадзор сам нарушает 152 ФЗ РФ?
Началось все с того, что управляющая компания прислала мне пароль. Мой новый сгенерированный пароль из 20 символов в открытом виде. Не тот, который она сама для меня сгенерировала год назад для первого входа. Читать дальше →...
Стартовал краудсорсинговый перевод OWASP Testing Guide 4.0 на 30 языков (в т. ч. и на русский)
Сегодня в твиттере проекта OWASP появилась запись, приглашающая всех желающих присоединиться к переводу OWASP Testing Guide 4.0. Присоединиться к переводу можно здесь. Что за OWASP такой и немного подробнестей...