Passkeys как альтернатива CAPTCHA: миф или будущее?
Passkey (от англ. «ключ доступа») — это современная технология, призванная заменить пароли и упростить вход в систему. Passkey представляет собой пару криптографических ключей (открытого и закрытого), связанных с устройством пользователя. Читать далее...
[Перевод] Перестаньте переживать об allowPrivilegeEscalation
Многие инженеры теряются в нюансах настройки allowPrivilegeEscalation в Kubernetes. Автор статьи простым языком объясняет, зачем нужен этот флаг, как он работает и почему его наличие или отсутствие не критично для большинства сценариев. Если хотите понять, как устроена безопасность контейнеров, —...
Пишем отчет о пентесте за 1 час на локальной LLM. Часть 1
В этой статье мы рассмотрим как на оборудовании стоимостью от 1000$, с полностью локальными LLM и VLM на основе скриншотов и коротких пояснений генерировать грамотно написанные отчеты об уязвимостях самого широкого спектра, начиная от Web/мобилок, заканчивая инфрастурктурными уязвимостями Active...
Дневник инженера: часть 1. IPS в NGFW. Не только про сети, но и про безопасность
Какие ассоциации возникают у вас при виде аббревиатуры NGFW? Пропускная способность? Отказоустойчивый кластер? NAT, DNAT? А может, FRR и BGP Full View на пограничном МСЭ (да простят меня сетевые гуру)? Если что-то из вышеперечисленного, значит, вы чиловый парень-сетевик. Постучимся в дверь к...
Звонки через Jabber в докер-контейнере за 5 минут
В свете сами знаете чего, свой приватный мессенджер и возможность звонков на XMPP стали как никогда актуальны. Есть быстрый и простой способ: за несколько минут вы поднимаете собственный Jabber-сервер. Дальше — дело техники: рассылаете приглашения маме, бабушке, теще, жене и соседке Даше. После...
Часть 2: ChameleonLab — не просто утилита, а учебная лаборатория
Привет, Хабр! Честно говоря, публикуя первую статью, мы и представить не могли, какой отклик она получит. В ней мы представили наш новый проект — ChameleonLab, утилиту для стеганографии с дружелюбным интерфейсом, позволяющую скрывать данные в изображениях и документах. После этого нашу почту...
[Перевод] Безопасная загрузка, TPM и античитерские движки
В настоящее время от игроков, желающих участвовать в онлайновых многопользовательских сеансах, в античитерских движках обязательно требуется включить безопасную загрузку (Secure Boot) и встроенный доверенный платформенный модуль (fTPM). Удастся ли таким образом обуздать читеров, или же это...
«За что платят на стримингах? Виртуальные деньги и реальные риски»
Представь себе, читатель, ты заходишь на стриминговую площадку TikTok Live, BIGO Live, Twitch или любую другую. Открываешь эфир. Перед камерой красивая девушка. Она улыбается, говорит какие‑то шаблонные фразы вроде «спасибо» и «мне очень приятно». В этот момент два или три зрителя начинают...
[Перевод] Остерегайтесь «ложного ложноположительного»: как отличить HTTP pipelining от request smuggling
Иногда кажется, что найден HTTP request smuggling, а на деле это всего лишь HTTP keep-alive или pipelining. Обычно это ложное срабатывание, но иногда за этим действительно скрывается уязвимость. Здесь разбирается, как отличить одно от другого. Разобраться...
[Перевод] Тот, кто знал слишком много: история Хьё Минь Нго
В истории киберпреступности есть имена, которые знают все, и есть те, кто действовал в тени, но при этом оставил след в масштабах целых стран. Один из таких людей — Хьё Минь Нго, хакер из маленького вьетнамского города, который в юности умудрился получить доступ к личным данным почти двухсот...
Шифровальщик внутри: план по восстановлению инфры + чеклист для профилактики вирусов
Привет, Хабр! Недавно мы опросили ИТ и ИБ-специалистов из 104 средних и крупных российских компаний разных отраслей о главных угрозах сетевой безопасности. Большинство — 64% респондентов — назвали вирусов-шифровальщиков (ransomware) самыми опасными для безопасности ИТ-инфраструктур. Это...
[Перевод] Обзор GenAI уязвимостей и эксплойтов за Q2 2025
Генеративный ИИ продолжает активно внедряться в бизнес-процессы и продукты, а вместе с этим растёт и число атак, направленных против него. За второй квартал 2025 года эксперты зафиксировали 14 заметных инцидентов — от классических утечек данных до принципиально новых атак на основе промпт-инъекций....
Хамелеон в цифровых джунглях: Пишем десктопное приложение для стеганографии на Python и PyQt6
Привет, Хабр! Сегодня я хочу поделиться историей создания одного из моих проектов — десктопного приложения для стеганографии, которое я назвал "ChameleonLab". Это не просто очередной скрипт для LSB-метода, а полноценный инструмент с графическим интерфейсом, поддержкой разных типов файлов,...
Синергия ИИ и квантовых вычислений
В 1981 году американский физик Ричард Фейнман заложил основы квантовой теории вычислений и квантовых компьютеров. Позже, в 1994 году, квантовый алгоритм Шора для факторизации целых чисел поставил под удар асимметричные криптографические системы. Это стало поворотным моментом, вызвавшим серьезный...
[В закладки] Гайд по составлению ТЗ для внутреннего пентеста
С виду все просто: дали пентестерам доступ в сеть, они пошарились по серверам, нашли пару уязвимостей, написали отчет. Профит. Но на деле плохо подготовленная проверка легко превращается в хаотичный квест с непредсказуемым финалом. В лучшем случае вы получите бесполезный список из сотни мелких...
Технический разбор Max: что внутри APK
Сейчас мессенджер Max «очень классно ловит даже на парковке» 🙃 Стало интересно: а что же за технологии стоят за этим чудом? Скачал APK (весит ~114 MB) и полез внутрь. Читать далее...
Кто такой архитектор комплексной кибербезопасности и почему именно сейчас его роль критически важна
Ни для кого не секрет, что различные классы средств защиты информации появлялись постепенно. Плюс, практически все они проходили перерождение под «брендом» – next generation (NG). В итоге сегодня мы фактически имеем несколько десятков принципиально разных классов средств защиты информации и средств...
Java Agent как инструмент обхода лицензий: этичный анализ и защита
Обычно Java-агенты используются для сбора телеметрии, логирования, профилирования, каких-то ультрабыстрых хотфиксов и прочих скучных вещей. Но сегодня мы исследуем приложение Java-агент, которое модифицирует код другого Java-приложения “на лету” и создано для обхода лицензионных ограничений....