Apache OFBiz CVE-2024-32113
Ранее в наших статьях мы уже упоминали Вам об уязвимостях CVE-2023-49070 и CVE-2023-51467 в Apache OFBiz, не прошло и пол года, как 05 августа 2024 была опубликована новая уязвимость с неправильным ограничением пути к закрытому каталогу CVE-2024-32113 (CVSS 3.x 9.8 баллов), затрагивающая версии...
WAF-экспресс, или Как закрыть RCE за два дня
Облачный WAF (web application firewall) — быстрый и эффективный способ защиты веб-приложений от кибератак. Доказано на практике: за два дня можно надежно прикрыть уязвимости простого сервиса. Для более сложных приложений за это время реально настроить WAF, запустить базовую фильтрацию и начать...
Госуслуги поощряют сбор логинов-паролей пользователей?
Недавно одно популярное приложение с Android потребовало у меня авторизация через Госуслуги. Сделало оно это очень просто - в своём окне оно запросило у меня логин-пароль от Госуслуг. То есть, я ввожу эти данные в окне приложения, они утекают создателям приложения, которые в этот момент могут...
Шифрование личных заметок
Персональная информация, в том числе пароли и кошельки — это главные секреты каждого человека. Эта информация должна быть максимально зашифрована и надёжно храниться. Раньше проблему решал текстовый файл, где хранились и пароли, и заметки, и который легко было зашифровать. Теперь с появлением кучи...
[Перевод] Портируем декодер AV1 с С на Rust для повышения быстродействия и безопасности
AV1 становится всё более значимым видеоформатом, которому требуется безопасный и производительный декодер. Исходя из этой идеи, мы в тандеме с командой из Immutant создали rav1d, портировав на Rust написанный на С декодер dav1d. Перед вами первая из двух статей, посвящённых решению этой задачи. —...
[Перевод] Безопасность приложений больших языковых моделей (LLM, GenAI)
Откройте для себя OWASP Top 10 для LLM и GenAI и изучите основные стратегии защиты ваших моделей и приложений искусственного интеллекта. Появление больших языковых моделей (LLMs) и технологий генеративного искусственного интеллекта (GenAI), таких как GPT-4, произвело революцию в различных отраслях...
Обучение в Stanford Online: Advanced Cybersecurity
Привет! Меня зовут Николай, я работаю в сфере с 2010 года. Это моя первая статья на Хабре. На основе своего опыта прохождения сертификации Stanford Online в 2023 году я расскажу про процессы поступления и обучения, структуру программы Advanced Cybersecurity и платформу онлайн обучения, опишу...
Японская диковинка из 2011: что за планшето-ноутбук с двумя дисплеями сделали Sony?
По правде сказать, недавние два месяца в моем блоге можно считать посвященными устройствам с ноутбучным форм-фактором. Мы успели отреставрировать и HP Jornada, и хакнуть электронный переводчик, дабы превратить его в мини-нетбук на ARM, да и раньше я писал статьи о ретро-ноутбуках с интересными...
Что на неделе: цифровой апокалипсис, новый iPhone, тройная «раскладушка» от Huawei
Всем привет! Врываюсь в ваши выходные с очередной подборкой самых громких новостей последней недели. Сегодня в меню: новые гаджеты — от айфона до Huawei, который можно сложить втрое (что??), свежая сводка о сервисах, которые ушли, но обещали вернуться, а также наша любимая рубрика — новости...
В погоне за тенями: геолокация изображения с помощью Shadow Finder Tool
GEOINT часто отнимает много времени, исследователи часами проводят время за просмотром фотографий, изучением спутниковых снимков и просмотром видов улиц. Но, относительно недавно появился инструмент, позволяющий сузить область поиска — Shadow Finder (используя высоту объекта и длину его тени (или...
Социальная инженерия или как усилия безопасников разбиваются о человеческий фактор
Специалисты по информационной безопасности создают системы, которые противостоят кибератакам. Они внедряют фаерволы, настраивают мониторинг, пишут политики безопасности и обучают сотрудников. Это мощная защита от внешних угроз. Но есть одна уязвимость, которая сводит на нет все усилия специалиста —...
Серж Хумпич: человек, взломавший национальную банковскую систему Франции
Попробуйте произнести вслух: «взлом национальной банковской системы». В сознании сразу же возникает образ международной хакерской группировки, тщательно планирующей и осуществляющей атаки высочайшей технической сложности. И как-то не приходит в голову, что за таким взломом может стоять один...
Зачем медицине облака
Сегодня хотим рассказать об одном из наших клиентов - Группе компаний БИОНИКА. БИОНИКА вносит значительный вклад в развитие медицины в России: активно занимается просветительской деятельностью, помогает специалистам встречаться и обмениваться опытом на конференциях и семинарах, выпускает множество...
Всегда ли виноват «Вася»: развеиваем мифы о человеческом факторе в ИБ
Громкие скандалы в сфере кибербезопасности, в которых виновными были признаны сотрудники крупных компаний и госструктур, стали одной из главных тем последних трех лет. От утечек конфиденциальных данных до масштабных хакерских атак - во многих инцидентах ключевую роль сыграли инсайдеры,...
Композиционный анализ при помощи CodeScoring
Cтатья будет полезна разработчикам и инженерам по ИБ, желающим повысить уровень безопасности приложений за счет внедрения проверок, запрещающих вносить в ПО сторонние компоненты с известными уязвимостями. В статье рассмотрим внедрение Codescoring Johnny применительно к Azure DevOps Server в процесс...
Автоматизация безопасности: Когда использовать SOAR?
Специалисты по информационной безопасности ежедневно сталкиваются с огромным потоком инцидентов. Логи заполняются, а алерты выстреливают один за другим. Задача — не просто отреагировать на все это в ручном режиме, но и сделать это максимально быстро. Вот тут и появляется SOAR — инструмент, который...
[Перевод] Не слишком ли много мы разрешаем нашим приложениям?
У многих в телефоне есть фото паспорта, водительского удостоверения, свидетельства о рождении ребёнка. Но не все догадываются, как легко можно получить к ним доступ. Одно разрешение, выданное приложению, может привести к раскрытию данных. Мы изучили 50 самых популярных приложениях Android и...
Девайс-холдер: кто такой, зачем нужен и насколько хорошо держит устройства
Все, кто знаком с мобильным тестированием, знают, что для тестов нужны разные устройства. Если с iOS все понятно — там одна операционная система, один вендор, но разные форм-факторы — то с Android сложнее. Это разные оболочки, и разные форм-факторы, и разные сервисы, которые будут влиять на...