Client Hints: разбор технологии, которая заменит User-Agent
Когда вы заходите на сайт, ему нередко нужно знать, какой у вас браузер и устройство. Это помогает показывать подходящую версию страницы, например мобильную или полную, а также включать только те функции, которые может поддерживать ваш браузер. Раньше для этого можно было использовать только строку...
Как молодой девушке уехать на Яндекс.Такси в промзону и пропасть среди гаражей
Прошло почти 5 лет с момента вскрытия уязвимости кнопки "Безопасность" в сервисе Яндекс.Такси, который ныне зовётся YandexGo. Но я снова решил сожрать тот же кактус. И отправил двух дорогих мне людей на этом сервисе... Уехать в гаражи на Яндекс.Такси......
Нет времени объяснять — это БАЗА: чек-лист защиты корпоративной инфраструктуры
Сложно ли взломать вашу инфраструктуру? Во время аудита у меня на это уходит от 15 минут до 8 часов. И это не потому, что у клиентов нет SOC, NGFW, WAF, MFA и других атрибутов безопасности — тот же SOC весьма успешно рапортует о взломе… когда всё уже сделано. И не потому, что я супер-хакер —...
Как LLM-вендоры обращаются с вашими данными: подробный разбор безопасности и конфиденциальности
Привет, Хабр! Я Андрей Яковлев, исследователь в области информационной безопасности. Работаю с корпоративными AI‑сервисами и активно внедряю технологии искусственного интеллекта в продукты Positive Technologies. 2025 год перевернул привычные ожидания и практики, связанные с конфиденциальностью...
Релиз за две минуты и краш-тест процессов: как мы разработали Мультидоступ в личном кабинете доменного регистратора
Привет, Хабр! На связи команда архитекторов, разработчиков и тестировщиков Рунити, которые внедряли функцию «Мультидоступ» в личный кабинет Руцентра. В этой статье рассказываем, как добавляли ролевые проверки, перестраивали контур авторизации и дорабатывали существующую инфраструктуру личного...
Утечка сквозь уязвимость: как построить защиту приложения, чтобы данные не достались злоумышленникам
Утечки данных в мобильных приложениях могут происходить не только из-за внешних атак, но и из-за ошибок во внутренней архитектуре. Они могут возникать из-за использования внешних модулей или других инструментов, которые позволяют сократить время разработки. Но утечки и уязвимости грозят серьезными...
[Перевод] Современный подход к предотвращению CSRF/CORF-атак в Go
Команда Go for Devs подготовила перевод статьи о новом подходе к защите Go-приложений от CSRF/CORF-атак. Автор разбирает, как связка TLS 1.3, SameSite cookies и http.CrossOriginProtection из стандартной библиотеки позволяют отказаться от токенов — но только если соблюдены важные условия. Насколько...
[Перевод] Shai-Hulud 2.0: 25 000 npm-репозиториев могут потерять свои данные
Несколько поставщиков средств безопасности (Aikido, HelixGuard, Koi Security, Socket, Step Security и Wiz) подали сигнал тревоги о второй волне атак на реестр npm, напоминающих атаку Shai-Hulud. Новая кампания в цепочке поставок получила название Sha1-Hulud и затронула более 25 000...
Axiom JDK: криптография «из коробки» и подключение ГОСТ-провайдеров
Приглашаем на вебинар, на котором поговорим, как защитить сборки, избежать зависимостей от внешних репозиториев и повысить надёжность. Вебинар бесплатный, нужно только зарегистрироваться. Читать далее...
Kubernetes с поддержкой confidential containers (CoCo). Хакеры и облачные провайдеры останутся ни с чем
Kubernetes, который нельзя взломать. Знакомьтесь с Confidential Containers - технология, которая скрывает ваши контейнеры ото всех. В посте мы разберем: 1. Секреты архитектуры невидимых подов 2. Волшебство аппаратного шифрования (TEE) на практике 3. Kata Containers как ключ к конфиденциальности 4....
«Нейросеть, мы тебя отключим»: интервью о взломе LLM и реальной цене ИИ-инструментов
Первая полностью автоматизированная ИИ-атака уже случилась. Claude сам нашёл уязвимые компании, написал под них малварь, разослал её и начал шантажировать жертв с требованием выкупа в биткоинах. Взломано было 17 компаний. И это только начало. Сергей Зыбнев— Team Lead пентестер и специалист по...
Система защиты: от операционных целей к стратегическому планированию в информационной безопасности
Любая эффективная система информационной безопасности строится не на разрозненных средствах защиты, а на строгой архитектуре, основанной на фундаментальных принципах. Принципы переводят абстрактные понятия о безопасности в конкретные технические требования и управленческие решения, позволяя связать...
Как настроить Nginx, чтобы выдержать DDoS
Количество DDoS-атак растёт экспоненциально. В этой статье мы разберём практические приёмы настройки Nginx и Linux, которые помогут вашему сервису не рухнуть в самый неподходящий момент. Привет, Хабр! Меня зовут Сергей Черкашин, и я — руководитель команды по эксплуатации систем и защиты от...
[Перевод] Anthropic зафиксировали первый официальный случай крупной кибератаки, выполненной с помощью ИИ
Команда AI for Devs подготовила перевод статьи о первой зафиксированной кибератаке, почти полностью выполненной ИИ. Атака, где человек нужен лишь для того, чтобы пару раз «подтвердить заказ», — и это уже не фантастика, а реальность 2025 года. Читать далее...
Мелкий нюанс безопасности логина на примере Госуслуг
Если внезапно пришла СМС-ка "код для входа на госуслуги 314159" - какие обычно ваши чувства и действия? Если кратко - пароль, похоже, надо поменять - код приходит только после того как ввели правильный пароль, если не ошибаюсь. Но эта маленькая заметка о другом - в списке активностей такие попытки...
Когда оффер на LinkedIn оказался кибератакой
Недавно я оказался в ситуации, которая одновременно показалась тревожной и профессионально интересной. На первый взгляд — просто новое рабочее предложение, как сотни других в LinkedIn. На деле — спланированная атака, похожая на те, что сейчас приписывают Lazarus Group, одной из самых известных...
[Перевод] RedCodeAgent: автоматическая платформа для red-teaming и оценки безопасности code agents
Команда AI for Devs подготовила перевод статьи о RedCodeAgent — первой полностью автоматизированной системе red-teaming для проверки безопасности кодовых агентов. Исследователи из Чикаго, Оксфорда, Беркли и Microsoft Research показали: даже самые продвинутые LLM-агенты могут генерировать и...
Безопасный доступ к внутренним сервисам: Keycloak, OAuth2 и немного Nginx‑магии
Рядовые инфраструктурные задачи иногда преподносят неожиданные сложности. Нашей целью была организация защищённого доступа к внутренним сервисам через единую точку входа с авторизацией в Keycloak, чтобы приложения получали проверенные пользовательские данные без необходимости реализации собственной...