безопасность

Исследователи нашли нашли серьезную уязвимость в эстонском e-id, позволяющую выступать от имени держателя e-id незаконно. Пока идет починка, не сообщается, какая именно это уязвимость. Президент страны обещает сделать заявление по этому поводу сегодня же https://medium.com/e-residency-blog/heres-what-e-residents-need-to-know-about-the-potential-security-vulnerability-d31a128726f5

Мне очень нравится, что они называют «потенциальной уязвимостью» то, что не эксплуатировали хакеры.

Это как называть «потенциальным автомобилем» машину, на которой не успели поездить покупатели.

Ни один лонгрид или инструкция в медиа не дадут вам фундамента информационной безопасности (хотя это было бы очень классно).

Хорошие книги - совсем другое дело.

На Humble bundle идёт распродажа комплекта книг по информационной безопасности. За 1$ - 4 книги, одна из них про социальную инженерию, когда эксплуатируют доверчивость человеческой натуры. За 8$ - еще 5 книг, среди них - каноническая книга самого известного хакера Кевина Митника - The Art of Deception, тоже про "социалку". За 15$ - ещё 5 книг. В том числе библия информационной безопасности от Брюса Шнайера, прекрасного автора, стоявшего у истоков современной криптографии. В этом же наборе книга про физическое проникновение (обещают научить вскрывать базовые замки!).

Книги про социалку не требуют специального технического образования, это non-fiction. Будет потом что рассказать на вечеринке. Книга Брюса будет понятна технарям и, как мне кажется, является обязательным чтением для всех IT-специалистов.

Распродажа заканчивается через 2 дня, не пропустите. Часть собранных средств идёт на благотворительность.

https://www.humblebundle.com/books/cybersecurity-wiley

Хороший список паролей для перебора, причем с годным планом развития и нормальными ментейнерами https://github.com/berzerk0/Probable-Wordlists

Образцовый security vulnerability landing page http://cloak-and-dagger.org/

В двух словах - для Android можно написать программу, которая, после установки, получит полную власть над телефоном.

Интересно отношение Google (им +/- пофиг и признавать проблему они не хотят). Эх.

Сейчас будет группа постов из прошлого. Неделя была такая, что было не блога - делали конференцию Шторм.

Нам всем есть что рассказать о безумствах с точки зрения компьютерной безопасности. Но это тот случай, когда «hold my beer».

http://svedic.org/programming/mastercard-serbia-asked-ladies-to-share-fb-photos-of-among-other-things-their-credit-card

Mastercard Serbia сделал конкурс, в котором нужно шарить в соцсетях фотки своей банковской карты. (подсказка — так делать не стоит)

Не стоит потому, что для проведения успешной транзакции по банковской карте (aka снять денег) достаточно иметь её номер и срок действия.

Все эти CVV-коды, смс-ки от банка и прочие ухищрения можно отключить, если продавец захочет. Даже на поверхности документации платежных систем есть много очень интересных деталей. Я начинал с документации платежного гейта Braintreе, ну и дальше down the rabbit hole. Рекомендую, fintech — увлекательная сфера.

Хороший гайд по HTTP-заголовкам, ответственным за безопасность https://blog.appcanary.com/2017/http-security-headers.html

Пока весь мир следит за приключениями вируса-вымогателя (несколько часов назад создатели выпустили вторую версию, исправленную и дополненную), почти незаметно прошло появление нового качественного трояна для MacOS.

Хакеры взломали сайт популярной программы для сжатия видео Handbrake и заменили файл-инсталлятор, добавив к настоящей программе троян Proton.B. https://forum.handbrake.fr/viewtopic.php?f=33&t=36364

Это качественная малварь. Она как минимум отсылает атакующему все ваши пароли, включает кейлоггер и удалённый доступ к компьютеру. https://www.cybereason.com/labs-proton-b-what-this-mac-malware-actually-does/

Дорогие пользователи Макбуков - добро пожаловать в мир, где легко подцепить серьёзную бяку, а не только MacKeeper (это мусор, который сложно вычистить, но серьёзного вреда от него нет).

К сожалению, технически MacOS не особо защищённее Windows. Вся эта тема с вирусами - бизнес. Раньше пользователей маков было мало и разрабатывать малварь под MacOS было экономически не выгодно. Теперь это меняется. :(

Учитывая, что почти у всех редакторов Макбуки - это ещё одна головная боль для технических директоров медиа.

Кстати, самый безопасный персональный компьютер на данный момент - айпад. Если вы параноик - iPad со внешней клавиатурой - ваш выбор. (Только не все клавиатуры одинаковы, текст с некоторых легко перехватить удалённо :/)

Мораль: жить вредно, все умирают.

Хорошая статья про сложность обновлений, в противовес моему утверждению «кто не обновился тот дурак»

Особенно тяжело обновлять медицинское оборудование — это то, что сейчас модно называть «интернет вещей». Они гарантированно работают в течении 5-10 лет в том виде, что их поставили. Причин две: 1. Часть из них не могут обновиться — у маленьких железок не хватит ресурсов; 2. Важные железки очень жестко тестируют, при этом любое обновление влечет необходимость дорогого и долгого повторного тестирования. Вы ведь не хотите, чтобы вдруг завис рентгеновский аппарат, в момент снятия снимка?

Я в бытность студентом работал сисадмином в биологической-генетической лаборатории. Единственная железка, которую я помню смог обновить — атомный микроскоп от JPK. Производитель выпустил «свежую» версию дистрибутива на Linux годовой давности. И это было очень круто, предыдущей версии было 4 года. Чтобы вы понимали — критичные обновления безопасности обычно выходят каждые 2-3 месяца.

Про разворачивающуюся сейчас вирусную эпидемию: https://medium.com/@samat/крупный-вирус-вымогатель-8a16b2492ef2