Какое шифрование лучше: Signal или Telegram?
Пару дней назад Илон Маск в твиттере порекомендовал использовать мессенджер Signal, не без последствий. Однако в декабре 2020 года по средствам массовой информации прошла новость, что известная хакерская компания Cellebrite взломала шифрование этого криптомессенджера. А читатели Хабра для секретной...
Хакеры SolarWinds размазали свои байты в HTTP-трафике через регулярные выражения
Валидная цифровая подпись на DLL со встроенным бэкдором Практически по всем профильным СМИ прошла новость о взломе программного обеспечения SolarWinds в рамках глобальной кампании кибершпионажа. Здесь нужно понимать масштаб атаки: этот софт для мониторинга IT-инфраструктуры (CPU, RAM, сеть)...
Немецкий суд заставил почтового провайдера Tutanota установить бэкдор
Полнотекстовый поиск в зашифрованной почте Для начала немного контекста. Tutanota — один из немногих почтовых сервисов, которые шифруют входящую почту по умолчанию, как Protonmail, Posteo.de и Mailbox.org. То есть почта хранится на серверах в зашифрованном виде. Провайдер не может её расшифровать,...
Продажа «корочек». Стоимость сертификатов в инфобезе и маршрут их получения
Security Certification Progression Chart 7.0, октябрь 2020 года Специалист по информационной безопасности Пол Джерими (Paul Jerimy) проделал большую работу — и составил обширную схему с порядком получения сертификатов во всех областях ИБ: Security Certification Progression Chart. На сегодняшний...
17 расширений Chrome и Firefox для вашей приватности и безопасности
Здесь мы перечислим некоторые расширения, ориентированные на безопасность и приватность работы. Большинство из них работают в Chrome, это сейчас самый популярный браузер с долей около 40% в России, но многие из расширений выпускаются также под Firefox. В целом набор полезных расширений можно...
Расширение Nano Defender нужно срочно удалить из браузера
3 октября 2020 года программист jspenguin2017, автор расширения Nano Defender, сообщил в официальном репозитории, что продал проект «группе турецких разработчиков». Это сообщение вызвало массу слухов и опасений: что за турецкие разработчики, кто контролирует код, почему из репозитория удалена...
Во Франции задержаны владельцы баров с бесплатным Wi-Fi, которые не хранили логи
Бесплатный Wi-Fi в баре или кафе теперь стал обычным делом, и клиенты благодарны за эту услугу, особенно иностранцы в роуминге. Во многих заведениях посетителям просто сообщают название точки доступа и пароль, не затрудняя себя идентификацией пользователей и хранением журнала активности. Но...
[Перевод] Об использовании жизни
От создателя криптосервиса Tarsnap для резервного копирования В недавней дискуссии на Hacker News комментатор задал вопрос: Итак, что мы думаем о Tarsnap? Автор явно гений, который тратит время на резервные копии вместо того, чтобы решать задачи тысячелетия. Я говорю это с величайшим уважением....
[Перевод] Безопасность через неясность недооценивается
В информационной безопасности мы выработали ряд аксиом, с которыми не принято спорить: Никогда не внедряйте собственную криптографию. Всегда используйте TLS. Безопасность через неясность (security by obscurity) — это плохо. И тому подобное. Большинство из них в целом верны. Однако мне начинает...
Американский суд признал массовую слежку за гражданами незаконной — с опозданием на 7 лет
Спустя семь лет после того, как бывший сотрудник Агентства национальной безопасности США Эдвард Сноуден сообщил о массовой слежке за телефонными записями американцев, Апелляционный суд девятого округа США признал эту программу незаконной, а также признал факты публичной лжи со стороны руководителей...
Спутниковую связь по-прежнему легко прослушать. Перехват трафика кораблей и самолётов
Перехваченные DVB-потоки НАТО (2002) Много лет хакеры проводят демонстративные взломы гражданских и военных спутниковых коммуникаций, но безопасность тех остаётся на низком уровне. На последней конференции Black Hat 2020 оксфордский студент Джеймс Павур продемонстрировал, какой спутниковый трафик...
Почему удостоверяющие центры не соблюдают требование CA/Browser к сертификатам
Ежегодно форум CA/Browser обновляет базовые требования к серверным SSL/TLS-сертификатам (Baseline Requirements или BR). Одно из таких требований указано в пункте 4.9.9 с пометкой MUST: Ответы по OCSP (протокол статуса онлайн-сертификатов) ДОЛЖНЫ соответствовать RFC 6960 и/или RFC 5019. OCSP ответы...
Chrome тоже ограничивает время жизни TLS-сертификатов 13 месяцами
Разработчики проекта Chromium внесли изменение, которое устанавливает максимальный срок жизни TLS-сертификатов в 398 дней (13 месяцев). Условие действует для всех публичных серверных сертификатов, выданных после 1 сентября 2020 года. Если сертификат не соответствует этому правилу, браузер будет...
Как криптомессенджер Signal успешно противостоит прослушке со стороны властей США
На фоне событий в США резко выросла популярность защищённого мессенджера Signal — c 6000 до 26 000 скачиваний в день. В этой программе реализована стойкая криптография и сквозное шифрование, она распространяется с открытым исходным кодом и работает на известных криптографических протоколах (в...
Apple предупредила мародёров, что отследит все украденные телефоны
В десятках городов США продолжаются погромы и массовые беспорядки. Среди разграбленных оказались в том числе фирменные магазины Apple Store. Для многомиллиардной компании несколько тысяч украденных устройств не имеют никакого значения с точки зрения прибыли. Но она предупредила воришек, что...
Корневой сертификат AddTrust от Sectigo истёк 30 мая 2020 года, что вызвало проблемы в клиентах OpenSSL 1.0.x и GnuTLS
Центр сертификации Sectigo (Comodo) заранее предупредил пользователей об истечении срока действия корневого сертификата AddTrust, который использовался для перекрёстной подписи, чтобы обеспечить совместимость с устаревшими устройствами, в хранилище которых нет нового корневого сертификата...
NextDNS вышел из беты — защита приватности, обход госцензуры и блокировка рекламы для всей домашней сети
Cервис NextDNS наконец-то вышел из беты и теперь официально предоставляет бесплатные услуги по блокировке рекламы и других вредоносных IP-адресов на уровне DNS. Это простой и эффективный метод защиты: NextDNS автоматически фильтрует трафик, не ведёт логов, шифрует DNS-запросы, поддерживает DNS over...
GlobalSign представила Atlas — платформу PKI нового поколения
18 мая 2020 года компания GlobalSign анонсировала платформу PKI нового поколения под названием Atlas для автоматизации управления цифровыми сертификатами. Это универсальная система на новом движке, куда в течение года будут добавлены все существующие решения GlobalSign по автоматизации управления...