HTTP Request smuggling — новые подходы

7 октября 2019 года директор отдела исследований PortSwigger (производителя BurpSuite) опубликовал исследование о новых подходах к HTTP Request smuggling. С их помощью он заработал на bugbounty около $70000. В этой заметке мы коротко выясним суть атаки, инструментарий, а также методики исследования...

Все блоги / Про интернет

Майнеры, сливщики и Cobalt: как мы обеспечиваем заказчикам безопасный доступ в Интернет

Каждый безопасник в своей жизни сталкивался с тем, что сотрудники ходят в Интернет, минуя прокси, качают фильмы через торрент и пользуются TeamViewer'ом. В этом посте мы немного расскажем о том, как решаем проблемы с организацией безопасного доступа в Интернет по сервисной модели и поделимся...

Все блоги / Про интернет

[Перевод] Пользователи и авторизация RBAC в Kubernetes

Прим. перев.: Продолжая недавно затронутую нами тему безопасности Kubernetes в целом и RBAC — в частности, публикуем перевод этого материала от французского консультанта из международной компании Big Data-компании Adaltas. Автор в деталях показывает, как создавать пользователей, наделять их правами...

Все блоги / Про интернет

Российское и международное законодательство в области защиты персональных данных

В предыдущей публикации мы рассмотрели основные понятия и парадигму информационной безопасности, а сейчас перейдем к анализу российского и международного законодательства, регулирующего различные аспекты защиты данных, поскольку без знания законодательных норм, регулирующих соответствующие области...

Все блоги / Про интернет

Охота за ошибками, Blind-XSS и лисьи хитрости

Лисы знают толк в охоте :) Многие наверняка уже слышали о BugBounty, поиске уязвимостей с вознаграждениями и сопутствующих историях об этом. Я, как один из «охотников за ошибками», начал свой путь чуть больше года назад на площадке HackerOne. За это время мне удалось многое узнать о различных видах...

Все блоги / Про интернет

[recovery mode] Россия – ДТС – Беларусь: Тут третий совсем не лишний

Бог троицу любит (пословица) Если двое разговаривают на разных языках, без переводчика не обойтись Когда два государственных руководителя при международных переговорах говорят на разных языках, то по дипломатическому протоколу не обойтись без двух переводчиков. Аналогично, когда две организации из...

Все блоги / Про интернет

Встречаем Яндекс.Станцию Мини. Большая история маленького устройства

Только что мы представили наше новое устройство — Яндекс.Станцию Мини. Это компактная умная колонка, которая умеет воспроизводить музыку, управлять умным домом, ставить напоминания — и многое другое. А ещё это первая колонка с Алисой, управлять которой можно жестами. Сегодня мы расскажем читателям...

Все блоги / Нетбуки и Планшеты

3. Типовой сценарий внедрения Check Point Maestro

В прошлых двух статьях (первая, вторая) мы рассмотрели принцип работы Check Point Maestro, а также технические и экономические преимущества этого решения. Теперь хотелось бы перейти к конкретному примеру и описать возможный сценарий внедрения Check Point Maestro. Я покажу типовую спецификацию, а...

Все блоги / Про интернет

Технологии для «умного города». Станет ли Петербург первым мегаполисом, удобным для слепых?

Представьте себе систему, которая способна обеспечить навигацию для людей с инвалидностью в пределах целого мегаполиса. Спуститься в метро, уверенно пройти по незнакомому району, сориентироваться на вокзале и даже сесть на рейсовый автобус без помощи проводника – для многих слепых это кажется...

Все блоги / Нетбуки и Планшеты

Варианты использования решений для видимости сети (network visibility)

Варианты использования решений для видимости сети (visibility) Что такое видимость сети (Network Visibility)? Видимость (Visibility) определяется словарем Вебстера как «способность быть легко замеченным» или «степень ясности». Под видимостью сети или приложения подразумевается удаление слепых зон,...

Все блоги / Про интернет

Если у вас отвалятся сертификаты Let's Encrypt, то в этом виноват Роскомнадзор со своими блокировками по IP

На днях сообщество обратило внимание, что IP-адреса Letsencrypt.org попали в реестр запрещенных сайтов Роскомнадзора. Конкретно речь идет об адресах 142.93.108.123 и 167.99.129.42. Это означает, что сертификаты Let's Encrypt тоже будут заблокированы на территории Российской Федерации, если на...

Все блоги / Про интернет

Российские ЭЦП для самых маленьких

Цифровой документооборот входит в нашу жизнь уверенными шагами и если для юридических лиц это уже суровые будни, то многие физические лица могли с этим еще не столкнуться. Но со временем оставаться в стороне становится всё сложнее и нужно приспосабливаться к меняющимся условиям, иначе можно...

Все блоги / Про интернет

Охладить вино быстро! (Дополнение)

В ходе обсуждения ранее опубликованной статьи про гаджет для охлаждения вина самая бурная дискуссия возникла о практической пользе обертывания бутылки мокрым полотенцем (салфеткой) при размещении её в морозильнике. Мнения разделились. Я обещал провести эксперимент: охлаждение бутылок с полотенцем,...

Все блоги / Нетбуки и Планшеты

Security Week 41: больше уязвимостей в SIM-картах, дешифрование PDF

На прошлой неделе получила развитие история про атаки на уязвимый софт в SIM-картах. Обнаруженная ранее активно эксплуатируемая атака SimJacker оказалась не единственной. Исследователи из компании Ginno Security сообщили о похожей проблеме в компоненте Wireless Internet Browser (новость, пост в...

Все блоги / Про интернет

OWASP API Security Top 10 RC

Этот проект предназначен для постоянно растущего числа организаций, которые внедряют потенциально чувствительные API в рамках своих программных решений. API используются для внутренних задач и для взаимодействия со сторонними сервисами. К сожалению, многие API не проходят тщательного тестирования...

Все блоги / Про интернет

Чем опасны отслеживающие cookies если вам и вправду нечего скрывать

В последнем подкасте Habr Weekly #21 обсуждалась тема отслеживающих cookies и вопрос их нежелательности. Бытуют мнения о сомнительности вреда таких куков если скрывать и вправду нечего. Такая позиция определенно не выдерживает критики. Читать дальше →...

Все блоги / Про интернет

Mozilla пообещала не включать шифрование DoH в Великобритании. Что это значит для России?

Две недели назад на Хабре рассказывали о протоколе DNS-over-HTTPS (DoH) , недавно принятом в качестве стандарта RFC 8484. Разработанный Mozilla, Google и Cloudflare протокол DNS-шифрования сводит на нет попытки мониторинга трафика «человеком-в-середине». Он устраняет самое «слабое звено» в HTTPS —...

Все блоги / Про интернет

Атаки на бесконтактные банковские карты

Автор: cuamckuu Извлечение содержимого карты и работа с EMV-командами может быть интересна не только в исследовательских целях. Существует несколько видов атак на бесконтактные банковские карты, про реализацию которых будет рассказано под катом. Читать дальше →...

Все блоги / Про интернет