Приглашаем на Всероссийскую студенческую олимпиаду по информационной безопасности в МИФИ
С 21 по 23 апреля 2017г. в Национальном исследовательском ядерном университете «МИФИ» пройдет Пятая Всероссийская студенческая олимпиада по информационной безопасности. Олимпиада проходит при поддержке Минобрнауки России, ФСТЭК России, а также УМО вузов по информационной безопасности. Читать дальше...
Различия, достоинства, недостатки: публичные и приватные блокчейны
В 2014 году базы данных на основе блокчейнов начали набирать популярность в финансовой сфере. Банки занялись разработкой концептов и прототипов на основе этой технологии. Например, фондовая биржа NASDAQ планировала использовать протокол Open Assets Protocol, основанный на окрашенных монетах...
Придумываем название для нового гипервайзера для архитектуры MIPS с аппаратно-поддерживаемой виртуализацией
На днях в офисе Imagination Technologies в Санта-Клара, Калифорния ко мне подходит специалист по многоядерному Линуксу Леонид Егошин и говорит: Егошин: Вот, написал самый маленький гипервайзер в мире. Я: Да? А как называется? Егошин: Еще не придумал. И маркетинг названия не спустил. Придумай...
Вконтакте совершил очередной прорыв. На короткое время все пользователи соцсети получили права модераторов
Вконтакте в очередной раз решил порадовать всех своих пользователей, приоткрыв завесу секретности: каждый из пользователей получил возможность увидеть вк глазами админов. Баг пофиксили в течение достаточно быстрого времени, но у многих остались вопросы. Особенно по поводу возможности посмотреть...
Биометрия: искусство узнавания. Перспективы биометрических систем на примере платформы Id-Me от компании RecFaces
Многие читатели Хабра, вероятно, уже знакомы с биометрическими технологиями. Они сейчас распространены повсеместно. В общем смысле биометрия – это система распознавания людей по одной либо нескольким физическим (или поведенческим) характеристикам. В сфере информационных технологий биометрические...
Как и почему статические анализаторы борются с ложными срабатываниями
В своей предыдущей статье я писал, что мне не нравится подход, при котором статические анализаторы кода оцениваются с помощью синтетических тестов. В статье приводился пример, воспринимаемый анализатором как особый случай, на который сознательно не выдаётся предупреждение. Если честно, я не ожидал...
[NeoQuest2017] 6 планета или «Слишком много всего…»
Есть мнение, что после драки кулаками не машут. Но первый в моей жизни ctf NeoQuest2017 показал, что бумажная ИБ от практической отличается достаточно сильно и с ходу флаги взять не получится. Хотя, как оказалось, подобрался я к флагу в плотную. Итак: «СЛИШКОМ МНОГО ВСЕГО…» Эта планета напоминает...
Удаление метаданных из PDF
Вот, казалось бы, тривиальная задача — удалить metadata из документа. Уже тысячу раз специалисты по паранойе информационной безопасности давали подобного рода рекомендации: «обязательно удаляйте избыточную метаинформацию из документов перед публикацией». И объясняли зачем это может понадобиться...
Добавляем в Splunk бесплатные фиды IP Reputation
В базе приложений Splunk есть много решений, которые позволяют делать Enrichment и добавлять информацию о том, что тот или иной IP-адрес выглядит подозрительным и «засветился» в той или иной reputation-базе. Однако, эти приложения либо платные (например, Recorded Future App, Kaspersky Threat Feed...
Security Week 11: 38 зараженных смартфонов, ФБР плачет от шифрования, Google снова подлатал Chrome
Подцепить что-нибудь вредоносное на более-менее современной версии Android не так уж и просто. В большинстве случаев атака проводится с применением социальной инженерии, да такой лютой, что жертва сама разрешает в настройках системы установку приложений из левых источников, сама скачивает и сама же...
Дефекты безопасности, которые устранила команда PVS-Studio на этой неделе: выпуск N2
Мы решили в меру своих сил регулярно искать и устранять потенциальные уязвимости и баги в различных проектах. Можно назвать это помощью open-source проектам. Можно — разновидностью рекламы или тестированием анализатора. Еще вариант — очередной способ привлечения внимания к вопросам качества и...
[Из песочницы] Что делать если вас заперли в rbash
Совсем недавно проходил очередной интересный CTF Boston Key Party 2017. Который мы к сожалению не выиграли, но это другая история. А сегодня я бы хотел описать решение одного задания из раздела pwn это «Solitary Confinement (pwn 99)». Читать дальше →...
PVS-Studio: поиск дефектов безопасности
Анализатор PVS-Studio всегда умел искать множество различных дефектов безопасности (потенциальных уязвимостей) в коде программ. Однако, исторически сложилось, что мы позиционировали PVS-Studio как инструмент для поиска ошибок. Сейчас наблюдается мода на поиск в коде именно уязвимостей, а не ошибок,...
Уязвимость карты Подорожник: бесплатные поездки в наземном транспорте Санкт-Петербурга
Почти год назад на Хабрахабре появилась статья "Исследование защищенности карты Тройка", в которой было подробно описано устройство проездных билетов и векторы атаки на систему оплаты общественного транспорта в Москве. Ещё тогда, вдохновившись прочитанным, мне захотелось попробовать применить...
[Из песочницы] Фича, а не баг. Или как Rambler позволяют подменять отправителя письма
Добрый день. Меня зовут Алексей. Я занимаюсь написанием ботов и реверсом Android приложений с поиском в них уязвимостей. Мне попало в руки приложение Рамблер/почта для Android. Цель была автоматизировать отправку почты средствами API мобильного приложения. Был запущен эмулятор MEmu и Charles,...
Хакатон «Лаборатории Касперского»: спаси от хакеров завод по переработке газойля
Для изучения состояния промышленных систем эксперты по безопасности “Лаборатории Касперского” используют подход под названием Industrial DPI (Deep Packet Inspection), подразумевающий детальный разбор технологических процессов. Иными словами, работа контроллеров АСУ ТП исследуется на прикладном...
Хакер за вознаграждение уничтожал данные о штрафах за нарушение ПДД
Изображение: John Grimm, Flickr Как сообщают СМИ, сотрудники полиции города Улан-Батор (Монголия) арестовали 25-летнего хакера. По версии следствия, он за вознаграждение уничтожал сведения о штрафах за нарушение ПДД на сервере городского центра управления дорожным движением. До 90% дорожного...
Файловое хранилище в соцсети и другие проекты студентов Университета Иннополис
Обучающиеся магистерской программы «Разработка безопасных систем и сетей» нашли слабые места в криптосистемах, предложили способы по улучшению защиты больших графов и выяснили, что во «ВКонтакте» под видом аудиозаписей можно хранить файлы любого типа и размера. Читать дальше →...