10 способов защиты данных в Office 365
На днях случилось проводить вебинар на тему построения экосистем предприятия. Когда затронули тему облаков, больше всего вопросов посыпалось о том, что Microsoft нового сделал в области обеспечения безопасности данных в облаках. Именно эти вопросы лишают сна и становится головной болью...
Введение в KDF на примере решения криптографического ребуса
Однажды, шастая по темным углам светлых интернетов, наткнулся на вакансию разработчика программного обеспечения с внушительным списком требований и обязанностей с фокусом на системы безопасности как для софта, так и для железа. Кроме длинного списка требований, прилагался еще более фантастический...
VPN-расширение Hola продает пользовательский трафик и содержит уязвимости удаленного выполнения кода
4 дня назад, администратор борды 8chan (доска /beast/ которой заблокирована в России) сообщил о DDoS-атаке на сайт, которая выглядела как стократный приток обычных посетителей. Самое большое увеличение нагрузки получил скрипт для постинга post.php (капчи на борде не было); DDoS привел к падению...
[recovery mode] «ВКонтакте» не платит пользователям за найденные уязвимости
29 мая ВКонтакте торжественно объявили о запуске открытой программы вознаграждений за уязвимости. Это, как и некоторые другие события, побудило меня на написание этой статьи. История началась еще в сентября 2014, когда во время написания мною сервиса, основанного на API социальной сети, я обнаружил...
«ВКонтакте» запускает программу BugBounty
Всем известная социальная сеть «ВКонтакте» объявила о запуске программы BugBounty. Среди сервисов, заявленных в условиях: *.vk.com login.vk.com *.vk.me *.vk-cdn.net *.vkmessenger.com *.vkontakte.ru *.vk.cc Официальные мобильные приложения VK О каждой найденной уязвимости можно сообщить, используя...
Что было на PHDays V: признаки перехвата GSM-сигнала, лучшее время для взлома Wi-Fi, будущее шифрования
Технологическая сингулярность ожидается только через 15 лет, но фазовый переход Positive Hack Days происходит прямо сейчас. Пятый форум посетили рекордное число участников — более 3500 человек, что сравнимо с ведущими международными хакерскими конференциями, а количество докладов, секций и...
Шифрование личной переписки. Пятничный пост
Привет Хабра! Тему шифрования личной переписки обсуждали уже много раз. Но по факту я не нашел ничего более менее вменяемого, чем бы мог пользоваться без геморроя. Поэтому написал свое расширение для соц. сетей с покером и куртизанками. Поскольку сегодня пятница, первая половина поста состоит из...
[Из песочницы] Сниффинг истории браузера с помощью favicon
Метод позволяет определить посещаемые пользователем сайты с помощью запроса иконок сайта со страницы. Идея этого метода пришла мне в голов, при обсуждении с другом возможностей аналитики поведения пользователей на его сайте. Мы обсуждали, какие метрики нужно и какие не нужно собирать о его...
OWASP TOP-10: практический взгляд на безопасность веб-приложений: №1 — инъекции
Мы рады представить Вам очередную статью из нашей серии о безопасности Web-приложений для непрограммистов и начинающих разработчиков, плохо понимающих проблематику. В этой статье мы поговорим о важности фильтрации данных и таком распространенном и очень опасном типе уязвимостей, как инъекции. Все...
Расширение для Chrome позволяет следить за друзьями через Facebook Messenger
Веб-версия Facebook Messenger по умолчанию отдает информацию о местоположении вместе с сообщением. Студент Гарвардского колледжа Аран Ханна, который с июня будет работать интерном в Facebook нашел этому оригинальное применение. Он обнаружил, что может получить данные не только о перемещениях...
Простая криптография: частотный и дифференциальный криптоанализ в задании NeoQUEST-2015
В преддверии скорого очного тура NeoQUEST-2015 продолжаем разбирать задания online-этапа. В статье разбирается задание «Абракадабра», состоящее из двух частей. Обе части — на криптоанализ: первая — на частотный, вторая — на дифференциальный. Участникам были даны два файла. Первый файл имел формат...
Знакомство с XACML — стандартом для Attribute-Based Access Control
В предыдущей статье мы рассказывали о том, что такое Attribute-Based Access Control и в чем его преимущества по сравнению с наиболее распространенным на сегодняшний день Role-Based Access Control. Пришло время рассмотреть ABAC более детально, через существующий стандарт под названием XACML....
Первый день PHDays V: от перехвата СМС до взлома спутника
В первый же день форума Positive Hack Days, стартовавшего 26 мая, эксперты по кибербезопасности со всего мира продемонстрировали различные техники взлома банкоматов, онлайн-банкинга, сетей операторов сотовой связи, систем управления энергетикой, транспортом и промышленными предприятиями. В Центре...
RuCTF 2015: танковые битвы «белых хакеров»
Привет, Хабр. Хочу рассказать тебе о крупнейших и самых авторитетных в России межвузовских соревнованиях по защите информации – RuCTF. Уверен, многие из вас знают, что это такое, некоторые даже не понаслышке. Более того, поискав чуть по хабам, обнаружил несколько попыток разной степени успешности...
Выбор ciphersuites для TLS и уязвимость Logjam. Опыт Яндекса
Сейчас на фоне уязвимости Logjam все в индустрии в очередной раз обсуждают проблемы и особенности TLS. Я хочу воспользоваться этой возможностью, чтобы поговорить об одной из них, а именно — о настройке ciphersiutes. Мы уже не раз писали на Хабре о том, как внедряем шифрование трафика на сервисах...
[Из песочницы] Безопасность SSL/TLS российского интернет-банкинга
На сегодняшний день множество людей и организаций пользуются услугами интернет-банкинга. Банки периодически проводят аудиты безопасности своих систем, выпускают инструкции и рекомендации по безопасной работе с интернет-банком, но при этом пользователи не всегда знают – хорошо ли защищено соединение...
Документ, который ждали
Майские праздники подарили нам не только весьма спорный проект Постановления Правительства от Роскомнадзора, но и документ, которого специалисты ждали очень давно. ФСТЭК России опубликовала на своем сайте проект документа «Методика определения угроз безопасности информации в ИС» и соответствующее...
Заработай на кибервойне
Хорошо известно, что вовремя полученная инсайдерская информация об успехах и неудачах крупных корпораций при правильной игре на бирже может принести обладателю миллионы. И у кого, как не у хакеров, есть возможность добывать такую информацию или самим влиять на деятельность компаний, взламывая...