SSO на FreeIPA+Apache+Flask-Login+JWT
Всем привет В статье описывается разработка и развёртывание системы SSO-аутентификации, использующей Kerberos и JWT. Модуль аутентификации разработан с применением Flask, Flask-Login и PyJWT. Развёртывание выполнено с использованием веб-сервера Apache, сервера идентификации FreeIPA и модуля...
Воскресный сказ о важности обновления, даже если вы ботнет оператор
Или не грози солнечной Исландии, попивая чай у себя в Гунчжоу. На КДПВ изображен возможный ботнет оператор, как я его себе представляю.Технических подробностей будет минимально, в основном глум — добро пожаловать под кат...
Return oriented programming. Собираем exploit по кусочкам
Введение В этой статье мы попробуем разобраться как работает Return Oriented эксплоит. Тема, в принципе, так себе заезженная, и в инете валяется немало публикаций, но я постараюсь писать так, чтобы эта статья не была их простой компиляцией. По ходу нам придется разбираться с некоторыми системными...
Французский телеканал был взломан после интервью сотрудника на фоне стикеров с паролями
Вот уже несколько дней развивается история со взломом внутренней сети и аккаунтов в социальных сетях французского телеканала TV5Monde, работа которого на некоторое время была просто парализована в результате деятельности хакеров, причисляющих себя к сторонникам Исламского государства. Были выведены...
[Из песочницы] Как студент баг в Яндекс.Музыке нашел
Сервис Яндекс.Музыка появился на свет уже довольно давно, как и его приложения в AppStore и GooglePlay, но только совсем недавно он был выпущен на платформу Windows Phone. Честно скажу, загрузил я его ради праздного любопытства, так как слушать музыку Вконтакте удобнее, а самое главное — бесплатно....
Особое мнение: Алгоритм JPMorgan вычислит недобросовестных трейдеров до того, как они принесут убытки
Международная финансовая компания JPMorgan Chase & Co потеряла из-за судебных исков $36 млрд с начала финансового кризиса в США. Теперь, по данным Bloomberg, организация разрабатывает программу, позволяющую выявлять недобросовестных сотрудников, до того, как они смогут принести убытки. Алгоритм...
OSSIM — разворачиваем лучшую комплексную open source систему управления безопасностью
OSSIM (Open Source Security Information Management) — система управления, контроля и обеспечения информационной безопасности. OSSIM «из коробки» включает в себя такой функционал как: Сбор анализ и корреляция событий — SIEM Хостовая система предотвращения вторжений (HIDS) — OSSEC Сетевая система...
[Из песочницы] Особенности работы с виртуальными дискaми VirtualBox
Статья рассматривает особенности использования виртуальных дисков в VirtualBox, применение разных режимов чтения-записи, принцип и организацию работы snapshot-ов, кэширование ввода/вывода данных, а также некоторые аспекты использования виртуальных дисков с точки зрения информационной безопасности....
Исследование андроид-вируса
Всем привет. Недавно мне valdikss рассказал об андроид-вирусе, который может немало навредить пользователю, если он недостаточно внимателен. Мне захотелось узнать его внутренности, т.к. более или менее в последнее время занимаюсь ресерчем андроид приложений, но вирусы никогда еще не исследовал. До...
Новый adware встраивается непосредственно в браузер
Появился новый вид adware, который встраивается в сам браузер. Очередной компьютер с жалобой на рекламу в браузере — как обычно по словам пользователя ничего не запускалось, но факт налицо — реклама вылазит почти на каждом сайте из всех щелей и подменяются поисковые запросы. Обычно большинство...
Где хранят данные украинские интернет-магазины
Изъятия серверов у украинских хостинг провайдеров не редкость, в очередной раз об этом напомнили силовики 7 апреля 2015 года, когда изъяли сервера провадера nic.ua. Мы решили узнать, где размещают свои сервера крупнейшие интернет-магазины Украины. Список интернет магазинов взяли из отчета...
[Перевод] Обнаружены поддельные сертификаты для доменов Google
20-го марта 2015 года Google получил информацию о существовании поддельных цифровых сертификатов для нескольких своих доменов. Сертификаты были выданы промежуточным центром сертификации, относящимся к компании MCS Holdings. Промежуточный сертификат этой компании был выдан CNNIC (China Internet...
Интервью со skype-мошенником
Несколько дней назад Сергей Доля рассказал о том, как мошенники взломав скайп его друга, начали рассылать сообщения по контакт-листу с просьбой перевести денег. За несколько часов злоумышленникам по оценкам самого Доли удалось получить более 250 000 рублей. Об этом также писал tjournal. Схема...
[Из песочницы] Двухфакторная авторизация для корпоративных веб-сервисов
В процессе своей работы часто сталкиваюсь с различного рода атаками на корпоративные веб-сервисы. Встречались и случаи, когда злоумышленнику удавалось получить доступ к пользовательскому аккаунту. Чтобы минимизировать подобный риск и обезопасить свои сервисы, возникла идея внедрения системы...
Payler: обновление сертификации PCI DSS до версии 3.0 — DONE
Дорогие друзья, Мы в Payler уделяем особое внимание защите данных держателей карт. Еще до нового года мы обозначили свои планы относительно обновления сертификации безопасности PCI DSS до версии 3.0, так как понимали, что в скором будущем текущая версия 2.0 устареет и перестанет отвечать постоянно...
Тестирование на проникновение в соответствии с требованиями СТО БР ИББС-1.0-2014
Сегодня мы поговорим о проведении тестирования на проникновение в соответствии с требованиями СТО БР ИББС-1.0-2014 своими силами. Распоряжением Банка России от 10.07.2014 N Р-556 http://www.consultant.ru/document/cons_doc_LAW_165504/ «О вводе в действие рекомендаций в области стандартизации Банка...
Как поймать то, чего нет. Часть печальная: что такое антивирус?
Достаточно часто, приходя к заказчикам, мне в той или иной форме приходится задавать вопрос: а зачем вам нужен антивирус? Как правило, на меня смотрят, как на идиота — это же всем известно! Но в большинстве случаев дальнейшая дискуссия показывает, что подавляющая часть заказчиков не знает ответа на...
Шифрование в NQ Vault оказалось обычным XOR-ом, и это не самое плохое
NQ Vault — довольно популярное (30 млн. пользователей) Android приложение (есть версия и для iOS), позволяющее зашифровать выбранные SMS, фотографии и видео на устройстве. Просмотреть зашифрованный контент можно через приложение, введя пароль. Приложение получило хорошие отзывы и обзоры в ведущих...