Погружаемся в Open Source бережно и безопасно
На сегодняшний день нет практически ни одной программы, где не задействовали бы бы Open Source — программное обеспечение с открытым исходным кодом. Неумелое использование компонентов и недостаточная степень проверки могут испортить любой продукт, а вместе с ним и лишить лояльностей пользователей....
Что общего у нуля, -1 и большого простого числа: Psychic Signatures в мире Java
Уязвимость CVE-2022-21449 или “Psychic Signatures”, которая была обнаружена в Java 15-18, позволяет обойти механизм проверки ECDSA-подписи и подделать исходное сообщение. Если приложение использует уязвимую версию Java для валидации JWT-токенов на базе алгоритма ES256, злоумышленник может...
[Перевод] Падение Звезды Смерти: почему сканирование шаблонов IaC так важно
Величайшим и самым мощным оружием Империи была орбитальная боевая станция DS-1, более известная как Звезда Смерти. Она наводила ужас на всю галактику, ведь установленный на ЗС суперлазер с кайбер-кристаллами мог без труда разрушить практически любую планету. Подготовили для вас перевод, в котором...
Поговорим про безопасность в Dart и Flutter
Безопасность приложения определяется всеми уровнями - от операционной системы и компилятора до используемых пакетов/плагинов и кода самого приложения. Особенно этот вопрос актуален, когда значительная часть используемых компонентов поддерживается сообществом и не контролируется единой организацией...
Как в Тинькофф запускали HashiCorp Vault
Меня зовут Юрий Шуткин, я инфраструктурный инженер в Тинькофф. В этой статье расскажу, как мы запустили сервис по хранению важной информации и избавились от небезопасной передачи секретов. Секретами мы называем важную информацию, которую нельзя хранить в открытом виде: пароли, токены, сертификаты....
Альтернатива стикерам с паролями на мониторе
Это своеобразный компромисс между стикерами на мониторе и более серьёзными решениями на основе аппаратных (электронных) ключей. Использую такое решение уже несколько лет, недавно понадобился новый шаблон в таком же формате (в размере кредитной карты), решил опубликовать его законченную версию и...
[Перевод] Защитите свой HDMI… плоскогубцами и изолентой
Представьте, что вы приглашаете гостя на презентацию внутри компании, предлагаете подключить видеопроектор, чтобы он показал свои слайды. Это прекрасная возможность взломать видеопроектор. Способом защиты делимся к старту курса «Белый хакер». Читать далее...
Атакуем кластер Kubernetes. Разбор Insekube c TryHackme
Всем привет! В этой статье, на примере машины Insekube с TryHackme, я постараюсь показать каким образом могут быть захвачены кластера Kubernetes реальными злоумышленниками, а также рассмотрю возможные методы защиты от этого. Приятного прочтения! Читать далее...
«Золотой век» Buhtrap: разбираем троян-долгожитель
В начале этого года неспешное субботнее утро специалиста Group-IB — с семейным завтраком, тренировкой по теннису и поездкой к родителям — полетело в тартарары после звонка безопасника одной российской компании. У предприятия украли пару десятков миллионов рублей: деньги увели со счета несколькими...
Тест на доверчивость: зачем мы отправляем фишинг-сообщения сотрудникам
Сотрудник компании, который не соблюдает или не знает правил информационной безопасности, — потенциальное слабое звено для злоумышленников. По данным «Ростелеком-Солар», 75% кибератак начинаются с фишинга. Мы в Selectel нашли способ повышения грамотности сотрудников в сфере ИБ в виде боевых учений....
Gatekeeper и его роль в обеспечении безопасности кластеров Kubernetes
Расширение сред Kubernetes (K8s), добавление новых кластеров и приложений — необходимые процессы для развития сервисов. В таких условиях для каждого администратора Kubernetes критически важно обеспечить последовательность и непрерывность соблюдения политик безопасности (ПБ) для всех новых и...
Миссия выполнима: продолжаем знакомиться с физическим пентестом. Часть 2
Итак, вы уже получили всю необходимую информацию в результате разведки — о том, как это сделать мы говорили в первой части статьи. Помните, на чем мы остановились? Мы предупреждали, что выполнять любые работы по физическому проникновению можно только при подписанном договоре с заказчиком и...
Особенности шифрования популярных мессенджеров: выбираем самый безопасный
По данным на осень 2021 года в тройку наиболее популярных мессенджеров в России входят WhatsApp, Viber и Telegram. Давайте выясним уровень конфиденциальности и безопасности каждого из них. Сделать это можно, только сравнив их с другими приложениями, поэтому рассмотрим также Skype, Facebook...
Миссия выполнима: знакомимся с физическим пентестом
"Анонимность — это как укрыться мягким одеялом", — говорил один из героев боевика “Mission: Impossible”. Но что делать, если спасительного одеяла не окажется под рукой в нужную минуту или оно начнет предательски просвечивать? Однажды сотруднику Group-IB надо было проникнуть на производство...
Безопасность + Разработка = ♡ Как выпускать релизы в срок и дружить с безопасностью
В идеальном мире команды безопасности — это компетентные специалисты, которые занимаются анализом рисков, моделированием угроз, защитой от целевых атак, расследованием инцидентов и другой важной работой. В том же идеальном мире разработчики ПО — это люди и команды, которые создают продукты и...
Искусственный интеллект и безопасность
В России 30 мая 2019 года на совещании по развитию цифровой экономики под председательством В. В. Путина было принято решение о подготовке национальной стратегии по искусственному интеллекту. В её рамках разрабатывается федеральная программа с выделением 90 млрд рублей. В октябре 2021 года в РФ...
Нелегкий путь к динамическому анализу мобильных приложений
Привет, Хабр! Каждую свою статью я начинаю с упоминания о том, что наша команда разрабатывает платформу анализа защищенности мобильных приложений. Почему? Размещая свои посты, информацию, которая мне кажется полезной, различные находки и трюки, мне хочется делиться с единомышленниками, помогать...
[recovery mode] Телефонные мошенники: как не потерять деньги
Приветствую всех! Сегодня я хочу рассказать, как не столкнуться с мошенниками, которые хотели бы опустошить ваши банковские счета. Есть несколько часто использующихся мошеннических схем и я опишу одну из них. Начнем с того, что у любого программного обеспечения есть слабые места. Каким бы...