Шифруем передаваемые на сайт данные с алгоритмом на основе хаотической системы Лоренца

Привет! Меня зовут Михаил, работаю в компании DataLine сетевым инженером. По специальности я радиофизик, но со школьной скамьи интересуюсь криптографией. В этом году научная работа в университете помогла совместить два этих интереса. Я посвятил свое исследование применению теории хаоса и задался...

Все блоги / Про интернет

Кибербезопасность для самых маленьких

Добрый день. Данная статья будет очень полезна для тех, кто впервые поднимает свое приложение, которое будет доступно всему этому большому и замечательному Миру и хочет сделать его как можно более безопасным, устойчивым к разным атакам. Цель статьи - поделиться практиками, которые я применил для...

Все блоги / Про интернет

Игорь Сысоев ушёл из Nginx

Игорь Сысоев, основатель проекта Nginx, работавший над ним почти 20 лет, покинул коммерческую компанию, занимающуюся его развитием. Игорь работал над Nginx почти 20 лет, в прощальной публикации на сайте компании говорится дежурное, что Игорь будет больше времени уделять семье, друзьям и собственным...

Все блоги / Про интернет

[Перевод] Продолжение. Частые ошибки в настройках Nginx, из-за которых веб-сервер становится уязвимым

Ранее Cloud4Y рассказал про уязвимости веб-серверов Nginx, балансировщиков нагрузки и прокси-серверов. Что-то из этого вы могли знать, а что-то, надеемся, стало полезной информацией. Но история не закончилась. Многочисленные программы bug bounties позволяют проводить широкомасштабные исследования,...

Все блоги / Про интернет

[Перевод] Частые ошибки в настройках Nginx, из-за которых веб-сервер становится уязвимым

Nginx — это веб-сервер, на котором работает треть всех сайтов в мире. Но если забыть или проигнорировать некоторые ошибки в настройках, можно стать отличной мишенью для злоумышленников. Detectify Crowdsource подготовил список наиболее часто встречающихся ошибок, делающих сайт уязвимым для атак....

Все блоги / Про интернет

Об одной уязвимости в…

Год назад, 21 марта 2019, в баг баунти программу Mail.Ru на HackerOne пришел очень хороший багрепорт от maxarr. При внедрении нулевого байта (ASCII 0) в POST-параметр одного из API-запросов веб-почты, который возвращал HTTP-редирект, в данных редиректа виднелись куски неинициализированной памяти, в...

Все блоги / Про интернет

«Рамблер» попросит не преследовать никого за Nginx. Но следствие не обязано его слушать

Совет директоров "Рамблера", собранный по просьбе акционера компании "Сбербанка", потребовал от менеджмента "Рамблера" расторгнуть договор о представлении Lynwood Investments CY Ltd интересов "Рамблера" в правоохранительных органах в отношении интеллектуальных прав на Nginx. Кроме того, Lynwood...

Все блоги / Про интернет

Когда 'a' не равно 'а'. По следам одного взлома

Пренеприятнейшая история случилась с одним моим знакомым. Но насколько она оказалась неприятной для Михаила настолько же занимательной для меня. Надо сказать, что приятель мой вполне себе UNIX-пользователь: может сам поставить систему, установить mysql, php и сделать простейшие настройки nginx. И...

Все блоги / Про интернет

Комфортный DevOpsSec: Nemesida WAF Free для NGINX с API и личным кабинетом

Nemesida WAF Free — бесплатная версия Nemesida WAF, обеспечивающая базовую защиту веб-приложения от атак класса OWASP на основе сигнатурного анализа. Nemesida WAF Free имеет собственную базу сигнатур, выявляет атаки на веб-приложения при минимальном количестве ложных срабатываний, обновляется из...

Все блоги / Про интернет

Nginx опубликовал обновление безопасности против DoS-уязвимостей в HTTP/2

Во вторник Nginx опубликовал пресс-релиз о важнейшем обновлении, в которое вошли патчи безопасности, закрывающие Dos-уязвимости в протоколе HTTP/2. Напомним, что эти уязвимости Netflix обнаружил еще в мае, с деталями можно ознакомиться на GitHub-странице компании. Читать дальше →...

Все блоги / Про интернет

Новый билд Nemesida WAF Free для NGINX

В прошлом году мы выпустили Nemesida WAF Free — динамический модуль для NGINX, блокирующий атаки на веб-приложения. В отличие от коммерческой версии, основанной на работе машинного обучения, бесплатная версия анализирует запросы только сигнатурным методом. Особенности релиза Nemesida WAF 4.0.129 До...

Все блоги / Про интернет

Двухфакторная аутентификация на сайте с использованием USB-токена. Теперь и для Linux

В одной из наших предыдущих статей мы рассказывали про важность двухфакторной аутентификации на корпоративных порталах компаний. В прошлый раз мы продемонстрировали, как настроить безопасную аутентификацию в web-сервере IIS. В комментариях нас просили написать инструкцию для самых распространенных...

Все блоги / Про интернет

[Перевод] Ментальные модели информационной безопасности

Я ранее приводил аргументы, почему информационная безопасность находится в состоянии когнитивного кризиса, причём ситуация ухудшается. Несмотря на обилие свободно доступной информации, мы плохо справляемся с выявлением и обучением практическим навыкам в сфере ИБ, во всём разнообразии доступных...

Все блоги / Про интернет

[Из песочницы] NGINX инструкция по установке ModSecurity

В этой статье представлена инструкция по установке динамического модуля ModSecurity на веб-сервер NGINX в качестве межсетевого экрана веб-приложения (WAF). NGINX работает в режиме обратного прокси-сервера. Работу выполнено на дистрибутиве Linux – CentOS 7. Модуль установлено в качестве...

Все блоги / Про интернет

Ограничение количества попыток ввода пароля в веб-форме авторизации WordPress при помощи Nginx или HAProxy

Рассмотрим на примере WordPress способ усиления безопасности при помощи ограничения количества HTTP-запросов к форме ввода пароля. Это позволит оградить опубликованный блог от брутфорса (поиска и взлома пароля путем перебора всех теоретически возможных вариантов из определенного набора символов или...

Все блоги / Про интернет

Как и зачем мы делаем TLS в Яндексе

Я занимаюсь в Яндексе продуктовой безопасностью и, кажется, сейчас самое время подробнее, чем уже было на YaC, рассказать на Хабре о том, как мы внедряем TLS в Яндексе. Использование HTTPS-соединений является важной частью безопасного веб-сервиса, так как именно HTTPS обеспечивает...

Все блоги / Про интернет

С конкурсного сервера CloudFlare был успешно украден SSL-ключ

11 апреля исследователи компании CloudFlare опубликовали в своём блоге статью «Answering the Critical Question: Can You Get Private SSL Keys Using Heartbleed?», в которой они задались вопросом, возможно ли извлечь приватные ключи, используя нашумевшую уязвимость Heartbleed. Попытка извлечь из...

Все блоги / Про интернет