Технологии безопасности

Сайт посвященный вопросам безопасности

Центры SSL-сертификации о нововведениях с SHA-2

Ранее в статье я рассказывал о том, что будет происходить с поддержкой браузерами от Mozilla, Google и Microsoft алгоритма шифрования SHA-1, используемого для генерации SSL-сертификатов и их подписи. Напомню, компания Microsoft несколько ультимативно дала понять центрам сертификации то, что они должны отказаться от использования SHA-1 («CAs must stop issuing new SHA1 SSL…») и перейти на более современные и криптостойкие алгоритмы. И сегодня мы рассмотрим, как на это отреагировали сами центры сертификации, и как это скажется на владельцах SSL-сертификатов.
Центры SSL-сертификации о нововведениях с SHA-2Центры SSL-сертификации о нововведениях с SHA-2
Continue reading

Вирус-вымогатель CryptoBot сдаёт своих жертв через Twitter

Вирус-вымогатель CryptoBot сдаёт своих жертв через TwitterВирус-вымогатель CryptoBot сдаёт своих жертв через Twitter

Вирусы-вымогатели, которые шифруют файлы пользователей, требуя денег за расшифровку, терроризируют Интернет уже не первый год. Однако в нынешнем октябре они разбушевались не на шутку – очевидно, совершив новый эволюционный скачок в области автоматизации. В начале месяца массовому заражению криптолокером подверглись сотрудники крупнейшей австралийской вещательной компании ABC, а и также почтовые и другие государственные службы страны. В середине месяца более 100 тыс. американцев были заражены вирусом-шифровальщиком через рекламные баннеры, крутившиеся в роликах на YouTube. Continue reading

ФБР использовало фишинг и malware для раскрытия личности преступника

ФБР использовало фишинг и malware для раскрытия личности преступникаФБР использовало фишинг и malware для раскрытия личности преступника

На днях на сайте Electronic Frontier Foundation были выложены документы по делу ФБР, где агентство использовало незаконные методы для раскрытия личности преступника.

Может быть, у агентства не было выбора, но дела это не меняет — сотрудники использовали зловредное ПО и фишинг, как основные инструменты работы. Само дело заключалось в необходимости поймать человека, который распространял со своей страницы на MySpace (это был май 2007 года) угрозы заминировать учебное заведение — Timberline High School.

Continue reading

Жизнь печеньки-параноика

Жизнь печеньки-параноикаЖизнь печеньки-параноика
(на самом деле паранойя — это весело)

Каждый программист в своей жизни хоть раз, но писал/хотел написать(нужное подчеркнуть) свой собственный сервер с блекджеком и шлюхами, ой т.е. преферансом и балеринами. Как же жить, если ты нереальный кул-хацкер и просто обязан иметь место для бекапов файлов, сообщений и прочих штук.
Continue reading

Власти РФ подготовили «план защиты российского сегмента интернета от внешнего воздействия»

В России подготовлен «план защиты российского сегмента интернета от внешнего воздействия» (план закупоривания рунета в случае необходимости, если говорить простым языком). Об этом заявил журналистам глава Минкомсвязи Николай Никифоров.

Со слов министра, которые цитирует агентство «ТАСС», сейчас со странами БРИКС обсуждаются совместные действия по защите критически важных областей интернета. «Такой план существует, но это всегда некий процесс, потому что угрозы и наши ответы этим угрозам всегда совершенствуются, поэтому мы проводим консультации с нашими коллегами, в частности, из стран БРИКС для того, чтобы сообща отстаивать позицию, что критичные элементы инфраструктуры интернета должны не зависеть от каких-то внешних деструктивных воздействий», — сказал Никифоров.
Continue reading

«Cлед ведет в Россию»: российских хакеров обвинили во взломе систем НАТО

«Меня больше беспокоят русские», — заявил недавно на форуме в Техасском университете директор национальной разведки США Джеймс Клэппер, говоря о кибератаках китайских хакеров. Большую статью с таким лейтмотивом и броским заголовком «Хакерский след ведет в Россию» опубликовал сегодня The Wall Street Journal. Возможно, китайцы занимаются кибершпионажем и чаще, но Россия действует эффективнее, считает Клэппер.

«Cлед ведет в Россию»: российских хакеров обвинили во взломе систем НАТО«Cлед ведет в Россию»: российских хакеров обвинили во взломе систем НАТО

Поводом для статьи стало недавнее расследование ведущей компанией Кремниевой Долины FireEye Inc взлома компьютерной системы неназванной американской фирмы, деятельность которой закрыта грифом «Совершенно секретно». Continue reading

Криптографические решения. От криптопровайдеров до браузерных плагинов

Производители СКЗИ предлагают различные механизмы для интеграции криптосредств в информационные системы. Существуют решения, ориентированные на поддержку систем с Web-интерфейсом, мобильных и десктопных приложений, серверных компонентов. СКЗИ интегрируются в приложения Microsoft и в продукты Open Source, обеспечивают поддержку различных прикладных протоколов и форматов электронной подписи.

С учетом растущего количества проектов с применением ЭЦП и появления массовых проектов для физических лиц, разработчикам подобных проектов требуется хорошо ориентироваться в предлагаемых производителями решениях по ЭЦП для того, чтобы сделать систему удобной в эксплуатации и недорогой в плане техподдержки. Таким образом, если еще лет 5 назад главным фактором выбора криптосредства являлось его полное соответствие требованиям регуляторов, то при сегодняшнем разнообразии важными критериями могут выступать охват поддерживаемых платформ, возможность интеграции с браузером, поддержка мобильных пользователей, возможность установки без прав системного администратора и т.п.

В данном материале сделана попытка классифицировать средства криптографической защиты информации (СКЗИ).

Рассмотрены в основном СКЗИ, использующиеся для защиты клиент-серверных соединений по протоколу TLS, для организации ЭЦП, шифрования передаваемых данных;

Не рассматриваются СКЗИ, применяемые для создания VPN и шифрования файловой системы, хранимых данных, а так же УЦ;

Отдельно выделены аппаратные криптографические устройства.

Классификация построена на основе:

технологий интеграции (Crypto API, Active-X, NPAPI и др.), которые поддерживают СКЗИ для встраивания в приложения и прикладные системы;
интерфейсов, которые предоставляют СКЗИ для встраивания в приложения и прикладные системы.

Кроме того, показаны способы интеграции СКЗИ с Web-приложениями и возможность его использования на мобильных платформах

Общая схема классификации приведена в таблице:

Криптопровайдеры
Нативные библиотеки (openssl-style, PKCS#11, NSS, собственные интерфейсы)
Локальные прокси
Браузерные плагины
Облачная подпись
Браузеры с российской криптографией

Почтовые клиенты с российской криптографией
Российская криптография в фреймворках, платформах, интерпретаторах
Настольные криптографические приложения
Криптография в BIOS UEFI
Сервис-провайдеры ЭЦП
Эмуляторы доверенной среды

Аппаратные средства

В первой статье рассмотрим решения, начиная с криптопровайдеров по браузерные плагины включительно. В последующих статьях будут рассмотрены остальные средства.

Continue reading

Против кого дружат Google, Chrome Mozilla и Microsoft? Или SHA-1 уходит в прошлое

Еще 5 сентября 2014 года разработчики браузера Chromium в своем блоге объявили о том, что к 1 января 2017 года их браузер перестанет поддерживать алгоритм шифрования SHA-1. Это алгоритм используется (и использовался) для выпуска SSL-сертификата. Все браузеры на основе Chromium (в том числе и Google Chrome) перестанут поддерживать SHA-1. Эту инициативу Google поддержали так же Mozilla и Microsoft. Началом отсчета можно считать выход браузера Chrome версии 39 в конце ноября 2014 г. Давайте рассмотрим как это коснется владельцев сайтов с SSL-сертификатами и рядовых пользователей.
Против кого дружат Google, Chrome Mozilla и Microsoft? Или SHA-1 уходит в прошлоеПротив кого дружат Google, Chrome Mozilla и Microsoft? Или SHA-1 уходит в прошлое
Continue reading

Гости программы «Корпоративные лаборатории тестирования на проникновение»

Всем привет!
Предоставляем видеозаписи выступлений гостей программы «Корпоративные лаборатории тестирования на проникновения», в которой в дополнении к основной, платной программе, приглашенные эксперты делятся своими глубокими знаниями и опытом на различные темы практической ИБ.

1. Гость программы обучения «Корпоративные лаборатории» Григорий Земсков, руководитель компании Revisium, эксперт в области ИБ и автор уникального отечественного веб-сканера Ai-Bolit, провел мастер класс на тему: «Поиск и удаление редиректов c сайта».

2. Гость программы обучения «Корпоративные лаборатории» Олег Михальский, директор по облачным сервисам «Acronis», выступил с докладом на тему:
«Облачное хранение данных. Возможности и угрозы». Олег рассказал об облачной модели ИТ и проблемах безопасности, продемонстрирует практические решения и осветит тему будущих угроз и возможностей в данной области.

Continue reading

EFF запустил обновлённый сайт с инструкциями по безопасности и приватности в интернете

EFF запустил обновлённый сайт с инструкциями по безопасности и приватности в интернетеEFF запустил обновлённый сайт с инструкциями по безопасности и приватности в интернете

Фонд электронных рубежей запустил существенно обновлённую и дополненную версию сайта Surveillance Self-Defense, на котором собраны инструкции и рецепты для обычных пользователей, желающих сделать своё пребывание в интернете безопаснее. На сайте есть как обзорные статьи по криптографии, классификации угроз в интернете, инструментам безопасности, так и пошаговые инструкции по работе с программами шифрования, менеджерами паролей, безопасными мессенджерами, TOR, а так же комплексные сценарии безопасности для разных типов пользователей — журналистов, активистов и просто неравнодушных пользователей, желающих обезопасить себя.
Continue reading