Технологии безопасности

Сайт посвященный вопросам безопасности

Как установить SSL-сертификат и перейти на https: пошаговая инструкция

После новости о том, что с 1.01.2017 сайты, на которых собираются данные кредитных карт или пароли, будут отмечаться в браузере Google Chrome как потенциально опасные для пользователей, мы начали переводить сайты клиентов на защищенный протокол.

Небольшой алгоритм того, как выбрать SSL-сертификат, установить его и провести переезд с наименьшими потерями времени. Continue reading

90% «умных» телевизоров можно взломать вредоносной ТВ-передачей и шпионить за телезрителями


Загрузка эксплойта для Array.prototype.sort() через встроенный браузер телевизора, направленный по указанному адресу командой по DVB-T. Атака происходит в фоновом режиме, пока жертва смотрит передачу про птичек

Как известно, у всех «умных» телевизоров есть разъём USB, куда можно вставить флешку и установить на ТВ вредоносный софт, именно так поступали агенты ЦРУ (см. эксплойт Weeping Angel для телевизоров Samsung). Но есть и альтернативный способ взлома, когда необязательно проникать в квартиру жертвы, а взламывать можно миллионы телевизоров одновременно. Правда, для этого нужен доступ к телевещательной станции, то есть атаку можно проводить на государственном уровне в своей собственной стране. Как вариант, можно купить передатчик DVB-T по цене от $50 до $150 — и провести нелегальную трансляцию, это может сделать кто угодно.

На семинаре по кибербезопасности медиа Media Cyber Security Seminar специалист по безопасности из немецкой компании Oneconsult AG прочитал очень интересный доклад о взломе «умных» телевизоров и даже наглядно продемонстрировал представителям медиаиндустрии, как удалённо заражать телевизоры с помощью обычного телевизионного сигнала DVB-T (Digital Video Broadcasting — Terrestrial), который они постоянно транслируют на своих частотах.
Continue reading

Сертификаты от StartCom и WoSign окончательно превратились в тыкву

Эти органзиации известны тем, что они до запуска Let’s Encrypt бесплатно выпускали свои сертификаты. И все было прекрасно до недавней поры: 21 октября 2016 года. Все сертификаты, выпускаемые после этой даты были заведомо невалидны. Но выпущенные до этой даты работали нормально. Это коснулось всех сертификатов, даже платных (включая Extended Validation):

Но и это длилось не долго. Continue reading

Не убивайте Гонца (Don’t Shoot the Messenger)

После недавних террористических атак представители правительств по всему миру снова стали требовать установки бэкдоров в мессенджеры с поддержкой end-to-end (сквозного) шифрования. В то же время, журналисты при освещении этих заявлений также допустили типичную для них кучу ошибок. Благодаря этим ошибкам, я (глава службы поддержки Telegram, Маркус Ра — прим. пер.) получил много вопросов от удивлённых пользователей Telegram. Итак, давайте проясним несколько вещей.
Continue reading

Как хакеры атакуют корпоративный WiFi: разбор атаки

Изображение: Manuel Iglesias, Flickr

Беспроводные сети являются неотъемлемой частью корпоративной инфраструктуры большинства современных компаний. Использование WiFi позволяет разворачивать сети без прокладки кабеля, а также обеспечивает сотрудников мобильностью – подключение возможно из любой точки офиса с целого ряда устройств. Определенное значение имеет и удобство клиентов компании, которым, например, необходимо использование высокоскоростного доступа в Интернет. Развернутая беспроводная сеть позволяет сделать это быстро и комфортно.

Однако небезопасное использование или администрирование беспроводных сетей внутри организации влечет за собой серьезные угрозы. В случае успешной реализации подобных атак на корпоративный Wi-Fi злоумышленники имеют возможность перехватывать чувствительные данные, атаковать пользователей беспроводной сети, а также получить доступ к внутренним ресурсам компании. Continue reading

МИФИ организует олимпиаду по информационной безопасности для студентов

Совсем скоро, 21-23 апреля 2017 года, состоится всероссийская студенческая олимпиада по информационной безопасности. Соревнование проходит на базе Национального исследовательского ядерного университета «МИФИ» при участии Positive Technologies. Принять участие в олимпиаде могут студенты в возрасте 18 до 25 лет. Continue reading

На Docs.com доступны для поиска конфиденциальные документы пользователей Office365


Docs.com с новым логотипом Doxs.com. Предложение ребрендинга от Кевина Бьюмона. Иллюстрация: Кевин Бьюмон

Docs.com — публичный хостинг документов для пользователей Office365. Не все пользователи Microsoft являются грамотными специалистами. Некоторые вообще не понимают, что делают. По неизвестной причине люди публикуют на публичном хостинге Docs.com свои конфиденциальные документы, в том числе списки паролей, номера социального страхования, детали SWIFT-кодов, банковские счета, инвестиционные портфели, бракоразводные соглашения, приглашения на работу и многое другое.

По едкому замечанию одного из специалистов, после такой истории с массовым «самодоксингом» уместно переименовать Docs.com в Doxs.com. Он даже нарисовал новый логотип (см. выше).
Continue reading

В веб-сервере посудомоечной машины Miele обнаружена уязвимость


Несколько посудомоечных машин-дезинфекторов Miele Professional PG 8528. Фото: Miele

В списке рассылки Seclists опубликована информация о необычной уязвимости CVE-2017-7240. Это уязвимость типа Directory Traversal в веб-сервере. Казалось бы, что такого странного? Подобные уязвимости находят сплошь и рядом. Но здесь речь идёт о веб-сервере… посудомоечной машины! В данном случае дыра найдена в промышленной посудомойке-дезинфекторе модели Miele Professional PG 8528 со встроенным Ethernet, веб-сервером и доступом в Интернет. Такие дезинфекторы применяют в больницах, научных лабораториях и т. д.
Continue reading

Как ЦРУ вызывало дождь: использование Rain Maker для сбора сведений с закрытых объектов

Нашумевшая новость об утечке архива ЦРУ чаще всего преподносилась в контексте того, что спецслужба США могла подслушать, подсмотреть, узнать о нас с телефонов, компьютеров и даже телевизоров. Предлагаем вашему вниманию информацию об одном из их проектов с необычным названием Rain Maker. Он представляет собой набор утилит, направленный на скрытый сбор информации на исследуемом объекте, не подключенном к сети Интернет. Агент получает специальную флешку с музыкой и portable VLC-плеером, подключает ее к компьютеру жертвы и спокойно работает под современные хиты. Закончив работу, передает флешку со скрытыми на ней и зашифрованными данными координатору, который отправляет ее в центр на расшифровку. Как это реализовано технически?

* Из архива ЦРУ к этому проекту. У агентов тоже есть юмор!
Continue reading

Pentestit Security Conference 2017: анонс

Коллеги и друзья! 15 июля 2017 в Орле состоится Pentestit Security Conference — конференция, посвященная практической информационной безопасности: тестирование на проникновение современных сетей и систем, выявление уязвимостей телекоммуникационного оборудования, обход современных защитных средств, обнаружение и противодействие атакам, криминалистический анализ и расследование инцидентов.
Continue reading