Страница телеграм канала Сайберсекьюрити и Ко.

alexlitreev_channel logo

Сайберсекьюрити и Ко.

23019 подписчиков

Авторский канал Александра Литреева о безопасности в интернете, уязвимостях и прочих радостях жизни. Твиттер: twitter.com/alexlitreev Пожертвования: rocketbank.ru/alexlitreev Реклама: media@litreev.com


Входит в категории:
Сайберсекьюрити и Ко.
11.12.2018 11:12
Баг в Google+ привел к утечке данных более чем 52 миллионов пользователей. Несколько месяцев назад Google объявила о закрытии собственной социальной сети Google+, рассказав про серьезную брешь в безопасности в октябре этого года, пообещав полностью закрыть продукт в августе 2019-го. И вот вроде бы продукт уже одной ногой в могиле, но вчера Google буквально выпустил новую серию своих «Ходячих Мертвецов». 10 декабря, компания обнародовала информацию о новой дыре в Google+, которая прожила целых шесть дней в течение ноября. Речь идёт об API социальной сети для разработчиков: в результате ошибки инженеров компании, сторонние разработчики могли получать данные (emailы, место работы, пол, дата рождения, семейное положение) даже если пользователи скрыли эти данные из общего доступа в настройках приватности. В результате этого инцидента, данные более чем 52.5 млн. пользователей оказались доступны сторонним приложениям, однако в компании отмечают, что пока у них нет подтверждений того, что кто-то успел этим воспользоваться. В Google также сообщили о решении ускорить закрытие собственной соц. сети (видимо, от греха подальше) и перенесли срок отключения Google+ с августа 2019 на апрель того же года.
Читать

07.12.2018 13:12
Онлайн мастер-класс по Сайберсекьюрити™ — Взломы. Защита. Расследования. У нас с Майкрософт для вас есть нечто потрясающее: мастер-класс от Паулы Янушкевич по инф. безопасности. Паула — монстр индустрии, признанный мировой эксперт в области кибербезопасности с 14-летним опытом. Компания CQURE, которую Паула Янушкевич возглавляет, проводит pentesting, консультирует по вопросам архитектуры, организует тренинги и семинары. В портфолио Паулы несколько сотен проектов: как в крупных коммерческих компаниях, так и в государственных организациях. Она выступала на таких конференциях как Microsoft Ignite, RSA, Black Hat, TechEd, CyberCrime и других. В этом мастер-классе Паула раскажет о современных техниках, используемых в ransomware-шифровальщиках, затронет вопрос мониторинга и расследования кибератак. В общем, на редкость классное образовательное мероприятие с настоящей рок-звездой Сайберсекьюрити™. Сам поучаствую и вам советую. Регистрация вот здесь: https://aka.ms/cqure_tg19
Читать

Сайберсекьюрити и Ко.
06.12.2018 19:12
Парламент Австралии принял закон об обязательном внедрении правительственных бэкдоров в программное обеспечение Страшные новости сегодня приходят из страны, где люди ходят кверху ногами: опаснейший прецедент в истории кибербезопасности — власти Австралии приняли новый закон, согласно которому различные IT-компании обязаны содействовать правоохранительным органам. Все бы ничего, но в понятие «содействовать» включили, в том числе, обязанность компаний встраивать в собственные программные продукты вредоносное программное обеспечение, бэкдоры для прослушки, а также предоставлять приватные ключи для расшифровки данных пользователей. Более того, Австралийские парламентарии пошли дальше: теперь компании также обязаны по первому требованию правоохранительных органов вовсе отключать всякое шифрование и помогать во взломе собственного программного обеспечения. Под этот закон попадают все IT-компании, работающие в Австралии. В том числе, различные сайты и интернет-сервисы. Одной из крупнейших IT-компаний в Австралии является Atlassian — авторы BitBucket, JIRA, HipChat, Zephyr, Bamboo и других известных сервисов. Для неё последствия такого решения законодателей могут быть чудовищными, вполне вероятно, что компания может сменить юрисдикцию под таким давлением со стороны своего государства. Подобное "законотворчество", маскируясь под благими намерениями вроде борьбы с терроризмом и т.д., никак такой борьбе не помогает. Террористы всегда найдут способ для коммуникаций, какие действия государства бы не предпринимали. Единственной пострадавшей стороной в такой ситуации станут рядовые пользователи, чей уровень безопасности в киберпространстве существенно снизится из-за внедряемых по требованию силовиков бэкдоров. Невозможно в 21 веке создать такую потайную дверцу, ключик от которой будет только у хороших парней. Наличие уязвимостей в ПО, предназначенных для использования правоохранительными органами, дает ровно такую же возможность злоумышленникам их использовать. А в борьбе с терроризмом и детской порнографией они производят лишь нулевой, если не отрицательный выхлоп.
Читать

Сайберсекьюрити и Ко.
06.12.2018 16:12
Продолжаем серию образовательных мероприятий с Сайберсекьюрити™. На этот раз у нас Python 10 декабря в 20:00 МСК, в рамках курса ОТУСа для укротителей змей пройдет открытый вебинар на тему «Внутреннее устройство интерпретатора CPython». Курс позволит, что называется, "окунуться" в разработку "с головой" как в теории, так и на практике. В процессе обучения вы освоите основные моменты проектирования ПО через призму конкретного языка (т.е. Pythonа), а также научитесь прагматично подходить к решению сложных задач. Естественно, затронут будет исключительно актуальный пул задач с подходом через, так называемые, best practices. Перед участием в курсе можно (и нужно) пройти бесплатное онлайн-тестирование, оно поможет вам объективно оценить свои способности и определить свою готовность к прохождению курса. Пройти его можно здесь: https://otus.pw/HB3Q/ Регистрация на вебинар: https://otus.pw/aRRK/
Читать

Сайберсекьюрити и Ко.
04.12.2018 09:12
Утро начинается с утечек: Quora сообщила о компрометации данных пользователей неизвестными хакерами. Сервис вопросов и ответов Quora разослал своим пользователям уведомление о компрометации данных пользователей. По словам компании, неизвестные лица получили доступ к базе данных и смогли похитить имена, email’ы, IP-адреса, зашифрованные пароли своих пользователей, а также данные из привязанных социальных сетей, включая токены доступа к последним. В Quora сообщают, что обратились за помощью в правоохранительные органы и ведут расследование.
Читать

Сайберсекьюрити и Ко.
03.12.2018 14:12
Привет, Siri? Эй, Siri! Ребята, я всё-таки решила сделать невозможное и попробовать достучаться до Apple по этому вопросу. Если вы тоже пользуетесь Siri на русском языке, если ждёте русского языка в HomePod и tvOS, и если вас тоже бесит каждый раз "приветкать", когда хочется что-то попросить, давайте вместе обратимся к Apple с этой проблемой. Я составила петицию на английском языке и хочу попробовать с вашей помощью собрать под ней много подписей. Вот ссылка: https://www.change.org/p/apple-change-russian-siri-trigger-command-from-privet-siri-to-hey-siri Есть ещё один важный момент. Нас с вами много, но всё же очень мало для того, чтобы петиция возымела эффект. Для полного счастья нужно распространение. Вы автор канала/Twitter-аккаунта/подобного? Можете просто репостнуть это сообщение или самостоятельно опубликовать ссылку на петицию, если не хотите делать мне лишней рекламы. Вы знаете авторов больших каналов? Попросите их сделать материал о петиции. Вы простой смертный? Подпишите петицию и расскажите о ней своим друзьям и знакомым. Сделали всё, но хотите помочь ещё больше? Пройдите по ссылке apple.com/feedback, выберите своё устройство, в разделе Feedback Type выберите Feature Request или Bug Report, а затем скопируйте в поля заголовок и текст нашей петиции. Можете добавить что-то от себя или написать свой текст, но посыл должен быть единым. Если у нас получится собрать значимое количество подписей, попробуем массово направить в Apple ссылку на петицию и обратить внимание на проблему. Давайте сделаем так, чтобы пользоваться функциями было удобно, раз уж мы заплатили за них немало денег. Напоминаю ссылку на петицию: https://www.change.org/p/apple-change-russian-siri-trigger-command-from-privet-siri-to-hey-siri
Читать

Сайберсекьюрити и Ко.
30.11.2018 16:11
Marriott сообщила об утечке данных сотен миллионов клиентов, начиная с 2014 года. Среди украденных данных — номера паспортов и данные банковских карт. Известная сеть отелей Marriott сообщила, что еще с (!!!) 2014 года неизвестные копировали из базы компании личные данные постояльцев отелей Starwood, однако замечена эта утечка была только сейчас. Среди скомпрометированных данных — имена, фамилии, emailы, банковские карты и данные паспорта. В рамках утечки были скомпрометированы данные более чем 500 миллионов клиентов. Останавливался в Marriott (не Starwood), когда был в Копенгагене. Отель — отличный. Жаль по IT не дотянули. Уж с их-то деньгами могли бы и потрудиться. UPD: Справедливо будет заметить то, что почему-то не заметила ни Медуза, ни остальные СМИ: Starwood в 2014 году еще не был частью Marriott — покупка Starwood была завершена только в 2016 году. Поэтому возлагать ответственность на Marriott в полной мере, как мне кажется, нельзя. Хотя после покупки могли бы и озадачиться вопросами безопасности.
Читать

Сайберсекьюрити и Ко.
29.11.2018 16:11
DNS Leak в Ubuntu Network Manager К нам на днях обратился человек, который пожаловался на то, что в Ubuntu, при включенном VPN-соединении, не открываются заблокированные Роскомнадзором сайты.  Мы, с моим коллегой Артёмом, начали разбираться в ситуации и выяснили, в чём дело. Как оказалось, вся проблема заключалась в том, что Ubuntu не использует DNS-серверы, предоставленные VPN, а продолжает использовать DNS, полученные от своего основного соединения по DHCP (обычно там IP-адреса DNS-серверов интернет-провайдера, если ничего не менять вручную), что и вызывает недоступность тех или иных сайтов (если провайдер, например, блокирует ресурсы по DNS).  То, что мы только что описали, называется «DNS Leak». Это, на самом деле, довольно серьезное нарушение безопасности. По вашим запросам к DNS можно определить ваше местоположение, даже если вы используете VPN-соединение. Более того, провайдер может собирать информацию о том, какие сайты вы посещаете. Лирическое отступление №1 — для тех, кто не знает, что такое DNS: DNS (Domain Name System) — система преобразования доменных имен в IP-адреса. Грубо говоря, есть какой-то ресурс. У него есть домен вида "example.com". К этому доменному имени привязаны определенные IP-адреса конкретных серверов, к которым будет обращаться ваше устройство. За такое преобразование как раз и отвечают DNS-серверы: вы им — домен, они вам — IP-адрес. Так вот. Владелец DNS-сервера (в данном случае — провайдер) может собирать информацию о посещаемых вами ресурсах и, в общем-то, легко может передать эту информацию спец. службам и прочим государственным органам.  Лирическое отступление №2 — давайте поменяем вам DNS-серверы:  Не важно, используете вы VPN или нет — в любом случае пропишите себе человеческие DNS-серверы. CloudFlare предоставляют отличный DNS 1.1.1.1 и 1.0.0.1, которые не хранят информацию о запросах, да ещё и к тому же, самые быстрые. Но давайте вернёмся к нашим баранам, кхе-кхе, т.е. к Canonical. После ряда экспериментов и исследования сообщений о подобных проблемах у других пользователей, оказалось, что это баг самой операционной системы Ubuntu, причем в последних версиях, после очередного обновления пакета network-manager. Багу уже год (!!!), он имеет наивысший приоритет (!!!), но всё ещё (!!!) не исправлен. Я в очередной раз удивляюсь халатности Canonical и не понимаю, как можно допускать такие вещи и так долго их не исправлять.  Разумеется, это исправляется некоторыми танцами с бубном (т.е. костылями). Можно отредактировать тот же OpenVPN-профиль дописыванием пары строк — это исправит ситуацию в Ubuntu, но сделает тот же OpenVPN-профиль несовместимым со многими другими операционными системами. Ужас, одним словом — вот пользовался человек VPN, был уверен в безопасности, а потом Ubuntu выпустила минорное обновление пакета и всё, никакой приватности и анонимности. Страшная вещь, конечно же. Мы, кстати, делаем свой VPN. Почитать про него подробнее и купить его можно здесь.
Читать

Сайберсекьюрити и Ко.
28.11.2018 17:11
И еще немного полезных курсов Microsoft вам в ленту! В продолжение темы с обучением администрированию ПО от Microsoft, корпорация из Редмонда предлагает еще один онлайн-курс «Администрирование Microsoft 365. Развертывание Microsoft 365 через веб-интерфейс и PowerShell. Настройка современных средств защиты». Лучшие специалисты Ability и Microsoft расскажут о best practices в настройке и администрировании Microsoft 365, как обеспечить надёжную защиту корпоративных данных, как управлять всем этим добром через PowerShell и многое другое. Курс ориентирован как на руководителей IT-департаментов, так и в целом, на администраторов корпоративных сетей. Регистрация на курс: https://aka.ms/pw7_tg15
Читать

27.11.2018 17:11
Бесполезная капча на сайте «Почты России» Минутка развлечений. Моя дорогая бывшая коллега сделала пост негодования по поводу капчи на сайте «Почты России». Мало того, что в мобильном приложении такой капчи нет (что делает её абсолютно бессмысленной), так еще, как оказалось, и на самом сайте она не помогает работает. Я немного поэкспериментировал с ней и выяснил, что если в форме восстановления пароля, например, ввести любую строку с пробелом в качестве "символов с картинки", то серверу абсолютно всё равно, правильная капча или нет. От какой мифической угрозы защищаются в «Почте России» в ущерб User Experience или вовсе капчу поставили как оберег от злых духов — не ясно. Я записал короткую GIFку с демонстрацией процесса. Аня до почты достучаться не смогла, поэтому помогаю ей распространением её негодования. Её исходный пост здесь: https://t.me/theyforcedme/551
Читать

Сайберсекьюрити и Ко.
27.11.2018 14:11
Как стать IT-администратором 2.0? Как прокачать себя как администратора Windows-сетей? Как обеспечить безопасность такой корпоративной сети? Microsoft и онлайн-университет Нетология приглашают всех желающих в Школу Современного IT-администратора. Ведущие специалисты расскажут, как защищаться от современных угроз малым и средним компаниям, о том, как предотвратить утечки информации, как развернуть своб собственную облачную инфраструтуру и многое-многое другое. В первую очередь, курсы будут полезны системным администраторам и IT-специалистам, работа которых связана так или иначе с продуктами Microsoft — лучшие специалисты Microsoft MVP расскажут в подробностях обо всех возможностях программного обеспечения и способах применения таких возможностей. По результатам курса вы получите именной сертификат от Нетологии. И всё это — бесплатно. Регистрация на курс: https://goo.gl/M1quVt
Читать

Сайберсекьюрити и Ко.
26.11.2018 11:11
Наш дорогой друг и соратник, а также брат по несчастью Филипп Кулин участвует в борьбе за «Премию Рунета 2018». Борьба с бессмысленными блокировками Роскомнадзора заключается в лицах. Одно из таких лиц — наш дорогой друг, Филипп Кулин (он же — Фил). Фил сделал многое — от бесконечного числа публикаций, с подробными разборами полётов того, как и что блокируют российские интернет-цензоры, до наглядной аналитики блокировок и графиков, где в один прекрасный момент отстучали морзянкой слова «DIGITAL RESISTANCE». На сотнях таких энтузиастов, как Фил, держится та самая борьба за здравый смысл. Чей-то вклад больше, чей-то меньше. Но одно однозначно ясно — Фил однозначно заслужил Премию Рунета 2018 в номинации «Народный Интернет-Проект». Поэтому я призываю всех своих подписчиков зайти на сайт премии и проголосвать за проект «Эшер II» и поддержать нашего чемпиона. Кстати, делать это можно каждый день. Искренне поддерживаю энтузиастские начинания Фила, желаю ему удачи и голосую за него. И вам советую. Голосовать здесь: http://kto-chto-gde.ru/premiaruneta/
Читать

Сайберсекьюрити и Ко.
20.11.2018 15:11
Курс «Цифровая подпись в ИБ» начинается уже 22 ноября! Очень рекомендую всем, кто хочет, что называется, погрузиться с головой в Сайберсекьюрити. Запишитесь и займите своё место уже сейчас: https://otus.pw/714Z/ #реклама
Читать

Сайберсекьюрити и Ко.
19.11.2018 17:11
Читать

Сайберсекьюрити и Ко.
19.11.2018 17:11
Чем я занимаюсь? Как вы могли заметить, дорогие читатели, в последнее время у меня не так много постов в моём канале. Причина тому — мой проект, над которым мы трудимся всей командой нашей небольшой эстонской компании @VeeSecurity (да, именно мы когда-то предоставляли доступ нашему прокси для Telegram — сейчас прокси-сервисы утеряли свою популярность, поэтому мы сосредоточились на чём-то новом). Именно этому проекту я и уделяю всё свободное (и не только) время. Мы разрабатываем Connecto VPN — наш проект быстрого, дешевого и, главное, безопасного VPN-сервиса. За последние несколько месяцев мы сделали многое: с командой мы спроектировали и воплотили собственную IT-инфраструктуру с упором на безопасность, поддержку всех популярных и не очень протоколов, от OpenVPN и IKEv2/IPsec до OpenConnectа. Иногда, идея обезопасить всё у нас доходила до фанатизма: мы проектировали свою собственную сеть и ПО с недоверием к каждому из наших собственных серверов, подразумевая, что даже если какой-то из них будет скомпрометирован — пользователи не пострадают. В общем, вкладываем всю любовь и душу в этот проект — относимся к нему, как к общему ребёнку нашей команды. В этом месяце мы сделали несколько обновлений: добавили новую локацию в США, разработали приложения для iPhone и macOS (они уже на пути к вам), создали с нуля свою собственную тикет-систему поддержки пользователей и перевели наш сайт на русский язык. Я буду рад, если вы оцените то, что мы делаем. Более того, ваша конструктивная критика и предложения крайне приветствуются — присылайте их напрямую мне, на ceo@veesecurity.com. Попробуйте: https://goo.gl/gGAm91
Читать