Security Week 03: закат SHA-1 продолжается, баг или фича в Whatsapp, уязвимости в роутерах не чинятся

Автор: admin от Вчера, 10:50, посмотрело: 19

Security Week 03: закат SHA-1 продолжается, баг или фича в Whatsapp, уязвимости в роутерах не чинятсяSHA-1 — все. Или нет? Следить за развитием событий вокруг этого алгоритма хеширования легко и приятно: несмотря на очевидную серьезность проблемы, она остается малоприменимой для практических атак, как минимум — массовых. Впервые я упоминал о SHA-1 в дайджесте аж от октября 2015 года. Проблемы с ним появились из-за того, что вычислительные ресурсы подешевели несколько быстрее, чем ожидалось. Эксперт по криптографии Брюс Шнайер в 2012 году предрекал, что через три года для создания коллизии при генерации хэшей потребуется 11 лет вычислений на условном сервере. Три года прошли, и выяснилось, что на самом деле (за счет развития технологий параллельных вычислений, и благодаря новым исследованиям в области криптографии) этот срок значительно меньше — всего 49 дней.

Так как хеширование с помощью SHA-1 используется в весьма ответственных операциях, например при установке защищенного соединения с веб-сайтами, разработчики софта довольно оперативно начали делиться планами по выводу ненадежного алгоритма из эксплуатации. Начиная с 24 января (для Firefox, для других браузеров чуть позже) посещение сайта, не поддерживающего более стойкий алгоритм SHA-2 (обычно модификации SHA-256), будет приводить к разнообразным угрожающим предупреждениям у пользователей.

Категория: Информационная безопасность

 

По ту сторону баррикад вредоносного ПО. Исповедь малварщика

Автор: admin от 20-01-2017, 10:50, посмотрело: 16

По ту сторону баррикад вредоносного ПО. Исповедь малварщика

Приветствую, %хабраюзер%. Решил ненадолго оторваться от форумных войн и работы, написав на Хабр статью о вредоносном ПО. Но статья эта будет необычная, так сказать — по другую сторону баррикад. Так уж сложилось, что на жизнь зарабатываю разработкой ПО. Вредоносного.

Категория: Информационная безопасность

 

VulnHub: USV 2016. CTF в Румынии, какие они?

Автор: admin от 19-01-2017, 07:00, посмотрело: 20

VulnHub: USV 2016. CTF в Румынии, какие они?
Всем доброго времени суток, в этой статье рассмотрим решение Румынского CTF-USV 2016, на тему: «Игра престолов». Скачать образ виртуальной машины можно по ссылке с VulnHub.
Если вам интересно как проходят межвузовские CTF в Румынии, прошу под кат

Категория: Информационная безопасность

 

SQL инъекция в GitHub Enterprise

Автор: admin от 18-01-2017, 09:25, посмотрело: 21

SQL инъекция в GitHub Enterprise

Привет Хабр,

Ниже рассказ автора Orange Tsai о том, как он целенаправленно искал уязвимость в корпоративной версии GitHub и в итоге обнаружил возможность SQL инъекции. Тут, на хабре, ранее уже публиковался перевод другой его статьи "Как я взломал Facebook и обнаружил чужой бэкдор".

Категория: Информационная безопасность

 

Интервью с Эдди Виллемсом (G Data Software AG): Смарт-безопасность и «Интернет неприятностей»

Автор: admin от 17-01-2017, 13:30, посмотрело: 23

Интервью с Эдди Виллемсом (G Data Software AG): Смарт-безопасность и «Интернет неприятностей»

В этот раз Технический директор антивирусной лаборатории PandaLabs Луис Корронс поговорил с Эдди Виллемсом, евангелистом по безопасности в компании G Data Software AG. Речь шла о безопасности в эпоху Интернета вещей.

Категория: Информационная безопасность

 

Как работают ИТ-специалисты. Евгений Бевз, компания «Смарт-Софт»

Автор: admin от 16-01-2017, 10:40, посмотрело: 18

Как работают ИТ-специалисты. Евгений Бевз, компания «Смарт-Софт»Мы продолжаем расспрашивать специалистов о режиме труда и отдыха, профессиональных привычках, об инструментарии, который они используют, и многом другом.

Будет интересно выяснить, что их объединяет, в чем они противоречат другу другу. Возможно, их ответы помогут выявить какие-то общие закономерности, полезные советы, которые помогут многим из нас.

Сегодня наш гость — Евгений Бевз, один из разработчиков ПО (в сфере информационной безопасности) компании «Смарт-Софт». В компании с 2010 года. Евгений работает удаленно и живет в Петрозаводске (Карелия).

Категория: Информационная безопасность

 

VulnHub: Реверсим всё что можно в DC416 Baffle

Автор: admin от 16-01-2017, 06:45, посмотрело: 41

VulnHub: Реверсим всё что можно в DC416 Baffle

Всем доброго времени суток, этой статьёй хотелось бы завершить серию DC416, CTF с конференции DefCon Toronto's. Оставив на десерт DC416 Baffle, на мой взгляд, самый интересный и хардкорный квест, предоставленный командой VulnHub.

Внимание! Впереди будет много реверса и бинарной эксплуатации!

Если вы к этому не готовы, то рекомендую для начала ознакомиться с предыдущими райтапами:


  • DC416 Dick Dastardly

  • DC416 Basement

  • DC416 Fortress

Категория: Информационная безопасность

 

Security Week 01-02: уязвимость в box.com, фишинг паролей в PDF, атаки на MongoDB

Автор: admin от 14-01-2017, 08:00, посмотрело: 34

Security Week 01-02: уязвимость в box.com, фишинг паролей в PDF, атаки на MongoDBПока редакция еженедельных дайджестов по безопасности пребывала в постновогодней прострации, по ландшафту угроз ароматным потоком растекался поток политики. Кибербезопасности в новостных заголовках и высказываниях политиков было очень много, но не будем поддаваться на провокации: чего-то влияющего на реальную защиту кого-либо в них не было. Разбирательство по поводу взлома Национального комитета Демократической партии США конечно как-то повлияет на сферу информационной безопасности, но вовсе не уверен, что в позитивную сторону. А значит продолжим следить за пусть менее громкими событиями, но чуть более наделенными интересными фактами.

Начнем с интересного приема фишинга при помощи PDF, о котором сообщил SANS Institute. При открытии документа в этом формате пользователю сообщается, что он «заблокирован» и предлагается ввести логин и пароль. Пароль затем отправляется на сервер злоумышленника. Интересных моментов тут два. Во-первых, это фишинг вслепую: пользователь может ввести пароль от учетной записи или от почты, или вообще непонятно от чего. Злоумышленников это не волнует: расчет на то, что пароль везде одинаковый.

Во-вторых, при попытке отправить данные на сервер Adobe Reader выводит предупреждение. А вот, например, встроенный в браузер Microsoft Edge просмотрщик пересылает введенную информацию молча, без объявления войны. Похожий метод (сообщение о якобы заблокированном контенте) применяется в аттачах в формате MS Word, но там это сделано, чтобы заставить пользователя выполнить вредоносный код.

Категория: Информационная безопасность

 

Обновление для межсетевых экранов Juniper открывает несанкционированный root-доступ к устройствам

Автор: admin от 13-01-2017, 08:50, посмотрело: 15

Обновление для межсетевых экранов Juniper открывает несанкционированный root-доступ к устройствам


Компания Juniper предупреждает пользователей своих межсетевых экранов SRX о том, что выпущенное системное обновление содержит критическую уязвимость в результате которой возможен несанкционированный root-доступ к устройствам. Уязвимы все системы, пользователи которых использовали команду «request system software» с установленной опцией «partition».

В своем первом в 2017 году бюллетене безопасности компания пишет о том, что в результате обновления «система может оказаться в состоянии, при котором root-логин для командной строки становится доступным без пароля». В зоне риска все системы, обновленные с Junos OS версий до 12.1X46-D65.

Категория: Информационная безопасность

 

Браузеры и app specific security mitigation. Часть 3. Google Chrome

Автор: admin от 12-01-2017, 09:30, посмотрело: 25

Браузеры и app specific security mitigation. Часть 3. Google Chrome


Мы продолжаем цикл статей о механизмах защиты браузеров от эксплойтов:



  • Введение

  • Internet Explorer & Edge


Давайте заглянем под капот браузера Chrome и выясним, что есть в его анти-эксплоит арсенале.

Категория: Информационная безопасность

 
Назад Вперед