Безопасность для всех

38. Один в поле не воин Apr 15, 2022

Процесс разработки ПО не такой простой, как может показаться. Он состоит из нескольких крупных стадий. Сначала появляется идея. Потом продумывается архитектура - из каких компонентов будет состоять продукт и как эти компоненты будут взаимодействовать между собой. Только после этого пишется код. Когда он написан, наступает фаза тестирования. Затем продукт выпускается и поддерживается. Потом придумывается новая функциональность и все начинается сначала. В ходе разработки приходится решать большое количество проблем и придумывать разные решения. Разработчики больше сосредоточены на функциональности приложения, и не всегда удается уделить достаточное время безопасности. Сегодня я расскажу, какие есть подходы к разработке более безопасного ПО.

37. Это я, почтальон Печкин May 11, 2020

Сегодня я расскажу про почтовый сервис ProtonMail. Он предоставляет возможность шифрования почты для своих пользователей. А также позволяет послать зашифрованное письмо внешнему адресату, который использует почтовый сервис без поддержки шифрования. Давайте разбираться, как это реализовано в ProtonMail.

36. 7 раз подумай, 1 кликни Apr 04, 2020

Весь мир переживает непростое время. Коронавирус и, судя по всему, финансовый кризис затронули практически всех. Разные страны, разные слои общества. Как обычно и бывает некоторые люди начинают разводить панику и публиковать несуществующие новости или преувеличивать факты. А на фоне финансового кризиса и страха нередко возрастает число мошенничеств. Сегодня я хотел бы поделиться одним простым правилом, которое уже упоминал в выпуске про фишинг. Звучит оно так: “если нашли вы - хорошо, если нашли вас - плохо”. Если вы сразу поняли его суть, это просто отлично. Если нет, то продолжайте слушать, сейчас расскажу, что я имею в виду.

35. Выпуск новостей Mar 06, 2020

В сегодняшнем выпуске: исправлены уязвимости в Google Chrome; атаки на голосовых ассистентов через ультразвук; уязвимость в Apache Tomcat; рекомендации Google для Android разработчиков; DNS через HTTPS в Firefox.

34. С глазу на глаз Jun 27, 2019

Сегодня я расскажу про протокол для мгновенного обмена сообщениями, который обладает одним интересным свойством - возможностью отказа от авторства сообщения.

33. Побег из виртуальности Nov 25, 2018

Новое Android API для обновления приложений; побег из гостевой системы VirtualBox; проблемы с аппаратным шифрованием SSD накопителей.

32. А нам параллельно! Nov 15, 2018

Две уязвимости в чипах Bluetooth Low Energy от Texas Instruments; выполнение скриптов через встроенное видео в Microsoft Word; мессенджер Signal будет шифровать данные об отправителе; атака PortSmash на процессоры Intel.

31. Ты из какой песочницы? Nov 12, 2018

Протокол DNS через HTTPS получил номер RFC; исправлено несколько уязвимостей в Drupal; проблемы с безопасностью в мессенджере Signal; вредонос для macOS внедряющий рекламу; удаленное выполнение кода в DHCPv6 клиентах systemd; Windows Defender теперь может запускаться в песочнице.

30. Кто сильнее? Oct 26, 2018

В медиа библиотеке live555 обнаружено удаленное выполнение кода; уязвимости в операционной системе для компактных устройств; обход аутентификации в libssh; отказ браузеров от поддержки TLS 1.0 и 1.1 в 2020 году.

29. Минус Google+ Oct 19, 2018

Уязвимость в WhatsApp позволяет скомпрометировать устройство при ответе на звонок; вторник патчей от Microsoft и Adobe; облачный бэкап Android устройств будет шифроваться; нововведения от Google для защиты данных пользователей.

28. Красная уроза Oct 12, 2018

Атака FASTCash на банковские терминалы; новые методы обеспечения безопасности расширений в Chrome; обход пасскода на iPhone; ботнет GhostDNS; после обновления Windows 10 у некоторых пользователей исчезли их файлы; посторонние компоненты найдены в серверах SuperMicro; ГРУ обвиняют во многочисленных компьютерных атаках.

27. Новости Oct 05, 2018

Ботнет Hide ‘N Seek атакует Android устройства; две уязвимости в ядре Linux, приводящие к локальному повышению привилегий; взлом аккаунтов пользователей Facebook; новая активность ботнета VPNFilter.

26. Холодный расчет! Sep 28, 2018

Опубликован эксплоит, который может перезагрузить iPhone; украдены данные платежных карт пользователей с сайта Newegg; новый вариант атаки методом холодной перезагрузки (cold boot attack); удаленное выполнение кода на macOS с использованием обработчиков нестандартных адресов ресурсов (URL).

25. Трансляция сетевых адресов Sep 21, 2018

Вторник патчей Microsoft; уязвимость в Tor браузере; исследователи научились угонять автомобили Tesla; ботнет Hakai набирает обороты.

В конце я расскажу про технологию трансляции адресов (NAT), которая используется во многих роутерах.

24. Не переключайтесь! Sep 14, 2018

Cisco исправила уязвимости в своих продуктах; утечка данных с сайта Британских Авиалиний; исправлены 3 уязвимости в Wireshark; банковские трояны в Google Play; взломано расширение Mega для Chrome; приложение из AppStore шпионит за пользователями macOS; а Google отслеживает покупки с помощью данных от MasterCard.

23. Мы пойдем другим путем! Sep 06, 2018

Утечка данных пользователей Air Canada; в Twitter опубликована неисправленная уязвимость в Windows; из Google Play удалено 127 вредоносных приложений; кража данных платежных карт на зараженных сайтах.

Основная тема - атаки по сторонним каналам (Side Channel Attacks).

22. Горе луковое Aug 30, 2018

Новый вектор атак на Android приложения; 16-летний подросток смог взломать сервера Apple; удаленное выполнение кода в Apache Struts; внеочередное обновление Photoshop CC; украдены данные 2 миллионов пользователей оператора T-Mobile.

Основная тема - TOR (The Onion Router)

21. У вас есть бесплатный Wi-Fi? Aug 23, 2018

Вторник патчей от Microsoft; обновления для продуктов Adobe; уязвимости в прошивках Android, CMS WordPress и Typo3; а также уязвимость нулевого дня в macOS.

Основная тема - безопасность Wi-Fi сетей.

20. Выпуск новостей Aug 16, 2018

В Лас-Вегасе прошли две крупные хакерские конференции; исследователь получил доступ к коммитам в репозитории Homebrew; в сеть попали исходники Snapchat; возможность подделывать сообщения в групповых чатах WhatsApp; данные пациентов в открытом доступе; Android версия игры Fortnite не будет доступна в Play Market; уязвимость в TCP-стеке Linux и FreeBSD приводящая к отказу в обслуживании; арестован участник группы ворующей мобильные телефонные номера.

Новостей много и они располагают к тому, чтобы остановиться на них подробнее, поэтому я ограничусь только только ими.

19. Невидимый секрет Aug 09, 2018

Chrome начал помечать HTTP сайты как незащищенные; Android приложения зараженные малварью для Windows; похищены данные пользователей Reddit; обновление безопасности для принтеров HP; зараженные роутеры Mikrotik используются для майнинга; уязвимость в CMS Drupal.

Основная тема - алгоритм Диффи-Хеллмана.

18. Content Security Policy Aug 02, 2018

Новая уязвимость в протоколе Bluetooth; Исправлены уязвимости в Apache Tomcat; Google запускает U2F ключи собственного производства; Борьба с криптомайнерами в Google Play Store.

Основная тема - Content Security Policy или по-русски Правило ограничения домена.

17. Кто наследил? Jul 26, 2018

Взломан аккаунт певицы и актрисы Селены Гомез; Microsoft запускает новую программу вознаграждений для сервисов идентификации; ботнет из 18 000 устройств за один день.

Основная тема - как сайты отслеживают пользователей и как нам от этого защищаться.

16. Межсайтовый скриптинг Jul 19, 2018

Июльский вторник патчей от Microsoft; скомпрометирован сайт программы для удаленного доступа AmmyAdmin; фирму-аудитора безопасности обвинили в недостаточной проверке приведшей к утечке данных; утечка данных с сервиса опросов Typeform; нюансы нового режима USB Restricted Mode в iOS 11.4.1; взлом хостера DomainFactory; локальное повышение привилегий в системе печати CUPS; $10 за доступ к системам безопасности аэропорта.

Основная тема - XSS (Cross Site Scripting)

15. Золотой ключик Jul 12, 2018

Взломан Github аккаунт команды Gentoo Linux; Twitter внедряет двухфакторную аутентификацию по USB ключу; почту Gmail могут читать сторонние разработчики.

Основная тема - двухфакторная аутентификация с использованием физических устройств.

14. На радиоволнах Jul 04, 2018

Утечка платежных данных с сайта Ticketmaster; два подростка арестованы за взлом более 500 000 аккаунтов; уязвимость в WordPress позволяет удалять файлы с сервера; с Docker Hub удалены образы с бэкдорами; в протоколе LTE выявлены уязвимости.

Основная тема - Software Defined Radio

13. VPN Jun 27, 2018

Как взломать стримера, macOS сохраняет содержимое зашифрованных файлов в кеше, а устройства Google Home и Chromecast раскрывают местоположение владельца.

Основная тема - виртуальные частные сети (VPN).

12. Сертификаты Jun 21, 2018

Уязвимость в Cortana позволяет сменить пароль на заблокированной системе, Microsoft исправила 50 уязвимостей в рамках вторника патчей, некоторые продукты и сервисы неправильно проверяют подписи приложений для macOS.

В качестве основной темы я решил рассказать о сертификатах.

11. Руссо туристо Jun 14, 2018

В большом количестве программ найдена уязвимость в функциональности работы с архивами; unicode используется для фишинга через SMS; удаленное выполнение кода в клиенте игрового сервиса Steam; подробности о вредоносах Nocturnal Stealer и BackSwap.

Также я расскажу о рекомендациях, которые помогут сделать вашу цифровую жизнь в отпуске или командировке более безопасной.

10. Ловись рыбка большая и маленькая Jun 06, 2018

В Москве прошла конференция по безопасности PHDays, уязвимости в наборе утилит procps-ng и технологии шифрования памяти виртуальных машин от AMD. А также уязвимость выполнения кода в системе управления версиями Git.

Основная тема - фишинг и способы защиты от него.

9. Пока все дома May 29, 2018

Голосовые помощники могут воспринимать неслышимые человеком команды; голосовой ассистент Alexa отправила запись разговора постороннему лицу; найдены уязвимости в автомобилях BMW; атаки на устройства интернета вещей; полумиллионный ботнет и поддельные DNS в настройках роутеров.

Основная тема - как нас защищают браузеры. Same Origin Policy.

8. Шифрование e-mail May 23, 2018

Adobe закрыла 48 уязвимостей в Acrobat, Reader и Photoshop; в мессенджере Signal для компьютеров обнаружены уязвимости, раскрывающие сообщения; удаленное выполнение кода через DHCP клиент обнаружено в дистрибутиве RHEL; обнаружена фишинг компания нацеленная на пользователей Apple.

Сегодняшняя основная тема берет начало в нашумевшей новости об уязвимостях в протоколах шифрования почты (OpenPGP и S/MIME).

7. Sorry, but you cannot eat them May 16, 2018

Содержимое сообщений мессенджера Signal может оставаться в центре уведомлений macOS; ошибка в шифровальщике GandCrab ломает загрузку Windows 7; удаленное выполнение кода в 7-zip и Microsoft Exchange Server; малварь, ворующая сохраненные пароли из Chrome и Firefox; новая технология беспарольного логина в Firefox.

Основная тема выпуска - cookies и с чем их едят. Или не едят…

6. Двухфакторная аутентификация May 08, 2018

Amazon пригрозил заблокировать аккаунт мессенджера Signal, опубликован PoC для Windows, вызывающий падение системы, локальное повышение привилегий в Linux, уязвимость в WebEx проигрывателе от Cisco, Gihub и Twitter писали пароли во внутренние логи в открытом виде.

В конце я расскажу про двухфакторную аутентификацию - какие варианты бывают и какие у каждого из них есть достоинства и недостатки.

5. Я бы в летчики пошел... May 02, 2018

Функцией синхронизацией в iOS нужно пользоваться аккуратно. Полиция закрыла крупнейший сервис, продающий атаки отказ в обслуживании. Найдена возможность создавать мастер ключи к электронным замкам в отелях. В Drupal найдена еще одна проблема за последние несколько недель.

4. Основы криптографии Apr 24, 2018

Обнаружены очередные поддельные расширения для браузера Google Chrome, часть пользователей установили эти расширения. Власти Канадской провинции Новая Шотландия выложили конфиденциальные данные в открытый доступ. Google закрывает возможность обхода блокировок через свои домены, а Volkswagen Group исправила уязвимости в автомобилях.

3. Сим-сим, откройся... Apr 17, 2018

Сегодня новости в основном про уязвимости и патчи. Проблемы нашлись в менеджере паролей CyberArk Enterprise Password Vault, а Microsoft выпустила плановое обновление безопасности. Мы узнаем, все ли производители смартфонов на Android добавляют патчи безопасности в прошивки своих устройств. Последняя новость будет про то, как T-Mobile Австрия хранит пароли в базе.

На этой неделе я решил поговорить о паролях. Эта тема достаточно щекотливая. О паролях можно говорить долго, заходить с разных сторон - смотреть на них с точки зрения пользователей или разработчиков. Кто-то может посчитать озвученные сегодня доводы и предложения чересчур упрощенными и недостаточными или же наоборот, слишком сложными. Несмотря на это, я решил, что уж лучше расскажу не все и с небольшими недостатками, чем вообще ничего не расскажу :)

2. Как вы яхту назовете... Apr 10, 2018

Новости об очередных утечках персональных данных, прошедшем в Mail.ru митапе по безопасности, опасной уязвимости в Windows и открытии нового DNS сервера компанией CloudFlare.

Основной темой выпуска будет DNS и его расширения и предполагаемые заместители: DNSSEC, DNSCrypt, DNS over TLS, DNS over HTTPS.

1. Если хочешь быть здоров, обновляйся Apr 03, 2018

Анализ использования уязвимостей за 2017 от компании Recorded Future,

Microsoft исправила Meltdown, очередной баг Apple, связанный с паролями. В конце поговорим про обновления - стоит их ставить и как скоро.

Our TOPPODCAST Picks

Follow Us

Stay Connected

Безопасность для всех

Related Podcasts

Links

Stay Connected