Как я сходил на Security Meetup от Mail.ru

9 апреля Mail.ru организовал небольшую встречу ИБшников у себя в офисе. Формат встречи был выбран весьма удачно: после работы, несколько неглубоких и средних по продолжительности докладов где-то на 2 часа в сумме, большие перерывы и бесплатная еда. Есть время как послушать других, так и пообщаться с коллегами (или поесть!).

В общем, больше всего меня впечатлили не сами доклады (о них можно почитать в отчете Мылару на Хабре), а организация собрания и офис компании.

И ещё раз про Gemalto

Я уже писал свои мысли и чувства про взлом Gemalto, но этих самых мыслей накопилось вот ещё на один пост.

Давайте представим, что GCHQ поимело Gemalto полностью, как написано на их слайде (надо, правда, учесть, что слайды делаются для руководства, а значит успехи GCHQ могут быть преувеличены).

Что тогда? Какие риски и возможные последствия могут наступить для нас с вами?

Подобный анализ будет так же полезен тем, что он может показать насколько вся наша инфраструктура уязвима в случае компрометации всего одного вендора.

Пару трюков для владельцев Sony Playstation

1. Покупайте игры на отдельный аккаунт. Так их легче потом дать поиграть другу или продать. Если аккаунт активирован в системе, то в его игры могут играть все остальные аккаунты. Сейвы и трофеи при этом идут на активный аккаунт (на ваш основной). Система поддерживает одновременно до 16 аккаунтов!

Покупайте чужие аккаунты с играми осторожно, ибо аккаунт контролирует тот, кому принадлежит ящик. Часто так же продают ворованные аккаунты. Будьте осторожны.

2. Покупайте игры на двоих или на троих. Есть группы в социальных сетях, которые организуют такие "закупки".

3. Покупайте.. в Украине! Создавайте украинские PSN аккаунты, привязывайте русские карты, покупайте игры на русском (украинского в PSN все равно нет) в гривнах. Из-за разницы в курсе выходит почти в 2 раза дешевле.

нужна карта украинского банка :(

4. Халявную подписку PSN+ можно раздобыть так:
- регистрируешь новый аккаунт;
- активируешь его на своей приставке (тогда действие подписки распространяется на все остальные аккаунты);
- привязываешь карту и покупаешь пробную бесплатную подписку PSN+ на 14 дней;
- убираешь в настройках PSN аккаунта галку "автоматически пополнять кошелек";
- через 14 дней повторяешь процедуру с новым аккаунтом.

Веселых вечеров! :)

Парсим базу угроз ФСТЭК

Как мы знаем, ФСТЭК на днях запустил портал с угрозами и уязвимостями ГИС/АСУ ТП.
Идея отличная, содержимое любопытное, но форма отображения не совсем удобна.

Кликать по каждой ссылке чтобы посмотреть каждую угрозу очень неудобно. Гораздо удобнее иметь все угрозы и уязвимости в одном файле, из которого их можно автоматически выуживать в соответствие с заданными параметрами. Для этого подойдет XLS, XLSX, XML, но никак не HTML.

Конкурентная разведка от Масаловича

В среду был на бесплатном семинаре Андрея Масаловича по конкурентной разведке.
Это уже третий раз когда я слушаю одного и того же спикера с одной и той же темой и если будет четвертый раз - то я обязательно пойду снова :).

Очень немного у нас людей в сфере ИБ, которые могут 3 часа свободно удерживать аудиторию от засыпания при наличии бесплатного вайфая. И это без "крутых презенташек с котиками", "конкурсов на внимательность" и прочей лабуды, а исключительно за счёт собственной харизмы и знаний, как и должно быть.

Сравнение bugbounty программ от Яндекса и Мэил.ру

В октябре прошлого года я делал анализ утекших паролей Яндекса и Мэил.ру. Как выяснилось, многие ящики были не заблокированы службами безопасности (например, клиенты "Яндекс.Почта для домена", "Mail.ru для Бизнесса", а так же множество ящиков "@inbox.ru@mail.ru", "@mail.ru@mail.ru" и т.д.) по причине недостаточно внимательной работы с утёкшей базой.
Сразу после публикации статьи мне пришла в голову идея написать им в службу безопасности, так как у этих компаний есть действующие программы bugbounty.

Пару мыслей про взлом Gemalto

Мне вот интересно, кто и как решает какую новую порцию сливов "от Сноудена" опубликовать? Имея на руках "сотни мегабайт материалов АНБ", у вас, вероятно, есть выбор, чье грязное белье выставить на публику сегодня.
Причем в некоторых случаях комментарии от самих компаний поступают мгновенно, а в других случаях (как это, например, и произошло с Gemalto) официального пресс-релиза приходится ждать неделю. Почему так? Может быть, одних придупреждают заранее, а другим решают устроить "сюрприз"?
Эти публикации всегда сопровождаются шумихой на бирже. Акции компании падают, и те, кто подготовился к этому заранее, могут неплохо заработать.
Вот и взлом Gemalto произошел в весьма интересное время.

Новости ФСТЭК с ТБФорума

Я редко пишу о новостях, вся суть которых сводится к изменениям, которые ждут нас в будущем. Дело это неблагадарное, ибо не раз уже случалось так, что это самое будущее не наступало или серьезно отличалось от заявленного. Вспомните, хотя бы, историю с поднятием штрафов за ПДн....

Но сегодня, пожалуй, можно сделать исключение.

Вся правда об аудите

Все чаще и чаще в сфере ИБ начинают рассматривать Аудит как форму внешнего контроля эффективности. В таких случаях важно понимать особенности и ограничения аудита, чтобы не остатьcя потом с разбитым корытом.

Навигация в походе

Так уж случилось, что спутниковая навигация в горном туризме приживалась долго.