Анонс. Конференция "Информационная безопасность в банковской сфере"

29 апреля в Краснодаре состоится конференция, посвященная информационной безопасности в банковской сфере (и не только). С программой можно ознакомится тут (там же и заявку на бесплатное участие можно оставить!).

А что там будет?

Мой взгляд на фотоконкурс VI Уральского форума

Вчера закончился фотоконкурс, который проводил организатор IV Уральского форума "Информационная безопасность банков" (я писал о нем тут и тут) компания АВАНГАРД ЦЕНТР. Участникам форума предлагалось отправить свои фотки на конкурс и побороться за главный приз - айпад.

Я выиграл в этом конкурсе сертификат на авторский курс от учебного центра "Информзащита", но написать я хотел о другом.

Криптографию - ФСТЭКу!

Побывав на Уральском форуме, я сделал для себя важный вывод: два кресла в президиуме были заняты совершенно не тем ведомством, которое это заслуживает.

WinXP RIP

Маховик капитализма закручивается все быстрее и быстрее, заставляя нас сокращать циклы производства и потребления. Вот и пришла очередь отпевать WinXP и MSO 2003 - последний офис, для которого формат doc (без x) был родным.

Гигабаг в OpenSSL

Вчера ночью кибермир потрясла новость о серьезном баге в программе OpenSSL.
В этой новости прекрасно всё:
и то, что баг позволяет любому человеку считывать оперативную память удаленного сервера,
и то, что баг позволяет серверу считывать память браузера пользователя,
и то, что успешная атака никак не отразится в логах,
и то, что уязвима по некоторым оценкам треть всех https серверов, ДБО, bitcoin, TOR и I2P,
и то, что баг существовал 2 года,
и даже то, что авторы OpenSSL выпускали столь серьезный и простой патч аж полгода (!)

Теперь подробнее.

РКН решил взяться за блоггеров

Сегодня нашел вот такое письмо в своем почтовом ящике

Или это чья-то злая шутка, или РКН действительно решил взяться за блоггеров. В конце концов один раз они уже пытались блокировать мой сайт за экстремизм. На всякий случай прилеплю ка я к блогу политику обработки персональных данных и шаблоны согласий на обработку ПДн посетителей. Если кто будет оставлять комментарии, пожалуйста, заполните согласие, отсканируйте и вышлите мне на почту root@itsec.pro!

А вообще каждому блоггеру советую отправить уведомление в Роскомнадзор. Я думаю именно это они и использовали как повод чтобы внести меня в план проверки.

Следи за паролями

Это удобно, когда на телефоне отображается твой баланс, оставшийся объем трафика, количество бесплатных минут и смс, курсы валют, твой банковский счет и многое другое. 

Все это умеет отличная программа AnyBalance (Android), ну или ей подобные. Программа отправляет запросы с заданным интервалом на сервера Мегафона, МТС, Сбербанка (всего более 800 различных провайдеров) через вызовы сетевого API, а иногда и просто парсит вебстраничку личного кабинета, выдирая из нее нужные поля, которые затем отображаются на экране телефона в виде виджетов.

Мне было интересно посмотреть, как работают эти вызовы, и вот что я нашел.

Новости криптографии. Scrypt.

Криптовалютный бум серьезно подгоняет криптографов. Появление специализированных чипов, предназначенных для вычисления хэшей SHA256, необходимых для генерации биткоинов, привнесло в наш мир такие скорости перебора, что все прогнозы криптостойкости различных криптоалгоритмов хэширования пора потихоньку отправлять на свалку. Хоть оборудования для майнинга криптомонет и не предназначено технологически для любых других целей, сам факт существования дешевых и суперэфективных чипов для подбора хэшей говорит о многом.

Мой телефон - моя крепость

Количество смартфонов превысило количество персональных компьютеров.... Android стал самой распространенной операционной системой в мире.... к 2020 году 80% вебтрафика будет с мобильных устройств... Мобильные ботнеты и кражи через мобильный банк становятся восходящим ИБ трендом...

Угадайте, какое устройство знает пароли от вашей почты и социальных сетей? Какое устройство имеет доступ к мобильному банку и СМС с проверочными кодами? Какое устройство отслеживает ваши перемещения и знает ваши контакты?  Какое устройство оснащено камерами и чувствительным микрофоном? Какое устройство вы постоянно носите с собой и ставите на зарядку рядом с кроватью когда спите?

Логично предположить, что сегодня и в будущие годы фокус вашей личной информационной безопасности будет сконцентрирован на вашем телефоне.

Сервис публикации bugbounty программ BugHunt

Сегодня мы запускаем наш новый офигенный сервис - BugHunt.

Сервис позволяет запустить bugbounty программу в любой организации (да хоть у ИП!), так как все юридические и технические сложности мы берем на себя. Для багхантеров сервис будет полезен тем, что освободит их от необходимости пробиваться через спам-фильтры, уберет Дамоклов меч в виде УК РФ, и гарантирует выплату вознаграждений за найденные дыры. Для организаций появится отличная возможность проверить свой сайт, потратив на это гораздо меньше денег, чем стоит пентест у организации-аудитора (и с большим КПД!).