Ну вот и все? Прощай зум? (наконец-то)

Telegram is 7 years old today – and we have a present for you. Yes, it's Video Calls. 🎁

Enjoy the update while we go back to doing the three most important things: adding new features, standing up for what we believe in and animating emoji.

Read more on our blog:
https://telegram.org/blog/video-calls

Сегодня воскресенье, а значит, сегодня опять пройдемся по лайту. В общем-то, то, о чём я хочу поговорить сегодня, сложно назвать новостью. Просто ребята из канала Эксплойт выложили интересный материал, и мне захотелось обратить на него твоё внимание и заодно протестировать на себе.

Как отличить матёрого безопасника от дилетанта? Первый никогда не оставит экран своего устройства незаблокированным, уходя по делам! Думаю, не нужно объяснять, что фотки чёрного властелина, заботливо установленные на твой рабочий стол сослуживцами — это только самая малая неприятность, в которой ты можешь оказаться из-за своей халатности.

Человеческий фактор уверенно держит первое место среди причин утечек служебной информации. А поскольку все мы люди, допустить оплошность может каждый.

И именно из-за этого в Windows 10 появилась функция динамической блокировки, которая позволяет заблокировать рабочее место, если пользователь отошёл от него.

В основе технологии лежит тот же принцип, что и в основе режима свободных рук в автосигнализациях. Только вместо брелка ты сам можешь выбрать устройство, которое постоянно носишь с собой, и привязать его по блютус. Обычно это, конечно, смартфон.

Примерно через минуту после того, как вы вместе со своим телефоном пропадёте из зоны видимости адаптера компьютера, система сама заблокирует рабочий экран.

Подробнее о настройке функции можно прочитать здесь.

Конечно, я нашел сразу несколько серьезных дыр в технологии.

Во-первых, современные Bluetooth-адаптеры довольно мощные и надёжные, а значит, смартфон пропадёт из зоны видимости системы гораздо позже, чем сам компьютер пропадёт из виду у тебя.

Во-вторых, время "пропал из видимости + 1 минута" — достаточное для черного властелина (если вы понимаете, о чем я).

Ну, и в-третьих, экран-то заблокировался, но когда я вернулся к рабочему месту, вместо ввода пароля, ноутбук потребовал от меня лишь легкого движения мышки и тут же ожил.

Поэтому, проще не забывать лочить экран, вот и все.

Кто о чем мечтает?

Вакансия мечты: вычислять негодяев, которые троллят Любовь Успенскую, и жестоко их наказывать.

Кто-нибудь расскажите ей про эффект Стрейзанд — а то сейчас старушке завалят директ🙈

Времна сейчас трудные, а старые проверенные методы работают. По крайней мере, до поры, до времени

Сегодня у нас будет небольшой, но интересный разговор о безопасности технической. Я бы даже сказал, механической.

Дело в том, что для злоумышленника, решившего обокрасть жертву, хороши любые средства. Например, существует технология подслушивания звука нажимаемых клавиш в банковском терминале, которая позволяет отследить интервал нажатия и, позднее, подобрать пин-код от карты.

Но если технология работает с терминалами, почему бы не применить её, например, к дверным замкам? И вот, в сети появилась соответствующая работа.

Основная идея технологии SpiKey как раз и состоит в подслушивании звуков, которые издают сегменты замка, когда в него вставляют ключ (кстати, вот и сам пример звука).

По мере вхождения ключа, каждый следующий элемент его контура задевает сегмент замка с определённым звуком. И, если рассчитать интервал между этими звуками, можно восстановить рельеф поверхности ключа.

Конечно, не однозначную версию ключа. Но из огромного количества вариантов система предложит всего три ключа-кандидата и выдаст их шаблоны для 3D-печати.

Обычные замки не обладают ограничением на количество попыток ввода ключа. Так что злоумышленник легко переберёт все полученные варианты и вскроет замок.

Владельцам ключей без нарезанного контура тоже не приходится расслабляться, так как технология уже расширена и для таких моделей замков.

Получается, что теперь нам придётся быть начеку, даже открывая дверь домой. Не стоит ли рядом какая-то сомнительная личность, которая может подделать наш ключ по звуку?

Тут подоспел полезный лонгрид от моих коллег. Читайте, наслаждайтесь, не скажу пользуйтесь, ведь мы делимся информацией в ознакомительных целях.

Я сегодня тоже решил не обходиться коротеньким постом в телегу. О простых вещах не всегда коротко удается написать. Короче, берегите свои пароли. https://telegra.ph/CHto-delat-esli-u-tebya-uveli-akkaunt-08-23

Кажется, я нашел еще один интересный материал тебе почитать на ночь. https://telegra.ph/Privatnaya-zona-08-23

Между прочим, вот. Школьники страдают, потому что не читают мой канал. Поделитесь ссылочкой со знакомыми школьниками, пусть просвещаются.

​​Каждый пятый ребёнок в России сталкивается с кражей его аккаунта в соцсетях или играх, говорится в исследовании «Лаборатории Касперского».

Каждый десятый — становится жертвой онлайн-мошенников

https://news.lenta.ch/FQlr

История из серии "Дорогу покажешь?"

На днях, Toyota заявила, что скооперируется с веб-сервисами Amazon (AWS), чтобы собирать информацию об автомобиле и водителе.

Для реализации своего плана Toyota собирается использовать "Модуль передачи данных" (DCM), который уже устанавливается компанией на автомобилях в США, Китае и, собственно, Японии. В настоящий момент, данные с этого модуля поступают в "Платформу мобильных сервисов", которая аккумулирует и обрабатывает информацию о состоянии автомобиля и уровне вождения его владельца. Идея проста и, если честно, не нова: коммерсы хотят дополнительно обеспечить безопасность водителя и пассажиров и заодно предложить щепотку новых услуг. Платных, само собой.

В случае с Amazon идея "слежки" совершенствуется. Компания заявляет, что через облачные сервисы информация будет поступать страховым компаниям, которые смогут оценивать поведение водителя и начислять ему, как положительные, так и отрицательные бонусные баллы.

И сама идея довольно хороша. Если ты водишь, как известное парнокопытное, то получай более дорогую страховку. Вероятно, в этом есть воспитательный эффект.

Однако, мы с тобой должны смотреть и на обратную сторону этой технологии. Например, по результатам проверки Trend Micro оказалось, что на автомобиль, имеющий доступ в сеть, может быть совершено почти 30 видов атак, 20% из которых могут представлять угрозу жизни водителя. При этом, на 2020 год таких машин насчитывается уже 152 миллиона, и за 10 лет их количество вырастет в 5 раз.

На данный момент, код управления состоянием автомобиля составляет добрую сотню миллионов строк. Под ним находятся взаимосвязанные модули, отвечающие за разные сегменты машины. Отследить уязвимость в такой системе, мягко говоря, не просто. Такие марки, как Jeep, Tesla и BMW уже столкнулись с проблемами критических уязвимостей в прошивке — от возможности удалённого отключения двигателя, ABS и усилителя руля до перехвата управления автопилотом.

На сайте так же предложена модель угроз и рекомендации для разработчиков автомобильного ПО.

Казалось бы, что может быть опаснее машины, которая на полном ходу может выйти из-под контроля? Ну разве что ружьё, которое "передумает" стрелять в самый ответственный момент.

Сегодня снова будет немного полезной информации, которую ты сможешь применить на практике вот прямо сейчас (пора вставатт и как начать применять).

Не секрет, что Windows 10 нашпигована решениями по защите информации. Совсем недавно мы тестили управление динамической блокировкой экрана, теперь поговорим о ещё нескольких фишках, которые можно использовать на твоём компьютере. Все подробности по включению опций, описанных ниже, можно подсмотреть в этой статье.

Итак, первая опция — это защита от потенциально нежелательных приложений. PUA-приложения — это приложения, которые сами по себе нельзя считать вредоносами. Их главная проблема состоит в том, что они как не в себя жрут ресурсы в фоновом режиме, с упорством эксгибициониста демонстрируют рекламу и подкачивают дополнительный софт (а вот это уже опасно!) Используя встроенный механизм сбора репутации приложений, Windows 10 научилась выделять аткие приложения и блокировать их. Одна проблема — опция эта совсем новая и на данный момент по умолчанию отключена. Так что придётся залезть и включить самостоятельно.

Вторая фишка — это функция целостности памяти. Основная её цель — обеспечить надёжность кода, выполняемого в ядре операционки. Система виртуализации позволяет отгородить ядро от нового ПО, проверить его целостность и уже дальше допустить к самым низкоуровневым процессам. Функция весьма и весьма полезная, но требует включения.

Не обошлось и без биометрии. "Windows Hello" позволит проходить авторизацию по отпечатку пальца или с помощью узнавания твоего лица. Механизм так часто использцемый в смартфонах, теперь доступен и на твоей домашней машинке.

Кроме того, винда также может сканировать подключенные сетевые диски на предмет различных аномалий. Но и эта функция по умолчанию отключена.

Как мне кажется, в Windows 10 появилась просто феерически крутая фишка — «Контролируемый доступ к папкам». Теперь, ты можешь ограничить использование отдельных данных, выставив дополнительный уровень защиты. Папка с ограниченным доступом будет недоступна, например, вымогателю и шифровальщику.

Последняя функция из этого списка пока что находится на стадии тестирования и, возможно, с её использованием следует повременить. DNS over HTTPS (DoH) принудительно шифрует трафик до сервисов доменных имён. Эта технология предполагает повышение уровня конфиденциальности в сети. Однако, сама идея DoH означает дополнительные трудности с выявлением вредоносной активности в случае, когда малварь уже заразила твой браузер.

В общем и целом, новые функции довольно интересны. И вероятно, вам есть, что добавить.

Хозяйке на заметку

Подглядел у ребят с CYBER HAT крутую фишку. Теперь хочу поделиться с тобой.

Среди множества технологий, из которых состоит информационная безопасность, отдельный пласт представляют механизмы сокрытия информации. Они нужны для того, чтобы утаить определённые данные, как объект, от излишне любопытных глаз. Мы называем такое сокрытие стеганографией.

Стеганографические методы, как и большинство методов ИБ, могут использоваться как в защитных, так и в мошеннических целях.

Часто злоумышленники прячут вредоносы внутри безобидных файлов — картинок, текстовых документов, презентаций и т.д. Такие ловушки подбрасываются ничего не подозревающим жертвам, которые открывают эти файлы и заражают свои машины.

Однако, желание укрыть важную информацию от посторонних глаз может быть вполне обоснованным и, наоборот, необходимым для защиты. Поэтому сегодня мы рассмотрим максимально простой метод помещения важной информации внутрь картинки для Windows.

Для начала, нужно сложить все файлы, которые ты хочешь спрятать, в одну папку. Затем заархивировать их прямо внутри папки Zip`ом или WinRAR`ом (пусть имя архива будет cmd1.rar). Затем в эту же папку кладём jpeg- или png-картинку (например, cmd.png).

Дальше — самое важное. Нажимаем win+r, пишем "cmd" или просто через пуск вызываем командную строку. С помощью команды cd переходим в папку и набираем в командной строке "COPY /B cmd.png + cmd1.rar cmd2.png".

Готово! Теперь картинка cmd2.png будет открываться, как картинка cmd.png. И с виду будет казаться более тяжёлым аналогом оригинала. Но в себе она будет хранить все твои файлы, которые ты сможешь извлечь, открыв эту же картинку с помощью архиватора.

Как я уже много раз говорил, инфобез бывает разный.

Тему фейков мы ещё не поднимали. А между тем, это ведь точно такая же атака на целостность информации, подмена сообщения на изменённое с целью получения выгоды для атакующего.

Проблема фейковых новостей стара, как мир. Но искать способы выявления фейкньюз начали совсем недавно.

Самый простой способ выявить подлог — найти первоисточник информации и свериться с ним. Но в наше время источников становится так много, что определить однозначно правду и ложь оказывается невозможно.

Казалось бы, решить вопрос должны высокие технологии. Но нет. Оказывается, создать алгоритм выявления фейка не так-то просто! Можно набрать вспомогательные инструменты: онлайн-хранилища проверенной информации, рейтингование новостей независимыми ресурсами и т.д.

Но в конечном счёте, решение проблемы упирается в экспертную систему, за которой стоят... эксперты, способные выявить фейк. В такой схеме хорошо всё, кроме вопроса доверия к людям, отвечающим за оценку новости, их компетенциям и предвзятости.

Из всего вышесказанного следует, что идеального решения проблемы не существует.

И вот, Яндекс.Дзен предложили привлечь к работе по фактчекингу информационные агентства. В самом деле, кто может лучше разбираться в информации, чем специалисты таких компаний, как Интерфакс, ТАСС и др.?

В качестве подопытных будут выступать новости, либо набравшие высокие рейтинг за подозрительно короткое время, либо получившие большое количество жалоб от аудитории медиаресурса.

Каждый из участников-экспертов в течение 4-8 часов должен будет дать своё заключение о проверяемом материале. Вердиктом выступает мнение большинства проверявших.

Следить за процессов и пытаться выявить научный подход к проблеме фактчекинга будет Высшая школа экономики.

В общем и целом, Яндекс.Дзен не изобрёл что-то новое в работе с фейковыми новостями. Главной фишкой их подхода является масштабность замысла. Ведь если, в конечном счёте, крупнейшие информагентства объединятся в поисках подменённой информации, скрыть правду будет гораздо сложнее.

Сегодня у нас будет пост для любителей Оруэлла. Только говорить мы будем не о какой-то отдельной стране, а об одной из мегакорпораций. Ну, знаешь, пресловутый киберпанк давно уже перестал быть фантастикой.

Итак, в сети появился очень интересный отчёт, в котором описываются условия труда сотрудников низшего звена в компании Amazon. И если ты думаешь, что там всё круто — социальные гарантии, спортзал, комната отдыха и груша в виде начальника для разрядки, то ты очень сильно ошибаешься.

Компания Amazon известна своими бережливостью и стремлением выжать из своих сотрудников максимальный результат. И средства, к которым она прибегает для достижения своей цели, напоминают произведения писателей-фантастов.

Например, для того, чтобы сотрудник, работающий руками, не терял время понапрасну, ему надевают браслет, способный анализировать движение. Если сотрудник только направил свои руки куда-то не туда, браслет сразу начнёт вибрировать, давая понять, что солнце ещё высоко. Эта технология, в купе с камерами и специализированными приложениями для слежки, не оставляет сотрудникам Amazon никакого личного пространства. Кроме того, показания браслета учитываются при расчёте KPI сотрудника. При этом, сам KPI периодически меняется без уведомления. Несоответствующий новым требованиям сотрудник с удивлением обнаружит электронное сообщение о своём увольнении.

В отчёте так же говорится о том, что каким-то образом, компания получает доступ в закрытые группы своих сотрудников на Facebook. Такое вмешательство в частную жизнь позволяет отслеживать недовольных условиями труда служащих и превентивно принимать меры по предотвращению забастовок. Лидеров мнения даже не нужно увольнять, их просто можно перевести в другой офис, где их никто не знает.

Кстати, собраться в кучку во врем работы у сотрудников тоже не получится. Как только дистанция между ними окажется меньше двух метров, бдительный браслет сразу же сообщит куда следует.

Интересная ситуация складывается у водителей компании. Специальное приложение жёстко предписывает им ехать по заданному маршруту, считая отклонение от курса нарушением KPI. Но кроме курса, в показатели эффективности так же входит и указанный для каждой задачи срок. Таким образом, водитель, попавший на предписанном маршруте в пробку, вынужден превышать скорость. Надо ли говорить, что ДТП со смертельным исходом в компании Amazon случаются периодически.

Ты спросишь меня, как этот материал относится к информационной безопасности? Но постой, разве слежка за людьми и доведение их до выгорания, травм или гибели с помощью информационных технологий не являются тем злом, с которым мы боремся? От того-то многие ИБ-каналы уже полыхнули по поводу этой новости.

Если что, я не пропал бесследно с ваших радаров.

Просто у наших друзей VolgaCTF на следующей неделе соревнования и конференция. Оффлайн, вживую, прям приехать можно посмотреть. Удивительное дело, в свете всех карантинов и самоизоляций. Говорят, будет инетересно. Посмотрел темы докладов — и правда неплохо: от форензики и онлайн-банкинга, до антенного арсенала пентестеров.

А еще Волге 10 лет. Орги обещают, что будет еще и красиво. Посмотрим. Может быть, даже расскажу, как там оно.

Особенно приятно, что мы в этот раз впервые поддерживаем ивент.
Так что буду в Самаре (а мог бы уже на Мальдивах), не теряйте.