התמונה הזאת נראית רגילה לגמרי. בתוך הפיקסלים שלה מוחבאת הודעה, ואי אפשר לראות אותה.

כל פיקסל הוא שלושה מספרים: אדום, ירוק, כחול. תשנו את הספרה הכי קטנה בכל אחד, והצבע זז בצעד אחד מתוך 255. העין לא קולטת הבדל. אבל שם, בביט הקטן, אפשר לכתוב כל דבר. קוראים לזה סטֶגנוגרפיה: לא להצפין הודעה, אלא להסתיר שבכלל קיימת הודעה.

בניתי כלי שעושה בדיוק את זה. הקובץ בהודעה הבאה. בוחרים תמונה, כותבים סוד, ומקבלים תמונה שנראית זהה אבל נושאת את ההודעה. אפשר להוסיף מפתח, ואז בלי המפתח יוצא ג'יבריש.

האתגר:
1. פתחו את הכלי, החביאו מילת קוד בתמונה והורידו אותה
2. שלחו אותה למישהו כאן, והוא יחשוף אותה בלשונית "חשיפה"
3. כתבו בתגובות כמה פיקסלים השתנו. אצלי זה פחות מאחוז

מלכודת אחת וחשובה: שלחו את הקובץ במצב קובץ/Document, לא כתמונה. טלגרם דוחס תמונות ל-JPG, והדחיסה מוחקת את הביטים הנסתרים. בדיוק אותו לקח של "שלח כקובץ" מהפעם הקודמת, רק מהכיוון ההפוך: הפעם הדחיסה דווקא עובדת לרעתכם.

הכול רץ אצלכם, בלי רשת ובלי שמירה. הסתירו רק תוכן שלכם. למטרות לימוד והגנה.

מי מצליח להסתיר הודעה שחבר לא מוצא גם כשהוא יודע שהיא שם? ועל מה בא לכם את הפוסט הבא? כתבו בתגובות.

🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat

🤖 מתעניינים בבינה מלאכותית (AI)? זה בשבילכם!

רוצים להישאר מעודכנים בעולם ה-AI, להכיר כלים חדשים ולגלות מה חדש בתחום שמתפתח בקצב מטורף? 🚀

מוזמנים להצטרף לקהילת Tech Cyber AI Israel ולעקוב אחרי תכנים בנושא בינה מלאכותית וטכנולוגיה.

🔗 להצטרפות לקהילה:
https://t.me/tech_cyber_ai_israel

🔥 אל תישארו מאחור — העתיד כבר כאן!

הורדתי שני חוזים. באחד כתוב 100 ₪, בשני 100,000 ₪. מבחינת ווינדוס זה אותו קובץ בדיוק.

לכל קובץ יש טביעת אצבע דיגיטלית, hash. משנים פסיק אחד, וכל המספר משתנה. ככה בודקים שהורדה לא שונתה, וככה חותמים דיגיטלית על מסמכים. אבל ב-MD5 זה כבר לא עובד: אפשר לייצר שני קבצים שונים עם אותה טביעת אצבע בדיוק.

וזה לא תיאורטי. ב-2012 הנוזקה Flame זייפה ככה חתימה של מיקרוסופט והתחזתה לעדכון של Windows Update. ועכשיו Git מתכוננת להיפרד גם מ-SHA-1 ולעבור ל-SHA-256.

בניתי כלי, הקובץ בהודעה הבאה. יש בו את שני החוזים, תרגיל שבו בית משפט "מאשר" את החוזה המזויף, ובודק hash לכל קובץ שאתם מורידים.

האתגר (אל תאמינו לי, תבדקו):
1. הורידו מהכלי את שני החוזים
2. בסייר הקבצים, בתיקיית ההורדות, כתבו cmd בשורת הכתובת ולחצו Enter
3. הריצו:
certutil -hashfile contract_A.bin MD5
certutil -hashfile contract_B.bin MD5
4. ועכשיו אותו דבר עם SHA256 במקום MD5

כתבו בתגובות מה יצא לכם 👀
במק: md5 contract_A.bin · בלינוקס: md5sum contract_A.bin

הכלל: לבדיקת הורדות ולכל דבר שקשור באבטחה, רק SHA-256. MD5 ו-SHA-1 טובים היום רק למציאת קבצים כפולים.

הכול רץ אצלכם, בלי רשת ובלי שמירה. למטרות לימוד והגנה.

תעבירו למי שעדיין בודק הורדות עם MD5. ועל מה בא לכם את הפוסט הבא? כתבו בתגובות.

🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat

תוכנת גיבוי לגיטימית התקינה דלת אחורית למשתמשים שלה. לא פריצה לתוכנה, פשוט עדכון רגיל שהגיע מהשרת הרשמי.

ככה עבדה המתקפה על AOMEI Backupper החודש, לפי מה שחשפו Google ו-Mandiant: תוקפים שינו את קובצי העדכון בשרת של החברה למשך 5 עד 10 דקות בכל פעם. כל מי שהתוכנה שלו בדקה עדכון בדיוק אז, הוריד דלת אחורית. הסיבה שזה עבד: העדכונים לא היו חתומים דיגיטלית, אז לתוכנה לא הייתה דרך לדעת שהקובץ זויף.

החתימה הדיגיטלית היא בדיוק מה שהיה חוסם את זה. היא מוכיחה שני דברים: מי יצר את הקובץ, ושאף אחד לא נגע בו מאז. אם קובץ שונה אחרי החתימה, היא נשברת.

אז כתבתי סקריפט ל-PowerShell שעושה את זה על המחשב שלכם: עובר על כל מה שרץ אוטומטית בהדלקה, ובודק לכל תוכנה אם היא חתומה ומי חתם עליה. הוא מסמן באדום תוכנות לא חתומות, תוכנות ששונו אחרי החתימה, וכאלה שרצות מתיקיות זמניות. הקובץ בהודעה הבאה.

האתגר:
1. הורידו את הקובץ, לחצו עליו ימני ו-"הפעל עם PowerShell"
2. אם חוסם, פתחו PowerShell והריצו:
powershell -ExecutionPolicy Bypass -File .\startup-check.ps1
3. כתבו בתגובות כמה דברים רצים לכם בהדלקה, וכמה סומנו באדום 👀

הסקריפט רק קורא. הוא לא משנה כלום, לא מוחק כלום ולא שולח כלום לרשת. פתוח, תקראו לפני שמריצים.

שורה אחת שחשוב לזכור: חתימה תקינה היא לא אישור. התוקפים של AOMEI התקינו גם כלי שליטה מרחוק שהיה חתום כדין. החתימה עונה על "מי יצר ולא שינו", לא על "אפשר לסמוך".

מצאתם משהו שאתם לא מכירים? אל תמחקו, תחפשו את השם קודם. ועל מה בא לכם את הפוסט הבא?

🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat

השבוע דלפו פרטי התחברות של 11.7 מיליון חשבונות Capcom. השאלה האמיתית היא לא אם יש לכם שם חשבון, אלא באיזה עוד אתרים יש לכם את אותה סיסמה.

ככה עובדות רוב הפריצות לחשבונות היום: תוקפים לוקחים סיסמאות שדלפו מאתר אחד ומנסים אותן בכל השאר. ג'ימייל, אינסטגרם, הבנק. מי שממחזר סיסמה, נפרץ בלי שאף אחד פרץ אליו.

אז איך בודקים אם סיסמה שלכם כבר דלפה? הקלדה שלה באתר שמבטיח לבדוק היא בדיוק הטעות. יש דרך חכמה יותר:

1. המחשב שלכם הופך את הסיסמה ל-hash (טביעת אצבע)
2. רק 5 התווים הראשונים של ה-hash נשלחים לשרת
3. השרת מחזיר כ-2,000 hashes של סיסמאות שדלפו ומתחילים באותם 5 תווים
4. ההשוואה קורית אצלכם

השרת לא יודע איזו סיסמה בדקתם, ואפילו לא איזה hash. זה נקרא k-anonymity, וזו השיטה של Have I Been Pwned שבודקת מול מיליארדי סיסמאות שדלפו.

כתבתי סקריפט Python קטן שעושה את זה ומראה בדיוק מה נשלח. בלי התקנות. הקובץ בהודעה הבאה.

האתגר:
1. הריצו python pwned_check.py
2. בדקו את הסיסמה שאתם הכי ממחזרים (ההקלדה מוסתרת)
3. כתבו בתגובות רק אם נמצאה או לא, בלי סיסמאות כמובן 👀

לשם השוואה: password123 הופיעה בדליפות 2,266,543 פעמים.

יצא שנמצאה? מחליפים אותה בכל מקום שהיא קיימת, ומפעילים אימות דו-שלבי. ומנהל סיסמאות פותר את כל הבעיה הזו מהשורש.

הסקריפט פתוח, תקראו לפני שמריצים. בדקו רק סיסמאות שלכם. למטרות לימוד והגנה.

ועל מה בא לכם את הפוסט הבא?

🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat

הקוד בן 6 הספרות באפליקציית האימות שלכם לא מגיע מגוגל. הטלפון מחשב אותו לבד, והוא יכול לחשב אותו גם בלי אינטרנט.

כשמפעילים אימות דו-שלבי וסורקים QR, האתר בעצם נותן לטלפון סוד אחד. מאותו רגע גם הטלפון וגם האתר מחשבים את הקוד מתוך שני דברים בלבד: הסוד והשעה. כל 30 שניות יוצא מספר חדש, ושני הצדדים מגיעים לאותה תוצאה בלי לדבר אחד עם השני.

זה אומר שמי שיש לו את הסוד, מייצר את הקודים שלכם. מכל מכשיר, ולתמיד.

בניתי מעבדה שמראה את זה בעיניים. הקובץ בהודעה הבאה. היא מייצרת מפתח דמו, מציגה את הקוד החי, ומפרקת את החישוב צעד אחר צעד: מהשעה, דרך HMAC, ועד שש הספרות.

האתגר:
1. פתחו את הקובץ והעתיקו את מפתח הדמו
2. באפליקציית האימות: הוספה ← "הזנת מפתח הגדרה" ← הדביקו
3. תשוו. אותו קוד, באותה שנייה, בלי שום חיבור ביניהם 👀

כתבו בתגובות אם זה עבד לכם, ובאיזו אפליקציה.

מה לקחת מזה:
יש לכם צילום מסך של QR של אימות דו-שלבי בגלריה? זה המפתח לחשבון. מוחקים, גם מהענן.
קודי הגיבוי הולכים למנהל סיסמאות, לא לגלריה.
והכי חשוב: גם הקוד הזה לא עוצר אתר מתחזה. הקלדתם אותו באתר מזויף, התוקף משתמש בו מיד. Passkey נקשר לכתובת האתר האמיתי, ולכן הוא השכבה החזקה ביותר.

הכול רץ אצלכם, בלי רשת. השתמשו רק במפתח הדמו. למטרות לימוד והגנה.

ועל מה בא לכם את הפוסט הבא?

🏴 הצטרפו לערוץ: @CyberSecurityCoding
💬 דיונים וקהילה: @CyberSecuritycodingchat