«Отдохнули и хватит!» (С)

На улице лето, птички поют, цветёт черемуха, тёплый ветер треплет оставшиеся волосы, а я вернулся и полон сил. Перед всеми извиняюсь за долгое отсутствие постов, скоро обязательно исправлюсь!

Что делать дальше?
anonymous poll

Писать про разные уязвимости в разном софте и про последствия их эксплуатации. – 2K
👍👍👍👍👍👍👍 46%

Писать про IT в целом, не только про инфобез. – 1K
👍👍👍👍👍 32%

Господи, про что угодно, только не про Роскомнадзор. – 942
👍👍👍 21%

👥 4386 people voted so far.

И.о. директора департамента инф. безопасности Центробанка РФ Артём Сычев сообщил, что оказывается, ни один банк в России не соответствует требованиям по кибербезопасности, установленным Центральным Банком, в полной мере. Однако, как говорит Сычев, проблемы не носят критических характер и «все сделано более-менее нормально».

https://www.securitylab.ru/news/493849.php

На днях из-за ошибки Facebook, приватные публикации некоторых пользователей стали общественным достоянием — социальная сеть случайно изменила настройки приватности учетных записей пользователей без их ведома.

В конечном итоге, новые сообщения и публикации, отправленные для небольшой группы людей, стали доступны широкой общественности.

Директор по конфиденциальности Facebook Эрин Эган прокомментировал произошедшее в официальном блоге компании:
https://newsroom.fb.com/news/2018/06/audience-selector-error/

Взломы криптобирж уже стали повседневной обыденностью.

На этот раз, жертвой кибератаки стала корейская криптобиржа Coinrail — злоумышленники, атаковавшие биржу, успешно спёрли кучу токенов, собранных в процессе первичного размещения монет (ICO), общей суммой примерно на 40 миллионов долларов США.

Администрация ресурса проводит “разбор полётов” и пытается предпринять меры по минимализации ущерба. Как Coinrail будет возмещать убытки пострадавшим — пока не ясно (возможно, что никак).

https://www.coindesk.com/coinrail-exchange-hacked-loses-possibly-40-million-in-cryptos/

​​Наверняка многие из вас пользуются чатами в Telegram, но не знают, что в них можно собирать интересную статистику.
Самый популярный для этого combot недавно стал платным, но мой хороший знакомый сделал бесплатную альтернативу — @GrStatsBot.

После добавления в чат, он начнёт показывать самую разнообразную статистику.
Хранение любой информации из чата можно выключить командой /paranoid (но при этом перестанет отображаться часть статистики).

#бесплатнаяреклама

Какая ошеломительная статья. Главное, все враньё. Всё вообще.

https://www.the-village.ru/village/people/howtobe/316129-zapreschalschik

Ну вы, кстати, приходите задавать вопросы и получать бан:
https://t.me/alexlitreev_floodchat

:(
https://snob.ru/news/162977

Использовать эксплоит может даже 6-летний ребёнок.

https://www.securitylab.ru/news/494293.php

Команда Павла Дурова запустила Telegram Passport

Новый продукт Telegram дает возможность загрузить свои документы всего один раз, а затем использовать их в различных интернет-сервисах, где требуется подтверждение личности.

https://telegram.org/blog/passport

РКН забанил 262144 IP-адреса Amazon (целую подсеть /14). А теперь под эту раздачу попал и BitBucket.

Как российские банки плевать хотели на инф. безопасность

Мой коллега и дорогой БРАТ Артём провёл «маленький рисерч» (С) в отношении российских банков. Как известно, недавно Google и Mozilla признали сертификаты Symantec скомпрометированными и выпущенными, с нарушениями правил безопасности. Вот почему:

1) В Symantec ну просто так, ради теста, выпустили сертификат для google.com, который потом (oops!) утёк. Для тех, кто в танке — сертификат позволил бы злоумышленникам незаметно подменять оригинальный сайт Google любой другой страницей и, при этом, тот самый замочек HTTPS продолжал бы оставаться «зелёненьким».

2) Выпускали сертификаты с SHA-1, после января 2016 года, когда это стало запрещено правилами безопасности.

3) Symantec выпустили кучу сертификатов ВООБЩЕ НЕ ПРОВЕРЯЯ ВЛАДЕНИЕ ДОМЕНОМ. С-О-В-С-Е-М.

Ну и ещё совершили много-много страшных (если не считать того факта, что CEO Trustico приватные ключи по E-Mail’у пересылал) смертельных грехов, описанных здесь:
https://wiki.mozilla.org/CA:Symantec_Issues

Ну и, что вполне логично, Google и Mozilla объявили сертификаты Symantec небезопасными и де-факто скомпрометированными. Вот уже с октября сайты с такими сертификатами перестанут открываться у пользователей Chrome и Firefox.
Все нормальные интернет-ресурсы уже подготовились к этому.

Но есть и особо одаренные. Например, Сбербанк. На справедливое замечание Артёма они предложили ему не пользоваться гуглом:
https://twitter.com/sberbank/status/1031907764858249217

Мы поползали по сайтам различных российских банков и обнаружили, что отличившихся много!

Вот некоторые из них:
https://online.sberbank.ru
https://www.rshb.ru
https://www.open.ru
https://enter.unicredit.ru

Ну и, как бы, не шевелятся.
Артём, конечно, выполнил свой святой долг и всем им написал. Молодец, Артём. И вы будьте молодцом и поменяйте сертификат, если он попадает под эту ситуацию.

Продолжение следует.

Такие дела ¯\_(ツ)_/¯

¯\_(ツ)_/¯
https://t.me/usher2/293

⚠️ Мероприятие — Пятая конференция CryptoInstallFest

Уже очень скоро, 22 сентября, в Москве пройдет пятая международная конференция CryptoInstallFest.

Что это такое?
CIF (CryptoInstallFest) - практическая конференция, во время которой IT-специалисты, юристы, общественные деятели, предприниматели и участники обсуждают все самое важное и актуальное, что происходит сейчас в Рунете (и не только). Государственное регулирование интернета и новые законы, общественные кампании и партизанская война за свободу сети, прорывные технологии и разработки, тенденции технологические и социальные, анонимность и защита персональных данных, децентрализация, шифрование — все то, что составляет интернет сегодня, и то, чем он станет завтра. Именно об этом и пойдет речь на CIF.

Где и когда?

🗓 22 сентября в 11.00,
📍 в Центре «Благосфера» (1-ый Боткинский проезд д. 7, стр. 1)

Кто выступит?

Блок «Tech»
— Сергей Матвеев, разработчик, основатель cypherpunks.ru, член FSF, FSFE и EFF — NNCP: помогает строить независимые от Интернета сети
— Филипп Кулин, руководитель хостинга "DiPHOST" — Безопасность DNS. Популярный обзор современной теории и практик
— Леонид Евдокимов, OONI, Tor Project — РКН-тян: болячки и побочки. Как отлаживать проблемы, вызваные существованием интернет-цензуры
— Станислав Полозов, руководитель отдела внедрения EmerDNS — DNS на блокчейне - EmerDNS
— Евгений Гусев, full stack разработчик и инженер Musicoin — Musicoin — революция в музыки с помощью блокчейна
— «4ёрт», участник CIF II, IV — Воркшоп «Альтернативные прошивки для "роутеров" (OpenWRT, pfSense)»
— Александр Грошев — Воркшоп «Повседневное использование Qubes OS»

Блок «Social»
— Саркис Дарбинян, Центр цифровых прав — Ключи от всея Руси. Битва за Телеграм
— Грегорий Энгельс, Пиратская Партия Германии — Блокировки в Европе: государственное регулирование, общественные кампании, позиция Европейского суда
— Ирина Левова — директор по стратегическим проектам Института исследований интернета — Безопасность VS Право на тайну связи: можно ли найти золотую середину?
— Артём Козлюк, РосКомСвобода — Госатака на информацию: последние тренды
— Александр Исавнин, Пиратская партия России, Общество защиты интернета — Как государство пытается регулировать Интернет и как общество борется с этим. Европейский опыт
— Михаил Климарёв, Общество защиты интернета — Проект «Интернет-Гулаг»
— Антон Ершов, председатель Пиратской партии России — Дискуссия «Анонимность: грань между фанатизмом и адекватностью»
— Дмитрий Галушко руководитель ОрдерКом, независимый эксперт, к.ю.н. — СОРМ и/или Предпринимательство?
— Грегорий Энгельс, Пиратская Партия Германии — Воркшоп «Инструменты электронной демкратии и практики их использования»

Обязательно приходите, ВХОД СВОБОДНЫЙ.

Сайт конференции:
https://cryptofest.ru

По просьбам читателей, наши «Корги-Кодеры» теперь стоят почти в 2 раза дешевле!
Осталось совсем немножко, так что поспешите ☺️

Tesla дала добро на взлом ПО своих автомобилей

Компания Илона Маска изменила условия программы Bug Bounty, предусматривающей выплату вознаграждений за поиск уязвимостей. Теперь энтузиасты могут взламывать электрокары Tesla, не боясь отзыва гарантии. Более того, в соответствии с новой политикой компании, автопроизводитель будет перепрошивать автомобили, ПО которых вышло из строя в процессе экспериментов специалистов кибербезопасности.

Изменения в политике компании Telsa очень тепло встретили представители индустрии.

https://techcrunch.com/2018/09/06/teslas-new-bug-bounty-protects-hackers-and-your-warranty/

⚡️ Компания Veeam хранила данные о своих клиентах в открытом доступе.

‌
Известный производитель решений для резервного копирования данных хранил информацию о почти половине миллиона учетных записей клиентов компании (ФИО, адреса электронной почты, маркетинговые данные) в открытой для внешнего доступа базе данных MongoDB.

Обосрались так обосрались, ничего не скажешь.

https://techcrunch.com/2018/09/11/veeam-security-lapse-leaked-over-440-million-email-addresses/

❕Друзья, мы приглашаем вас стать частью классной команды организаторов конференции CryptoInstallFest, что пройдет 22 сентября в Москве.