Электронная подпись📱

Наконец-то руки дошли до этого поста! Обещала сто лет назад. Поехали?

Электронная подпись — технология, которая помогает проверить подлинность электронного документа и идентифицировать её владельца.

Разберёмся, в чём разница между электронной цифровой подписью (ЭЦП) и электронной подписью (ЭП). А ни в чём. ЭЦП — это по старинке. Такой термин был в старом законе. Теперь подпись просто электронная. Однако ходят легенды, что «ЭЦП» проще загуглить и не спутать с электрической плитой, элегантной профурсеткой или эрудированным пнём.

ЭП работает так:

• Матвей подписывает документ своей ЭП и отправляет Анфисе.
• Анфиса с помощью специальной программы проверяет подлинность подписи и документа.
• Если программа скажет, что всё норм, значит документ точно отправил Матвей.
• Если подпись липовая или кто-нибудь левый изменил документ, программа начнёт ругаться. Проверка подлинности будет провалена.

Получить ЭП = получить специальный файл, который будет прикрепляться к документам.

У ЭП есть сертификат открытого ключа — документ, в котором хранится информация о владельце подписи: кто он, когда закончится срок действия подписи, кто выдал сертификат и другая служебная инфа.

В России сертификаты и ЭП можно получить в специальных удостоверяющих центрах. Если Анфиса хочет сделать ЭП, ей нужно прийти в один из центров, показать документы, сфоткаться. В центре выдают закрытый ключ, который нужно спрятать. В самом сертификате будет открытый ключ, который нужно прикладывать к каждому «подписанному» документу.

ЭП довольно сложно подделать, поэтому это годный способ подтверждать подлинность данных. Но и он не совершенен. О рисках расскажу позже😉

В Госдуму внесли поправки о создании реестра соцсетей. Его участников обяжут самостоятельно удалять нелегальный контент — порнушку, рецепты наркотиков, мануалы по изготовлению оружия, призывы к суициду и прочую жесть.

А ещё соцсети должны будут ограничивать доступ к информации, выражающей «явное неуважение» к обществу, государству и Конституции РФ, а также содержащей призывы к массовым беспорядкам, экстремизму и участию в несогласованных публичных мероприятиях.

Вести реестр будет Роскомнадзор. Один из критериев включения соцсети в него — более 500 тысяч посетителей в день.

Невидимый враг: кибертыринг везде

Я уже рассказывала о скиммерах — маленьких устройствах, с помощью которых жулики копируют данные банковских карт. Но эти штуки «выпускаются» и в онлайн-формате.

Для своих грязных дел злоумышленники используют стеганографию — сокрытие информации внутри другого формата (текст в изображении, изображение в видео и так далее). Стеганография помогает не просто зашифровать данные, а скрыть сам факт их существования. «Хозяин» (оператор) веб-скиммера прячет вредоносный код в логотипах и значках сайтов, фотках товаров. Недавно вышла новость о кибершпане, которая прятала веб-скиммеры в кнопках в социальных сетях. Таким образом распространяются всякие программы для похищения данных карт и кибертыринга денег пользователей.

А теперь минутка интересных фактов. Такой метод ещё называют MageCart-атакой. MageCart — группа киберпреступников, которая первой начала внедрять веб-скиммеры на страницы интернет-магазов. Потом у неё появились последователи, а название стало нарицательным. След в истории оставила, так сказать👹

Жиза)

«Шторка» в этом году выросла аж до 15к👀

Спасибо, что читаете, подкидываете идеи, мотивируете развиваться дальше.

С Новым годом! Обнимаю каждого и каждую🎄


Ваша Соня

Fleeceware: гифки за двести евро

Fleeceware (от англ. fleece — обдурить, надуть) — программы, которые облапошивают пользователей, но не считаются вредоносными, как вирусы или трояны. Щас объясню 😉

Анфиса скачала уникальный, непревзойдённый Professional GIF Maker, подписка на который стоила 214.99 евро. Ну а как не скачать? Ведь можно взять бесплатный пробный период.

Приложение оказалось примитивным: гифки в 4к оно не делает, в дополненную реальность не умеет. Анфиса пожала плечами, удалила этот профешнл гиф мейкер и забыла о нём. Зато программа не забыла списать с карты Анфисы 214.99 евро за продление подписки.

Знакомая ситуация?

Пользователи часто на такое нарываются: в начале 2020 года число скачиваний fleeceware из Google Play перевалило за 600 миллионов. И это статистика только по 25 приложухам🤓

Почему такое происходит

Многим кажется, что дорого = круто. Рука сама тянется скачать и потестить, что же там за калькулятор за сотку. Многие и не собираются оплачивать подписку, активируют пробный период из любопытства, а потом забывают отменить его.

Удаление приложения с телефона не означает отказ от подписки. В этом есть смысл: так пользователь не потеряет все свои плейлисты и прочее добро, если случайно удалит прогу или захочет открыть её на другом устройстве.

Недобросовестные киберторгаши этим пользуются — пилят fleeceware. И обогащаются за наш с вами счёт.

Будьте внимательны! Не ведитесь на киберхаляву.

Что-то у меня затянулся оливьешный зажор. Пора работать 🤖

Вспомним, что было «За шторкой» в прошлом году? Ловите мои любимые посты:

• Лжедмитрий в кибербезопасности: фейковые антивирусы
• Электронная подпись
• Скиммеры в кнопках социальных сетей


P.S. А ещё поучаствуйте плиз в перекличке, она помогает мне лучше понять аудиторию и пилить контент.

Подъехал список приложух для предустановки на смартфоны, компы и умные телевизоры)

Перечень утверждён. Вот что в него включили👀

Смартфоны и планшеты на Android и iOS:

• Яндекс.Браузер
• Поисковик Яндекс
• Яндекс.Карты
• Яндекс.Диск
• Почта Mail.ru
• ICQ
• Голосовой ассистент «Маруся»
• Новости Mail.ru
• OK Live
• ВКонтакте
• Одноклассники;
• MirPay (Android)
• Госуслуги
• МойОфис Документы
• Kaspersky Internet Security (Android)
• Applist.ru

Компы и ноуты с виндой:

• МойОфис

Телевизоры с функцией Smart TV:

• Поисковик «Яндекс»
• Wink
• Ivi
• Первый
• КиноПоиск
• Okko
• More.tv
• Premier
• Смотрим
• НТВ
• Start

«Яблочники» могут выбирать, устанавливать на айфоне проги или нет. Штош, и на том спасибо. Хотя аську, может, и установлю, вспомню молодость.

Идеальный контент для первого рабочего дня после каникул🦖 Я одна не помнила, что в «Парке юрского периода» есть эпизод о хакере? Смотрела его раз 15))

Взлом секс-игрушек — тренд 2021 года

И это даже не кликбейтный заголовок. Угроза утечки данных из-за умных взрослых игрушек вошла в отчёт о трендах кибербезопасности.

Рынок секс-товаров растёт, появляются всякие футуристичные штуки, которыми можно управлять со смартфона или планшета. Ух, какой же поток данных через них проходит! Только представьте, сколько всего можно узнать о тайных развлекушках пользователей этого добра.

Даже камеры вкрячили в некоторые интимные игрушки. Вот это кинцо получится — уж точно покруче, чем с вебки ноута. Мечта киберговнюка.

И всё же, думаю, что умные секс-устройства не опаснее умных телевизоров, кофемашин, пылесосов. Любые «представители» интернета вещей сегодня не отличаются надёжностью и хорошей системой защиты.

P. S. Пользуясь случаем, оставлю ссылку на пост об уязвимостях электронного пояса верности🙃

​Доступ к тысячам камер РЖД без взлома

На «Хабре» вышла статья, автор которой почти случайно проник в сеть РЖД.

Он получил доступ к камерам, через которые видно ж/д вокзалы и станции и даже офисы.

Из хорошего:

• Милый котик на записи с одной из камер.

• Ребята из РЖД заверили, что проблемы уже устранены.

Залезть в сеть РЖД автор той самой статьи с «Хабра» смог из-за открытого прокси-сервера. Го разбираться, что это такое.

Начнём прям с определения сервера. Сервер — это мощный компьютер, который отвечает за взаимодействие пользователя с ресурсами в сети. Он может хранить информацию сайта, координировать работу нескольких компов и выполнять другие полезные задачи.

А прокси-сервер — это такой мост, посредник между другими серверами.

Мне нравится объяснять, как работает прокси на примере ресторана. Официант — это посредник между гостем и кухней. Он как бы переадресовывает запрос повару, который не контактирует с гостем лично. Точно так же пользователь отправляет запрос к ресурсу, например, к сайту, и получает «заказанное блюдо» — ответ на него.

Как правило, прокси предназначен для ограниченного круга лиц в сети его владельца. Например, если речь идет о локальной сети компании, то её прокси-сервером могут пользоваться только сотрудники. Или даже несколько человек из персонала.

При этом в интернете много бесплатных публичных прокси-серверов. Это значит, что ими может воспользоваться кто угодно и как бы войти в сеть через чужой роутер. Прокси становятся открытыми из-за взлома или ошибки владельца, который забыл отключить эту функцию.

Как раз через такой открытый прокси исследователю с «Хабра» удалось сделать первый шаг в сеть РЖД.

Исследователь продолжил копаться в ней и нашёл тысячи устройств с заводскими паролями. Да-да, с теми самыми admin/admin, которые стоят по умолчанию. Там и камеры наблюдения, и IP-телефоны, и всякое сетевое оборудование.

Вот такие дела. Чей-то косяк может вылиться в кибербезопасный апокалипсис.

Мне бы не хотелось, чтобы любой желающий мог залезть в сеть железнодорожной компании и отследить все мои передвижения. Всё-таки речь не о базе клиентов магазина тапок с единорогами, всё куда серьёзнее.

Из App Store требуют удалить Telegram

Кто: Американская НКО «Коалиция за свободный интернет» (Coalition for a Safer Web)

Зачем: представители НКО утверждают, что по телеге гуляют экстремистские публикации, а администрация ниче не делает с этим

Теперь ребята из Коалиции идут в суд с иском к Apple. Ох, то ли ещё будет😥

Не знаю, как относиться к таким новостям. Не думаю, что в ближайшее время телегу могут удалить из эпл-магаза.

В соцсетях нужна диверсификация)) у меня довольно активный инстаграм, вэлком.

Но там тоже никакой стабильности. Надо бы и тик ток освоить, пока не поздно 👀

Техник из компании по установке видеонаблюдения взламывал камеры, чтобы шпионить за женщинами

35-летний техник по домашней безопасности признался, что взламывал домашние сигнализации клиентов и шпионил за ними.

За пять лет работы включал камеры около 200 клиентов без их ведома более 9600 раз. Он признаёт себя виновным и не скрывает, что следил за жизнью женщин, которые его привлекали.😬

Лайфхак для тех, кто не хочет палить свою почту

У mail.ru есть анонимайзер, который создаёт адрес типа fejnwlw@mail.ru

Письма падают в ящик пользователя, но отправитель на видит настоящий e-mail.

Кажется, это удобнее, чем просто одноразовые адреса: так все «мусорки» будут в одном месте.

Охохохо в Яндексе сисадмин давал доступ к почтовым ящикам пользователей. Всего в его послужном списке 4887 ящиков 😳

Яндекс уже предупредил жертв, запустил внутреннее расследование обратился в правоохранительные органы.

2021 год начался бодро: одни хакеры взломали безопасников, другие влезли в городские системы водоочистки, а третьи и вовсе оказались детьми и случайно нашли баг в Linux Mint.

Теперь обо всем поподробнее📰

Хакер изменил состав воды

Хакер получил доступ к городской системе водоочистки через TeamViewer и поднял уровень щелочи до опасных значений. К счастью, оператор успел все исправить быстрее, чем воду подали местным жителям.

Кто спасет безопасников…

Северокорейские хакеры стучались к специалистам по кибербезопасности через соцсети и предлагали вместе поработать над неким исследованием. Потом давали доступ к проекту Visual Studio, который заражал получателя вредоносом. Сообщество бьет тревогу и анализирует информацию о жертвах.

…и жертв антивируса?

Microsoft исправила уязвимость антивируса Defender, просуществовавшую более 10 лет. Недавно злоумышленники начали активно пользоваться этой дырой в безопасности, которая позволяла им удаленно выполнять вредоносный код на устройствах жертв.

Баг, дающий root-права в Linux-системах

Baron Samedit — уязвимость в sudo, обнаруженная в большинстве дистрибутивов Linux. Позже выяснилось, что она затрагивает и MacOS Big Sur, но в этом случае для эксплоита придется заморочиться чуть сильнее, чем с линуксом.

Как «е» с монобровью ломала скринсейвер Linux Mint

Самая милая новость из мира кибербезопасности. Двое детей баловались, нажимали на все кнопки физической и виртуальной клавиатур папиного компьютера, пока не хакнули его. В какой-то момент скринсейвер не выдержал и пустил ребят. Оказалось, что этот баг возникал при нажатии «ē» на экранной клавиатуре.

Apple, Microsoft и десятки других технологических компаний подверглись атаке на цепочку поставок

Независимый исследователь продемонстрировал атаку на цепочку поставок, которой подвержены даже техногиганты. Проблема в том, что компании используют в своих программах сторонние пакеты, в которых может оказаться вредоносный код. Исследователь разместил вредоносные пакеты под именами, совпадающими с именами в приватных репозиториях потенциальных жертв. Это гарантирует, что вредонос точно достигнет цели, и подтверждает реальность угрозы.

#threatzonenews

Закон, который дает налоговой доступ к банковской тайне людей

Речь о поправках к НК РФ. Ловите федеральный закон о совершенствовании системы налогового мониторинга.

Если коротко, то кредитные организации будут обязаны предоставлять налоговикам копии паспортов клиентов, доверенностей на распоряжение денежными средствам и других доков💾

ФНС также получит доступ ко всей информации и документам, которые в банк предоставляет клиент.

Подробности на сайте налоговой.