Код в мешке
249 subscribers
9.08K photos
1.6K videos
2.11K files
42.7K links
Код в мешке - про кодинг, и не только...
Это личная записная книжка

https://t.me/joinchat/AAAAAEIy6oGlr8oxqTMS5w
Download Telegram
Forwarded from Swordfish Security (Leila Galimova)
Запись вебинара по мобильной безопасности уже на YouTube!

Привет, друзья!

Недавно команда AppSec Solutions с продуктом Стингрей провела вебинар «Стендап о безопасности мобильных приложений». Было жарко! 🔥 Мы обсудили самые актуальные уязвимости и новые векторы атак на 2024 год.

Если пропустили — не беда! Запись уже готова:🔜ссылка

А теперь внимание: 🎆 бонус! Мы подготовили для вас демо-анализ безопасности вашего мобильного приложения!

Чтобы его получить, просто в любой из форм обратной связи на сайте, укажите ключевое слово "вебинар".
🔜Проверить приложение

Благодарим вас за участие и до встречи на наших следующих мероприятиях!
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Mobile AppSec World (Yury Shabalin)
Уязвимости в Google Pixel

На вебинаре, который недавно проходил (кстати, скоро будет запись), спросили, а нет ли каких-то проблем с Pixel или OnePlus?
Конечно, такого лютого списка, как с Samsung или Xiaomi нет, но вот есть крайне занятная статейка.

Условно, на куче Pixel'ей было установлено приложение Showcase.apk (с системными привилегиями), которое нельзя удалить.

Это приложение получало конфиг с удаленного сервера по HTTP и благодаря этому моно было выполнять произвольный код от имени системы :)

Кто спрашивал про Pixel, они тоже не идеальны :)

#android #pixel
Forwarded from Ева Коршунова
⭐️ ПО для удаленного доступа — незаменимый инструмент специалистов по ИБ, руководителей ИТ-компаний, технической поддержки организации и системных администраторов, который решает множество задач:

— Организация безопасного удаленного доступа
— Автоматизация администрирования ИТ Инфраструктуры
— Организация удаленной интерактивной тех. поддержки
— Импортозамещение
— Миграция на альтернативные ОС

В выборе универсального решения для удаленного доступа и управления конечными устройствами поможет вебинар от команды Код ИБ и RuDesktop.

🗓 27 августа в 11:00 (мск) узнайте о широких возможностях отечественного ПО. Спикеры познакомят вас с уникальным решением и ответят на все вопросы.

Участие бесплатное по предварительной регистрации.
Please open Telegram to view this post
VIEW IN TELEGRAM
Когда-то писал гайд о том как собрать iphone без ssl pinning. И вот случился момент, когда тестовое приложение не может работать ниже ios 16. Пришлось суетить. На помощь пришел старенький iphoneX. Оказывается его можно сделать rootfull практически без боли и страданий.
1) Берем iphone X. И обновляем до последней версии ios 16.7.10 стандартным обновлением. Можно и вручную накатить последнюю подписанную версию https://ipsw.me/
2) Дальше берем Macbook с разъемом usb-A и подключаем iphone через lightning провод. Пришлось поискать оригинальный.
3) После ставим Palera1n по инструкции на компьютер.
4) Запускаем в режиме palera1n -cf следуя инстркциям по зажиманию клавиш телефона. Потом мне еще потребовалось повторить palera1n -f.
5) Айфон получил palera1n app и возможность установить Sileo package manager.
6) Качаем последний релиз ssl-kill-switch3 , открываем через Sileo и выполняем установку пакета.
7) Ставим бурповый сертификат из http://bupr
Буквально спустя пару часов нашел critical. Все было не зря 🦾
Forwarded from Mobile AppSec World (Yury Shabalin)
Персональные данные и мобильные приложения, как они связаны?

Всем привет!

Я наконец выплыл из отпуска и возвращаюсь в рабочее русло 😄

И на повестке дня сегодня не что иное, как персональные данные и их утечки.
Меня очень давно интересовал этот вопрос, можно ли считать хранение или утечку ПДн через мобилку на самом деле утечкой, чем это может грозить и вообще, что же такое мобильное приложение с точки зрения нашего законодательства?

Я потратил достаточно много времени и экспертизой своих коллег чтобы разобраться в этом вопросе и вот результат - статья на Хабр.

Как мне кажется получилось достаточно неплохо, по крайней мере для себя я определился и с понятиями ПДн в мобилках и с определением приложений вообще в законах. Надеюсь, вам тоже это будет интересно. Особенно, учитывая, что сейчас на рассмотрении закон о введении оборотных штрафов для компаний, допустивших утечки.

Приятного чтения!

#habr #ПДн
Forwarded from Mobile AppSec World (Yury Shabalin)
Очень классная статья про системные приложения в Android

Статья очень понятно объясняет классификацию и привилегии приложений Android. Если кратко, то на самом деле есть пять основных групп приложений:
- недоверенные приложения
- предустановленные приложения
- привилегированные приложения
- приложения с подписью платформы
- приложения с системным UID.

Каждая категория имеет свои специфические разрешения и правила в SELinux, которые определяют их возможности.

Очень рекомендую почитать!

#android #apps #permissions
Forwarded from Mobile AppSec World (Yury Shabalin)
Разбираемся с уязвимостью в Jetpack Navigation

Всем привет!

Относительно недавно многоуважаемый @OxFi5t подсветил исследование коллег из Positive Technologies про новый вектор атаки на Android через проблемы в библиотеке Jetpack . Спасибо огромное им за исследование, оно реально крутое!

Мы не смогли остаться в стороне, тоже немного покапались в исследовании, нашли пару интересных вещей, не освещенных в оригинальном материале и сегодня я представляю вашему вниманию результат наших трудов, статью "Разбираемся с новой уязвимостью в Android-библиотеке Jetpack Navigation".

Кроме технических деталей самой проблемы мы еще дополнительно проанализировали 1000 приложений из различных маркетов и собрали интересную статистику по подверженности данной проблеме. Если кратко, то 21% из исследованых нами приложений содержит уязвимую навигацию. Эксплуатабельны ли они это отдельный вопрос, который, я надеюсь, мы разберем в дальнейшем обязательно))

Если интересно исследование с цифрами, какие категории оказались наиболее подвержены данной проблеме - можно посмотреть у нас на сайте.

А пока - приятного чтения и спасибо еще раз коллегам за шикарную уязвимость!

#jetpack #stingray #navigation #issue #research
Forwarded from Mobile AppSec World (Yury Shabalin)
Управление уязвимостями или как быть в курсе всего

Всем привет!

Как многие из вас знают, недавно была опубликована уязвимость в Telegram, которая при должном уровне подготовки с небольшой примесью социальной инженерии превращалась в возможность установки произвольного приложения на устройство пользователя!

Эту новость я впервые увидел на канале "Управление Уязвимостями и прочее" моего друга, Саши Леонова, который делится новостями из мира ИБ, своими мыслями, комментариями и идеями.

Всем, кто интересуется миром ИБ, рекомендовал бы подписаться, так как сам с удовольствием читаю и много нового узнаю :)

Например о том, что есть такая замечательная штука, как Vulristics, которая может очень хорошо помочь собрать и агрегировать дополнительную информацию по обнаруженным CVE идентификатором, чтобы понять насколько они действительно критичны. В канале выходят ежемесячные обзоры Microsoft Patch Tuesday и Linux Patch Wednesday уязвимостей, проанализированных с помощью Vulristics.

Так что, приятного чтения!

#vulristics #leonov #telegram #cve
Forwarded from Белый хакер
⚙️ Apple опубликовала открытую библиотеку гомоморфного шифрования

Привет, друзья! Хотите узнать что-то крутое из мира шифрования и безопасности данных? Apple выкатил открытую библиотеку для гомоморфного шифрования, написанную на Swift. Это значит, что теперь можно создавать приложения, которые работают с зашифрованными данными, не раскрывая их на промежуточных этапах обработки.

🧑‍💻 Гомоморфное шифрование позволяет выполнять вычисления с данными, которые остаются зашифрованными на всех этапах обработки. То есть вы шифруете данные, передаёте их на сервер, сервер выполняет нужные вычисления и возвращает результат тоже в зашифрованном виде. Расшифровать результат можете только вы, используя свои ключи. Такой подход идеально подходит для облачных сервисов, конфиденциальных вычислений, электронного голосования и даже для работы с зашифрованными данными в СУБД и машинном обучении.


Apple использует схему BFV (Brakerski-Fan-Vercauteren), основанную на задаче обучения с ошибками в кольце (RLWE), которая защищена от криптоанализа квантовыми компьютерами. В библиотеке Swift Crypto находятся низкоуровневые примитивы для шифрования, что обеспечивает безопасность и производительность.

Как это может помочь?

🖌 Представьте себе огромные базы данных, которые невозможно передать на клиентскую сторону для проверки. С гомоморфным шифрованием это не проблема: достаточно передать небольшую порцию метаданных, и сервер сделает всю работу, сохраняя данные в безопасности.

P. S Библиотека распространяется под лицензией Apache 2.0, так что каждый из вас может её использовать и дорабатывать. Это огромный шаг вперёд в мире безопасности данных и конфиденциальных вычислений.

#Apple #Шифрование
Белый хакер
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Mobile AppSec World (Yury Shabalin)
Шифрование!

Вот это прям реально круто! И чтобы Apple, да в openSource. Это внушает надежды, что проект будет поддерживаться.

Однако, судя по тому, что мы видим, редко кто обычное шифрование использует, почти никогда не встретишь использование Security Enclave, что говорить о гомоморфном шифровании (всегда два раза проверяю написание этого слова).

Но очень хочется верить, что если это правильно донести до разработки, очень надеюсь, что мы скоро сможем увидеть использование этого подхода в приложениях.

Так что изучаем, продвигаем и используем! :D
Forwarded from Mobile AppSec World (Yury Shabalin)
Это лучшее, что я читал и слышал за последнее время!

Спасибо @OxFi5t за прекрасный ресерч!

Если честно, боюсь представить, сколько приложений подвержено этой проблеме.. Учитывая, что согласно нашему последнему анализу, примерно каждое 4-е приложение использует Jetpack :)

Но думаю, очень скоро мы это узнаем))
Forwarded from Android Guards
Опять Android, опять навигация. Я уже рассказывал вам про интересную технику эксплуатации уязвимости в библиотеке Jetpack Navigation, которую обнаружил мой коллега. Кто не читал, обязательно ознакомьтесь. В той статье шла речь про навигацию для приложений использующих фрагменты. Но проблема не только в них. Поэтому я решил посмотреть что там с расширением для Jetpack Compose и оказалось, что там все еще веселее. Техники эксплуатации этой уязвимости даже более простые, чем в предыдущем варианте. Исследование вышло в двух вариантах:
1. На английском языке в блоге PT SWARM
2. На русском языке в моем личном блоге

Надеюсь вам понравится.
Что выгодней — свое железо или облако?

На первый взгляд облако кажется идеальным решением: не нужно сразу вкладываться в железо, можно быстро масштабироваться, легко получать доступ к новым технологиям.
Однако стоит копнуть чуть глубже, и картина становится не такой однозначной.
Особенно когда речь заходит о долгосрочной перспективе и финансах.

Сегодня мы в ServerFlow попробуем разобраться, что же действительно выгоднее: аренда облачных ресурсов или покупка своего оборудования.
↘️ https://habr.com/ru/companies/serverflow/articles/849784/
...