На фоне вчерашних новостей... Я тут понял, что не все в курсе - если вы по какой-то причине не хотите регистрироваться в лучшем в мире мессенджере, который ловит даже на парковке, вы всё ещё можете заходить в госуслуги без него. Это всё настраивается на странице Безопасность личного аккаунта

1. Очень сильно не советую, учитывая масштабы утечек данных, но вы можете просто отключить MFA (или "Вход с подтверждением", как это названо в интерфейсе госуслуг)

2. Самый лучший вариант - Нажмите "Выбрать другой способ" и включите "Вход по паролю и одноразовому коду (TOTP)" - это позволит вам заходить в госуслуги с использованием одноразовых кодов из любого TOTP-приложения - Microsoft authenticator (для Android, для iOS), Google Authenticator (для Android, для iOS), Proton Pass или любого другого - этот способ будет даже более безопасен, чем использование СМС или каких-то сомнительных мессенджеров)

Никогда не думал, что у меня могут быть одинаковые проблемы с Томом Холландом... Может, ему консультацию предложить?🤔

Я вам тут прекрасное принёс...

Оговорюсь сразу, написанное ниже - основано на "инсайдерах СМИ", полный текст документа пока нигде не публиковался. Формулировки довольно расплывчатые, и до конца не понятно, насколько сильно это затронет сферу кибербеза.
Самый-самый первоисточник новости, как я понимаю, вот эта статья Reuters.

Итак, неделю назад администрация президента США анонсировала изменения в процессе одобрения визы H-1B (рабочие визы для иностранных специалистов). Это было сделано публично, а непублично - она разослала предписание в консульства с требованием проверять, не работал ли заявитель по специальностям, ответственным за цензуру. И особенно мило выглядит список этих самых специальностей - дезинформация (спорно, но ок), модерация контента (допустим), (а вот дальше идёт лютая дичь) фактчекинг, комплайенс и (моё любимое) онлайн-безопасность.

Тут стоит оговориться, что online safety (термин, использованный Reuters в цитате этого документа) - это не совсем то же самое, что и cybersecurity, но области пересекаются. Так, если вы занимаетесь защитой персданных пользователей сайтов и онлайн-приложений - вы уже можете попасть в эту категорию... Плюс, не понятно, как будут трактовать сферу комплайенса - при достаточно широкой трактовке, по ней можно отсеять вообще всех безопасников.

Не то, чтобы я когда-то мечтал переехать в США, но знаю немало людей, которые такую возможность рассматривают...

Я тут немного доработал раздел с сайтами для практики из моей подборки материалов по старту карьеры в ИБ, и решил в честь приближающейся тысячи подписчиков и нового года устроить небольшой розыгрыш на канале.

Давайте так - с вас подписка на канал и рассказ в комментариях к этому посту - как вас занесло, вообще, в сферу ИБ, а с меня за лучшие рассказы - подписки на HackTheBox (подарочные карты на 25$) и TryHackMe (ваучеры на 2 месяца премиум-подписки) - на ваш выбор... Срок - неделя.

Немного о том, как не надо секретить информацию...

Иногда компании заносят под NDA очень странные пункты. Так, например, на одном острове в Средиземном море есть компания, которая запретила своим сотрудникам рассказывать, где именно они работают. Вот только компания не учла, что на этом острове - не так много крупных русскоязычных ИТ-компаний. И больше нет крупных компаний, которые такую информацию под NDA занесли. И теперь, если ИТшник с этого острова говорит, что место его работы находится под NDA, все прекрасно понимают, где именно он работает.

Уж не знаю, насколько эта система эффективна за пределами острова - наверное, всё-таки, на мировой арене она смотрится получше... Но забавно видеть, как при знакомстве все ухмыляются, когда ко-то говорит, что его место работы находится под NDA...

P.S. Название этой компании я вам не скажу, даже если когда-нибудь узнаю. Но знаки будут...

А я напоминаю, что уже завтра буду подводить итоги розыгрыша подписок на hackthebox и tryhackme. Так что, если занимаетесь на этих платформах - у вас ещё есть время принять участие!

Я тут вам 1,5 часа буллинга сетевых безопасников принес! 😅

Ну что, пора подводить итоги розыгрыша...

Историй было много, но подписки я решил отдать @mfwhfu, @loderk и @n3x5s. Все победители могут написать в личку канала (ответить могу не сразу, так как через 5 минут отправляюсь на корпоратив). Лучше, сразу пишите с указанием - что именно хотите получить в качестве приза - подарочную карту на 25$ на HackTheBox или ваучер на 2 месяца премиум-подписки TryHackMe.

Первый розыгрыш в истории канала считаю успешно завершённым! Надо будет повторить как-нибудь)

Что ж... Пощупал я эти ваши белые списки...

Хорошие новости - обойти их текущую реализацию все ещё можно. Плохие - задача становится все сложнее.

Для тех, кто в танке - в отдельных регионах РФ начиная с этого года перешли на новую модель блокировок сайтов. Если раньше все блокали по принципу черного списка - "все, что не запрещено явно - разрешено", то теперь начали пользоваться моделью "белых списков" - "все, что не разрешено явно - запрещено".

На практике это означает, что теперь там, где с черных списков перешли на белые, доступны лишь несколько десятков сайтов, типа госуслуг, банков, яндексовых сервисов и маркетплейсов. Плюс, все классические способы обхода, типа базовых прокси и VPN, перестают работать.

Внедряется такое пока локально - иногда в отдельных регионах, иногда - в отдельных городах, иногда, вообще, в пределах одной конкретной вышки (рядом с военными объектами), и, обычно, только для мобильного интернета. Но, что-то мне подсказывает, проблема будет усугубляться...

По сути, все, рабочие методы обхода, которые я смог найти на данный момент, либо тяжело масштабируются и имеют не высокую скорость (на данный момент - при сохранении тенденций на такие методы блокировок, методы их обхода тоже будут дорабатываться) - типа DNS-тунеля, либо основаны на попадании в узкую шёлку, которую разработчикам этих блокировок, скорее всего, пришлось оставить из-за сложного процесса разработки приложений, которые попали в этот БС. К подобным методам обхода относится, например, поднятие определённых VPN-протоколов (тот же xRay) на "православных" облаках (типа яндекса-сбера) и маскировки траффика под сервера белосписочных приложений (предположу, что фильтрация подключений к адресам, выделенным для этих облаков, просто, немного ослаблена, чтоб ненароком не заблочить что-то нужное). При должном уровне автоматизации, эту щёлку смогут, если не закрыть наглухо, то, как минимум, сделать ещё уже. Плюс, поднимать такие протоколы на своих именных серверах на "православных" облаках... Идея, как минимум, сомнительная.

Из любопытных особенностей - белые списки работают очень неравномерно. О том, что стандартные блокировки работают по-разному в зависимости от провайдера и региона, в целом, думаю, уже все знают. Но белые списки работают по-разному даже в пределах одного города и одного провайдера. Судя по всему, их настройки пока раскатываются не автоматически, поэтому, на каждой вышке они свои. И, когда ты идёшь/едешь по городу, а твой телефон переключается с одной вышки на другую, у тебя могут перестать работать одни способы обхода и начать работать другие.

Тенденция, конечно, очень невесёлая... Учитывая, что БС доходят до всё большего числа регионов, и все больше городов вводят их не как временное решение, а, как минимум, "до окончания войны" - думаю, ситуация будет все усугубляться, а средства осуществления блокировок по БС - лишь дорабатываться...