ЛИГА ЗАБЛОКИРОВАННОГО ИНТЕРНЕТА
Тут наткнулся на интересную статью на тему того, как и почему попытки российских властей заблокировать отдельные сайты или протоколы влияют на интернет-трафик соседних стран. Статья написана про Казахстан, но, в целом, актуальна и для остальных стран Центральной Азии и Кавказа. А так же для многих стран, граничащих с "большими соседями", любящими цензурировать интернет.
https://taspanews.kz/novosti-kazakhstana/tsifrovoe-rabstvo-ili-tekhnicheskaya-zavisimost-kak-kazakhstan-stal-zalozhnikom-rossiyskogo-interneta-746612452884/

Если вдруг кто-то, как и я, является активным пользователем Notion, и напрягся после их объявления о грядущей блокировке российских аккаунтов, я пару дней потерроризировал их поддержку и смог добиться ответа на два вопроса.

1. Как проверяется принадлежность аккаунта к России? - Это происходит по платёжным документам. Если вы никогда не платили за Notion с российских счетов/карт - вам не о чем волноваться, под блокировку ваш аккаунт не попадёт.

2. Можно ли сменить юрисдикцию аккаунта при наличии документов, подтверждающих то, что в РФ я не проживаю? - Предусмотрен только один механизм определения юрисдикции аккаунта - по платёжным документам. Если хоть раз вы оплачивали аккаунт с российских счетов - спасти его не выйдет.

ВЕТЕР И ЛАВОВЫЕ ЛАМПЫ НА СТРАЖЕ ВАШЕЙ БЕЗОПАСНОСТИ

Сегодня криптография имеет одну фундаментальную проблему – современные компьютеры не умеют генерировать случайные числа, необходимые для любого надёжного алгоритма шифрования. Каждая компания-производитель криптографических средств изощряется по-своему в попытке создать свой собственный генератор случайных чисел, обычно, прикручивая его к чему-то из реального мира – просят поводить пользователя по экрану, постучать по клавиатуре и т.д. Но такие способы работают, когда случайные числа надо генерировать нечасто.

Самые оригинальные варианты ГСЧ, конечно, появляются, когда у компании образовывается необходимость генерировать случайные числа в «промышленных» объёмах. Часто, в таких случаях используют особенности той среды, где работает генератор случайных чисел. Колебания температуры, вибрации, ядерный распад, квантовые флуктуации – всё может идти в ход, но, наверное, самыми красивыми вариантами для меня являются примеры random.org и Cloudfare

Первый – это просто сайт, генерирующий случайные числа всем желающим. И делает он это из шума ветра… Ну, точнее, не только ветра – ещё и молнии, дождя и прочих атмосферных явлений. Ребята просто берут звуковую дорожку с записью этих звуков и преобразуют её в набор чисел.

Вторые – это, пожалуй, самый известный поставщик услуг для безопасности в интернете. CDN, анти-DDoS, TLS-сертификаты и вот это вот всё… И эти ребята решили соригинальничать ещё больше. Они просто взяли 100 лавовых ламп, поставили их к стенке… И начали снимать. Преобразовывая кадры в числовые последовательности, они тоже получили отличный генератор случайных чисел.

Что это, если не математическая поэзия – я не знаю)

Немного об ИБ-образовании

Когда я учился в универе, меня очень бесило то, что половина профильных преподавателей в универе никогда не работали по специальности. Сейчас, когда я около года сам периодически взаимодействую со сферой ИБ-образования уже с другой стороны, я начал понимать, в чём же причина. Об этом состоялась интересная дискуссия в комментариях к этому посту - https://t.me/cyber_edu/380 Но я решил расписать свои мысли подробнее здесь…

Помимо эволюции образования, в целом и ИТ-образования, в частности, о котором написано в посте, есть не менее важная проблема – зарплаты преподавателй. Понятно, что ситуация отличается от города к городу, от региона к региону, но, в среднем, они получаются, минимум, процентов на 20-30 ниже, чем зарплаты специалистов того же уровня в том же регионе. А, учитывая рост удалёнки для ИБ-шников в компаниях из Мск/СПб последние годы, зарплаты в вузах выглядят совсем грустно. Тягаться они могут, разве что, с зарплатами ИБ-специалистов на госслужбе. И то, не всегда.

При этом, активно развивается параллельная отрасль – онлайн-курсы. С одной стороны, они штампуют выпускников потоковым методом, при выдаче сертификатов об окончании, часто, закрывая глаза на их успехи, усердие и т.д., тем самым зарабатывая хорошие деньги, но формируя у профильных сообществ негативное отношение к себе. С другой стороны, они могут позволить привлекать для преподавания практикующих специалистов, платя им неплохие деньги (Тут вспоминается мой разговор с коллегой, который преподаёт в универе. Когда я ему озвучил сумму, которую мне платила одна из школ за полуторачасовую лекцию, он схватился за голову со словами «Я полугодовую программу курса за меньшую сумму составил»). И, в целом, если люди туда идут с конкретной целью – научиться, думаю, профильных знаний они оттуда вынести могут не меньше, чем из среднестатистического вуза, а то и больше. А по актуальности эти знания, точно, опережают вузовские от преподов-теоретиков на несколько порядков.

Вот и получается, что в вузы сейчас идут, в основном, либо энтузиасты своего дела, либо просто люди, которые не умеют продавать себя на рынке труда… Что с этим делать – ответа у меня нет. Наверное, это естественная эволюция системы образования, которая должна произойти. Но наблюдать за этим интересно, хоть и, порой, немного грустно.

Почему VPN заблокировать сложнее, чем сайты?

Периодически встречаю комментарии к новостям о блокировках с паническими настроениями. Что-то вроде «Ещё немного, и заблокируют вообще все VPN и средства обхода!» Пару слов о том, почему это не случится.

Как выглядит механизм блокировок сейчас? Росвласти выпустили постановление о необходимости установки провайдерами на своих сетях так называемых «технических средств противодействия угрозам». По сути, это обычный межсетевой экран – штука, существующая несколько десятков лет, только получившая очередное новое название. Ну и то, что теперь эти МСЭ получают правила фильтрации напрямую из РКН – тоже не то, чтобы сильно новый функционал .

И тут надо понимать их особенность работы – фильтрация проходящих через него данных по имени ресурса, на который (или с которого) они направлены, никак его не нагружает. А вот если им приходится смотреть глубже, включать более серьёзные правила, внимательнее анализировать трафик (а это всё необходимо для отслеживания разных VPN-протоколов)… В общем, пример того, как падает их пропускная способность с усилением глубины проверки, приведён на скрине (То, как эти цифры получаются – разговор отдельный, но, если даже сам производитель заявляет о падении пропускной способности в 10 раз при полном наборе алгоритмов анализа – значит, ситуация, и впрямь, очень серьёзная.

И тут ещё накладывается несовершенство в алгоритмах определения нужных протоколов VPN. И вопрос даже не в том, что многие протоколы сегодня эти устройства обнаружить не могут. Вопрос в том, что государство тоже пользуется VPN (да-да, а вам не даёт) - гостовыми VPN, и, когда провайдеры начинают звереть, выкручивать алгоритмы определения VPN на максимум, ТСПУ начинают блокировать эти самые ГОСТовые VPN-ки. Например, как раз, сегодня наблюдаю жалобы на это в нескольких чатах, посвящённым этим самым ГОСТовым VPN.

По сути, единственный вариант, при котором заблокировать могут все лазейки – это северокорейский сценарий, т.е., переход с работы по блэклисту на работу по вайтлисту. Насколько это будет губительно для экономики - представить сложно…

Платформа для тренировки ИБ-специалистов.

Российская ИБ-компания Positive technologies выкатила в свободный доступ свою платформу для тренировки специалистов по реагированию на инциденты - Standoff365 - cyberbones.standoff365.com До этого доступ к ней был только участникам различных профессиональных ИБ-конференций, сейчас же подключиться и опробовать свои навыки может любой желающий.

P.S. Из забавных моментов - требование подключения по OpenVPN (который заблокирован множеством провайдеров в РФ) для доступа к платформе. Почему компания, которая этим летом релизнула свой NGFW, решила для подключения использовать, именно OpenVPN - не сильно понятно (Возможно, VPN они туда просто не успели ещё прикрутить). Но, так или иначе, необходимость отдельным пользователям настраивать VPN over VPN для обучения ИБ - выглядит иронично.

P.P.S. Кстати, в моей подборке материалов по старту карьеры в Иб есть и неплохая подборка подобных сайтов для тренировки - https://www.notion.so/aleksei-pyrinov/59aae1207b07454a8deb87334e98f042

Взломать нейросеть

Если вы хотели попробовать себя в роли хакера, да ещё и супер-современного хакера, который ломает Web3, а не этот ваш древний Web2?) Короче, хотели ли когда-то попробовать взломать нейросеть?

Если да, то представляю вашему вниманию платформа от Lakera - gandalf.lakera.ai. По сути, это такой шуточный полигон для тренировки навыков обмана нейросети с целью получения у неё важной засекреченной информации. С каждым уровнем подключаются новые слои защиты. И, если на первом уровне можно просто попросить её сказать кодовое слово, то дальше это будет сделать всё сложнее. Когда-то давно, когда она состояла из 7 основных уровней, я сумел пробраться через их всех. А вот бонусный уровень, который сейчас стал 8, я, насколько я помню, пройти уже не смог...

Почему сейчас не стоит идти в пентест?

Суть поста вынесена в его заголовок. И я, действительно, считаю, что сейчас не лучшее время для того, чтобы становиться пентестером в РФ и русскоязычных странах. По крайней мере, для тех, кто только начинает свой путь в ИТ. Но, чтобы полностью донести свою мысль, надо начать с небольшой исторической справки.

Приход ковида очень сильно увеличил число вакансий, предлагающих удалённую работу во всём ИТ и диджитале. Из побочных эффектов - такой рост популярности удалёнки привлёк в ИТ большое количество людей. При чём, заходить они пытались через онлайн-школы. И, не подумайте, против онлайн-школ, в целом, я ничего не имею (сам преподавал в парочке). Вот только их популярность привела к тому, что рынок оказался перенасыщен джунами по самым "мейнстримным" специальностям. Работодатели, просто, не понимали, как выбрать специалиста, из-за чего требования к джунам взмыли до небес.

При всём при этом, тот самый буст удалёнки минимально коснулся ИБ. ИБшник на удалёнке, ещё 4-5 лет назад - было что-то за гранью понимания работодателей. В тот момент такой формат работы предлагали, в основном, только интеграторы-аутсорсеры (куда я, кстати, очень удачно и залетел в тот период). При всём при этом, начало войны спровоцировало резкий взлёт потребности в специалистах по информационной безопасности в РФ. А начало мобилизации и отток специалистов лишь усилил её. Всё это заставило компании пересмотреть свой подход к найму безопасников. Москва/Питер начали "пылесосить" регионы. А это значит, что? Это значит - запуск огромного числа курсов по безопасности в онлайн-школах.

При этом, многие школы пошли по пути наименьшего сопротивления, решив запустить курсы по самой популярной, самой романтизированной фильмами и играми, области ИБ - пентесту. И, если дефицит специалистов по ИБ, в целом, до сих пор не закрыт даже близко, рынок джунов-пентестеров вот-вот переполнится так же, как это случилось с другими ИТ специальностями ранее. И одно дело - если вы переходите в пентест с другой ИТ-специальности и можете претендовать на позицию, хотя бы, джун+, а, лучше, миддла... И совсем другое, если вы планируете искать в этом направлении свою первую работу... Во втором случае поиск затянется на очень долгое время, и не факт, что завершится успешно. (По поводу SOC, кстати, у меня есть такое же опасение, но пока это направление меньше подвержено данному веянию)

Поэтому, мой совет если вы только начинаете свой путь в ИБ, а, особенно, если только планируете начать обучение - присмотритесь к другим специальностям. Cloud Security, AppSec, DevSecOps, да даже та же сетевая безопасность или комплайенс - если не сильно горите желанием в будущем перебраться на международный рынок - будут гораздо более выигрышными вариантами.

РКН заблокирует 96% VPN!!!!

Эту новость с вопросом "неужели, всё настолько плохо?" мне прислали уже человек 5, поэтому, грех не воспользоваться инфоповодом и не высказаться тут) Итак, по-порядку...

Первое - откуда взялась эта цифра? Из федерального проекта «Инфраструктура кибербезопасности», входящего в национальный проект «Экономика данных и цифровая трансформация государства».

Второе - как это считали? И тут вопрос уже более интересный. Потому что, если смотреть полностью, то цифра в 96% должна быть достигнута к 2028 году. При чём, уже в 2025 она должна достичь 90%. То есть, сейчас показатель - процентов 85, минимум, исходя из логики документа. И это при том, что в Москве и СПб на многих провайдерах до сих пор продолжают работать почти все протоколы. Даже условные Wireguard/OpenVPN, заблокированные во многих регионах (Хотя, у некоторых провайдеров даже в Челябинске, который, по ощущениям, в числе лидеров, они до сих пор пашут. О своих мыслях на тему того, чем вызвана такая неоднородность блокировок - напишу как-нибудь другой пост.) То есть, до сих пор по стране, реально, не заблокировано и половины популярных протоколов.

Возможно, в документе идёт речь о блокировке IP-адресов известных VPN-сервисов... Но тогда встаёт вопрос, как считали 100% этих адресов. Если их обнаружили 100%, а заблокировали всего 96% - непонятно, почему пощадили 4% оставшихся. Если они предполагают, что осталось 4%, то как их посчитали, если их не обнаружили?

Как итог, вижу два варианта появления этой цифры, обе абсурдно-бюрократичные, какой вам нравится больше - выбирайте сами. Вариант первый - она она взята совсем их воздуха и не имеет ничего общего с реальностью. Вариант второй - составители документа понимают, что после блокировки одних адресов, VPN-сервису ничего не будет стоить перебраться на другие. И, поэтому, они считают, что существуют, условно, 100 активных адресов. Они их заблокировали, сервисы сменили свои адреса, старые адреса остались в блоке, теперь заблокировано 100 адресов, 100 активно. Результат - блокировка 50% VPN. Процедура повторяется - заблокировано 200, 100 активно. Результат - уже 66%! И так повторяем до достижения нужного результата)

Бомба в вашем кармане.

Любопытные новости кибербезопасности поступают из Ливана и Сирии. Конфликт между Израилем и Палестиной, в принципе, активно генерирует новости на тему инфобеза, но сегодня поступают особенно интересные сообщения (заранее предупреждаю, относиться к ним стоит с настороженностью, но за ситуацией я, точно, буду следить). Дело в том, что множества бойцов ливанской группировки «Хизбалла» одновременно взорвались пейджеры (для того, чтоб вернуть 2007 машина времени не нужна - достаточно самолёта). Израильские власти прозрачно намекают, что они приложили к этому руку. Число пострадавших перевалило несколько тысяч, появились первые данные о погибших.

И тут вопрос в том, как именно это произошло. Наиболее вероятный вариант, на мой взгляд - взрывные устройства были встроены в пейджеры самими членами Хизбаллы для оперативного уничтожения средств связи (при попадании в плен, утери аппарата и т.д.), израильские хакеры обошли защиту и смогли заставить сдетонировать все устройства. Но так же нельзя исключать и варианта, при котором израильская разведка смогла внедриться на производство этих пейджеров - судя по поступающей информации сдетонировали пейджеры новой поставки, месячной давности.

Самый абсурдный пока вариант, но, при этом, первый, приходящий в голову многим людям, читающим новости - это история про то, что израильская разведка смогла взломать обычные устройства, без дополнительной взрывчатки, и как-то программно повлияла на их аккумуляторы так, что пейджеры эволюционировали до состояния Galaxy Note 7. Такой вариант, в принципе, вряд ли реализуем при современном развитии технологий. Да и заставить их подорваться так синхронно - это что-то за гранью фантастики.

Так что, в целом, можно расслабиться и не бояться подрыва ваших телефонов. По крайней мере, это произойдёт не из-за взлома разведками или хакерами)

Продолжим про номадство. Ближайшие дни ещё будет трэвел-контент, а потом снова вернусь к ИБ...

Итак, Египет. В этой стране я пробыл суммарно месяца 4, из которых 3 - в Шарм-эль-Шейхе, и с месяц - в Каире, поэтому, рассказать о ней мне есть о чем. Начнем с того, что страна это довольно бедная. Несмотря на то, что средняя за там не сильно отличается от РФ или той же Армении, не стоит забывать об уровне религиозности в стране. А это значит - много детей и малый процент работающих женщин. Как итог - супер-низкие цены на местные товары. Особенно, в нетуристических местах. Манго и клубника по 100 руб/кг, кола по 10 руб/бутылка и т.д. - очень порадуют ваш кошелек. Цены на отели (если их брать не через Букинг) и услуги тоже приятные. Я, например, зимовал в Шарме пару лет назад, снимая неплохой номер за 10000 руб/месяц.

Но бедность населения имеет за собой и негативные для туристов последствия - в первую очередь, это отношение к вам, как к ходящему кошельку. На каждом шагу вам будут пытаться что-то продать или попросить милостыню.

Плюс, достаточно гнетущая атмосфера разрухи в том же Каире (но об этом в следующем посте). При этом, сами египтяне достаточно дружелюбны - если найти кого-то, кто не пытается вам ничего продать, можно очень классно с ним пообщаться.

И да то ещё одна важная особенность - будьте осторожны с камерами. Особенно, вдали от основных достопримечательностей. Сфоткав красивую мечеть, например, можно обрести очень много неприятностей...

#путешествия #digital_nomad

Каир...

Я постараюсь быть в этом посте непредвзятым, но не факт, что мне это удастся, потому что Каир продолжает возглавлять топ моих нелюбимых городов (несмотря на все старания моих друзей-фанатов этого города). При всём при этом, я понимаю, что отношение к Каиру очень сильно зависит от первого впечатления от него. И тут есть три варианта:

1. Тот вариант, который ассоциируется у большинства со словом Каир. Тот вариант, который выбрал я. Гиза, возле Долины Пирамид. Формально, это не район Каира, а отдельный город. Но эти два города давно уже слились в одну агломерацию, поэтому, будем считать Гизу одним из районов Каира) Главный плюс этого варианта - Пирамиды и сфинкс в шаговой доступности. Минусы... Концентрация попрошаек самая высокая в городе. На каждом шагу к вам будут цепляться торговцы в попытке продать хоть что-нибудь. Цены - туристические. То есть, не сильно высокие для, например, РФ, но огромные для Египта.
Ну и самое моё яркое впечатление от моего первого визита в Каир, которое не осталось больше ни у кого, с кем я общался (возможно, мне просто повезло с погодой). Тут нужно небольшое вступление - дело в том, что въезд в Гизу запрещён для автомобилей (учитывая их количество там, подозреваю, что это, как и всё в Египте, решается лишь нужно суммой), поэтому, основные средства передвижения по долине пирамид - это лошади и верблюды. А они... скажем так, являются очень активными биореакторами с неконтролируемым сбросом отходов... В общем, аромат над долиной стоял незабываемый.

2. Собственно, сам "Каир", в юридическом смысле. Пожалуй, этот вариант будет даже похуже предыдущего для знакомства с городом. Главным плюсом, лично для меня, является гранд-базар (в районе улицы Аль-Гамалеи) - место очень атмосферное. Плюс, конечно, исторические музеи (их с недавнего времени стало целых два) - по понятным причинам, такой коллекции древнеегипетских артефактов вы не найдёте больше нигде в мире (ну, кроме, разве что, британского музея).
А вот минусов... Разруха и нищета тут видны по зданиям - в Гизе все развалины выкупаются под отели-рестораны, а в самом Каире они стоят, рушатся вдоль главных магистралей. Плюс, вы будете проезжать самые бедные районы - там, судя по всему, совершенно нормальным является для строительных компаний сдавать дома без крыши. Вместо них, сверху домов просто торчит лес из свай. Что тут по криминальной обстановке - думать даже не хочется. На каждом углу стоит автозак, забитый людьми, вокруг него полиция в полной униформе с боевым оружием. Ну и мякотка - дорожное движение. Это проблема актуальна для всего Египта, но в не так густо заселённых районах, ощущается не так остро. Каир же - один из лидеров по численности населения в мире. А дорожное движение... Лучше всего, наверное, будет объяснить на примере - во время последней поездки я был в шоке от того, что возле отеля, наконец, заработал светофор. И водители даже в какой-то степени обращают на него внимание - как минимум, притормаживают. Но через пару дней всё стало нормально - светофор сломался.

3. Тот вариант, который я вам рекомендую, если вы приедете в Каир больше, чем на пару дней - Новый Каир. Этакий промежуточный вариант между Дубаем и Рублёвкой с Египетским влияением. Видимо, власти страны поняли, что старый город уже не спасти, и проще всё будет перестроить с нуля. План сработал. Получился огромный город, с атмосферными арабскими постройками, лишённый основных минусов и Гизы и Старого Каира. Строили его очень активно, поэтому, архитекторы дали себе волю и развлекались как могли (пример оставлю в комментариях). Тут нет попрошаек, такого количества полицейских. Цены чуть выше каирских, но не дотягивают до Газы. Клубника с манго по 50 руб/килограмм, кола по 10 рублей/бутылка и т.д. Очень уютные кварталы, красивые виды - в общем, в нём совершенно забываешь, что ты находишься в Каире. Главный минус - расстояние до основных туристических достопримечательностей - пирамид, музеев и т.д. Но, если вы едете туда не с целью оббежать всё за день-два, Старый Каир, на мой взгляд, лучший вариант.

#путешествия #digital_nomad

Заканчиваю тему Египта постом про Шарм-эш-Шейх.

Одна из мировых столиц дайвинга, один из самых дешёвых и (всё ещё) легкодоступных россиянам курортов. Имея удалённый доход 1,5-2к долларов тут можно перезимовать, чувствуя себя королём, не вылезая из моря, занимаясь дайвингом по несколько раз в неделю, питаясь одними фруктами/ягодами/морепродуктами.

К третьему месяцу можете начать скучать, так как в самом Шарме зимой развлечений не то, чтобы много - плавание, дайвинг, снорклинг... (Тут она считается не туристическим сезоном - слишком холодно. В самую холодную неделю января температура падает аж до 20-25 градусов днём и 15 ночью!) Но, как заскучаете - можете сгонять в Каир или Луксор (многие, побывавшие и там, и там, говорят, что Луксор сильно выигрывает у Каира. Судя по рассказам, это что-то типа Гизы, только без основных её минусов (см.предыдущий пост). Есть и автобусные туры, можно и на самолёте долететь за пару тысяч рублей.

Плюс, цены в это время очень приятные. Я, например, снимал комнату в 3-звёздочном отеле Шарма за 10000 руб/месяц. (Лайфхак - делать это лучше не через букинг. Бронируете номер на день, приезжаете, и на респешене объясняете, что вам нужен номер на 2-3 месяца - цена будет в несколько раз ниже. Как договариваетесь - отменяете бронирование. Если вам не повезло или не устроила цена - идёте в соседний отель с тем же вопросом - у вас есть целый день на такой поиск номера. Плюс, не забывайте - это Египет. Тут НУЖНО торговаться. Я этому, к сожалению, так и не научился полноценно. Но, чувствую, если бы умел, то упомянутые в начале абзаца 10000 превратились бы в 7, а то и 5 тысяч).

Минусы Шарма - общие для всего Египта. Очень большие проблемы с интернетом - Wi-Fi есть далеко не в каждом отеле, а, если и есть - качество сигнала оставляет желать лучшего. Мобильный интернет - не самый плохой, но очень лимитированный. Плюс, объём пакетов там надо делить на 2 от озвучиваемых операторами объёмов. Приставучих торговцев - далеко не так много, как в Каире (по крайней мере, зимой). Но их роль с успехом отыгрывают таксисты. Зимой машин в городе почти нет, кроме такси. (это, кстати, сильно упрощает переход дороги в сравнении с Каиром - на правила водителям тут наплевать точно так же) И каждый таксист будет сигналить, проезжая мимо вас, притормаживать и уговаривать подвезти.

В общем, для удалёнщиков Шарм - неплохое место, к которому рекомендую присмотреться. Не думаю, что он станет местом для вашей ежегодной зимовки, если вы не являетесь диким фанатом дайвинга, но, как минимум, если проведёте там одну зиму - не пожалеете.

#путешествия #digital_nomad

Развлекаюсь в ереванских дворах с новой игрушкой. (Надеюсь, за выходные получится наснимать контента получше)

Выбрался из ереванских дворов на склон Арагаца...

Будни онлайн-школ по ИБ...

P.S. Общался я с ними)

#информационная_безопасность #онлайн_школа