​Закрыть ворота

В Госдуме тут придумали и внесли новую поправку, согласно которой нам скоро могут запретить регистрироваться на отечественных ресурсах при помощи иностранных почтовых ящиков. Думаю, что эта инициатива идет от Минцифры. Ну а у меня к этому есть парочка комментариев.

Первый касается того, что я понимаю, откуда растут ноги – наши регуляторы хотят контролировать безопасность данных пользователей (то есть своих граждан), и это правильно. В случае чего, почтовые сервисы в РФ можно будет штрафовать за утечки или нарушение доступа. С того же гугла или майкрософта уже мало что можно потребовать. Плюс к этому, сервера находятся на нашей территории, что тоже важно.

Второй – в целом, у наших почтовых провайдеров достаточно высокий уровень зрелости айти, и сервисами можно удобно и комфортно пользоваться. В крайнем случае, можно настроить прямую переадресацию на свой ящик джимейла или аутлука.

Ну и третий – думаю, что скоро будет введено еще и ограничение, касающееся номеров телефонов только РФ-операторов связи. А еще, всё потихоньку сводится к тому, чтобы точно идентифицировать тех, кто пользуется какими-либо услугами и сервисами на территории РФ. Скорее всего, скоро все перейдут на авторизацию только через ID-сервисы (такие уже делает Тинькофф, Яндекс и прочие) или Госуслуги. Это значит, что регуляторы будут видеть действия пользователей в сети и иметь четкую привязку этих действий к своим гражданам.

Ну и, само собой, грустно то, что нас потихоньку продолжают отрезать от внешнего мира, чего очень не хочется.

#Мнение

Твой Пакет Безопасности

​Ну вот и внедрили

Судя по всему, все начальные тесты с прогонами завершены, и цифровой рубль выкатывают в полу-продакшен. Уже подписаны все законы о внедрении новой валюты и создании платформы для него. У нас в стране теперь официально есть три вида национальной валюты – цифровая, наличная и безналичная. Судя по всему, курс будет синхронизироваться между всеми ними (надеюсь, что не как с USDT).

Проблему я вижу одну и очень важную – система будет не децентрализованной, а все цифровые рубли будут храниться в одном месте – в ЦБ, то есть, в одной копилке. Хорошая новость заключается в том, что доступ к этой копилке будет организован только через сервисы банков, а не напрямую. Хотя, лично мне кажется, что так будет недолго, и спустя какое-то время доступ получат и другие организации.

Если я правильно читаю документы, то альфа-тестирование действительно завершено, а проект переведен в статус более глобального и объемного тестирования. По итогу, мы должны будем получить доступ к новому рублю где-то через 2 года.

Очень надеюсь, что ЦБ успеет подготовиться к этому времени и проработать максимально безопасную систему защиты своей новой копилки. Не ясно только, зачем мы опять начали выпускать купюры по 5 рублей.

#НовостьДня

Твой Пакет Безопасности

🔍 Как мигрировать в облако по-человечески: новый выпуск подкаста «Безопасно говоря»

Во втором эпизоде подкаста «Безопасно говоря» от Yandex Cloud обсудили, какие косты и другие факторы необходимо учитывать компаниям при миграции в облако, что выгоднее в перспективе трех-пяти лет — облако или on-premise — и что из этого в реальности безопаснее.

А еще поговорили с гостями из СДЭК и «Азбуки вкуса» о том, как снизить влияние человеческого фактора при миграции в облако, нужно ли обучать азам ИБ сотрудников крупных ритейл-компаний, почему необходимо побольше автоматизировать и почаще обнимать своих безопасников, и о многом другом.

🎧 Слушайте на Яндекс Музыке
💻 Смотрите на YouTube

#Реклама

Так и живем.

#КиберМем

Твой Пакет Безопасности

​Безопасный пароль нужен?

Я тут узнал (собрал небольшую статистику), что многие используют везде один и тот же пароль по причине того, что просто не могут быстро придумать новый и безопасный, когда им где-то надо зарегистрироваться или обновить старый пароль. По итогу моего мини-исследования оказалось, что у большинства людей есть где-то 2-4 пароля, которыми они ловко жонглируют, меняя их друг на друга на различных сайтах, сервисах и приложениях.

Само собой, 4 пароля лучше, чем 1. Проблема только в том, что эти 4 пароля распределяются на десятки разных сервисов, в которых у людей заведены аккаунты. В итоге, если взломают хоть один из сервисов, то злоумышленники получат доступ сразу к четверти от всех аккаунтов жертвы.

Само собой, я бы мог поделиться с вами тут лайфхаками по тому, как надо генерировать пароль, который лучше запоминается и тяжело взламывается. Но поверьте, при правильном подходе (когда везде используются уникальные пароли), у вас не хватит памяти и сил, чтобы запомнить каждый из них.

Я лично давно не запариваюсь и просто добавил себе в закладки вот такой генератор паролей от ЛастПасса – ссылка (тот самый, которого уже раза 3 ломали). И теперь, каждый раз, когда мне нужно изобрести новый сложный пароль, я просто захожу туда, ставлю нужные мне параметры (16 символов, Easy to read + все галочки справа), несколько раз генерирую пароль и выбираю понравившийся. По итогу мы имеем криптостойкий и уникальный пароль для каждого сервиса. Главное – не забывайте его регулярно менять.

Само собой есть теория, что я делаю что-то не так (я в нее пока не верю) или есть способ генерировать пароли еще эффективнее. Предлагаю обсудить в комментариях, как это делаете вы (сами пароли можете не присылать, ладно).

#Полезное

Твой Пакет Безопасности

​Больше контента

Не так давно я делал подборку по полезным ютуб-каналам, прямо или косвенно связанным с кибербезопаснотью. Судя по статистике, пост достаточно бодро разлетелся по Телеграму, поэтому сегодня продолжим эту историю (да, это всё еще не реклама).

Начнем мы с полезных ютуб-каналов из мира IT (да, без этого никуда), а точнее, с канала SOER-а. Тут и про JWT, и про код-ревью, и даже про правильный менеджмент в айти. В общем, я уверен, что многие найдут для себя тут что-то интересное и полезное.

Второй канал на сегодня – Podlodka. Эти ребята и конференции умеют организовывать, и целое АйТи-коммьюнити выстраивать. Соответственно, контент они снимают тоже качественный и актуальный.

Канал Space307 – перед их дизайнером я до сих пор преклоняю колено. В плане контента на канале, они очень схожи с Подлодкой – ролики максимально лёгкие по подаче, но при этом актуальные и полезные.

Еще есть один забавный канал – Listen IT. По сути, это просто озвучка статей с хабра и медиума, где за 10-15 минут разбирается какая-то одна тема из IT или ИБ. Очень удобно послушать на фоне, пока занимаешься какими-то другими задачами.

Если у вас есть свои любимые ИТ/ИБ-каналы, то буду признателен, если покидаете ссылок в комментариях.

#Полезное

Твой Пакет Безопасности

Бывает и такое.

#КиберМем

Твой Пакет Безопасности

​Новая рубрика

Судя по тому, как со стороны властей так и сыпятся инфоповоды, скоро у нас может появиться новая рубрика, которая только им и будет посвящена.

Начнем тотальной блокировки OpenVPN и Wireguard на территории РФ. Я пока не нашел официальных подтверждений, но, судя по слухам, у многих начали отваливаться их личные VPN-тоннели, построенные через эти два сервиса. Возможно ли это и похоже ли это на правду – да. Звучит это всё не очень хорошо, но это далеко не единственные доступные технологии для построения безопасного соединения, так что живем дальше.

Второй инфоповод связан с тем, что тут вдруг все начали паниковать из-за появления на Госуслугах их адреса фактического проживания. Туда же начали подтягиваться еще и РЖД-билеты после недавнего обновления системы. С точки зрения пользователя – вполне удобные функции. Думаю, что в ближайшем будущем этот портал будет в себе агрегировать максимальное количество данных о человеке, которые он будет подтягивать от партнеров (например, МВД). С точки зрения параноика – всё плохо, но не очень. Если вы думаете, что раньше никто не знал или не мог узнать место вашего фактического проживания, то вы ошибаетесь. Теперь просто его показывают и вам тоже. Другой вопрос, что скоро взломав госуслуги можно будет получить не только документы всех граждан, но и вообще любую информацию о них.

Ну и последняя новость про то, что ввласти решили создать отдельного сотового оператора для госорганов. Сказать, что я удивлен – не сказать ничего. Во-первых, в сотовых сетях и так есть огромная дыра, которую мы обсуждали ранее. Во-вторых, злоумышленникам теперь даже расследование проводить не надо будет – они сразу будут знать, что и где ломать, чтобы наслушаться интересных вещей. Я конечно верю в то, что там всё будет зашифровано и перешифровано, но пока что слабо себе представляю, как это будет реализовано.

#НовостьДня

Твой Пакет Безопасности

​Прикладываем безопасный подорожник

После начала блокировки самых популярных VPN-протоколов у многих возникли вопросы и проблемы с выбором замены. С самого начала я топил за то, что нет лучше замены, чем свой ВПН, поэтому погнали.

Я не буду копировать сюда полные мануалы по установке и настройке сервера, изменению конфигураций VPN и так далее. Я просто дам ссылку на алгоритм, по которому я шел, и прокомментирую нюансы, чтобы все эти процедуры не вызвали у вас головную боль и не отняли много времени. На всё про всё у меня ушло порядка получаса (без подготовки).

Я пользуюсь сервисом Outline (о том, почему им, мы обсуждали здесь), поэтому про него и расскажу. Чтобы было удобно и с картинками, можете включить этот ролик и начать по-порядку, а я буду комментировать некоторые шаги. Там всё достаточно подробно описано и я делал по аналогии с ним.

Во-первых, хостинг VPS/VDS – можете выбрать абсолютно любой, который вам понравится или для которого вы сможете найти реферальную ссылку со скидкой.

Во-вторых, для подключения к своему серверу по ssh автор использует MobaXtern, но я воспользовался старым-добрым FileZilla.

В-третьих, если у вас будут возникать какие-то проблемы с установкой Аутлайна на сервере, то просто копируете ошибку и вставляете ее в гугл – там уже всё давно решили. И да, у меня тоже не поставилось всё. с первого раза и без танцев с бубном.

В-четвертых, если у вас возникнут какие-то нерешаемые проблемы с установкой или настройкой – пишите в комменты или личку, попробуем вместе разобраться.

В-пятых, пользуйтесь на здоровье и берегите свои данные.

#Полезное

Твой Пакет Безопасности

​Слежки пост

Во-первых, Центральный Банк тут начал оправдываться и убеждать всех взволнованных граждан в том, что цифровой рубль (о которым мы не так давно говорили тут) не будет являться средством тотальной слежки за пользователями этого нового вида валюты. Я не очень понял, откуда вообще в обществе начались бурления по этому поводу, так как безналичные платежи уже являются таким средством. И да, все транзакции цифрового рубля можно будет легко отследить и проанализировать, так как система заявлена не как децентрализованная. К слову, наличку обещают пока не выводить из оборота.

Во-вторых, наверняка многие из вас уже услышали новость о том, что РКН тут провёл контрольную закупку нескольких десятков единиц Эппл-техники и Андроид-устройств. Сделали всё по-красоте через госзакупки, что сразу и спалило всю контору. Судя по всему, закупка нужна была для проведения комплексной проверки после инцидента, связанного с массовой слежкой через яблочные устройства (обсуждали тут). Всего было приобретено 54 устройства на разных ОС, так что работы у ребят теперь надолго хватит. И да, я не думаю, что это может вылиться в запрет использования каких-то устройств для обычных граждан, так что спим спокойно.

#Мнение

Твой Пакет Безопасности

Ну а пока я вам пишу небольшой гайд про настройку своего собственного безопасного (насколько это возможно) VPN-сервиса, ловите мем из запрещенных соцсетей.

#КиебрМем

Твой Пакет Безопасности

​Нет, ну ты видел?

Судя по всему, такой формат вам зашел, поэтому сегодня снова будет сразу несколько новостей из схожих тематик.

Начнем с того, что власти решили инициировать создание отечественного мессенджера. Тендер забрала себе компания, связанная с VK, а доступ к новому средству коммуникации получат (судя по всему) все чиновники и люди, связанные с госструктурами. Хочется надеяться на то, что упор на безопасность там сделают основной задачей. Если я все правильно понял, то это детище должно стать заменой Телеграму, а в пакет сервисов от нового разработчика войдет также календарь, менеджер задач, электронная почта, облако и видеозвонки.

Вторая новость касается наших любимых утечек данных граждан РФ. РКН решил ввести уголовную ответственность за все манипуляции (включая покупку, продажу и перепродажу) со слитыми персональными данными в даркнетах и прочих местах скопления злоумышленников. Привлекать всех будут по статье 137 УК РФ. К слову, всем известный Глаз Бога, также подпадает под эту статью. Инициатива кажется здравой, особенно с учетом того, что бОльшая часть наших данных уже гуляет по сети. Не ясно только, как таких людей будут искать и привлекать к этой ответственности.

Ну и завершим наш дайджест новостей инфоповодом, который касается серых симок. Всё тот же Роскомнадзор решил потребовать от операторов связи заблокировать сим-карты абонентов с неактуальными данными их владельцев. Это должно усложнить жизнь тем, кто звонит обычным гражданам от лица служб безопасности различных компаний и пытается их обмануть. На фоне этого, само собой, начали появляться новые схемы мошенничества, в которых жертвам теперь звонят от имени самих операторов с новостью о блокировке номера в случае отказа назвать код из смс (его они вам тоже отправят). По итогу они получают доступ к вашему аккаунту на Госуслугах.

К слову о серых симках – активность затронет не только плохих ребят, но и тех, кто до сих пор пользуется архивными корпоративными номерами (оформленными не на них), тех, кто использует серые симки в своих дачных роутерах и прочих невиновных.

#НовостьДня

Твой Пакет Безопасности

Совсем забыл поделиться с вами еще одной гордостью – я тут дал интервью одному крутому кибербезопасному изданию – Cyber Media. Поговорили с ребятами на тему построения информационной безопасности в различных отраслях и сферах бизнеса.

Если будет интересно, то велкам – https://securitymedia.org/articles/interview/roman-panin-mts-bazovye-printsipy-postroeniya-informatsionnoy-bezopasnosti-ostayutsya-neizmennymi-i-.html

Если вдруг у вас есть знакомые в каких-то СМИ, то не сдерживайте себя в рекомендациях, я всегда открыт к диалогу 😌

Твой Пакет Безопасности

​Искусство или интеллект?

Мы с вами уже не раз обсуждали, как злоумышленники применяют нейросетевые технологии и модный ИИ в своих целях (раз, два, три, четыре, пять). Но тут подкопилоась еще горстка инфоповодов на эту тему, которые настало время разобрать.

Все больше популяризируется FraudGPT – эта нейронка с платной подпиской (не самой дешевой), которая выступает в роли швейцарского ножа для тех, кто хочет навредить другим. Из названия ясно, что это чат-бот по аналогу с ChatGPT. Он умеет и выдавать вредоносный код по запросу, и писать фишинговые сообщения/письма, и создавать инструменты для дальнейшего обогащения на жертвах, и искать утечки персональных данных, и искать уязвимости в ПО.

Теперь же появились еще два детища от тех же энтузиастов – DarkBERT и DarkBART. Судя по всему, они не стали перегружать FraudGPT, чтобы диверсифицироваться, заработать побольше денег и разделить обучающие выборки. Нужны они для того, чтобы заниматься ревер-инжинирингом, OSINT-ом (о котором мы уже говорили ранее), а также распространять малвари. Обучаются они, судя по заявлениям разработчиков и сообщества, на данных прямо из даркнета.

И да, такое мы не одобряем, но знать о таких вещах надо.

#НовостьДня

Твой Пакет Безопасности