​Что там нового у РКН?

Во-первых, они решили проаудировать и сертифицировать все компании, которые обрабатывают наши с вами персональные данные. Раньше подобными вещами занималась большая аудиторская четверка или локальные регуляторы (в ФинТехе это был ЦБ, например). Теперь же всё хотят унифицировать и причесать. Идея крутая, но меня смущает тут две вещи.

Первая – где они возьмут столько кадров для того, чтобы регулярно эти аудиты и сертификации проводить – вообще не понятно. Напомню, у нас тут дикий дефицит на рынке труда, а людей нужно крайне много. Вторая – все эти аудиты обычно проводятся максимально халатно, без особого погружения и скорее для галочки. Изменится ли что-то, когда в игру войдет РКН – не понятно. Но если они разработают нормальную методологию, то какие-то шансы есть. К слову, позже РКН внес ремарку в эту новость, сказав, что это касается только тех компаний, которые обрабатывают более 1 млн записей о пользователях (таких тоже хватает).

Второй инфоповод, который нам не так давно подарил Роскомнадзор – это его намерение начать блокировать все ресурсы, которые учат людей эти самые блокировки обходить. В целом, смотрится вполне органично в рамках текущей политики РКН и закрытости интернетов. Но мы с вами уже знаем примеры того, как блокирующие органы проигрывали в кошки-мышки интернет-ресурсам, да и в тех же мессенджерах инструкций хватает.

#Мнение

Твой Пакет Безопасности

​Подписка, лайк и колокольчик

Что-то я давно не делился с вами полезными подкастами и ютуб-каналами. Решил собрать парочку каналов на разные около-ИБшные темы (пост не рекламный, честно).

Наверное, самый известный новостник в мире отечественного ИБ – канал SecLab. Можно посмотреть их дайджесты новостей за завтраком, чтобы не выпадать из инфополя ИБ.

Следом поделюсь каналом, который понадобится уже для того, чтобы не выпадать из инфополя IT. Тут есть не только дайджесты новостей, но и разборы полухайповых тем в АйТи.

А вот этот канал пару раз выручал меня быстрым и понятным ликбезом по каким-то узким темам, которые нужно было оперативно освоить.

Ну и на десерт – ловите крутую лекцию по безопасной архитектуре, ссылкой на которую поделился со мной один менти. Спикер пробежался (хоть и по верхам) по основным болевым точкам безопасных паттернов, так что для всех интересующихся – мастхэв.

#Полезное

Твой Пакет Безопасности

​Закрыть ворота

В Госдуме тут придумали и внесли новую поправку, согласно которой нам скоро могут запретить регистрироваться на отечественных ресурсах при помощи иностранных почтовых ящиков. Думаю, что эта инициатива идет от Минцифры. Ну а у меня к этому есть парочка комментариев.

Первый касается того, что я понимаю, откуда растут ноги – наши регуляторы хотят контролировать безопасность данных пользователей (то есть своих граждан), и это правильно. В случае чего, почтовые сервисы в РФ можно будет штрафовать за утечки или нарушение доступа. С того же гугла или майкрософта уже мало что можно потребовать. Плюс к этому, сервера находятся на нашей территории, что тоже важно.

Второй – в целом, у наших почтовых провайдеров достаточно высокий уровень зрелости айти, и сервисами можно удобно и комфортно пользоваться. В крайнем случае, можно настроить прямую переадресацию на свой ящик джимейла или аутлука.

Ну и третий – думаю, что скоро будет введено еще и ограничение, касающееся номеров телефонов только РФ-операторов связи. А еще, всё потихоньку сводится к тому, чтобы точно идентифицировать тех, кто пользуется какими-либо услугами и сервисами на территории РФ. Скорее всего, скоро все перейдут на авторизацию только через ID-сервисы (такие уже делает Тинькофф, Яндекс и прочие) или Госуслуги. Это значит, что регуляторы будут видеть действия пользователей в сети и иметь четкую привязку этих действий к своим гражданам.

Ну и, само собой, грустно то, что нас потихоньку продолжают отрезать от внешнего мира, чего очень не хочется.

#Мнение

Твой Пакет Безопасности

​Ну вот и внедрили

Судя по всему, все начальные тесты с прогонами завершены, и цифровой рубль выкатывают в полу-продакшен. Уже подписаны все законы о внедрении новой валюты и создании платформы для него. У нас в стране теперь официально есть три вида национальной валюты – цифровая, наличная и безналичная. Судя по всему, курс будет синхронизироваться между всеми ними (надеюсь, что не как с USDT).

Проблему я вижу одну и очень важную – система будет не децентрализованной, а все цифровые рубли будут храниться в одном месте – в ЦБ, то есть, в одной копилке. Хорошая новость заключается в том, что доступ к этой копилке будет организован только через сервисы банков, а не напрямую. Хотя, лично мне кажется, что так будет недолго, и спустя какое-то время доступ получат и другие организации.

Если я правильно читаю документы, то альфа-тестирование действительно завершено, а проект переведен в статус более глобального и объемного тестирования. По итогу, мы должны будем получить доступ к новому рублю где-то через 2 года.

Очень надеюсь, что ЦБ успеет подготовиться к этому времени и проработать максимально безопасную систему защиты своей новой копилки. Не ясно только, зачем мы опять начали выпускать купюры по 5 рублей.

#НовостьДня

Твой Пакет Безопасности

🔍 Как мигрировать в облако по-человечески: новый выпуск подкаста «Безопасно говоря»

Во втором эпизоде подкаста «Безопасно говоря» от Yandex Cloud обсудили, какие косты и другие факторы необходимо учитывать компаниям при миграции в облако, что выгоднее в перспективе трех-пяти лет — облако или on-premise — и что из этого в реальности безопаснее.

А еще поговорили с гостями из СДЭК и «Азбуки вкуса» о том, как снизить влияние человеческого фактора при миграции в облако, нужно ли обучать азам ИБ сотрудников крупных ритейл-компаний, почему необходимо побольше автоматизировать и почаще обнимать своих безопасников, и о многом другом.

🎧 Слушайте на Яндекс Музыке
💻 Смотрите на YouTube

#Реклама

Так и живем.

#КиберМем

Твой Пакет Безопасности

​Безопасный пароль нужен?

Я тут узнал (собрал небольшую статистику), что многие используют везде один и тот же пароль по причине того, что просто не могут быстро придумать новый и безопасный, когда им где-то надо зарегистрироваться или обновить старый пароль. По итогу моего мини-исследования оказалось, что у большинства людей есть где-то 2-4 пароля, которыми они ловко жонглируют, меняя их друг на друга на различных сайтах, сервисах и приложениях.

Само собой, 4 пароля лучше, чем 1. Проблема только в том, что эти 4 пароля распределяются на десятки разных сервисов, в которых у людей заведены аккаунты. В итоге, если взломают хоть один из сервисов, то злоумышленники получат доступ сразу к четверти от всех аккаунтов жертвы.

Само собой, я бы мог поделиться с вами тут лайфхаками по тому, как надо генерировать пароль, который лучше запоминается и тяжело взламывается. Но поверьте, при правильном подходе (когда везде используются уникальные пароли), у вас не хватит памяти и сил, чтобы запомнить каждый из них.

Я лично давно не запариваюсь и просто добавил себе в закладки вот такой генератор паролей от ЛастПасса – ссылка (тот самый, которого уже раза 3 ломали). И теперь, каждый раз, когда мне нужно изобрести новый сложный пароль, я просто захожу туда, ставлю нужные мне параметры (16 символов, Easy to read + все галочки справа), несколько раз генерирую пароль и выбираю понравившийся. По итогу мы имеем криптостойкий и уникальный пароль для каждого сервиса. Главное – не забывайте его регулярно менять.

Само собой есть теория, что я делаю что-то не так (я в нее пока не верю) или есть способ генерировать пароли еще эффективнее. Предлагаю обсудить в комментариях, как это делаете вы (сами пароли можете не присылать, ладно).

#Полезное

Твой Пакет Безопасности

​Больше контента

Не так давно я делал подборку по полезным ютуб-каналам, прямо или косвенно связанным с кибербезопаснотью. Судя по статистике, пост достаточно бодро разлетелся по Телеграму, поэтому сегодня продолжим эту историю (да, это всё еще не реклама).

Начнем мы с полезных ютуб-каналов из мира IT (да, без этого никуда), а точнее, с канала SOER-а. Тут и про JWT, и про код-ревью, и даже про правильный менеджмент в айти. В общем, я уверен, что многие найдут для себя тут что-то интересное и полезное.

Второй канал на сегодня – Podlodka. Эти ребята и конференции умеют организовывать, и целое АйТи-коммьюнити выстраивать. Соответственно, контент они снимают тоже качественный и актуальный.

Канал Space307 – перед их дизайнером я до сих пор преклоняю колено. В плане контента на канале, они очень схожи с Подлодкой – ролики максимально лёгкие по подаче, но при этом актуальные и полезные.

Еще есть один забавный канал – Listen IT. По сути, это просто озвучка статей с хабра и медиума, где за 10-15 минут разбирается какая-то одна тема из IT или ИБ. Очень удобно послушать на фоне, пока занимаешься какими-то другими задачами.

Если у вас есть свои любимые ИТ/ИБ-каналы, то буду признателен, если покидаете ссылок в комментариях.

#Полезное

Твой Пакет Безопасности

Бывает и такое.

#КиберМем

Твой Пакет Безопасности

​Новая рубрика

Судя по тому, как со стороны властей так и сыпятся инфоповоды, скоро у нас может появиться новая рубрика, которая только им и будет посвящена.

Начнем тотальной блокировки OpenVPN и Wireguard на территории РФ. Я пока не нашел официальных подтверждений, но, судя по слухам, у многих начали отваливаться их личные VPN-тоннели, построенные через эти два сервиса. Возможно ли это и похоже ли это на правду – да. Звучит это всё не очень хорошо, но это далеко не единственные доступные технологии для построения безопасного соединения, так что живем дальше.

Второй инфоповод связан с тем, что тут вдруг все начали паниковать из-за появления на Госуслугах их адреса фактического проживания. Туда же начали подтягиваться еще и РЖД-билеты после недавнего обновления системы. С точки зрения пользователя – вполне удобные функции. Думаю, что в ближайшем будущем этот портал будет в себе агрегировать максимальное количество данных о человеке, которые он будет подтягивать от партнеров (например, МВД). С точки зрения параноика – всё плохо, но не очень. Если вы думаете, что раньше никто не знал или не мог узнать место вашего фактического проживания, то вы ошибаетесь. Теперь просто его показывают и вам тоже. Другой вопрос, что скоро взломав госуслуги можно будет получить не только документы всех граждан, но и вообще любую информацию о них.

Ну и последняя новость про то, что ввласти решили создать отдельного сотового оператора для госорганов. Сказать, что я удивлен – не сказать ничего. Во-первых, в сотовых сетях и так есть огромная дыра, которую мы обсуждали ранее. Во-вторых, злоумышленникам теперь даже расследование проводить не надо будет – они сразу будут знать, что и где ломать, чтобы наслушаться интересных вещей. Я конечно верю в то, что там всё будет зашифровано и перешифровано, но пока что слабо себе представляю, как это будет реализовано.

#НовостьДня

Твой Пакет Безопасности

​Прикладываем безопасный подорожник

После начала блокировки самых популярных VPN-протоколов у многих возникли вопросы и проблемы с выбором замены. С самого начала я топил за то, что нет лучше замены, чем свой ВПН, поэтому погнали.

Я не буду копировать сюда полные мануалы по установке и настройке сервера, изменению конфигураций VPN и так далее. Я просто дам ссылку на алгоритм, по которому я шел, и прокомментирую нюансы, чтобы все эти процедуры не вызвали у вас головную боль и не отняли много времени. На всё про всё у меня ушло порядка получаса (без подготовки).

Я пользуюсь сервисом Outline (о том, почему им, мы обсуждали здесь), поэтому про него и расскажу. Чтобы было удобно и с картинками, можете включить этот ролик и начать по-порядку, а я буду комментировать некоторые шаги. Там всё достаточно подробно описано и я делал по аналогии с ним.

Во-первых, хостинг VPS/VDS – можете выбрать абсолютно любой, который вам понравится или для которого вы сможете найти реферальную ссылку со скидкой.

Во-вторых, для подключения к своему серверу по ssh автор использует MobaXtern, но я воспользовался старым-добрым FileZilla.

В-третьих, если у вас будут возникать какие-то проблемы с установкой Аутлайна на сервере, то просто копируете ошибку и вставляете ее в гугл – там уже всё давно решили. И да, у меня тоже не поставилось всё. с первого раза и без танцев с бубном.

В-четвертых, если у вас возникнут какие-то нерешаемые проблемы с установкой или настройкой – пишите в комменты или личку, попробуем вместе разобраться.

В-пятых, пользуйтесь на здоровье и берегите свои данные.

#Полезное

Твой Пакет Безопасности

​Слежки пост

Во-первых, Центральный Банк тут начал оправдываться и убеждать всех взволнованных граждан в том, что цифровой рубль (о которым мы не так давно говорили тут) не будет являться средством тотальной слежки за пользователями этого нового вида валюты. Я не очень понял, откуда вообще в обществе начались бурления по этому поводу, так как безналичные платежи уже являются таким средством. И да, все транзакции цифрового рубля можно будет легко отследить и проанализировать, так как система заявлена не как децентрализованная. К слову, наличку обещают пока не выводить из оборота.

Во-вторых, наверняка многие из вас уже услышали новость о том, что РКН тут провёл контрольную закупку нескольких десятков единиц Эппл-техники и Андроид-устройств. Сделали всё по-красоте через госзакупки, что сразу и спалило всю контору. Судя по всему, закупка нужна была для проведения комплексной проверки после инцидента, связанного с массовой слежкой через яблочные устройства (обсуждали тут). Всего было приобретено 54 устройства на разных ОС, так что работы у ребят теперь надолго хватит. И да, я не думаю, что это может вылиться в запрет использования каких-то устройств для обычных граждан, так что спим спокойно.

#Мнение

Твой Пакет Безопасности