Так и живем.

#КиберМем

Твой Пакет Безопасности

​Безопасный пароль нужен?

Я тут узнал (собрал небольшую статистику), что многие используют везде один и тот же пароль по причине того, что просто не могут быстро придумать новый и безопасный, когда им где-то надо зарегистрироваться или обновить старый пароль. По итогу моего мини-исследования оказалось, что у большинства людей есть где-то 2-4 пароля, которыми они ловко жонглируют, меняя их друг на друга на различных сайтах, сервисах и приложениях.

Само собой, 4 пароля лучше, чем 1. Проблема только в том, что эти 4 пароля распределяются на десятки разных сервисов, в которых у людей заведены аккаунты. В итоге, если взломают хоть один из сервисов, то злоумышленники получат доступ сразу к четверти от всех аккаунтов жертвы.

Само собой, я бы мог поделиться с вами тут лайфхаками по тому, как надо генерировать пароль, который лучше запоминается и тяжело взламывается. Но поверьте, при правильном подходе (когда везде используются уникальные пароли), у вас не хватит памяти и сил, чтобы запомнить каждый из них.

Я лично давно не запариваюсь и просто добавил себе в закладки вот такой генератор паролей от ЛастПасса – ссылка (тот самый, которого уже раза 3 ломали). И теперь, каждый раз, когда мне нужно изобрести новый сложный пароль, я просто захожу туда, ставлю нужные мне параметры (16 символов, Easy to read + все галочки справа), несколько раз генерирую пароль и выбираю понравившийся. По итогу мы имеем криптостойкий и уникальный пароль для каждого сервиса. Главное – не забывайте его регулярно менять.

Само собой есть теория, что я делаю что-то не так (я в нее пока не верю) или есть способ генерировать пароли еще эффективнее. Предлагаю обсудить в комментариях, как это делаете вы (сами пароли можете не присылать, ладно).

#Полезное

Твой Пакет Безопасности

​Больше контента

Не так давно я делал подборку по полезным ютуб-каналам, прямо или косвенно связанным с кибербезопаснотью. Судя по статистике, пост достаточно бодро разлетелся по Телеграму, поэтому сегодня продолжим эту историю (да, это всё еще не реклама).

Начнем мы с полезных ютуб-каналов из мира IT (да, без этого никуда), а точнее, с канала SOER-а. Тут и про JWT, и про код-ревью, и даже про правильный менеджмент в айти. В общем, я уверен, что многие найдут для себя тут что-то интересное и полезное.

Второй канал на сегодня – Podlodka. Эти ребята и конференции умеют организовывать, и целое АйТи-коммьюнити выстраивать. Соответственно, контент они снимают тоже качественный и актуальный.

Канал Space307 – перед их дизайнером я до сих пор преклоняю колено. В плане контента на канале, они очень схожи с Подлодкой – ролики максимально лёгкие по подаче, но при этом актуальные и полезные.

Еще есть один забавный канал – Listen IT. По сути, это просто озвучка статей с хабра и медиума, где за 10-15 минут разбирается какая-то одна тема из IT или ИБ. Очень удобно послушать на фоне, пока занимаешься какими-то другими задачами.

Если у вас есть свои любимые ИТ/ИБ-каналы, то буду признателен, если покидаете ссылок в комментариях.

#Полезное

Твой Пакет Безопасности

Бывает и такое.

#КиберМем

Твой Пакет Безопасности

​Новая рубрика

Судя по тому, как со стороны властей так и сыпятся инфоповоды, скоро у нас может появиться новая рубрика, которая только им и будет посвящена.

Начнем тотальной блокировки OpenVPN и Wireguard на территории РФ. Я пока не нашел официальных подтверждений, но, судя по слухам, у многих начали отваливаться их личные VPN-тоннели, построенные через эти два сервиса. Возможно ли это и похоже ли это на правду – да. Звучит это всё не очень хорошо, но это далеко не единственные доступные технологии для построения безопасного соединения, так что живем дальше.

Второй инфоповод связан с тем, что тут вдруг все начали паниковать из-за появления на Госуслугах их адреса фактического проживания. Туда же начали подтягиваться еще и РЖД-билеты после недавнего обновления системы. С точки зрения пользователя – вполне удобные функции. Думаю, что в ближайшем будущем этот портал будет в себе агрегировать максимальное количество данных о человеке, которые он будет подтягивать от партнеров (например, МВД). С точки зрения параноика – всё плохо, но не очень. Если вы думаете, что раньше никто не знал или не мог узнать место вашего фактического проживания, то вы ошибаетесь. Теперь просто его показывают и вам тоже. Другой вопрос, что скоро взломав госуслуги можно будет получить не только документы всех граждан, но и вообще любую информацию о них.

Ну и последняя новость про то, что ввласти решили создать отдельного сотового оператора для госорганов. Сказать, что я удивлен – не сказать ничего. Во-первых, в сотовых сетях и так есть огромная дыра, которую мы обсуждали ранее. Во-вторых, злоумышленникам теперь даже расследование проводить не надо будет – они сразу будут знать, что и где ломать, чтобы наслушаться интересных вещей. Я конечно верю в то, что там всё будет зашифровано и перешифровано, но пока что слабо себе представляю, как это будет реализовано.

#НовостьДня

Твой Пакет Безопасности

​Прикладываем безопасный подорожник

После начала блокировки самых популярных VPN-протоколов у многих возникли вопросы и проблемы с выбором замены. С самого начала я топил за то, что нет лучше замены, чем свой ВПН, поэтому погнали.

Я не буду копировать сюда полные мануалы по установке и настройке сервера, изменению конфигураций VPN и так далее. Я просто дам ссылку на алгоритм, по которому я шел, и прокомментирую нюансы, чтобы все эти процедуры не вызвали у вас головную боль и не отняли много времени. На всё про всё у меня ушло порядка получаса (без подготовки).

Я пользуюсь сервисом Outline (о том, почему им, мы обсуждали здесь), поэтому про него и расскажу. Чтобы было удобно и с картинками, можете включить этот ролик и начать по-порядку, а я буду комментировать некоторые шаги. Там всё достаточно подробно описано и я делал по аналогии с ним.

Во-первых, хостинг VPS/VDS – можете выбрать абсолютно любой, который вам понравится или для которого вы сможете найти реферальную ссылку со скидкой.

Во-вторых, для подключения к своему серверу по ssh автор использует MobaXtern, но я воспользовался старым-добрым FileZilla.

В-третьих, если у вас будут возникать какие-то проблемы с установкой Аутлайна на сервере, то просто копируете ошибку и вставляете ее в гугл – там уже всё давно решили. И да, у меня тоже не поставилось всё. с первого раза и без танцев с бубном.

В-четвертых, если у вас возникнут какие-то нерешаемые проблемы с установкой или настройкой – пишите в комменты или личку, попробуем вместе разобраться.

В-пятых, пользуйтесь на здоровье и берегите свои данные.

#Полезное

Твой Пакет Безопасности

​Слежки пост

Во-первых, Центральный Банк тут начал оправдываться и убеждать всех взволнованных граждан в том, что цифровой рубль (о которым мы не так давно говорили тут) не будет являться средством тотальной слежки за пользователями этого нового вида валюты. Я не очень понял, откуда вообще в обществе начались бурления по этому поводу, так как безналичные платежи уже являются таким средством. И да, все транзакции цифрового рубля можно будет легко отследить и проанализировать, так как система заявлена не как децентрализованная. К слову, наличку обещают пока не выводить из оборота.

Во-вторых, наверняка многие из вас уже услышали новость о том, что РКН тут провёл контрольную закупку нескольких десятков единиц Эппл-техники и Андроид-устройств. Сделали всё по-красоте через госзакупки, что сразу и спалило всю контору. Судя по всему, закупка нужна была для проведения комплексной проверки после инцидента, связанного с массовой слежкой через яблочные устройства (обсуждали тут). Всего было приобретено 54 устройства на разных ОС, так что работы у ребят теперь надолго хватит. И да, я не думаю, что это может вылиться в запрет использования каких-то устройств для обычных граждан, так что спим спокойно.

#Мнение

Твой Пакет Безопасности

Ну а пока я вам пишу небольшой гайд про настройку своего собственного безопасного (насколько это возможно) VPN-сервиса, ловите мем из запрещенных соцсетей.

#КиебрМем

Твой Пакет Безопасности

​Нет, ну ты видел?

Судя по всему, такой формат вам зашел, поэтому сегодня снова будет сразу несколько новостей из схожих тематик.

Начнем с того, что власти решили инициировать создание отечественного мессенджера. Тендер забрала себе компания, связанная с VK, а доступ к новому средству коммуникации получат (судя по всему) все чиновники и люди, связанные с госструктурами. Хочется надеяться на то, что упор на безопасность там сделают основной задачей. Если я все правильно понял, то это детище должно стать заменой Телеграму, а в пакет сервисов от нового разработчика войдет также календарь, менеджер задач, электронная почта, облако и видеозвонки.

Вторая новость касается наших любимых утечек данных граждан РФ. РКН решил ввести уголовную ответственность за все манипуляции (включая покупку, продажу и перепродажу) со слитыми персональными данными в даркнетах и прочих местах скопления злоумышленников. Привлекать всех будут по статье 137 УК РФ. К слову, всем известный Глаз Бога, также подпадает под эту статью. Инициатива кажется здравой, особенно с учетом того, что бОльшая часть наших данных уже гуляет по сети. Не ясно только, как таких людей будут искать и привлекать к этой ответственности.

Ну и завершим наш дайджест новостей инфоповодом, который касается серых симок. Всё тот же Роскомнадзор решил потребовать от операторов связи заблокировать сим-карты абонентов с неактуальными данными их владельцев. Это должно усложнить жизнь тем, кто звонит обычным гражданам от лица служб безопасности различных компаний и пытается их обмануть. На фоне этого, само собой, начали появляться новые схемы мошенничества, в которых жертвам теперь звонят от имени самих операторов с новостью о блокировке номера в случае отказа назвать код из смс (его они вам тоже отправят). По итогу они получают доступ к вашему аккаунту на Госуслугах.

К слову о серых симках – активность затронет не только плохих ребят, но и тех, кто до сих пор пользуется архивными корпоративными номерами (оформленными не на них), тех, кто использует серые симки в своих дачных роутерах и прочих невиновных.

#НовостьДня

Твой Пакет Безопасности

Совсем забыл поделиться с вами еще одной гордостью – я тут дал интервью одному крутому кибербезопасному изданию – Cyber Media. Поговорили с ребятами на тему построения информационной безопасности в различных отраслях и сферах бизнеса.

Если будет интересно, то велкам – https://securitymedia.org/articles/interview/roman-panin-mts-bazovye-printsipy-postroeniya-informatsionnoy-bezopasnosti-ostayutsya-neizmennymi-i-.html

Если вдруг у вас есть знакомые в каких-то СМИ, то не сдерживайте себя в рекомендациях, я всегда открыт к диалогу 😌

Твой Пакет Безопасности

​Искусство или интеллект?

Мы с вами уже не раз обсуждали, как злоумышленники применяют нейросетевые технологии и модный ИИ в своих целях (раз, два, три, четыре, пять). Но тут подкопилоась еще горстка инфоповодов на эту тему, которые настало время разобрать.

Все больше популяризируется FraudGPT – эта нейронка с платной подпиской (не самой дешевой), которая выступает в роли швейцарского ножа для тех, кто хочет навредить другим. Из названия ясно, что это чат-бот по аналогу с ChatGPT. Он умеет и выдавать вредоносный код по запросу, и писать фишинговые сообщения/письма, и создавать инструменты для дальнейшего обогащения на жертвах, и искать утечки персональных данных, и искать уязвимости в ПО.

Теперь же появились еще два детища от тех же энтузиастов – DarkBERT и DarkBART. Судя по всему, они не стали перегружать FraudGPT, чтобы диверсифицироваться, заработать побольше денег и разделить обучающие выборки. Нужны они для того, чтобы заниматься ревер-инжинирингом, OSINT-ом (о котором мы уже говорили ранее), а также распространять малвари. Обучаются они, судя по заявлениям разработчиков и сообщества, на данных прямо из даркнета.

И да, такое мы не одобряем, но знать о таких вещах надо.

#НовостьДня

Твой Пакет Безопасности

​Лицо Apple Silicon видели?

Не так давно были обнаружены критические уязвимости в процессорах сразу двух крупных вендоров (чуть ли не единственных) – Intel и AMD.

Первое пробитие было у красных AMD. Уязвимость программная, поэтому затронула всю линейку процессоров с микроархитектурой ZEN (иными словами, практически все продаваемые устройства). Само собой, в компании уже собрали отчет с описанием проблемы и способов ее решения. Если кратко, то надо самим накатывать обновление, чтобы защититься от возможной атаки. Если этого не сделать, то, в случае эксплуатации злоумышленником этой уязвимости на вашем устройстве, вы можете лишиться всех своих важных данных, включая пароли, ключи шифрования и прочие ценности.

Думаю, что скоро AMD выпустят полноценное обновление безопасности, в котором всё уже будет зашито. Иронично то, что сам механизм найденной уязвимости стар как мир – это банальное переполнение буффера, а еще для его эксплуатации злоумышленнику нужно получить доступ к вашему железу.

Ну а второе пробитие произошло у конкурентов AMD – Intel. Тут уже затронуто не так много линеек процессоров, но все равно достаточно для поднятия шумихи. Ребята из Intel также уже выпустили небольшой патч для закрытия дыры, но официального отчета я так и не нашел – есть только такой. Тут уже не такие тривиальные механизмы взлома процессоров, но последствия схожи – риск потерять важные данные с устройства.

Ждем новостей от Qualcomm, Nvidia и остальных крупных игроков.

#НовостьДня

Твой Пакет Безопасности

​Птичий скам

Ловите очередную мошенническую схему вам в копилку кибергигены. Все вы наверное слышали о том, что у банка Qiwi сейчас есть некоторые проблемы с аудиторскими проверками (помню, как около года назад получил от них оффер на одну из ключевых позиций в ИБ, на которой должен был эти проверки курировать), из-за чего введены ограничения на вывод средств и денежные переводы для клиентов.

Собственно, на этом инфоповоде и начали плодиться новые мошеннические схемы. Все они концентрируются вокруг одной боли – ограничения. В разных местах (телеграм-каналы, телеграм-чаты, вотсап, вайбер, реклама в вк) начали появляться заманчивые предложения о том, что вам могут помочь с выводом средств с киви-кошельков за небольшой процент. Условия просты – вы переводите нужную сумму вашему новому помощнику на его киви-кошелек, а он вам пересылает эти деньги на счет другого банка за вычетом процента. Само собой, заканчивается всё уже на вашем переводе.

Могут быть еще и опции с обналичиванием ваших средств, когда вам обещают привезти бумажные деньги и отдать их лично в руки, но там схема обрывается на том же этапе. Это далеко не все вариации скама, который появился на фоне киви-новостей, но, я думаю, концепцию вы поняли.

Ну а ребятам из Qiwi я желаю поскорее избавиться от этих ограничений и восстановить свою репутацию. Уровень зрелости кибербеза там, кстати, очень крутой.

#КиберГигиена

Твой Пакет Безопасности