Начинаем понедельник с эндорфина.

#КиберМем

Твой Пакет Безопасности

​Тебя тоже прослушивают?

Тут на конференции 2023 Digital Technology Ecological Conference одна китайская компания представила свой очередной смартфон – Mate 60 Pro Quantum Security. Казалось бы, "ну представила и представила", но сделали они это с громким заявлением, что этот телефон защищает его пользователей от той самой прослушки.

Huawei там накрутили сразу три фактора для защиты – начиная с шифрования потока и заканчивая навороченной симкой с квантовой защитой (маркетинг порой такой маркетинг). Насколько я понял, работает весь этот безопасный слоёный пирог только при использовании VoLTE (Voice over LTE, который работает только с интернетом).

Ну давайте разбираться.

Во-первых, скорее всего, вся эта безопасность будет работать только между фирменными устройствами компании Huawei, а навороченная симка поставляется только одной местной телеком-компанией (China Telecom).

Во-вторых, думаю, что всем очевидно, что компания полу-государственная, а в Китае не любят технологии, которые как-то ограничивают правительство. А это означает, что даже внутри страны с фирменными телефонами и симками у государства будет полный доступ через свои ключи шифрования или бэкдоры (вот тут подробнее). Так что прослушка будет, но только от госслужб.

По факту, никакой защиты и в помине нет, так что продолжаем дальше пользоваться своими старыми-добрыми мобильными устройствами.

Само собой, лично я надеюсь, что настнут времена, когда все телеком-операторы придут к общему соглашению и создадут технологию, которая будет защищать наши разговоры хотя бы от злоумышленников. Но это уже совсем другая история.

#НовостьДня

Твой Пакет Безопасности

​Что будем смотреть сегодня?

Я тут осознал, что каналу уже почти год, а я даже ни разу не сделал какой-то подборки фильмов и сериалов на тему кибербезопаности (или делал, но не смог найти). А ведь это тот вид контента, который порой может неплохо замотивировать или направить на путь истинный тех, кто трудится в сфере ИТ и ИБ (меня так однажды зацепил Мистер Робот, например).

Ситуацию надо исправлять, поэтому сегодня будет подборка сериалов на тему кибербеза, которые я смотрел (и мне зашло) или планирую посмотреть (по многочисленным рекомендациям и положительным отзывам). Ну погнали.

👉 Кремниевая долина (2014 год) – я совсем недавно добрался до этого сериала и нисколько не пожалел. Он не совсем про кибербез (хотя его там достаточно), но он просто обязателен к просмотру всем айтишникам (желательно в переводе Кубика в Кубе).

👉 Призрак в доспехах (2002 год) – да, это аниме. Думаю, что многие из вас видели одноименный фильм со Скарлетт Йоханссон. Так вот это еще круче, насыщеннее и интереснее.

👉 Мистер Робот (2015 год) – ну я просто не мог его не упомянуть. Просто шедевр с хорошими бюджетами и шикарным Рами Малеком. Если еще не смотрели этот сериал, то не сдерживайте себя, оно того стоит.

👉 Полицейский с YouТюба (2023 год) – российский (да-да) сериал про “киберполицейских” (судя по всему, он уже успел собрать с десяток премий на зарубежных кинофестивалях). Многие мне его советовали, но сам я ещё не успел посмотреть. Так что, если доберетесь до него раньше меня, то пишите в комментарии, обсудим.

👉 Что касается популярного Черного зеркала (2011 год) – лично мне не очень зашло, так как каждая серия всё больше вгоняла в какой-то мрак, так что советую смотреть его с перерывами на что-то позитивное и точечно выбирать серии, так как не все из них интересные (как по мне).

Смотреть полезный образовательный контент, это, конечно, хорошо, но иногда можно глянуть и что-то художественно-фантастическое. Ну всё, всем приятного просмотра!

Свои советы к просмотру накидывайте в комментарии – будем обсуждать.

#Мнение

Твой Пакет Безопасности

​Что насчет квишинга?

Про то, что такое фишинг и какие у него есть разновидности, мы с вами говорили уже не раз (вот тут, например). Настало время пополнить свой словарь и узнать о достаточно свежем термине из той же области – квишинг, а точнее, Quishing. Собственно, это такой вид фишинга, который основан на использовании поддельных и вредоносных QR-кодах (о которых мы уже говорили вот тут и тут). Если кратко, то это использование вредоносных QR-кодов, благодаря которым можно как перенаправляют жертву на поддельные ресурсы, так и в взломать ее устройство, например.

Квишингу не просто так придумали отдельное название. Это связано с тем, что подобных атак стало слишком много в последнее время. Согласно отчетам ReliaQuest (а это не последняя компания в мире кибербеза), количество инцидентов, связанных с квишингом, увеличилось вдвое за последние несколько месяцев.

Причем использовать эти тактики начали не только энтузиасты-одиночки, но и небезызвестные хакерские группировки. А атаковать начали не только обычных пользователей, но и сотрудников компаний через корпоративную почту, например. Ну а для нашей страны это еще более актуальная угроза, так как после отключения Apple Pay, все стали переходить на оплату по тем самым QR-кодам.

И да, помните, что вредоносные коды вам могут подложить как в письме в вашем электронном ящике, так и на любых сайтах, даже тех, которым вы доверяете.

#Кибергигиена

Твой Пакет Безопасности

​Безопасные интерфейсы

У меня тут накопилось достаточно большое количество полезных материалов для обеспечения (и тестирования) безопасности API. Но информации было настолько много, что я уж было решил состряпать очередной майндмап, чтобы всё это удобно структурировать и разложить по полочкам.

Благо, до того, как я это сделал, я наткнулся на одну очень крутую и интерактивную штуку, в которой есть уже практически всё, чем я хотел поделиться. Собственно, встречайте – тот самый имбалансный майндмап с целой кучей полезных ссылок и методов тестирования/фаззинга API – ссылка.

#Полезное

Твой Пакет Безопасности

​P@ssw0rd

Декабрь уже наступил, а это значит, что все компании принялись подводить итоги года и составлять свои ТОПы всего, чего только можно. Ребята из NordPass вот собрали рейтинг 200 самых небезопасных паролей за 2023 год. Суть их небезопасности в том, что они взламываются менее чем за 1 секунду.

Они даже сверстали симпатичный интерактивный сайт, где можно отсортировать пароли по странам (Россию не завезли в этот раз) и сферам применения. Там же они привели базовые правила по обеспечению безопасности паролей (само собой, для рекламы своих же решений) и небольшой блок со статистикой, где, судя по заявлениям Verizon, в 86% всех кибератак на веб-приложения используются украденные учетные данные.

Очень надеюсь, что среди этого ТОПа нет ничего, похожего на ваши пароли.Ну а полезные посты на тему безопасных паролей в нашем канале можно посмотреть тут и тут.

И да, для самый креативных – пароль, состоящий только из *** не является безопасным 🫠

#Кибергигиена

Твой Пакет Безопасности

Ну а сегодня в вашей любимой рубрике у нас скрин от одного из подписчиков. Так и живем.

#КиберМем

Твой Пакет Безопасности

​Кибер-ябедничество

Есть такая хакерская группировка – ALPHV (также известная как BlackCat), которая регулярно взламывает такие компании как Bandai Namco, MGM Resorts и McLaren Health Care (вот это я понимаю название). Так вот, они недавно взломали еще и организацию, которая занимается разработкой ПО для банков – MeridianLink.

Казалось бы, взломали и взломали. Вот только об этом инциденте стало известно не от жертвы атаки, а от той самой хакерской группировки, причем достаточно интересным способом. Взломщики сами подали заявление на свою жертву в комиссию по ценным бумагам США – SEC. Сделали они это под предлогом того, что компания MeridianLink не сообщила о взломе в установленные законом (который кстати еще не вступил в силу) сроки – 4 дня с момента инцидента.

Интересно и то, что в заявлении указано о том, что пострадали (а точнее утекли) данные клиентов компании. Видимо, выкупа за слитую информацию злоумышленники не получили.

Так и живем.

#НовостьДня

Твой Пакет Безопасности

​А вот и предновогодние подарки

Многие из вас наверняка заметили розыгрыши премиум-подписок в десятках Телеграм-каналов. Так вот, я тоже заметил, правда выиграть ни в одном из них так и не смог (классика). Собственно, настало время устроить подобный аттракцион и в нашем канале. Думаю, что начнем с премиумов, а там посмотрим, может и на что-то более существенное накопим.

Я пока не принял морально механику гивов (это когда для участия нужно подписаться на много разных каналов, которые по факту могут быть не очень полезными), поэтому это будет обычный розыгрыш призов без необходимости что-то делать дополнительно.

Так что "да пребудет с вами Сила". Ну и, само собой, можете не сдерживать себя в рекомендации этого канала вашим друзьям и знакомым (но без фанатизма).

Твой Пакет Безопасности

​Дорогая, я на тренировку

Как-то на одном из докладов я упоминал про то, что всем ИБшникам известны сервисы, где можно потренировать свои практические навыки в этичном хакинге и в обеспечении безопасности. А полезные ссылки так и не приложил. Настало время исправляться, поэтому ловите список тренировочных площадок и ресурсов, где можно оттачивать свои скиллы.

– Две суперзвезды на арене практического тестирования на проникновение – Hack The Box и TryHackMe

– Красивы тренажер для эксплуатации всего самого популярного, включая рейтинги OWASP – Kontra

– Сборник различных CTF-ов в одном месте – CTFtime + отечественный аналог – Codeby.games

– Для любителей Линукс-дистрибутивов – OverTheWire Bandit и Linux Journey

– Для любителей реверс-инжиниринга – Crackmes one и pwnable tw

Ну всё, запасаемся кофе и идём развлекаться тренироваться.

#Полезное

Твой Пакет Безопасности

​Так что смотрим-то в итоге?

Ну что, на прошлой неделе мы с вами обсудили кибербезопасные сериалы, поэтому настало время полнометражных фильмов. Ассортимент тут явно будет побогаче, так что погнали.

👉 Джонни Мнемоник (1995 год) – киберпанк, который мы заслужили, еще и с молодым Киану Ривзом.

👉 Хакеры (1995 год) – классика хакерского кино, еще и с Анджелиной Джоли.

👉 Пятая власть (2013 год) – художественная интерпретация всем известной истории с Wikileaks.

👉 Призрак в доспехах (1995 год) – да, опять аниме и опять годное.

👉 Бегущий по лезвию 2049 (2017 год) – Гослинг, Ана де Армас, Харрисон Форд, Джаред Лето и лютый киберпанк. Оригинал тоже достоин просмотра, но тяжеловат для восприятия.

👉 Кто я (2014 год) – фильм хоть и европейский, но денег в него отгрузили достаточно. Плюс к этому вы получите очень интересный сюжет. Один из лидеров моего топа.

👉 На крючке (2008 год) – достаточно драйвовое кино с харизматичным (и очень комичным) Шайа Лабафом.

Под конец написания списка пришло осознание, что фильмов, оказывается, слишком много, поэтому возможно позже будет какое-то продолжение (но это не точно).

Ну а свои варианты также пишите в комментарии, будем пополнять кибер-библиотеку.

#Мнение

Твой Пакет Безопасности