Привет всем!

Я хочу поделиться хорошими новостями из области исследований веб-приложений на Python! Вместе со своим коллегой Святославом мы провели исследовательскую работу, посвященную анализу помеченных данных, и подтвердили предыдущие исследования сотрудников ИСП РАН, которые говорили о том, что память в Python не очищается.

Особо хочется отметить, что наша работа была выполнена с использованием двух инструментов ИСПа - Natch и Блесна. Эти инструменты помогли нам в построении поверхности атаки и нахождении уязвимостей в Python.

На самом деле, мы нашли баг в питоне, используя методику Natch и модели, созданные в Блесне. Для этого мы записали трассу и применили секретную фичу Natch для пометки определенных фрагментов сетевого трафика с чувствительной информацией. На основании этих помеченных функций мы выбрали несколько кандидатов для построения их модели в Блесне и дальнейшего поиска потенциальных утечек.

Строить модели в Блесне оказалось не так просто, как нам казалось вначале. Мы обнаружили, что не все функции подходят для этого подхода. Например, для очень "горячих" функций в Блесне возникало слишком много задач.

Однако, нашим основным результатом является то, что помеченные чувствительные данные, после работы с ними в Python, остались в памяти. Это подтверждает предыдущие исследования и подчеркивает важность разработки оптимального подхода к очистке памяти в Python.

Мы рады поделиться этим опытом с нашим sdl-сообществом и надеемся, что эти результаты помогут улучшить безопасность веб-приложений на Python.

Спасибо за внимание и будем рады услышать ваши мысли и комментарии!

С уважением,
Роман и Святослав

это техническое сообщение.

Коллеги, доброго вечера!

У участника нашего сообщества из ННовгорода, моего друга и просто отличного парня с богатым прошлым и таким же настоящим, Валерия Черепенникова, вышла книга - Made in Intel. Она основана на его цикле рассказов на Habr, от которого отличается некоторой редактурой, фотографиями и приятным ощущением хорошей полиграфии. Книга написана живым языком, в какой-то недавний момент Валера даже был на первой позиции в Хабр-рейтинге.


Скоро планируется встреча с автором, которую изначально планировалось провести на площадке ИСП РАН, но в связи с ажиотажем Валера занят поиском бОльшей площадки (если у кого-нибудь есть "свободный" зал в Мск на ~250 человек - милости прошу в личку). На ней можно будет подписать ваши экземпляры.

Сообщение в канале Валерия про издание и возможность приобретения бумажного экземпляра.

@vvvphoenix

Коллеги, доброго дня!

Список докладчиков, темы и тезисы докладов на встречу сообщества РБПО 15 февраля на полях ТБФорума практически полностью сформированы - милости просим ознакомиться.

Одной из базовых вводных для участников является "планируйте свои выступления так, чтобы вам самим было интересно их послушать". Будем рады видеть вас на мероприятии - уверены, вам не будет скучно!

Для участников мастер-классов отдельная вводная - желательно продемонстрировать ваш продукт/технологию не как "вещь в себе", но как часть конвейера безопасной и качественной разработки в организации. Именно в таком ключе в том числе будет построен мастер-класс фаззера Sydr от ИСП РАН.

Приходите сами, приглашайте заинтересованных друзей и коллег, и не забывайте заранее зарегистрироваться на мероприятие!

@And_Mir

Коллеги, привет!

На ТБФоруме мы дали первый (для сообщества) анонс Иванниковских чтений 2024, которые в этом году пройдут в Великом Новгороде 17-18 мая. Несмотря на то, что более подробная программа, в первую очередь её научная часть, ещё только формируется, пару важных моментов мы можем подсветить уже сегодня.

Во-первых, сама конференция традиционно является наиболее молодежной из всех ИСПовых конференций, но в этом году дополнительно приурочена к 30-летию ИСП РАН и 15-летию Лаборатории системного программирования в НовГУ. Помимо научной программы у гостей конференции будет возможность ознакомиться с красотами Великого Новгорода и лично посетить легендарный частный музей Павла Довгалюка - бессменного руководителя команды Natch.

Во-вторых, помимо спектра актуальных тем, как "Анализ данных в медицине", традиционно большое внимание на конференции будет уделено нашей любимой тематике - безопасной и качественной разработке ПО! Планируется два блока секции:

1. С учетом профиля работ Новгородского коллектива первый блок будет посвящен вопросам технологий эмуляции и реверс-инжиниринга. Научные доклады, стендовые демонстрации, большой мастер-класс по qemu-based инструментам анализа, лучшие qemщики и qemщицы России - всё как мы любим ;))

2. Второй блок - блок-сюрприз! С директором ИСП РАН впервые согласована концепция "красные против синих", где в роли "синих" будут выступать представители коллективов, связанных с разработкой технологий и инструментов анализа ИСП РАН, а в роли "красных" ... тада-тара-там ... представители крупных отечественных интеграторов и промышленностей, активно внедряющих, либо уже внедривших инструменты ИСПа (в первую очередь речь про Svace/Svacer, Crusher/Sydr, Natch, Блесна, SAFEC, прототипы оркестратора унифицированной среды, а также, возможно, ряда других инструментов, от друзей ИСП РАН)! 2024 год - "год интеграции", необходимость такой встречи назрела, и мы предчувствуем жаркую дискуссию! 😈

Традиционный виски-клуб естественно также заложен в программу мероприятия, но в очередной раз в новом формате - что, кому и когда употреблять будет привязано к успешности выступления "красных против синих" and vice versa! Нюансы узнаете уже на месте 😈

Анонс мероприятия "голосом" вы сможете увидеть в самом начале видеозаписи встречи сообщества на ТБФоруме от 15 февраля (в ближайшие дни здесь появится ссылка).

Приглашаем всех друзей ИСП РАН и участников сообщества пройти регистрацию на сайте конференции!

✔️ИСП РАН и «Базис» расширяют работу по повышению безопасности российских облачных решений

ИСП РАН и компания «Базис» заключили соглашение о сотрудничестве в научно-исследовательской деятельности. Стороны планируют совместно проводить исследования и разработки в сферах верификации и тестирования программного обеспечения, обработки больших данных, программной инженерии и информационной безопасности.

Сотрудничество между ИСП РАН и «Базис» началось еще в 2023 году, когда стороны договорились о предоставлении разработанных в институте инструментов статического и динамического анализа, в том числе фаззинга и определения поверхности атаки, и сопутствующих им услуг. Эти инструменты уже внедрены в процессы безопасной разработки, развернутые в «Базисе».

В соответствии с соглашением о научно-исследовательской деятельности № 3021-23-137, ИСП РАН реализует для «Базиса» проект по статическому и динамическому анализу для поиска ошибок и уязвимостей в продуктах компании. На подготовительном этапе были определены двадцать компонентов ПО (среди них QEMU, libvirt, и др.), которые будут подвергнуты анализу.

Запланированный анализ уже проводится на мощностях Центра исследований безопасности системного ПО, созданного на базе ИСП РАН по инициативе ФСТЭК России. Вокруг Центра создан Консорциум по поддержке Центра, в который входят более 30 компаний и ВУЗов. Таким образом, Центр занимается не только техническими исследованиями, но и формирует отечественное сообщество экспертов, которые занимаются повышением безопасности системного ПО.

Результаты анализа компонентов будут открытыми, в частности, все фаззинг-цели будут распространяться в соответствии с регламентом Центра; предлагаемые исправления планируется подавать для включения в основные ветки исследуемых компонентов. На данный момент уже четыре таких исправления были приняты в репозитории Apache ActiveMQ и ApacheDS.

➡️«Подписание этого соглашения переводит сотрудничество с «Базис» на качественно новый уровень. Теперь наша совместная работа заключается не только во внедрении инструментов безопасной разработки, созданных в институте. Вместе мы создаем сообщество вокруг экосистемы доверенного системного ПО, в том числе с вовлечением образовательных организаций – МГТУ им. Н.Э. Баумана, Чувашского государственного университета. Результаты работы послужат укреплению технологической независимости страны, а участие студентов в исследовательских проектах будет способствовать повышению их квалификации как будущих специалистов по безопасной разработке ПО», – рассказал директор ИСП РАН, академик РАН Арутюн Аветисян.

➡️«Повышение качества и защищенности продуктовой экосистемы «Базиса» – одно из приоритетных направлений нашей работы. Поэтому мы рады что в развитии этого направления примет участие такая авторитетная организация как Институт системного программирования РАН. Также не могу не отметить важность построения экспертного сообщества и вовлечение в этот процесс студентов. На российском рынке сейчас ощущается нехватка квалифицированных кадров, и эта проблема сдерживает развитие отечественных ИТ-компаний. Надеюсь, что вместе с Центром исследования безопасности системного ПО мы будем содействовать ее решению», — отметил Дмитрий Сорокин, технический директор «Базис».

Уважаемые коллеги!

27 мая 2024 года (понедельник) пройдет Форум "Технологии доверенного искусственного интеллекта".

Основные темы форума:
- Вопросы создания доверенного искусственного интеллекта (ДИИ)
- Разработка требований к системам ДИИ и нормативно-правовых основ обработки персональных данных (включая их обезличивание)
- Безопасность данных и искусственный интеллект
- Современные математические методы интеллектуальной обработки данных
- Атаки на системы искусственного интеллекта и методы защиты
- Применение ИИ для решения задач в области безопасности
- Организация программ поиска уязвимостей (Bug Bounty) в системах ИИ

Приветственный кофе: 09:00-10:00

В 10:00 начнется ключевая дискуссия «Доверенный искусственный интеллект» в которой примут участие:

Качалин Игорь Фёдорович, генеральный директор АНО «НТЦ ЦК» (ведущий)
Абакумов Евгений Михайлович, директор по информационной инфраструктуре Госкорпорации "Росатом"
Аветисян Арутюн Ишханович, директор Института системного программирования РАН
Ерёменко Максим Алексеевич, вице-президент – директор департамента развития технологий искусственного интеллекта и машинного обучения, ПАО Сбербанк
Люкманов Артур Рушанович, директор Департамента международной информационной безопасности, МИД России
Лютиков Виталий Сергеевич, заместитель директора ФСТЭК России
Матвеева Татьяна Владимировна, начальник Управления Президента РФ по развитию информационно-коммуникационных технологий и инфраструктуры связи
Шойтов Александр Михайлович, заместитель министра цифрового развития, связи и массовых коммуникаций РФ

Сайт мероприятия:
https://ib-bank.ru/trust-ai/

Для участия требуется предварительная регистрация:
https://ib-bank.ru/trust-ai/registration

Мероприятие пройдет в Кластер "Ломоносов" по адресу: Раменский бульвар, д.1

❗️ Завтра – последний день регистрации на конференцию OS DAY, которая состоится 20-21 июня в Москве!

➡️Если вы планируете участвовать, зарегистрируйтесь по ссылке: https://www.osday.ru/index.html#register

Одним из центральных мероприятий конференции станет круглый стол «Национальные стандарты по разработке безопасного программного обеспечения», который пройдет 21 июня с 09.45 до 12.00.

Ключевая тема – внедрение единого государственного стандарта ГОСТ Р 56939 «Защита информации. Разработка безопасного программного обеспечения. Общие требования». Проект ГОСТа был создан «Лабораторией Касперского» в соответствии с планом технического комитета по стандартизации «Защита информации» ТК 362 на 2023 год.

✔️Готова ли индустрия отечественного ПО к внедрению нового национального стандарта?
✔️Какие отрасли готовы к нему лучше и почему?
✔️Как следует оценивать результаты его внедрения и каким образом будет происходить проверка процессов разработки безопасного ПО на соответствие положениям нового стандарта?

Эти и другие вопросы будут обсуждать представители отрасли и государственных контролирующих органов!

➡️Конференция пройдёт в новом здании РЭУ им. Г.В. Плеханова по адресу: ул. Большая Серпуховская, д. 11, корпус 9, этаж 6

Коллеги, привет!

Мы подготовили официальный анонс большой встречи сообщества на московской площадке коллег из Сбертеха.

Встреча пройдет 20го сентября (пятница), начало в 16:00, сбор участников сообщества с 15:00.

Традиционно, встреча сообщества предполагает минимум маркетологии и общих PR-фраз, максимум рассказов о горестях и радостях, реальных успехах и нерешенных задачах, и - главное - неформальное, доверенное общение между носителями отечественной инженерной культуры и культуры РБПО в частности.

В программе встречи:

А. Трек докладов

1. Рассказ о первых опытах сертификации РБПО из первых уст. Представители органа по сертификации РБПО, Лаборатории Касперского и Сбербанк Технологии расскажут о "радостях и горестях", с мемами, шутками и прибаутками.

2. Интересные истории из жизни лаборатории бинарного анализа СБТ. Ребятам есть что рассказать, они наиболее активные и ответственные участники процесса регулярного анализа бинарных обновлений, без них пока что никак.

3. Круглый стол "Практические аспекты внедрения безопасной разработки". Спикеры: АлексейСмирнов (КодСкоринг), Дмитрий Евдокимов (Luntry), Всеслав Соленик (Сбертех), Дмитрий Пономарев (Фобос-НТ / ИСП РАН) и еще парочка CISO из неФСТЭК-мира. Поговорим о разном и об общем, наметим пути развития!

Б. Неформальный трек

4. "Гонки в Линукс". Стенд с двумя рулями и вагоном положительных эмоций от Базальт СПО.

5. Традиционный в-клуб силами энтузиастов. Захватить с собой приветствуется и не возбраняется :)

!Для участия необходимо пройти регистрацию по ссылке!

P. S. Любые вопросы потенциально общего характера настоятельно просим задавать здесь, а не в личной переписке (чтобы нам не отвечать по 50 раз одно и то же 🫠). За орг. часть и площадку отвечает @Anton_Kamyshin. В роли программного комитета выступаем я и @VSWiz. По в-клубу пишите в личку мне.

✔️Приглашаем всех принять участие в ежегодной Открытой конференции ИСП РАН, которая состоится 11-12 декабря в Москве, в инновационном кластере «Ломоносов»! В этом году она посвящена 30-летию института и 300-летию РАН.

➡️Открытая конференция ИСП РАН – это ведущее научно-практическое мероприятие в области системного программирования в России, уникальное объединение самых современных информационных технологий, высококвалифицированных экспертов и актуальных дискуссионных тем на одной площадке.

В числе организаторов: ИСП РАН, РАН, Академия криптографии РФ, НТЦ ЦК, ФПИ, IEEE, IEEE Computer Society.

Оператор конференции: Медиа Группа «Авангард».

Предварительная программа уже на сайте: https://www.isprasopen.ru/#Agenda.

Регистрация участников до 23:59 6 декабря: https://www.isprasopen.ru/#Registration.

Подача статей и тезисов в рецензируемые секции до 23:59 1 ноября: https://www.isprasopen.ru/#Submission.

❗️Для докладчиков и слушателей участие бесплатное!
По вопросам партнёрства и участия в выставке технологий: info@avangardpro.ru. По общим вопросам: scsec@ispras.ru.

🔥В 2023 году Открытая конференция ИСП РАН объединила 1000+ участников, 100+ докладов, 40+ выставочных стендов. Присоединяйтесь!

Коллеги, привет!

По нашим оценкам Открытая конференция соберет в этом году более 1500 посетителей. Этому способствуют и современная площадка кластера Ломоносов, и возрастающая востребованность компетенций Института в различных научных и технологических сферах, и рост и сплочение сообществ - в первую очередь нашего сообщества РБПО.

Чем дальше, тем больше мероприятие олицетворяет собой концепцию одновременной равноудаленности и равноприближенности ко всем компаниям, организациям и руководящим структурам - служит сплочению инженеров, бизнесменов, управленцев, студентов и всех неравнодушных к общему Делу.

Конференция традиционно является некоммерческой, а ее посещение - свободным для всех, в первую очередь заинтересованной молодежи. Масштаб и доверие к конференции позволили нам сформировать концепцию поддержки сообществом, состояющую их двух уровней - вклад заинтересованных участников сообщества и размещение вашего стенда (не важно, будут ли это "Гонки в Линукс", стойка маршутизаторов с квантовой криптографией, монитор с демонстрацией достижений вашего ВУЗа, или тот самый красный огнетушитель с сюрпризом).

Наша первая "восьмерка" поддержавших это:

Axiom JDK
Амикон
Базальт СПО
БАЗИС
Код Скоринг
Лантри
НПЦ КСБ
Фобос-НТ

Мы будем искренне рады и вашему участию - сообщество это и все вместе, и каждый лично :) Ждем ваших "входящих" по адресу: joinconf@ispras.ru

P.S. Через неделю оживет чат гостей конференциий ИСП РАН - пора выбирать площадку для традиционной вечерней встречи старой гвардии и новых участников сообщества :)