Привет. Книга поступила в продажу https://bhv.ru/product/prakticheskaya-bezopasnost-linux

Кофе, SOC и логи №16

О чём:
Обсуждение лучших новостей инфобеза за неделю с 8 по 14 декабря 2025 г.

Ведущие:
Александр Антипов,
Денис Батранков,
Ева Кузнецова,
Антон Клочков.

Специальный гость:
Александр Вир. Независимый исследователь. Консультант по информационной безопасности. Спикер DEF CON NN, Volga CTF. Основатель проекта по созданию защищённой операционной системы @rutheniumos. Автор технических статей, преподаватель и владелец каналов с мемами @theaftertimes.

Во второй половине января, может, раньше, выйдет его книга «Практическая безопасность Linux».
Миф о том, что Linux по умолчанию безопасен, давно пора развеять. Эта книга – подробное практическое руководство по защите Linux-систем: от архитектуры ядра и модели прав доступа до расследования инцидентов безопасности. Она предоставляет все необходимые знания и инструменты для эффективной защиты операционной системы.

Обсуждаемые новости:
100% защиты или маркетинговая ложь? Как читать новые результаты MITRE ATT&CK без розовых очков.
https://www.securitylab.ru/news/567124.php

Мозг размером со страну. Китай объединил дата-центры в 40 городах в один суперкомпьютер.
https://www.securitylab.ru/news/567115.php

Прощай, Дуров, привет, SimpleX. Куда бегут киберпреступники из популярного мессенджера.
https://www.securitylab.ru/news/567031.php

Фейсбук, почта и пять лет переписок. США хотят заставить туристов раскрывать всю цифровую подноготную.
https://www.securitylab.ru/news/567126.php

Программисты — добрые люди. Из ядра Linux убрали функцию с самым агрессивным названием.
https://www.securitylab.ru/news/567121.php

ИИ-хакер против живых пентестеров: кто кого? Стэнфорд устроил батл пна 8000 хостах.
https://www.securitylab.ru/news/567145.php

Ваш антивирус ведет себя странно? Возможно, это китайский шпион.
https://www.securitylab.ru/news/567113.php

Node.js скачал? А если найду? Обнаружен сложнейший вредонос с возможной связью с КНДР.
https://www.securitylab.ru/news/567094.php

Курорт, экстрадиция, суд. Беларус с украинским гражданством признал вину в создании «вымогательского картеля».
https://www.securitylab.ru/news/567002.php

Одна учётка — и страна без социалки и компьютеров. Пуэрто-Рико вводит режим ЧС из-за кибератаки.
https://www.securitylab.ru/news/566991.php

Баги в коде жизни. Главное о проекте Sc2.0, который учится создавать организмы с нуля.
https://www.securitylab.ru/news/567107.php

Может ли картинка из интернета парализовать железную дорогу? Спойлер: да, и это уже случилось.
https://www.securitylab.ru/news/567068.php

@ITRadiosu #csl

Аналоги SELinux и AppArmor во FreeBSD

У FreeBSD имеются свои механизмы безопасности, которые выполняют схожие функции с SELinux и AppArmor в Linux, но они имеют свои особенности и отличаются в реализации.

Наиболее близкими к SELinux и AppArmor по своей идеологии и возможностям в FreeBSD являются:

*  Mandatory Access Control (MAC) Framework. Это базовый фреймворк FreeBSD, который позволяет реализовать различные политики принудительного контроля доступа. SELinux и AppArmor в Linux являются примерами реализаций MAC. В FreeBSD MAC Framework предоставляет "крючки" для различных подсистем (например, файловая система, сетевой стек) и позволяет подключать сторонние модули политики.
MAC Framework в FreeBSD более низкоуровневый и гибкий, чем SELinux или AppArmor. Он не поставляется с готовой сложной политикой, как это делается в Linux-дистрибутивах. Вместо этого, разработчики могут создавать свои собственные модули MAC для специфических задач.

*   TrustedBSD MAC Modules. В рамках проекта TrustedBSD разрабатываются различные модули MAC, которые могут использоваться в FreeBSD. Хотя нет одного "наследника" SELinux или AppArmor, есть несколько проектов, которые реализуют схожие идеи:
TrustedBSD MAC for Filesystem: Этот модуль фокусируется на контроле доступа к файловой системе, позволяя определять более гранулярные политики, чем стандартные POSIX-права.
TrustedBSD MAC for Network: Предоставляет возможности для более тонкой настройки сетевой безопасности.

Почему нет прямого аналога "из коробки"?

FreeBSD исторически придерживается более модульного подхода. Вместо предоставления одной всеобъемлющей директивной системы, как SELinux, FreeBSD предпочитает предоставлять базовую инфраструктуру, на основе которой разработчики могут создавать нужные им решения.
SELinux был разработан для обеспечения очень высокой безопасности в государственных и военных системах, а AppArmor – для упрощения применения политик безопасности в десктопных и серверных Linux-системах. FreeBSD чаще используется в серверных, сетевых и встраиваемых системах, где могут требоваться более специализированные, а не универсальные решения.
В сообществе FreeBSD идет постоянная разработка и улучшение различных инструментов безопасности. Возможно, в будущем появятся более комплексные и готовые к использованию решения, похожие на SELinux или AppArmor.

Что это значит для пользователя FreeBSD?

Если вам нужна функция, схожая с SELinux или AppArmor, вам, скорее всего, придется:

1.  Изучить, как MAC Framework работает и как подключать модули.
2.  Возможно, сообщество FreeBSD уже разработало готовые решения для ваших задач. Их можно найти на сайтах проектов TrustedBSD, FreeBSDPorts, или через поиск по форумам и спискам рассылки FreeBSD.
В более сложных случаях может потребоваться создание собственных модулей MAC.

Прямого "копи-паст" аналога SELinux или AppArmor под FreeBSD нет. Однако, MAC Framework является основой, которая позволяет реализовать схожие механизмы безопасности. Если вам нужен простой в настройке и использовании фреймворк, похожий на AppArmor, возможно, вам придется искать конкретные реализации от сообщества TrustedBSD или других проектов, ориентированные на вашу задачу. Для более гибкой и глубокой настройки, MAC Framework предоставляет необходимые инструменты.

В начале апреля релизнулся OpenSSH 10.3 и одно из исправлений таково

Устранена проблема с безопасностью в sshd, вызванная некорректным сопоставлением опции authorized_keys principals="" со списком имён (principal) в сертификате в ситуации, когда в именах указан символ ",". Для эксплуатации уязвимости необходимо, чтобы в опции authorized_keys principals="" было указано несколько имён и чтобы удостоверяющий центр выписал сертификат с несколькими именами, разделёнными запятой (обычно такое не допускается). Изменено поведение в отношении сертификатов с пустым именем - ранее пустое имя подпадало под все опции authorized_keys principals="", а теперь не подпадает.

https://www.opennet.ru/opennews/art.shtml?num=65126

Оригинал

https://undeadly.org/cgi?action=article;sid=20260407084719

Но это, как оказалось, не всё и проблема шире.

Вот подробный пост про эту багу (жила с версии OpenSSH 5.6 от 2010 года)

SplitSSHell - When a Comma Becomes Root How a Single Character Broke OpenSSH Certificate Authentication
https://www.cyera.com/research/splitsshell-when-a-comma-becomes-root-how-a-single-character-broke-openssh-certificate-authentication

Уязвимая функция

static int
match_principals_option(const char *principal_list, struct sshkey_cert *cert)
{
...
    for (i = 0; i < cert->nprincipals; i++) {
        if ((result = match_list(cert->principals[i],  ← The Problem
            principal_list, NULL)) != NULL) {
            debug3("matched principal from key options \"%.100s\"",
                result);
...
}

match_list использовался для согласования алгоритмов SSH и туда передаётся список значений разделённый запятыми.

Для обработки principals (разрешённые объекты) вместо strcmp для сравнения строк использовали match_list, что и привело к проблеме.

Если взять строку вида deploy,root, то она должна восприниматься в контексте principals, как единое имя, а запятая просто символ в имени, но из-за использования match_list строка разбивалась на две части и root проходил дальше при первом сравнении, а на следующем шаге валидация просто не происходила

if (sshkey_cert_check_authority_now(key, 0, 0,
    keyopts->cert_principals == NULL ? pw->pw_name : NULL,
    &reason) != 0)
    goto cert_fail_reason;

проверка схлопвалась до sshkey_cert_check_authority_now(key, 0, 0, NULL, &reason), при условии, что установлен параметр principals, а дальше сопоставление пропускается

if (name == NULL)
    return 0; /* principal matching not requested */

https://github.com/openssh/openssh-portable-selfhosted/blob/master/sshkey.c#L2436

Почему не подходит ssh-kegen для атаки написано в посте, тут у меня буковы закончились 🌝

PoC
https://github.com/VladimirEliTokarev/SplitSSHell/

Бонусом идёт то, что так как вход валидный получается, то ваш SIEM будет молчать.

Опубликовано видео по установке языковых моделей на компьютер через Jan. Он позволяет работать с нейросетями как через Интернет, так и без него. Показана его установка и настройка. Приведена методика по работе с нейросетями через него. Продемонстрированы различные варианты работы с ним.

Приятного чаепития, Шляпники🎩
Сегодня хочу поделиться с вами одним интересным проектом Ermine OS 🗻🦦. Это приватная live-система на Debian, сделанная специально для безопасной работы с криптой 💲и анонимного использования браузера(допустим посищение форумов)🌐.

Репозиторий вот: https://github.com/ermiusio/ermine_os

Кроме самой системы автор написал довольно большую статью, где подробно разбирает популярные приватные live-дистрибутивы.

Особенно мне понравился разбор Tails OS🧅
Там разобрана внутренния работа системы "связанная с приватностью"⚙️

Допустим на уровне systemd-сервисов, скриптов и iptables показано, как работает killswitch. Хорошо освещены проблемы с видеопамятью(да, это давало известная проблема, но я не видела её разбора в обзорах).
Ещё рассказано почему Persistent Storage частично рушит саму концепцию Tails. И даже разобрано и как устроена защита приложений через AppArmor.
Жаль, что автор не пошёл ещё глубже (например, в поиск закладок в исходниках), но в целом такого качественного обзора на русском в открытом доступе я раньше не встречала.

Также в статье другие "приватные live" вроде Whonix Live, Heads, Kicksecure Live и тд.

А теперь про саму Ermine OS 🦦
Система полностью работает с флешки и практически ничего не пишет на диск. Весь трафик идёт исключительно через Tor с kill-switch(если Tor вдруг упадёт, сеть просто отключится).
Есть автоматическая смена MAC-адреса и hostname. Из приложений там стоит Tor Browser с собственным плагином Fingerprint Spoofer от автора, отдельный браузер для I2P🚦, отдельный i2pd с GUI на zenity и Cake Wallet.

По безопасности там: кастомные политики AppArmor для всех программ🔒, hardening ядра через sysctl, защита от cold-boot атак с помощью sdmem и полностью отключённый swap.

Дополнительно авто сделал и экспериментальную опцию - RAM-mode, который можно выбрать при загрузке. В этом режиме система продолжает работать даже после извлечения флешки внутри RAM.

Ещё Автор подготовил подробное пошаговое руководство по сборке своей live-системы во второй части статьи, плюс протестировал killswitch и другие важные моменты.

Проект выглядит давольно интересно. Да, он ещё немного сыроват, но как статья с рабочим примером приватной live-системы это уже отличный материал.
Особенно полезно будет новичкам, которые хотят собрать свой собственный дистрибутив под приватности 🧩. Подобных проектов с нормальными статьями и руководствами не так много.

Конечно, у Heads тоже есть документация, но она 2017 года и без такого глубокого сравнения с другими системами.

В общем, автору спасибо☝️ Не понимаю, почему репозиторий до сих пор такой нишевый по-моему, заслуживает куда больше внимания.

Надеюсь, и вам будет полезно ❤️

#anonymous_networks #crypto_protection #browsers #OPSEC #linux #i2p #privacy #tools #tor

Давно сюда ничего не писал. Собираюсь с силами для написания цикла статей по безопасности. На этот раз про защиту Windows Server.
А пока вот моя статья про OSINT криптокошельков https://xakep.ru/2026/06/05/find-crypto/

Статья номер 0
https://xakep.ru/2026/07/17/windows-server-2016-eol/