Вчера Роскомнадзор разблокировал ещё 131 тысячу IP-адресов. На этот раз под «амнистию» попала Microsoft. Причина та же: Telegram уже давно не использует эти сети для обхода блокировок. Как и подсети Amazon, адреса лежали в реестре запрещённых сайтов с прошлого апреля.
Подробнее: https://tprg.ru/3fsG
Подробнее: https://tprg.ru/3fsG
Задокументированная возможность: подключившись к базе данных под управлением MySQL, сторонний сервер может читать не только данные самой базы, но и другие файлы, хранящиеся на том же сервере. Так действует функция LOAD DATA в MySQL, и она описана в документации: https://tprg.ru/1Kur
К примеру, злоумышленник может получить логины и пароли для доступа к БД, SSH-ключи, данные о криптокошельках и прочие конфиденциальные сведения. Главное — знать точный путь к нужному файлу, но специалисты говорят, что узнать его проще простого.
И что с этим делать?
Команда MySQL рекомендует ограничить контакты с ненадёжными серверами или запретить внешние запросы на доступ к данным непосредственно в клиентских приложениях.
Подробнее: https://tprg.ru/xrvl
К примеру, злоумышленник может получить логины и пароли для доступа к БД, SSH-ключи, данные о криптокошельках и прочие конфиденциальные сведения. Главное — знать точный путь к нужному файлу, но специалисты говорят, что узнать его проще простого.
И что с этим делать?
Команда MySQL рекомендует ограничить контакты с ненадёжными серверами или запретить внешние запросы на доступ к данным непосредственно в клиентских приложениях.
Подробнее: https://tprg.ru/xrvl
Критическую уязвимость нашли в пакетном менеджере APT — пользователям Debian, Ubuntu и других Linux-систем он может быть знаком. Выяснилось, что APT некорректно проверяет поля при HTTP-редиректах, чем открывает себя для атаки посредника.
Во время установки одного пакета злоумышленник может подменить его на другой. Приложение ничего не заметит и в итоге запустит вредоносный код с правами суперпользователя: https://youtu.be/POrzJvtZY_g
Защита есть? Да, есть. Нужно обновиться до версии APT 1.4.9, там эта уязвимость закрыта.
Подробнее: https://tprg.ru/FaR3
Во время установки одного пакета злоумышленник может подменить его на другой. Приложение ничего не заметит и в итоге запустит вредоносный код с правами суперпользователя: https://youtu.be/POrzJvtZY_g
Защита есть? Да, есть. Нужно обновиться до версии APT 1.4.9, там эта уязвимость закрыта.
Подробнее: https://tprg.ru/FaR3
YouTube
Linux APT MiTM Vulnerability
New Flaw in APT Allows Remote Hackers to Hijack Linux Systems
Source: https://justi.cz/security/2019/01/22/apt-rce.html
News: https://thehackernews.com/2019/01/linux-apt-http-hacking.html
Source: https://justi.cz/security/2019/01/22/apt-rce.html
News: https://thehackernews.com/2019/01/linux-apt-http-hacking.html
В Chrome есть 170 уязвимых расширений, через которые злоумышленники могут запускать у пользователя произвольный код, получать его куки, закладки и историю просмотров, сохранять/извлекать файлы и делать прочие гнусные вещи.
Проверьте, вдруг у вас в браузере найдётся такое расширение: https://tproger.ru/news/chrome-extensions-attack/
Проверьте, вдруг у вас в браузере найдётся такое расширение: https://tproger.ru/news/chrome-extensions-attack/
Tproger
170 расширений Chrome открывают злоумышленникам доступ к данным пользователей
Злоумышленник может запустить произвольный код, получать куки, историю просмотров, устанавливать другие расширения, сохранять/извлекать файлы и так далее
16–17 февраля пройдут два практических интенсива от @binarydistrict_ru и Академии кибербезопасности BI.ZONE.
🔒 Безопасность веб-приложений
Ключевые темы:
— Актуальные киберугрозы для веб-приложений и виды уязвимостей.
— Подход к анализу защищенности веб-приложений от А до Я.
— Как выявлять уязвимости в веб-приложениях.
— Как исправлять уязвимости и разрабатывать безопасные веб-приложения.
Регистрируйтесь: https://goo.gl/qovri2
💼 Расследование кибератак для бизнеса
Интенсив по компьютерной криминалистике от эксперта Академии кибербезопасности BI.ZONE.
Вы научитесь:
— создавать криминалистические образы накопителей и оперативной памяти;
— восстанавливать и извлекать артефакты работы вредоносного ПО;
— представлять сценарий проведения атаки и предоставлять рекомендации после расследования.
Регистрируйтесь: https://goo.gl/mWXQcz
Подробнее: https://tproger.ru/events/cybersec-courses-bi-zone-bd/
🔒 Безопасность веб-приложений
Ключевые темы:
— Актуальные киберугрозы для веб-приложений и виды уязвимостей.
— Подход к анализу защищенности веб-приложений от А до Я.
— Как выявлять уязвимости в веб-приложениях.
— Как исправлять уязвимости и разрабатывать безопасные веб-приложения.
Регистрируйтесь: https://goo.gl/qovri2
💼 Расследование кибератак для бизнеса
Интенсив по компьютерной криминалистике от эксперта Академии кибербезопасности BI.ZONE.
Вы научитесь:
— создавать криминалистические образы накопителей и оперативной памяти;
— восстанавливать и извлекать артефакты работы вредоносного ПО;
— представлять сценарий проведения атаки и предоставлять рекомендации после расследования.
Регистрируйтесь: https://goo.gl/mWXQcz
Подробнее: https://tproger.ru/events/cybersec-courses-bi-zone-bd/
Специально для студентов IT-вузов Москвы и недавних выпускников Райффайзенбанк открывает набор на оплачиваемую стажировку So DGTL по актуальным направлениям: разработка ПО, тестирование, кибербезопасность, дизайн интерфейсов, анализ данных и веб-аналитика.
Почему нужно подать заявку?
Потому что это отличный шанс начать карьеру в современном банке с развитым IT-направлением: сотрудники активно используют DevOps, open source разработки и не боятся внедрять в продакшн новые технологии. Кроме того, в банке хотят вырастить крутых спецов специально для своей команды, поэтому на протяжении 9 месяцев стажёры будут участвовать в реальных проектах компании под руководством опытных менторов. Лучших возьмут на постоянную работу в команде.
Всё, что для этого нужно, — подать заявку на сайте до 11 февраля и ждать результатов.
Подробнее: https://tproger.ru/events/so-dgtl-raiffeisen-internship/
Почему нужно подать заявку?
Потому что это отличный шанс начать карьеру в современном банке с развитым IT-направлением: сотрудники активно используют DevOps, open source разработки и не боятся внедрять в продакшн новые технологии. Кроме того, в банке хотят вырастить крутых спецов специально для своей команды, поэтому на протяжении 9 месяцев стажёры будут участвовать в реальных проектах компании под руководством опытных менторов. Лучших возьмут на постоянную работу в команде.
Всё, что для этого нужно, — подать заявку на сайте до 11 февраля и ждать результатов.
Подробнее: https://tproger.ru/events/so-dgtl-raiffeisen-internship/
Как оказалось, запрет на манипулирование сетевыми запросами пользователей Chrome коснётся не только блокировщиков рекламы. К обсуждению третьего «Манифеста», правил для Chrome-расширений, присоединились разработчики защитных продуктов.
По их словам, ограничение webRequest API нарушит работу расширений для родительского контроля, блокировки потенциально опасных скриптов, а также антифишинговых дополнений. И declarativeNetRequest API тут не поможет.
Подробнее: https://tprg.ru/ojqs
Новые мнения в ветке обсуждений «Web Request Changes»: https://tprg.ru/MLIF
По их словам, ограничение webRequest API нарушит работу расширений для родительского контроля, блокировки потенциально опасных скриптов, а также антифишинговых дополнений. И declarativeNetRequest API тут не поможет.
Подробнее: https://tprg.ru/ojqs
Новые мнения в ветке обсуждений «Web Request Changes»: https://tprg.ru/MLIF
Вчера Госдума одобрила в первом чтении два законопроекта о штрафах: за фейковые новости и за оскорбление власти в Интернете.
Распространение фейковых новостей:
— это злоупотребление свободой массовой информации и попадает под статью 13.15 КоАП;
— несёт в себе «угрозу государственной, общественной или экологической безопасности»;
— должно караться штрафом: 3−5 тысяч рублей для граждан, 30−50 тысяч для должностных лиц, 400−1000 тысяч (до миллиона) — для юрлиц.
Оскорбление власти в Интернете:
— это мелкое хулиганство и попадает под статью 20.1 КоАП;
— это информация, «выражающая в неприличной форме явное неуважение к обществу, государству, официальным государственным символам Российской Федерации, Конституции и госорганам»;
— должно караться штрафом: до 5 тысяч рублей или 15 суток административного ареста.
Что дальше?
Дальше законопроекты подправят, подшлифуют и отправят на второе чтение, на третье, потом на подписание Совету Федерации и президенту. Это процесс долгий, и его проходят далеко не все проекты.
По мнению разных ведомств, документам не хватает более чётких формулировок и веских критериев, хотя в целом препятствий для внедрения новых норм нет.
Подробнее: https://tprg.ru/knBq
Распространение фейковых новостей:
— это злоупотребление свободой массовой информации и попадает под статью 13.15 КоАП;
— несёт в себе «угрозу государственной, общественной или экологической безопасности»;
— должно караться штрафом: 3−5 тысяч рублей для граждан, 30−50 тысяч для должностных лиц, 400−1000 тысяч (до миллиона) — для юрлиц.
Оскорбление власти в Интернете:
— это мелкое хулиганство и попадает под статью 20.1 КоАП;
— это информация, «выражающая в неприличной форме явное неуважение к обществу, государству, официальным государственным символам Российской Федерации, Конституции и госорганам»;
— должно караться штрафом: до 5 тысяч рублей или 15 суток административного ареста.
Что дальше?
Дальше законопроекты подправят, подшлифуют и отправят на второе чтение, на третье, потом на подписание Совету Федерации и президенту. Это процесс долгий, и его проходят далеко не все проекты.
По мнению разных ведомств, документам не хватает более чётких формулировок и веских критериев, хотя в целом препятствий для внедрения новых норм нет.
Подробнее: https://tprg.ru/knBq
Ближайшие события для айтишников
💰 Практический курс интернет-маркетолога
Старт 28 января, Москва
В программе обучения очень много практики — выдадут сайт, с которым будете работать и оттачивать мастерство. За 51 час занятий станете специалистом по интернет-маркетингу и сразу сможете пойти работать, а выполненные проекты украсят портфолио.
Можно учиться как в Москве, так и онлайн.
💻 Курс UX/UI Designer
Старт 2 февраля, Санкт-Петербург
Курс объединяет сразу несколько направлений: разработка интерфейсов, UX, а также вёрстка и основы веб-программирования на JS. Для зачисления нужно уметь пользоваться Adobe Photoshop на базовом уровне, в конце пополните портфолио крутыми проектами.
Можно учиться в Санкт-Петербурге, а можно удалённо.
🔥 Конференция CleverDAY
7 февраля, Москва
Эксперты Cleverics расскажут о применении машинного обучения в поддержке IT-процессов и о созданном в компании инструменте для комплексной оценки процессов ITSM, а также поделятся мыслями о проблемах современной разработки ПО.
💰 Практический курс интернет-маркетолога
Старт 28 января, Москва
В программе обучения очень много практики — выдадут сайт, с которым будете работать и оттачивать мастерство. За 51 час занятий станете специалистом по интернет-маркетингу и сразу сможете пойти работать, а выполненные проекты украсят портфолио.
Можно учиться как в Москве, так и онлайн.
💻 Курс UX/UI Designer
Старт 2 февраля, Санкт-Петербург
Курс объединяет сразу несколько направлений: разработка интерфейсов, UX, а также вёрстка и основы веб-программирования на JS. Для зачисления нужно уметь пользоваться Adobe Photoshop на базовом уровне, в конце пополните портфолио крутыми проектами.
Можно учиться в Санкт-Петербурге, а можно удалённо.
🔥 Конференция CleverDAY
7 февраля, Москва
Эксперты Cleverics расскажут о применении машинного обучения в поддержке IT-процессов и о созданном в компании инструменте для комплексной оценки процессов ITSM, а также поделятся мыслями о проблемах современной разработки ПО.
И раз уж зашёл разговор о законотворчестве: Совет Федерации предложил вести базу мобильных гаджетов — вообще любых устройств с доступом в мобильную сеть. Регистрация в ней будет обязательной и платной, около 100 рублей с владельца за каждый смартфон.
Зачем это нужно?
Таким образом хотят препятствовать обороту краденых и контрафактных устройств. Регистрация будет по IMEI — это международный идентификатор мобильного оборудования. Если человек потеряет свой смартфон, он может обратиться к оператору, тот заблокирует устройство и внесёт его IMEI в чёрный список. То есть, оно уже будет вне легального оборота.
Если человек покупает смартфон, он вносит его в базу, и тот высвечивается в белом списке. В сером списке будут телефоны, которые были куплены до принятия закона, и те, в отношении которых идёт проверка.
Инициативу поддержали эксперты рынка, а также представители «МегаФона» и «ВымпелКома» (владеет «Билайном»).
Подробнее о законопроекте: https://tprg.ru/rGhI
Зачем это нужно?
Таким образом хотят препятствовать обороту краденых и контрафактных устройств. Регистрация будет по IMEI — это международный идентификатор мобильного оборудования. Если человек потеряет свой смартфон, он может обратиться к оператору, тот заблокирует устройство и внесёт его IMEI в чёрный список. То есть, оно уже будет вне легального оборота.
Если человек покупает смартфон, он вносит его в базу, и тот высвечивается в белом списке. В сером списке будут телефоны, которые были куплены до принятия закона, и те, в отношении которых идёт проверка.
Инициативу поддержали эксперты рынка, а также представители «МегаФона» и «ВымпелКома» (владеет «Билайном»).
Подробнее о законопроекте: https://tprg.ru/rGhI
Алгоритм AlphaStar обыграл двух профессиональных игроков в StarCraft II. В обеих сериях из пяти матчей ИИ от DeepMind победил со счётом 5:0.
Почему это важно?
По словам DeepMind, StarCraft II — одна из немногих онлайн-стратегий, в которой человек может бросить вызов ИИ. До этого момента ни один алгоритм не мог приблизиться к результатам профессиональных игроков-людей. Однако надо признать, что лучшие свои результаты нейросеть AlphaStar показала, когда не была ограничена физическими способностями людей.
Посмотреть трансляцию матча (осторожно, почти 3 часа): https://youtu.be/cUTMhmVh1qs
Почитать об алгоритме в блоге DeepMind: https://tprg.ru/AlphaStar
Почему это важно?
По словам DeepMind, StarCraft II — одна из немногих онлайн-стратегий, в которой человек может бросить вызов ИИ. До этого момента ни один алгоритм не мог приблизиться к результатам профессиональных игроков-людей. Однако надо признать, что лучшие свои результаты нейросеть AlphaStar показала, когда не была ограничена физическими способностями людей.
Посмотреть трансляцию матча (осторожно, почти 3 часа): https://youtu.be/cUTMhmVh1qs
Почитать об алгоритме в блоге DeepMind: https://tprg.ru/AlphaStar
YouTube
DeepMind StarCraft II Demonstration
Join Artosis, RottterdaM and a cast of special guests for a unique StarCraft II showcase live from DeepMind in London, in partnership with Blizzard.
В Python-библиотеке NumPy обнаружена критическая уязвимость. Если Python-приложение загрузит заражённые данные, используя функцию numpy.load, злоумышленник сможет удалённо запустить на устройстве любой код. Уязвимы версии NumPy с 1.10 по 1.16.
Защита есть? Пока нет, над ней работают. Можно уязвимый модуль в приложении отключить вручную: поставить значение «False» для параметра allow_pickle в функции numpy.load.
Подробнее: https://tprg.ru/xpVR
Защита есть? Пока нет, над ней работают. Можно уязвимый модуль в приложении отключить вручную: поставить значение «False» для параметра allow_pickle в функции numpy.load.
Подробнее: https://tprg.ru/xpVR
Фонд развития интернет-инициатив считает, что люди могут зарабатывать на продаже своих данных до 60 тысяч рублей в год. Организация предлагает узаконить этот доход — заодно это подтолкнёт развитие IT-бизнеса, связанного с большими данными.
Эксперты же считают, что проект лоббирует интересы «держателей Big Data» в ущерб конфиденциальности. А ожидания доходов людей сильно завышены.
Подробнее: https://tproger.ru/news/data-income-project/
Эксперты же считают, что проект лоббирует интересы «держателей Big Data» в ущерб конфиденциальности. А ожидания доходов людей сильно завышены.
Подробнее: https://tproger.ru/news/data-income-project/
Tproger
ФРИИ: россияне могут зарабатывать на продаже своих данных до 60 тысяч рублей в год
Эксперты считают, что проект разработан «к откровенной выгоде российских держателей big data» в ущерб интересам субъектов данных — простых людей.
С помощью новой утилиты можно проверить безопасность приложения, построенного на фреймворке Electron. Electronegativity выявляет расхождения с рекомендациями по безопасной разработке с Electron и предоставляет отчёт. В нём даётся ссылка на описание потенциальной уязвимости и указывается файл, где её нужно поправить.
Почему это важно? Неверные настройки могут открыть приложение для атак или привести к утечкам.
Подробнее: https://tprg.ru/ETzy
В конце декабря Electron обновили до версии 4.0: https://t.me/tprogerlive/3984
Почему это важно? Неверные настройки могут открыть приложение для атак или привести к утечкам.
Подробнее: https://tprg.ru/ETzy
В конце декабря Electron обновили до версии 4.0: https://t.me/tprogerlive/3984
HackerU набирает слушателей на учебную программу «Специалист по web-разработке»
Научат писать фронтенд и бэкенд веб-приложений, чтобы стать крутым full stack разработчиком. В программе только современный стек: CSS3/HTML5, Bootstrap и jQuery для фронтенда, а для бэка — IBM Bluemix, PHP и MySQL.
Обещают, что после курса получите международный диплом и работу. Ну и кучу полезных знаний, само собой.
Подробнее: https://tprg.ru/Z8cK
Научат писать фронтенд и бэкенд веб-приложений, чтобы стать крутым full stack разработчиком. В программе только современный стек: CSS3/HTML5, Bootstrap и jQuery для фронтенда, а для бэка — IBM Bluemix, PHP и MySQL.
Обещают, что после курса получите международный диплом и работу. Ну и кучу полезных знаний, само собой.
Подробнее: https://tprg.ru/Z8cK
На Сoursera стартовала онлайн-программа «Python для анализа данных» от Mail.Ru Group и МФТИ: https://tprg.ru/aKmU
Можно учиться в своём темпе, а в конце дадут диплом специалиста, который можно прикрепить к портфолио.
Зачем учиться?
Познакомят с удобными инструментами Python для анализа и визуализации данных, дадут базу математической статистики. Кроме того, научат обучать собственные нейросети как с учителем, так и без.
Подробнее: https://tproger.ru/events/python-for-data-science-mrg/
Можно учиться в своём темпе, а в конце дадут диплом специалиста, который можно прикрепить к портфолио.
Зачем учиться?
Познакомят с удобными инструментами Python для анализа и визуализации данных, дадут базу математической статистики. Кроме того, научат обучать собственные нейросети как с учителем, так и без.
Подробнее: https://tproger.ru/events/python-for-data-science-mrg/
Обнаружен баг в FaceTime, из-за которого можно видеть и слышать собеседника ещё до ответа на вызов:
— позвоните кому-нибудь;
— свайп снизу, добавить собеседника;
— вбейте собственный номер или найдите себя в адресной книге;
— начнётся групповой звонок, в котором будет отображаться звук и видео с телефона того, кому вы звонили изначально.
Но не спешите пробовать — до исправления ошибки Apple временно отключила групповые звонки FaceTime. Редакции Tproger не удалось повторить, звонок просто сбрасывается.
Полноценное обновление для фикса обещают выпустить на этой неделе: https://tprg.ru/ioYN
— позвоните кому-нибудь;
— свайп снизу, добавить собеседника;
— вбейте собственный номер или найдите себя в адресной книге;
— начнётся групповой звонок, в котором будет отображаться звук и видео с телефона того, кому вы звонили изначально.
Но не спешите пробовать — до исправления ошибки Apple временно отключила групповые звонки FaceTime. Редакции Tproger не удалось повторить, звонок просто сбрасывается.
Полноценное обновление для фикса обещают выпустить на этой неделе: https://tprg.ru/ioYN
В WP-плагине Total Donations обнаружен бэкдор, который хакеры могут использовать, даже если плагин деактивирован. Под ударом не только владельцы сайтов, но и люди, которые через этот инструмент переводят деньги.
В чём опасность?
Злоумышленник может подменить аккаунт для взносов, так что деньги будут утекать в никуда. Ещё бэкдор позволяет выгрузить базу подписчиков в Mailchimp, то есть открывает доступ к email-адресам и связанным с ними данным. А это уже возможность для фишинга и прочих неприятностей.
Создатели инструмента уже давно не выходят на связь, так что патча, скорее всего, не будет. Поскольку плагин платный, у него вряд ли большая аудитория, однако он может быть установлен на ресурсах с большим количеством пользователей.
Специалисты рекомендуют полностью удалить этот плагин, не просто деактивировать. Только так можно защитить свой сайт, деньги и данные подписчиков.
Подробнее: https://tprg.ru/8XPC
В чём опасность?
Злоумышленник может подменить аккаунт для взносов, так что деньги будут утекать в никуда. Ещё бэкдор позволяет выгрузить базу подписчиков в Mailchimp, то есть открывает доступ к email-адресам и связанным с ними данным. А это уже возможность для фишинга и прочих неприятностей.
Создатели инструмента уже давно не выходят на связь, так что патча, скорее всего, не будет. Поскольку плагин платный, у него вряд ли большая аудитория, однако он может быть установлен на ресурсах с большим количеством пользователей.
Специалисты рекомендуют полностью удалить этот плагин, не просто деактивировать. Только так можно защитить свой сайт, деньги и данные подписчиков.
Подробнее: https://tprg.ru/8XPC
Вчера Роскомнадзор вычеркнул из реестра запрещённых сайтов ещё 3 подсети, всего около 18,9 тысяч IP-адресов. Из них 16,3 тысячи принадлежит хостинг-провайдеру SoftLayer, ещё 2 тысячи — Aruba S. p. A. и 500 — Vultr Holdings. Все они попали в реестр из-за попыток РКН заблокировать Telegram.
В реестре осталось около 811 тысяч IP-адресов. Лишь неделю назад их было на 2,8 миллиона больше.
Подробнее: https://tprg.ru/LGcF
В реестре осталось около 811 тысяч IP-адресов. Лишь неделю назад их было на 2,8 миллиона больше.
Подробнее: https://tprg.ru/LGcF
ФАС продвигает концепцию закона о предустановке российского софта. На всех ввозимых в страну гаджетах должны быть российские браузер, антивирус, мессенджер, карты и навигатор. Притом удалить их будет нельзя (а все остальные — можно).
Это касается смартфонов, планшетов, ноутбуков и ПК весом до 10 кг.
Они серьёзно?
Как никогда. В прошлом году ФАС примерно это и предлагала, когда представляла проект «дорожной карты» по развитию конкуренции на 2018-2020 годы. Пункт об этом законопроекте есть в утверждённой версии документа, следовательно, у него есть поддержка властей и все шансы дойти до подписания.
Помимо властей, концепцию проекта поддерживают российские IT-компании: Mail.Ru Group, «Лаборатория Касперского», МТС, «МегаФон». А вот производители техники считают, что инициатива выглядит как навязывание услуг пользователю. Кроме того, предустановка российских приложений потребует дополнительных затрат денег и времени, что скажется и на цене гаджета, и на сроках его выхода на рынок.
Подробнее: https://tprg.ru/DJpQ
Это касается смартфонов, планшетов, ноутбуков и ПК весом до 10 кг.
Они серьёзно?
Как никогда. В прошлом году ФАС примерно это и предлагала, когда представляла проект «дорожной карты» по развитию конкуренции на 2018-2020 годы. Пункт об этом законопроекте есть в утверждённой версии документа, следовательно, у него есть поддержка властей и все шансы дойти до подписания.
Помимо властей, концепцию проекта поддерживают российские IT-компании: Mail.Ru Group, «Лаборатория Касперского», МТС, «МегаФон». А вот производители техники считают, что инициатива выглядит как навязывание услуг пользователю. Кроме того, предустановка российских приложений потребует дополнительных затрат денег и времени, что скажется и на цене гаджета, и на сроках его выхода на рынок.
Подробнее: https://tprg.ru/DJpQ
