Джерело

За даними IoT Analytics в 2016 році найбільше проектів (22% від загальної кількості), пов'язаних із застосуванням інтернету речей, було реалізовано для промислових об'єктів. Це підтверджує розвиток і поширення технологій заявлених у доктрині Industry 4.0.

Таким чином, на наших очах виник новий клас кібер-фізичних систем, отримав назву Industrial Internet Control Systems (IICS) або Industrial Internet of Things (IIoT).
З назви зрозуміло, що такі системи є гібридом технологій, що використовуються в АСУ ТП і в системах на базі інтернету речей. Відповідно в таких системах необхідно враховувати всі ризики, пов'язані з порушенням властивостей інформаційної (security) і функціональної безпеки (safety).

Дана стаття продовжує цикл публікацій щодо функціональної безпеки. У ній розглянуто вимоги до організації життєвого циклу систем управління (АСУ ТП, вбудовані системи, інтернет речей). Запропонована єдина структура процесів, що підтримують виконання вимог як до інформаційної, так і до функціональної безпеки.

Читати далі →

Фахівці з безпеки з Google виявили неприємний баг, чимось схожий на пріснопам'ятну вразливість Heartbleed OpenSSL. Вона теж видає будь-якому охочому криптографічні ключі користувачів, а також куки, паролі, вміст POST-запитів з особистими даними, кредитні карти, ключі API та інший вміст чужих сесій.

Тут вразливість обмежена всього одним сервіс-провайдером, нехай і таким великим як Cloudflare. Але в певному сенсі цей баг Cloudbleed гірше, ніж Heartbleed, тому що витік даних відбувається спонтанно. Ці сторінки рутинно викачуються краулерами, індексуються пошуковими системами, досі зберігаються в архівах веб-сторінок і в кеші Google.

Cloudflare є посередником між хостером сайту та відвідувачами сайту, виконуючи роль зворотного проксі для веб-сайтів. З-за помилки програміста системи Cloudflare на Nginx з вересня 2016 року впроваджували випадкові фрагменти оперативної пам'яті свого сервера вміст веб-сторінок, яке видавалося всім користувачам.

Читати далі →

Це друга стаття з циклу

Сьогодні ми поговоримо про SELinux-користувачів, їх створенні, прив'язці, прав і іншим речам.
Навіщо це робити? Є багато причин. Для мене головною причиною було видати доступ для техпідтримки для рутинних операцій ( таких як ребут, чистка логів, діагностика ітд ), але без доступу до критичним даними і зміни системних функцій.

Припущення
У тексті буде міститися багато технічної інформації, тому автор припускає, що читач:
  • Прочитав минулу статтю
  • Має під рукою CentOS 7
  • На якому встановлені пакети setools-console, policycoreutils-devel, selinux-policy-devel, policycoreutils-newrole
  • І включений SELinux в режимі enforcing з політикою targeted або minimum
Це все про вас? Тоді поїхали!
Читати далі →



Колізії існують для більшості хеш-функцій, але для найкращих з них кількість колізій близько до теоретичного мінімуму. Наприклад, за десять років з моменту винаходу SHA-1 не було відомо ні про одному практичному способі генерації колізій. Тепер такий є. Сьогодні перший алгоритм генерації колізій для SHA-1 представили співробітники компанії Google і Центру математики та інформатики в Амстердамі.

Ось доказ: два документа PDF з різним вмістом, але однаковими цифровими підписами SHA-1.


Читати далі →

Управління доступом користувачів до локальних ресурсів являє собою одну з основних проблем для безпечного використання хмарних додатків в корпоративному оточенні. З поширенням численних сервісних концепцій SaaS, PaaS і IaaS управління політиками доступу, в тому числі організація суворої автентифікації кожного додатка створює певну навантаження на ІТ-підрозділи підприємств. Користувачам доводиться тримати в пам'яті численні логіни і паролі, що неминуче призводить до втрати паролів, зниження продуктивності і дратує користувачів. До 20% всіх звернень в службу підтримки пов'язано з відновленням втрачених або забутих паролів.



Читати далі →



Перша в 2017 році зустріч російського відділення OWASP відбудеться 2 березня в московському офісі Positive Technologies. Ми не тільки надамо простір для проведення зустрічі, але і самі поділимося досвідом у сфері веб-безпеки.
Читати далі →



Сьогодні День захисника Вітчизни! Всіх причетних з святом! Бійцям несуть службу в Збройних силах РФ — неминучого дембеля. А для тих, хто не служив або тільки збирається віддати борг Батьківщині, під катом цікавий розповідь про розумні залізяки. Не виключено, якщо ви шарите в техніці, комп'ютерах і вам пощастить не тільки оттрубить в штабі писарем, але і до чого-небудь з описаного нижче доторкнутися. Ну і сподіваюся, що мене не загребуть за розголошення усіляких там державних секретів.
Читати далі →

Передісторія: ця Історія починається з того, що в багатьох пабликах, на які я підписаний, побачив посів (реклама в соціальних мережах груп з безкоштовними ключами vk.com/******* і vk.com/*****. Посіви ці дорогі, вироблялися в групах від 250 000 до 5 000 000 передплатників, наприклад, у групі Наука і Техніка. Групи пропонували кожному безкоштовний ключ за підписку. Приблизно через півмісяця побачив, що перша група зросла до 109 тисяч передплатників. Тут будь-кому зрозуміло, що безкоштовний ключ люди не отримають, адже безкоштовних ключів на 100 до людей не напасешся». Трохи оглянувши групу, я зрозумів що «реальні» відгуки про отримання безкоштовних ключів підробка, адже скріншоти з відгуків весь час кидають однакові і посилання на людей підроблені.



Найцікавіше те, що люди на все це досі ведуться, набирають групу в надії на безкоштовний ключ, роблять репост в надії на те, що їм пощастить і вони виграють дорогий ігровий PC(але ми то знаємо, що ніхто PC не отримає), коли вони хочуть отримати щось безкоштовно, ними легко маніпулювати для своїх цілей.



Вся суть постів в групі — це реклама реферального посилання на сайт ***random.ru і отримання вигоди.



Подивимося на нього.

Читати далі →

image
Ідея редагування змінних оточення користувача для підвищення прав при тестуванні на проникнення стара як світ. На цю тему написано безліч статей, і навіть в книгах почали з'являтися поради по використанню абсолютного шляху замість відносного. Ось приклад такої ради з досить відомої книги Unix і Linux. Керівництво системного адміністратора (4 видання):
...
Рекомендуємо взяти за правило при введенні команди вказувати повне ім'я, наприклад /bin/su або /usr/bin/su, а не просто su. Це послужить певним захистом від тих програм з ім'ям su, які навмисно були прописані у змінній середовища path зловмисником, що мали намір зібрати хороший урожай паролів.
...

Але чи так це безпечно? Якщо ви теж задавалися цим питанням, то ласкаво просимо під кат.

Читати далі →