Блог

NSA нанимает специалистов для защита США

Сейчас в одном из подкастов услышал рекламу NSA о найме специалистов области безопасности для защиты США от кибер атак. 

Я никогда не слышал, чтобы Россия нанимала «специалистов в области безопасности». Я ставлю кавычки, потому что тут скорей всего имеется в виду хакеров. Но все до сих пор думают, что в России КГБ нанимает специалистов, когда приходит в дом и силой забирает лучшие умы в свои подземные бункеры. 

Но вот NSA США открыто нанимает и скорей всего им нужны не специалисты по безопасности, а именно хакеры. Для реализации ИТ проектов (включая и обеспечение безопасности) правительство всех цивилизованных стран объявляют конкурсы и заключает контракты с коммерческими компаниями. В США таких компаний очень даже много, причем тут представлены одни из самых лучших. 

Бесит, когда не сообщают e-mail

Очень часто формы о забытии пароля не сообщают о том, существует ли реально e-mail или нет. Какой бы e-mail вы не ввели, в ответ вы получите сообщение, что пароль отправлен вам на e-mail. На самом деле, если e-mail не зарегистрирован на сайте, то ждать будете вечно. 

У меня несколько e-mail адресов и когда возникает проблема с забытым паролем, мне приходится заполнять форму забытого пароля для каждого из них, если я точно не помню, какой я использовал. 

Позиция безопасников, которые требуют такого поведения - сайты не должны говорить, зарегистрирован ли адрес, потому что хакеры могут потом запустить подбор пароля. На мой взгляд это глупость, потому что хакеры запустят подбор даже если не знают, зарегистрирован e-mail или нет.

Уязвимость умных домов

Сегодня прочитал, что в аудиодорожки можно встроить какие-то звуки, которые позволят управлять умными устройствами дома. Человек не будет слышать звуки, которые может распознать Alexa или Google Home. 

Если честно, то я изначально не доверял всем этим умным устройствам и в них уже давно есть серьезная уязвимость - они не распознают голос. Они распознают речь, но не голос и это серьезная проблема. Именно поэтому у меня Амазон Алекса дома имеет право только включать и выключать свет, но никогда не научится открывать входную дверь. Это можно сделать через специальный хаб (я слышал что можно, но даже не пробовал и не собирабюсь пока), но это откроет уязвимость к моему дому. 

Браузер Edge раздает твои файлы

Ух ты, какая банальная уязвимость

Открытый исходный код — безопасно?

Бытует мнение, что программы с открытым исходным кодом надежнее и безопаснее, чем фирменные. Сторонники этого утверждения считают, что такую систему исследуют множество людей разными способами и тем самым выявляют все возможные погрешности. А самое главное, что ошибки исправляются своевременно, доступны для свободного скачивания и легки в установке.

Да, искать ошибки на уровне кода совместно с тестированием готового продукта намного проще и эффективнее, но результат далек от идеала. Несмотря на массовое тестирование, в Linux достаточно часто находят ляпсусы. Однако если посмотреть, какая армия пользователей обследовала последние версии Windows, то можно было бы подумать, что она станет безупречной. Тестирование — это одно, а применение в "боевых условиях" зачастую демонстрирует совершенно непредсказуемые результаты.

Google раскрыло дыру в Edge до патча

Если я не ошибаюсь, то это уже не первый раз, когда Google раскрывает информацию про уязвимость в продукте Microsoft. 

На этот раз уязвимость нашли еще в ноябре и у Microsoft было 90 дней на то, чтобы выпустить патч. Потом дали еще 14 дней, прежде чем информация о дыре стала доступна общественности. Но патч так и не стал реальностью. 

Согласно инженерам Google, из-за сложности бага неизвестно, когда может быть готов патч. 

Гениально простой метод украсть деньги у американцев

По советским стандартам телефонной связи, когда заканчивается звонок, то идут короткие гудки. Чтобы начать новый звонок, нужно повестить трубку и снять заново. В США и Канаде при завершении звонка просто начинается тишина. 

Я точно не знаю, почему такая разница, но слышал, что в России при завершении звонка линия со станцией не освобождается и короткие гудки как раз на это указывают. В США и Канаде если один завершает звонок, то второму он просто обрубается без каких-либо признаков, поэтому второй собеседник слышит тишину. Опять же, я не знаю, на сколько эта информация точная. 

Правильное наблюдение

Интересная идея, но очень дорого. Я далеко не богатый человек, меня можно отнести наверно к среднему классу в Канаде, но у меня трезх уровневый дом, в котором четыре небольших комнаты и две очень большие. В идеале мне нужно 6 таких датчиков, которые покроют большую часть дома, но я для меня цена слишком высокая. 900 долларов - многовато. Интересно, сколько будут сенсоры стоить, чтобы купить весь блок с 6-ю сенсорами. 

Еще одна дыра в процессорах Intel?

Финская компания F-Secure нашла еще одну дыру в процессорах Intel, которая позволяет удаленно получить контроль над компьютером. Новая проблема находится в Active Management Technology, которая обычно включена на большинстве корпоративных компьютеров. 

Проблема по ходу затрагивает миллионы ноутбуков по всему миру, и с помощью нее хакеры могут получить контроль над ноутбуками в считанные секунду. 

Как говорят в F-Secure, уязвимость шокирующе простая, но при этом обладает деструктивным потенциалом. Но вот описание уязвимости уже не выглядит для меня так уж и страшным.

Пиратство в Канаде

Сейчас читал заметку по поводу пиратства, и автор говорит, что благодаря пиратству и достаточно свободному доступу к нелегальному софту, многие из на смогли получить навыки работы с программами, которые в США стоят очень дорого. В этом мы получили преимущество над американцами, у которых проблемы с доступом к нелегальному софту. 

Я тоже когда-то думал, что в США и Канаде все такие правильные и боятся нарушить закон, но, когда я пришел на первую свою работу в Канаде, я был шокирован, что там полно нелегального софта. Мне выдали новенький MacBook Pro, на который поставили нелегальный MAMP и нелегальный Adobe Photoshop, Dreamweaver и были какие-то еще программы.

Это была мелкая компания, у которой был плохой бизнес, поэтому можно было ставить все, что угодно на свои компьютеры. В крупных компаниях вы такого конечно же не увидите. Когда я перешел в Klick, то там сразу же было написано в правилах, что нелегал ставить нельзя. 

Самая опасная мобильная ОС

Nokia выпустили отчет Threat Intelligence Report, согласно которому из всех зараженных мобильных телефонов 68% работали на Андроиде. Еще 28% работали на Windows и только 3% на iOS. 

Возможно для тебя это неожиданно, а для меня вполне ожидаемо, ведь Apple очень жестко относится к приложениям, которые программисты хотят опубликовать в их магазине приложений, а левые магазины официально недоступны. Помимо этого, обновления выходят регулярно, и распространяются на все устройства, а не выбранные брэнды. 

У Андроида и  Windows всегда были проблемы с доставкой обновлений, а в андроиде еще и проблема независимых магазинов приложений, откуда пользователи телефонов могут подхватить любую заразу. 

Хранение неудачных попыток в сессии

Меня тут попросили проверить сайт, который явно взломали. На сайте есть двухфакторная авторизация, но ее явно обошли. Доступа к коду не предоставили, но я начал тестировать систему, и выяснилось, что при доступе к защищенной части сайта просят ввести 4-хзначное число. После четвертой попытки сайт блокирует меня. Но если выйти и войти после третьей попытки, то можно повторить процесс перебора числа заново. 

В общем, входим на сайт, делаем три попытки, выходим. Входим снова, делаем три попытки, выходим. Число не меняется, потому что это последние 4 цифры социального номера страхования американца. Делаем вывод, что для взлома нужно всего 9999 попыток максимум и блокировка реально не работает. Мне кажется, что количество неверных попыток просто сохраняется в сессии, и после выхода/входа сессия очищается и можно повторить все заново.

О блоге

Программист, автор нескольких книг серии глазами хакера и просто блогер. Интересуюсь безопасностью, хотя хакером себя не считаю

Обратная связь

Без проблем вступаю в неразборчивые разговоры по e-mail. Стараюсь отвечать на письма всех читателей вне зависимости от страны проживания, вероисповидания на русском или английском языке.

Пишите мне


Я в социальных сетях
Facebook Telegram Youtube Програмысли Instagram