Хорошо быть параноиком. Весело. Быстро приходишь к идее, что доверять никому нельзя, и себе тоже. Совсем радостно становится, когда с таким мировоззрением устраиваешься в крупную компанию и начинаешь проектировать ключевые с точки зрения ИБ сервисы. Поэтому предлагаю обсудить, как обеспечить сохранность ценных секретов в окружении, где все — потенциальные злоумышленники.

Приложение «Социальный мониторинг», которое позволяет следить за тем, чтобы заразившиеся коронавирусом оставались дома, уже успело собрать массу негативных отзывов. Однако технической информации о нем (и, в частности, о его последней версии) немного. Чтобы восполнить этот пробел, я предпринял собственное исследование.

Долгое время Android имел славу медленной, небезопасной и в целом убогой ОС, предназначенной для тех, кто не смог накопить на iPhone. Но так ли это сейчас и был ли Android на самом деле так плох? В этой статье мы проследим за историей едва ли не самой больной части Android — системы безопасности.

Журналисты Washington Post получили неопровержимые доказательства того, что благодаря тайному сотрудничеству с фирмой-производителем американская разведка могла читать шифры, которыми десятилетиями пользовалась чуть ли не половина мировых правительств. Давай разберем историю компании и посмотрим, какими же фактами удалось завладеть.

Шифрованием пользуются все, и все уже привыкли к набору удобных функций: мгновенной смене пароля, уничтожению данных, высокой стойкости шифрования. Казалось бы, специализированные NAS должны оправдывать все эти ожидания. Но на деле во многих NAS ситуация с шифрованием весьма печальна, и виной тому — файловая система eCryptFS.

Технология DoH (DNS поверх HTTPS) обещает пользователям повышение безопасности и приватности. В Firefox она уже включена по умолчанию, в Chrome ее будут тестировать в версии 79, и даже в Microsoft обещают внедрить ее в Windows. Но при этом технологию многие критикуют, а Mozilla за свои старания получила номинацию на звание «интернет-злодея года». Давай разберемся в нюансах этой истории.

Программисты, меняя компанию-нанимателя, порой уносят с собой из старого офиса не только авторучку или любимую кружку с корпоративной символикой, но и кое-какие собственные наработки. Иногда это становится причиной судебных разбирательств и даже уголовного преследования. О правовых аспектах подобных инцидентов — сегодняшняя статья.

Представь себе такую ситуацию: неизвестный звонит с одноразового телефона и требует выкуп за похищенного им человека. На следующий день преступник звонит еще раз. Жертва обращается в полицию, и уже через полчаса там узнают не только настоящий номер звонившего, но и всю историю его перемещений и звонков. И все это без сложной техники, поддельных базовых станций и перехвата сигнала.

Знаменитый разоблачитель американской системы глобальной слежки Эдвард Сноуден написал автобиографию, которая уже успела стать бестселлером. Правительство США подало на него новый иск и попыталось лишить гонорара. Мы изучили эту сенсационную книгу и расскажем, что интересного в ней можно найти.

Мы все окружены паролями, одноразовыми кодами, ключами и токенами, но не всегда знаем об их существовании. Они каждую минуту обеспечивают безопасность наших аккаунтов и данных. Однако нам с тобой важно знать, как именно устроены самые базовые механизмы защиты информации. Один из них — это токены аутентификации, которые повышают надежность защиты данных и при этом не мешают комфортно пользоваться сервисами.

Пароли — один из самых старых методов аутентификации. Несмотря на почтенный возраст, они остаются основным способом убедиться в том, что пользователь — именно тот, за кого себя выдает. Пароли недаром пользуются популярностью. Хоть у них и множество недостатков, у паролей есть и несомненные достоинства: при должном контроле они могут быть как достаточно безопасными, так и вполне запоминаемыми.

В начале сентября российские сетевые издания облетела новость: одна из московских уличных видеокамер, подключенных к системе распознавания лиц, сумела обнаружить среди прохожих преступника. Несмотря на то, что подавалось это как удивительный прорыв на грани научной фантастики, подобные технологии применяются уже очень давно. И пионером в этой области стала Китайская Народная Республика.

Что объединяет конкурентную разведку, пентестинг и расследование киберинцидентов? Это сбор информации, и прежде всего — из открытых источников. Но что делать, если найденных сведений не хватает, а привычные инструменты уже бессильны? Поговорим о хаках и приемах, тесно связанных с получением доступа к закрытым материалам.

Эллиптическая криптография (Elliptic Curve Cryptography, ECC) — штука популярная, мощная и при этом не очень понятная. Мы в CloudFlare используем ее везде: от защиты HTTPS-соединений наших клиентов до передачи данных между серверами. В этой статье я попытаюсь на простых примерах показать, как все это работает.

Ни для кого не секрет, что наши с тобой телефоны знают о нас слишком много. И пока твой гаджет с тобой, трудно найти хоть минутку, когда никакая информация о твоих действиях не попадет в сеть. Допустим, ты установил кастомную прошивку и не устанавливал GApps. Думаешь, твои данные в безопасности? Сейчас проверим!

Есть такая занятная штука — тайна переписки. Правда, широко известно о ней лишь в очень узких кругах анонимусов. По крайней мере, правительства и спецслужбы о ней слыхом не слыхивали, да и некоторые коммерсанты очень любят сунуть свой любопытный нос в чужой почтовый ящик. Сегодня мы поговорим о том, как защитить свою электронную почту от постороннего назойливого внимания.

Мы много писали о безопасности мобильной ОС Apple и о том, как отдельные уязвимости системы можно использовать для доступа к информации. И в каждой такой статье звучала мысль: несмотря на отдельные недостатки, iOS у Apple получилась грамотно спроектированной и хорошо защищенной ОС. Сегодня мы перевернем твой мир с ног на голову утверждением, что iOS — наименее безопасная из всех мобильных систем на рынке.

Многие страны мира начали повсеместно внедрять технологии для слежки за своими гражданами и анализа их поведения. Механизмы вроде DPI ограничивают нашу свободу в Сети. Чтобы вступить в честный бой с этими механизмами, очень важно разобраться, как все устроено внутри.

В конце апреля в средствах массовой информации прокатилась очередная волна публикаций на тему «Apple уничтожает конкуренцию». Apple обвинили на основании того, что компания удалила из App Store приложения, позволяющие контролировать время использования смартфона и его функций. Но идет ли речь о нечестной игре, или же приложения действительно представляли опасность?

В последние годы одного лишь пароля для защиты важных учетных записей от неавторизованного доступа стало недостаточно. Большинство крупных компаний ввели сначала опциональную, а потом — усиленно рекомендуемую защиту вторым фактором аутентификации. Но что будет, если пароль ты помнишь, а доступа ко второму фактору нет? Попробуем разобраться.

В этой статье мы детально разбираем большой кейс с атакой на целую ферму машин под управлением Linux. Нас ждет взлом веб-сервера, заражение майнером, эскалация root из виртуального контейнера и создание ячейки ботнета, которая рассылала спам. Уже не терпится узнать подробности? Тогда поехали!

Первая задача в цифровой криминалистике — это сбор информации, конкретно — получение образов жестких дисков и оперативной памяти, а также, если это может помочь, дампов сетевых соединений. В этой статье мы посмотрим, что нужно сделать для получения всего этого на машинах с Linux, а заодно научимся и другим полезным навыкам.

В последнее время браузер Firefox претерпевал достаточно значительные изменения, хорошие и не очень: это и переход на движок Quantum, это и отказ от расширений типа XUL/XPCOM, и переход на WebExtensions, и еще масса других преобразований. Но что никак не изменилось — так это возможность сделать из него прекрасный хакерский браузер, если немного покрутить конфиги.

В Google Play больше 40% приложений, которые будут показывать тебе рекламу. Используя такие приложения, ты запускаешь встроенный в них AdSDK, который подгружает со своего сервера рекламные объявления, которые через JavaScript обращаются к нативным функциям твоего смартфона. Звучит небезопасно, правда?

Тайна переписки заботит не только тру-хакеров, но и миллионы простых пользователей, которые совсем не хотят, чтобы их интимные фотки стали достоянием общественности. В прошлой статье мы исследовали приватность и безопасность самых популярных мессенджеров. Настало время пристально изучить их конкурентов, претендующих на более серьезную защищенность.

Своеобразным триггером, вызвавшим появление этой статьи, стало огромное количество публикаций, уныло повторяющих одну и ту же мантру: используйте стойкий код блокировки, включите датчик отпечатков, отключите Smart Lock, включите двухфакторную аутентификацию, обновитесь на последнюю доступную версию ОС… Не будем спорить, все эти вещи проделать необходимо — но совершенно, абсолютно недостаточно.

I2P, или Invisible Internet Project, — это на сегодняшний день самая анонимная сеть. Здесь ты можешь ходить по сайтам и пользоваться сервисами, не раскрывая сторонним лицам ни байта своей информации. И хоть появился I2P в 2003 году, сеть продолжает расти и шириться. Давай посмотрим, что интересного есть в I2P сегодня.

Комбинация данных с носимого устройства и информации о твоем местоположении позволяет восстановить картину твоей деятельности буквально по минутам. Сегодня мы рассмотрим, какие данные о тебе собирают стандартные приложения Apple Health (iOS) и Google Fit (Android), как и где эти данные сохраняются, куда синхронизируются, как защищены и как их можно извлечь.

Слово «даркнет» уже почти что стало клише, которым обозначают все запретное, труднодоступное и потенциально опасное, что есть в Сети. Но что такое реальный даркнет? Мы предлагаем тебе очередное исследование, в котором делимся всем, что удалось откопать за последнее время. На этот раз — с фокусом на российские темные ресурсы.

В нашей лаборатории собрался полный комплект «умных» колонок, включая множество устройств с Amazon Alexa и Google Assistant, а также колонки с Apple Siri и Microsoft Cortana. В этой статье мы сравним «интеллект» помощников и расскажем о том, какие данные они передают производителю и как они там хранятся.

В прошлом году была найдена критическая уязвимость в WPA2 — протоколе безопасности, который использует примерно каждая первая точка доступа Wi-Fi. Взволновало это немногих — а зря! В этой статье я расскажу о новом протоколе WPA3, где атака KRACK больше не сработает, а заодно посмотрим и на другие существующие стандарты.

С выхода Windows 10 прошло уже три с лишним года, а проблема слива пользовательских данных на серверы Microsoft так и не решена. Более того, она усугубилась принудительным сбросом настроек приватности и перезапуском отключенной службы обновлений. В этой статье мы сравним несколько утилит для управления «шпионскими» компонентами ОС и посмотрим, насколько они эффективны на современных сборках Windows 10.

Мобильные операторы получают массу данных и метаданных, по которым можно узнать очень многое о жизни отдельно взятого абонента и даже отследить всю цепочку прохождения информации от звонка до списания денег. Если же говорить о модели внутреннего нарушителя, то здесь возможности и подавно огромные, ведь защита данных вообще не входит в задачи систем предбиллинга.

Общеизвестно, что чаще всего мобильные вредоносы ставят на девайсы сами пользователи. Но ты-то, дорогой читатель, пользуешься прошивкой от проверенного производителя, официальным маркетом и надежным антивирусом и полагаешь, что у вендоров все под контролем? Не тут-то было.

Релиз cryptsetup 2.0 в декабре прошлого года прошел тихо и незаметно, что довольно-таки странно, учитывая фишки, которые он принес. В этой статье мы разберем, что в нем нового и какие проблемы существуют на данный момент, на практике попытаемся реализовать полное шифрование диска с использованием LUKS2, а также рассмотрим доступные коммерческие и свободные инструменты для его взлома.

Если ты действительно заботишься о безопасности, то некоторые приложения есть смысл запускать в виртуализации. Но держать три десятка виртуалок неудобно. Мне удалось обойти часть неудобств: мое решение работает в Linux, позволяет запускать приложения с GUI и шейрить файлы с основной системой, а оверхеды при этом минимальны. Как я этого добился? Сейчас расскажу.

Парадоксально, но факт: при всем разнообразии мессенджеров выбирать их обычно не приходится — люди просто пользуются тем же, чем их друзья и знакомые. Но что, если секретность действительно важна? В этой статье мы пройдемся по списку современных мессенджеров и посмотрим, какие гарантии защиты есть у каждого из них.

В этой статье рассмотрим процесс конфигурирования Wi-Fi точки доступа с автоматической анонимизацией всего исходящего трафика через сеть Tor, а также взглянем на некоторые полезные практические примеры её применения как для простого пользователя, так и для исследователя безопасности.

Обычно мы рассказываем об уязвимостях и способах, помогающих получить доступ к приватной информации. Сегодня будет наоборот: мы рассмотрим способы, которыми пользуются спецслужбы, чтобы взломать iPhone и извлечь твои данные, попробуем от них защититься и сразу же оценим стойкость такой защиты.

Сквозное шифрование, или end-to-end encryption (E2EE), считается панацеей от настойчивых попыток хакеров и силовых ведомств ознакомиться с онлайновой перепиской. Смысл E2EE часто сводится к тому, что ключи хранятся только на устройствах собеседников и не попадают на сервер... но это не совсем так. Давай посмотрим, как в действительности обстоят дела с E2EE, на примере популярных мессенджеров.