Открыть список
Как стать автором
Обновить
  • по релевантности
  • по времени
  • по рейтингу

Социальные сети оказались безопаснее порталов государственных услуг

Информационная безопасность

Мы протестировали порталы государственных услуг по новым методикам, оценивающим надежность HTTPS-соединения с ними и уровень защиты от XSS, а также сравнили их с сайтами соцсетей, банка, транспортных и сервисных компаний. Результат в чем-то предсказуемый (с безопасностью электронных госуслуг все плохо), а в чем-то нет (у большинства сайтов из «контрольной группы» дела не лучше), но давайте обо всем по порядку.
Читать дальше →
Всего голосов 17: ↑6 и ↓11 -5
Просмотры7.3K
Комментарии 27

Как я угнал национальный домен Демократической Республики Конго

Блог компании ITSummaИнформационная безопасностьКриптографияАдминистрирование доменных именDNS
Перевод
Примечание: проблема решена. Сейчас национальный домен .cd уже не делегирует полномочия скомпрометированному нейм-серверу

TL;DR Представьте, что может произойти, если национальный домен верхнего уровня (ccTLD) суверенного государства попадет в чужие руки. Однако я (@Almroot) купил доменное имя, которое указано для делегирования NS в национальном домене Демократической Республики Конго (.cd), и временно принял более 50% всего DNS-трафика для этой TLD. На моём месте мог оказаться злоумышленник, который использовал бы эту возможность для MITM или других злоупотреблений.


Читать дальше →
Всего голосов 53: ↑51 и ↓2 +49
Просмотры16.2K
Комментарии 8

Миф про «мобильный» CHACHA20

Информационная безопасность

При подготовке Методики расчета «Индекса надежности HTTPS» мы перерыли массу тематической литературы и не раз сталкивались с рекомендацией поддерживать на веб-сервере шифронаборы на основе алгоритма шифрования CHACHA20 в целях снижения нагрузки на мобильные клиенты, которые не умеют в аппаратный AES. В этом контексте обычно упоминались процессоры Mediatek и скопом «старые бюджетные мобильные процессоры».

Действительно ли CHACHA20 со своим верным спутником POLY1305 позволяют не слишком греться мобильным клиентам и стоит ли его поддерживать на веб-сервере? Давайте это обсудим!
Читать дальше →
Всего голосов 12: ↑10 и ↓2 +8
Просмотры2.7K
Комментарии 20

Суверенный DNS уже здесь, а вы и не заметили

Сетевые технологииСтандарты связи

Около 4 лет назад я сделал небольшую статью на тему невозможного в то время суверенного интернета. С того времени многое изменилось, появились законы и даже реализации этих законов, что ожидаемо вызвало много публикаций на эту тему. Однако, для обычного пользователя все эти движения оставались незаметными.

UPD. Ссылки на интересные каменты выношу в конец статьи.

Читать далее
Всего голосов 80: ↑74 и ↓6 +68
Просмотры54.6K
Комментарии 271

Самоподписные сертификаты кровавого энтерпрайза против вашего лампового CI/CD

Блог компании SouthbridgeСистемное администрированиеПрограммированиеIT-инфраструктураDevOps


Многие компании используют сертификаты, подписанные внутренними удостоверяющими центрами (Certificate Authority) для ресурсов в приватных сетях. Поскольку такие сертификаты по умолчанию не могут быть доверенными, почти на каждом этапе вокруг пайплайна могут возникать ошибки такого рода: x509 certificate signed by unknown authority. Из-за этого до каждого компонента необходимо доставлять корневые сертификаты, используемые в компании. В статье расскажу, как это можно сделать.


Статья подготовлена на основе моего материала в курсе «CI/CD на примере Gitlab CI».

Читать дальше →
Всего голосов 22: ↑20 и ↓2 +18
Просмотры4.6K
Комментарии 15

IETF официально прекратил поддержку протоколов TLS 1.0 и 1.1

Блог компании GlobalSignИнформационная безопасностьРазработка веб-сайтовКриптографияБраузеры

CC-BY-CA Vadim Rybalko, на основе мема

Рабочая группа инженеров Интернета IETF признала устаревшими протоколы шифрования TLS 1.0 и 1.1. Соответствующие стандарты RFC официально получили «исторический» статус с пометкой deprecated.

Пометка deprecated означает, что IETF настоятельно не рекомендует использовать эти протоколы. В целях безопасности требуется отключить поддержку TLS 1.0 и 1.1 везде, где это возможно. Об этом говорится в опубликованном RFC 8996. Почему нельзя поддерживать протоколы TLS 1.0 и 1.1 — подробно объясняется в пунктах 3, 4 и 5 этого документа.
Читать дальше →
Всего голосов 21: ↑21 и ↓0 +21
Просмотры6.7K
Комментарии 11

Обеспечение безопасности базы данных PostgreSQL

Блог компании ITSOFTИнформационная безопасностьPostgreSQLАдминистрирование баз данных
Перевод

Базы данных — это Святой Грааль для хакеров, поэтому их необходимо защищать с особой тщательностью. Это первая из серии статей, в которых мы дадим обзор best practice в обеспечении безопасности баз данных. Мы начнем с одной из самых популярных СУБД с открытым исходным кодом, PostgreSQL, и рассмотрим несколько уровней безопасности, о которых стоит задуматься:

Читать далее
Всего голосов 7: ↑6 и ↓1 +5
Просмотры7.9K
Комментарии 2