Мдаа… Думаю, у нас с “Алисой” шансов нет - даже подавать заявку не буду =)
Если у вас с фантазией получше - можете попробовать выиграть 250 тыс.руб: https://namesoc.ru
#пятничное про пароли
(с)просторовинтернета
Шикарный пример того, как из одного инфоповода сделать пять новостей =)
Подкину идею - у нас области и края ещё на районы и округа делятся…
Так и живём… #пятничное
На прошлой неделе НКЦКИ сообщил о запуске сервиса «Утекли ли Ваши данные? Проверьте» (УЛВДП). Естественно захотелось его сравнить с другим весьма популярным «Have i been pwned?» (HIBP).
Результаты навскидку такие:
- HIBP ищет только по электронной почте, УЛВДП - ещё и по логину и по номеру телефона;
- HIBP приводит краткую справку о самой утечке с ссылкой на более детальное описание, УЛВДП отображает только наименование источника утечки и дату;
- HIBP обычно находит больше утечек (сравнивал по нескольким адресам), но УЛВДП порой указывает на отсутствующие у HIBP - например, утечку Tele2.ru;
- HIBP позволяет подключить отдельный дашборд для поиска всех утечек для конкретного почтового домена;
- HIBP позволяет работать через API;
- на сайте HIBP есть общая статистическая информация и отдельная информация о всех подключенных базах, в сервисе УЛВДП такой информации нет.
В целом, для первой итерации - УЛВДП получился вполне рабочим, хотя о полной альтернативе HIBP говорить пока рано. Ну, а для бОльшего эффекта рекомендовал бы пользоваться ими обоими одновременно.
- Сервис НКЦКИ: https://chk.safe-surf.ru
- Сервис Have i been pwned?: https://haveibeenpwned.com
- Пресс-релиз: https://safe-surf.ru/specialists/news/706601/
- Новость на AntiMalware: https://www.anti-malware.ru/news/2024-04-15-114534/43162 - новость с ошибкой: никакие пароли УЛВДП вводить не предлагает =)
UPDATE 18.04 Обнаружился ещё один адрес: https://safe-surf.ru/leak-check/ - тут есть поиск по паролю, но сервис проверки работает гораздо менее стабильно: результат поиска пароля “qwerty” я так и не смог получить.
Кобольдские письма
Оказывается, электронное письмо, полученное от доверенного лица, и даже подписанное его электронной подписью, - может оказать фишинговым.
Суть проблемы в том, что большинство почтовых клиентов позволяет использовать CSS (Cascading Style Sheets - каскадные таблицы стилей) для оформления электронных писем в формате HTML и грамотное использование особенностей DOM (Document Object Model - объектная модель документа) позволяет сформировать такое письмо, которое изначально выглядит вполне невинно, так как его часть просто скрыта (например, путём применения стиля «display: none;»), но при пересылке - изменяется и превращается в нечто совершенно иное.
Поэтому, как вариант, ваш шеф может переслать вам письмо с вопросами от потенциального клиента, а вы в свою очередь - получить от него уже указание необходимости перевода крупной суммы денег по неким банковским реквизитам.
«Кобольдскими» такие письма автор оригинальной статьи назвал как раз потому, что кобольды (нечистые духи в германской мифологии, сродни гномам или домовым) обычно невидимы и склонны к пакостям.
Уязвимость актуальна (в упомянутой статье приведены наглядные примеры) как минимум для:
- Thunderbird;
- веб-версии Outlook;
- Gmail.
В качестве меры защиты можно отключить HTML в почтовом клиенте и «включить» критическое мышление.
Автор, конечно, приводит пример с развитием событий в виде звонка шефу с просьбой подтвердить легитимность письма, и по его версии - необходимое подтверждение вы вполне можете получить, но, на мой взгляд, это уже притянуто за уши. Вряд ли кто-то спросит: «Вы пересылали мне сегодня письмо?», - но не упомянет его содержимое.
Оригинальная статья (англ.): https://lutrasecurity.com/en/articles/kobold-letters/
Пост Брюса Шнайера: https://www.schneier.com/blog/archives/2024/04/security-vulnerability-of-html-emails.html
Про модель DOM: https://ru.wikipedia.org/wiki/Document_Object_Model
Про CSS: https://ru.wikipedia.org/wiki/CSS
Про кобольдов: https://ru.wikipedia.org/wiki/Кобольды
Добавил к списку докладов ИБ АСУ ТП КВО 2024 ссылки на краткие пересказы видео выступлений, сгенерированные нейросетью YandexGPT: https://zlonov.ru/events/2024-03-13-14-ибкво/
Вот как это выглядит на примере доклада Павла Сергеевича Зенкина из ФСТЭК России: https://300.ya.ru/v_UsvAYNSG
#пятничное Оригинал: https://pikabu.ru/story/urok_yurisprudentsii_11233505
Лучшие доклады ИБ АСУ ТП КВО 2024: https://zlonov.ru/best-reports-ibkvo-2024/
Выборка сертифицированных операционных систем из реестра ФСТЭК России: https://zlonov.ru/fstec-os-2024/