Сообщество - Информационная безопасность
Информационная безопасность
843 поста 18 224 подписчика
539

Частотный анализ букв в тексте

Привет.
Предлагаю облачиться на пару минут в Шерлока Холмса, который применяя знания криптоанализа взламывал шифры преступников. Будет чем удивить друга или рассказать ребёнку :)

Будет много картинок (с текстом) и текста. А как иначе?!

Хочу рассказать вам немного о криптографии, точнее, о криптоанализе.
И об шифровании текста, точнее о шифровании методом замены (как шифр Цезаря).

Криптография - это наука о методах обеспечения конфиденциальности, целостности и аутентификации. Или проще, шифровании информации от злоумышленника.
А криптоанализ, наоборот, наука о раскрытии зашифрованного сообщения.

Теперь ближе к практике, не хочу вас грузить. Сразу пример.
Есть некий текст, который зашифровали заменой одного символа на другой:

Частотный анализ букв в тексте Криптография, Информация, Информационная безопасность, Криптоанал, Гифка, Видео, Длиннопост

Чтобы его расшифровать я использую частотный анализ букв в тексте:

Частотный анализ букв в тексте Криптография, Информация, Информационная безопасность, Криптоанал, Гифка, Видео, Длиннопост

Если текст достаточно большой, то в нём всегда выполняется это правило.
Поэтому возьмём для подбора конкретной информации большой объём текста:

Частотный анализ букв в тексте Криптография, Информация, Информационная безопасность, Криптоанал, Гифка, Видео, Длиннопост

Исследуем с помощью любой программы, считающей частоты букв в тексте:

Частотный анализ букв в тексте Криптография, Информация, Информационная безопасность, Криптоанал, Гифка, Видео, Длиннопост

И сравним с зашифрованным текстом

Частотный анализ букв в тексте Криптография, Информация, Информационная безопасность, Криптоанал, Гифка, Видео, Длиннопост

И дело за малым, заменим буквы в зашифрованном тексте, согласно частотам.
Сделать это можно, например, с помощью блокнота "Правка - Заменить"

Частотный анализ букв в тексте Криптография, Информация, Информационная безопасность, Криптоанал, Гифка, Видео, Длиннопост

В качестве и с музыкой

Заранее: Gesaffelstein - Destination
Надеюсь эта небольшая заметка, не несущая в себе много информации, заинтересует вас и привлечёт к изучению криптоанализу.

Планирую ещё несколько постов по информационной безопасности.
Цель как и всегда ранее: ради общения на эту тему развиваю эту тему

Показать полностью 5 1
341

Баг в Chrome И Firefox позволял подменить URL, используя арабские символы!

Независимый исследователь Рафай Балоч (Rafay Baloch) обнаружил баг, суммарно принесший ему $5000 по bug bounty программам Google и Mozilla. Исследователь рассказал, что подменить URL в адресной строке браузера можно просто использовав арабскую письменность или символы любого другого языка, в котором чтение и письменность осуществляются справа налево.
Баг в Chrome И Firefox позволял подменить URL, используя арабские символы! Хакеры, Фишинг, Баг, Браузер, Mozilla, Google Chrome, Адрес, Арабские символы, Длиннопост
В своем блоге Балоч пишет, что проблема очень проста и связана с тем, как браузеры обрабатывают ссылки, в которых сочетаются символы арабского языка или иврита (которые записываются и читаются справа налево), и обычная латиница, знаки и цифры. Некоторые браузеры в таком случае меняют части ссылок местами, создавая у пользователя иллюзию, что он находится совсем не на том сайте, который открыт в окне браузера.
Баг в Chrome И Firefox позволял подменить URL, используя арабские символы! Хакеры, Фишинг, Баг, Браузер, Mozilla, Google Chrome, Адрес, Арабские символы, Длиннопост

Исследователь приводит простой пример: 127.0.0.1/ا/http://example.com. Из-за использования символа «ا» ссылка превратится в http://example.com/ا/127.0.0.1. Опасность заключается в том, что пользователь будет убежден, что находится на example.com, тогда как на самом деле в его браузере может открыться совсем другой сайт.


Баг, найденный Балочем, это настоящий подарок для фишеров, которые могут встраивать такие ссылки в почтовый спам, SMS-сообщения и так далее. Когда пользователь кликнет по такой ссылке, в адресной строке браузера он увидит адрес легитимного домена, хотя на самом деле будет направлен на сервер злоумышленника.

«Часть ссылки с IP-адресом очень легко спрятать, особенно в мобильных браузерах, достаточно создать ссылку подлиннее (например: google.com/fakepath/fakepath/fakepath/… /127.0.0.1), чтобы атака выглядела еще реалистичнее, — пишет исследователь. — Можно также использовать юникод-символ, изображающий замок, имитировав наличие SSL».

Проблема затрагивает браузеры Firefox для Android (CVE-2016-5267) и Chrome, но в браузере Mozilla реализация атаки выглядела немного иначе. Для Firefox атакующий не обязательно должен был задействовать IP-адрес, здесь было достаточно использования арабских символов, к примеру, URL вида http://عربي.امارات/google.com/test/test/test превращается в google.com/test/test/test/عربي.امارات.

Баг в Chrome И Firefox позволял подменить URL, используя арабские символы! Хакеры, Фишинг, Баг, Браузер, Mozilla, Google Chrome, Адрес, Арабские символы, Длиннопост
В настоящий момент проблема устранена в Firefox для Android, а Google обещает представить исправление для Chrome в сентябре 2016 года. Однако исследователь пишет, что такой же баг присутствует и в других браузерах. Так как патчей еще нет, Балоч не раскрывает их названий.

Пост...

P.S.-Если все кинулись тестировать другие браузеры на наличие данного бага, то не забудьте пожалуйста отписаться в данном посте. Остальным участникам сообщества и пользователям пикабу будет интересно...)))))

Показать полностью 2
372

Google dorks или как себя развлечь в инторнете.

Снова здравствуйте. Вам скучно? Хотите запустить свои руки в грязное белье плохеньких веб-админов и даже в личные компьютеры неумех с поднятым веб-сервером? Тогда гугл доркс вам в помощь. Все знают, что робот гугла может пролезать в вашу жизнь и индексировать всё, до чего дотянется. Всё, что вам остается, чтобы получить доступ, это задать правильный вопрос в поисковике, например:

inurl:wp-config -intext:wp-config "'DB_PASSWORD'" - этот запрос в гугле найдет незакрытый файл конфига для вордпресса и покажет, о боги, пароли в чистом виде.

Самая полная и пополняющаяся база таких запросов тут:

https://www.exploit-db.com/google-hacking-database/

Все запросы разбиты по категориям информации, которую вы ищете, есть шаблоны для проверки своих сайтов. Удачи и помните первое правило пентеста: "Администратор тестируемого сервиса, должен знать о ваших действиях и быть согласным на тесты". В противном случае вы уже делаете противозаконные действия, а УК надо чтить.

822

LPIC-1 Курс Linux для системного администратора.

LPIC-1 Курс Linux для системного администратора: Как установить linux
LPIC-1 Курс Linux для системного администратора: загрузка Linux
LPIC-1 Курс Linux для системного администратора: настройка сети
LPIC-1 Курс Linux для системного администратора: управление процессами Linux
LPIC-1 Курс Linux для системного администратора: Написание скриптов Bash, sh
LPIC-1 Курс Linux для системного администратора: Работа с файловой системой
LPIC-1 Курс Linux для системного администратора: работа с шеллом sh, bash
LPIC-1 Курс Linux для системного администратора: работа в редакторе VI
LPIC-1 Курс Linux для системного администратора: Безопасность Linux
LPIC-1 Курс Linux для системного администратора: настройка Syslog (журналирование событий Linux)
LPIC-1 Курс Linux для системного администратора: установка программ
LPIC-1 Курс Linux для системного администратора: Автоматизация

P.S. ЛЛ негодует!

Показать полностью 9
523

Новая уязвимость Spoiler затрагивает все поколения процессоров Intel Core

Исследователи из Вустерского политехнического института в Массачусетсе и университета в Любеке (Германия) опубликовали документ, в котором рассказали о новой уязвимости процессоров Intel. Уязвимость получила имя «Spoiler» и она не относится к уязвимостям Spectre и Meltdown, что означает полную беззащитность перед новыми атаками на микроархитектуру процессоров Intel. Проще говоря, все ранее выпущенные заплатки против Spectre и Meltdown не будут защищать от уязвимости Spoiler. Надёжнее всего от нового варианта уязвимости могут защитить архитектурные изменения, но когда они будут реализованы, не знает никто. По оценкам специалистов, у Intel на это может уйти до 5 лет.

Компания Intel была предупреждена об уязвимости Spoiler в ноябре 2018 года, но видимых усилий для её устранения не предприняла. Хуже всего, что Spoiler затрагивает все процессоры Intel Core, начиная с первого поколения и во всех операционных системах. Как и в случае Spectre и Meltdown, проблема лежит в реализации механизмов спекулятивного исполнения команд, ускоряющих работу ПО за счёт упреждающего исполнения команд. В процессорах AMD и ARM, кстати, атаку типа Spoiler исследователи не смогли реализовать. Сказалось различие архитектур в области управления операциями в оперативной памяти и в кеше.

Уязвимость Spoiler эксплуатирует буфер изменения порядка обращения или, по-английски, MOB (Memory Order Buffer). «Основная причина для [появления] Spoiler кроется в уязвимой реализации спекулятивной адресации, задействованной в проприетарной подсистеме памяти [процессоров] Intel, что ведёт к прямым утечкам временнóй активности вследствие конфликта физических адресов». Используя конфликты адресов, злоумышленник может получить доступ к чувствительной информации в виде паролей и других данных в активных приложениях. Правда, для этого необходимо иметь доступ к системе хотя бы на уровне простого пользователя для установки зловредного ПО.
Новая уязвимость Spoiler затрагивает все поколения процессоров Intel Core Информационная безопасность, Спойлер, Intel, Intel core, Exploits, Spoiler Intel
Также сообщается, что уязвимость Spoiler можно использовать во вкладке браузера с помощью кода JavaScript. Более того, Spoiler может многократно ускорять работу браузерного эксплоита. Кроме этого Spoiler может в 256 раз ускорять атаку с помощью эксплоита Rowhammer. Эта атака предполагает запись в разрешённые ячейки DRAM с воздействием электромагнитным полем на защищённые ячейки с целью перезаписи в них данных. Многогранный инструмент. Ждём, что на это ответит Intel. На момент написания новости компания не предоставила комментариев.

Источники:

https://3dnews.ru/983814

https://arxiv.org/pdf/1903.00446.pdf

https://www.theregister.co.uk/2019/03/05/spoiler_intel_flaw/

568

«Тинькофф банк» решил платить хакерам сотни тысяч рублей

«Тинькофф банк» решил запустить программу выплат за обнаруженные на сайте и в системах банка уязвимости, рассказали в компании. Это произошло после того, как пользователь «Хабрахабра» опубликовал информацию о способе узнать баланс любой карты банка по её номеру.
«Тинькофф банк» решил платить хакерам сотни тысяч рублей Хакеры, Банк, Выплаты, Уязвимость, Баланс, Карты

11 августа пользователь «Хабрахабра» под ником kromm рассказал, что с помощью недоработки в системе перевода средств на сайте «Тинькофф банка» можно определить баланс любой выпущенной компанией карты, зная только её номер. Спустя несколько часов после публикации «Тинькофф банк» закрыл ошибку.


Теперь «Тинькофф банк» решил официально запустить программу Bug Bounty, которая предусматривает выплаты хакерам, которые находят уязвимости в системах компаний и передают информацию о них в сами организации, не выкладывая публично. В ближайшее время этот проект будет официально запущен на площадке HackerOne, которой уже пользуются «ВКонтакте», «Одноклассники» и другие российские компании.

Полностью совершенных технологий не бывает. Даже у самых опытных тестировщиков может замылиться глаз, поскольку они работают с привычным для них интерфейсом. Не секрет, что это порой может привести к «мертвым зонам» или к не своевременно выявленным ошибкам. Безопасность наших сервисов и данных наших клиентов – приоритет для нас, и мы рады будем использовать опыт других специалистов в области безопасности, как это уже сейчас делают крупнейшие мировые ИТ-компании.

— «Тинькофф банк»

Сумма выплат будет зависеть от критичности уязвимости и того, в каком сервисе она будет обнаружена.

«Мы сейчас разрабатываем конкретные критерии, однако сейчас можно утверждать, что сумма будет варьироваться от нескольких тысяч до нескольких сотен тысяч рублей», — добавили в компании.

Представители банка добавили, что ранее уже сотрудничали с «белыми» хакерами, однако теперь решили запустить публичную программу.

https://vc.ru/n/tinkoff-hackerone
519

О печальной защите информации в 2017 году

В данном посте я хочу поговорить не про гигантов типа Google, Яндекс или ВК, а про обычные компании с которыми мы работаем или которые не так известны.


Несмотря на кучу законов типа ФЗ-152 уровень защищенности персональных (и не только) данных к сожалению переживает по моим наблюдениям не лучшие свои времена.


К сожалению утечки встречаются почти на каждом шагу, большинство по работе. Я хочу рассказать о найденных мной уязвимостях в 2017 году.


1.

В начале этого года попросили проверить одну Windows программу с целью узнать, что она вообще делает. Программа позиционировала себя как обратная связь клиента с фирмой, своеобразный такой чат.


Вооружившись VirtualBox с установленным внутри WireShark и другими средствами мониторинга начал следить за программой, исследовал формочки приложения. В WireShark промелькнул HTTP-запрос, отправляющий сообщение на сервер. Так же обнаружил и HTTP-запрос, получающий сообщения с сервера. Немного поразбежавшись, обнаруживаем, что никакой авторизации на стороне сервера нет. Получаем сразу 2 уязвимости. Мы можем читать сообщения любого пользователя, включая, что пишут админу, а так же от имени пользователя отправлять сообщения другому пользователю.


2.

На следующую уязвимость в конце зимы или весной в 2017 году я наткнулся совершенно случайно с помощью рекламы в Яндекс-Директе.

Попалась на глаза мне контекстная реклама одной фирмы, которая говорила, что есть филиалы во многих городах РФ. Что-то тогда меня заинтересовало и я открыл их сайт.

Там открыл форму обратной связи.

С удивлением замечаю попадаю на сайт без домена, а только IP-адрес сервера.

Стало любопытно, а что работает на этой машинке? Проверяю порт FTP и… захожу под гостем. Куча всяких файлов, рабочая WEB-папка со страницами сайта. Есть немножко бэкапов. С виду сервер использовался как или помойка или как тестовый сервер.

Открываем файл конфигурации из Web-папки … Видим логин и пароль от FTP-другого сервера.

Проверяем… И попадаем уже во второй сервер…

Там тоже поднят WEB-сервер и вообще файлов намного больше… на 200 гигабайт с лишним. В основном это конечно бэкапы баз, но и очень много рабочих и свежих документов.

Внутри конфига WEB-сервера уже засвечивается и SQL-сервер с логином и паролем, который крутится на этом сервере. И да. На него тоже можно попасть.

Итог: получаем утечку в из крупной фирмы с возможностью исказить/уничтожить информацию и бэкапы баз данных.


3.

Также в этом году для работы потребовалось создать парсер сайта довольно большой бюджетной организации для формирования БД (около миллиона строк в 3 таблицах), что бы уменьшить ручной труд и постоянные запросы к сайту. Сам сайт тоже тот еще тормоз, поэтому создание парсера было логичным решением, что бы получить сразу готовые таблицы и всегда иметь их под рукой.

В голове вместе с алгоритмом парсера и количество срок кода росла также лень всё это делать. Тогда я решил проверить теорию с предыдущим сервером. И.. Вы не поверите! Ситуация практически повторилась! Мы опять попали на FTP сервер, но на этот раз там лежал файл VPNRouter_64.vmdk. Виртуальная машинка.

Немного колдуем над файлом и получаем доступ к разделу виртуального диска внутри машинки.

Самое интересное, это папка OpenVPN с настроенной конфигурацией и сертификатами.

Копируем на свой комп, подключаемся, и… Бинго! Мы внутри защищенной сети.

Смотрим какой нам присвоил сервер виртуальный IP.

Открываем терминал, запускаем nmap сканируем всю подсеть на 80,21,1433 порты.

Есть несколько компьютеров с такими открытыми портами!

И опять нас радостно встречает FTP без пароля на одном из серверов!

А дальше классика. Открываем Web.config, получаем строку подключения к серверу и с помощью dBeaver мы получаем доступ к базе данных внутри сети. Что еще интереснее, данная комбинация подошла и на другие SQL-сервера внутри этой сети. Один пароль на все сервера (всего их было 3-5 серверов, уже не помню). И это довольно крупная бюджетная организация для нашего региона!

Опять же возможность положить сайты, совершить утечку персональных данных (я там себя нашёл), исказить/удалить.


Сами персональные данные мне уже не интересны. Я с ними работаю каждый день, допуск к базе своего региона (ну или большей её части) у меня есть и так.


4.

Еще один случай опять же на работе, опять же в этом году.

Другая бюджетная организация дала VPN (L2TP) доступ и программку которая работает с их сервером, обмен с базой данных.

В таком режиме мы уже работаем давно, но программист написавший программу уже уволился, а неудобства с программой проявляются все сильнее и мысли написать свою программу типа плагина или хотя бы нужные скрипты. И тогда я решил провести один эксперимент, а именно попробовать подключиться не через их прогу, а через редактор БД. Выдергиваю, по какому адресу их программа стучится, вбиваю в редактор БД, и… сервер нас впустил! Ему хватило подключения по VPN и доверительное соединение! Мы опять получаем доступ к серверу ко всем базам, которые там находятся со всеми вытекающими, куда по идее мы не должны были попасть.


5.

Похожая ситуация и в самой корпоративной сети, опять же в этом году.

Дали программу, файл реестра, внутри которого… Логин sa, пароль 111111As…. Доступ из внешки… Ну хоть не на стандартном порту. А на нем так же крутиться персональная информация! Любой админ из корпоративной сети сути может увидеть инфу другого филиала через SQL-редактор, к которой он не должен иметь доступа, а так же изменить/удалить всю БД! А то что изначально дали доступ без защищенного канала еще хуже! Благо щас перевели программу на Vipnet, но пару месяцев назад доступ по внешнему IP еще был, может и до сих пор есть.


6.

Недавно проводил исследование одного Android-приложения (мой предыдущий пост), там такая же плачевная ситуация. Любой школьник может получить доступ к информации без авторизации, слить бюджет на СМС, зафлудить СМС чей нибудь телефон, исказить рейтинг, слить базу данных. Так же существует возможность получить права баристы простым брутом пароля!


Это всё печально дамы и господа. Давайте, мы будем относиться к защите наших серверов/ПК/телефонов более серьезно. Для проникновения внутрь не понадобились никакие эксплоиты, хакерские навыки. Только штатные программы и любознательность.


А сколько подобных серверов с открытым доступом в интернете? А сколько еще таких дырявых приложений в Маркете? Наверно тысячи, десятки тысяч.

Вполне возможно, Вы так же сталкивались с похожими ситуациями, надеюсь без злых намерений.


Многие этим профессионально занимаются, пишут ботов которые ползают по интернету, пробивают стандартные порты, брутят по словарю, ломают роутеры, IP-камеры, увеличивая армию ботов. С такими ботами встречался и я, точнее мой Firewall и было занятно наблюдать как пытались подобрать пароль от моей базы по примерно по 5-10 запросов в секунду.

Так же попадались боты которые пытались ломануть мой FTP и VNC сервер из разных стран.

Обнаружив эти попытки в логах, я убрал компы за NAT  и с тех пор я держу все порты закрытыми, оставив только порт для VPN-соединения, а при, необходимости временно доступа другим людям, открываю временно их на нестандартных портах. Для постоянно доступа использую OpenVPN и генерирую сертификаты на каждое устройство.


Итак. Для минимальной безопасности:

1. Не держите FTP сервер с возможностью подключаться анонимусом. Не держите на FTP какую либо инфу, позволяющая скомпрометировать другие сервера. Конечно, если это Web-сервер и через FTP обновляется его содержимое, то дайте ему минимальные права, если его вдруг вскроют.


2. Не используйте простые пароли, которые можно легко сбрутить. Поверьте, боты не спят и рано или поздно могут приняться за ваш сервер, если он виден извне.


3. Используйте защищенное соединение. Если это не предоставляется возможным, вешайте службы на нестандартные порты. Такие порты найти сложнее и сканировать один комп относительно долго. Если есть настроенный Firewall, то вполне может сработать тревога сканирования портов и при их прозвоне ботом, фаервол начнет посылать все попытки подключения бота в лес, а порты ботом так и не будут найдены.


4. Если возможно, старайтесь в Андроид-приложениях шифровать все HTTP-запросы. Например http://127.0.0.1/web?query=vcXGregfds4r5f3r456sdr32vdf-6t и ответ получать примерно такой же. Через снифер уже не будет видна какая-либо зависимость от запросов и большинство любителей это уже может остановить. В идеале еще прикрутить защищенное соединение, но многих останавливает, что SSL-сертификаты платные. Можно еще использовать сокеты.


5. Не оставляйте в приложениях права админа, например в веб-приложениях, десктопных. Старайтесь давать минимальные права приложениям. Фукнции авторизации желательно вешать на сервер, а дальше посылать только ID-сессии, а не UserID. При обмене данными всегда проверять авторизована ли машина или нет. Особенно это касается Web- и Android-приложении.


6. Периодически проверяйте логи приложений, а так же лог фаервола.


7. Сервера желательно прятать за NAT, а в некоторых случаях (например, если это сервер с персональными данными или где проводятся финансовые операции) за двойной NAT.


8. Ну про своевременную установку патчей и обновлений, я думаю не стоит объяснять.


9. Ну и конечно следите за новостями о вирусных угрозах, эпидемиях, новых шифровальщиках


Желаю всем в следующем году стабильных линков, отсутствие зловредов и хороших клиентов. Сделаем наши сервера, базы данных и приложения более защищенными.

Показать полностью
335

Странный законопроект Австралии

Этот пост не является статьей из наших СМИ. Мой вольный перевод и компиляция англоязычных статей. Поэтому если я где-то ошибся в юридических терминах или неправильно перевел фразу, передал смысл, просьба поправить меня в комментариях.


К сути. Сегодня в Австралийском парламенте прошло слушание законопроекта о шифровании данных. Суть законопроекта: для борьбы с терроризмом и прочими крупными преступлениями у компании могут потребовать сделать бекдор для дальнейшей расшифровки переписок подозреваемого (или только преступника?). Это еще пол беды. Из неожиданного: к работнику такой компании могут прийти и потребовать сделать (внедрить уже готовый?) бекдор, при этом работник не имеет права рассказывать об этом кому-либо (даже работодателю), в противном случае его могут привлечь к ответственности вплоть до лишения свободы.


Ссылки:

Официальный сайт парламента Австралии
https://www.aph.gov.au/Parliamentary_Business/Bills_Legislat...

Парочка СМИ:
https://techcrunch.com/2018/12/05/australia-rushes-its-dange...
https://tendaily.com.au/amp/news/australia/a181206zli/if-enc...

Парочка реддит тредов:
https://www.reddit.com/r/programming/comments/a3kk7u/austral...
https://www.reddit.com/r/technology/comments/a3bols/australi...

471

В ОАЭ использование VPN и прокси теперь карается тюремным сроком и штрафами

Президент Объединенных Арабских Эмиратов Халифа ибн Зайд Аль Нахайян подписал новые поправки в законодательство, помогающие бороться с киберпреступлениями. Теперь на территории ОАЭ, к примеру, в Абу-Даби или Дубае лучше воздержаться от использования VPN и прокси: отныне они запрещены в ОАЭ. Стоит отметить, что это правило также касается и туристов, а за нарушение закона предусмотрено наказание в форме тюремного заключения, а также штраф в размере 500 00 – 2 000 000 дирхам (порядка 9 000 000 – 36 500 000 рублей по текущему курсу).
В ОАЭ использование VPN и прокси теперь карается тюремным сроком и штрафами ОАЭ, Закон, Прокси, VPN, Запрет, Использование, Политика

По сути, эти нововведения означают, что пользователям запрещено использовать системы, которые помогают скрыть факт совершения преступления или заметание следов. Хотя VPN и прокси могут применяться в абсолютно легальных целях, с точки зрения законов ОАЭ любой, кто скрывает свою сетевую активность при помощи зашифрованного трафика, подозрителен и нарушает закон.


Стоит отметить, что в Объединенных Арабских Эмиратах уже давно находятся под запретом VoIP-сервисы WhatsApp, Viber, Facebook Messenger и SnapChat. Также ранее на территории страны был заблокирован Skype, хотя запрет сняли в апреле текущего года, после того как Microsoft и другие лидеры отрасли пожаловались, что подобные ограничения не делают страну привлекательнее в глазах иностранных компаний в ОАЭ, и просто мешают работать.


Основными поставщиками «разрешенного VoIP» на территории страны выступают провайдеры Etisalat и Du, однако их услуги весьма дороги. Также главные провайдеры ОАЭ давно блокируют израильские домены, порносайты и вообще основательно фильтруют интернет.

Пруф: https://xakep.ru/2016/07/29/no-vpn-for-uae/

438

Медвежьи сервисы. Проверяем 6 популярных провайдеров VPN на предмет приватности

Медвежьи сервисы. Проверяем 6 популярных провайдеров VPN на предмет приватности Безопасность, VPN, VPN обзор, Анонимность, Исследования, Длиннопост

В наше время без VPN никуда: анонимность, безопасность и возможность обойти региональные ограничения и блокировки приводят к этой технологии не только технически подкованную публику, но и людей попроще. А они, конечно же, не будут ставить и настраивать OpenVPN на своем сервере и предпочтут услуги провайдера. Какой выбор нас ждет в таком случае и можно ли доверять провайдерам VPN? Давай пройдемся по наиболее известным из них и проверим.


Сначала определимся с критериями, на которые будем смотреть. Я предлагаю выдвигать такие требования.


SSL-сертификация доменов. Если с ней есть проблемы, то возможны атаки типа MITM.

Отсутствие подстав в лицензионном соглашении. Провайдер, для которого приватность пользователей не пустой звук, не должен пытаться заставить тебя соглашаться на что угодно.

Поддержка стойкого шифрования и современных протоколов. В некоторых странах при помощи DPI-аппаратуры успешно блокируются стандартные типы подключения, такие как PPTP, L2TP IKEv1, OpenVPN UDP и прочие. Уважающий себя провайдер должен предоставлять пути обхода. Что касается шифрования, здесь все индивидуально. Отмечу лишь, что протокол PPTP, используемый вкупе с MS-CHAP, был взломан в 2012 году. С тех пор любой человек, заплатив 17 долларов, имеет возможность дешифровать трафик.


CyberGhost VPN

CyberGhostVPN — немецко-румынский сервис, ведущий свою деятельность с 2007 года. Немногие остаются на плаву столько времени. Этот сервис предлагает три типа подключения: L2TP, OpenVPN, IPSec.

Медвежьи сервисы. Проверяем 6 популярных провайдеров VPN на предмет приватности Безопасность, VPN, VPN обзор, Анонимность, Исследования, Длиннопост

Способы обхода блокировок отсутствуют. Есть лишь возможность подключения по протоколу TCP на 443-м порте при использовании OpenVPN, что уже неэффективно в странах с DPI. SSL-сертификат ресурсу выдан компанией Comodo и действителен до 23.02.2019.


Два года назад CyberGhost оказался в центре скандала. Одно из обновлений его клиента устанавливало на машины пользователя корневой SSL-сертификат. Чем это плохо? Дело в том, что, когда ты устанавливаешь соединение по HTTPS, твои данные защищаются протоколом SSL/TLS, который подтверждается специальным сертификатом, выданным уполномоченной компанией. Браузер сверяется со списком сертификатов ОС и, если все сходится, разрешает войти на сайт. Обновление CyberGhost добавляло свой сертификат в этот список, что открыло возможность атаки типа man in the middle.


Компания поспешила выпустить опровержение, однако позже вскрылась другая проблема: фирменный клиент для Windows логирует системные данные компьютера, такие как название видеочипа, модель процессора и имя пользователя. Что тут сказать? Репутация подпорчена.


Что касается Privacy Policy, тут все очень интересно. В статье из своей базы знаний руководство сервера отчетливо и без ужимок заявляет о том, что логи не ведутся. Однако просмотр «политики конфиденциальности» вызвал у меня определенные вопросы.

Медвежьи сервисы. Проверяем 6 популярных провайдеров VPN на предмет приватности Безопасность, VPN, VPN обзор, Анонимность, Исследования, Длиннопост

В «анонимизацию» IP верится с трудом, да и остальное не вызывает теплых чувств. Любой сбор данных противоречит ответу в базе знаний, где заявлено, что логов нет.


NordVPN

NordVPN — стремительно набирающий популярность сервис, зарегистрированный в Литве. Ведет деятельность с 2013 года. В графе «Наши партнеры» раньше было указано, что контора получила CCNP-сертификат от CISCO, но потом эта информация пропала с сайта.

Медвежьи сервисы. Проверяем 6 популярных провайдеров VPN на предмет приватности Безопасность, VPN, VPN обзор, Анонимность, Исследования, Длиннопост

Сертификат CISCO с веб-архива

Медвежьи сервисы. Проверяем 6 популярных провайдеров VPN на предмет приватности Безопасность, VPN, VPN обзор, Анонимность, Исследования, Длиннопост

Графа «Партнеры» без сертификата


Почему информация о сертификате пропала с сайта? Как удалось получить этот сертификат, не имея никаких заслуг? Ответов нет, и убрали явно не просто так.


В «Политике конфиденциальности» тоже нашлись проблемы. Один пункт гласит, что логи не ведутся вообще, другой говорит нам, что сервис имеет право хранить ограниченное количество (сколько?) личной информации в течение двух лет.

Медвежьи сервисы. Проверяем 6 популярных провайдеров VPN на предмет приватности Безопасность, VPN, VPN обзор, Анонимность, Исследования, Длиннопост
Медвежьи сервисы. Проверяем 6 популярных провайдеров VPN на предмет приватности Безопасность, VPN, VPN обзор, Анонимность, Исследования, Длиннопост

Политика конфиденциальности NordVPN

На сайте утверждается, что пул серверов состоит из 5178 единиц, которые расположены в 62 странах. Используемые методы подключения: OpenVPN, L2TP, IPSec. Приятный бонус — возможность обхода DPI через stunnel.


С NordVPN все было бы хорошо, если бы не история с сертификатом CISCO и не лицензионное соглашение, которое разрешает владельцам сервиса собирать информацию, но не конкретизирует, какую именно.


Но есть и еще один интересный момент. Двое пользователей Reddit предприняли независимое исследование, судя по которому NordVPN принадлежит известной датамайнинговой компании TesoNet.


Похоже, именно это позволяет сервису тратить по полмиллиона долларов в месяц (только вдумайся в эту цифру!) на покупку отзывов и рекламы своего продукта. Так, по данным сайта adweek.com, NordVPN потратил на рекламу 497 тысяч долларов за один лишь февраль 2018 года. Откуда такие деньги? Думаю, ответ очевиден.


Выходит, пользоваться этим сервисом крайне опасно: вместо анонимности есть шанс предоставить подробные логи для датамайнинга. И напоследок еще одна неприятная история. В рекламном порыве сотрудники NordVPN накрутили рейтинг подложным отзывам на сайте trustpilot.com. Этот факт подтвержден администрацией ресурса.

Медвежьи сервисы. Проверяем 6 популярных провайдеров VPN на предмет приватности Безопасность, VPN, VPN обзор, Анонимность, Исследования, Длиннопост

Накрутка отзывов NordVPN


Private Internet Access

Private Internet Access — широко известный среди зарубежных пентестеров VPN-сервис. Среди аналогов выделяется детальными настройками шифрования (можно менять порт подключения, тип шифровки и ключа), наличием встроенных способов обхода DPI, а также своего SOCKS5-прокси и SSH-туннеля. Одним словом, хоть сейчас медаль давай, но увы…


Во-первых, web.archive.org ничего не знает о времени существования этого сервиса и о старых версиях сайта. Похоже, администрация попросила их удалить, а это тревожный знак.

Медвежьи сервисы. Проверяем 6 популярных провайдеров VPN на предмет приватности Безопасность, VPN, VPN обзор, Анонимность, Исследования, Длиннопост

Результаты поиска в веб-архиве

Мне удалось обнаружить, что этот провайдер находится на территории США, а также принадлежит некоему псевдоконгломерату, область деятельности которого раскидывается от VPN до бутиков.


Да, у Private Internet Access есть возможность шифрования 4096-битным ключом. Да, он спокойно кладет на лопатки DPI, но какой в этом смысл, если по первому зову Дяди Сэма все данные окажутся в руках властей?

Медвежьи сервисы. Проверяем 6 популярных провайдеров VPN на предмет приватности Безопасность, VPN, VPN обзор, Анонимность, Исследования, Длиннопост

Информация о сервисе

Попробуем поискать информацию о фирме-хозяине — London Trust Media. Поиски быстро привели меня к статье, сообщающей, что исполнительным директором этой компании был назначен Марк Карпелес (Mark Karpeles), при полном попустительстве которого была ограблена японская криптобиржа Mt.Gox. Доверия к этому товарищу у меня нет и быть не может.


HideME VPN

HideME — самый известный в рунете VPN-сервис. Ведет деятельность с 2007 года. Авторизоваться можно, только если есть цифровой код, который Google легко находит на тематических форумах.


Один из типов подключения к HideME VPN — это PPTP, что само по себе нехорошо — протокол уязвим. Кроме того, в 2016 году по запросу властей РФ HideME отключил анонимайзер для российских пользователей. На этом можно было бы и остановиться, но я предлагаю еще заглянуть в политику конфиденциальности.

Медвежьи сервисы. Проверяем 6 популярных провайдеров VPN на предмет приватности Безопасность, VPN, VPN обзор, Анонимность, Исследования, Длиннопост

Политика конфиденциальности HideME VPN

Да, может быть, они и отказались от регистрации, но ключи, абсолютно ничем не хешированные, при должной сноровке можно подобрать за три дня. Кроме того, обрати внимание на первый абзац, а также на то, как был отработан запрос РКН. Использования этого сервиса для чего-то, кроме доступа к Spotify, стоит избегать любой ценой.

Hide My Ass! VPN

Hide My Ass — один из самых известных провайдеров в мире. Принадлежит он компании Avast. Многих это отпугнет сразу же, но мы продолжим изучение. Сервис существует в качестве анонимайзера с 2005 года, функция VPN у него появилась в 2009-м. Грандиозное отличие Hide My Ass от всех рассмотренных провайдеров — колоссальное количество выходных стран. Однако, к большому сожалению, радоваться тут нечему.


В 2011 году этот провайдер выдал властям США одного из участников группировки LulzSec — Коди Эндрю Кретзингера. Мало того, администраторы еще написали длинный пост в свое оправдание. Выдача логов якобы была обоснованной. Но на месте этого человека мог быть любой журналист или же правозащитник в тоталитарной стране.

Медвежьи сервисы. Проверяем 6 популярных провайдеров VPN на предмет приватности Безопасность, VPN, VPN обзор, Анонимность, Исследования, Длиннопост

Пост оправдания Hide My Ass

Вывод напрашивается сам собой: Hide My Ass в любой момент выдаст то самое, что обещал надежно спрятать, а потому не годится для серьезных применений.


VyprVPN

VyprVPN начал активную деятельность в 2010 году. Зарегистрирован в Швейцарии. Имеет стандартный набор протоколов: OpenVPN (AES-256), IPSec, L2TP. Радует наличие обхода через stunnel, который маркетологи гордо именуют Chameleon — оставим это на их совести.


Нас же интересует лицензионное соглашение, которого вполне достаточно для выводов.

Медвежьи сервисы. Проверяем 6 популярных провайдеров VPN на предмет приватности Безопасность, VPN, VPN обзор, Анонимность, Исследования, Длиннопост

В течение тридцати дней хранится входной (настоящий) IP-адрес, и этим все сказано.

Вывод

Получается, что ни один из изученных нами популярных VPN-сервисов не прошел даже элементарную проверку без применения технического аудита. Лично для меня это значит, что веры таким провайдерам нет и быть не может. Поэтому всем, кто беспокоится об анонимности и приватности, советую все-таки изучить документацию и поднять свой сервер OpenVPN. А для обхода DPI можешь самостоятельно добавить stunnel.

p.s. Если интересно было читать, заходи в мой телеграм https://t.me/deepernetwork_news

Показать полностью 12
493

Про сетевую безопасность вообще 1

Вынесу отдельным постом, чтобы не потерять в комментариях к посту Про безопасность переписки в мессенджерах. Личный опыт.


Корпоративные сети далеко не так безопасны, как считают их админы и прочие технические специалисты.  Конечно, за прошедшие с момента событий 15-18 лет поменялось многое, но по прежнему есть дыры там, где их быть не должно.


История 1.

Год примерно 2005 или около того. Есть мегапредприятие в городе и много отдельных юрлиц, которые вроде бы отдельные, но фактических входят в структуру этого предприятия. Многие из них подключены к внутренней сети этого предприятия через VPN, который обеспечивается на сетях собственного корпоративного провайдера (на тот момент денег на нем отмывали неплохо, продавая интернет по 8 рублей за мегабайт, принудительно запрещая другие подключения, где были безлимитки).

Вдруг в одном из офисных зданий в городе, где есть офис одного из таких предприятий-спутников заглючила сеть у нескольких арендаторов: пошли конфликты IP адресов в подсети 192.168.0.х, в том числе адрес шлюза 192.168.0.1, который в те годы ставился по-умолчанию на 99% роутеров с завода.

Ну я приехал, глянул в сетевом окружении (даже сеть сканировать не начал, так видно было, что приключилось) и увидал там несколько сотен сетевых ресурсов с характерными названиями, раскрывающими принадлежность к отделу и производству - да там вся сеть этого предприятия была. И большинство из них были доступны анонимно или по админ/админ, что есть вообще писец в безопасности.

И даже более сотни принтеров.

Косяк оказался в настройках VLAN на коммутаторе, установленном в этом офисном здании: несколько арендаторов оказались в VLAN предприятия. А еще, что меня сильно удивило: основной шлюз у них был с адресом 192.168.0.1, что очень опасно: если какой-нибудь сотрудник притащит на работу роутер с таким же адресом, то весь отдел начинает сидеть без интернета, т.к. подменяется шлюз. Вернее, немного не так: у них в сети было устройство 192.168.0.1, которое было шлюзом и за ним был интернет. Напрямую оно не пинговалось, но при появлении устройства с таким адресом в сети возникал конфликт адресов.


Что я сделал: немедленно позвонил начальнику какого-то отдела этого провайдера (сетями там заведовал не он, но он был в моей телефонной книге и он был адекватен), объяснил ситуацию, косяк и метод его решения, за что получил благодарность.

Ну а через полчаса на мой номер перезвонил главный начальник конторы-провайдера и, неся несусветную ересь, обосрал меня многоэтажным матом и предложил сидеть у корыта и не вякать, когда взрослые работают. Чему я был немного удивлен. Естественно, никто не исправил эту проблему до вечера.


Следующим утром примерно на 200 принтеров были поданы по 200 листов с белым текстом на черном фоне, где была описана проблема и ответ этого начальника о ее наличии. Закончившиеся картриджи и явно написанная на бумаге причина подняли вопрос на самый верх корпорации.


Результат был. Примерно через полчаса. Приехали дяденьки в спецовке и отключили вообще всю сеть во всем офисном здании.

826

Kali Linux - панацея или грозное оружие?

Пост создан по просьбе @gDaniCh, и нет тайну моего ника ты не разгадал :P


Kali Linux — GNU/Linux-LiveCD, возникший как результат слияния WHAX и Auditor Security Collection. Проект создали Мати Ахарони (Mati Aharoni) и Макс Мозер (Max Moser). Предназначен прежде всего для проведения тестов на безопасность. (c)Wiki

Пост будет содержать три части:

1. Основы (буквально с того как установить на виртуалку)

2. Белая часть, использование в качестве панацеи

3. Грозное оружие, данная часть не будет являться рекомендацией или советом, автор не несёт ответственности, за применения и использование описанных методов, читателями данного поста. Информация предоставляется исключительно в ознакомительных целях.


Часть первая - ОСНОВЫ

Сразу хотел бы предупредить, особо привередливых пикабушников, источники будут как на русском, так и на английском языках (он будет помечаться EN), так что пожалуйста не пишите, что видео или ссылка на статью, не принесла вам пользы, так как там ничего не понятно и всё по английски, для вашего удобства данные источники будут  помечаться как EN, чтобы проще было ориентироваться.

Установка kali linux на виртуальную машину Virtual Box

Установка Kali Linux и основы командной строки Linux [EN]

[EN]Официальный блог: https://www.kali.org/category/tutorials/

Блог по основам: http://kushavin.ru/?p=836

Загружаем и запускаем Kali Linux на Android устройствах [EN]

[EN]Kali Linux на Android https://www.techworm.net/2016/02/how-to-install-kali-linux-o...

Книга «Тестирование на проникновение с Kali Linux» 2.0 на русском языке

Часть вторая

Мониторинг сети, с помощью Kali Linux.

Как сгенерировать саморазворачивающийся ISO-образ агента для создания VPN-туннеля до нашего Kali Rolling сервера из тестируемой подсети заказчика (back-connect + bridged VPN).

Туториал по Kali Linux, на примере тестирования на предмет несанкционированного доступа[EN]

Генерация словарей средствами командной строки Linux
Демонстрация работы BeEF
Horst - утилита для анализа Wi-Fi сетей

Проверяем на устойчивость к взлому любую Wi-fi сеть, с помощью Kali Linux [EN]

Часть третья

Использование выше перечисленных методов в компьютерных сетях, владельцами которых вы не являетесь и без получения согласия (желательно в письменном виде) владельца сети на тестирование безопасности, преследуется по закону.

Kali Linux - панацея или грозное оружие? Backtrack, Kali Linux, Компьютерные сети, Хакерство, Видео, Длиннопост

P.S. это лишь капля в море, ну занять себя будет чем на пару деньков. Надеюсь, что ваше изучение kali, не ограничится, столь скромным постом.

Показать полностью 1 9

Чем глубже изучаешь мозг, тем больше возникает вопросов. Истории успеха, достойные «Горячего» на Пикабу #3

Чем глубже изучаешь мозг, тем больше возникает вопросов. Истории успеха, достойные «Горячего» на Пикабу #3

Вячеслав Лебедев – сотрудник и аспирант МГУ им. М.В. Ломоносова. При знакомстве с трудами нейроученых понял, что мозг – целая вселенная внутри человека, и при более глубоком его изучении возникает еще больше вопросов. Вячеслав создал центр нейрофизиологической немедикаментозной помощи детям NeuroFuture, где уже несколько лет занимается развитием внимания и концентрации у детей.


Такие истории успеха вдохновляют, заставляют искать профессию мечты и посвящать свою жизнь тому, что любишь.

Отличная работа, все прочитано!