335
Представлен (n+1)sec, протокол для создания защищённых децентрализованных чатов
48 Комментариев в Информационная безопасность  

После двух лет проектирования, разработки и тестирования прототипов представлен новый протокол для создания защищённых групповых чатов - (n+1)sec. Библиотека с эталонной реализаций протокола распространяется под лицензией LGPLv3. Для тестирования предлагается экспериментальное клиентское ПО, которое оформлено в виде плагина для системы мгновенного обмена сообщениями Pidgin и может работать с любым сервером Jabber/XMPP. Дополнительно предоставляется простой клиент Jabberite, работающий в режиме командной строки, и симулятор EchoChamber.

Представлен (n+1)sec, протокол для создания защищённых децентрализованных чатов np1sec, Jabberite, EchoChamber, шифрование, групповой чат, протокол

Протокол обеспечивает оконечное шифрование (end-to-end, вся информация шифруется на стороне клиента), обеспечивает синхронный режим передачи сообщений и по решаемым задачам во многом напоминает протоколы OTR (Off-the-Record Messaging) и Signal:


Как и OTR протокол (n+1)sec также ориентирован на создание защищённых коммуникаций поверх существующих инфраструктур чатов, таких как XMPP, что позволяет интегрировать поддержку (n+1)sec в любое клиентское ПО на базе данных систем. Ключевое отличие заключается в том, что OTR рассчитан на обмен сообщениями между двумя участниками, в то время как (n+1)sec нацелен на создание децентрализованных чатов, в которых может общаться произвольное число людей.


Протокол Signal поддерживает групповые чаты с end-to-end шифрованием, но позволяет передавать сообщения только в асинхронном режиме и привязан к централизованным серверам платформ обмена сообщениями в которых он используется, что создаёт единую точку отказа и может использоваться для сбора метаданных о пользователях.


Ключевые возможности протокола (n+1)sec:


-Конфиденциальность - содержимое доступно только участникам чата. Сторонний наблюдатель не может прочитать сообщения;


-Совершенная прямая секретность (Forward secrecy) - перехваченный трафик с прошлой перепиской нельзя расшифровать даже после получения закрытых ключей участников чата;


-Аутентификация с отречением (Deniable authentication) - во время чата обеспечивается проверка подлинности сообщений, но после чата третье лицо не имеет возможность доказать авторство сообщений участников;


-Подтверждение авторства - получатель сообщения может быть уверен в подлинности отправителя, недопуская ситуации, когда кто-то другой попытается выдать себя за отправителя;


-Целостность комнат для чата - участники группового чата могут быть уверены, что они находятся в одной комнате чата;


-Единый порядок сообщений - участники группового чата могут быть уверены, что всем сообщения приходят в том же порядке.


Пруфы:

http://opennet.ru/opennews/art.shtml?num=47016

https://equalit.ie/introducing-n1sec-a-protocol-for-distribu...

np1sec и Jabberite:

https://github.com/equalitie/np1sec

EchoChamber:

https://github.com/equalitie/EchoChamber/

Показать полностью
-17
Ростелеком
23 Комментария  

Ростелеком не может ни радовать ¯\_(ツ)_/¯

Ростелеком ростелеком, пинг, трассировка
242
Продолжаются фишинг-атаки на разработчиков браузерных дополнений
18 Комментариев в Информационная безопасность  
Продолжаются фишинг-атаки на разработчиков браузерных дополнений вирус, дополнение, браузер, фишинг, атака, текст

Продолжаются фишинг-атаки на разработчиков браузерных дополнений, проводимые с целью захвата контроля над дополнением и подстановки в него вредоносного кода, отображающего навязчивые рекламные блоки. Если первой жертвой атаки стало дополнение Copyfish с аудиторией 40 тысяч установок, то новая жертва оказалась значительно крупнее - злоумышленникам удалось получить контроль за дополнением Web Developer у которого более миллиона активных пользователей.


По сообщению автора Web Developer, он по недосмотру ввёл данные в подставную форму аутентификации Google, подготовленную организаторами фишинг-атаки. Метод проведения атаки был идентичен недавно описанной атаке на дополнение Copyfish. Разработчику также пришло письмо с уведомлением о наличии проблем с соблюдением правил каталога Chrome App Store и ссылкой на тикет с информацией по их устранению, при переходе на которую выдавалась подставная форма входа Google.


Захватив аккаунт злоумышленники сразу опубликовали новую версию Web Developer 0.4.9, в которую встроили код для подстановки своей рекламы на просматриваемые пользователем сайты. Не исключается, что дополнение могло выполнять и другие вредоносные действия, например, перехват паролей к web-сайтам (в частности, имеются подозрения на перехват параметров доступа к API Cloudflare).


Версия с вредоносным кодом распространялась в течение нескольких часов, после чего разработчик уведомил о проблеме инженеров Google, поменял параметры входа и оперативно выпустил обновление 0.5 с устранением вредоносной вставки. Для защиты от подобных фишинг-атак разработчикам дополнений рекомендуется включить в настройках двухфакторную аутентификацию (автор Web Developer её не использовал, что наряду с невнимательностью при заполнении форм оказало решающее влияние на успех проведения атаки).

http://opennet.ru/opennews/art.shtml?num=46970

181
Опубликована база данных, включающая 320 млн уникальных хешей паролей
100 Комментариев в Баяны  

Исследователь опубликовал доступную для поиска базу данных, содержащую 319 935 446 уникальных хешей паролей.

Публикую для того, чтобы Вы проверили на взлом свои пароли или логины (никнейм, E-mail)

Опубликована база данных, включающая 320 млн уникальных хешей паролей утечка, пароль, логин, база, безопасность, проверка, хеш

Трой Хант опубликовал доступную для поиска базу данных, включающую порядка 320 млн уникальных хешей паролей, собранных в результате различных утечек данных.

Информация была раздобыта из различных источников. К примеру, база Exploit.in содержит 805 499 391 адрес электронной почты с паролями. После проведения анализа на совпадения оказалось, что в базе всего лишь 593 427 119 уникальных адресов и только 197 602 390 уникальных паролей, то есть 75% паролей использовались более одного раза. Вторым источником стала БД Anti Public, содержащая 562 077 488 строк с 457 962 538 уникальными адресами электронной почты и 96 684 629 уникальных паролей, которых не было в базе Exploit.in.

Хант не раскрыл остальные источники.


Блог Троя Ханта с описанием: https://www.troyhunt.com/introducing-306-million-freely-down... (есть возможность интеграции базы для проверки наличия хеша).


Систематизированная проверка, созданная исследователем по кибербезопасности Троем Хантом:

Проверка E-mail или ника на взлом здесь.

Вводим мыло или никнейм и проверяем. Покажет из какого источника получена информация. Мне показал даже ресурс на котором увели пару логин/пароль.


Проверка на наличие хеша пароля в базе здесь.

Вводим пароль и смотрим есть ли его хеш SHA-1 в базе.


База хешей 5.3GB, примерно 306 млн штук от 3 августа 2017.

База хешей 250MB, примерно 14 млн штук от 4 августа 2017.

База хэшей 7.6MB, примерно 400 тыс. штук от 5 августа 2017.


Проверяем, изучаем, радуемся (огорчаемся)...

UPD: Для тех, кто носит шапочки их фольги и клеит пластырь на вебку:

1.Качаем архив;

2.Распаковываем;

3.Шифруем свой пароль алгоритмом SHA-1;

4.Открываем txt из архива;

5.В нем нажимаем Ctrl+f;

6.В поиск вводим хеш, полученный после шифрования;

7.Жмем Enter.

Показать полностью
58
Четыре способа взломать аккаунт в соцсетях или как вас атакуют
13 Комментариев в Информационная безопасность  

Хакерская группировка 31337 Hackers объявила войну экспертам по безопасности.

В рамках операции #LeakTheAnalyst хакеры собираются взламывать и обнародовать личные данные исследователей в области безопасности. Недавно их жертвой стал старший аналитик Mandiant Security (подразделение компании FireEye, специализирующейся на кибербезопасности) Ади Перетц.


Злоумышленники взломали учетные записи исследователя в сервисах Hotmail, OneDrive и LinkedIn и разместили его персональные данные и рабочие документы на портале Pastebin.


Если уж специалисты в области безопасности не застрахованы от взлома аккаунтов, то обычные пользователи еще более уязвимы перед злоумышленниками. Потому нужно знать, как себя защитить. Попробуем разобраться в вопросе вместе с ведущим аналитиком «СёрчИнформ» Алексеем Парфентьевым.

Четыре способа взломать аккаунт в соцсетях или как вас атакуют атака, безопасность, аккаунт, социальные сети, взлом, пароль, длиннопост

Как вас атакуют

Итак, обо всем по порядку. Есть несколько самых распространенных вариантов атак:

1. Атаки на уровне ПО

Внедрение вредоносного ПО в систему пользователя или использование уязвимостей существующего ПО. Это до сих пор наиболее массовый и действенный способ взлома. Распространение антивирусов, встроенных фаерволов, принудительное включение UAC, автообновления, повышение общей безопасности ОС несколько улучшают ситуацию, но не могут на 100% защитить пользователей от их же необдуманных действий.


Пользователи все равно регулярно скачивают «крякнутое» ПО с «лечением» в комплекте. А в итоге получают вредоносный код, внедряющийся в соединение (уровень трафика) или в процесс (через известные уязвимости) и ворующий данные личных аккаунтов.


Ежедневно рассылаются миллионы электронных сообщений со ссылками на вредоносное ПО. Существующие антиспам решения довольно эффективны, но ни одно из них не обеспечивает полную защиту.

Показать полностью
84
С криком
28 Комментариев  
С криком политика, СМИ, Украина, заголовок, десантники, журналисты

Охуенный заголовок украинских СМИ ¯\_(ツ)_/¯

-2
Роскомнадзор закрыл реестр блогеров ровно через три года после запуска
5 Комментариев  

Роскомнадзор объявил о прекращении работы реестра блогеров, куда вносил блоги и прочие медиа с аудиторией более 3000 человек.

Роскомнадзор закрыл реестр блогеров ровно через три года после запуска роскомнадзор, реестр, блогер, закрытие

Реестр утратил силу после публикации закона о запрете средств для обхода блокировок в интернете, который был подписан президентом 30 июля.

«Вместе с тем Роскомнадзор обращает внимание, что пользователи сети, публикующие авторский контент, обязаны соблюдать требования иных законодательных актов, касающихся сбора, обработки и распространения информации», – добавили в Роскомнадзоре.

Реестр блогеров был запущен ровно три года назад – 1 августа 2014 года. Участники либо сами подавали заявку на внесение в список, либо их туда вносили по решению Роскомнадзора. Включение в реестр обязывало блогеров проверять достоверность публикуемой информации и раскрывать свое имя.

https://rb.ru/news/reestr-vse/

111
Исходные коды вируса-шифровальщика SLocker для Android .
29 Комментариев в Информационная безопасность  

Вымогатель SLocker, также известный как Simple Locker, является одним из наиболее известных и старейших шифровальщиков для Android. Именно он устроил настоящую эпидемию летом 2016 года, а в мае 2017 года исследователи обнаружили более 400 новых образцов вируса. Спустя еще месяц, в июне 2017 года, специалисты Trend Micro заметили, что вымогатель начал копировать GUI нашумевшего шифровальщика WannaCry.

Исходные коды вируса-шифровальщика SLocker для Android . вирус, шифровальщик, исходный код, Android, SLocker, безопасность

SLocker – один из немногих мобильных вымогателей, который действительно шифрует данные жертв, а не просто запугивает пострадавших, блокируя экран устройства. SLocker использует алгоритм AES, шифрует все данные на устройстве, а потом блокирует жертве доступ к каким-либо функциям девайса и требует выкуп. Для связи с командными серверами вирус использует Tor, в результате чего отследить «источник» практически невозможно.

Показать полностью 1
432
Роскомнадзор запретил сбор и передачу данных о пользователях «ВКонтакте»
83 Комментария в Информационная безопасность  

Согласно российскому законодательству, обработка персональных данных не допускается без разрешения их владельца.

Роскомнадзор запретил сбор и передачу данных о пользователях «ВКонтакте» данные, вконтакте, сбор, запрет, роскомнадзор

Роскомнадзор запретил собирать открытую персональную информацию о пользователях соцсети «ВКонтакте» третьим лицам. Такую позицию ведомство выразило в разъяснении, направленном в адрес компании, которая занимается сбором подобных данных, сообщает издание «Известия».

Как пояснили изданию в надзорной службе, ФЗ «О персональных данных» допускает обработку персональных данных (ПД), доступ к которым предоставил их владелец. В то же время, согласно ст. 6 закона, обработка такой информации разрешена только с согласия субъекта ПД.


В ведомстве также указали, что в соответствии с п.5.12 пользовательского соглашения «ВКонтакте» пользователь дает разрешение только на доступ к персональной информации, размещаемой им на личной странице, в том числе к персональным данным, но не на сбор, обработку и передачу таких сведений сторонним компаниям.


«Если это [сбор данных пользователей в соцсети] делалось ранее, то такая практика должна быть прекращена», - отметили в пресс-службе Роскомнадзора.

http://www.securitylab.ru/news/487527.php

1729
По каким правилам российский интернет начнет жить в следующие полгода
1083 Комментария в Информационная безопасность  

Весной и летом в российском интернете прошла новая волна блокировок, изданы новые законы, которые регулируют работу интернет-сервисов.

В данной подборке рассказываем, что изменится в российском интернете в ближайшее время и что уже изменилось.

По каким правилам российский интернет начнет жить в следующие полгода изменения, интернет, закон, Россия, подборка, длиннопост, роскомнадзор, гифка
Показать полностью


Пожалуйста, войдите в аккаунт или зарегистрируйтесь