При отправки sms, через Skype замечена интересная особенность, получатель получает сообщения от имени зарегистрированного логина в Skype-е.
Сразу открывается интересное поле для sms мошенников, которые за 0,07$ могут прислать сообщения подписавшись довольно интересными именами (имя обязательно должно начинаться с латинской буквы, и содержать только латинские символы и цифры).
p.s.: Забавно, что например логин "Beeline" и его вариации уже все заняты, значит с этим уже работают.
31 марта 2010 г.
7 марта 2010 г.
1 марта 2010 г.
Русские хакеры обижают шерифа
СМИ информируют:
Спрашивается как была усилена защита?
Кул Хакеры не смогли пробиться сквозь смененные пароли, шериф стережет свой штат!
читать полностью на секлабе
В американском штате Висконсин совершена вторая за месяц кибератака на компьютеры банка. После первого нападения специалисты усилили систему безопасности, поэтому хакеры не смогли перевести деньги со счетов во второй раз.
Спрашивается как была усилена защита?
По словам шерифа округа Рона Крамера, неизвестные пытались снять деньги со счетов уже во второй раз. После недавней атаки на компьютерах сменили пароли.
Кул Хакеры не смогли пробиться сквозь смененные пароли, шериф стережет свой штат!
читать полностью на секлабе
1 февраля 2010 г.
6 января 2010 г.
Умный спам 2
Продолжая тему умного спама в социальных сетях.
В контакте есть такое понятие как "Закладки", место в которое можно занести в частности любого пользователя, не зависимо является ли он другом и чаще именно людей не входящих в список "друзей" оставляют в закладки.
Известно, что если добавить себе хотя бы одного человека в "закладки", а потом зайти на сайт durov.ru под своими учетными данными, то в меню будет пункт "Bookmarks", в котором помимо прочего содержится информация о людях, у которых мы содержимся в закладках.
Считая, что среднестатистический пользователь не в курсе о таком функционале, то получив сообщения от человека, который находится у него в закладках (а значит вызвал интерес) вида: "Привет производное_от_имени, если верить адресс_фишинг_сайта, то я у тебя в закладках, может познакомимся обоюдно?"
Сам фишинговый сайт может запрашивать авторизацию у пользователя и честно предоставлять пользователю информацию с сайта durov.ru.
Тем самым пользователя вызывается интерес к переходу, тем, что он действительно видит результат уже в сообщении и получает результат при обращению к зловредному ресурсу, к пользователю обращаються не по написанному имени в его профиле и сообщение не содержит прямого намека, что надо идти на сайт.
В контакте есть такое понятие как "Закладки", место в которое можно занести в частности любого пользователя, не зависимо является ли он другом и чаще именно людей не входящих в список "друзей" оставляют в закладки.
Известно, что если добавить себе хотя бы одного человека в "закладки", а потом зайти на сайт durov.ru под своими учетными данными, то в меню будет пункт "Bookmarks", в котором помимо прочего содержится информация о людях, у которых мы содержимся в закладках.
Считая, что среднестатистический пользователь не в курсе о таком функционале, то получив сообщения от человека, который находится у него в закладках (а значит вызвал интерес) вида: "Привет производное_от_имени, если верить адресс_фишинг_сайта, то я у тебя в закладках, может познакомимся обоюдно?"
Сам фишинговый сайт может запрашивать авторизацию у пользователя и честно предоставлять пользователю информацию с сайта durov.ru.
Тем самым пользователя вызывается интерес к переходу, тем, что он действительно видит результат уже в сообщении и получает результат при обращению к зловредному ресурсу, к пользователю обращаються не по написанному имени в его профиле и сообщение не содержит прямого намека, что надо идти на сайт.
5 января 2010 г.
Сбой как сигнал к действию
Портал lenta.ru сообщает нам о сбое в компьютерной системе, произошедшим в новогоднюю ночь в Германии, в следствие чего около 20 миллионов дебетовых карт и 3,5 миллиона кредиток оказались не работоспособными.
Самое смешное, что вспоминая год 2000, когда все готовились к обвалу компьютерных систем и краху ПО, ничего особенного и не произошло, а сейчас проблема 2010 задела уже не одну компанию
Возвращаясь к теме отказавших карт, а точнее ПО которое их обслуживало, что-то мне подсказывает, что такие сбои самый удачный момент для осуществления махинаций и всевозможного компьютерного мошенничества. Сложно представить, что когда переполошилось столько народу, на взводе все руководство и каждая минута простоя приносит убытки, представители ИБ диктовали свои условия. Тут как ни крути а первый план выходит бизнес.
Самое смешное, что вспоминая год 2000, когда все готовились к обвалу компьютерных систем и краху ПО, ничего особенного и не произошло, а сейчас проблема 2010 задела уже не одну компанию
Возвращаясь к теме отказавших карт, а точнее ПО которое их обслуживало, что-то мне подсказывает, что такие сбои самый удачный момент для осуществления махинаций и всевозможного компьютерного мошенничества. Сложно представить, что когда переполошилось столько народу, на взводе все руководство и каждая минута простоя приносит убытки, представители ИБ диктовали свои условия. Тут как ни крути а первый план выходит бизнес.
26 декабря 2009 г.
HB2Pento!
Дожили, из всех известным мне способов коммуникации ни один не сработал, в связи с чем передаю открытые поздравления моему экс коллеге известным в узких кругах как Pento
Думаю желать, что-то в таком возрасте глупо, ибо любые пожелания будут задавать верхнюю планку, а сейчас время когда можно достигать любых высот, выше всяких пределов! Так, что выше, сильнее, быстрее: выше поднимай свои профессиональные навыки, сильнее напрягайся на штангу и быстрее уже ломай интернет! :)
Думаю желать, что-то в таком возрасте глупо, ибо любые пожелания будут задавать верхнюю планку, а сейчас время когда можно достигать любых высот, выше всяких пределов! Так, что выше, сильнее, быстрее: выше поднимай свои профессиональные навыки, сильнее напрягайся на штангу и быстрее уже ломай интернет! :)
25 декабря 2009 г.
Что такое PVV или VISA PVV алгоритм
PVV - это PIN Verification Value, или говоря русским языком проверочное значение ПИН-а.
Значение PVV содержится в треках (1 и 2) и служит для проверки введенного пользователем значения PIN (соответственно используется только при пиновых транзакциях). Пользователь вводит PIN, который шифруется банкоматом и вместе с данными карты отправляется в процессинг, где происходит вычисление PVV на основе введенного PIN и сравнение его со значением находящемся в треке.
Из чего же состоит PVV? PVV вычисляется по следующему алгоритму: за основу берется 64-битная строка, так называемая TSP (Transformed Security Parameter) состоящая из 16 шестнадцетиричных символов (16х4=64), в которую входят (слево-направо):
- PAN - 11 цифр, отсчитываемых справа-налево, пропуская крайнюю слева цифру (которая является проверочным значением PAN), а считываемых слева-направо, есть подозрение, что это делается, чтобы избежать попадания статичного BIN-a
- 1 цифра значением от 1 до 6 выбираемую ключом шифрования (тот самый PVKI (PIN Verification Key Index), стоит заметить, что судя по статье поле PVKI иногда не выделяют отдельно, а считают частью PVV (и пишут, что PVV состоит из 5 цифр)
- собственно 4 цифры - значение PIN.
Пример:
PAN: 1234 5678 9012 3445
PVKI: 1
PIN: 9090
TSP: 5678901234419090
TSP зашифровывается алгоритмом tripleDES (в более ранних системах использовался обычный DES) ключом 128 бит (Внимательный читатель обратит внимание, что эффективный ключ будет 112 бит, т.к. на каждые 7 бит ключа присутствует 1 бит - проверочное значение)
Лирическое отступление:
Если рассмотреть, что из себя представляет 3DES, мы увидим, что это по сути 3 действия: шифрование DES на ключе1, дешифрование полученного результата на ключе2 и последующие шифрование на ключе3. В алгоритме VISA PVV, ключ1 совпадает с ключом3. Т.е. ключ1=ключ3=левой части 128 битного ключа; ключ2=правой части 128 битного ключа.
После шифрования мы получаем строку 64 бита, или 16 шестнадцетиричных символов. Далее идет процедура формирования PVV, которая состоит из 2-х этапов:
16-я строка просматривается слева направо на предмет наличия десятичных цифр, при обнаружении цифры она выписывается в значение PVV
если строка просмотрена до конца, при этом значение PVV еще не сформировалось, то строка просматривается заново, на наличие шестнадцетиричных символов (A-E), и в PVV попадают значения соответствующие номеру символа начиная с нуля (т.е. A - 0, B - 1, … , F - 5) и так пока PVV не сформируется (не накопится 4 символа)
Пример:
вывод 3DES: 0FAB9CDEFFE7DCBA
PVV: 0975 (0, 9, 7, F=5)
Ссылки по теме:
http://www.gae.ucm.es/~padilla/extrawork/stripe.html
Значение PVV содержится в треках (1 и 2) и служит для проверки введенного пользователем значения PIN (соответственно используется только при пиновых транзакциях). Пользователь вводит PIN, который шифруется банкоматом и вместе с данными карты отправляется в процессинг, где происходит вычисление PVV на основе введенного PIN и сравнение его со значением находящемся в треке.
Из чего же состоит PVV? PVV вычисляется по следующему алгоритму: за основу берется 64-битная строка, так называемая TSP (Transformed Security Parameter) состоящая из 16 шестнадцетиричных символов (16х4=64), в которую входят (слево-направо):
- PAN - 11 цифр, отсчитываемых справа-налево, пропуская крайнюю слева цифру (которая является проверочным значением PAN), а считываемых слева-направо, есть подозрение, что это делается, чтобы избежать попадания статичного BIN-a
- 1 цифра значением от 1 до 6 выбираемую ключом шифрования (тот самый PVKI (PIN Verification Key Index), стоит заметить, что судя по статье поле PVKI иногда не выделяют отдельно, а считают частью PVV (и пишут, что PVV состоит из 5 цифр)
- собственно 4 цифры - значение PIN.
Пример:
PAN: 1234 5678 9012 3445
PVKI: 1
PIN: 9090
TSP: 5678901234419090
TSP зашифровывается алгоритмом tripleDES (в более ранних системах использовался обычный DES) ключом 128 бит (Внимательный читатель обратит внимание, что эффективный ключ будет 112 бит, т.к. на каждые 7 бит ключа присутствует 1 бит - проверочное значение)
Лирическое отступление:
Если рассмотреть, что из себя представляет 3DES, мы увидим, что это по сути 3 действия: шифрование DES на ключе1, дешифрование полученного результата на ключе2 и последующие шифрование на ключе3. В алгоритме VISA PVV, ключ1 совпадает с ключом3. Т.е. ключ1=ключ3=левой части 128 битного ключа; ключ2=правой части 128 битного ключа.
После шифрования мы получаем строку 64 бита, или 16 шестнадцетиричных символов. Далее идет процедура формирования PVV, которая состоит из 2-х этапов:
16-я строка просматривается слева направо на предмет наличия десятичных цифр, при обнаружении цифры она выписывается в значение PVV
если строка просмотрена до конца, при этом значение PVV еще не сформировалось, то строка просматривается заново, на наличие шестнадцетиричных символов (A-E), и в PVV попадают значения соответствующие номеру символа начиная с нуля (т.е. A - 0, B - 1, … , F - 5) и так пока PVV не сформируется (не накопится 4 символа)
Пример:
вывод 3DES: 0FAB9CDEFFE7DCBA
PVV: 0975 (0, 9, 7, F=5)
Ссылки по теме:
http://www.gae.ucm.es/~padilla/extrawork/stripe.html
2 декабря 2009 г.
Актуальное состояние и новые тенденции отрасли ИБ
Вчера RISSPA в офисе компании Ernst & Young провела семинар "Актуальное состояние и новые тенденции отрасли ИБ".
Удалось побывать на данном событии очно и должен признать весьма разочарован.
Докладчики выступали слабо, ну конечно за исключением Алексея Лукацкого, который ясно понимал о чем говорит и излагал это четко и громко(!), тут безусловно сказывается опыт. Остальные же выступления сводятся к одним и тем же ошибкам: перенасыщенные презентации, которые из зала были нечитабельны, тихая речь самих докладчиков, неподготовленность к ответам на вопросы, все это привело к ситуации когда докладчики стали "мальчиками для битья" по отношению к аудитории.
p.s. Антон Чувакин как оказалось должен был выступать посредством прокрутки его видеовыступления, но даже оно отложилось из-за традиционной нехватки времени.
Удалось побывать на данном событии очно и должен признать весьма разочарован.
Докладчики выступали слабо, ну конечно за исключением Алексея Лукацкого, который ясно понимал о чем говорит и излагал это четко и громко(!), тут безусловно сказывается опыт. Остальные же выступления сводятся к одним и тем же ошибкам: перенасыщенные презентации, которые из зала были нечитабельны, тихая речь самих докладчиков, неподготовленность к ответам на вопросы, все это привело к ситуации когда докладчики стали "мальчиками для битья" по отношению к аудитории.
p.s. Антон Чувакин как оказалось должен был выступать посредством прокрутки его видеовыступления, но даже оно отложилось из-за традиционной нехватки времени.
17 ноября 2009 г.
Умный спам
Продолжая тему спама, сегодня был приятно удивлен сообщением в социальной сети:
Уже изменили имя на производное и сделали текст более интересным, прогресс не стоит на месте. Признаться честно, первые строчки меня даже заставили открыть сообщение, а не сразу отправить его в спам.
Пpости мeня, Лёх! Я на сайте ****.net твои SMS смотрю...Я нeчaяннo =)
Уже изменили имя на производное и сделали текст более интересным, прогресс не стоит на месте. Признаться честно, первые строчки меня даже заставили открыть сообщение, а не сразу отправить его в спам.
16 ноября 2009 г.
Паранойя в ИБ
Факт, что алгоритм DES взломали прямым перебором, привел к какой-то паранойи. Все поголовно стали использовать 256 битные ключи, а остальное же поломают.
Давайте считать: Пусть DES не просто ломают, а за 1 процессорный такт и в офисах стоят 10 Ггц машины. Получаем, что наш офисный компьютер позволяет перебирать не больше 2^90 ключей за секунду. Итак возьмем "слабый" 128 битный ключ, для его побора необходимо 2^38 секунд, т.е. в районе 9000 лет. Ну ладно упростим задачу, соберем весь офис, например 1 000 компьютеров, осталось всего 9 лет, что-же делать, нас же почти поломали 0_о
upd: возмем в качестве офисного компьютер Jaguar, объявленный мощнейшим суперкомпьютером в мире. Итак, с его производительностью 1,75 петафлоп в секунду, для перебора 128 битного ключа в наших условиях необходимо 25 дней, уже выглядит угрожающе? тогда давайте считать по честному, умножив число дней на 2^56, т.е. решив, что один такт процессора равен одной попытке перебора.
upd2: выбирая ключ в 256 байт, задумайся, количество вариантов твоего ключа больше количества атомов в галактики 2^223 :)
Давайте считать: Пусть DES не просто ломают, а за 1 процессорный такт и в офисах стоят 10 Ггц машины. Получаем, что наш офисный компьютер позволяет перебирать не больше 2^90 ключей за секунду. Итак возьмем "слабый" 128 битный ключ, для его побора необходимо 2^38 секунд, т.е. в районе 9000 лет. Ну ладно упростим задачу, соберем весь офис, например 1 000 компьютеров, осталось всего 9 лет, что-же делать, нас же почти поломали 0_о
upd: возмем в качестве офисного компьютер Jaguar, объявленный мощнейшим суперкомпьютером в мире. Итак, с его производительностью 1,75 петафлоп в секунду, для перебора 128 битного ключа в наших условиях необходимо 25 дней, уже выглядит угрожающе? тогда давайте считать по честному, умножив число дней на 2^56, т.е. решив, что один такт процессора равен одной попытке перебора.
upd2: выбирая ключ в 256 байт, задумайся, количество вариантов твоего ключа больше количества атомов в галактики 2^223 :)
13 ноября 2009 г.
Польза robots.txt
Всем известно, что файл robots.txt задуман как средство позволяющее управлять индексированием вашей страницы поисковыми машинами и запрещать индексировать информацию которая у пользователя поисковиков явно интереса не вызовет и приватную информацию, наверное как способ обезопаситься.
Сегодня наткнулся на одном ресурсе (фрагмент файла robots.txt):
Обезопасиванье на лицо :)
Сегодня наткнулся на одном ресурсе (фрагмент файла robots.txt):
# Directories
Disallow: /includes/
Disallow: /misc/
Disallow: /modules/
Disallow: /profiles/
Disallow: /scripts/
Disallow: /sites/
Disallow: /themes/
# Files
Disallow: /CHANGELOG.txt
Disallow: /cron.php
Disallow: /INSTALL.mysql.txt
Disallow: /INSTALL.pgsql.txt
Disallow: /install.php
Disallow: /INSTALL.txt
Disallow: /LICENSE.txt
Disallow: /MAINTAINERS.txt
Disallow: /update.php
Disallow: /UPGRADE.txt
Disallow: /xmlrpc.php
# Paths (clean URLs)
Disallow: /admin/
Disallow: /comment/reply/
Disallow: /contact/
Disallow: /logout/
Disallow: /node/add/
Disallow: /search/
Disallow: /user/register/
Disallow: /user/password/
Disallow: /user/login/
Обезопасиванье на лицо :)
Подписаться на:
Сообщения (Atom)