лайф хак

По информации лента.ру

Оперативники МУРа задержали пять человек, подозреваемых в серии ограблений банкоматов в разных районах Москвы.
<...>
Они заходили в помещение, где находился банкомат, с сувенирными шарами, которые закрывали обзор видеокамерам и давали возможность незаметно вскрыть сейф с деньгами.

cryptool-online

Как то во время игр, набрел на ресурс http://www.cryptool-online.org/. Всем любителям криптографии рекомендую. Особенно радует раздел с историческими шифрами, на котором можно поиграться на примерах.

Биометрические ПДн

Постановление от 6 июля 2008 г. № 512 "Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных" содержит в себе чудесные строки:

"...Настоящие требования не распространяются на отношения, возникающие при использовании:
а) оператором информационной системы персональных данных (далее - оператор) материальных носителей для организации функционирования информационной системы персональных данных, оператором которой он является; ..."

Что человеческим языком обозначает тот факт, что если для например входа в систему используется биометрия (банальная система идентификации по пальцу), то требования к этим биометрическим данным не применяются. От сюда следует вывод, что все таки под понятием "биометрические ПДн" имеется ввиду информация человека на основании которой можно произвести автоматизированную идентификацию. А теперь расскажите мне как на основании например копии паспорта сделать такую систему, что так все упорно обсуждают относить их к биометрии или нет.

Банкомат времено не обслуживает

(фото nl)

Всегда интересно, почему производители банкомата не используют урезанную unix base ОС?

семинар RISSPA: «Безопасность веб-приложений»

В очередной раз посетил семинар ассоциации RISSPA, и снова осталось ощущение, что семинары стали лучше: во первых содержательная часть стала интереснее, во вторых регламент наконец-то соблюлся и закончили вовремя.

По докладам:
1. "Автоматизированный поиск уязвимостей вида DOM-based XSS: проблемы и решения" Тарас Иващенко, компания Яндекс
Бывшего коллегу послушать всегда приятно и пусть даже "никто ничего не понял" :) Думаю больший интерес будет предоставлять непосредственно презентация и материалы к ней.

2. «WAF наше все?!» Дмитрий Евтеев, компания PositiveTechnologies
Дмитрий довольно доступно и внятно ввел всех в тему. Хотелось конечно больше технических тонкостей и извращенных методов, но думаю не всем бы это понравилось :)

3. «Безопасная доставка веб-контента» Вороченко Владимир, технический директор, компания Защищенные контент-системы
Доклад читался не докладчиком :) из за чего обсуждение предлагаемых технологий переросло в "избиение докладчика", жалко до середины зала дискуссия уже доходила обрывками фраз.

4. "Уязвимости в веб-приложениях как критичный фактор развития киберпреступности" Денис Безкоровайный, технический консультант, компания Trend Micro
Еще один бывший коллега, совсем недавно ведавший нам о технологиях RSA, в этот раз говорил про серебряные пули от TrendMicro, говорил красиво, но в моменте, когда продукты презентуемого вендора стали закрывать требования PCI DSS, причем "сразу все" стало понятно, что чего-то Денис недоговаривает :)

В целом мероприятие прошло на ура, офис Яндекса - лучшее рабочее пространство из мною виденных, хочется еще раз поблагодарить организаторов, принимающую сторону и докладчиков за интересное мероприятие

Идеальная социальная инженерия

Alex Freeman > А вы в курсе, что, если напечатать в чате свой пароль, то система автоматом заменит его на звёздочки, это защита такая. Смотрите:
Alex Freeman > ********
VValli > c00lhaer
JIeHa > qwerty1
simka-umka > lol xD идиоты
гениально :)

Defcon quals results

Полные результаты тут
Описание игры от SiBears

От себя скажу, что уровень был реально крутой, 55 часов мозгоштурма. HackerDom и Smoked Chicken очаровашки :)

p.s. За неделю до этого прошли CIT CTF, результаты тут

Платежные карты в рекламе.

В рекламных объявлениях, номера платежных карт (в эмбоссированной области) постоянно забивают незначащими цифрами, при этом первые 4 цифры номера, дублируемые под эмбоссированными всегда остаются реальными. Это не и критично, в виду того, что BIN банка (первые 6 цифр PAN) не является секретной информацией, но тогда BIN можно оставлять и в номере карты.

Результаты RuCTF 2010

"RISSPA: "Практические аспекты расследования инцидентов"

Вчера, 14 апреля в офисе компании Symantec в шикарном Бизнес-центре «Башня на Набережной» состоялся очередной семинар сообщества RISSPA.

Общие впечатления сугубо положительные, особенно в сравнении с позапрошлым семинаром.

Кратко по докладам:

1. Александр Писемский "Последние тенденции в развитии киберпреступности"
Жаль не успел к началу доклада, т.к. тема довольна интересная и человек видно разбирается и имеет практический опыт. Из доклада понравилось: служебная записка на имя генерального директора (сразу представил компанию в 10 тысяч сотрудников и объем бумаг приходящих к ген директору), Челябинск и Екатеринбург являются главными точками вывода денег (мое мнение дело тут не в процентах и не криминальной обстановке, а в наличии команд SmokedChicken и ХакерДом :) )

2. Александр Матросов "Исследование вредоносных программ с точки зрения расследования инцидентов"
Представитель компании ESET в офисе Symantec :) Докладчик сделал все как нужно: интересная тема, хорошая подача, даже подарки за вопросы, хотя вопросами Александра мучали и после доклада, и после мероприятия, и даже в вагоне метро. Доклад привел на несколько интересных мыслей и вообще осветил довольно интересные области.

3. Алиса Шевченко "Технологии поиска скрытых программ (руткитов)"
Первые 5 минут доклада я даже не слушал, думая ну вот, опять все разжевывают одно да потому, а потом началось довольно вкусно и интересно. Позабавило выражение "Профессиональные утилиты" :) Жалко, только что Алиса в начале говорила немного тихо и приходилось улавливать каждое слово и в конце из-за регламента не удалось задать всех вопросов.

4. Суханов Максим "Особенности применения ОС Linux при расследовании компьютерных инцидентов"
Я когда прочитал тему подумал, что сейчас покажут Sleuth kit, а нет :) Максим рассказывал о довольно интересных вещах, но узкоспециализированных, в следствие чего аудитория на мой взгляд просто не поняла, "а че ваще". При этом чувствовалось, что докладчик разбирается в своей теме и конечно было бы интересно послушать продолжение темы доклада.

В целом по организации из плюсов:
- разделение кофе и помещения для докладов, никто не отвлекался;
- более организованный регламент;
- интересные докладчики и темы;
из минусов:
- ограниченное время на вопросы, в виду регламента.

От себя хочу поблагодарить сообщество RISSPA за интересное мероприятие.

upd: официальный отчет о мероприятии

Отборочные DEFCON CTF 2010

С 1 апреля по 20 мая 2010 года открыта регистрация на отборочные DEFCON CTF.
Игра начнется 21 мая и продлится 55 часов, на очный тур приглашаются 10 лучших команд по результатам отборочного тура.

DEFCON CTF - первые соревнования по компьютерной безопасности типа "CTF" и несомненно самые популярные. До этого года ни одна из Российских команд не пробивалась дальше отборочных, хотя и само движение CTF в России не так давно набрало достаточную популярность, в чем несомненно вклад команды ХакерДом как первопроходцев и главных популяризаторов CTF в России.

Sms via Skype

При отправки sms, через Skype замечена интересная особенность, получатель получает сообщения от имени зарегистрированного логина в Skype-е.

Сразу открывается интересное поле для sms мошенников, которые за 0,07$ могут прислать сообщения подписавшись довольно интересными именами (имя обязательно должно начинаться с латинской буквы, и содержать только латинские символы и цифры).

p.s.: Забавно, что например логин "Beeline" и его вариации уже все заняты, значит с этим уже работают.