2183
4
Решил я тут посмотреть рейтинг сайтов по информационной безопасности. Думаю, раз люди читают, значит что-то умное пишут. Почерпну мудрости. Но мудрости найти не удалось. Зато нашлось много чего другого.
Все пруфы по описанным далее фактам есть в оригинале статьи. Смотрите в источники.
Вот, например, вижу я сайт «Доверие в сети» (не реклама, но как без пруфов). 10k уникальных посетителей в сутки. Видать хороший сайт. Ну я и решил почитать..
И сразу же статья «Недостатки популярных методов аутентификации«. Отлично, думаю я, эта тема сейчас актуальна как никогда. И что же мы видим в статье.
Вот, например, вижу я сайт «Доверие в сети» (не реклама, но как без пруфов). 10k уникальных посетителей в сутки. Видать хороший сайт. Ну я и решил почитать..
И сразу же статья «Недостатки популярных методов аутентификации«. Отлично, думаю я, эта тема сейчас актуальна как никогда. И что же мы видим в статье.
Ребят, вы чего? Какие СМС? 2017 год на дворе. Ещё в 2016 году NIS пропагандировал отказ от СМС. А Гугл так и вовсе — отказался. И вовсе не потому, что есть какие-то вредоносные приложения, а в силу порочности самой SS7. «Сломать» её может и школьник. Господа, редакторы сайта «Доверие в сети», вам оказано доверие 10к человек в сутки, т.е. 300к в месяц. И вы втираете им про пользу «обычных звонилок». А может вы засланные?
Хрен с ним. Смотрим рейтинг дальше. О! Itsec.ru — давно известное издание. Есть в бумаге, есть в цифре. Тут мы найдём интересную аналитику. Идем в раздел «Материалы» ииии…. всё! За 2017 год ровно две публикации и обе заказные, рекламные.
Хрен с ним. Смотрим рейтинг дальше. О! Itsec.ru — давно известное издание. Есть в бумаге, есть в цифре. Тут мы найдём интересную аналитику. Идем в раздел «Материалы» ииии…. всё! За 2017 год ровно две публикации и обе заказные, рекламные.
Рекламщики пишут для рекламщиков и сами же читают. Никак иначе 1.5к в сутки не объяснить. Безопасноть? Не, не видели. Ну хоть новости там есть, и то хлеб.
Ну ок, тут не повезло. Идём дальше. А вот какая прелесть. 1.5к посетителей в сутки. И что мы видим на главной:
Ну ок, тут не повезло. Идём дальше. А вот какая прелесть. 1.5к посетителей в сутки. И что мы видим на главной:
И это не даркнет, нет. Это топ рускоязычного рейтинга в открытом интернете. Господин Жаров, вы гоняетесь за мифичискими угрозами в VPN и мессенджерах, а тут такое. Знаете как это назвается? Это называется «вон из профессии».
На фоне всего этого прям отдушиной стал блог некоего Михаила Калошина. Никакой интересной аналитики тут нет, но есть много статей на тему бытового инфосека. В основном советы из разряда: если вы датите кому-то пароль от своей учетки, то ваш аккаунт могут увести, а переписку прочитать. Ну хоть так.
А вот как вам магазин шпионского оборудования. Людям угловку шьют за флешку с алиэкспреса, а тут целый магазин . Кому-то тоже надо вон из профессии, да, Владимир Александрович.
А меж тем уже 155 позиция рейтинга. Куча рекламы, сайтов для кулхацкеров и прочего «интересного» контента. А вот аналитики нет, мне стало скучно и пора спать.
Господа безопасники. Вы есть в России, но вас не видно, не несёте вы свет в массы, а только вздыхаете в своих бложиках, кои читаю три с половиной таких же, как вы, что в России матушке всё плохо. Может надо как то начать что-то делать не только за бабки? Нам тут всем жить.
На фоне всего этого прям отдушиной стал блог некоего Михаила Калошина. Никакой интересной аналитики тут нет, но есть много статей на тему бытового инфосека. В основном советы из разряда: если вы датите кому-то пароль от своей учетки, то ваш аккаунт могут увести, а переписку прочитать. Ну хоть так.
А вот как вам магазин шпионского оборудования. Людям угловку шьют за флешку с алиэкспреса, а тут целый магазин . Кому-то тоже надо вон из профессии, да, Владимир Александрович.
А меж тем уже 155 позиция рейтинга. Куча рекламы, сайтов для кулхацкеров и прочего «интересного» контента. А вот аналитики нет, мне стало скучно и пора спать.
Господа безопасники. Вы есть в России, но вас не видно, не несёте вы свет в массы, а только вздыхаете в своих бложиках, кои читаю три с половиной таких же, как вы, что в России матушке всё плохо. Может надо как то начать что-то делать не только за бабки? Нам тут всем жить.
Новости партнёров
реклама
Без двухфакторной авторизации можно попасть вот на такие грабли:
На днях знакомый попал в подобную ситуацию:
Переписывался в gmail'овском коммьюнити по поводу не то чтобы восстановления пароля, я тупо в почту зайти не могу через браузер.
Суть проблемы: есть гугловский ящик, который использовался для всяких там регистраций. С него почтовик собирает почту по pop3, а через веб-морду я заходил туда раза 2-3 всего.
Захотел сменить пароль, пытаюсь зайти, а мне выдается: Мы не уверены, что это вы. Пройдите процедуру сброса пароля . Ну ок, запускаю процедуру. Спрашивает последний пароль, который помню (спасибо, keepass), спрашивает дату создания аккаунта ок, ввожу, спрашивает другой ящик для отправки кода пишу, получаю код, ввожу код: Извините, но мы все равно не уверены, что это вы. Доступ невозможен!
Все! В собственный ящик не могу зайти!
Человеческой поддержки у них нет сервис типа бесплатный, не положено. В коммьюнити сотни таких тем. В день по 10 новых открывают. Кому-то везет и сотрудники идут на уступку. Мне же отказали даже при том факте, что я могу читать письма с того ящика.
Причина не заходил год в веб-морду. За этот год я переехал, переустановил винду, пересел на фаерфокс. Гугл считает, что этого достаточно, чтобы лишить меня аккаунта, которым я пользуюсь 5 лет. Благо, у меня к этому акку только всякие одноразовые регистрации привязаны. Но я теперь за другой ящик переживать начинаю. Вдруг и туда перестанет пускать.
https://xakep.ru/2017/05/05/ss7-attacks/https://xakep.ru/2017/05/05/ss7-attacks/
Как мы видим, и тут не обошлось без вирусного софта /при том весьма успешно отлавливаемого антивирусным обеспечением/ и подкупа сотрудников.
"Машины ненадежны, а люди еще ненадежнее". Не имеет смысла говорить о технической и математической составляющих протоколов в случаях, когда взлом системы завязан на человеческий фактор.
У одного моего знакомого спилили с карты порядка 300т тонн зелени без всяких там СМС и пр. Просто крот в банке. Что сделал банк? Банк заставил человека долго и душно доказывать невозможность проведения им тех транзакций /что, в его случае, было не сложно. С разницей примерно в час до и после он лично со своей карты осуществлял оплаты картой в рознице в Испании, в то время, как спорный поток транзакций был произведен в рознице на территории России/. Ситуацию спасло только то, что деньги были списаны с кредитного лимита карты. Будь это списание с дебетовой карты, судя по отношению банка к вопросу, вопрос закрылся-бы просто невозвратом денег клиенту, а так банку, после того, как был решительно послан со своими пожеланиями погашения кредита, таки пришлось пошевелиться.
И, пока банки всерьез не возьмуться за систему контроля человеческого фактора транзакций и пользователи в конце концов не поймут, что антивирусный софт - насущное средство информационной гигиены в нашем насквозь информационном мире, а не просто чье-то желание по-простому срубить бабла с простачков, ни одна программно-аппаратная система не сможет быть безопасной. Даже при современном развитии техники безопастность транзакций все еще лежит в плоскости человеческого фактора. И это - болезнь не только SS7 но и любых других протоколов. Вера в их надежность живет исключительно до первой огласки пробоя.
Не лох, вот и не отдал.
Применяете - молодец. Жаль, не все применяют.