«Люди думают, что нашли ошибку в коде, написали письмо в компанию и спасли мир. На деле они пишут письмо юристам, спасают только себя и то не всегда. Ответственное раскрытие, это не про безопасность, это про переговоры, где одна сторона не знает, что вступает в них.» Кривое зеркало этичного хакинга Образ исследователя, который тихо находит дыру, … Читать далее
«Мы говорим об уязвимостях, которые сознательно оставляют в продуктах по решению государства, чтобы иметь к ним доступ ‘для безопасности’. Это называется backdoor. Аргумент власти прост: доступ будет только у ‘своих’ проверенных спецслужб, а ‘чужие’ хакеры его не найдут. Но техническая реальность устроена иначе: если лазейка существует, её обнаружение — лишь вопрос времени и мотивации. История … Читать далее
«Bug bounty, это договорённость о вознаграждении за уязвимости без договора. Российское право пока не понимает эту двойственность и пытается подогнать её под устаревшие рамки. Последствия касаются не только энтузиастов, но и компаний, которые хотят запустить программу.» Что такое bug bounty, а что — нет Bug bounty program (программа вознаграждения за уязвимости), это публичное предложение компании … Читать далее
Мы защищаем не компьютеры, а организации, которыми управляют люди. Самая надёжная уязвимость, это наш собственный мозг, его паттерны и ошибки. Защита часто проигрывает не потому, что атака слишком изощрённая, а потому, что мы не замечаем очевидного. Психические паттерны на службе защиты Mental models, или ментальные модели,, это упрощённые представления о том, как устроен и работает … Читать далее
«Защита игрового аккаунта, это не про сложные пароли, а про управление уязвимостями. Главная угроза — не мифический хакер, а цепочка твоих привычек: повторение паролей, доверие к фишингу, пренебрежение к почте. Взлом происходит не из-за одной ошибки, а из-за системы слабых мест, которые ты годами игнорируешь.» Почему игровые аккаунты — главная цель для атак Ценность аккаунта … Читать далее
«Безопасность, это не стена вокруг замка, а система контроля доступа для каждого, кто в него входит, включая сантехника. История Target — учебник по провалу на этом фронте. Это не про хакерскую магию, а про то, как игнорирование скучных процессов управления доступом третьих лиц и реагирования на алерты превращает миллиардную корпорацию в дойную корову.» В конце … Читать далее
«Умный замок, это не просто замок с Wi-Fi. Это сложная распределённая система, где уязвимость может скрываться не в железе, а в облаке, к которому ты даже не имеешь прямого доступа. И самое опасное, это когда производитель, пытаясь сделать всё удобнее, создаёт единую точку отказа для тысяч устройств одновременно.» От кнопки до облака: что на самом … Читать далее
«Умные устройства в офисе, это не просто удобство, а полноценные сетевые узлы с правами и уязвимостями. Их игнорирование в политиках безопасности создаёт скрытый периметр, который атакующий может использовать как плацдарм для движения к ядру корпоративной инфраструктуры. История с кофемашиной — не анекдот, а симптом системной проблемы.» Как Nespresso-машина стала точкой входа в корпоративную сеть Исследование … Читать далее
Защита устройств в умном доме не сводится к паролю на маршрутизаторе. Есть два слоя: внешний публичный и внутренний приватный. Камеры и датчики живут во внутреннем, но их уязвимость, это лазейка наружу. Когда злоумышленник проникает в камеру, он получает не просто видео из комнаты, а доступ к гостевой Wi-Fi сети, к которой подключен ваш телефон и … Читать далее
Кажется абсурдом: компания годами разрабатывает сложное ПО, инвестирует в R&D и маркетинг, а через несколько лет после релиза обнаруживает, что её система имеет фундаментальные уязвимости, о которых разработчики, возможно, догадывались. Но бизнес продолжает продавать и поддерживать эти продукты. В этом нет злого умысла, это закономерный результат сходящихся трендов: давления рынка, устаревающих парадигм безопасности и экономических … Читать далее