Программисты прокомментировали “слив” базы данных купивших фальшивые сертификаты о вакцинации

▍что делать?

• Минифицируйте код. Благодаря этому код обфусцируется. Подобная обработка кода обратима, но благодаря ей можно обойти многие автоматические сканеры, что уменьшает потенциальные возможности атаки.
• Оставляйте в коде только абсолютный минимум ключей и путей к API. В то время как без некоторых из них обойтись не получится, о большинстве из них сказать того же самого нельзя. Оставляйте в коде только те ключи, которым совершенно необходимо в нём присутствовать.
• Понизьте разрешения, связанные с ключами, до абсолютного минимума. Если вспомнить пример с сервисом картографической информации, то можно сказать, что ключи должны быть такими, чтобы с их помощью можно было бы делать только то, для чего они предназначены, и чтобы пользоваться ими можно было бы только там, где они должны использоваться. Удостоверьтесь в том, что эти ключи нельзя использовать для атаки на систему.
• Используйте те же инструменты для автоматического сканирования кода, которые используют хакеры. Включайте их в системы непрерывной интеграции. Особенно это касается средств для поиска строковых паттернов, которые работают очень быстро. Используйте простые инструменты вроде grep или gf для поиска строк. Такая проверка кода сродни тестам. Она позволяет убедиться в том, что разработчики не оставляют в коде дыр, которыми может воспользоваться злоумышленник для взлома системы.
• Внедрите у себя практику код-ревью. Всегда полезно, когда кто-то проверяет ваш код. Все автоматические сканеры мира не способны выявить 100% возможных проблем. Код-ревью — это отличный способ повышения качества и защищённости кода.

Что такое ssl-сертификат? он мне вообще нужен? — meduza

▍меры по снижению рисков, связанных с github

• Сделайте сканирование кода на предмет уязвимостей частью CI-процесса. В этом вам может помочь отличный инструмент GitRob.
• Сканируйте репозитории сотрудников компании. GitRob выполняет подобные проверки без дополнительных настроек. Для того чтобы это отключить, можно запустить его с флагом no-expand-orgs.
• Проверяйте историю репозиториев. GitRob, по умолчанию, сканирует 500 коммитов, но вы можете решить пойти ещё дальше, воспользовавшись параметром вида -commit-depth <#number>.
• Включите на GitHub двухфакторную аутентификацию!
• Выполняйте, во всех без исключения системах, ротацию ключей доступа, секретных ключей, паролей. Рекомендуется использовать централизованную систему доступа к другим системам наподобие G Suite или Active Directory. Нужно обеспечить применение в подобной системе политик безопасности, касающихся ротации и сложности паролей.

После того, как этот материал был опубликован, некоторые его читатели сделали ценные замечания, касающиеся сложности паролей и их ротации, а так же — использования аппаратных средств защиты информации.

Взлом symbian (только nokia) без сертификата с помощью антивируса dr.web

Как работает двухфакторная аутентификация

Двухфакторная аутентификация нужна для усиления защиты информации пользователя. С помощью неё можно защитить вход в аккаунт электронной почты, электронных кошельков, различных сервисов связанных с деньгами и их суррогатами.

Принцип работы двухфакторной аутентификации заключается в том, что требуется подтверждение личности пользователя двумя разными методами. Одним из этих методов обычно является пароль, который пользователь придумал сам. А второй элемент аутентификации должен быть получен по другому каналу, который пользователь привязал к своему аккаунту.

Таким другим каналом может быть может быть одноразовый код из СМС сообщения, код-ответ из специального приложения (используется, например, в WebMoney), одноразовый пароль, выданный банкоматом (используется, например, в Сбербанк-онлайн) и другие варианты.

В целом двухфакторная аутентификация позволяет более надёжно защитить данные пользователя, поскольку для входа в аккаунт злоумышленнику уже недостаточно просто перехватить или подобрать пароль — также требуется код из другого источника, а коды в большинстве случаев являются одноразовыми.

Поскольку вероятность взлома сразу двух устройств одного пользователя (например, компьютера для кражи пароля и мобильного телефона для кражи СМС с кодом) является очень низкой, то двухфакторная аутентификация является довольно надёжным методом защиты аккаунтов.

Настройка сервера для evilginx2

Для фишинговой атаки с evilginx2 нужно много всего:

• сервер с белым IP
• доменное имя
• доступ к настройкам DNS

Кстати, evilginx2 работает даже на Windows, но в этом примере я буду показывать исключительно на Linux.

На сервере, который будет использоваться для фишинговой атаки, не должны быть заняты порты 80, 443 и 53. То есть если на сервере запущен apache или nginx и какая-либо служба для обработки DNS запросов, то их нужно остановить.

Для этой инструкции я арендую новый VPS — это недорого, поскольку я планирую тесты закончить за один день. Поскольку сервер новый, то я покажу порядок действий с самого начала.

Итак, регистрируемся у хостера (этой Айхор, там я уже зарегистрирован, поскольку на VPS у меня там работает SuIP.biz). Это отечественный хостер, если вы предпочитаете иностранных, то могу посоветовать DigitalOcean.

Теперь переходим во вкладку Виртуальные серверы и нажимаем кнопку Заказать:

Как я сказал, я арендую VPS только для тестов, поэтому выбираю период 1 день. Кстати, если вы не знаете, выбрать на HDD (обычные жёсткие диски) или на SSD (быстрые диски), то настоятельно рекомендую выбирать именно SSD.

Сама операционная система Linux без графического рабочего стола потребляет где-то 200 мегабайт, поэтому варианта с 1 гигабайтом оперативной памяти нам будет достаточно (нажимаем кнопку Заказать).

На следующей вкладке обратите внимание на операционную систему — по умолчанию там выбрана CentOS — это действительно популярный дистрибутив Linux у хостеров, но я в ней чувствую себя не очень уверенно, поэтому выбираю более привычную мне Debian самой последней версии, причём в конфигурации minimal — никакие панели управления я не признаю:

Меня не смущает, что там alpha версия, поскольку этот сервер будет жить 1 день, для реального веб-сайта или сервиса я бы выбрал последнюю стабильную версию, а не альфу (да и вообще бы установил Arch Linux, конечно).

Публичный IPv4-адрес уже входит в комплект, поэтому больше никаких расходов. Нажимаем кнопку «В корзину».

Оплачиваем и немного ждём, пока для нас развернуть виртуальный выделенный сервер по нашим параметрам.

Через некоторое время приходят данные для входа на сервер. Самое главное, что нам нужно, это IP адрес нашего нового сервера, имя пользователя (root) и пароль.

Теперь нам нужно подключиться по SSH к нашему серверу командой вида:

ssh root@IP_сервера

Если у вас Windows, то вам поможет Cygwin.

У моего сервера IP адрес 185.238.139.203, поэтому подключаюсь к нему следующей командой:

ssh root@185.238.139.203

Делаем на сервере полное обновление и перезагружаемся:

apt update && apt full-upgrade -y
reboot

Теперь нам нужен домен. Домен можно приобрести здесь же, в панели управления хостингом Айхор. Если ваш домен куплен здесь, то в этом случае нужно перейди во вкладку Домены. Затем выбрать домен и нажать кнопку NS:

О самоподписных сертификатах

Программисты прокомментировали "слив" базы данных купивших фальшивые сертификаты о вакцинации

Свои сертификаты ssl безопаснее, чем купленные?

Торгуют по всему миру

Спрос на липовые прививки велик не только в России – с этой проблемой давно столк­нулись и на Западе. И если недавнее задержание в Киеве экс-депутата ВР Украины Надежды Савченко при попытке въехать с сестрой в страну по поддельным сертификатам ещё можно попробовать объяснить «советским менталитетом», то появление в Германии спецгруппы по борьбе с фальшивыми QR-кодами и документами о вакцинации уж точно на наших бывших соотечественников не спишешь.

Пару недель назад в Италии закрыли ряд Telegram-каналов за продажу поддельных сертификатов. COVID-сертификаты были введены в Италии в августе. В октябре вступило в силу решение правительства об обязательном предъявлении green pass для доступа на рабочее место на производстве и в офисах, причём как в государственном, так и в частном секторе.

Правоохранители установили, что фальшивые green pass продают за 250 евро. Ещё в феврале полицейская служба Евросоюза предупредила: начали торговать поддельными сертификатами тестов на COVID-19 в интернете, а также в аэропортах и на вокзалах европейских стран.

Стоимость фальшивок – 150 евро. Случаи подделки были зарегистрированы в Нидерландах, Франции, Испании и Великобритании. Первые задержания в крупнейшем аэропорту Парижа Шарль-де-Голль были ещё в ноябре 2020 г. Мошенники сбывали сертификаты за 150–300 евро.

В США также стремительно растёт теневой рынок подделок. По данным The Daily Beast, осенью их стоимость в среднем взлетела со 100 до 200 долл. В СМИ появились сообщения, что 10–15% карт вакцинации, предоставляемых игроками национальной футбольной лиги, поддельные. При этом во всех странах за липовые сертификаты реально получить тюремный срок.

Хакеры используют google

Теперь, когда мы в общих чертах познакомились с дорками, мы можем поговорить о применении особых поисковых запросов в Google. Тут с их помощью можно найти просто невероятные вещи. Google — мощная поисковая система, которая позволяет строить запросы, описывая строки, которые должны и не должны присутствовать в искомых данных.

"MySQL_ROOT_PASSWORD:" "docker-compose" ext:yml

Эта строка рассчитана на поиск файлов с расширением

yml

, причём, это должны быть файлы

docker-compose

, в которых разработчики нередко хранят пароли. Не особенно уникальные пароли. Попробуйте запустить в Google поиск по этой строке. Вас удивит то, что вы найдёте.

Другие интересные поисковые строки могут быть рассчитаны на поиск RSA-ключей или учётных данных AWS. Вот ещё один пример:

"-----BEGIN RSA PRIVATE KEY-----" ext:key

Тут перед нами открываются безграничные возможности. Качество поиска зависит лишь от уровня креативности исследователя и от того, насколько хорошо он знаком с различными системами.

, если хотите поэкспериментировать, большой список Google-дорков.

Хакеры находят секретные данные в javascript-файлах

Ключи к API разбросаны по всему интернету. Воспользоваться ими может кто угодно. Это — факт. Часто у того, что ключи оказываются в общем доступе, нет каких-то особых причин. Разработчики просто повсюду их забывают. Например, ключи попадают в код по следующим причинам:

Блоки кода, напоминающие следующий, можно встретить в интернете довольно часто:

// DEBUG ONLY
// TODO: remove -->
API_KEY=t0psecr3tkey00237948

Хотя многие хакеры самостоятельно читают код JavaScript-файлов, такие файлы, в основном, ищут с помощью инструментов вроде

, а потом проверяют то, что нашли, на наличие там соответствующих паттернов.

Как они это делают? После использования сканера вроде meg они ищут в найденных файлах строки, соответствующие различным шаблонам. Тот же, кто создал meg, написал ещё одну отличную программу, именно для этого и предназначенную.

Она называется gf и представляет собой улучшенный вариант grep. В данном случае использование при запуске gf опции truffleHog или, в другом варианте её написания, trufflehog, позволяет инструменту находить высокоэнтропийные строки, представляющие собой ключи к API.

Нередко у того, что ключи появляются в коде, есть совершенно нормальные причины, но такие ключи не защищены от посторонних. Приведу пример. Один клиент, с которым я работал, пользовался внешним сервисом картографической информации. Так делается во многих проектах.

Для того чтобы загружать картографическую информацию и работать с ней, нужно было выполнять обращения к соответствующему API с использованием ключа. Но мой клиент забыл настроить применяемый им сервис так, чтобы ограничить источники, с которых в этот сервис могут поступать запросы, использующие этот конкретный ключ.

Несложно представить себе простую атаку, которая заключается в том, чтобы истощить квоту на использование ресурсов картографического сервиса путём отправки к нему множества запросов. Это может стоить пользователю такого сервиса больших денег. Или, что ещё «лучше» (с точки зрения атакующего), такая атака может привести к тому, что те части проекта клиента, которые завязаны на картах, попросту «упадут».

Хакеры тщательно изучают интересующие их системы

Когда некая система очень интересует исследователя безопасности (или мотивированного хакера), он приступает к глубокому изучению этой системы. Он близко знакомится с ней. Его интересуют конечные точки API, соглашения по именованию сущностей, особенности взаимодействия внутренних частей систем, наличие доступа к разным версиям системы в том случае, если одновременно используются её разные версии.

Не очень хороший подход к защите API заключается в том, чтобы усложнять пути доступа к ним, скрывать их с использованием чего-то вроде генератора случайных символов. Это не заменяет реальных механизмов обеспечения безопасности. Исследователи безопасности пытаются найти незащищённые пути доступа к системам, конечные точки API, например, пользуясь инструментами для «нечёткого» поиска уязвимостей.

Такие инструменты используют списки слов, строят из них пути и проверяют эти пути, анализируя получаемые при попытке обращения к ним ответы. Подобный сканер не найдёт конечную точку, путь к которой представлен совершенно случайным набором символов. Но такие инструменты прекрасно показывают себя в деле идентификации паттернов и в нахождении конечных точек, о которых владельцы системы либо забыли, либо никогда и не знали.

Помните о том, что «безопасность через неясность» («security through obscurity») — это не лучший способ защиты систем (хотя полностью игнорировать его не стоит).

Чем грозит взлом аккаунта на «госуслугах» и могут ли мошенники оформить через него кредит?

Соцсети обошла история жителя Петербурга. Он рассказал о том, как лишился и доступа в аккаунт и более 400 тысяч рублей

«Мошенники взломали мой личный кабинет на портале «Госуслуги», изменили контактные данные (телефон, электронную почту) и пароль» — так начинает свою историю пользователь из Петербурга ylozy. Его запись на портале «Пикабу» (и не только там) стала популярной и собрала десятки тысяч просмотров.

По словам блогера, сразу же после взлома в банки «Открытие» и «Тинькофф» от имени мошенников полетели заявки на выпуск кредитных карт и получение займов. На следующий день в отделении Сбербанка была открыта кредитная карта на 420 тысяч рублей. Деньги были переведены на карту Промсвязьбанка, оттуда — в Газпромбанк, где была оформлена уже дебетовая карта, с которой мошенники и сняли всю кредитную сумму.

Как пишет пострадавший пользователь, в отделения банков в подмосковном Одинцове приходили реальные люди. Правда, паспорт, который они предъявляли, был поддельным. Номер, ФИО, прописка — пострадавшего, но фото и подпись другие.

Мужчине звонили из микрофинансовых организаций, где аферисты, судя по всему, тоже пытались получить кредиты. За полторы недели пострадавший несколько раз пытался вернуть свой аккаунт на «Госуслугах» и номер своего мобильного телефона, который мошенники постоянно пытались заблокировать.

Можно ли, взломав аккаунт на «Госуслугах», оформить кредит в банке? Есть ли доступ в банк через этот государственный сервис? Год назад Минкомсвязь и Центробанк анонсировали новую функцию — оформление кредита через «Госуслуги» без визита в банк. Сообщалось, что в проекте участвуют 20 банков и несколько страховых компаний.

Но на практике эту функцию взяли в работу микрофинансовые организации. Именно они рекламируют в интернете кредиты через «Госулуги». Зайдя на их сайт, можно авторизоваться через «Госуслуги», но, кроме фамилии, имени и отчества, компания никаких других данных не получит и доступа к вашему аккаунту иметь не будет. Это как авторизоваться на любом сайте через аккаунт в Facebook или профиль в Google, объясняет гендиректор компании «Киберполигон» Лука Сафонов.

Лука Сафонов гендиректор компании «Киберполигон»

Что касается конкретной истории петербуржца, на котором теперь висит кредит в 400 с лишним тысяч рублей, можно сказать, что взлом аккаунта на «Госуслугах» тут ни при чем. Карты с деньгами выдавали в обычном отделении по поддельному паспорту, а сами паспортные данные можно найти где угодно, не только на «Госуслугах».

Но как получилось так, что банки не распознали фальшивый документ? Пострадавший обратился в полицию. По его словам, возбуждено уголовное дело. Адвокат Евгения Колесникова считает, что найти мошенников будет легко — по видеокамерам в отделениях банков.

Евгения Колесникова адвокат

Сам пострадавший общаться с Business FM по телефону отказался, хотя в интернете пишет, что журналисты его историей совсем не интересуются.

Добавить my-sertif.ru в ваши источники новостей?

Этичный хакинг

Перевод курса “Секреты Хакеров” – очень мягкое и легкое погружение в тему. Как прогулка по парку

Перевод курса Ermin Kreponic от команды Codeby – отличное погружение в этичный хакинг, всего по чуть-чуть и вы уже в теме

За тобой не придут с болгаркой vol.1 и vol.2 – лучшие курсы по анонимности и безопасности в Рунете

Ютуб Канал VectorT13 – это все про анонимность и чтобы Вас не отследили. Также все очень грамотно и разжевано

Супер курс от HackerDom – супер курс для полных бананов, где все отлично разжевано и разложено по полочкам

Telegram канал Мифодия Келевры – выше сверху вы посмотрели курсы Мефодия, сразу же после этого следуйте в его канал

Авторский Telegram канал White2Hack – один из лучших телеграм каналов по хакингу с кучей ссылок и ресурсов

Ветка форума Codeby посвященная этичному хакингу – тут вы найдете огромное число ответов на огромное количество ваших вопросов

Телеграм канал Ralph Hacker – зарубежный ресурс и очень крутой

Телеграм канал S.E. Book – тут вообще есть все что нужно. Зайдете, поймете

Телеграм канал Geek Girl – тут постят просто какой-то нереальный жир в нереальном количестве. Но опять же знание языка необходимо

Обязательная статья №1 для изучения

Обязательная статья №2 для изучения

Обязательная статья №3 для изучения

Обязательная статья для Web-пентеста

Дневник начинающего Хакера

Лучшее видео этого года на тему хакинга. Must see всем начинающим и немного понимающим английский язык

BOOKS:

Итоги

Вопросы безопасности часто обходят вниманием в стартапах. Программисты и менеджеры обычно делают приоритетом скорость разработки и частоту выхода новых версий продукта, жертвуя качеством и безопасностью. Тут встречается включение в код, попадающий в репозитории, секретных сведений, использование в разных местах системы одних и тех же ключей, применение ключей доступа там, где можно воспользоваться чем-то ещё.

В этом материале я попытался показать вам то, как строки, которые, как кажется, защищены тем, что хранятся в закрытом репозитории, могут легко уйти в общий доступ. То же касается и клона репозитория, сделанного сотрудником из лучших побуждений и не предназначенного для чужих глаз, но оказавшегося общедоступным.

Но можно создать базу для безопасной работы, воспользовавшись инструментом для организации безопасного совместного использования паролей, применив централизованное хранилище секретных данных, настроив политики безопасности паролей и многофакторную аутентификацию. Это позволит, не игнорируя безопасность, не замедлить скорость работы над проектом.

Если говорить о защите информации, то тут не очень хорошо работает идея, в соответствии с которой скорость — это самое главное.

Приобретение знаний о том, как работают хакеры, обычно представляет собой очень хороший первый шаг на пути к пониманию того, что такое информационная безопасность. Это — первый шаг к защите систем. Защищая системы, учитывайте вышеперечисленные способы проникновения в них, и то, что хакеры используют достаточно ограниченный набор таких способов.

Защита систем иногда может восприниматься как дело не особо важное, но трудозатратное и беспокойное. Но будьте уверены: предпринятые вами простые действия по защите ваших систем способны избавить вас от огромных неприятностей.

Как вы защищаете свои системы?