Каждой атаке положен официальный сайт. Вот, например.

Если использовать уникодные символы управления направлением вывода текста (слева направо интерпретировать кусок текста или справа налево), то можно добиться эффекта, когда человек, который ревьюит pull-request, увидит одно, а компилятор - совсем другое ( Read more... )

Довольно смелое утверждение от технарей, которое я слышал от нескольких разумных людей. Будь у фейсбука второй DNS, внешний по отношению к первому, не было бы покладания.

Хрен. Проблема не в DNS самом по себе. А в том, что второй DNS у компании такого масштаба должен быть полностью подконтрольным Facebook организационно, иначе соблазн для хакеров ( Read more... )

Блог об информационной безопасности уже некоторое время как не веду, но не могу молчать.

Azure устанавливала своего управляющего агента на Linux-машины. Работал агент под рутом. В агенте нашли Remote code execution, причём смешной: удаляешь из управляющего запроса заголовок Auth - и всё, заходи кто хочет, бери что хочешь.

ПодробностиThis entry was ( Read more... )

В фейсбук написал, а сюда - нет. Исправляюсь.

Собственно, вышла новая версия. Изменений масса. FIPS-сертификация для России не очень актуальна, а всякие архитектурные вещи - вполне. Анонс в блоге, дистрибутив на сайте, игла в яйце.

Когда новая версия дойдёт до дистрибутивов - пока не знаю. Собственно, в Fedora rawhide уже попала. Тем, кто ( Read more... )

Как применить DPI-устройства для DDoS Amplification.

Amplification атака построена по простому принципу. Шлём маленький пакет, получаем большой ответ, подставляем ложный адрес получателя - profit. Обычно для amplification атак используется протокол UDP, который сам по себе не приспособлен к проверке, что адрес, куда он должен отправить ответ, ( Read more... )

Только что поучаствовал в загонной охоте на вот этот баг. Программисты оценят. This entry was originally posted at https://beldmit.dreamwidth.org/943870.html. Your comment? (
( Read more... )

Если кто не заметил, протокол QUIC стандартизован и получил номер RFC 9000. Если его внедрят массово, это даст очень забавный эффект, который мне оценить пока слабо. Он решает проблемы быстродействия и безопасности одновременно, то есть революция будет посильнее, чем TLS 1.3, но TLS 1.3 так и не дорос до 50% сайтов за несколько лет. К сожалению, в ( Read more... )

Our accelerated strong primal-dual reduction of [GN08] factors integers N ≈ 2^400 and N ≈ 2^800 by 4.2 · 10^9 and 8.4 · 10^10 arithmetic operations, much faster then the quadratic sieve QS and the number field sieve NFS and using much smaller primes pn. This destroys the RSA cryptosystem.

По ссылке 12 страниц зубодробительной математики, но автор ( Read more... )

Если кто не видел.

Проекты тянут внешние (по отношению к проекту) зависимости. Из внешних репозиториев и из внутренних. Сначала - из внешних. И если злоумышленник сможет подсунуть во внешний репозиторий что-то с именем, перекрывающим имя внутреннего, то именно его код и приедет на сервера.

Выявившие проблему исследователи смогли выполнить свой код на ( Read more... )

Тут в комментах возник вопрос, чем даркнет отличается от обычного интернета.

Да очень простое различие. Я бы сказал, киберпанковское. Или либертарианское. Или анархистское.

В обычном интернете часть мер безопасности за тебя берут производители операционных систем, провайдеры и прочие люди. Ты можешь быть недоволен их мерами, можешь с ними как-то ( Read more... )