Dmitry Belyavskiy

Каждой атаке положен официальный сайт. Вот, например.

Если использовать уникодные символы управления направлением вывода текста (слева направо интерпретировать кусок текста или справа налево), то можно добиться эффекта, когда человек, который ревьюит pull-request, увидит одно, а компилятор - совсем другое.

Блог об информационной безопасности уже некоторое время как не веду, но не могу молчать.

Azure устанавливала своего управляющего агента на Linux-машины. Работал агент под рутом. В агенте нашли Remote code execution, причём смешной: удаляешь из управляющего запроса заголовок Auth — и всё, заходи кто хочет, бери что хочешь.

Подробности

Как применить DPI-устройства для DDoS Amplification.

Amplification атака построена по простому принципу. Шлём маленький пакет, получаем большой ответ, подставляем ложный адрес получателя — profit. Обычно для amplification атак используется протокол UDP, который сам по себе не приспособлен к проверке, что адрес, куда он должен отправить ответ, настоящий. Но всякие коробочки для DPI, устанавливаемые в целях цензуры, делают пригодным для этой цели и TCP.

Краткое популярное изложение
Статья раз
Статья два

Если кто не заметил, протокол QUIC стандартизован и получил номер RFC 9000. Если его внедрят массово, это даст очень забавный эффект, который мне оценить пока слабо. Он решает проблемы быстродействия и безопасности одновременно, то есть революция будет посильнее, чем TLS 1.3, но TLS 1.3 так и не дорос до 50% сайтов за несколько лет. К сожалению, в OpenSSL QUIC пока не поддерживают (но есть ветка), в Nginx - не знаю. Как к нему прикрутить российскую криптографию, к слову сказать, никто и не думал скорее всего.

Я тем временем посмотрел, как обстоят дела с прочими RFC с тремя нулями на конце. Несколько штук пропущено, 8000 про какой-то конкретный протокол, важность которого оценить не берусь, а ещё несколько - метауровень, определение протоколов Internet в целом. Так что заявка достаточно серьёзная.

Если кто не видел.

Проекты тянут внешние (по отношению к проекту) зависимости. Из внешних репозиториев и из внутренних. Сначала - из внешних. И если злоумышленник сможет подсунуть во внешний репозиторий что-то с именем, перекрывающим имя внутреннего, то именно его код и приедет на сервера.

Выявившие проблему исследователи смогли выполнить свой код на внутренних серверах 35 компаний, среди которых PayPal, Micrоsoft, Apple, Netflix, Uber, Tesla и Shopify.

Казахстан в начале декабря опять попытался устроить MITM национального масштаба. В этот раз новый корневой сертификат ведущие браузеры выпилили за 2 недели, а не за месяц.

Уже не в первый раз слышу аргумент "ну ок, выпилили корневой сертификат из браузера - сделаем свой браузер".

Сделаете вы свой браузер. Собирать Мозиллу или Chromium научиться можно, хотя лично я бы этим предпочёл не заниматься, потому что выяснится, что там по 100500 нетривиальных деталей, которые сами разработчики обложили костылями и давно забыли. Но самое интересное тут только начнётся.

Дальше правительству Нагонии и Гориваса придётся обеспечить установку этого добра на все компы и смартфоны. Да, и на тот телефон с Android 6.0 от давно покойной фирмы "Noname Inc" с уставным капиталом 10 юаней. И много куда ещё. Иначе 30% пользователей без любимого YouTube на вас тупо обидятся, даже если они сознательные граждане. В общем, придётся искать баланс между геморроем в разработке и поддержке и долей обиженных пользователей.

При этом Apple, Google и Microsoft вам способствовать в установке этого поделия не будут, а скорее наоборот.

Короче, лояльное население обидится, нелояльное будет сидеть через Tor, ну и сколько-то денег уйдёт. С другой стороны - может, тех денег на что-то более вредное не хватит...

Если перестало проходить соединение с почтовым сервером из нового Thunderbird, потому что на сервере стоит говно мамонта с TLS 1.0 - вот такой совет спасёт.

Но сервер с такими настройками (не знающий TLS новее 1.0) надо апгрейдить при первой же возможности.

The Sounds a Key Make Can Produce 3D-Printed Replica

Кажется, не для всех типов замков, не всегда точную копию, а не приближение, но всё равно нифига себе.

Красивая физическая модель хорошо известной в криптографии атаки по побочным каналам. Сигнал от шума не очень просто отделить, но при большом количестве попыток — запросто.

— Куда же вы желаете выйти?
— В интернет! — ответил я.
— Это понятно. Но куда именно?
— Я еще не знаю, — сказал я. — Просто в интернет. В Глубокий интернет! В Свободный интернет!
Клерк устало вздохнул.
— Если вы хотите получить общий доступ, вам надо яснее выражать свои мысли. Вы собираетесь пользоваться сервисами в Американском интернете? А может быть, хотите эмигрировать в Китайский интернет? Или в Российский? Или в Индийский?
— Я не думал, что интернет может быть чьей-то юрисдикцией, ответил я.
(Оригинал, если что, Шекли «Я и мои шпики». Актуальный повод — решение Трампа о TikTok как угрозе национальной безопасности США)

Я правильно понимаю, что на современных системах, если мне требуется сторонний ядерный модуль, то я должен через recovery mode сначала добавить производителя в разрешённые, а потом, отключив SIP, скопировать нужный драйвер к прочим драйверам и включать SIP обратно? Или вот этим включением и выключением SIP я что-то необратимо сломаю?

(После того, как я прописал производителя в доверенные, я могу дальше в принципе жить с kextload, но это вроде как тоже некошерно).