Codeby

​👮🏽‍♀️ Минцифры: уголовная ответственность за утечки данных Минцифры РФ разрабатывает законопроект, в котором предлагается установить уголовную ответственность для представителей компаний за последствия утечек персональных данных. «Есть тема о том, чтобы ввести уголовную ответственность для тех, кто утечки допустил, если это повлекло самые тяжкие последствия. А есть история с ответственностью — пока, я так понимаю, ещё нет решения, уголовной или административной — именно для тех, кто дальше незаконно распространяет персональные данные», — рассказал глава комитета Госдумы по информационной политике Александр Хинштейн. Также Хинштейн пояснил, что под тяжкими последствиями имеется в виду то, что человек скончался или стал инвалидом после утечки персональных данных. 🗞 Блог Кодебай #news #russia #data

​📖 Госдума приняла закон об усилении защиты персональных данных россиян Госдума на недавнем заседании приняла в последнем чтении законопроект, направленный на усиление защиты персональных данных россиян и ужесточение требований к операторам обработки таких данных. Данный документ вносит изменения в закон «О персональных данных», направленные на улучшение правовой защиты субъектов персональных данных, а также на усиление государственного контроля в этой сфере. «Договор, стороной которого является субъект персональных данных, не должен содержать положения, ограничивающие права и свободы субъекта персональных данных», — отметил глава комитета Госдумы по информполитике Александр Хинштейн. Например, оператор персональных данных, в случае утечки данных, должен будет предоставить информацию уполномоченным органам власти. В течение суток с момента выявления утечки оператор будет обязан предоставить «описание скомпрометированных данных и контактное лицо», а в течение трех суток — сообщить о результатах внутренней проверки и об ответственных за утечку, если они выявлены. 🗞 Блог Кодебай #news #russia #law

​💾 Facebook может получить доступ к удалённым данным пользователей Бывший специалист по проверке контента Facebook, дочерней компании Meta (признана экстремистской в РФ), утверждает, что его уволили за то, что он поднял тревогу в связи с новым протоколом компании, позволяющим сотрудникам восстанавливать данные, которые удалили пользователи. Бреннан Лоусон (уволенный сотрудник) сразу усомнился в законности протокола. По его словам, новый протокол позволял некоторым сотрудникам отдела Escalations Team «обходить стандартные протоколы конфиденциальности Facebook», получая данные из приложения Messenger, которые были удалены пользователями. «Чтобы у Facebook оставалась хорошая репутация на счету правительства, команда Escalations Team использовала внутренний протокол для предоставления ответов правоохранительным органам, а затем определяла, сколько информации следует предоставить», — заявил Лоусон. 🗞 Блог Кодебай #news #facebook #data

​🔥 Интервью с участником команды True0xA3! Друзья, мы с хорошими новостями! В это воскресенье вас ждёт стрим-интервью! В качестве специального гостя - Павел Шлюндин. Руководитель канала @redteambro и участник команды True0xA3. Также, Павел имеет большое количество сертификатов по ИБ: OSCP, OSCE, OSWE, CRTE, LPT, eCPTXv2. Обсудим следующие темы: ✔️ Путь Павла в RedTeam ✔️ Основные отличия RedTeam от Pentest ✔️ Какими навыками должен обладать RedTeam-специалист ✔️ Интересные кейсы в RedTeam проектах ⏰ Не пропусти! 10 июля в 18:00 по московскому времени. Ждём каждого! 🍿 Смотрите стрим на нашем Youtube-канале

​🎲 Минцифры обсуждает перспективы разработки отечественного игрового движка Министерство цифрового развития с представителями Госдумы и российскими компаниями-разработчиками игрового контента обсуждают перспективу разработки отечественного движка для компьютерных игр с привлечением государственного грантового финансирования. Для реализации этого проекта может потребоваться несколько миллиардов рублей и не менее 3-5 лет на воссоздание необходимой экосистемы, при этом поддержка и приспособление существующих и новых видеокарт иностранного производства осложняется санкциями и закрытием сотрудничества со стороны зарубежных партнеров. По мнению экспертов отрасли, технически это возможно, но для этого потребуется отследить все этапы разработки и объединить усилия нескольких команд разработчиков. Финансирование проекта планируется осуществлять через грантовую программу Российского фонда развития информационных технологий (РФРИТ). В Минцифры подтвердили, что обсуждают с профильными игроками рынка вопрос господдержки в части создания собственного игрового движка и ее релевантные формы. Причем этот вопрос курирует замминистра Максим Паршин. Ведомство планирует провести несколько встреч с разработчиками и получить от них приблизительное техническое задание, чтобы понять объем работ и сроки. 🗞 Блог Кодебай #news #russia #game

​SQL-injection, начало - UNION BASED Приветствую тебя читатель! Если ты новичок, и непременно хочешь разбираться в sql-инъекциях, то сначала проделай то, что написано в этой статье. А для чего вообще нужно ручное тестирование? Ведь есть куча программ во главе с sqlmap. Я так скажу - не все инъекции и не всегда могут раскрутить программы. В тоже время ручные тесты дадут максимальный шанс внедрить произвольный sql-код. Кроме того, даже если вы станете продвинутым пользователем sqlmap, то это лишь уровень скрипт-кидди, не понимающего что происходит на самом деле. Разумеется программы для того и придуманы, чтобы облегчить наш труд, но труд знающего человека, у которого не возникает вопросов по пейлоадам. 📌 Читать далее #sql #injection

​🍏 Apple разрабатывает систему защиты пользователей от кибератак Компания Apple объявила о разработке новой функции безопасности, которая предложит специализированную дополнительную защиту пользователям, которые могут подвергаться риску кибератак со стороны частных компаний, разрабатывающих спонсируемое государством шпионское ПО. В настоящее время компания работает над двумя инициативами, первая из которых — «Режим изоляции» (Lockdown Mode), который компания называет революционным. Новый режим будет представлен этой осенью на iOS 16, iPadOS 16 и macOS Ventura. Это режим повышенной необязательной защиты для очень небольшого числа пользователей, которые сталкиваются с целенаправленными кибератаками. Утверждается, что технология способна защитить от программного обеспечения, разработанного израильской компанией NSO Group, которую ранее обвиняли в создании шпионских программ и продаже своих технологий правительствам по всему миру. Второй инициативой Apple будут гранты в размере $10 млн на поддержку кампаний по кибербезопасности, направленных на исследования угроз шпионских программ. 🗞 Блог Кодебай #news #apple #spyware

​☕️ Oracle увольняет всех российских сотрудников Корпорация Oracle предупредила российских сотрудников о скором увольнении. Сообщается, что их уволят 31 августа 2022 года. На данный момент в российском подразделении компании работает около 200-300 человек. «Компания давно уже не действует на нашем рынке. По какой-то причине она не уволила специалистов сразу, а решила задержать до осени, вероятно, руководствуясь пословицей «цыплят по осени считают», — рассказал замгендиректора Postgres Professional Иван Панченко. По словам Панченко, большая часть специалистов по СУБД работает не в Oracle, а в отечественных интеграторах, разработчиках и потребителях ПО, поэтому выход бывших сотрудников американской корпорации на рынок труда отразится на нем слабо. 🗞 Блог Кодебай #news #russia #oracle

​Стек – общая философия Стек – неотъемлемая часть любого, работающего под управлением процессора х86, приложения. Он организован на аппаратном уровне и магнитом притягивает к себе как системных программистов, так и различного рода малварь. Переполнение стека – наиболее часто встречающейся программный баг, который влечёт за собой катастрофические для приложения последствия. Стек активно используют все WinAPI, так-что вызов любой системной функции при исчерпавшем себя стеке, порождает необрабатываемое исключение STACK_OVERFLOW с кодом 0xC00000FD. 📌 Читать далее #asm #information

​📵 ЦБ за первую половину 2022 года заблокировал более 190 тысяч номеров мошенников Глава департамента информационной безопасности ЦБ Вадим Уваров сообщил, что Банк России в первом полугодии 2022 года инициировал блокировку более 190 тысяч номеров телефонов, которые используют мошенники, что превышает результаты всего 2021 года. «По предварительным данным Банка России, в первом полугодии 2022 года мы инициировали блокировку более 190 тысяч мошеннических номеров. Цифра за полугодие 2022 года уже превышают итоговые показатели 2021 года», — рассказал Уваров на «Инфофоруме». Также отмечено, что за весь 2021 год ЦБ направил на блокировку информацию более чем по 179 тысячам телефонных номеров. 🗞 Блог Кодебай #news #russia #finance

​💻 Большинство ноутбуков, поставляемых в Россию, не имеют операционной системы В июне поставки ноутбуков с предустановленной операционной системой Windows или macOS в Россию составили лишь 40% от общего числа ввезённых в страну устройств, тогда как весной показатель был на уровне 60%. По прогнозам дистрибуторов, к осени эта доля может увеличиться до 80-90%. В первую очередь, поставщики таким образом пытаются сдержать рост цен на оборудование, считают эксперты. По их мнению, сложившаяся ситуация может способствовать росту спроса на нелицензионные операционные системы. В Минцифры же рассчитывают сделать обязательной предустановку отечественных систем на импортную технику. 🗞 Блог Кодебай #news #russia #finance

​DLL библиотеки – инструкция к метле Ещё во-времена старушки дос стало очевидно, что некоторые программные модули лучше хранить не внутри исполняемого файла, а вынести их наружу и подгружать по мере необходимости. В то время такие "прицепы" называли оверлеями и с точки зрения экономии 1М-байтного адресного пространства это было разумно – одну большую программу кромсали на мелкие части, и эти части отрабатывали в памяти по очереди. Подобная техника докатилась и до наших дней, только теперь это динамически подгружаемые DLL. По сути, нет смысла копать данную тему в очередной раз – всё давно расписано, поэтому добавим экшена и сделаем ставку на нестандартное их применение. Как показывает практика, фишка с защитой программ на основе статически прилинкованных DLL пользуется спросом среди коммерческого софта, значит пора сорвать с неё вуаль и познакомиться поближе. 📌 Читать далее #asm #dll

​Минцифры обсуждает выделение информационной безопасности в отдельную индустрию Минцифры России видит преимущества в выделении информационной безопасности в отдельную индустрию. Данное предложение и прочие детали сейчас обсуждаются с представителями компаний IT-отрасли. Ведомство также отметило, что информационная безопасность, будучи частью IT-индустрии, дает профильным компаниям возможность пользоваться предусмотренными для отрасли льготами. Однако, выделение в отдельную отрасль также имеет свои преимущества. Ранее, с похожим предложением выступал глава компании «Лаборатория Касперского» Евгений Касперский, аргументировав это рядом факторов, в том числе ростом кибератак и, как следствие, увеличившейся значимостью вопросов кибербезопасности в стране. 🗞 Блог Кодебай #news #russia #infosec

​Импортозамещение ИБ. Сравнение двух лучших отечественных сканеров уязвимостей. MaxPatrol 8 и RedCheck Enterprise В последние месяцы в киберпространстве развернулась настоящая война, отчего незащищенные информационные активы значительно пострадали, а пользователи защитного инструментария от западных «партнеров» столкнулись с серьезнейшими санкциями, ограничивающими использование их ПО. Поэтому мы решили посмотреть на рынок отечественного ПО, разработанного для усиления «инфобеза». Обычно на вопрос "Какой сканер безопасности купить?" вспоминаются лишь OpenVas и Nessus (Tenable). Но есть и другие достойные отечественные продукты, о которых мы сегодня и поговорим – это продукты для корпоративного сегмента, полностью лицензированные под все российские требования безопасности и имеющие сертификаты ФСТЭК и ФСБ. 📌 Читать далее #pentest #scanner

​🔑 Надёжное хранение паролей Использовать одинаковые пароли для разных сайтов практически недопустимо с точки зрения безопасности. Также, как и недопустимо хранение паролей в обычном текстовом файле. В случае получения доступа к вашему ПК, злоумышленник без труда получит данные и из файла со всеми паролями. Одним из вариантов решения этой проблемы может стать шифрование файла. Гораздо лучше будет использовать специальные программы, предназначенные для хранения паролей. Они сами шифруют ваши пароли и предоставляют к ним удобный доступ. Также, в большинстве случаев эти сервисы могут синхронизироваться между устройствами: LastPass, Enpass, Bitwarden. #security

​💉 Разработчики Python-фреймворка Django исправили уязвимость внедрения стороннего SQL-кода Разработчики опубликовали корректирующие версии фреймворка Django 4.0.6 и 3.2.14, в которых исправлена уязвимость CVE-2022-34265. Она потенциально позволяла выполнить подстановку стороннего SQL-кода. Возможная уязвимость SQL Injection присутствовала в основной ветке Django, а также в версиях 4.1 (в настоящее время в бета-версии), 4.0 и 3.2. Проблема затрагивала приложения, которые использовали непроверенные внешние данные в параметрах kind и lookup_name, передаваемых в функции Trunc(kind) и Extract(lookup_name). Те программы, которые допускают использование только проверенных данных в значениях lookup_name и kind, не пострадали. Разработчики запретили использовать в аргументах функций Extract и Trunc символы, отличные от букв, цифр и специальных символов. Ранее, в передаваемых значениях не вырезалась одинарная кавычка, и это позволяло злоумышленнику выполнить свои SQL-конструкции. В версии 4.1 разработчики дополнительно усилят защиту методов работы с датами. Однако, изменения в API могут привести к нарушению совместимости со сторонними бэкендами для работы с базами данных. 🗞 Блог Кодебай #news #python #web

​📱 Россиян предупредили о вирусах в VPN-сервисах Ведущий инженер компании CorpSoft24 Михаил Сергеев рассказал, что многие VPN-сервисы могут содержать вирусы, которые используются для майнинга криптовалют. «У этого есть свои побочные эффекты: если приложение VPN-сервиса содержит вирус, который майнит крипту, то при подключении у мобильного устройства будет высокая загрузка CPU, что приведет к нагреву телефона, быстрому расходу аккумулятора, повышенному трафику и прочим неприятным особенностям», — сообщил инженер. Также, не стоит забывать, что VPN-сервисы влияют на потребление интернет-трафика даже при обычной работе. Речь идёт об 1-2%, однако, если это критично для пользователя, то лучше удалить VPN. Передаваемые данные шифруются и провайдер в трафике сможет увидеть только обращение компьютера пользователя к IP VPN-сервера. Это, конечно же, незначительно увеличивает объем данных за счет шифрования трафика, а значит и уменьшает скорость сети. 🗞 Блог Кодебай #russia #vpn

​Злой сканер, как написать инструмент что всегда под рукой В течении нескольких месяцев при активных тестах на проникновения я очень часто сталкивался с проблемой наличия под рукой быстрых программ. Чтобы можно было не запуская вторую OS (linux) быстро провести анализ. В моем случае это сканирования. Поэтому для решения данной проблемы пришлось прийти к написанию своей программы. Да, скорее всего таких софтов будет очень много, но у каждого есть свое преимущество. В нашем случае, что будет рассмотрен далее это скорость и постоянное наличие под рукой. Данная статья крайне полезна новичкам и тем кто не знаком с Python. Приступим. 📌 Читать далее #python #scanner

​[WEB VULN SCANNER] Arachni Выдалась минутка и я решил посвятить её очень беглому обзору весьма интересного инструмена для веб аудита - Arachni. На данный момент мы имеет сам фреймворк версии 2.0 и веб морду к нему версии 1.0 📌 Читать далее #web #scanner

​🔎 Госдума приняла поправки о передаче биометрии без согласия субъекта персональных данных Комитет Госдумы по информационной политике на недавнем заседании одобрил поправки в проект о закреплении режима оборота персональных данных, предусматривающие возможность передачи таких сведений в единую биометрическую систему без получения на это согласия. Одна из поправок предполагает возможность передачи собранных в финансовых информационных системах и других организациях биометрических персональных данных в единую биометрическую систему без получения согласия субъекта данных. Уточняется, что факт передачи данных будет фиксироваться уведомлением. Как уточнили в комитете, механизм будет способствовать расширению применения технологии биометрического эквайринга — безналичной оплаты. Поправки предполагают перенос срока вступления закона в силу с 1 сентября 2022 на 1 марта 2023 года. 🗞 Блог Кодебай #russia #law