Среди документов опубликованных Эдвардом Сноуденом, бывшим сотрудником ЦРУ и Агентства национальной безопасности США, были обнаружены материалы описывающие некоторые детали технологий шпионажа используемых АНБ. Список программных и аппаратных средств оформлен в виде небольшого каталога. Всего сорок восемь страниц отмеченных грифами «Секретно» и «Совершенно секретно», на которых дано краткое описание той или иной технологии для слежки. Данный список не является исчерпывающим. Представлены техники связанные с получением скрытого доступа к вычислительной технике и сетям, а также способы и устройства радиоэлектронной разведки связанные с мобильной связью и оборудование для наблюдения. В этой статье я расскажу об этих методах шпионажа, далее будет четыре дюжины слайдов(осторожно, трафик).
Category: Информационная безопасность(Страница 22 из 23)
Стандарты и нормативные документы по Информационной безопасности (скачать zip архив)
01-Конституция Российской Федерации
02-Доктрина информационной безопасности
03-Указ Президента РФ от 30 ноября 1995 г 1203
04-Указ Президента РФ от 6 сентября 1997 г 188
05-Федеральный закон от 27 июля 2006 г 149
06-Федеральный закон от 27 июля 2006 г 152
07-Федеральный закон от 29 июля 2004 г 98
08-Федеральный закон от 10 января 2002 г 1
09-ГОСТ Р ИСО_МЭК 15408_1_2002
10-ГОСТ Р ИСО_МЭК 15408_2_2002
11-ГОСТ Р ИСО_МЭК 15408_3_2002
Опубликован обзор, в котором обобщены все сведения о сертификации ФСТЭК, Минобороны и ФСБ различных дистрибутивов Linux в России в сравнении с операционными системами Windows.
В результате получена весьма любопытная информация: операционные системы Microsoft Windows не могут использоваться для обработки сколько-нибудь важной конфиденциальной информации.
Несмотря на это, во многих госорганах закрывают на это глаза, предпочитая не задумываться о последствиях. В результате мы получаем множественные утечки информации и практически нулевую сохранность персональных данных.
С другой стороны, рядом российских компаний проведена колоссальная работа по созданию на базе операционных систем GNU/Linux действительно надежных российских операционных систем.
К сожалению, информация об этом зачастую оказывается неизвестна не только специалистам, которые интересуются данной проблематикой, но и руководителям государственных органов и госпредприятий, которые несут ответственность за сохранность конфиденциальной информации.
Хотя коммерческие организации всегда стремились применять новейшие технологии и не меньшим образом берегли свои секреты — в России они почему-то существенно отстали даже от консервативных военных.
Работа рекомендуется для компаний по внедрению средств защит информации и оказывающих услуги на рынке аттестации автоматизированных рабочих мест.
15 сентября разработчики свободного фреймворка Django в срочном порядке выпустили обновленные версии Django 1.4.8, Django 1.5.4 и Django 1.6 beta 4, чтобы закрыть уязвимость, которую публично разгласили посторонние лица утром того же дня. Все патчи доступны через PyPI (https://pypi.python.org/pypi/Django) и со страницы загрузки (https://www.djangoproject.com/download/).
В новых версиях Django закрывается баг (https://www.djangoproject.com/weblog/2013/sep/15/security/) во фреймворке аутентификации django.contrib.auth, позволяющий осуществлять атаку типа «отказ в обслуживании» (DoS).
Django хранит в базе данных парольные хэши, и они вычисляются каждый раз при попытке пользователя авторизоваться. По умолчанию Django использует стандарт формирования ключа PBKDF2, который осуществляет множество зацепленных вычислений, чтобы максимально усложнить перебор паролей. По этой причине скорость генерации ключа невысока, это вообще один из самых медленных алгоритмов. Так, на процессоре Core2 скорость генерации составляет около 70 в секунду.
К сожалению, эту сложность можно использовать во вред. Django не ограничивает длину текстовых паролей, и пароли исключительно большого размера сильно нагрузят сервер, выполняющий ресурсоемкие вычисления PBKDF2. Например, пароль длиной в 1 мегабайт нагрузит сервер на 1 минуту, так что один-единственный злоумышленник способен повалить большой сервер крупной компании, просто загружая произвольные пароли на произвольные учетные записи. Уязвимости присвоен классификационный номер CVE-2013-1443.
Веб-фреймворк Django используется на таких крупных сайтах, как Instagram, Disqus, Mozilla, The Washington Times, Pinterest и многих других.
В обычных условиях процесс закрытия багов в Django занимает неделю, говорят разработчики. Но это для нормальных ситуаций, когда специалисты по безопасности сообщают об уязвимостях в приватном порядке и можно спокойно работать над заплаткой. Здесь же ситуация была другая: о баге сообщили публично в списке рассылки django-developers (https://groups.google.com/forum/#%21forum/django-developers). Но и закрыть дыру было просто: длину пароля просто ограничили 4096 символами.
Вот еще один год позади и я снова готовлю этот субъективный итоговый материал на тему самых интересных и технологичных вредоносных программ прошлого года.
Ну, что же прошедшей год был весьма интересным и насыщенным, тут было, где развернуться буткит-технологиям и целенаправленным образцам кибероружия. Хотя впрочем, были достаточно интересные экземпляры руткитов семейства Win32/Festi, код которого не рассчитан на выполнение на х64 битных системах ввиду отсутствия механизмов обхода проверки цифровой подписи, но и без этого там нашлось, на что посмотреть. Таким образом, мой Top-5 за прошлый год выглядит следующим образом: