Sekurak - piszemy o bezpieczeństwie

Po raz drugi w historii pojawimy się w Gdańsku. Na wydarzenie zapraszamy programistów, testerów, adminów oraz wszystkie osoby które chcą spotkać się z żywym bezpieczeństwem IT :) Termin: 06.06.2019 r. Miejsce: Uniwersytet Gdański – Wydział Nauk Społecznych Audytorium S-208, ul. Jana Bażyńskiego 4, 80-309 Gdańsk Rozpoczęcie: 18:00 (można być już 17:30)….

Ostatnio ciekawą informację przekazał twórca hashcata: Support for PKZIP Master Key added to with an insane guessing rate of 22.7 ZettaHash/s on a single RTX 2080Ti. All passwords up to length 15 in less than 15 hours with only 4 GPUs! Czym jest PKZIP? Jest to pierwszy program, który wprowadził…

Kolejne sekurak hacking party mamy we Poznaniu. Zapraszamy!

Kolejne sekurak hacking party zaplanowaliśmy we Wrocławiu. Termin: 20.05.2019 r. Miejsce: Wrocław, Multikino, Pasaż Grunwaldzki, plac Grunwaldzki 22, 50-363 Wrocław

Jakiś czas temu pisaliśmy o takiej technice w kontekście Tesli. Kradzież wykorzystuje fakt, że w nowoczesnych autach często wystarczy w pobliżu samochodu sygnał z kluczyka – wtedy samochód można otworzyć i uruchomić. Ale przecież kluczyk jest w kieszeni spodni właściciela! To nic, można wzmocnić sygnał odpowiednim urządzeniem i przesłać go…

Podczas pracy pentestera aplikacji internetowych można spotkać się z wieloma ciekawymi przypadkami błędów popełnianych przez twórców oprogramowania. Kategorie wykrywanych błędów są bardzo różne, począwszy od brakujących nagłówków bezpieczeństwa, aż po dramatyczne dla właściciela usługi zdalne wykonanie kodu.

Rozwiązania z dziedziny bezpieczeństwa starają mitygować zagrożenia, które pojawiają się w świecie aplikacji internetowych. Jednym z przykładów takich działań jest możliwość dodania do ciasteczek HTTP flagi SameSite. Sprawdźmy, jak działa SameSite oraz przed jakimi niebezpieczeństwami może nas ochronić.

Gearbest to jeden z największych sklepów w Internecie (ma też polską wersję strony) – dokładniej jest na 255 miejscu wśród najbardziej popularnych globalnie witryn (odliczając serwisy newsowe, Google, inne wyszukiwarki, czy Wikipedię – to naprawdę wysoka pozycja).

Pewnie wielu z Was korzysta z takiego rozwiązania: szyfrowanie dysku Bitlockerem z kluczem zaszytym w TPM. Jest to wygodne, bo przy starcie systemu nie trzeba wpisywać dodatkowego hasła, a jeśli ktoś ukradnie sprzęt to po wyciągnięciu dysku widzi tylko zaszyfrowane dane – klucz jest w TPM i nie da się go wyciągnąć. No właśnie – czy to ostatnie jest prawdą?

Duże firmy zapewne taką dokumentację już mają. Małe – na pewno nie, średnie – różnie z tym bywa. W każdym razie udostępniamy zupełnie bezpłatnie dokumentację: Reagowanie na incydenty bezpieczeństwa IT. W założeniach dokumentacja miała być maksymalnie kompaktowa i możliwa do szybkiego wdrożenia (w tym modyfikacji oraz rozbudowy) w małej/średniej firmie….

Badanie polegające na zatrudnianie realnych programistów do realnej pracy (nie pod pozorem „badania”). Prosta aplikacja miała m.in. przechowywać hasła użytkowników. Wypłata – do 200 EUR.

Modelowanie zagrożeń, dokumentacje przydatne programistom w kontekście bezpieczeństwa, włączanie automatycznych narzędzi wspierających bezpieczeństwo w cykl tworzenia oprogramowania oraz typowe problemy bezpieczeństwa w procesie…

Nagłówki HTTP, URL, URI, żądania, odpowiedzi, kodowanie procentowe, formularze HTML, parametry przesyłane protokołem HTTP, różne implementacje serwerów HTTP skutkujące problemami bezpieczeństwa – to tylko kilka elementów, którymi zajmę się w tym tekście.

Najnowszy dokument dostępny jest tutaj. W największym skrócie jest to duża checklista podzielona na obszary (architektura, walidacja wejścia, uwierzytelnienie, obsługa błędów, …). W każdej z nich znajdziecie masę zaleceń służących zwiększeniu bezpieczeństwa aplikacji webowej. Co zmieniło się w porównaniu do poprzednich wersji? Jak sami autorzy dość górnolotnie piszą: New in…

Mowa o sprzęcie izraelskiej firmy Cellebrite. Tego typu urządzenia są sprzedawane w cenie $6 000+ i służą do zapewnienia dostępu do telefonów, które zostały odebrane np. osobom podejrzanych o przestępstwa. Ale jeśli powiedzmy odpowiednim służbom znudzi się używanie sprzętu – sprzedają je na eBay…