Sekurak - piszemy o bezpieczeństwie

Około 40 świeżych, realnych przypadków podatności w API REST (niektóre raptem sprzed miesiąca), rekonesans API, omijanie restrykcji do metod HTTP, niebezpieczeństwa JWT, wycieki kluczy API, ponad 60 punktowa checklista ułatwiająca sprawdzić swoje API pod względem bezpieczeństwa, ćwiczenia warsztatowe – to tylko kilka punktów które realizujemy na naszych warsztatach z bezpieczeństwa API REST.  

Wykorzystana tutaj została  podatność sprzętowa o nazwie Rowhammer. Przypomnijmy o co w niej chodzi…

Nmap to najbardziej popularny, darmowy skaner bezpieczeństwa, którego autorem jest Gordon Lyon (a.k.a. Fyodor Vaskovich). Pierwsza wersja Nmapa została opublikowana 1. października 1997 roku w internetowym magazynie Phrack. W momencie pisania tego tekstu najnowszą wersją Nmapa jest 7.70. Wersja ta jest wyposażona w 588 skryptów NSE (Nmap Scripting Engine), które…

W poprzednim artykule poruszyliśmy temat podstaw Scapy – narzędzia, które daje możliwość swobodnego generowania pakietów. Jeżeli brzmi to zbyt enigmatycznie, polecam zapoznanie się z wyżej wymienionym artykułem. Zostały w nim omówione podstawy, dzięki którym możliwe jest wskoczenie na kolejny poziom w obsłudze tego narzędzia, czyli pisania skryptów.

Drupal właśnie opublikował łatę na podatność umożliwiającą zdalne wykonywanie kodu na serwerze – bez uwierzytelnienia. Podatność otrzymała ranking 21/24 wg skali Drupala (highly critical).

Sprzęt bez problemu radzi sobie z 4 lub 6 cyfrowym PIN-em na iPhone-ach, a ponoć potrafi też dostać się do nieaktywnych („disabled”) urządzeń.

Różnorodne cele do hackowania, mini sekurak hacking party, dzielenie się wiedzą i super zarobki. Potrzeba czegoś więcej? :-)

W skrócie – w poniższym artykule chcę kompleksowo opisać podstawowe mechanizmy bezpieczeństwa, które powinny być świadomie zaimplementowane przez developerów w każdym projekcie webowym zrealizowanym w technologii .Net.

Sekurak Hacking Party Poznań, 28.02.2018r., 14:30, czas trwania, 2,5-3h – zapisy ruszyły :-) Prawie 3 godziny hackowania na żywo!

Myślę, że dla większości osób żywo zainteresowanych usługami chmurowymi nie jest tajemnicą fakt, że nasz lokalny rynek nie rozwija się tak szybko, jak te zachodnie. Generalnie powód jest oczywisty: jako cała gospodarka nadrabiamy stracone lata uwikłania w systemy, o których wiele możemy powiedzieć, ale na pewno nie to, że były…

Dokładnie 5 lat temu pojawił się pierwszy tekst na sekuraku: „Łamanie haseł z wykorzystaniem CPU/GPU” uzupełniony szybko tematyką konfiguracji OpenVPN-a oraz monstrualną serią: Kompendium bezpieczeństwa haseł.

Idąc za ciosem naszego sekurak hacking party (uczestniczyło > 400 osób) organizujemy kolejną edycję już 26 lutego 2018 roku w Krakowie.

W maju 2018r. zacznie obowiązywać nowa regulacja dotycząca ochrony danych osobowych (tzw. RODO / GDPR). Brzmi nudno i jak nieprzyjemny obowiązek? Niekoniecznie, Maciek Pokorniecki na sekurakowym szkoleniu opowiada z pasją, pomysłami jak tematykę danych osobowych przekuć ogólnie na podniesienie bezpieczeńtwa firmy, śledzi też na bieżąco postępy z polską implementacją ustawy (której finalnej wersji jeszcze nie mamy…).

Zapraszamy na kolejne Sekurak Hacking Party – tym razem działamy 15 stycznia 2018 roku, start 17:30 – bezpłatnie na wydarzenie może przyjść każdy, kogo interesuje bezpieczeństwo IT lub jest czytelnikiem Sekuraka :-)

FAQ: 1. Czy jestem podatny? Najprawdopodobniej tak. To tłumaczenie pierwszego często zadawanego pytania dotyczącego podatności Meltdown & Spectre. Do sprawy przygotowali się panowie z Google, zgodnie z założeniami – „pokaż exploit to ci uwierzę”.