infosec

• Есть старое правило: если можно сделать быстро и удобно, кто‑то обязательно сделает это в ущерб безопасности. В инфраструктурных командах это особенно заметно. Сетевики часто решают задачи «с лёту», и это прекрасно. Пока речь не заходит про пароли. Один из таких случаев стал для автора данного материала хорошим уроком...

• В этой статье описана ситуация, когда сотрудники сопровождения передавали пароль по SSH. В открытом виде.

• Почему это проблема:
➡Передача пароля в аргументах — это классический антипаттерн.
➡Аргументы команд видны в ps, /proc/[PID]/cmdline, Task Manager.
➡Они могут попасть в логи CI/CD.
➡Мониторинг и аудит тоже их подхватят.
➡Многие утилиты (sshpass, plink, WinSCP CLI, rsync, mysql, curl, mRemoteNG) позволяют так передавать пароль — и это соблазн для быстрого «костыля».

• В итоге получить пароль можно даже не трогая сам SSH, что может привести к утечке. Подробности по ссылке ниже:

➡️ Читать статью [3 min].

• P.S. Рекомендую обратить внимание на комментарии, там можно найти полезные советы и рекомендации.

#ИБ #SSH

🖥 12 августа – уникальная дата в мире IT: 44 года назад появилась первая массовая персоналка от IBM и MS-DOS.

• В 70-е годы XX века компания IBM ориентировалась в основном на корпоративный рынок, считая, что ограниченный спрос на ПК не позволит построить серьезный бизнес. Однако бурный рост популярности персоналок Altair 8800, Commodore PET, Sinclair Mk14 и Atari 400/800, которым на пятки наступала Apple со своей продукцией, заставил крупные корпорации шевелиться. В 1980 году IBM начало разработку собственного настольного ПК, и 12 августа 1981 года IBM PC 5150 был представлен публике. Это изделие стало первым компьютером в сверхпопулярной линейке IBM PC. Наступила эпоха тотальной компьютеризации человечества, флагманом которой стали машины на базе архитектуры х86.

• Основной целью, которую руководство IBM поставило перед своими инженерами, было создание компактной и универсальной персоналки, быстродействие и производительность которой позволили бы использовать такую машину как на крупных предприятиях, так и в мелком бизнесе, а при желании и наличии достаточных средств — даже дома. И эта задача была решена. Сердцем IBM PC 5150 стал процессор Intel 8088, работавший на частоте 4,77 Мгц, при этом машина была оборудована оперативной памятью объемом от 16 до 64 Кбайт, которую можно было увеличить путем установки дополнительной платы расширения до 256 Кбайт.

• Подходящего по габаритам для компактного корпуса компьютера жесткого диска у IBM не нашлось, да и питания для него не хватало, потому в качестве накопителя машина использовала два 5-дюймовых дисковода.

• Первая модель IBM PC комплектовалась монохромным дисплеем IBM 5151, однако позже в производственную линейку добавился цветной монитор IBM 5153, при этом компьютер поддерживал одновременно два стандарта видео: MDA и CGA. Первый обеспечивал вывод монохромного текста с высоким разрешением, но не мог отображать больше ничего, а второй выводил цветную графику и текст со средним и низким разрешением.

• В качестве операционной системы персоналка использовала PC DOS 1.0 и CP/M-86. Однако в этот же день, 12 августа 1981 года, состоялось еще одно знаковое событие, впоследствии буквально перевернувшее компьютерную индустрию с ног на голову. А именно, никому не известная компания Microsoft выпустила на рынок операционную систему MS-DOS, которую стали массово устанавливать на IBM-совместимые ПК. При этом сама MS-DOS 1.0 представляла собой по большому счету переименованную 86-DOS, которую Билл Гейтс купил за 75 000 долларов у разработчика Тима Патерсона из Seattle Computer Products. А та, в свою очередь, являлась портированной для процессоров Intel усовершенствованной версией CP/M от Digital Research.

• Компьютер был очень благожелательно встречен публикой. Еще до его официального выхода компьютерные издания хором восхищались заявленными характеристиками ПК, а после поступления машины в продажу появилось множество хвалебных обзоров, авторы которых буквально восхищались инженерными решениями, производительностью и возможностями IBM PC. Уже в первый год было продано более 130 000 экземпляров этого компьютера, а поскольку он был разработан на базе открытой платформы, вскоре появились многочисленные клоны, выпуск которых наладили Compaq, Eagle Computer, Handwell Corporation и другие компании. Фактически, из главных конкурентов IBM PC среди несовместимых платформ на рынке 80-х осталась только линейка Apple Macintosh.

• Персональный компьютер IBM PC (5150) стал одним из самых популярных ПК в мире, а IBM PC — превратился в стандарт. Большинство современных персональных компьютеров являются дальними потомками и прямыми наследниками этой уникальной машины. Так то...

#Разное

Открытый практикум Linux by Rebrain: Bash скрипты

После регистрации мы отправим вам подарок! Вы сможете найти его в ответном письме.

👉Регистрация

Время проведения:

20 августа (среда) в 20:00 по МСК

Программа практикума:

▪️Cпособ выполнения скрипта
▫️Параметры скрипта
▪️Переменные окружения

Кто ведёт?

Андрей Буранов — системный администратор в департаменте VK Play. 13+ лет опыта работы с ОС Linux. 11+ лет опыта преподавания. Входит в топ-3 лучших преподавателей образовательных порталов.

Бесплатные практикумы по DevOps, Linux, Networks и Golang от REBRAIN каждую неделю. Подключайтесь!


Реклама. ООО "РЕБРЕИН", ИНН: 7727409582, erid: 2W5zFJG63VA

• Нашел хорошую заметку с всевозможными ресурсами (курсами, CTF, карьерными треками, документацией и всего прочего) для старта карьеры в ИБ.

• Заметка будет крайне полезна не только студентам, но и уже практикующим специалистам. Забирайте по ссылке ниже и добавляйте в закладки:

➡️ https://www.notion.so/ib

#ИБ

📶 Разработка TCP.

• Винтон Сёрф – человек, которого именуют «отцом Интернета». А ещё учёный, изобретатель, программист, руководитель и переговорщик, любитель классической музыки и бывший виолончелист. За 82 года своей жизни Сёрф успел приложить руку к коммерциализации мировой сети, проектированию Межпланетного Интернета, руководил развитием коммерческой электронной почты, а еще принял участие в разработке протоколов TCP/IP, сделавших возможным современный Интернет. Как раз о TCP сегодня и поговорим...

• Начнем с того, что Винтон присоединился к IBM в 1965 году в качестве системного инженера. Он работал над системой распределения времени Quiktran для IBM 7044. Если в двух словах, то эта программа позволяла тестировать или запускать одновременно до 40 разных программ на одном компьютере. Сёрф был участником проекта на протяжении двух лет, когда понял, что знаний о вычислительной технике, полученных во время бакалавриата, ему недостаточно.

• Итак, Сёрф уезжает в Калифорнийский университет, где ранее получил степень магистра, доктора наук и занимался исследованием возможностей сети ARPANET. В марте 1973 года с Сёрфом связался Роберт Кан, недавно перешедший в DAPRA, и предложил поработать вместе. Инженеры уже были знакомы: в аспирантуре они вместе моделировали ПО для компьютеров, связанных сетью ARPANET.

• Полгода молодые учёные занимались разработкой TPC – протокола управления передачей, который должен был решить проблему направления сообщений в разные сети. До этого момента ARPANET объединяла стационарные компьютеры, но будущее диктовало свои условия – к сети должны быть подключены устройства, размещённые и в транспорте (на кораблях, самолётах и др.) Проект стандарта был опубликован в конце 1973-го, а первый запуск состоялся два года спустя.

• Цель работы Кана и Сёрфа заключалась в том, чтобы унифицировать протоколы и программное обеспечение. Любой компьютер должен был стать частью большой сети, не имеющей центрального контроля.

• Технология TCP позволила отправлять большие потоки данных, разбивая их на сегменты, которые впоследствии «соберутся» в единый файл на устройстве получателя. Защитой от потери сегментов является механизм подтверждения получения данных – приняв информацию, получатель реагирует на неё подтверждением, и, если оно спустя время не пришло, сегмент отправляется повторно.

• С момента публикации проекта прошло десять лет – и 1 января 1983 года Интернет был запущен в том виде, в котором мы знаем его сегодня. Несмотря на это, быстрый органический рост сети начался лишь шесть лет спустя, когда Интернет перестал быть исключительно академическим и военным и вошёл в коммерческую нишу.

• Кстати, выражение «сёрфить интернет» по забавному совпадению созвучно с фамилией «отца Интернета» Винтона Сёрфа. Однако, произошло оно от английского слова «surf», тогда как фамилия учёного пишется «Cerf».

#Разное

• Вот так неожиданность: по информации ИБ специалистов МТС, в мессенджере Max появились первые мошенники, которые тестируют новые схемы обмана пользователей.

• Если мошенничество связано со звонками, то это плохие новости, ведь злоумышленники могут дозвониться до вас даже в том случае, когда вы едете в лифте, находитесь на парковке и других "труднодоступных" местах... Будьте осторожны и предупредите близких.

➡️ Источник.

#Новости

• Так вот что означает «ручное обновление»...

#Юмор

📶 Telnet.

• Когда создавался протокол Telnet, об аспектах безопасности практически никто не задумывался. До массового распространения персональных компьютеров было минимум десятилетие, а вот идея создать простой протокол для удаленного управления была очень востребована.

• Системы того времени чаще всего работали с компьютерными терминалами, специализированными девайсами, совмещающими в себе дисплей, клавиатуру и часто указательные устройства, вроде трекбола, мыши или светового пера.
Некоторые производители предусматривали подключение нескольких таких терминалов к одному компьютеру, что давало возможность одновременной работы множества пользователей.

• Примерно в то же время была придумана концепция виртуального терминала (Virtual TTY). Это программный интерфейс, который полностью имитирует поведение настоящего устройства. Такая абстракция позволила отвязать пользователей от конкретного «железа» и бонусом дать возможность работать за терминалом без необходимости его физического подключения.

• Telnet был спроектирован как раз для решения этой задачи. В самом названии протокола заложен его смысл — TELecommunications NETwork, то есть сеть телекоммуникаций. Некоторые исследователи предлагают иную, неофициальную, расшифровку аббревиатуры — Teletype Over Network Protocol. Истина, вероятно, где-то посередине.

• С возложенной на него миссией Telnet справился великолепно. Пользователи получили доступ к виртуальным терминалам прямо по сети. Это сильно расширяло возможности построения распределенной вычислительной инфраструктуры. Поддержку этого протокола постарались реализовать буквально везде — на тот момент наличие клиента Telnet было само собой разумеющимся явлением.

• Почему же мы сейчас администрируем серверы и настраиваем роутеры по SSH, а не через Telnet? Увы, этот протокол не предусматривал никакой защиты или шифрования. Все данные передаются по сети в открытом виде, даже если это логины или пароли. Получается, что Telnet бесполезен для любого применения, где необходима хотя бы минимальная конфиденциальность. Это и поставило жирный крест на его массовом использовании.

• Парадоксальным образом практически все вендоры сетевого оборудования продолжают поддерживать его и добавлять в свои продукты. В первую очередь это сохраняет обратную совместимость. Многие промышленные и военные системы были созданы для использования Telnet, и их модернизация попросту нерентабельна. Такие заказчики будут вынуждены искать современные устройства с поддержкой древних протоколов, и это меняет правила игры.

• Вторая причина звучит хуже. Сейчас дешевизна разработки и скорость выхода на рынок всегда имеют приоритет над безопасностью. Так что многие компании предпочитают встраивать в недорогие потребительские устройства простой Telnet, а не более защищенный и сложный в реализации SSH. Его включают на этапе отладки и часто забывают выключать. В итоге десятки тысяч устройств в интернете имеют открытый порт Telnet и не предусматривают никакой аутентификации, что делает их очень легкой жертвой хакеров.

• Но есть у протокола Telnet одно применение, о котором знают немногие, — его до сих пор используют радиолюбители для передачи публичных данных о выходящих в эфир радиостанциях. Так то...

#Разное

Хотите в кибербезопасность, но не знаете, с чего начать? Или уже в ИБ и хотите усилить скиллы? У нас есть всё.

3 топовых направления на август:

🟧Active Directory: Пентест инфраструктуры
Научитесь атаковать и защищать ключевой элемент большинства корпоративных сетей.
Старт — уже 18 августа!

🟧Профессия Пентестер
Полный путь в этичный хакинг: теория + практика + портфолио.
⚠️ Успейте с выгодой до 17% до конца августа!

🟧Пентест веб-приложений (WAPT)
Научитесь взламывать сайты и находить уязвимости как в Bug Bounty.
⚠️ Сэкономьте до 17%, оплатив курс WAPT в августе!

Курсы ведут действующие пентестеры — победители the Standoff. До встречи в наших лабораториях! 😎

🚀 Написать в Telegram