• Интересный инструмент с текстовым интерфейсом - Dive, который позволяет визуально исследовать каждый слой вашего образа. Вы можете "пощупать" файловую систему контейнера на каждом этапе его сборки.

• Выглядит это так: перед вами открывается экран, разделённый на две основные части. Слева вы видите список слоёв. Справа отображается дерево файлов текущего выбранного слоя.

• Одной из полезных функций является подсветка изменений. Вы можете переключаться между слоями, и программа будет показывать, какие файлы были добавлены, изменены или удалены именно на этом шаге. Dive автоматически анализирует эффективность образа и показывает метрику Wasted Space (потраченное впустую пространство). Это происходит, когда вы, например, копируете файлы в одном слое, а удаляете их в другом. Фактически файлы остаются в истории образа, занимая место, хотя в финальной файловой системе их нет.

https://github.com/wagoodman/dive

• Еще больше полезных инструментов можно найти в статье: 6 Docker-фич для продвинутого использования [Часть 1], [Часть 2].

S.E. ▪️ infosec.work ▪️ VT

Практический курс по повышению осведомленности сотрудников и культуры безопасности - Security Awareness

Курс для развития осознанного поведение сотрудников и снижения числа инцидентов, вызванных человеческим фактором.

Одной фишинговой рассылки и обучения в год недостаточно. Нужен системный подход через построение культуры кибербезопасности, чтобы люди в компании были не точкой входа для атаки, а первым барьером на её пути.

Результаты освоения курса:
⚡️Узнаете основные методологии и подходы к построению программ осведомленности (NIST, SANS и др.);
⚡️Научитесь измерять эффективность и результативность процесса: метрики, индикаторы зрелости;
⚡️Поймете, как строить Security Awareness в корпоративной среде.

📅 Старт: 26 июня
⏳ Длительность: 4 недели
Удостоверение о повышении квалификации с внесением в федеральный реестр.

👉🏼 Узнать больше о курсе

• В конце 70-х во Франции создали информационную систему видеотекста Minitel, после похожая система Prestel заработала в Великобритании. А в 1980 г. изобретатель Майкл Олдрич придумал Teleputer, который состоял из 14-дюймового телевизора, модема с автонаборщиком номеров и микрокомпьютера на основе процессоров Zilog Z80, который использовал операционную систему CP/M.

• В 1983 г. французский магазин Trois Suisses занёс текст из своего каталога в компьютер и выставила это в Minitel. В 1984 г. телепьютер Олдрича начали использовать три ритейлера Tesco, Greggs и Lloyds Pharmacy. Это позволило потребителям выбирать продукты в местных супермаркетах через телевизор и отправлять свой заказ по телефонной линии. Именно с того момента и началась эра онлайн-продаж.

• После к уровню электронной коммерции приблизился диалап-провайдер CompuServe. Он в 1984 г. добавил сервис под названием Electronic Mall, который позволял пользователям покупать товары в более чем 100 магазинах через простой интерфейс командной строки.

• Летом 1994 г. калифорнийская пиццерия Pizza Hut запустила сервис доставки PizzaNet. Разработчиком проекта стала компания The Santa Cruz Operation (SCO), которая изначально занималась распространением ОС Unix и консультированием по смежным вопросам.

• Поскольку это был пробный запуск, сайт был довольно простой (на фото). Пользователи могли через форму только указать, какую пиццу они хотят, а также ввести имя, свой адрес и номер телефона. Технически всё держалось на офлайне, потому что подтверждался заказ по телефону, а платёж наличными принимал курьер.

• Примитивный сервис PizzaNet показал другим бизнесменам, что через интернет можно продавать. Однако в то время не было ни безопасности, ни онлайн-оплаты. Эти проблемы через месяц решил NetMarket — сайт, через который разработчик Дэн Кон впервые через онлайн-оплату продал диск Стинга "Ten Summoner’s Tales" своему другу в Филадельфии за $12,48. Операция была зафиксирована как первая интернет-транзакция.

• Интересно, что платёжные данные на сервисе шифровались с помощью программы Pretty Good Privacy (PGP), встроенной в браузер Mosaic.

• С этого момента стало понятно, что интернет может не только принимать заказы, но и проводить реальные платежи. Так и пошло...

S.E. ▪️ infosec.work ▪️ VT

Когда происходит ИБ-инцидент, у компании почти нет времени на ошибки. Именно в первые 60 минут становится понятно, удастся ли локализовать проблему быстро или последствия затронут бизнес, клиентов и репутацию.

26 мая в 20:00 МСК приглашаем вас на открытый урок курса «Директор по информационной безопасности (CISO)». На занятии разберём, как CISO оценивает масштаб инцидента, какие данные нужно собрать в первую очередь и как принимать решения в условиях нехватки информации.

Обсудим, кого подключать к инциденту: ИБ, ИТ, юристов, PR, бизнес-заказчиков и руководство. Покажем, как расставлять приоритеты, какие действия нельзя откладывать и как объяснять ситуацию бизнесу через риски, деньги, простой и последствия для компании. Урок будет полезен руководителям и специалистам по информационной безопасности, ИТ-руководителям, тимлидам и тем, кто готовится к управленческой роли в ИБ.

После занятия вы получите понятный управленческий алгоритм действий CISO в критической ситуации и лучше поймёте, как строится взаимодействие между безопасностью и бизнесом.

Подробности и регистрация: https://otus.pw/hrw0/

Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576

• Очень познавательная статья, автор которой рассказывает про общие принципы построения Wi-Fi - мостов (технические нюансы и практические лайфхаки). Для понимания, если сильно упростить, Wi-Fi радиомост - это две точки доступа, которые смотрят друг на друга узконаправленными антеннами и имитируют обычный "провод", только по воздуху. Но как вообще Wi-Fi сигнал при штатной мощности передатчика в 100 мВт умудряются отправить на десятки километров? Давайте разберемся:

Читать статью [10 min].

• Дополнительно:

Как выглядит современный Wi-Fi и что влияет на его безопасность [Часть 1], [Часть 2] - вы узнаете, как атакуют современный Wi-Fi и какие эффективные методы необходимо использовать для защиты беспроводных сетей.
Большой FAQ про Wi-Fi: хороший чек-лист, который содержит ответы на всевозможные вопросы, которые так или иначе связанны с Wi-Fi. Автор на протяжении 20 лет занимается беспроводными технологиями и начал вести данный список еще в самом начале своей карьеры.
Анализ безопасности Wi-Fi: подробное исследование методологии взлома протоколов WPA2-Personal / Enterprise и WPA3 (какие атаки и уязвимости существуют, и какой инструментарий применяется для их эксплуатации).
Пентест Wi-Fi: полезный чек-лист, который содержит актуальные советы и хитрости на тему пентеста Wi-Fi сетей.
Инструменты для пентеста Wi-Fi: продолжение поста выше, статья включает в себя максимально полный список инструментов для анализа защищенности Wi-Fi.
MindMap WiFi Hacking: самая объемная и актуальная MindMap по анализу защищенности Wi-Fi на сегодняшний день.
Useful Wireless Links: учебные пособия, справочники, калькуляторы, софт, гаджеты и многое другое.

S.E. ▪️ infosec.work ▪️ VT

К2 Кибербезопасность запускает серию стримов для ИБ-специалистов

5 встреч в прямом эфире
5 наболевших тем ИБ-комьюнити

🎙 Среди гостей — спикеры из К2 Кибербезопасность, Яндекс, Luntry и других компаний.

Обсудим развитие контейнеров, ИИ и ИБ, безопасную разработку, ТОП навыков для роста ИБ-инженера, а также взгляд бумеров и зумеров на безопасность.

Старт 28 мая в 19:00 (мск). Регистрируйтесь по ссылке, чтобы не пропустить новые выпуски 🔗

• В 1987 году произошло много событий, так или иначе повлиявших на развитие информационных технологий: CompuServe разработала GIF-изображения, Стив Возняк покинул Apple, а IBM представила персональный компьютер PS/2 с улучшенной графикой и 3,5-дюймовым дисководом.

• В это же время незаметно обретала форму ещё одна важная часть интернет-инфраструктуры, которая помогла создать Интернет таким, каким мы знаем его сегодня. В конце 1987 года в качестве интернет-стандартов был установлен набор протоколов системы доменных имен (DNS). Это было событием которое не только открыло Интернет для отдельных лиц и компаний во всем мире, но и предопределило возможности коммуникации, торговли и доступа к информации на поколения вперёд.

• История этого конкретного протокола восходит к 1970-м годам. DNS следовал схеме, используемой многими другими сетевыми протоколами того времени, в том смысле, что он был открытым (не зашифрованным). Он также не устанавливал подлинность того, с кем коннектился, и клиент просто верил в любые ответы, полученные в результате запроса. Как выяснилось, 38 лет назад протокол DNS был доверчив до наивности, и любой решительный злоумышленник мог вторгнуться в трафик запросов DNS. Но тогда DNS был всего лишь небольшим экспериментом.

• До 1987 года Интернет в основном использовался военными, государственными учреждениями и представителями научных кругов. В то время Сетевой информационный центр, управляемый SRI International, вручную поддерживал каталог хостов и сетей. Хоть ранний Интернет и был революционным и дальновидным, не у всех был к нему доступ.

• В тот же период сеть Агентства перспективных исследовательских проектов США, предтеча Интернета, который мы сейчас знаем, превратилась в быстрорастущую среду, в связи с чем предлагались новые схемы именования и адресации. Увидев тысячи заинтересованных учреждений и компаний, желавших изучить возможности сетевых вычислений, группа исследователей ARPANET поняла, что им необходим более современный автоматизированный подход к организации системы именования сети для ожидаемого быстрого роста.

• Два пронумерованных информационных документа RFC 1034 и RFC 1035, были опубликованы в 1987 году неофициальной сетевой рабочей группой, которая вскоре после этого превратилась в Инженерный совет Интернета (IETF). Эти RFC, автором которых являлся специалист по информатике Пол В. Мокапетрис, стали стандартами, на основе которых была построена реализация DNS. Именно Мокапетрис, занесённый в 2012 году в Зал славы Интернета, конкретно предложил пространство имён, в котором администрирование базы данных было чётко распределено, но могло также и развиваться по мере необходимости.

• Помимо предоставления организациям возможности вести свои собственные базы данных, DNS упростила процесс соединения имени, которое могли запомнить пользователи, с уникальным набором чисел — IP-адресом, — который необходим веб-браузерам для перехода на веб-сайт с использованием доменного имени. Благодаря тому, что не нужно было запоминать, казалось бы, случайную последовательность чисел, пользователи могли легко перейти на нужный сайт, и всё больше людей по всему миру могли получить доступ к сети.

• Благодаря совместной работе этих двух аспектов - широкого распространения и сопоставления имен и адресов - DNS быстро приобрела свою конечную форму и превратилась в ту систему, которую мы знаем сегодня.

S.E. ▪️ infosec.work ▪️ VT

• Хороший материал по интерфейсу командной строки Linux. Отмечу, что я уже делился этим списком ранее, но у автора появилось несколько новых статей и поэтому это хорошая возможность напомнить вам о данной подборке и других полезных разделах:

Оболочки Linux - общие сведения об оболочках (shell) Linux. Что такое оболочка пользователя, наиболее распространенные оболочки, интерпретация командной строки;
Основы работы в оболочке bash - основы синтаксиса сценариев и встроенные команды оболочки bash;
Основы командной строки в Linux - работа в терминале Linux для начинающих. Как получить подсказку по использованию команд. Как выключить или перезагрузить компьютер. Как посмотреть список процессов и снять зависший. Приоритеты и их изменение из командной строки;
Аналоги команд Windows и Linux - таблица функционального соответствия основных команд командной строки Windows и Linux;
Список наиболее распространенных команд Linux - Перечень наиболее часто используемых команд Linux с кратким описанием и характерными примерами;
Команда export - экспорт переменных окружения и функций в дочерние процессы;
Возможности и настройки команды sudo в Linux - назначение и порядок использования команды sudo. Как выполнить запуск программы с привилегиями суперпользователя, обычным пользователям Linux без ввода пароля root. Примеры настроек содержимого конфигурационного файла /etc/sudoers;
Получение сведений об оборудовании в командной строке Linux - способы получения сведений о компьютерном оборудовании и практические примеры использования команд dmidecode, lspci,lshw и др.
Работа с архиватором tar в Linux - краткое описание и примеры использования архиватора tar для создания резервных копий файлов и каталогов в Linux.
Обновление базы данных часовых поясов в Linux - настройки системного времени в Linux и обновление базы данных часовых поясов публикуемых на сайте международной организации IANA (The Internet Assigned Numbers Authority) в разделе Time Zone Database.

• Дополнительно:

Linux и Windows на виртуальных машинах.
Совместное использование Linux и Windows.
Оборудование и Linux.
Прочее.

S.E. ▪️ infosec.work ▪️ VT

Хотите работать там, где от решений зависят миллионы?

Мошенничество — это сложные схемы, продуманные алгоритмы, десятки подставных транзакций и тысячи строк логов.
Антифрод-аналитики ловят мошенников до того, как те доберутся до денег.

Кто такой антифрод-аналитик?
Это специалист, который анализирует финансовые операции, выявляет подозрительные паттерны и выстраивает защиту бизнеса от потерь.

Где нужны такие специалисты?
в банках и финтех-компаниях
на e-commerce-платформах
в страховых и онлайн-сервисах.
Средняя зарплата по рынку — от 130 000 ₽, и спрос растёт ежегодно.
Рынку не хватает специалистов, умеющих работать с реальными данными и антифрод-системами.

Ждем вас на первом потоке курса «Антифрод-аналитик»!
ПОДРОБНЕЕ

Онлайн-программа, созданная экспертами из индустрии.
За 4 месяца вы пройдёте путь от нуля до Junior-специалиста.

Что освоим на практике:
Аntifraud-анализ и работу с транзакционными данными
Поиск аномалий и моделирование рисков
Python, SQL, Tableau и Excel
Анализ логов и событий безопасности
Построение антифрод-систем с нуля

На курсе вас ждут живые вебинары с авторами, реальные кейсы банков и e-commerce.

Успейте записаться до 1 июня!

Как устроены мобильные номера.

• Начнем с истории. Самые первые телефоны были предназначены только для конкретных домов и соединялись непосредственно напрямую. Так как прокладывать связь дорого, их использовали либо правительственные органы либо богатые люди. Так как телефония начинает активно развиваться почти сразу же приходит мысль, что соединять телефоны напрямую не разумно, гораздо лучше иметь центр, к которому подключены множество телефонов и данный центр может переключать вас с телефоном, по его номеру. Так появляются телефонистки, которые вручную переключает вас по номеру телефона.

• Так собственно и появляется самая первая нумерация в Англии, США и т.д. Но в самом начальном этапе нумерация была децентрализована, не существовало никого стандарта номеров телефонов, как правило это были трехзначные номера, например 867, так как телефонов было довольно мало. И совсем немного времени проходит как уже телефонные линии покрываются почти повсеместно, но так как каждая страна ведет собственную нумерацию, нет возможности позвонить за рубеж, тогда то и возникает идея создание единого стандарта, которому подчинялись бы все люди мира, чтобы у каждого человека был свой уникальный номер, по которому можно дозвониться.

• E.123 и E.164 именно под такими номерами Международный Консультационный Комитет по Телефонии и Телеграфии разработал рекомендации согласно которым мы устанавливаем номера и по сей день. Первое правило, все номера в международном формате, без исключения начинаются со знака +.

• После знака + идут следующие цифры, которые указывают страну, что и называется кодом страны. Длина может доходить до 6 цифр, но как правило это занимает одну две или три цифры. Основная идея заключается в том, чтобы каждой стране раздать свой номер, внутри которого также есть множество номеров. Как распределить эти номера должно решать правительство данной страны. Как вы видите на карте выше, было принято решения поделить весь мир на 9 частей в соответствии с географической принадлежностью страны, код страны будет начинаться на эту цифру.

• Кстати, если вы наберете +8, то вы позвоните в Китай, либо Японию. Но если вы наберете 8 без плюса, то вы также попадаете в Россию. Это было сделано еще в СССР для удобства, чтобы не искать в телефоне знак плюс, для внутренних звонков, если оператор получает от вас телефон без знака плюс с 8, то просто меняет его на +7, но это работает только в России и по сей день. Если вы попробуете набрать такой номер телефона в другой стране, оператор просто скажет что номер некорректный, либо обработает не так как вы ожидаете.

• После кода страны идет номер телефона. Таким образом, что для каждой страны мы имеем столько номеров, что хватает на каждого человека проживающего в этой стране.

• У каждой страны есть примерно по 10 миллиардов номеров. Формально правительство страны само решает как распоряжаться этими номерами и кому их выдавать, но тем не менее также в выше сказанных рекомендациях E.123 E.164 было рекомендовано использовать всем странам первые 3 цифры из 10 для обозначения региона. Так как каждая страна делится на части, например Россия на субъекты, США на штаты, Италия на провинции и т.д. Количество деления в каждой стране не превышает 1000. Следовательно 3 цифры, в которой можно пронумеровать 1000 номеров, хватает с головой. И данной рекомендации прислушались и выполнили почти все государства, правда в некоторых местах используются первые 4 цифры для обозначения региона.

• Последние семь цифр указывают уникальный номер каждого абонента. Если кто-то помнит или знает, раньше были домашние телефоны и как правило там номера были из семи, шести или пяти цифр. Лично у меня было 5 цифр (4-33-28). На самом деле при наборе такого номера оператор автоматически дописывал вначале двойки или шестёрки, чтобы цифр стало семь, затем приписывает номер региона в котором ты находишься затем приписывает код страны в которой ты находишься и по итогу ты просто звонишь в собственный город абоненту номер которого ты указал.

S.E. ▪️ infosec.work ▪️ VT

• Очень крутое и актуальное, на текущий момент времени, пошаговое руководство по созданию собственного сервиса для видео и аудиозвонков, что позволит оставаться на связи с семьей в любой момент времени.

• По итогу мы получаем решение, которое:

Работает из одного бинарника — скачал, запустил, работает. Нужен Root, чтобы биндить порты <10K, можете собрать из сорцов (предложения по выпиливанию необходимости рута приветствуются);
Автоматически настраивается — сертификаты, ключи, TURN-сервер всё генерируется само;
Работает за NAT — встроенный TURN-сервер обеспечивает соединение даже в сложных сетевых условиях;
Шифрует всё, кроме TURN — HTTPS + DTLS-SRTP для полной защиты;
Не требует внешних зависимостей — всё работает локально на вашем сервере;
Дешёвое в эксплуатации — нужен только домен (~500₽/год) и VPS (~200₽/месяц).

• Вся необходимая информация по реализации такого решения есть на хабре и на github.

S.E. ▪️ infosec.work ▪️ VT

Приглашаем на бесплатный вебинар «Резервное копирование: как проверить готовность к реальному инциденту»

Резервные копии есть у всех. Но когда случается реальная атака шифровальщика, выясняется, что восстановить инфраструктуру в нужные сроки невозможно. Критические ошибки в backup-защите обнаруживаются именно тогда, когда исправлять уже поздно.

На мероприятии директор техдепартамента RTM Group и гендиректор MEDOED Фёдор Музалевский разберет:
почему работающая система резервного копирования может не спасти бизнес;
как проверить backup-защиту (порядок действий и чек-лист);
какие ошибки встречаются чаще всего — на примере реального кейса аудита.

Вебинар будет особенно полезен руководителям и специалистам по ИБ и ИТ, системным администраторам, отвечающим за резервное копирование, а также всем, кто хочет проверить, как их система защиты работает на практике, а не только на бумаге.

Когда? 21 мая в 12:00 (online).
Участие — бесплатное!

Подробная программа и регистрация — по ссылке.

• Уверен, что многие из вас знают и использовали тулзы SysInternals (Winternals) для администрирования и диагностики Windows! Эти инструменты известны с незапамятных времён. Но не каждый в курсе, что эти незаменимые инструменты написаны вовсе не компанией Microsoft. Скорее наоборот, они написаны вопреки её желанию.

• Все эти инструменты, количество которых составляет более 60, написал Марк Руссинович. Он доказал, что в одиночку способен интеллектуально продавить мегакорпорацию. И той придётся заплатить ему огромные деньги, и даже взять на работу. Потому что повторить его программы Microsoft не сумела…

• Началось всё в 1996 году Марк вместе с Брайсом Когсвеллом соучредили компанию Winternals Software, где Руссинович занимал должность главного архитектора программного обеспечения. Одновременно был запущен сайт sysinternals.com, на котором напарники написали и опубликовали десятки популярных утилит. Все программы поначалу были бесплатными.

• Можно сказать, что утилиты Winternals выставили Microsoft в невыгодном свете. Все ясно увидели, какой функциональности сильно не хватает в операционной системе, каких настроек там нет, что сделано коряво по дефолту. И удивительно, что все эти косяки продемонстрировал по сути один программист. Фактически, Марк знал ядро Windows и умел программировать лучше, чем тысячи разработчиков редмондской корпорации.

• Большинство утилит в базовой версии распространялись бесплатно, но компания продавала профессиональные версии этих инструментов, а также отдельный коммерческий софт для восстановления данных.

• В общей сложности Марк с Брайсом написали более 65 утилит. Судя по всему, даже после основания компании и найма джуниоров они работали ведущими программистами и писали часть кода.

• Сейчас Microsoft продолжает поддержку и обновление многих из этих инструментов, и даже выпускает версии под Linux.

• В июле 2006 года Microsoft купила Winternals Software и все её активы. Марк объявил эту новость в своём блоге и пояснил, что продолжает распространение утилит из комплекта Sysinternals до тех пор, пока Microsoft против этого не возражает.

• Однако не всё пошло гладко. Сразу после сделки с Microsoft с сайта была удалена утилита NT Locksmith для восстановления "забытых" паролей Windows. Вероятно, юристы посчитали, что её можно использовать для взлома, то есть для несанкционированного доступа к компьютерной информации, за что предусмотрена статья в УК.

• Первоначально Марк Руссинович получил должность технического специалиста в подразделении платформ и сервисов Microsoft, в сферу которого входит разработка ядра Windows. Со временем его таланты проявились более очевидно - и к 2014 году он дорос до технического директора в Microsoft Azure.

• Эта история показывает, что большой успех может начинаться с очень маленького дела - одной или простой утилитки, написанной буквально за вечер. Так было и с Winamp, хотя о гениальности Франкеля не идёт и речи, потому что достаточно было набросать GUI и портировать под Windows готовый плеер. Однако с Марком Руссиновичем совершенно другая история. Он действительно проявил себя как высококлассный системный программист, заработал уважение миллионов системных администраторов, которые до сих пор используют его утилиты каждый день. Подобное уважение миллионов людей и собственный талант всегда легко конвертировать в деньги, если есть такое желание.

• Кстати, Брайс Когсвелл уволился в 2010-м, а Марк Руссинович до сих пор работает в Microsoft. Что касается инструментов, то скачать их можно по этой ссылке: https://learn.microsoft.com/en-us/sysinternals/downloads

S.E. ▪️ infosec.work ▪️ VT

• В 1924 году в Женеве собрались представители крупнейших производителей лампочек и основали картель Phoebus. Его цель звучала просто: сократить срок службы ламп ради уверенных объемов продаж. В итоге, инженеры, чья профессия заключалась в улучшении продукции, внезапно получили задачу делать её хуже - но контролируемо хуже. Они разрабатывали стандарты, тесты и даже штрафы за слишком долгую работу ламп.

• Теперь представьте, на дворе 1920-й год (4 года до основания Phoebus). Время, когда электричество перестало быть диковинкой. Лампочки Эдисона, некогда горевшие жалкие 40 часов, теперь, благодаря вольфрамовой нити, достигали 2500-3000 часов свечения. Отдельные экземпляры работали годами: так в парижском отеле "Ritz" люстры светили без замены 8 лет, а на заводах рабочие хвастались лампами, пережившими трех владельцев.

• А вот производители страдали от непредсказуемых продаж. Дело в том, что на рынке существовали тысячи мелких фирм, и выбор покупателя был совершенно непредсказуем. Тот же Osram, продавший в Германии в 1922 году 63 миллиона лампочек, в 1923-м обвалился до 28 миллионов. Глава Osram Уильям Мейнхардт был первым, кто предложил "навести порядок" в индустрии.

• В Phoebus вошли: немецкая Osram, голландская Philips, французская Compagnie des Lampes, американская General Electric, венгерская Tungsram, британская Associated Electrical Industries и японская Tokyo Electric. Официально картель назывался "Конвенция по развитию и прогрессу международной индустрии ламп накаливания". И в этом была заложена огромная ирония, так как настоящая цель была другой - разделить мировой рынок между участниками и установить единый стандарт долговечности в ~1000 часов, т.е. около года горения по 3-4 часа в день.

• Чтобы обеспечить выполнение этого требования, каждая фабрика-участник была обязана регулярно отправлять образцы ламп в центральную лабораторию в Швейцарии. Если лампочки горели сильно дольше или меньше установленного срока - производитель получал штраф.

• Самое интересное - это была не просто халтура, любой дурак мог бы сделать плохую лампочку. Задача стояла сложнее: нужно было создать такой товар, который надежно откажет через заданное время. Для достижения этой цели участники картеля активно экспериментировали и обменивались патентами.

• Результаты не заставили себя ждать. К 1933-34 году средний срок службы лампочек упал до 1205 часов. Продажи наоборот - выросли с 335,7 миллионов лампочек в 1926-27 году до 420,8 миллиона четыре года спустя. При этом цены держались стабильными, несмотря на снижение производственных затрат.

• Но хорошие времена для производителей длились относительно недолго. Высокие цены привлекли конкурентов, особенно из Японии. Мелкие мастерские начали штамповать дешевые лампы почти вручную и продавали их за границу в несколько раз дешевле продукции картеля. Да, качество было хуже, но цена покрывала все недостатки.

• Картель Phoebus распался во время Второй мировой войны, но его дух живет до сих пор, в том числе и в IT. Наиболее известный кейс с устареванием, это, конечно же, программная деградация аккумулятора, в которой обвиняли Apple (ситуация даже получила свое собственное название Batterygate).

• Также был еще скандал с HP, которые просто встроили дату "отказа" в картридж, позже которой он переставал работать. Даже если лежал запечатанный.

• Еще одним любопытным случаем стала так называемая конденсаторная чума - массовый выход из строя электролитических конденсаторов на материнских платах, блоках питания и другой электронике. Это приводило к массовым поломкам серверов и рабочих станций, сокращая срок службы оборудования и стимулируя его преждевременную замену.

• В общем и целом, несмотря на то, что картель Phoebus давно канул в лету, его подход живёт и здравствует, ведь срок службы купленной техники в ряде случаев определяют не законы физики, а скорее бизнес-план и KPI.

S.E. ▪️ infosec.work ▪️ VT

• Еще одно хорошее и бесплатное руководство от автора гайда по безопасности веб-приложений, которым я делился на этой неделе. На этот раз материал посвящен безопасности фронтенда. Вы подробно познакомитесь с тем, как работают Same-Site, Cross-Site, Cross-Origin, Prototype Pollution, DOM Clobbering, CSS Injection, XSLeaks, а также узнаете о многих видах XSS. А еще узнаете, как можно комбинировать уязвимости друг с другом, и поймете, почему клиентские уязвимости остаются актуальными по сей день...

• Содержание следующее:

Глава 1: Начало работы с XSS;
Глава 2: Защита и обход XSS;
Глава 3: Атаки без JavaScript;
Глава 4: Межсайтовые атаки;
Глава 5: Другие интересные темы.

https://gitbook.io/client-side-fundamental

S.E. ▪️ infosec.work ▪️ VT

• Друзья, пришло время провести очередной конкурс. На этот раз мы разыгрываем бумажную версию книги "Linux для администраторов", которая поступила в продажу 2 недели назад. Помимо основных тем для изучения Linux в книге есть глава по написанию сценариев командной оболочки, содержащая структурированные рекомендации для базовой автоматизации задач.

• Итоги подведём 16 Мая в 10:00, при помощи бота, который рандомно выберет 8 победителей. Доставка для победителей бесплатная в зоне действия СДЭК. Удачи

Для участия нужно:

1. Быть подписанным на наш канал: Infosec.
2. Подписаться на канал наших друзей: Мир Linux.
3. Нажать на кнопку «Участвовать»;
4. Ждать результат.

Бот может немного подвиснуть — не переживайте! В таком случае просто нажмите еще раз на кнопку «Участвовать».

#Конкурс

• cURL - это инструмент командной строки на основе библиотеки libcurl для передачи данных с сервера и на сервер при помощи различных протоколов, в том числе HTTP, HTTPS, FTP, FTPS, IMAP, IMAPS, POP3, POP3S, SMTP и SMTPS. Он очень популярен в сфере автоматизации и скриптов благодаря широкому диапазону функций и поддерживаемых протоколов.

• Так вот, у ведущего разработчика curl Даниэля Стенберга есть очень крутое видео «curl from start to end», где он подробно рассказывает, что происходит, когда вы вызываете curl!

• Основные этапы:

Загрузка curl, библиотеки libcurl и других зависимостей.
Разбор аргументов командной строки.
Разбор URL.
Разрешение доменного имени в URL с помощью DNS.
Установка соединения TCP.
Установка защищенного соединения TLS.
Отправка запроса HTTP.
Получение ответа HTTP.
Сохранение данных из ответа HTTP.
Разрыв защищённого соединения TLS.
Разрыв соединения TCP.

https://youtu.be/WmMa1GVPWZ0

• В качестве дополнения: Everything curl - очень объемное руководство (550 стр.) по работе с curl'ом, которое актуализируют еще с начала 2015 года и по сей день. Книга является бесплатной, а вклад в её развитие внесли десятки авторов: https://curl.haxx.se/book.html. Скачать книгу можно по этим ссылкам: [PDF] \ [ePUB].

S.E. ▪️ infosec.work ▪️ VT

• А вы знали, что Microsoft добавили в Windows 11 один из самых старых инструментов в своей истории - текстовый редактор Edit, которому 45 лет? Он появился еще в 80-х как часть MS-DOS и долгие годы оставался незаменимым в командной строке.

• Но зачем и почему тулзу добавили в Win 11? Дело в том, что в первые годы персональных компьютеров ПО было простым, а ресурсы - ограниченными. Редактор Edit появился как часть MS-DOS и служил для одной задачи: быстро редактировать текстовые файлы прямо в командной строке. Никаких украшений, автосохранений, подсветки и всего прочего - только минимальный набор функций, зато работал он быстро и надежно. Для разработчиков и системных администраторов тех лет это был удобный инструмент, который позволял править конфиги и скрипты без перехода в другие программы. Со временем именно такие простые утилиты сформировали основу будущей экосистемы Windows.

• С годами, по мере того как ОС эволюционировала от консольного MS-DOS к графическому интерфейсу Windows 3.1, а потом и к более продвинутым версиям вроде 95-й, Edit постепенно отходил на второй план, уступая место более удобным аналогам. Классический "Блокнот" взял на себя роль универсального инструмента для повседневных задач. Ну а Edit, будучи 16-битным приложением, стал конфликтовать с переходом на 64-битные архитектуры.

• Начиная с Windows XP 64-bit и всех последующих версий, включая Windows 11, Microsoft убрала поддержку 16-битных приложений - вместе с ней исчез и легендарный Edit. Пользователи оказались в неловком положении: как теперь быстро подправить батник или конфиг прямо из терминала, не открывая сторонние программы?

• Возрождение Edit произошло весной 2025 года. В тестовых сборках Windows 11 (Canary, build 27965) пользователи неожиданно обнаружили знакомый по старым временам exe-файл. Microsoft не стала устраивать громких анонсов: просто выложила исходники на GitHub под открытой лицензией и подтвердила, что обновленный Edit будет встроен в систему по умолчанию и удалить его нельзя.

• На первый взгляд это выглядело как жест ностальгии, но на деле шаг оказался куда практичнее. Компания отреагировала на давние просьбы разработчиков, которым не хватало легкого терминального редактора. "Блокнот" давно утратил простоту, превратившись в перегруженное приложение с ИИ-подсказками, а после удаления WordPad в 2024 году пользователи окончательно лишились минималистичного инструмента для быстрой правки текста.

• Новая версия Edit написана с нуля, но сохранила дух оригинала - минималистичный интерфейс, максимум скорости. Зато теперь редактор поддерживает работу мышью и горячие клавиши, что делает его не музейным реликтом, а удобным инструментом на каждый день.

• Что касается работы редактора, то все устроено максимально просто: в командной строке или PowerShell достаточно ввести edit, и открывается быстрый текстовый редактор, причем прямо в терминале. Он не блокирует другие процессы и запускается мгновенно, ведь его размер не превышает 250 килобайт.

• Редактор поддерживает лишь базовые функции: прокрутку стрелками или колесом мыши, сохранение через Ctrl + S, поиск по тексту с помощью F3. Здесь нет тем, плагинов и интеграций с Git - только чистый минимализм. Это инструмент для быстрых правок: открыл, исправил, закрыл. Оптимальное решение для тех, кому важно просто и без лишних движений отредактировать конфигурацию или скрипт прямо в терминале.

• Он работает в Windows Terminal, поддерживает Unicode и даже кросс-платформенные порты (есть эксперименты для Linux через WSL), что расширяет его аудиторию за пределы чистых юзеров окошек.

• Возвращение Edit в Windows - не дань ностальгии, а прагматичное решение. Microsoft закрыла гештальт, добавив в систему простой консольный редактор, которого годами не хватало пользователям. Причем Edit не претендует на роль полноценного IDE и не конкурирует с Notepad++ или VS Code - его задача сугубо утилитарная: быстро внести правку и вернуться к работе.

https://devblogs.microsoft.com/edit

S.E. ▪️ infosec.work ▪️ VT

• Нашел очень крутой материал по безопасности веб-приложений. Автор потратил около 6 месяцев на подготовку этого руководства и выкатил всю информацию совершенно бесплатно. Сам материал разделен на 3 части: для абсолютных новичков, для опытных специалистов и для экспертов.

• Для абсолютных новичков рекомендуется начать изучение с серверных тем. Эти уязвимости, как правило, легче освоить, поскольку вам нужно понимать только то, что происходит на сервере. Данный материал и лабораторные работы помогут вам развить основные знания и навыки, которые будут полезны вам снова и снова.

SQL-инъекции;
Уязвимости аутентификации;
Обход пути (path traversal);
Инъекция команд ОС;
Уязвимости бизнес-логики;
Уязвимости, связанные с раскрытием информации;
Уязвимости контроля доступа и эскалация привилегий;
Уязвимости загрузки файлов;
Состояния гонки (race conditions);
Подделка запросов на стороне сервера (SSRF);
Внедрение внешних сущностей XML (XXE);
Инъекция NoSQL;
Тестирование API;
Обман веб-кэша (web cache deception).

• Уязвимости на стороне клиента вносят дополнительный уровень сложности, что делает их немного более сложными для понимания. Этот материал и лабораторные работы помогут вам развить навыки, которые вы уже освоили ранее, и научат вас выявлять и эксплуатировать также некоторые сложные клиентские векторы атак.

Межсайтовый скриптинг (XSS);
Межсайтовая подделка запросов (CSRF);
Совместное использование ресурсов между источниками (CORS);
Кликджекинг (UI redressing);
Уязвимости на основе DOM (DOM-based vulnerabilities);
Тестирование уязвимостей безопасности WebSockets.

• Темы, которые перечислены ниже, как правило, требуют более глубокого понимания и более широких знаний. Рекомендуется сначала разобраться с основами, прежде чем приступать к этим лабораторным работам. Некоторые из них основаны на новаторских методиках, разработанных исследовательской командой мирового уровня.

Небезопасная десериализация;
Атаки на веб-LLM;
Уязвимости GraphQL API;
(SSTI) Инъекция шаблона на стороне сервера;
Отравление веб-кэша (web cache poisoning);
Атаки через HTTP заголовок Host;
Контрабанда HTTP-запросов (HTTP request smuggling);
Уязвимости аутентификации OAuth 2.0;
Атаки на JWT;
Что такое загрязнение прототипов (prototype pollution);
Ключевые навыки.

S.E. ▪️ infosec.work ▪️ VT

Каждый раз, когда сотрудник подносит карту к считывателю, запускается процесс, который снаружи выглядит достаточно банально — считыватель у двери или целый турникет сигнализирует вам о разрешении доступа и вы проходите.

Может показаться, что в этот момент происходит достаточно простой процесс, однако за этой простотой скрыта сложная система: генерация поля, питание карты, установление связи, аутентификация и передача данных.

В обычной эксплуатации этот процесс незаметен. Всё должно происходить быстро и надежно. Но чтобы обеспечить такую незаметность и легкость, за десятки лет инженерам пришлось решить множество задач на уровне физики, протоколов и архитектуры устройств.

• Максимально объемный и понятный лонгрид про работу RFID-карт и считывателей: от физики процессов до обмена данными и механизмов защиты. Статья поможет не только разобраться в теме, но и просто заглянуть под капот привычных технологий. Думаю, что многим будет интересно:

Читать статью [18 min].

S.E. ▪️ infosec.work ▪️ VT