-
Похожий контент
-
Автор rcbsbss
Сегодня были зашифрованы сервера и компьютеры входящие в домен. В результате при включении компьютера появляется сообщение "Обратитесь в телеграмм...". Пользователь телеграмм @dchelp. Был установлен антивирус Касперского с новыми базами, он пропустил. Сервер Касперского также был заражен. Просим помочь!!!
-
Автор KL FC Bot
Умный дом сегодня — это не фантастика из фильмов конца девяностых, а реальность практически каждого жителя мегаполиса. Умные розетки, колонки и телевизоры можно встретить практически в любой современной квартире. А что касается новых домов, то их иногда и вовсе сразу же строят умными, получаются умные жилые комплексы. Их жители могут с единого приложения управлять не только внутриквартирными приборами, но и внешними: домофоном, камерами, шлагбаумами, счетчиками и датчиками пожарной сигнализации.
Но что будет, если в таком приложении окажется дыра в безопасности? Ответ знают наши эксперты из Global Research and Analysis Team (GReAT). Мы обнаружили уязвимость в приложении Rubetek Home и рассказали, что могло бы случиться с безопасностью владельцев умных квартир и домов — но, к счастью, не случилось.
Что за уязвимость
Уязвимость заключалась в отправке чувствительных данных в процессе логирования работы приложения. Разработчики использовали Telegram Bot API для сбора аналитики и отправки файлов с отладочной информацией от пользователей в приватный чат команды разработки при помощи Telegram-бота.
Проблема в том, что отправляемые файлы, помимо системной информации, содержали в себе персональные данные пользователей, а также, что более критично, Refresh-токены, необходимые для авторизации в аккаунте пользователя, чей токен был получен. У потенциальных атакующих была возможность переслать все эти файлы себе при помощи того же Telegram-бота. Для этого они могли получить его Telegram-токен и идентификатор нужного чата из кода приложения, а после перебрать порядковые номера сообщений, содержащих такие файлы.
View the full article
-
Автор KL FC Bot
Чуть больше года назад в посте Google OAuth и фантомные аккаунты мы уже обсуждали, что использование опции «Вход с аккаунтом Google» в корпоративные сервисы дает возможность сотрудникам создавать фантомные Google-аккаунты, которые не контролируются администратором корпоративного Google Workspace и продолжают работать после оффбординга. Недавно выяснилось, что это не единственная проблема, связанная с OAuth. Из-за недостатков этого механизма аутентификации любой желающий может получить доступ к данным многих прекративших деятельность организаций, перерегистрировав на себя брошенные компаниями домены. Рассказываем подробнее об этой атаке.
Как работает аутентификация при использовании «Вход с аккаунтом Google»
Некоторые могут подумать, что, доверяя опции «Вход с аккаунтом Google», компания получает надежный механизм аутентификации, использующий продвинутые технологии Google и широкие возможности интернет-гиганта по мониторингу пользователей. Однако на деле это не так: при входе с Google OAuth применяется достаточно примитивная проверка. Сводится она, как правило, к тому, что у пользователя есть доступ к почтовому адресу, который привязан к Google Workspace организации.
Причем, как мы уже говорили в предыдущем материале о Google OAuth, это вовсе не обязательно Gmail — ведь привязать Google-аккаунт можно совершенно к любой почте. Получается, что при использовании «Входа с аккаунтом Google» доступ к тому или иному корпоративному сервису защищен ровно настолько надежно, насколько защищен почтовый адрес, к которому привязан Google-аккаунт.
Если говорить несколько более подробно, то при аутентификации пользователя в корпоративном сервисе Google OAuth отправляет этому сервису следующую информацию:
В теории в ID-токене Google OAuth есть уникальный для каждого Google-аккаунта параметр sub, но на практике из-за проблем с его использованием сервисы проверяют лишь домен и адрес электронной почты. Источник
View the full article
-
Автор Андрей127
Касперский находит систему умный дом+роутер в сети, хотя интернет кабель подключен напрямую без роутера. Аналогично и система "умный дом" также отстутствует. Вообще было даже 2 устройства. Одно легко удалилось. Что это может быть?
-
Автор KL FC Bot
Недавно полицейское управление города Эдина разместило весьма примечательное предупреждение горожанам. По результатам расследования девяти квартирных краж полицейские пришли к выводу, что воры подавляют связь Wi-Fi в квартире. Это делается, чтобы умные камеры видеонаблюдения в доме не могли предупредить владельцев об опасности и передать им видео с инцидентом. Возможно ли такое технологичное ограбление? Да. Есть ли другие способы атаковать умные системы защиты дома? Несомненно. Что с этим делать? Сейчас расскажем!
Беззащитные защитники
Устройства, предназначенные для безопасности, будь то замки, камеры, сигнализации и так далее, казалось бы, должны быть максимально надежно защищены от враждебных действий всех видов. Их же будут целенаправленно атаковать, чтобы вывести из строя! На практике, к сожалению, производители не всегда предусмотрительны. Они допускают самые разные ошибки: в умных замках делают недостаточно надежной механическую часть, в камерах передают видеопоток в открытом виде, позволяя просматривать его посторонним или даже вмешиваться в него, в сигнализациях плохо защищают каналы управления. Это — в дополнение к прочим уязвимостям умного дома, о которых мы пишем уже много лет.
Что еще печальней, многие устройства уязвимы к двум простейшим атакам: нарушение питания и нарушение связи.
Нарушить работу Wi-Fi в доме можно разными способами — от грубого глушения всего частотного диапазона радиоволн до более узкоспециализированных атак на конкретную сеть или клиента Wi-Fi. Обойтись без возни с радио тоже можно. Интернет обычно подключен в квартире одним из четырех легко узнаваемых кабелей: оптоволоконный, телефонный, витая пара (Ethernet) или телевизионный коаксиальный. Надежно нарушить связь можно, просто обрезав эти кабели.
Ну а если питание всей системы безопасности основано на электросети без резервных источников, то, просто обесточив квартиру, можно спокойно преодолеть умную защиту.
Посмотреть статью полностью
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти