Автор
KL FC Bot
в Новости и события из мира информационной безопасности
-
Похожий контент
-
Автор KL FC Bot
Переход на ключи доступа (КД, passkeys) сулит организациям экономически эффективный способ надежной аутентификации сотрудников, увеличение продуктивности и достижение регуляторного соответствия. Все за и против этого решения для бизнеса мы подробно разобрали в отдельной статье. Но на успех проекта и саму его возможность влияют технические подробности и особенности реализации технологии в многочисленных корпоративных системах.
Поддержка passkeys в системах управления identity
Перед тем как решать организационные проблемы и писать политики, стоит разобраться, готовы ли к переходу на КД основные ИТ-системы в организации.
Microsoft Entra ID (Azure AD) полностью поддерживает КД и позволяет администраторам выбрать КД в качестве основного метода входа в систему.
Для гибридных внедрений, где есть on-prem-ресурсы, Entra ID может генерировать токены Kerberos (TGT), которые затем будет обрабатывать доменный сервер Active Directory.
А вот для входа через RDP и VDI и входа в AD, работающую только on-premises, нативной поддержки у Microsoft пока нет. Впрочем, с некоторыми ухищрениями организация может записывать passkey на аппаратный токен, например YubiKey, который будет одновременно поддерживать традиционную технологию PIVKey (смарт-карты) и FIDO2. Также для поддержки этих сценариев есть сторонние решения, но организации потребуется оценить, как их применение влияет на общую защищенность и регуляторное соответствие.
В Google Workspace и Google Cloud есть полная поддержка passkeys.
Популярные системы управления identity, такие как Okta, Ping, Cisco Duo, RSA ID Plus, поддерживают FIDO2 и все основные формы КД.
View the full article
-
Автор KL FC Bot
Умные спортивные часы продолжают привлекать пристальное внимание злоумышленников, позволяя получить множество интересной информации о потенциальной жертве. Мы уже писали о том, как трекинговые приложения собирают данные своих владельцев и делятся ими — большинство из них по умолчанию отображают логи ваших тренировок, включая точную геопозицию, всем желающим.
Спортивные часы, как выяснилось, продолжают тенденцию расслабленного подхода к защите персональных данных своих владельцев. Так, в конце июня 2025 года появилась информация о серьезных уязвимостях во всех часах COROS, дающих доступ не только к самим часам, но и к аккаунту пользователя. Воспользовавшись этими уязвимостями, злоумышленники могут получить полный доступ к данным в аккаунте жертвы, перехватывать конфиденциальную информацию (например, уведомления), менять настройки устройства или сбрасывать их до заводских и даже прерывать запись трека тренировки с потерей всех данных.
Что особенно неприятно — COROS была уведомлена об этих проблемах еще в марте 2025 года, но исправления планируются только к концу года.
Похожие уязвимости в 2022 году были обнаружены (но вскоре закрыты) и у, пожалуй, самого популярного производителя спортивных часов и других спортивных гаджетов — Garmin.
На фоне подобных угроз хочется по максимуму защитить свою приватность, правильно настроив безопасность в спортивных приложениях. Сегодня мы разберем, как защитить свои данные в Garmin Connect и Connect IQ Store — двух сервисах одной из наиболее популярных экосистем спортивных гаджетов.
View the full article
-
Автор KL FC Bot
Лето в самом разгаре, а это значит одно — пора путешествовать! Помните, как раньше готовились к поездкам? Покупали небольшой путеводитель, маленькую книжку-переводчик и допрашивали всех друзей и заядлых туристов: «Что там посмотреть? Сколько стоят экскурсии? А как сим-карту оформить?»
Сегодня мир изменился, организовать комфортное путешествие можно, сидя дома на диване со смартфоном в руках, а подготовиться к нему — у гейта в аэропорту. Нужно всего лишь загрузить правильные приложения. В этом материале рассказываем, как подготовить себя и свой смартфон к поездке.
Как не потеряться в новой локации? Как оставаться на связи? Как передвигаться с комфортом? Как насладиться городом, как местный житель? Как находить места, где можно вкусно поесть? Как путешествовать безопасно? View the full article -
Автор KL FC Bot
Недавно нашему бывшему коллеге пришла подозрительная нотификация от неизвестного ему сервиса GetGhared. Будучи человеком осторожным, он не стал переходить по ссылке, а сразу переслал уведомление нам. Проанализировав письмо, мы выяснили, что это действительно работа мошенников, а судя по статистике наших почтовых защитных решений, сервис для отправки больших файлов GetShared стал использоваться ими достаточно часто. Рассказываем, как выглядит применение GetShared в атаках, зачем злоумышленникам это нужно и как оставаться в безопасности.
Как выглядит атака при помощи GetShared
Жертве приходит вполне обычное, совершенно настоящее уведомление от сервиса GetShared, в котором говорится, что пользователю был прислан файл. В письме указаны название и расширение этого файла — например, в случае с атакой на компанию нашего коллеги это был DESIGN LOGO.rar.
Пример мошеннического письма, распространяемого через уведомление GetShared
В сопровождающем тексте применяется стандартная фишинговая уловка — мошенники запрашивают цены на что-то, якобы перечисленное в приложении, а для большей убедительности просят уточнить время доставки и условия оплаты.
View the full article
-
Автор KL FC Bot
Представьте — вам приходит письмо, оповещающее о том, что Google получила от правоохранительных органов судебную повестку с требованием предоставить содержимое вашего аккаунта. Письмо выглядит вполне «по-гугловски», да и адрес отправителя совершенно респектабельный — no—reply@accounts.google.com. Внутри сразу просыпается (как минимум) легкое ощущение паники, не правда ли?
И вот какая удача — в письме содержится ссылка на страницу поддержки Google, перейдя по которой можно узнать все подробности о происходящем. Доменный адрес ссылки при этом также похож на официальный и, судя по всему, принадлежит настоящей Google…
Постоянные читатели нашего блога уже наверняка догадались, что речь идет о новой схеме фишинга. В ней мошенники эксплуатируют сразу несколько сервисов настоящей Google, чтобы сбить своих жертв с толку и придать письмам максимальную правдоподобность. Рассказываем обо всем по порядку.
Как фишинговое письмо маскируется под официальное уведомление Google
Письмо, с которого начинается данная атака, вы можете видеть на скриншоте ниже — оно действительно вполне убедительно притворяется оповещением от системы безопасности Google. В письме пользователя информируют о том, что компании пришла судебная повестка на получение правоохранительными органами доступа к содержимому его Google-аккаунта.
Мошенническое письмо от no-reply@accounts.google.com, маскирующееся под официальный запрос на выдачу правоохранительным органам данных Google-аккаунта пользователя. Источник
View the full article
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти