Автор
KL FC Bot
в Новости и события из мира информационной безопасности
-
Похожий контент
-
Автор KL FC Bot
Технологию ключей доступа (КД, passkeys) рекламируют все ИТ-гиганты как эффективную и удобную замену паролям, которая может покончить с фишингом и утечками учетных данных. Суть в следующем — человек входит в систему при помощи криптографического ключа, сохраненного в специальном аппаратном модуле на его устройстве, а разблокирует эти данные при помощи биометрии или ПИН-кода. Мы подробно разобрали текущее положение дел с passkeys для домашних пользователей в двух статьях (терминология и базовые сценарии использования, сложные случаи), но у компаний к ИБ-технологиям совершенно другие требования и подходы. Насколько хороши ключи доступа и FIDO2 WebAuthn в корпоративной среде?
Мотивы перехода на passkeys в компании
Как и любая крупная миграция, переход на ключи доступа требует бизнес-обоснования. В теории passkeys решают сразу несколько злободневных проблем:
Снижают риски компрометации компании с использованием кражи легитимных учетных записей (устойчивость к фишингу — главное заявленное преимущество КД). Повышают устойчивость к другим видам атак на identity, таким как перебор паролей — brute forcing, credential stuffing. Помогают соответствовать регуляторным требованиям. Во многих индустриях регуляторы обязуют применять для аутентификации сотрудников устойчивые методы, и passkeys обычно признаются таковыми. Снижают затраты. Если компания выбрала passkeys, хранящиеся в ноутбуках и смартфонах, то высокого уровня безопасности можно достичь без дополнительных затрат на USB-устройства, смарт-карты, их администрирование и логистику. Повышают продуктивность сотрудников. Хорошо налаженный процесс аутентификации повседневно экономит время каждому сотруднику и снижает процент неудачных входов в ИТ-системы. Также переход на КД обычно увязывают с отменой всем привычных и ненавистных регулярных смен пароля. Снижают нагрузку на хелпдеск за счет уменьшения числа заявок, связанных с забытыми паролями и заблокированными учетными записями.
View the full article
-
Автор KL FC Bot
За последние полтора года мы окончательно разучились верить своим глазам. Подделка изображений в фоторедакторах встречалась и ранее, но появление генеративного ИИ вывело подделки на новый уровень. Пожалуй, первым знаменитым ИИ-фейком можно назвать ставшее виральным год назад фото папы римского в белом пуховике, но с тех пор счет таким качественным подделкам пошел на тысячи. Более того, развитие ИИ обещает нам вал убедительных поддельных видео в самом ближайшем будущем.
Один из первых дипфейков, получивших всемирную популярность: папа римский в белом пуховике
Это еще больше усложнит проблему отслеживания «фейковых новостей» и их иллюстративного материала, когда фото одного события выдаются за изображение другого, людей, которые никогда не встречались, соединяют в фоторедакторе и так далее.
Подделка изображений и видео имеет прямое отношение к кибербезопасности. Уже давно в разного рода мошеннических схемах жертв убеждают расстаться с деньгами, присылая им фото людей или животных, для которых якобы ведутся благотворительные сборы, обработанные изображения звезд, призывающих инвестировать в очередную пирамиду, и даже изображения банковских карт, якобы принадлежащих близким знакомым жертвы мошенничества. На сайтах знакомств и в других соцсетях жулики тоже активно используют сгенерированные изображения для своего профиля.
В наиболее сложных схемах дипфейк-видео и аудио, якобы изображающие начальство или родственников жертвы, применяются, чтобы убедить ее совершить нужное аферистам действие. Совсем недавно работника финансовой организации убедили перевести $25 млн мошенникам — жулики организовали видеозвонок, на котором присутствовали «финдиректор» и другие «коллеги» жертвы, — все дипфейковые.
Как бороться с дипфейками и просто фейками? Как их распознавать? Это крайне сложная проблема, но ее остроту можно поэтапно снизить, особенно если научиться отслеживать происхождение изображения.
Посмотреть статью полностью
-
-
Автор KL FC Bot
Можно ли скачать или стереть со смартфона ваши фото и другие данные, пока он заряжается от общественной зарядки — в транспорте, в поликлинике, в аэропорту и так далее? Несмотря на предосторожности производителей, это порой возможно.
Впервые о таких атаках задумались в 2011 году — если невинно выглядящий порт USB-зарядки не просто поставляет электричество, а содержит скрытый компьютер, то он может подключиться к смартфону в режиме передачи данных (Media Transfer Protocol, MTP, или Picture Transfer Protocol, PTP) и скачать часть информации с устройства. Атака получила название Juice-Jacking, а Google с Apple быстро придумали защиту: при подключении к устройству, поддерживающему MTP/PTP, смартфон спрашивает, нужно ли передавать данные, или только заряжаться. На многие годы эта нехитрая предосторожность сняла вопрос с повестки дня, но в 2025 году исследователи из технологического университета Граца (Graz University of Technology) обнаружили, что этот способ защиты можно обойти.
Атака ChoiceJacking
В новых атаках вредоносное устройство, замаскированное под зарядную станцию, само подтверждает, что жертва «хочет» подключиться именно в режиме передачи данных. В зависимости от производителя и версии ОС у атаки есть три разновидности. Все они по-разному обходят одно ограничение протокола USB: устройство не может одновременно подключаться в режиме хоста (компьютера) и периферии (мыши или клавиатуры).
Первая разновидность атаки, эффективная и для iOS, и для Android, наиболее сложна в реализации. Под зарядную станцию нужно замаскировать микрокомпьютер, который умеет подключаться к смартфону под видом USB-клавиатуры, USB-хоста (компьютера) и Bluetooth-клавиатуры.
При подключении смартфона вредоносная зарядная станция притворяется USB-клавиатурой и отправляет с нее команды на включение Bluetooth и подключение к смартфону Bluetooth-устройства — все того же вредоносного комбайна, который теперь прикидывается еще и Bluetooth-клавиатурой. После этого атакующая система переподключается к смартфону по USB, но уже под видом компьютера. На экране возникает вопрос о включении режима передачи данных — и атакующее устройство передает подтверждение с помощью Bluetooth-клавиатуры.
View the full article
-
Автор KL FC Bot
Цифровое благополучие — это не только конфиденциальность, защита от мошенников в сети и поломок техники. Это еще и разумный контроль над своими социальными сетями; над временем, проводимым у экранов; над деньгами, которые мы тратим на цифровые сервисы, наконец. Причем денежные траты все чаще осуществляются через различные подписки. Повторяющиеся платежи давно привычны для оплаты связи, музыкальных и видеостриминговых сервисов, просмотра ТВ, чтения новостных сайтов, газет и журналов. Но сегодня подписаться можно практически на что угодно — например, на доставку товаров регулярного потребления, вроде носков или кофе. Более того, во многих случаях подписка — это единственный вариант получить приложения, игры, онлайн-услуги. На эту модель переходят все больше и больше сервисов, и количество подписок растет, как снежный ком. А недавно до идеи подписок додумались даже автопроизводители, и, вероятно, скоро включить подогрев сидений или навигацию можно будет, лишь подписавшись на эту «услугу».
Распространившись на все сферы жизни, подписки постепенно выходят из-под контроля. Недавнее исследование показало, что люди склонны недооценивать количество своих ежемесячных подписок. Например, средний американец считает, что тратит в месяц на различные подписки $86, тогда как на самом деле его расходы составляют аж $219! В России среднемесячная стоимость подписки на онлайн-сервисы ниже. Но, помимо онлайна, есть и другие повторяющиеся платежи — ипотека, кредиты, коммунальные платежи, проездные на общественный транспорт, абонементы на фитнес и так далее — и все их нужно учитывать при планировании своего бюджета, чтобы грамотно распределить все расходы и не забыть вовремя внести очередной платеж. Ведь просрочки чреваты не просто потерей доступа к тем или иным сервисам, но и штрафами, ухудшением кредитной истории, а то и судебными исками.
Существует множество подписочных моделей: с автоматическим и ручным продлением, с пробным периодом и без него. Часто в изобилии подписок люди просто забывают, на какие сервисы они уже подписаны. Если про платежи по ипотеке большинство все же помнит, то подписаться на три разных стриминговых сервиса, а пользоваться только одним — совершенно обыденное явление. 42% опрошенных сказали, что у них бывали случаи, когда они переставали использовать приложение или сервис, но продолжали ежемесячно за него платить из-за забывчивости.
Кроме того, многие активные подписки, продлеваемые годами по одному и тому же тарифному плану, со временем становятся невыгодными — сменив тариф, применив промо-код или изучив предложения конкурентов, можно уменьшить их стоимость.
Но еще чаще случается другая проблема: 74% пользователей забывают, что пришло время оплатить подписку. Если она работает по принципу автопродления, это оборачивается неожиданным списанием с карты. Если же оплачивать подписку нужно вручную, забывчивость чревата неожиданным прекращением сервиса. Это особенно неприятно, если забыта подписка на услуги связи или на что-то столь же важное.
Бесплатный пробный период
Еще один распространенный способ «случайно» потратить деньги — подписка на сервисы и приложения с бесплатным пробным периодом. Номер банковской карты у вас берут в начале пользования услугой, но списания денег не происходит. Спустя неделю, месяц или иной пробный период происходит первое списание средств за подписку. Если вы за это время попользовались услугой и решили, что она вам не подходит, какова вероятность, что вы зашли в настройки и отменили подписку? Как показывает практика, забывают это сделать очень многие. Этой забывчивостью даже стали пользоваться не слишком чистоплотные разработчики, продающие через App Store и Google Play приложения с необоснованно высокой ежемесячной стоимостью (например, $90 в месяц за обычный калькулятор). Подобные приложения называются fleeceware.
Посмотреть статью полностью
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти