Если вы находитесь в поиске бюджетного инструмента для решения проблемы с паразитивным бот-трафиком, и у вас нет свободных финансов для приобретения какого-нибудь Cloudflare, можно посмотреть в сторону вот этих ультимативных репок для прокачки ваших Nginx или Apache.

Настроенный веб-сервер под ключ одной кнопкой (почти). Ну либо если вам нужен какой-то докрученный кастом, то придется курить доки и конфиги из репы.

https://github.com/mitchellkrogza/nginx-ultimate-bad-bot-blocker
https://github.com/mitchellkrogza/apache-ultimate-bad-bot-blocker

В новой iOS 16 появился бекдор фича Rapid Security Responses, позволяющая патчить iPhone и аксессуары не дожидаясь обновления ОС. Должна включаться автоматом при обновлении на новую ОС.

Идея с точки зрения ИБ конечно прикольная, но усложнит жизни любителям джейблрейка.

Google опубликовала очень стильный проект H4CK1NG.GOOGLE (фактически GoogleCTF 22) с набором своих новых челленджей по разным направлениям, каждое из которых сопровождается крутейшими видео-историями.

Если вдруг заскучали после рабочего понедельника, можно провести вечер с пользой. В случае ступора можно сходить в дискорд проекта за подсказками или writeups — это уже для совсем ленивых :)

Are you ready? [Y/N]

https://h4ck1ng.google

Playlist > https://www.youtube.com/playlist?list=PL590L5WQmH8dsxxz7ooJAgmijwOz0lh2H

Там в либе Apache Commons Text нашли уязвимость, позволяющую выполнять удаленное выполнение кода — CVE-2022-42889.

Но несмотря на CVSS 9.8, уязвимость затрагивает только несколько методов, связанных с интерполяцией данных, что в целом выглядит не так критично.

Поискать в коде можно по:
StringLookupFactory.INSTANCE.interpolatorStringLookup().lookup()
или
StringSubstitutor.createInterpolator().replace()

В любом случае возьмите на вооружение и если лень читать код просто пропатчите либы до новой версии 1.10, благо она уже вышла.

Уязвимость затрагивает версии Apache Commons Text 1.5–1.9.

Reports:
https://www.rapid7.com/blog/post/2022/10/17/cve-2022-42889-keep-calm-and-stop-saying-4shell/
https://securitylab.github.com/advisories/GHSL-2022-018_Apache_Commons_Text/
https://vulners.com/rapid7blog/RAPID7BLOG:F7BA3352D40FAE34A5EC64E58595ED85
https://blog.aquasec.com/cve-2022-42889-text2shell-apache-commons-vulnerability

Наверное лучший роадмап по сертификациям в ИБ, отсортированный по направлениям и уровню сложности.

В очередной раз в этом убедился.

> https://pauljerimy.com/security-certification-roadmap/ <

p.s выглядит это конечно страшно, но что не сделать ради многострочного статуса в Linkedin, да? 😁

Вопрос который меня в последнее время сильно волнует. Будет очень круто если поучаствуете анонимно.

Если вы еще не касались истории с импортозамещением — игнорируйте (хотя предположу, что коснулось многих).

Собственно вопрос ↓

Я снова пропал, но тут такая новость сегодня, что нельзя было не поделиться — поддержка Passkeys теперь официально доехала до Google Chrome (Chrome Stable M108 если быть точным).

На всякий случай Passkeys — это инициатива альянсов FIDO и W3C по разработке стандарта аутентификации без использования паролей, которые являются занозой в заднице в современном мире: утечки, брутфорс, сменяемость, желание написать его на листочке и приклеить к монитору и пр.

Короче крутые чуваки собрались как-то, подумали и изобрели WebAuthn. Потом инициативу поддержали Apple, Google и Microsoft, обернули это в Passkeys и вот он, продукт который можно внедрять и нести людям (многие уже давно принесли даже, только Google опаздывает).

Короче, со стороны поддержки клиентов кажется все готово, осталось, чтобы технологию начали чаще внедрять уже на стороне приложений и, кажется, сегодня эра passwordless стала намного ближе.

P.s проблема паролей постепенно уходит, приходит проблема социальной инженерии через openai.

Аминь.

- - -

Новость про passkey в Chrome > https://blog.chromium.org/2022/12/introducing-passkeys-in-chrome.html
Почитать подробнее > https://www.passkeys.io
Потестить как это работает > https://webauthn.io/

Говорят, чтобы пойти работать джун аппсеком достаточно научиться разворачивать какую-нибудь oauth proxy перед своими критическими сервисами.

Согласны? Узнали? Какая ваша любимая? 🫠

Неплохие площадки для экспериментов с docker и kubernetes, если лень разворачивать лабы и разбираться с админской частью.

https://labs.play-with-docker.com/
https://labs.play-with-k8s.com/

Есть и песочницы и отдельные таски, где можно подтянуть темы, которые вы давно откладывали, например как работают linux capabilities или seccomp профили

🐐 Kubernetes Goat — наверное самый популярный проект для изучения безопасности Kubernetes.

Круто, что благодаря сообществу они продолжают развивать и добавлять новые сценарии. Например недавно добавили лабы для изучения Cilium Tetragon и Kyverno.

Большинство сценариев простые, зато их уже более 20 штук, поэтому для общего понимания очень даже.

> https://madhuakula.com/kubernetes-goat/
> https://github.com/madhuakula/kubernetes-goat

Все уже успели перевели свои Google-аккаунты на Passkey?

С сегодняшнего дня это официальный способ аутентификации для Google и огромный шаг к будущему без паролей 🔐

включать тут > https://myaccount.google.com/signinoptions/passkeys

Blog > https://blog.google/technology/safety-security/the-beginning-of-the-end-of-the-password/

Пятничный подгон — как быстро и безопасно управлять переменными окружения на macOS с помощью keychain.
По сути там уже все есть, нужно только добавить обертку.

Делаем раз:

tee ~/keychain-env.sh <<'EOF'
function keychain-env-read () {
    security find-generic-password -w -a ${USER} -D "environment variable" -s "${1}"
}
function keychain-env-add () {
    [ -n "$1" ] || print "Missing environment variable name"
    read -s "?Enter Value for ${1}: " secret
    ( [ -n "$1" ] && [ -n "$secret" ] ) || return 1
    security add-generic-password -U -a ${USER} -D "environment variable" -s "${1}" -w "${secret}"
}
EOF

Два:
echo -n 'source ~/keychain-env.sh' >> ~/.zshrc

Три:
source ~/.zshrc

Теперь взмахом руки можно добавлять переменные окружения в ваш keychain и вычитывать их оттуда.

keychain-env-add AWS_ACCESS_KEY_ID

export AWS_ACCESS_KEY_ID=$(keychain-env-get AWS_ACCESS_KEY_ID);

полный сниппет тут