🦊 Mozilla, шифрование почты и баг, который закрыли спустя 21 год.

• 30 марта 2023 года Mozilla закрыла баг 135636 и исправила ошибку по автоматическому включению/отключению шифрования почтовых сообщений в зависимости от текущей конфигурации отправителя и получателя (режимы OpenPGP и S/MIME). В этом не было бы ничего странного, если бы не одна деталь: тикет открыт 21 год назад. В связи с этим возникает вопрос: почему закрытие такого простого бага заняло больше двух десятилетий?

• Дело в том, что 5 апреля 2002 года один из пользователей обратил внимание на некоторое неудобство настроек шифрования в менеджере аккаунтов (Account Manager) почтового клиента MailNews в Netscape 4. Там было два режима: 1) никогда не шифровать сообщения или 2) требуется шифрование (отправка незашифрованного письма невозможна).

• Это на самом деле неудобно, потому что нужно было отключать настройку шифрования каждый раз, когда вы хотите отправить письмо пользователю, не имеющему сертификата или публичных ключей. Или наоборот, каждый раз включать её, когда хотите отправить зашифрованное письмо. Автор выразил пожелание реализовать третью альтернативную опцию «Шифровать, когда это возможно», не требующую от пользователя включать/отключать шифрование вручную.

• Таким образом, шифрование будет включаться автоматически при составлении письмо для адресата, который предоставил открытые ключи. Действительно, очень удобно. Есть ключи или сертификат — шифруем. Нет ключей — не шифруем.

• Разработчики согласились, что такую опцию нужно реализовать, но сама реализация заняла ровно 21 год. Почему?

• Сначала один из мейнтейнеров Чарльз Розендаль посчитал, что данный баг предполагает регрессию, то есть требует исправления другой связанной функции. Хотя другие с ним не согласились, но это привело к задержке примерно на 7 лет.

• Затем вопрос с регрессией сняли, но сама тема потеряла актуальность, потому что в целом шифрование почты с помощью OpenPGP перестало восприниматься как нечто необходимое и обязательное. Частично это произошло из-за сложностей интерфейса и потому что ни один почтовый клиент не обеспечил первоклассную удобную реализацию шифрования.

• Три года назад Mozilla заново подняла эту дискуссию, она переросла в споры о дизайне, и только в 2023 году наконец-то опция была реализована. Такие вот дела))

➡️ https://bugzilla.mozilla.org/show_bug.cgi?id=135636

#Разное

👨‍💻 Как хакнуть chess.com детским эксплойтом.

• История обнаружения XSS-уязвимости на крупнейшем шахматном сайте интернета со 100 миллионами участников – Chess.com

➡️ Оригинал: https://skii.dev/rook-to-xss/

➡️ Перевод: https://habr.com/post/790330/

#ИБ #web

👨‍💻 Pwning the Domain: Credentialess/Username.

• Reconnaissance;
• DHCP;
• DNS;
• NBT-NS;
• Responder analyze mode;
• LDAP;
• RPC;
• SMB null session;
• Finding usernames;
• SMB;
• RPC;
• LDAP;
• Kerberos;
• What is LLMNR/NBTNS/MDNS Poisoning;
• How to Perform LLMNR/NBTNS poisoning via SMB;
• What is ARP Spoofing (Address Resolution Protocol);
• How Does the attack works?
• What is DNS poisoning;
• What is DHCP Poisoning?
• How Does the attack works?
• What is WSUS Poisoning;
• What is ASREPRoasting;
• How Does this attack works?
• Net-NTLM relay Attacks;
• MS SQL Relay Attack;
• ASREPRoasting;
• Bruteforcing;
• Vulnerabilities;
• ProxyShell;
• ProxyLogon;
• EternalBlue;
• SMBGhost;
• Zerologon;
• PetitPotam;
• Reference.

#Пентест

👨‍💻 OSCP Cheat Sheet.

• Commands, Payloads and Resources for the OffSec Certified Professional Certification (OSCP).

- Basics;
- Information Gathering;
- Vulnerability Analysis;
- Web Application Analysis;
- Database Assessment;
- Password Attacks;
- Exploitation Tools;
- Post Exploitation;
- Exploit Databases;
- CVEs;
- Payloads;
- Wordlists;
- Social Media Resources;
- Commands.

#OSCP #CheatSheet

• Клиент Тинькофф, ранее заявивший, что с его счета вывели средства с помощью дипфейка, получил деньги назад. 

• На деле причиной неприятной ситуации оказался человеческий фактор, а именно техническая ошибка сотрудника, которую мошенники использовали для получения доступа к личному кабинету и снятию средств.

• Банк провел расследование, возместил клиенту украденные мошенниками 200 тыс. рублей и выплатил компенсацию. Сотрудника, допустившего ошибку, отправили на переподготовку.

➡ https://habr.com/post/792380/

#Новости

👨‍💻 Active Directory Attack. 2024.

• В этой статье мы рассмотрим популярные способы атак на AD, рассмотрим актуальные инструменты, рекомендации и ознакомимся с другими полезными ресурсами, которые актуальны в 2024 году.

➡ https://cybersecuritynews.com/active-directory-checklist/

#AD #Пентест #ИБ

🔝 Социальная инженерия: топ-3 взлома последних лет.

• Предлагаю ознакомиться с увлекательными кейсами последних лет, которые показывают, что социальная инженерия по-прежнему представляет собой серьезную угрозу — возможно, даже большую, чем когда-либо.

➡️ https://www.kaspersky.ru/blog/social-engineering-cases/35808/

#СИ #ИБ

Очередной понедельник... Доброе утро...🫠

👩‍💻 Bash Scripting в Linux.

• Course Introduction;
• Hello World;
• Variables;
• Basic Math;
• If Statements;
• Exit Codes;
• While Loops;
• Universal Update Script;
• For Loops;
• Where to Store Scripts;
• Data Streams;
• Functions;
• Case Statements;
• Scheduling Jobs (Part 1);
• Scheduling Jobs (Part 2);
• Arguments;
• Backup Script;
• Closing/Next Steps.

Дополнительно:
• Bash Tips and tricks;
• Малоизвестные трюки с перенаправлениями в bash;
• Bash-скрипты, руководство в 11 частях;
• Introduction to Bash Scripting;
• Bash Cheat Sheet: Tips and Tricks for the Terminal;
• Bash Introduction for Hackers.

#bash

📶 Build Your Own Network with Linux and Wireguard.

• Объемная инструкция по настройке собственной IPv6 сети (от получения собственной подсети до настройки сети на виртуальном сервере). Хорошая статья для тех, кто изучает и интересуется сетями (и не только):

• https://www.qovery.com/blog/build-your-own-network-with-linux-and-wireguard/

#Сети

📶 Компьютерные сети. Дополнение.

• У всех, кто интересуется и изучает сети, должен быть свой awesome-лист с полезностями. Эта подборка включает в себя множество источников, которые помогут Вам освоить данную тему:

- Комьюнити и саппорты по вендорам;
- Чаты и каналы по сетям (Telegram);
- Сетевые чаты;
- Беспроводные чаты;
- Каналы по сетям;
- Каналы по wireless;
- Чаты и каналы по автоматизации (Telegram);
- Чаты по автоматизации;
- Каналы по автоматизации;
- Авторские блоги;
- Полезные Github-репозитори;
- Полезные боты;
- Подкасты.

#Сети

🍎 Один из самых громких провалов Apple в истории. Часть 1.

• Первые персональные компьютеры производства Apple завоевали заслуженную популярность, прежде всего, потому, что отличались сравнительно невысокой стоимостью в сочетании с надежностью и широкими для своего времени возможностями. Так, семейство ПК Apple II захватило лидирующие позиции на рынке персоналок, поскольку в качестве конкурентов для них выступали разве что TRS-80 и Commodore PET, уступавшие продукции Джобса и Возняка по всем фронтам. Однако все изменилось с выходом на рынок Apple III.

• Эта машина, появившаяся в 1980 году в качестве наследника Apple II, обладала поистине уникальной характеристикой — стопроцентной ненадежностью. Ломались и требовали ремонта практически все поступившие в продажу компьютеры, из-за чего, по словам самого Джобса, «Apple потеряла бесконечные, неисчислимые суммы денег».

• Проблема скрывалась в системе охлаждения: микросхемы перегревались на плате, а на дисплее отображался искаженный и нечитаемый текст. Первопричиной же всего этого безобразия стало то, что архитектуру данной модели проектировщикам диктовали маркетологи — на Apple III отсутствовали шумные вентиляторы охлаждения, а очень плотная компоновка плат в компактном корпусе (очертания которого придумал сам Стив Джобс и категорически запретил инженерам что-либо менять) не способствовала теплоотводу.

• Фактически этот компьютер поставил производителя на грань разорения, и спустя три года персоналки от IBM основательно потеснили Apple на рынке «домашних» компьютеров. После провала Apple III многие инженеры, работавшие над этой машиной, покинули компанию, что сильно сказалось не только на ее репутации, но и на технологическом потенциале.

#Разное

🗺 Дорожная карта ИБ специалиста.

• https://dfedorov.spb.ru/edu/ — очень объемная "дорожная карта", которая поможет Вам определить необходимый пул требований \ знаний для различных специальностей в сфере ИБ. Схема составлена на основе анализа текущих вакансий.

#ИБ

👩‍💻 Kubernetes security fundamentals: Authentication.

• Kubernetes authentication principles;
• Internal Kubernetes authentication methods;
- Static token authentication;
- Bootstrap tokens;
- X.509 client certificates;
- Service account tokens;
• External authentication methods;
- OpenID Connect (OIDC);
- Webhook token authentication;
- Authenticating proxy;
- Impersonating proxy;
• Authentication for other Kubernetes components;
- Kubelet;
- Controller manager and scheduler;
- Kube-proxy;
- Etcd;
• Conclusion.

#Kubernetes

🤝 Переговоры с шифровальщиками. Реальные переписки.

• Автор этого репозитория собрал реальные переписки с вымогателями за последние годы и разделил материал по группировкам. Посмотрите, как общаются хакеры в чатах с жертвами:

➡ https://github.com/Casualtek/Ransomchats

• Дополнительный материал:

➡ https://habr.com/post/790526/

#Ransomware

👤 Можно ли оставаться анонимным внутри государства, которое закрыло весь внешний Интернет?

• Существующие популярные анонимные сети, подобия Tor или I2P, хороши своим прикладным использованием, а также относительно хорошей скоростью и лёгкостью настройки. Они также хороши и непосредственно в анонимизации трафика, когда нам необходимо скрыть истинную связь между отправителем и получателем, основываясь на принципе федеративности, то есть на свойстве, при котором узлы сети расположены в разных государствах, а сама цепочка маршрутизации проходит сквозь множество несвязанных между собой узлов.

• Но что делать, если государство единственно, как выстраивать маршруты в целях анонимизации, если нет никакого сетевого доступа в другие государства? Что делать, если все доступные государства находятся в своеобразном картеле, где сам принцип федеративности теряет свой основной замысел?

➡️ https://habr.com/post/753902/

#Анонимность

👨‍💻 Instant Workstation.

• Один из многочисленных сервисов для запуска ОС прямо в браузере. Для работы доступны Linux, BSD, Haiku, Redox, TempleOS и Quantix.

➡️ https://instantworkstation.com/virtual-machines

#Разное