A Kernel Hacker Meets Fuchsia OS

Alexander Popov (me) published an article about hacking the Zircon microkernel of Fuchsia OS.

Experience in Linux kernel security helped to assess Fuchsia OS from the attacker's point of view.

Summary:
🟪 Fuchsia security architecture
🟪 Exploit development experiments for the Zircon microkernel
🟪 PoC attack planting a rootkit into the microkernel

Tetragon - eBPF-based Security Observability & Runtime Enforcement

https://isovalent.com/blog/post/2022-05-16-tetragon

#ebpf #observability #monitoring #k8s #kubernetes

Чего-то они поздно проснулись. С 1 марта уже как порезан HashiCorp для РФ.

Разработчики платформы «Гостех», которую создает «Сбер» по заказу правительства, столкнулись с ограничениями при попытке получить доступ к официальным обновлениям программного обеспечения Terraform. Об этом «Ведомостям» рассказали топ-менеджер и сотрудник двух крупных российских разработчиков ПО. Теперь, утверждают они, разработчики «Гостеха» вынуждены клонировать программный код и поддерживать его собственными силами, что создает риски для всей системы.

Полная статья требует деньгов

«Гостех» не смог обновить иностранное ПО
https://www.vedomosti.ru/technology/articles/2022/05/26/923861-gosteh-inostrannoe-po

> не хватает вычислительных мощностей для перехода на российские решения

Киберзащита ударила по бюджетам
https://www.kommersant.ru/doc/5380208

> Около 60% российских компаний после ухода иностранных вендоров по кибербезопасности столкнулись с ростом цен на отечественные решения для защиты информационной безопасности, при этом почти половина опрошенных столкнулись с задержкой поставок отечественного ПО, также компании регулярно сталкиваются с проблемами работоспособности софта

Больше половины компаний в РФ столкнулись с ростом цен на киберзащитные решения на 20%
https://tass.ru/ekonomika/14776353

Универсальный Helm-чарт для ваших приложений
https://habr.com/ru/company/nixys/blog/657359/
+
https://github.com/nixys/nxs-universal-chart

HPE announces orderly exit of Russia, Belarus

https://www.hpe.com/us/en/newsroom/statement/2022/06/hpe-announces-intention-for-orderly-exit-of-russia-belarus.html

Comparing Ceph, LINSTOR, Mayastor, and Vitastor storage performance in Kubernetes

https://blog.flant.com/kubernetes-storage-performance-linstor-ceph-mayastor-vitastor

#ceph #linstor #k8s #kubernetes #vitastor #mayastor

Порой услуги по прошивке партии шуйхуо предлагаются по ценам ниже себестоимости. И чтобы хоть как-то на этом зарабатывать, шуадзи придумали схему монетизации на рекламных контрактах: в прошивку телефона внедряется троян-загрузчик или бэкдор, позволяющий собирать информацию с устройства и устанавливать на него любые приложения по команде с управляющего сервера. За каждую такую установку шуадзи получают вознаграждение от разработчиков софта. Такой порядок вещей устраивает абсолютно всех: фабрики отгружают вагонами «пустые» трубки, посредники прошивают их практически задаром, шуадзи зарабатывают на установках «левого» софта, производители этого софта наживаются благодаря открутке на смартфоне рекламы, а проблемы индейцев конечных пользователей никого не волнуют.

Охота на бройлеров. Как работают китайские телефонные хакеры
https://habr.com/ru/company/ruvds/blog/665388/

День мобильных историй сегодня

In our research, we used the Motorola Moto G20 (XT2128-2) with the Android January 2022 update (RTAS31.68.29) as a test device. The device is based on the UNISOC T700 chip.

Vulnerability within the UNISOC baseband opens mobile phones communications to remote hacker attacks

https://research.checkpoint.com/2022/vulnerability-within-the-unisoc-baseband/

> «Но проблема не только в опасениях, что российские производители карт не смогут обеспечить спрос,— поясняет собеседник “Ъ” на платежном рынке.— В марте цены на болванки карт "Мир" превышали €9». Сейчас, говорит источник “Ъ”, они доходят до €7, тогда как до пандемии карты стоили для банков по €0,4 за штуку. «Проблема с чипами известна, пусть они подорожали в четыре раза, даже в пять, но тогда карта должна стоить €1,5–2»,— подчеркивает собеседник “Ъ”.

> Допуск иностранных производителей карт, добавляет эксперт, «несет в себе стандартные риски — непредсказуемость с точки зрения возможного прекращения поставок и необходимость проверки наличия недокументированных возможностей — закладок».

https://www.kommersant.ru/doc/5391913

O’Reilly и CockroachDB выкатили. Читается легко.

Paul Modderman, Jim Walker, Charles Custer. What Is Distributed SQL? Scale, Resilience, and Data Locality for Modern Applications. 2022.

Не многие знают, но я периодически провожу тренинг "Cloud Native безопасность в Kubernetes" — это 3-х дневное обучение для компаний. Это теоретический курс, который покрывает абсолютно все аспекты безопасности Kubernetes, но обратной стороной его всеобъемлемости является отсутствие практики.

И вот мы с товарищем некоторое время назад решили это исправить и сделать практику, которая будет выполнена в виде специальной лаборатории (образ VM).

Какие основные идеи мы туда закладываем:
- Обучение без учителя (задания и прохождения в одном флаконе для спокойного самостоятельного изучения)
- Упражнения на все темы какие только возможны в области безопасность Kubernetes
- Упражнения на атаку и защиту
- Знакомство со множеством OpenSource проектов
- Minikube в несколько Nodes (ничего ставить не надо)
- CNI на выбор calico и cilium (важно для темы NetworkPolicy)

Мы рассчитываем все завершить к концу 3-4 квартала этого года. Будем рады услышать любые идеи и предложения!