Бортовой журнал

Более 2 млрд паролей в руках злоумышленников: как помогает автоматизация обработки утечек данных

VK/Mail.ru обнародовала шокирующие данные о суммарном объёме уникальных логинов и паролей, утёкших в открытый доступ. Масштаб проблемы — явно нешуточный, но российская компания сумела выстроить эффективную систему противодействия угрозам.

https://www.anti-malware.ru/analytics/Technology_Analysis/2B-passwords-leaked-what-to-do

В России должны появиться отечественные игровые приставки Когда ждать появления российских Xbox и PlayStation и кто будет их покупать?

Владимир Путин поручил правительству проработать вопрос об организации производства приставок и консолей. Речь идет о запуске производства как стационарных, так и портативных приставок, а также о создании ОС и облачной системы доставки игр и программ будущим владельцам отечественных консолей. Кабмин должен представить свой доклад по этому вопросу до 15 июня.

Такого российские геймеры и представители игровой индустрии от президента, наверное, не ожидали. Продолжает игровой журналист, шеф-редактор игрового сайта Riot Pixels Владимир Горячев: «Слушая эту новость, я вообще удивился, что президенту пришлось дать поручение и что никакая компания не взялась за производство консолей, за создание экосистемы. У нас ведь много богатых компаний, которые могли бы этим заняться, но почему-то никто не хочет. Странно, что пришлось команду сверху давать, я этим очень удивлен. Это прибыльно, если делать все правильно, как показывает опыт Nintendo Switch, Xbox, PlayStation. Сейчас проблема в том, что доступ к играм на этих консолях и к самим консолям в России, мягко говоря, ограничен. Есть большой рынок, который можно окучить, а вот с технической базой, я боюсь, все сложнее».

Относительно несложно наладить в России выпуск портативных консолей — там не требуются сверхмощные процессоры и видеочипы. Хватит тех платформ, которые уже используются в современных смартфонах. Другое дело, что сами смартфоны уже практически вытеснили с рынка портативные консоли. По сути, единственная платформа, которая сегодня осталась, — это как раз Nintendo Switch. Да и то во многом из-за популярных игр, которые нигде больше недоступны. Что же касается стационарных приставок, таких как Xbox и PlayStation, то это, по сути, уже достаточно мощные игровые компьютеры на базе современных чипов. Наладить выпуск таких консолей в России будет проблематично в ближайшей перспективе — отечественных процессоров и для обычных компьютеров пока не хватает.

«Аэрофлот» переводит сотрудников и бортпроводников на отечественные планшеты Российская авиакомпания «Аэрофлот» переходит с планшетов iPad на российские устройства от IT-холдинга Fplus. Об этом «Ведомостям» сообщили представители авиакомпании и производителя планшетов. Fplus выиграла конкурс на поставку планшетов в конце 2023 г., сообщили в компании. К поставке планируются модели планшетов Т1100 на ОС «Аврора», уточнил представитель холдинга.

Представитель разработчика операционной системы – компании «Открытая мобильная платформа» – уточнил, что всего авиакомпания приобрела 9000 отечественных планшетов для сотрудников и бортпроводников, которые будут поставлены в течение 2024 г. Представитель «Аэрофлота» уточнил, что компания заключила контракт на 11 500 планшетов. Максимальная объявленная стоимость в рамках открытой процедуры закупки составляла почти 577 млн руб., уточнил он. В «Аэрофлоте» и Fplus итоговую сумму закупки комментировать не стали.

Чипы «Байкал» упакуют в корпус в России

С 2021 года в эксперименте участвует завод GS Group в Калининградской области, теперь к нему присоединились «Миландр» и «Микрон» в Зеленограде. В чем заключается процесс корпусирования и для чего нужна его локализация?

Разработчик российских микропроцессоров локализует один из этапов производства. «Байкал электроникс» планирует запустить корпусирование своих чипов в Зеленограде. Процессор в кристалле кремния — это «полуфабрикат». Чтобы использовать его, допустим, в компьютере, этот кремний нужно поместить в корпус с контактами для установки на материнскую палату. Этот процесс и называется «корпусирование».

О том, из каких этапов он состоит, рассказывает руководитель СКБ робототехника МИЭТ Станислав Шепелев:

«У вас есть интегральная микросхема, вы ее изготовили, проверили определенным образом на пластине, после этого разделяется на отдельную микросхему, и эта микросхема устанавливается на определенную заготовку — зависит от типа корпуса, это может быть подложка, может быть рамка. После этого контакты микросхемы соединяются с контактами либо подложки, либо рамки, а потом это в зависимости от техпроцесса может быть закрыто специальным компаундом. Это, безусловно, очень важный этап для локализации микроэлектроники, если вы соберетесь делать какие-то микросхемы для промышленности или для потребителей — именно для продукции общего назначения».

Компания «Байкал электроникс» уже запустила эксперимент по корпусированию своих чипов на линиях GS Group в Калининградской области. По информации «Ведомостей», разработчик российских чипов, которые раньше выпускали на Тайване на линиях TSMC, столкнулся с проблемами. В Калининграде «больше половины партий чипов на выходе оказываются бракованными», рассказал один из собеседников издания. По словам источников, причиной может быть и неправильная настройка оборудования, и недостаточная квалификация персонала, который на этом оборудовании работает. Тем не менее эксперимент решено расширить. Компания «Байкал электроникс» намерена запустить корпусирование чипов на мощностях компаний «Миландр» и «Микрон» в Зеленограде. О сроках никакой информации пока нет.

**Kerberos простыми словами ** Хотя в названии статьи фигурирует «простыми словами» однако эта статья предполагает, что читатель уже имеет какое‑то представление о Kerberos.

https://habr.com/ru/articles/803163/

Российский аналог Zoom – IVA Technologies планирует IPO На фоне активного импортозамещения софта ушедших из России вендоров отечественные разработчики ПО активно осваивают биржевые размещения.

Разработчик сервиса видеоконференцсвязи (ВКС) IVA Technologies собирается провести IPO в течение 2024 г. Об этом «Ведомостям» рассказали два собеседника в различных компаниях – разработчиках софта. По словам еще одного источника в инвестиционном подразделении крупного банка, знакомого с планами компании, IVA Technologies может выйти на биржу уже до конца III квартала. По словам другого собеседника, знакомого с планами IТ-компании, разработчик уже нанял банковских консультантов и юристов, а сделка будет предусматривать и продажу акций действующих акционеров.

Представитель потенциального эмитента не стал комментировать информацию о возможном IPO. «Как и любая успешная компания, IVA Technologies рассматривает различные стратегические варианты развития, однако о каких-либо конкретных планах говорить преждевременно», – заявил он.

Министр цифрового развития Максут Шадаев ставит IT-отрасли условия для продления налоговых льгот Минцифры обсуждает возможность продления льготы по налогу на прибыль для IT-компаний с определенным порогом выручки. Об этом министр Максут Шадаев завил на расширенном заседании комитета по информполитике Госдумы 26 марта. Решение по пролонгации льгот будет принято после получения агрегированных данных от ФНС по налогам за 2023 г., добавил он.

Закон, обнуливший налог на прибыль до 2024 г. для IT-компаний, был принят весной 2022 г. Он был одной из мер поддержки для IT-сектора после введения санкций США и ЕС. До этого, с 2020 г., налог для отрасли был понижен с 20 до 3%, эта норма действовала бессрочно.

«Мегафон» закончил тесты российских маршрутизаторов и начал их внедрять «Мегафон» начал внедрение отечественных маршрутизаторов в работающую сотовую сеть. До этого оператор проводил лишь лабораторные тесты. Маршрутизаторы B4Com – элемент базовой станции (БС), который отвечает за перераспределение трафика – уже установлены на нескольких десятках станций в Москве, Татарии и Свердловской области, уточнил представитель «Мегафона». Сотрудничество также подтвердил представитель B4Com. До конца 2024 г. оператор планирует расширить пилотный проект до нескольких сотен единиц, а также внедрить новое оборудование в других регионах России.

По словам представителя «Мегафона», новое оборудование способно пропускать трафик на скорости 100 Гбит/c, а также позволяет увеличить пропускную способность сети и организовать один или несколько резервных маршрутов пропуска трафика до БС для обеспечения бесперебойной связи. То есть по своим техническим характеристикам оно сопоставимо с иностранными аналогами, которые оператор использовал ранее, уверяет собеседник.

Глава Минцифры: выручка IT-компаний в РФ выросла на 43% по итогам прошлого года Выручка российских IТ-компаний выросла на 43% в 2023 г. и составила 5,5 трлн руб., сообщил глава Минцифры Максут Шадаев.

«Выручка компаний IТ-отрасли за прошлый год выросла более чем на 40%», – заявил Шадаев на заседании комитета Госдумы по информполитике.

В его презентации указывалось, что рост в сравнении с 2022 г. составил 43,2%, а по сравнению с 2019 г. выручка IТ-компаний из России выросла в 2,6 раза.

17 января вице-премьер России Дмитрий Чернышенко заявлял, что ожидаемая выручка лидирующей сотни российских IТ-компаний увеличится в 2,5 раза до 5,3 трлн руб. благодаря реализации нацпроекта «Экономика данных». Чернышенко отмечал, что к 2030 г. государством будет поддержано не менее 1000 IТ-стартапов.

Российские IT-компании заинтересованы в покупке отечественных разработчиков ОС VK, «Ростелеком», «Росатом» и МТС рассматривают возможность приобретения российских разработчиков операционных систем. Речь идет о «Базальт СПО», «Ред Софт», ГК «Астра» и НТЦ ИТ РОСА, пишет «Коммерсантъ» со ссылкой на источники на IT-рынке.

По словам собеседников газеты, активность инвесторов может быть обусловлена стремлением холдингов «выстраивать собственные экосистемы IT-продуктов». В то же время разработчикам это позволит ускорить создание продуктов благодаря притоку финансирования, считают эксперты.

Создатель венчурного фонда «Стриго Кэпитал» Дмитрий Комиссаров подтверждает интерес крупных IT-компаний, в том числе VK и МТС, к приобретению разработчиков ОС. Явными кандидатами для приобретения он назвал «Базальт СПО» и «Ред Софт». По оценке эксперта, из-за растущей выручки разработчиков стоимость «Базальт СПО» может достигать 5–8 млрд руб., «Ред Софта» – 9-12 млрд руб.

Глава НП «Руссофт» Валентин Макаров полагает, что интерес IT-холдингов к разработчикам ОС вызван необходимостью импортозамещения, появлением новых обязательств для критической информационной инфраструктуры по переходу на российские решения, а также планами по созданию собственной электроники.

Иностранные разработчики софта, в том числе Microsoft, покинули российский рынок после начала спецоперации на Украине в феврале 2022 г. Это позволило отечественным IT-компаниям нарастить выручку при отсутствии конкурентов. Так, у производителя аналога Microsoft Office – «Мойофиса» - показатель вырос в четыре раза в 2022 г. до 3,3 млрд руб. Выручка производителя ПО «Ред софт» в 2022 г. выросла вдвое до 1,29 млрд руб. Оборот ГК «Астра» в 2022 г. вырос в 2,7 раза год к году и составил 6,4 млрд руб. против 2,4 млрд в 2021 г.

В июне прошлого года президент России Владимир Путин поручил отечественным госкомпаниям с начала 2025 г. перейти на российские операционные системы и офисные пакеты, системы виртуализации и управления баз данных.

Ранее аналогичное требование действовало только к объектам критической информационной инфраструктуры. Госкомпаниям и всем, кто делает закупки по 223-ФЗ, было запрещено с 2022 г. закупать для использования на объектах критической информационной инфраструктуры зарубежные ИТ-решения, а с 2025 г. – их использовать.

Разработчик процессоров Baikal локализует один из этапов производства Разработчик процессоров Baikal компания «Байкал электроникс» расширит эксперимент по корпусированию своих чипов в России. Еще в ноябре 2021 г. компания начала тестировать этот технологический процесс на мощностях российского холдинга GS Group в Калининградской области, а теперь запустит его на мощностях «Миландра» и «Микрона» в Зеленограде (округ Москвы). Об этом «Ведомостям» рассказали два источника в компаниях – производителях радиоэлектронной продукции.

Корпусирование – процесс установки полупроводниковых кристаллов в корпус, завершающая стадия производства процессоров. До 24 февраля 2022 г. «Байкал электроникс» заказывала производство чипов, в том числе их корпусирование, на тайваньской фабрике TSMC. В 2021 г. «Байкал электроникс» выпустила 130 000 процессоров. Компания планировала нарастить годовые объемы производства до 600 000 чипов к 2025 г. Но после введения санкций в отношении российских компаний TSMC прекратила сотрудничество. В 2022 г. 300 000 процессоров Baikal, уже выпущенных TSMC, не стали отгружать в Россию.

Минцифры планирует создать систему для выявления дипфейков

Но ее эффективность зависит от того, захотят ли участвовать онлайн-платформы.

Минцифры займется созданием платформы для выявления дипфейков, созданных с помощью технологий искусственного интеллекта (ИИ), рассказал «Ведомостям» представитель министерства. Соответствующее поручение министерству дал премьер Михаил Мишустин по итогам прошедшей в конце декабря 2023 г. стратегической сессии, посвященной нацпроекту «Экономика данных».

«Обсуждается возможность создания единой платформы, которая будет выявлять недостоверную информацию, сгенерированную в том числе с помощью технологий ИИ, – пояснил представитель Минцифры. – Предложено предварительно провести научно-исследовательские работы по обозначенной тематике». Собеседник не уточнил, когда планируется запуск платформы и кто займется ее разработкой.

https://www.vedomosti.ru/technology/articles/2024/03/21/1026954-mintsifri-planiruet-sozdat-sistemu-dlya-viyavleniya-dipfeikov

Microsoft отказывается от 1024-битных RSA-ключей в Windows

Microsoft уведомила пользователей и организации о скором отказе от 1024-битных RSA-ключей в Windows Transport Layer Security (TLS). Новые минимальные требования — 2048 бит — помогут повысить защищённость аутентификации

https://www.anti-malware.ru/news/2024-03-19-111332/42988

Бизнес переходит с иностранных IT-решений на коммерческий Open Source Это спровоцировали уход иностранных вендоров и риски бесплатного открытого кода.

Доля коммерческих решений, созданных на основе открытого исходного кода (Commercial Open Source Software, COSS), еще к середине 2023 г. в корпоративном сегменте выросла в 3 раза – до 12% против 4% в конце 2022 г. Речь идет о таких решениях, как операционная система Astra Linux или система управления базами данных Arenadata. Такие данные привел Институт изучения мировых рынков (ИИМР). Всего к COSS аналитики отнесли программные продукты 26 российских разработчиков.

Аналитики анализировали закупки более сотни крупных и средних заказчиков ПО, таких как НЛМК, «Почта России», Росбанк, Росводоканал и др. в феврале – июне 2023 г. Например, COSS-решениями в области хранения данных уже пользуются X5 Group, «Магнит», «Ашан», «Рив гош», «Комус», «Газпром нефть», ВТБ, Росбанк, ПСБ, Дом.РФ, ФНС и другие организации, говорится в исследовании.

Минпромторг предложил создать совет для разработки индустриального софта В него могут войти химики, металлурги и ТЭК.

Необходимо сформировать межотраслевой архитектурный совет для совместной разработки различных IT-решений, необходимых для химической, металлургической, нефтегазовой и нефтехимической отраслей. С такой инициативой выступил директор департамента цифровых технологий Минпромторга Владимир Дождев на демодне индустриального центра компетенций (ИЦК) «Химия» 14 марта. По словам Дождева, такой совет поможет промпредприятиям перейти от закрытых иностранных платформ к открытым архитектурам, созданным в том числе на базе решений с открытым исходным кодом.

Дождев уточнил, что Минпромторг готов поддержать инициативу, но ее должны проявить сами компании. В пример Дождев привел межотраслевую рабочую группу, организованную для совместной разработки АСУ ТП (автоматизированной системы управления технологическим процессом).

Россия готовит правовую базу для признания белорусских чипов российскими Правительство готовит правовую базу для признания белорусских материалов и компонентов (чипы, платы и т. д.) российскими. Проект соответствующего постановления, подготовленного Минпромторгом, был опубликован на сайте нормативных правовых актов 12 марта.

Документ вносит изменения в постановление от 17 июля 2015 г. № 719. Это постановление содержит критерии для признания продукции произведенной на территории России. Для получения статуса российского продукта введена специальная балльная система, в которой установлено минимальное количество баллов для попадания в реестр Минпромторга. Баллы начисляются за счет использования в производстве товара российских комплектующих и техпроцессов, которые налажены на территории страны.

Серия вебинаров УЦСБ «Безопасность КИИ и требования 187-ФЗ» в далёком доВСЕГОшнем, как говорится, 2018 году пользовалась весьма неплохой популярностью - суммарная пара десятков тысяч просмотров не даст тут соврать. Но с тех пор и законодательных актов существенно прибавилось, да и практического опыта удалось накопить немало - первые клиенты, для которых проводилось категорирование, успели уже и СОИБ построить и плановые проверки ФСТЭК России пройти.

В общем, думаю, понятно, куда я клоню =) Всё верно - мои коллеги из аналитического центра УЦСБ “перезапускают легендарную франшизу” и завтра, 19 марта, проводят первый вебинар серии «Как защитить КИИ от киберугроз». Присоединяйтесь и вы к слушателям: https://www.kiiussc.ru

Крупнейший российский производитель микроэлектроники собрался на IPO Группа компаний «Элемент» планирует выйти на биржу до конца 2024 г. Об этом «Ведомостям» рассказали четыре собеседника, знакомых с ходом подготовки к IPO. Двое из них знают о том, что «Элемент» рассчитывает получить оценку в 100–150 млрд руб. и планирует привлечь 10–15 млрд руб. для финансирования масштабной инвестпрограммы. Если ожидания компании по капитализации оправдаются, это IPO может стать самым крупным для российского технологического сектора за последние несколько лет.

«Элемент» – крупнейший производитель российской микроэлектроники. Компания была создана в 2019 г. на базе активов АФК «Система» и «Ростеха». Основная цель партнерства заключалась в создании единого национального центра компетенций в области микроэлектронной компонентной базы и обеспечении технологического суверенитета страны в этой области. Обе стороны внесли в совместное предприятие 19 организаций, работающих в области разработки, производства и дизайна микроэлектроники. В «Элемент», например, вошел крупнейший производитель чипов в России – зеленоградский «Микрон».

Deepvoice = Deep Trouble. Новая схема атаки с помощью генерации голоса знакомых и коллег

В начале 2024 года в России появилась новая схема атак на людей — в ней злоумышленники вымогают деньги голосами родственников и друзей, а в корпоративных фродах — голосами руководителей.

Генерация голоса уже замечена в схеме Fake Boss, схеме с поддельным фото банковской карты и схеме угона аккаунта в соцсетях. Больше всего случаев встречается в Телеграме — мошенники взламывают аккаунт, генерируют голос владельца аккаунта и рассылают по всем чатам короткое голосовое сообщение с просьбой выслать денег.

Мы разобрали новую схему по шагам — на примерах рассказываем об атаке на людей, а в конце даем советы, как защитить аккаунты и противостоять новой схеме.

https://habr.com/ru/companies/StartX/articles/800299/

Грубая сила. Брутим RDP,SSH,VNC, Instagram и стандартные формы веб-аутентификации

https://habr.com/ru/articles/799249/

Российский medtech-рынок в 2023 году вырос на 27% Главным стимулом роста стала потребность в импортозамещении, считают эксперты.

Объем российского medtech-рынка в денежном выражении в 2023 г. увеличился на 27% до 46,63 млрд руб., говорится в отчете агентства Smart Rankings, с которым ознакомились «Ведомости». В такую сумму аналитики компании оценили суммарную выручку 70 самых крупных игроков сегмента, в который входят IT-технологии, применяемые в здравоохранении. Основной годовой прирост рынка по-прежнему приходится на сегмент телемедицины, но большую долю в medtech занимает сфера разработчиков программного обеспечения, говорится в отчете.

Оценка в 47 млрд руб. «близка к реальности и даже может быть несколько больше», считает основатель medtech-стартапа Unim Алексей Ремез. Он считает, что драйверами данного рынка являются импортозамещение, в рамках которого пишутся различные программные продукты, и достаточно стремительное развитие телемедицины. «Но нужно учитывать, что в случае телемедицины присутствует эффект низкой базы», – уточняет бизнесмен.

Пароль как мелодия. Генерация стойких паролей в музыкальных аккордах

Несмотря на популярность парольных менеджеров, никто не отменяет необходимость в реальном запоминании длинных стойких паролей. В крайнем случае, мастер-пароль для самого парольного менеджера ведь надо запомнить.

К сожалению, человеческая память не приспособлена для запоминания абсолютно случайных символов, включая буквы в разных регистрах, цифры и специальные символы. Лучшие профессионалы на чемпионате мира по памяти используют ассоциации и фантазию с выстраиванием сюжета истории, в которой последовательные карты или цифры ассоциируются с различными объектами и действиями. В виде истории можно запомнить очень длинную последовательность событий (случайных символов) с первого-второго раза.

Но существуют более простые методики.

https://habr.com/ru/companies/globalsign/articles/799191/

Московский инфраструктурный гигант закупает «операционную систему специального назначения» Московские «Россети» продлят лицензии софта от «Лаборатории Касперского», Positive Technologies и других. Будет закуплена «операционная система специального назначения» от «Астры».

Как выяснил CNews, «Россети Московский регион» закупят программное обеспечение (ПО) систем информационной безопасности (ИБ) почти на 290 млн руб.

Тендер был размещен на сайте госзакупок 6 марта 2024 г. Участники могут подать заявки до 22 марта 2024 г. 10 апреля 2024 г. будет определен победитель торгов.

Одной из основных закупаемых позиций станет «ОС специального назначения» от «Астры».

Участник должен иметь лицензию ФСБ России, а поставляемый софт должен быть в реестре Минцифры. Помимо этого, юридическое лицо должно будет предоставить справку о цепочке собственников со всеми подтверждающими документами, справку об аффилированности и подтверждающие документы из ЕГРЮЛ.

В документе указан перечень передаваемых прав на использование конкретного ПО «Россетями». На момент публикации материала в нем присутствует софт от «Лаборатории Касперского», Positive Technologies, «Киберпротект», «РусБИТех-Астра» и других.

Компания Apple не только заблокировала приложения КриптоПро в App Store из-за введённых санкций, но и отозвала сертификат подписи кода продуктов для операционных систем macOS, из-за чего те, в частности, перестают корректно открываться после обновления ОС: https://www.cryptopro.ru/forum2/default.aspx?g=posts&t=22960

Пошаговые инструкции от вендора: https://support.cryptopro.ru/index.php?/News/NewsItem/View/21/blokirovk-produktov-kriptopro-kompniejj-apple

Система распознавания лиц Москвы помогла найти 26 тысяч преступников

Более 26 тысяч человек, находящихся в розыске, удалось установить в Москве с 2020 года благодаря системе распознавания лиц, сообщает портал мэрии столицы.

Городская система видеонаблюдения насчитывает около 230 тысяч видеокамер, установленных на объектах городской инфраструктуры.

За последние 13 лет общее количество квартирных краж сократилось в 35 раз, разбоев — в десять раз, грабежей — в 14 раз.

https://www.bfm.ru/news/545363

На льготы сможет претендовать больше IT-компаний

Минцифры хочет упростить правила попадания в реестр аккредитованных при министерстве IT-компаний. Проект соответствующего постановления правительства был опубликован на портале нормативных актов 5 марта. При принятии документа большинство изменений должно вступить в силу с 1 мая 2024 г.

В частности, ведомство предложило не проверять долю IT-дохода у малых технологических компаний, созданных менее трех лет назад. «Если компания получила аккредитацию [в реестре Минцифры] в год своего создания, то она может в этот год не проходить плановую процедуру подтверждения», – отмечается в документе.

Мошенники начали активно выманивать образцы голосов граждан

В интернете выросло количество объявлений с предложением о платной озвучке рекламы и фильмов, публикуемых мошенниками. Сами по себе эти объявления не являются мошенническими, но собранные дата-сеты голосов злоумышленники используют для обучения нейросетей и генерируют на их основе аудиосообщения, с помощью которых вымогают деньги у друзей и родственников жертвы. О том, что такая схема набирает популярность, говорится в исследовании компании по кибербезопасности Angara Security.

По словам представителя Angara Security, большая часть таких объявлений размещена в Telegram, но используются и другие ресурсы, например Habr или спам-звонки с предложением заработать на «большом проекте». Согласно исследованию, количество таких сообщений без учета спам-звонков в 2021 г. составляло 1200, в 2022 г. их количество выросло в четыре раза – до 4800, а к 2023 г. достигло 7000.

https://www.vedomosti.ru/technology/articles/2024/03/01/1023113-moshenniki-nachali-aktivno-vimanivat-obraztsi-golosov-grazhdan

Как взламывают биометрию и заставляют нейросети придумывать способы атак: топ-6 докладов с PHDays о ML и AI

Подборка докладов прошлых лет на ML-треке PHDays.

https://habr.com/ru/companies/pt/articles/797241/

Вышла моя статья на Anti-Malware, конечно же, про КИИ =)

Запрет иностранных решений в КИИ: как обстоят дела в реальности

Рассмотрим, какие нормативные правовые акты реально регулируют применение иностранных решений в КИИ, какие действуют ограничения и запреты, где всё ещё могут быть использованы альтернативные варианты.

https://www.anti-malware.ru/analytics/Technology_Analysis/CII-foreign-components-prohibition

Что случилось: Пользователи Xiaomi по всему миру сообщают об обновлении, которое окирпичивает их смартфоны.

Как избежать: Применять Методику тестирования обновлений безопасности программных, программно-аппаратных средств ФСТЭК России =)

А если серьёзно - пока отключить автообновление.

Источник новости: https://wylsa.com/polzovateli-xiaomi-po-vsemu-miru-soobshhayut-ob-obnovlenii-kotoroe-okirpichivaet-ih-smartfony/

Обсуждение в Xiaomi Community: https://c.mi.com/ru/post/380340

Методика ФСТЭК России: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/metodicheskij-dokument-ot-28-oktyabrya-2022-g

+Публикация в Ведомостях: https://www.vedomosti.ru/technology/news/2024/02/29/1023061-polzovateli-smartfonov-xiaomi-stolknulis

Биометрические системы Apple и их безопасность

Сегодня у большинства людей на их мобильных устройствах стоят код-пароли — это может быть как короткий пин-код, так и пароль с использованием букв и цифр. Но несколько десятков раз на дню вводить его было бы просто неудобно. Поэтому многие компании придумали, как упростить процесс разблокировки своих девайсов с помощью биометрии — отпечаток пальца, сканирование лица или сетчатки глаза. Все эти способы имеют свои плюсы и минусы, но в общем-то свою основную задачу успешно выполняют — быстро разблокируют устройство.

Биометрия не является полноценной заменой код-пароля, так как при работе с настройками безопасности и раз в 48 часов вам обязательно нужно его вводить. Тем не менее, она существенно упрощает жизнь. С другой стороны, в случае код-пароля единственным носителем этой информации является ваш головной мозг (да, да, автор не в курсе о существовании бумаги и ручки, всё так), откуда вытащить информацию, конечно, можно, но это очень сложно. Казалось бы, с биометрией всё точно также. Но нет. При определенном старании вы можете заполучить биометрию владельца незаметно для него: отпечаток пальца, параметры лица, ну и сетчатку глаза (это наиболее труднодоступная информация, но из головного мозга достать пароль всё ещё сложнее, не прибегая к известным методам).

Поэтому с помощью биометрии вы не можете получить доступ к тем же настройкам безопасности — вас в любом случае обяжут вводить пароль.

Ещё один путь, по которому можно пойти, дабы заполучить доступ к вашей информации — это взломать устройство, в памяти которого находятся биометрия и пароль. Именно поэтому компании особенно тщательно оберегают такие данные не только на программном уровне, но и на аппаратном. Как? Давайте поговорим об этом, предварительно рассмотрев, каким образом, собственно, работает сканирование вашей биометрии.

https://habr.com/ru/companies/first/articles/795461/

Бизнес увеличил закупки российских компьютеров в 2023 году на 70% Продажи офисных компьютеров (системных блоков, рабочих станций и моноблоков) в корпоративном секторе России выросли в 2023 г. на 71% до 100 000 шт. Об этом рассказала «Ведомостям» вице-президент компании – дистрибутора техники OCS Distribution Ольга Доровская.

По подсчетам одного из крупных дистрибуторов, все российские компании произвели в 2023 г. 500 000 системных блоков, моноблоков и рабочих станций. В последние два года российский бизнес планомерно наращивает закупки компьютерной техники российского производства. В 2022 г. закупки системных блоков, моноблоков и рабочих станций в корпоративном секторе по сравнению с 2021 г. увеличились на 67%, уточнила Доровская.

В OCS Distribution не раскрывают конкретных производителей, чье оборудование пользовалось спросом, но Доровская уточнила, что речь идет о 20 крупнейших отечественных брендах. Самыми востребованными отечественными ПК в России в 2023 г. были персональные компьютеры DNS (DEXP), iRu, ICL, Depo и «Аквариус», отмечает основатель компании «Роббо» Павел Фролов. Спрос связан с качеством, сопоставимым с иностранными аналогами, подчеркивает он.

Яндекс ID запустил вход по лицу или отпечатку пальца

Яндекс ID продолжает развивать беспарольную авторизацию. Теперь входить на сервисы Яндекса и внешние сайты можно по отпечатку пальца или по лицу — не нужно вводить пароль или коды.

Новый беспарольный способ входа стал доступен благодаря внедрению веб-стандарта WebAuthn. Он соответствует высоким требованиям безопасности и конфиденциальности и не позволяет воспроизвести ключ со стороннего устройства или его подделать. Яндекс ID не имеет доступа к информации о лице и отпечатке пользователя — эти данные хранятся на устройстве и никуда не передаются.

Чтобы подключить новую функцию, нужно войти в личный кабинет Яндекс ID и создать ключ для устройства в разделе «Вход по лицу или отпечатку». У одного аккаунта может быть до десяти ключей для разных устройств — не только смартфонов, но и, например, умных часов или USB-ключей YubiKey для ПК.

https://ir.yandex.ru/press-releases?year=2024&id=01-27-02-2024

Сбербанк занялся производством серверов для собственных нужд По мнению экспертов, этот проект нужен банку для импортозамещения своих закупок.

Сбербанк занялся производством серверов, рассказали «Ведомостям» три источника в компаниях – производителях вычислительной техники и подтвердил представитель банка. Оборудование используется для внутренних нужд банка и адаптировано под работу в собственных дата-центрах, добавил представитель «Сбера». Банк практически «завершил вывод из эксплуатации проприетарных программно-аппаратных комплексов» других вендоров, уточнил собеседник, не назвав долю оставшейся в работе «чужой» техники.

По словам представителя банка, речь идет о производстве серверов собственного дизайна на архитектуре x86. Сбербанк собирает серверы на процессорах Intel и AMD, говорит собеседник в одном из производителей вычислительной техники. Банк планирует подать заявку на включение своих серверов в реестр отечественной радиоэлектронной продукции Минпромторга, отметил представитель «Сбера». Пока требования реестра позволяют включать в него оборудование на иностранных процессорах.

ВТБ до конца года пересадит все 86 000 сотрудников на ОС Astra Linux На закупку российской ОС для всего персонала может потребоваться не менее 1 млрд рублей, говорят эксперты.

Банк ВТБ до конца 2024 г. рассчитывает перевести всех своих сотрудников на российскую операционную систему Astra Linux и закупил необходимое количество лицензий отечественного софта, рассказал «Ведомостям» заместитель руководителя технологического блока, старший вице-президент ВТБ Сергей Безбогов. Представитель ГК «Астра» (разработчик ОС) подтвердил информацию. Условия сделки стороны не раскрыли.

Сколько лицензий приобрел банк, представители компаний также не уточнили, как и общего числа сотрудников. По данным рейтинга Forbes «50 крупнейших работодателей России», на конец 2023 г. в ВТБ работало 85 943 человека.

ID:** способы аутентификации сегодня, их преимущества, недостатки и перспективы развития**

Прогресс не стоит на месте и даже такие базовые вещи, как аутентификации на сайтах и в приложениях, обновляются и развиваются каждый день. В данном обзоре рассмотрены популярные сегодня методики аутентификации, новые перспективные методы и возможности для бизнеса, связанного с подключением «живых» пользователей к единой информационной системе.

https://habr.com/ru/companies/newtel/articles/795903/

SmartFlow: «В начале был пароль…» или новая аутентификация VK ID

Рассказ Android-разработчика в команде VK ID про SmartFlow -новый процесс аутентификации ВКонтакте, нюансы его внедрения и отличия от старого процесса переключения факторов применительно к Android-платформе.

https://habr.com/ru/companies/vk/articles/780194/

AdGuard в своём блоге рассказывает о том, как именно работает сбор данных о пользователях iOS через push-уведомления:

__- Разработчик приложения пишет код, который хочет запустить в фоновом режиме

• Разработчик отправляет push‑уведомление пользователю приложения. Тема может быть любой: от новостей или результатов матча до запроса на добавления в друзья
• Устройство пользователя получает push‑уведомление, но пока не показывает его на экране. iOS распознаёт, что уведомление пришло от приложения, например, социальной сети, и запускает его в фоновом режиме. Приложение запущено, но пользователь пока не видит уведомление и не может с ним взаимодействовать
• Приложение запускает код, который разработчик подготовил для работы в фоновом режиме. Это может быть вполне безобидный код, который, например, добавляет информацию в уведомление. А может быть такой код, который собирает данные с устройства пользователя и отправляет их на серверы разработчика

В итоге разработчики могут получить уникальную комбинацию программных и технических характеристик устройства пользователя.__

Пароли в открытом доступе: ищем с помощью машинного обучения

В статье Александр Рахманный, разработчик в команде информационной безопасности в Lamoda Tech, делится опытом поиска в корпоративных ресурсах чувствительных данных — паролей, токенов и строк подключения — с использованием самописного ML-плагина.

https://habr.com/ru/companies/lamoda/articles/793716/

Free2FA: Телеграм-бот для двухфакторной аутентификации

Free2FA - это бесплатное, Open Source решение для двухфакторной аутентификации с пуш-уведомлениями, основанное на FreeRADIUS, Telegram-боте и административной веб панели управления. Применялось с Cisco AnyConnect, подходит для любых систем авторизации с пользователями из Active Directory .

https://habr.com/ru/articles/794358/

“Росатом” перешел на отечественную систему, предназначенную для автоматизации рабочих процессов казначейства и управления финансовыми операциями предприятий, сообщила компания “Гринатом” (отраслевой интегратор “Росатома” в области информационных технологий).

“Сотрудники казначейств и финансовых служб предприятий атомной отрасли начали работу в новой импортозамещенной финансовой автоматизированной системе “Расчетный центр Корпорации” (ИС РЦК)… Отраслевая информационная система “Расчетный центр Корпорации” предназначена для автоматизации рабочих процессов казначейства и управления финансовыми операциями организации”, — говорится в сообщении.

Отмечается, что эта система охватывает более 250 организаций атомной отрасли. Новый продукт базируется на российских сертифицированных решениях и соответствует требованиям по защите информации объектов критической информационной