​Как безопасно хранить пароли

LastPass представляет собой комбинацию приложения, работающего на компьютере, с безопасным онлайн-хранилищем паролей и службой синхронизации. Во время установки вы должны создать новую учетную запись в сервисе, указав адрес электронной почты. Программа добавляет в выбранные веб-браузеры расширение, заменяющее стандартные механизмы хранения паролей. Важно защитить свою учетную запись LastPass надежным мастер-паролем, поскольку этот пароль защищает доступ ко всей базе зашифрованных паролей, хранящихся в службе.

Использование LastPass очень удобно, а дополнительным преимуществом приложения является доступ к онлайн-базе паролей с любого компьютера. Программа поддерживает все популярные браузеры.

Конечно, такой метод хранения паролей может вызвать сомнения, но, поверьте, если у вас стоит мощное ПО и надежный антивирус, то эта связка будет работать безупречно.

📌https://www.lastpass.com/

#хитрости #безопасность

Чемоданчик хакера 2020. Выбираем инструменты, которые хорошо иметь под рукой

Принято считать, что настоящему хакеру достаточно одного ноутбука. Как бы не так! В этой статье мы рассмотрим пятнадцать девайсов, с которыми можно пентестить все что угодно: от физических устройств до бесконтактных карт. Сюда не вошли более обыкновенные инструменты вроде отверток и паяльников — их проще выбирать на свой вкус. Надеюсь, ты присмотришь что-нибудь интересное в этом списке.

📖Чемоданчик хакера 2020. Выбираем инструменты, которые хорошо иметь под рукой

❗️Кстати, не забывай, что у меня есть отдельный канал с хакерскими девайсами, их настройкой и применением - Оружейная хакера. Подписывайся и будь в курсе😉

​ЦРУ защищало свои сверхсекретные хакерские инструменты паролем 123ABCdef

Многие слышали о Джошуа Шульте — этого человека обвиняют в сливе «сверхсекретных» хакерских инструментов, принадлежащих ЦРУ. В настоящее время Шульт находится под арестом, а его делом занимается суд. В ходе недавнего заседания выяснилось несколько интересных подробностей относительно практик американской спецслужбы.

По словам стороны обвинения, Джошуа Шульт выкрал крайне ценные и конфиденциальные материалы непосредственно из рук ЦРУ, после чего передал их WikiLeaks для распространения. Федеральные прокуроры США добиваются одного — посадить Шульта на пожизненный срок. Однако с такой позицией категорически не согласна адвокат обвиняемого Сабрина Шрофф, которая не раз обращала внимание суда на крайне блеклые доказательства против её клиента.

Согласно материалам дела (PDF), Шульт работал под псевдонимами «King Josh» и «KingJosh3000», он их использовал и в тот период, когда занимал должность системного администратора в ЦРУ. Вся эта ситуация с доступом к секретным инструментам такой серьёзной спецслужбы породила определённые вопросы, один из которых звучал вполне оправдано: а насколько плохо ЦРУ защищает подобную информацию и файлы.

И теперь самое интересное — пароль от виртуальной машины, на которой хранились вышеупомянутые инструменты, представлял собой просто классику слабых учётных данных — «123ABCdef». И root-логин от главного DevLAN-сервера был не лучше — «mysweetsummer».

#хакеры

​Как узнать, подвергалась ли ваша почта атакам злоумышленников

Ресурс Have I been pwned был основан 7 лет назад и с тех пор не раз «спасал» многих пользователей сети. После ввода адреса электронной почты в поисковик вы можете получить список сайтов, на которые была совершена атака, и вследствие этого данные утекли в сеть.

Большинство пользователей даже не подозревают, что их логины и пароли уже несколько лет гуляют по сети. Какой бы надежный не был ваш пароль, никогда нельзя быть уверенным в защищенности сайтов, на которых вы регистрируетесь. Поэтому рекомендую по возможности чаще проверять свою почту на данном сервисе и вовремя реагировать на утечку информации.

📌https://haveibeenpwned.com/

#хитрости #безопасность

На абордаж! Можно ли взломать корабль?

Вы когда-нибудь задумывались над вопросом компьютерной безопасности огромного круизного лайнера, неспешно пересекающего бескрайние морские просторы? Насколько эта махина защищена от взлома киберпреступниками? И сможет ли команда судна отразить атаку или мягко нейтрализовать последствия взлома? Насколько реальна угроза взлома кораблей, в сегодняшней статье:

📖На абордаж! Можно ли взломать корабль?

❗️Кстати, похожая статья про вероятность взлома самолета уже выходила на канале.

​Как проверить свои хакерские навыки?

Hackthbox.com - это сервис, который позволяет проводить виртуальные взломы. Если ты - начинающий пентестер или хочешь испытать себя в роли хакера, не причинив никому вреда, то это по адресу.

Данный сайт дает различные задания по взлому, которые позволяют вам оттачивать свои существующие навыки или же получать новые. Задачи даются совершенно разнообразные и включают такие категории, как Web, RE, Crypto, Stego, Mobile и некоторые другие.

На фоне аналогичных ресурсов, которые предлагают подобные возможности, этот отличается тем, что все задания максимально приближены к реальным ситуациям в данной сфере. Что интересно, чтобы получить инвайт на данный сайт, необходимо обладать минимальными знаниями, дабы найти код приглашения.

📌https://www.hackthebox.eu/

#хитрости #пентест

​Shodan: самый «страшный» поисковик интернета

Shodan - это своего рода «черный» Google, позволяющий искать серверы, веб-камеры, принтеры, роутеры и самую разную технику, которая подключена к Интернету и составляет его часть.

С его помощью можно найти бесчисленные светофоры, камеры безопасности, домашние системы автоматизации, системы отопления – все это подключено к Интернету и легко обнаруживается. Так, пользователи Shodan нашли системы управления аквапарка, газовой станцией, охладителя вина в отеле и крематория.

Специалисты по кибербезопасности с помощью Shodan даже обнаружили командно-контрольные системы ядерных электростанций и ускорителя атомных частиц. И отдельного внимания в Shodan с его пугающими возможностями заслуживает тот факт, что очень немногие из упомянутых систем имеют хоть какую-то систему безопасности.

Особенно легко находит роутеры с дефолтными паролями—достаточно вбить в поиск admin admin. И это, пожалуй, самое безобидное, что там можно обнаружить. Если копнуть глубже, то найдутся и уязвимые устройства посерьезнее.

📌https://www.shodan.io/

#хитрости

«За нами следят»: что может происходить в неприметном минивэне прямо у вас под окном

Образ белых минивэнов с оборудованием для прослушки давно стал неотъемлемой частью нашей поп-культуры. Эти ничем не примечательные автомобили превратились в отражение коллективных страхов и паранойи — стали символами прозаичного зла, безличной машины «большого брата», под колеса которой может попасть каждый. Но что действительно находится внутри таких машин? Кто может их использовать и в каких целях? Давайте разбираться:

📖«За нами следят»: что может происходить в неприметном минивэне прямо у вас под окном

​Хакеры: как через взлом Tor поймали босса из Dark Web

Семь лет назад ФБР смогла найти Эрика Маркеса при помощи взлома анонимной сети Tor. Только в этом году Эрик Маркес признал себя виновным в американском суде, ему грозит 30 лет тюремного заключения за сервис Freedom Hosting, который какое-то время работал вне зоны досягаемости закона.

Полиции предстоит ответить ещё на один вопрос: как они смогли поймать его? Каким-то образом удалось взломать многочисленные созданные Маркесом уровни анонимности, благодаря чему удалось обнаружить важный сервер во Франции. Это открытие привело к самому Маркесу, который был арестован ещё в 2013 году.

Маркес стал первым в группе известных киберпреступников, которых поймали несмотря на применение конфиденциальной сети Tor. До того казалось, что эта сеть обеспечивает полную анонимность и неуязвимость. Данный случай показывает, что правительственные организации могут отследить подозреваемых через казавшиеся непроницаемыми сети. Маркес винит в этом хакеров мирового уровня из АНБ в США, но и ФБР работает в этом направлении с 2002 года. Как говорят некоторые обозреватели, они утаивают ключевые детали своего расследования от обвиняемых и судей.

Государственные органы США регулярно находят программные уязвимости в рамках работы над безопасностью. Иногда они рассказывают о них разработчикам программного обеспечения, иногда сохраняют в тайне, чтобы применять как оружие в своих расследованиях.

Существует система, на основе которой принимаются решения о том, делиться этой информацией или нет. Она называется Vulnerabilities Equities Process. В этой системе по умолчанию склоняются к тому, чтобы обнародовать информацию. Хотя уязвимости способны помочь найти плохих парней, они могут использоваться и против интересов США. Учреждение, которое хочет использовать крупный баг для расследования, должно получить разрешение, в противном случае информация будет обнародована. Большинство таких сведений стали достоянием общественности, чтобы уязвимости могли закрыть и повысить безопасность интернета для всех.

#хакеры #анонимность

​Проверяем свою сеть на уязвимость

Чтобы провести «краш-тест» вашего антивируса, вовсе не обязательно заказывать дорогостоящие тесты на проникновение или устанавливать дополнительно ПО.

Данный ресурс проводит симуляции в сети, благодаря которым выявляет, насколько тестируемая сеть поддается взлому и атакам. Преимущественно идет проверка на вредоносное ПО, фишинговые атаки и сайты ''фальшивки'', которые собирают ваши личные данные.

📌http://www.cpcheckme.com/checkme/

#хитрости #безопасность

​Узнаем, как сайт выглядел в прошлом

Причин заинтересоваться предыдущими версиями сайта может быть множество: от банальной ностальгии до профессиональных задач. К примеру, если нужно узнать, как изменилась политика конфиденциальности какого-нибудь сервиса или посмотреть, какие правки вносились на сайте ранее.

Wayback Machine - это специальный архив, который собирает копии веб-страниц. Начиная с 1996 года, сервис собрал более 366 миллиардов копий интернет-ресурсов. Причем речь идет не о скриншотах, а о полноценных страницах с изображениями, рабочими ссылками и стилевым оформлением.

Чтобы «заглянуть в прошлое», на сайте web.archive.org нужно ввести ссылку на необходимую страницу, а затем выбрать дату, чтобы увидеть предыдущую версию сайта. Помимо прочего, можно также узнать, когда был создан сайт, сколько ''слепков" он имеет, а при желании есть возможность восстановить сайт из веб-архива.

К примеру, на скиншоте сайт YouTube от 31 августа 2007 года.

📌http://web.archive.org

#хитрости

Арсенал пентестера. Собираем утилиты для удаленного определения операционки

Первая стадия пентеста — это, как известно, разведка. Только установив, какая система работает на удаленном хосте, можно начинать искать в ней лазейки. Из этой статьи ты узнаешь про семь средств, которые помогают на этом этапе, и заодно увидишь, как именно они вычисляют операционку:

📖Арсенал пентестера. Собираем утилиты для удаленного определения операционки

​Как создать временный почтовый ящик?

Наверняка многие сталкивались с ситуацией, когда нужно зарегистрироваться на сайте, к примеру, для разового скачивания, и вы не хотите получать различный спам или попросту ''светить'' свою почту. Решить данную проблему вам поможет 10minutesmail.

С помощью этого ресурса можно моментально сгенерировать временный почтовый ящик, который позволит принять письмо-подтверждение и завершить регистрацию. Созданный ящик будет активен в течение 10 минут, однако, его «срок жизни» может быть продлен. Еще один важный момент: после того, как ваш ящик будет удален, больше никто не сможет получить к нему доступ.

📌https://10minutemail.net/

#хитрости #безопасность

По следам. Насколько легко следить за человеком при помощи умных часов - проводим эксперимент

Можно ли использовать умные часы для того, чтобы шпионить за их владельцем? О да, и существует немало способов. Но, как оказывается, есть еще один. Если на часы установлено зловредное приложение, которое отправляет данные с встроенных в устройство датчиков движения — акселерометра и гироскопа — на удаленный сервер, то по этим данным можно восстановить активность человека, на котором эти самые часы надеты.

То есть понять, что он делал: ходил, сидел, набирал текст на клавиатуре и так далее. Давайте проверим, насколько страшна эта угроза на практике, и узнать, какие данные реально можно собрать:

📖По следам. Насколько легко следить за человеком при помощи умных часов - проводим эксперимент

​Геоданные Google сделали невиновного подозреваемым в уголовном деле

Закари Маккой, самый обычный житель штата Флорида, стал подозреваемым в ограблении дома, после того как во время поездки велосипеде он воспользовался приложением RunKeeper для отслеживания своей активности. При этом, Закари включил сервисы определения местоположения Google, что позволило как приложению, так и Google отслеживать его местонахождение в любое время.

О том, что его подозревают в преступлении, Маккой узнал после того, как с ним связалась команда Google и сообщила, что полиция запрашивала информацию с его аккаунта. Американец сначала не понял, в чем дело, но собрав весь пазл воедино, пришел к выводу, что в письме говорилось про ограбление того дома, мимо которого он проезжал практически каждый день по несколько раз. Именно это и привлекло внимание полиции. Компания должна была предоставить правоохранителям информацию со всех устройств, которые были замечены на месте преступления в определённое время и дату.

После многих разбирательств, юноша все-таки смог добиться снятия всех обвинений. Ответный иск Маккоя и его адвоката вынудил правоохранительные органы пересмотреть свой ордер. Они отозвали запрос на данные Google аккаунта Маккоя и исключили ее из списка подозреваемых.

#безопасность #приватность

Под прикрытием. Изучаем способы взлома Facebook без изменения пароля

Принято считать, что получить доступ к чужой переписке на Facebook просто невозможно. На самом деле, если вы хотите взломать чей-то аккаунт на Facebook, для этого достаточно установить бесплатную пробную версию любого шпионского приложения. Если вы решили взломать чей-то аккаунт на Facebook, то как раз эта статья поможет вам в этом.

📖Под прикрытием. Изучаем способы взлома Facebook без изменения пароля

❗️Кстати, на канале недавно выходила подобная статья со способами взлома Инстаграм

​Как вычислить IP-адрес другого человека?

Причины такого любопытства разные, кого-то обманули, кого-то шантажируют. Если вы заинтересованы в том, чтобы узнать географическое местоположение человека или же его IP, то данный сервис будет вам очень полезен. IPlogger создает ссылку, которая собирает информацию о пользователях, перешедших по ней. Все, что вам нужно - это убедить человека нажать на эту самую ссылку.

Стоит отметить, что этот сервис обладает большим функционалом. Например, вы можете воспользоваться ГEO-логгером. Он определяет точную локацию мобильного устройства с помощью GPS. Для создания логгеров нужно перейти на сайт, затем указать любой URL картинки в выбранной вами панели, и отправить выданную вами ссылку нужному пользователю. Просмотр собранной информации доступен из панели "Управление ссылками''.

📌https://iplogger.org/ru/

#хитрости

​Этичному хакеру удалось взломать камеру на Mac, iPhone и iPad

Компания Apple выплатила ИБ-исследователю Райану Пикрену 75 000 долларов по программе bug bounty за уязвимости в Safari, благодаря которым можно было получить доступ к чужой веб-камере на Mac, iPhone и iPad, просто заманив человека на конкретный сайт.

Apple жестко ограничивает доступ сторонних приложений к камерам своих устройств, однако ограничения для собственных не так строги. При этом всё равно Safari требует для каждого сайта подтверждения от пользователя, что он разрешает ресурсу использовать свою камеру. Исследователь использовал цепочку эксплойтов, которая обошла эту защиту.

Благодаря уязвимостям, Пикрену удалось заставить браузер рассматривать свой вредоносный веб-сайт как Skype.com, который был включён в список доверенных ресурсов, имеющим доступ к камере. Исследователь отмечает, что у Skype не существует веб-версии для Safari, однако с помощью найденных им эксплойтов злоумышленники могут подделать любой веб-сайт, в том числе Zoom и Google Hangouts.

При переходе на подобный замаскированный ресурс Safari по умолчанию начинает ему доверять, хотя в списке доверенных веб-сайтов его нет. С помощью этой уязвимостью сразу после перехода пользователем злоумышленники могли просматривать всё, что было видно на устройстве. Кроме того, на вкладке Safari появлялся значок видеокамеры, что означало, что сайт использует её.

Хуже того, исследование показало, что таким же способом могут быть украдены и незашифрованные пароли, так как Safari использует такой же подход для обнаружения сайтов, на которых требуется автоматическое заполнение пароля.

PoC-эксплоиты и демонстрация атак описанных доступны в блоге специалиста. Один из таких примеров можно увидеть ниже.

#хакеры #безопасность

​Как создать свой QR-код?

Вы наверняка видели рекламные объявления, баннеры или визитные карточки с QR-кодами, в которые зашиваются URLы, телефоны, простой текст и даже SMS сообщения. Однако, мало кто знает, что создание QR-кодов - вовсе не дорогостоящий процесс, доступный только корпорациям.

Чтобы сгенерировать собственный quick response (так расшифровывается QR) код, воспользуйтесь данным сервисом. Максимальное количество символов, которые помещаются в один QR-код: цифры – 7089, цифры и буквы (включая кириллицу) – 4296, двоичный код – 2953 байт, иероглифы – 1817.

Вам также потребуется задать, что именно вы хотите «зашить» в QR-код: URL, текст, телефонный номер или SMS. От данного выбора зависит что программа - сканер вашего телефона будет делать с полученной информацией после сканирования: открывать браузер, звонить или открывать программу редактирования SMS-сообщений. Так, к примеру, в код на картинке я вшил ссылку на этот канал.

❗️Кстати, QR-коды совсем не безобидны, поэтому не стоит сканировать все подряд. Подробнее можете почитать в этой статье.

📌http://qrcoder.ru

#хитрости

Игры в компьютер. Обзор игр, которые обучат навыкам хакинга и не только

Если ты читаешь эти строки, то для тебя есть хорошие новости: ты пока еще не умер от сам-знаешь-какого вируса! Из плохих новостей — тебя, скорее всего, уже попросили самоизолироваться и соблюдать карантин, работая из дома. Сидеть в четырех стенах невыносимо уныло, поэтому, чтобы не страдать от скуки, самое время размять мозги интересными задачками. Тем более что тут у нас отличный список!

📖Игры в компьютер. Обзор игр, которые обучат навыкам хакинга и не только