Привет! Мыслей было много, а в канал ничего не дампил. И щас не мысль, а спам.
Ищем веб-хекера: https://hh.ru/vacancy/41479232
Также, вероятно, скоро будем искать аналитика/техписа и редтимера.
По вебу собираем резюме и выдаём тестовое задание.
Ищем веб-хекера: https://hh.ru/vacancy/41479232
Также, вероятно, скоро будем искать аналитика/техписа и редтимера.
По вебу собираем резюме и выдаём тестовое задание.
hh.ru
Вакансия Web Pentester в Москве, работа в компании Непрерывные Технологии (вакансия в архиве c 10 февраля 2021)
Зарплата: не указана. Москва. Требуемый опыт: 1–3 года. Полная занятость. Дата публикации: 11.01.2021.
🤡3
image_2021-02-03_22-35-16.png
558.5 KB
Может, это у меня такое субъективное впечатление, но уже многократно убеждаюсь, что Фейсбук — скамерская контора.
Неделями вижу рекламу наркобарыг в ленте, при этом легитимные бизнесы запросто банят и с трудом восстанавливают аккаунты.
Репортишь такую рекламу или, например, кремлебота — быстро приходит отбивка, что с постом всё ок.
При этом сотрудники Марка толком не умеют кодить: встречается куча багов в базовой функциональности и в вёрстке, очень перегруженный пользовательский интерфейс, отвратительный интерфейс для бизнесов и т. д.
Но это всё ерунда, потому что соцсеть уже слишком велика, чтоб быстро потерять аудиторию, и ведь главный её продукт — это не софт, а та самая аудитория, которой и с говнокодом можно кормить политическую пропаганду и рекламу наркоты.
Неделями вижу рекламу наркобарыг в ленте, при этом легитимные бизнесы запросто банят и с трудом восстанавливают аккаунты.
Репортишь такую рекламу или, например, кремлебота — быстро приходит отбивка, что с постом всё ок.
При этом сотрудники Марка толком не умеют кодить: встречается куча багов в базовой функциональности и в вёрстке, очень перегруженный пользовательский интерфейс, отвратительный интерфейс для бизнесов и т. д.
Но это всё ерунда, потому что соцсеть уже слишком велика, чтоб быстро потерять аудиторию, и ведь главный её продукт — это не софт, а та самая аудитория, которой и с говнокодом можно кормить политическую пропаганду и рекламу наркоты.
🤡3
Знаю, это слово всем уже осточертело за последнюю неделю, но, не выдержав социального давления и последовав трендам, трём вечерами за похек в клабхаусе.
Следуйте примеру Олега Тинькова и заходите к нам на огонёк.
Мой хендл @beched.
Следуйте примеру Олега Тинькова и заходите к нам на огонёк.
Мой хендл @beched.
🤡3👍1
Регуляция пентестов.
На рынке пентестов нет нормальной экспертизы качества, и нет прозрачного ценообразования (как и во многих других нишах b2b enterprise).
Но есть некоторые регуляторные требования со стороны государств, которые ограничивают или лицензируют деятельность пентестеров.
Из здравого смысла ясно, что сделать это по-настоящему невозможно, потому что никто не может запретить консалтинг. Математически поиск ошибок от поиска уязвимостей не отличается, поэтому не очень понятно, как строго отличить пентест или аудит безопасности от функционального тестирования или технического аудита. На практике же это обычно возможно, конечно.
Требования по идее должны защищать заказчиков и государство от недобросовестных подрядчиков, а как на деле?
Я не специалист по регуляторным требованиям, так что поправьте меня, если моя картина мира слишком узкая. Глядя на то, какие есть государственные сертификации и лицензии для пентестерских компаний за рубежом, и какие они у нас, не могу не обратить внимание, например, на Великобританию.
В UK есть схема CHECK, принадлежность к которой могут требовать многие компании, а также это обязательно для тестирования КИИ (CNI).
Для присоединения к CHECK компаниям нужно:
1) Работать по английскому праву,
2) Иметь 12 месяцев официального опыта пентестов,
3) Все члены команды должны пройти проверку SC (Security Check) clearance, это аналог наших форм допуска,
4) Как минимум один член команды должен:
- Пройти экзамен по одной из 3 программ сертификации (там везде тесты, практические лабы, собеседования, стоимость экзамена порядка $2000-3000),
- Иметь опыт пентестов не менее 12 месяцев,
- Предоставить 2 примера обезличенных отчётов по пентесту,
- Предоставить техническое резюме,
5) Платить ежегодную пошлину (около $7000-15000 в зависимости от уровня).
Разумно звучит? Вполне разумно, даёт понимание, что в компании в принципе есть пентестерская компетенция. Там же в UK есть ещё и коммерческая сертификация CREST с похожими, но более жёсткими требованиями, которая ещё дороже и требует страховку, экзамен 3 сотрудников, а также прохождение комплаенса по ISO27001 или ISO9001.
Какие аналоги у нас?
А у нас пентесты регулируются организацией под названием ФСТЭК, и, например, Центробанк для проведения банковских пентестов требует наличие лицензии на деятельность по ТЗКИ, выдаваемой ФСТЭК.
Что же нужно для получения этой лицензии?
1) 3 человека в штате, у которых в бумажной трудовой книжке написано "специалист по защите информации", и там не менее 3 лет опыта у двоих из них и не менее 5 лет у одного (существует даже рынок найма таких людей ради их трудовых книжек),
2) Ежегодная аттестация помещения, где будет не более 1 окна, толстые стены, металлическая дверь, различные генераторы белого шума на стенах и батареях и двери (для проведения очень важных переговоров),
3) Покупка у ФСТЭК и ФГУП Стандартинформ бумажных заверенных копий различных ГОСТов,
4) Оплата госпошлины ($100),
5) Куча разного бумагомарательного говна вроде подписывания 150 листов бумаги.
ТЗКИ покрывает не только пентесты, это более широкое понятие, но всё равно очевидно, что это полный маразм и коррупция, требования отстали от жизни по меньшей мере на 30 лет.
Никакой проверки качества здесь нет, никакой страховки рисков для государства нет. Лицензию часто получают безымянные лавки, открытые вчера, после чего (незаконно) перепродают услуги, отдавая на субподряд.
Что делать? Не знаю. Бодаться с замшелой бюрократической организацией — себе дороже, так что все молча проходят через эти испытания и получают лицензию. Изменить ситуацию, наверное, могут банки и другие большие заказчики.
Ёжики плакали и кололись, но продолжали жрать кактус.
На рынке пентестов нет нормальной экспертизы качества, и нет прозрачного ценообразования (как и во многих других нишах b2b enterprise).
Но есть некоторые регуляторные требования со стороны государств, которые ограничивают или лицензируют деятельность пентестеров.
Из здравого смысла ясно, что сделать это по-настоящему невозможно, потому что никто не может запретить консалтинг. Математически поиск ошибок от поиска уязвимостей не отличается, поэтому не очень понятно, как строго отличить пентест или аудит безопасности от функционального тестирования или технического аудита. На практике же это обычно возможно, конечно.
Требования по идее должны защищать заказчиков и государство от недобросовестных подрядчиков, а как на деле?
Я не специалист по регуляторным требованиям, так что поправьте меня, если моя картина мира слишком узкая. Глядя на то, какие есть государственные сертификации и лицензии для пентестерских компаний за рубежом, и какие они у нас, не могу не обратить внимание, например, на Великобританию.
В UK есть схема CHECK, принадлежность к которой могут требовать многие компании, а также это обязательно для тестирования КИИ (CNI).
Для присоединения к CHECK компаниям нужно:
1) Работать по английскому праву,
2) Иметь 12 месяцев официального опыта пентестов,
3) Все члены команды должны пройти проверку SC (Security Check) clearance, это аналог наших форм допуска,
4) Как минимум один член команды должен:
- Пройти экзамен по одной из 3 программ сертификации (там везде тесты, практические лабы, собеседования, стоимость экзамена порядка $2000-3000),
- Иметь опыт пентестов не менее 12 месяцев,
- Предоставить 2 примера обезличенных отчётов по пентесту,
- Предоставить техническое резюме,
5) Платить ежегодную пошлину (около $7000-15000 в зависимости от уровня).
Разумно звучит? Вполне разумно, даёт понимание, что в компании в принципе есть пентестерская компетенция. Там же в UK есть ещё и коммерческая сертификация CREST с похожими, но более жёсткими требованиями, которая ещё дороже и требует страховку, экзамен 3 сотрудников, а также прохождение комплаенса по ISO27001 или ISO9001.
Какие аналоги у нас?
А у нас пентесты регулируются организацией под названием ФСТЭК, и, например, Центробанк для проведения банковских пентестов требует наличие лицензии на деятельность по ТЗКИ, выдаваемой ФСТЭК.
Что же нужно для получения этой лицензии?
1) 3 человека в штате, у которых в бумажной трудовой книжке написано "специалист по защите информации", и там не менее 3 лет опыта у двоих из них и не менее 5 лет у одного (существует даже рынок найма таких людей ради их трудовых книжек),
2) Ежегодная аттестация помещения, где будет не более 1 окна, толстые стены, металлическая дверь, различные генераторы белого шума на стенах и батареях и двери (для проведения очень важных переговоров),
3) Покупка у ФСТЭК и ФГУП Стандартинформ бумажных заверенных копий различных ГОСТов,
4) Оплата госпошлины ($100),
5) Куча разного бумагомарательного говна вроде подписывания 150 листов бумаги.
ТЗКИ покрывает не только пентесты, это более широкое понятие, но всё равно очевидно, что это полный маразм и коррупция, требования отстали от жизни по меньшей мере на 30 лет.
Никакой проверки качества здесь нет, никакой страховки рисков для государства нет. Лицензию часто получают безымянные лавки, открытые вчера, после чего (незаконно) перепродают услуги, отдавая на субподряд.
Что делать? Не знаю. Бодаться с замшелой бюрократической организацией — себе дороже, так что все молча проходят через эти испытания и получают лицензию. Изменить ситуацию, наверное, могут банки и другие большие заказчики.
Ёжики плакали и кололись, но продолжали жрать кактус.
🤡3❤1
В последнее время ОПГ из СНГ, ломавшие банки, притихли. Кто-то насытился, кого-то посадили, кто-то боится, а кто-то, может, постригся в монахи.
Вокруг этих группировок было очень много шума, очень много сил вкладывали в расследования, но многих (Carbanak) так и не поймали, распугав пресс-релизами, а по некоторым делам посадили не тех (дело банка Авангард), а многих других даже не начинали искать (десятки крупных хищений в год, особенно страдали платёжные системы).
Какой же был ущерб от таких атак? Никто не знает, хотя приводят оценки объёма хищений в миллиарды долларов, но это на весь мир и не за один год, и вообще это из пресс-релизов ИБ-компаний, которые заинтересованы раздувать FUD.
Это звучит весьма контрастно с сегодняшним днём, когда ежедневно у всех на глазах происходят хищения, зачастую многократно превосходящие по объёму любой банковский взлом.
Речь, конечно, про блокчейн-проекты (сейчас это называют Decentralized Finance или DeFi). Несмотря на их хайповость и публичность финансовых потоков, о блокчейн-инцидентах в ИБ-среде говорят как будто меньше. Скорее даже вообще не говорят.
Связываю это с 2 причинами:
1) Инертность индустрии ИБ: она просто не успевает за бурно меняющимися новыми технологиями. Так, я практически не вижу пересечений между хакерским коммьюнити и коммьюнити DeFi, даже на уровне чатов этого пересечения почти нет.
2) Общественная опасность: банковские инциденты затрагивают фундаментальные общественные институты, государственную финансовую систему и, грубо говоря, простых граждан. А хищение же криптовалюты — это в глазах многих просто перекладывание фантиков из кармана одного спекулянта в карман другого, которое происходит в серой неконтролируемой зоне.
Но игнорировать всю эту индустрию и её проблемы безопасности мне кажется странным.
Если посмотреть на новости о таких хищениях, а потом открыть гитхаб и посмотреть исходники ограбленных смарт-контрактов, можно увидеть совершенно дурацкие уязвимости, которые можно было сразу поймать при маломальском аудите силами любого, кто в принципе умеет читать код.
Для затравки некоторые примеры, на которые натыкался (специально не собирал):
1) Alpha Homora (украдено $37.5M) — хитрый финансовый продукт, позволяющий зарабатывать на yield farming и займах в блокчейне: https://blog.alphafinance.io/alpha-homora-v2-post-mortem/
2) Yearn Finance (украдено $11+M) — ещё один хитрый продукт из нескольких финансовых протоколов, в частности, что-то вроде агрегатора разных других продуктов для займов и депозитов: https://github.com/iearn-finance/yearn-security/blob/master/disclosures/2021-02-04.md
3) IceCreamSwap (украдено ~$1M в BNB, потом курс подскочил, так что уже близко к $3M) — очередной форк SushiSwap, в котором умудрились допустить уязвимость, поменяв пару строк, смотрите сами: https://github.com/IceCreamSwap/contracts/blob/7e433aa1d2633665b95a12687a17fc84d2a9c1ac/farm-contracts/MasterChef.sol
4) Куча других копеечных хищений, которые не попали на радары, например, вот украли примерно $160k из того же SushiSwap: https://www.rekt.news/badgers-digg-sushi/
И это всё только за последний месяц, а впереди ещё целый год! =)
Так что, ребята, придётся кому-то из нас вникать в запутанные нюансы финансовых продуктов, чтоб быть в контексте и понимать новые уязвимости.
Ведь особенностью атак на DeFi является то, что зачастую уязвимость заключается не столько в программной реализации, сколько во всей финансовой логике продукта.
Вокруг этих группировок было очень много шума, очень много сил вкладывали в расследования, но многих (Carbanak) так и не поймали, распугав пресс-релизами, а по некоторым делам посадили не тех (дело банка Авангард), а многих других даже не начинали искать (десятки крупных хищений в год, особенно страдали платёжные системы).
Какой же был ущерб от таких атак? Никто не знает, хотя приводят оценки объёма хищений в миллиарды долларов, но это на весь мир и не за один год, и вообще это из пресс-релизов ИБ-компаний, которые заинтересованы раздувать FUD.
Это звучит весьма контрастно с сегодняшним днём, когда ежедневно у всех на глазах происходят хищения, зачастую многократно превосходящие по объёму любой банковский взлом.
Речь, конечно, про блокчейн-проекты (сейчас это называют Decentralized Finance или DeFi). Несмотря на их хайповость и публичность финансовых потоков, о блокчейн-инцидентах в ИБ-среде говорят как будто меньше. Скорее даже вообще не говорят.
Связываю это с 2 причинами:
1) Инертность индустрии ИБ: она просто не успевает за бурно меняющимися новыми технологиями. Так, я практически не вижу пересечений между хакерским коммьюнити и коммьюнити DeFi, даже на уровне чатов этого пересечения почти нет.
2) Общественная опасность: банковские инциденты затрагивают фундаментальные общественные институты, государственную финансовую систему и, грубо говоря, простых граждан. А хищение же криптовалюты — это в глазах многих просто перекладывание фантиков из кармана одного спекулянта в карман другого, которое происходит в серой неконтролируемой зоне.
Но игнорировать всю эту индустрию и её проблемы безопасности мне кажется странным.
Если посмотреть на новости о таких хищениях, а потом открыть гитхаб и посмотреть исходники ограбленных смарт-контрактов, можно увидеть совершенно дурацкие уязвимости, которые можно было сразу поймать при маломальском аудите силами любого, кто в принципе умеет читать код.
Для затравки некоторые примеры, на которые натыкался (специально не собирал):
1) Alpha Homora (украдено $37.5M) — хитрый финансовый продукт, позволяющий зарабатывать на yield farming и займах в блокчейне: https://blog.alphafinance.io/alpha-homora-v2-post-mortem/
2) Yearn Finance (украдено $11+M) — ещё один хитрый продукт из нескольких финансовых протоколов, в частности, что-то вроде агрегатора разных других продуктов для займов и депозитов: https://github.com/iearn-finance/yearn-security/blob/master/disclosures/2021-02-04.md
3) IceCreamSwap (украдено ~$1M в BNB, потом курс подскочил, так что уже близко к $3M) — очередной форк SushiSwap, в котором умудрились допустить уязвимость, поменяв пару строк, смотрите сами: https://github.com/IceCreamSwap/contracts/blob/7e433aa1d2633665b95a12687a17fc84d2a9c1ac/farm-contracts/MasterChef.sol
4) Куча других копеечных хищений, которые не попали на радары, например, вот украли примерно $160k из того же SushiSwap: https://www.rekt.news/badgers-digg-sushi/
И это всё только за последний месяц, а впереди ещё целый год! =)
Так что, ребята, придётся кому-то из нас вникать в запутанные нюансы финансовых продуктов, чтоб быть в контексте и понимать новые уязвимости.
Ведь особенностью атак на DeFi является то, что зачастую уязвимость заключается не столько в программной реализации, сколько во всей финансовой логике продукта.
🤡3❤1
image_2021-04-19_17-03-14.png
466.9 KB
Инцидент с утечкой базы free.navalny.com банален, базы отовсюду воруют.
И, боюсь, для этого совсем не нужны никакие завербованные ФСБ инсайдеры.
Ведь пароль администратора Django-бекенда можно увидеть прямо в коде Next.JS-фронтенда.
P.S. Если что, пароль к админке сейчас не подходит, так что уже не уязвимость, но чёрт знает, кто успел воспользоваться.
И, боюсь, для этого совсем не нужны никакие завербованные ФСБ инсайдеры.
Ведь пароль администратора Django-бекенда можно увидеть прямо в коде Next.JS-фронтенда.
P.S. Если что, пароль к админке сейчас не подходит, так что уже не уязвимость, но чёрт знает, кто успел воспользоваться.
🤡3
После полуторагодичного простоя больших конференций влетаю сразу на 2 за неделю: Highload++ и PHDays.
И там и там с баззвордами: AI и DeFi.
И на PHDays, и на Highload++ немного расскажу про опыт пентеста AI-систем и их инфраструктуры.
В этой сфере очень много работ про математические атаки на собственно саму ML-составляющую и алгоритмы, но на самом деле, более низко висящий фрукт — это, конечно, обёртки вокруг математики, такие как препроцессинг или хранение данных.
На PHDays также участвую в Blockchain Village и делаю задачки для конкурса DeFi Hack.
Конкурс будет в онлайне, так что участвуйте, есть простые таски, можно успеть разобраться в взломе смарт-контрактов и DeFi-протоколов.
Помимо разработки задачек, попробую систематизировать подход к аудиту 3rd-party проектов с целью риск-менеджмента.
Ведь обычно аудиторы не включают в модель нарушителя самих владельцев проекта и не пишут в отчёте про вероятность скама, а стороннему инвестору это важно.
Поэтому существует такой вот особый класс аудитов (не только в контексте блокчейна, но и вообще), похожих на кредитный или страховой скоринг, когда заказчиком является третья сторона.
С PHDays в этом году вообще особенная история, поскольку организатор конференции теперь оказался под санкциями Минфина США, и в том числе прозвучало абсурдное обвинение о том, что спецслужбы де вербуют хакеров на этой самой конференции.
Теперь организаторы 2 из 3 главных хакерских конференций в России находятся под санкциями.
В чатиках мы обсуждали такую возможность за пару месяцев до санкций, поскольку в публикации одной западной организации узнали под кодовым именем именно ПТ, такая конспирация выглядела подозрительной.
Грустно, но можно было смело шортить облигации ;)
И там и там с баззвордами: AI и DeFi.
И на PHDays, и на Highload++ немного расскажу про опыт пентеста AI-систем и их инфраструктуры.
В этой сфере очень много работ про математические атаки на собственно саму ML-составляющую и алгоритмы, но на самом деле, более низко висящий фрукт — это, конечно, обёртки вокруг математики, такие как препроцессинг или хранение данных.
На PHDays также участвую в Blockchain Village и делаю задачки для конкурса DeFi Hack.
Конкурс будет в онлайне, так что участвуйте, есть простые таски, можно успеть разобраться в взломе смарт-контрактов и DeFi-протоколов.
Помимо разработки задачек, попробую систематизировать подход к аудиту 3rd-party проектов с целью риск-менеджмента.
Ведь обычно аудиторы не включают в модель нарушителя самих владельцев проекта и не пишут в отчёте про вероятность скама, а стороннему инвестору это важно.
Поэтому существует такой вот особый класс аудитов (не только в контексте блокчейна, но и вообще), похожих на кредитный или страховой скоринг, когда заказчиком является третья сторона.
С PHDays в этом году вообще особенная история, поскольку организатор конференции теперь оказался под санкциями Минфина США, и в том числе прозвучало абсурдное обвинение о том, что спецслужбы де вербуют хакеров на этой самой конференции.
Теперь организаторы 2 из 3 главных хакерских конференций в России находятся под санкциями.
В чатиках мы обсуждали такую возможность за пару месяцев до санкций, поскольку в публикации одной западной организации узнали под кодовым именем именно ПТ, такая конспирация выглядела подозрительной.
Грустно, но можно было смело шортить облигации ;)
🤡3
Стажировка
Нам в DeteAct нужно быстро расти, поэтому запустили набор стажёров для обучения пентесту.
У нас есть позитивный опыт внутреннего обучения и роста компетенций, хочется попробовать его масштабировать.
Пока планируем провести именно летнее обучение-практику с последующим отбором в штат, но, конечно, итоговый формат будет зависеть от качества и количества собранных анкет.
В анкете есть технические вопросы достаточно творческого характера, ответы на которые мы будем оценивать вручную.
В России всего 10-15 компаний, которые реально делают пентесты, и ещё под сотню тех, кто их продаёт. Мы занимаемся и тем, и другим: стремимся ломать круче всех и получать больше всех хороших клиентов.
Так что ждём всех желающих присоединиться к профильной команде хакеров и заниматься разнообразными проектами для заказчиков, которым это действительно интересно!
Нам в DeteAct нужно быстро расти, поэтому запустили набор стажёров для обучения пентесту.
У нас есть позитивный опыт внутреннего обучения и роста компетенций, хочется попробовать его масштабировать.
Пока планируем провести именно летнее обучение-практику с последующим отбором в штат, но, конечно, итоговый формат будет зависеть от качества и количества собранных анкет.
В анкете есть технические вопросы достаточно творческого характера, ответы на которые мы будем оценивать вручную.
В России всего 10-15 компаний, которые реально делают пентесты, и ещё под сотню тех, кто их продаёт. Мы занимаемся и тем, и другим: стремимся ломать круче всех и получать больше всех хороших клиентов.
Так что ждём всех желающих присоединиться к профильной команде хакеров и заниматься разнообразными проектами для заказчиков, которым это действительно интересно!
intern.deteact.ru
Пентест, анализ защищённости
Приглашаем на стажировку по пентестам!
🤡3
Крутые математики
Топ-10 самых интересных математиков, жизненный путь, способности, открытия или взгляды которых меня когда-то впечатлили.
Random fact: среди них 4 еврея, 2 русских, 2 немца, француз и индиец.
Факты из биографий приведены в вольном пересказе, который может содержать неточности.
Израиль Моисеевич Гельфанд
Этого мальчика с говорящим именем, отчеством и фамилией совки выгнали (заодно с одноклассником Мильманом) из школы, так что он не получил даже среднего образования.
Не имея корочек, занимаясь самообразованием, в 19 лет стал преподавателем в МГУ и аспирантом аж у Колмогорова.
Был полиматом и, помимо математики и физики, внёс существенный вклад в биологическую науку (кстати, в том числе через своих потомков, многие из которых занимаются биологией и медициной).
Сриниваса Рамануджан Айенгор
Этот индус самостоятельно проштудировал сборник тождеств и фанатично начал выводить собственные формулы (в основном цепные тождества), зачастую весьма сложные в доказательстве.
Не имея высшего образования, приехал в Британию и стал там членом Лондонского королевского общества.
Утверждал, что формулы ему во сне рассказывает богиня Намагири Тхайяр (о_О). Умер в Индии в 32 года.
Игорь Ростиславович Шафаревич
А этот суровый тип в 15 лет окончил школу, в 17 лет — мехмат, в 19 стал кандидатом физико-математических наук, в 23 — доктором, а в 35 — членкором РАН. Основной вклад внёс в теорию чисел и алгебру.
Был диссидентом и публицистом (хоть и сомнительным), прожил 94 года.
Иоганн Карл Фридрих Гаусс
Этому колоссу науки повезло прожить достаточно, чтоб привнести фантастически много нового в теорию чисел, алгебру, статистику (да-да, привет ML'щикам, не было бы ваших 300кк/сек без Карла), механику, геометрию и даже астрономию.
Отличался невероятными способностями к устному счёту, научной плодотворностью и знанием языков.
Джон фон Нейман
Этот добродушный дядька жил вполне благополучно, к 23 годам защитил PhD, затем уехал из Венгрии в США, где придумал архитектуру компьютера (за что, пожалуй, больше всего известен), а ещё, внёс существенный вклад в логику и аксиоматизацию математики, в квантовую механику, а также помогал в разработке ядерного оружия (может, не очень-то и добродушный был)!
Эварист Галуа
Дерзкий французский юнец, революционер, убитый в 20 лет в ходе дуэли (то ли из-за женщины, то ли из-за политики). За свою короткую жизнь успел пережить кучу бед и придумать группы, поля и многое другое, дав орудие для всей современной алгебры и криптографии. Интересно, что он был современником других выдающихся математиков: Фурье, Коши, Гаусса, Абеля, Пуассона, Якоби и других.
Allons enfants de la Patrie!
Григорий Яковлевич Перельман
Очевидный выбор для топа: межнар (абсолютное 1 место на ММО в 1983 году), лауреат филдсовской медали (от денежной премии, как известно, отказался), 7 лет безвылазно фигачил, работая над одной нерешённой задачей, не сдаваясь.
Пожалуй, именно такая способность — самая нужная черта для любого исследователя, будь то математик или хакер.
Курт Фридрих Гёдель
Этот ариец внёс потрясающий вклад в математическую логику и философию науки, его теоремами жонглируют в софистических дискуссиях эрудиты всех мастей (даже Онотоле). При всей строгости мышления и разумности страдал от параноидального расстройства личности и погиб от истощения.
Юрий Иванович Манин
Мечтатель и поэт, ученик Шафаревича, алгебро-геометр, логик, теор-физик, лингвист и философ. Советую к чтению его любопытную книжку "Математика как метафора".
Между прочим, Манин придумал квантовый компьютер!
Пал Эрдёш
Ещё один венгерский еврей, один из самых активных и меметичных математиков, часто встречающийся в математических анекдотах. Стал соавтором примерно 1500 статей, так что даже есть отдельный термин "Число Эрдёша", означающее длину пути от какого-либо математика до Эрдёша на графе совместных публикаций. В 21 год досрочно защитил диссертацию, внёс вклад во множество разных областей математики.
Топ-10 самых интересных математиков, жизненный путь, способности, открытия или взгляды которых меня когда-то впечатлили.
Random fact: среди них 4 еврея, 2 русских, 2 немца, француз и индиец.
Факты из биографий приведены в вольном пересказе, который может содержать неточности.
Израиль Моисеевич Гельфанд
Этого мальчика с говорящим именем, отчеством и фамилией совки выгнали (заодно с одноклассником Мильманом) из школы, так что он не получил даже среднего образования.
Не имея корочек, занимаясь самообразованием, в 19 лет стал преподавателем в МГУ и аспирантом аж у Колмогорова.
Был полиматом и, помимо математики и физики, внёс существенный вклад в биологическую науку (кстати, в том числе через своих потомков, многие из которых занимаются биологией и медициной).
Сриниваса Рамануджан Айенгор
Этот индус самостоятельно проштудировал сборник тождеств и фанатично начал выводить собственные формулы (в основном цепные тождества), зачастую весьма сложные в доказательстве.
Не имея высшего образования, приехал в Британию и стал там членом Лондонского королевского общества.
Утверждал, что формулы ему во сне рассказывает богиня Намагири Тхайяр (о_О). Умер в Индии в 32 года.
Игорь Ростиславович Шафаревич
А этот суровый тип в 15 лет окончил школу, в 17 лет — мехмат, в 19 стал кандидатом физико-математических наук, в 23 — доктором, а в 35 — членкором РАН. Основной вклад внёс в теорию чисел и алгебру.
Был диссидентом и публицистом (хоть и сомнительным), прожил 94 года.
Иоганн Карл Фридрих Гаусс
Этому колоссу науки повезло прожить достаточно, чтоб привнести фантастически много нового в теорию чисел, алгебру, статистику (да-да, привет ML'щикам, не было бы ваших 300кк/сек без Карла), механику, геометрию и даже астрономию.
Отличался невероятными способностями к устному счёту, научной плодотворностью и знанием языков.
Джон фон Нейман
Этот добродушный дядька жил вполне благополучно, к 23 годам защитил PhD, затем уехал из Венгрии в США, где придумал архитектуру компьютера (за что, пожалуй, больше всего известен), а ещё, внёс существенный вклад в логику и аксиоматизацию математики, в квантовую механику, а также помогал в разработке ядерного оружия (может, не очень-то и добродушный был)!
Эварист Галуа
Дерзкий французский юнец, революционер, убитый в 20 лет в ходе дуэли (то ли из-за женщины, то ли из-за политики). За свою короткую жизнь успел пережить кучу бед и придумать группы, поля и многое другое, дав орудие для всей современной алгебры и криптографии. Интересно, что он был современником других выдающихся математиков: Фурье, Коши, Гаусса, Абеля, Пуассона, Якоби и других.
Allons enfants de la Patrie!
Григорий Яковлевич Перельман
Очевидный выбор для топа: межнар (абсолютное 1 место на ММО в 1983 году), лауреат филдсовской медали (от денежной премии, как известно, отказался), 7 лет безвылазно фигачил, работая над одной нерешённой задачей, не сдаваясь.
Пожалуй, именно такая способность — самая нужная черта для любого исследователя, будь то математик или хакер.
Курт Фридрих Гёдель
Этот ариец внёс потрясающий вклад в математическую логику и философию науки, его теоремами жонглируют в софистических дискуссиях эрудиты всех мастей (даже Онотоле). При всей строгости мышления и разумности страдал от параноидального расстройства личности и погиб от истощения.
Юрий Иванович Манин
Мечтатель и поэт, ученик Шафаревича, алгебро-геометр, логик, теор-физик, лингвист и философ. Советую к чтению его любопытную книжку "Математика как метафора".
Между прочим, Манин придумал квантовый компьютер!
Пал Эрдёш
Ещё один венгерский еврей, один из самых активных и меметичных математиков, часто встречающийся в математических анекдотах. Стал соавтором примерно 1500 статей, так что даже есть отдельный термин "Число Эрдёша", означающее длину пути от какого-либо математика до Эрдёша на графе совместных публикаций. В 21 год досрочно защитил диссертацию, внёс вклад во множество разных областей математики.
🤡3
Подкасты
Ниже топ-3 подкастов/видеоблогов в моём арсенале в последнее время. Топ-10 не будет, потому что не может быть столько времени на такой тип контента, я и из этих 3 подкастов суммарно слушаю только небольшую часть выпусков.
1) Lex Fridman podcast
Офигенный (видео-)подкаст, 3-4-часовые выпуски которого хочется слушать целиком, найдя 25-й час в сутках. Космические гости (Маск, Виталик, Роган, Докинз, Вольфрам, Геохот, Каспаров и т. д.) и темы (от борьбы и ММА до алгебраической топологии), классный ведущий, который занимается разработкой беспилотных автомобилей.
Кстати, ведущий — из России, его семья эмигрировала в США в 90-е. Его отец — физик плазмы, весьма харизматичный чувак, с ним Лекс даже сделал несколько выпусков.
2) Запуск завтра
В этом подкасте я даже был гостем в одном из первых эпизодов, у автора ещё есть одноимённый канал. Самат классный чувак и отлично умеет формировать сообщество.
Со времени первых эпизодов он круто прокачал навыки интервьюера, даёт много объяснений "для мамы" и умеет удивляться, даже когда на самом деле и так знал ответ на вопрос :)
Тут много про процессы разработки в различных компаниях, про работу в стартапах и технологических гигантах, про айти и предпринимательство в целом. Эпизоды довольно короткие, так что слушаю большую часть.
3) Русские норм
Видео-интервью с успешными русскими предпринимателями, разработчиками, менеджерами, экономистами.
Ведущая (Елизавета Осетинская) хорошо разбирается в мире технологического предпринимательства, классно готовит вопросы и поднимает важные темы, раскрывая гостей.
Воды — минимум, много примеров образа мышления и жизненного пути топовых челов, многие из которых удивляют. Бывает интересно слушать даже интервью с людьми из чуждых для меня индустрий (например, ритейл).
Ниже топ-3 подкастов/видеоблогов в моём арсенале в последнее время. Топ-10 не будет, потому что не может быть столько времени на такой тип контента, я и из этих 3 подкастов суммарно слушаю только небольшую часть выпусков.
1) Lex Fridman podcast
Офигенный (видео-)подкаст, 3-4-часовые выпуски которого хочется слушать целиком, найдя 25-й час в сутках. Космические гости (Маск, Виталик, Роган, Докинз, Вольфрам, Геохот, Каспаров и т. д.) и темы (от борьбы и ММА до алгебраической топологии), классный ведущий, который занимается разработкой беспилотных автомобилей.
Кстати, ведущий — из России, его семья эмигрировала в США в 90-е. Его отец — физик плазмы, весьма харизматичный чувак, с ним Лекс даже сделал несколько выпусков.
2) Запуск завтра
В этом подкасте я даже был гостем в одном из первых эпизодов, у автора ещё есть одноимённый канал. Самат классный чувак и отлично умеет формировать сообщество.
Со времени первых эпизодов он круто прокачал навыки интервьюера, даёт много объяснений "для мамы" и умеет удивляться, даже когда на самом деле и так знал ответ на вопрос :)
Тут много про процессы разработки в различных компаниях, про работу в стартапах и технологических гигантах, про айти и предпринимательство в целом. Эпизоды довольно короткие, так что слушаю большую часть.
3) Русские норм
Видео-интервью с успешными русскими предпринимателями, разработчиками, менеджерами, экономистами.
Ведущая (Елизавета Осетинская) хорошо разбирается в мире технологического предпринимательства, классно готовит вопросы и поднимает важные темы, раскрывая гостей.
Воды — минимум, много примеров образа мышления и жизненного пути топовых челов, многие из которых удивляют. Бывает интересно слушать даже интервью с людьми из чуждых для меня индустрий (например, ритейл).
🤡3
Beched's thoughts
В последнее время ОПГ из СНГ, ломавшие банки, притихли. Кто-то насытился, кого-то посадили, кто-то боится, а кто-то, может, постригся в монахи. Вокруг этих группировок было очень много шума, очень много сил вкладывали в расследования, но многих (Carbanak)…
Хаки, конечно, продолжились, вот небольшая подборка недавних инцидентов: https://twitter.com/hosseeb/status/1405637755141431297
Twitter
Haseeb Qureshi
A snapshot of DeFi hacks since 2020. Notice the transition from yellow to blue (Ethereum => BSC). Credit @FrankResearcher
🤡3
Рождения
На планете примерно 7.7 млрд людей, и все они были кем-то рождены (к сожалению, мы ещё не научились синтезировать людей).
Средняя глобальная фертильность женщин сейчас порядка 2.5.
Если очень упростить, можно представить, что 3.4 млрд людей являются родителями, поскольку [1.7 млрд женщин * 2.5] детей + 3.4 млрд родителей = 7.65 млрд людей.
Даже с таким упрощением, получается, что доля родителей во всём населении превышает 44%.
В реальном мире распределение более сложное, но, судя по моим беглым подсчётам по публичной статистике, потомство есть у 80-85% людей во всём мире, учитывая все возрастные группы, включая детей (неужели не сильно ошибся?).
Если это так, то на момент смерти доля родителей должна быть ещё больше.
Войти в это число — статистически даже менее почётно, чем дожить до 28 лет.
Такими мелочами не стоит гордиться, но им обязательно нужно радоваться.
Радуйтесь мелочам и добивайтесь настоящих поводов для гордости!
На планете примерно 7.7 млрд людей, и все они были кем-то рождены (к сожалению, мы ещё не научились синтезировать людей).
Средняя глобальная фертильность женщин сейчас порядка 2.5.
Если очень упростить, можно представить, что 3.4 млрд людей являются родителями, поскольку [1.7 млрд женщин * 2.5] детей + 3.4 млрд родителей = 7.65 млрд людей.
Даже с таким упрощением, получается, что доля родителей во всём населении превышает 44%.
В реальном мире распределение более сложное, но, судя по моим беглым подсчётам по публичной статистике, потомство есть у 80-85% людей во всём мире, учитывая все возрастные группы, включая детей (неужели не сильно ошибся?).
Если это так, то на момент смерти доля родителей должна быть ещё больше.
Войти в это число — статистически даже менее почётно, чем дожить до 28 лет.
Такими мелочами не стоит гордиться, но им обязательно нужно радоваться.
Радуйтесь мелочам и добивайтесь настоящих поводов для гордости!
🤡3
Хабр
Всегда терпеть не мог токсичных комментаторов хабра и редко туда заходил.
Но всё-таки это самый большой русскоязычный IT-ресурс, так что завели там корпоративный блог и будем надеяться на минимум токсичности =)
Для старта опубликовал статью про квантовый шеллкодинг (если точнее, то про решение задачки на реверс-инжиниринг и квантовое программирование).
Похоже, пора нанимать писателей, чтоб оформить накопившиеся интересности в статьи =)
Подписывайтесь, ставьте лайки!
Всегда терпеть не мог токсичных комментаторов хабра и редко туда заходил.
Но всё-таки это самый большой русскоязычный IT-ресурс, так что завели там корпоративный блог и будем надеяться на минимум токсичности =)
Для старта опубликовал статью про квантовый шеллкодинг (если точнее, то про решение задачки на реверс-инжиниринг и квантовое программирование).
Похоже, пора нанимать писателей, чтоб оформить накопившиеся интересности в статьи =)
Подписывайтесь, ставьте лайки!
Хабр
Взлом квантовой программы
Программы для квантового компьютера тоже могут содержать уязвимости. Эти уязвимости могут позволять удалённо выполнять какие-то вычисления. Как же написать шеллкод для программы, уязвимой к...
🤡3
Госблечеры
Весь мир последние несколько дней обсуждает NSO Group.
Западная твиттерская общественность вдруг всколыхнулась: оказывается, какая-то израильская лавка поставляет кибероружие различным нехорошим людям, и они потом с его помощью убивают людей.
На самом деле, это, конечно, не единственная такая лавка, но одна из самых известных и наглых. И не случайно она находится в Израиле: это страна, которая одновременно и инновационная Startup Nation, и милитаристская держава, поэтому там среди IT-компаний непропорционально много тех, которые занимаются именно кибербезопасностью.
И из них, в свою очередь, непропорционально много тех, которые занимаются тем, что называется offensive security: разработка продуктов и исследования в интересах спецслужб.
Понятно, что совсем кому угодно продать продать оружие им вроде как не должны разрешать, а значит, всё это должно происходить с одобрения старших (Моссад, АНБ, ЦРУ).
Всегда считал все эти лавки "блечерами" (black hats): они существуют официально, но являются лишь квазилегитимными. Их деятельность поощряется спецслужбами конкретных стран, но вообще-то технически не отличается от деятельности какой-нибудь ОПГ, за которой гоняются, и участников которой потом сажают.
Отличие лишь в том, что у этих ОПГ вроде NSO Group есть крыша в виде спецслужбы, и вряд ли эти ребята ездят по курортам в недружественных странах.
Ах да: узнали о конкретных жертвах Pegasus, потому что какой-то добрый человек слил базу номеров телефонов жертв оружия NSO Group.
Похожая ситуация произошла в 2015 году с итальянской компанией того же offensive-профиля Hacking Team: их тогда взломали и слили в паблик вообще всё, включая всю почтовую переписку, инструменты и прочее.
Какие выводы можно сделать?
В мире есть несколько, скажем так, полу-преступных группировок, которые совершенно официально и легально продают инструменты для удалённого или локального взлома айфонов, компьютеров и прочего.
Продать их могут как всесильному АНБ, так и какому-нибудь банановому правительству, которое при помощи них отследит нелюбимого журналиста и замочит его.
А что с этим делает АНБ, журналисты даже писать боятся, наверное.
Если вы в группе риска (журналистика, политика, крупный бизнес) и пользуетесь айфоном, проследуйте хотя бы этим рекомендациям:
— Перезагружайте айфон каждый день (защита от persistance),
— Отключите iMessage, Facetime, Airdrop,
— Отключите Javanoscript в Safari,
— Вовремя обновляйте iOS,
— Используйте пасскод, отключите FaceID,
— Защитите iCloud
Если у вас вдруг андроид, рекомендации в целом аналогичны: обновления, пасскод, VPN, отключение максимального количества функций (bluetooth, javanoscript, и т. д.).
Весь мир последние несколько дней обсуждает NSO Group.
Западная твиттерская общественность вдруг всколыхнулась: оказывается, какая-то израильская лавка поставляет кибероружие различным нехорошим людям, и они потом с его помощью убивают людей.
На самом деле, это, конечно, не единственная такая лавка, но одна из самых известных и наглых. И не случайно она находится в Израиле: это страна, которая одновременно и инновационная Startup Nation, и милитаристская держава, поэтому там среди IT-компаний непропорционально много тех, которые занимаются именно кибербезопасностью.
И из них, в свою очередь, непропорционально много тех, которые занимаются тем, что называется offensive security: разработка продуктов и исследования в интересах спецслужб.
Понятно, что совсем кому угодно продать продать оружие им вроде как не должны разрешать, а значит, всё это должно происходить с одобрения старших (Моссад, АНБ, ЦРУ).
Всегда считал все эти лавки "блечерами" (black hats): они существуют официально, но являются лишь квазилегитимными. Их деятельность поощряется спецслужбами конкретных стран, но вообще-то технически не отличается от деятельности какой-нибудь ОПГ, за которой гоняются, и участников которой потом сажают.
Отличие лишь в том, что у этих ОПГ вроде NSO Group есть крыша в виде спецслужбы, и вряд ли эти ребята ездят по курортам в недружественных странах.
Ах да: узнали о конкретных жертвах Pegasus, потому что какой-то добрый человек слил базу номеров телефонов жертв оружия NSO Group.
Похожая ситуация произошла в 2015 году с итальянской компанией того же offensive-профиля Hacking Team: их тогда взломали и слили в паблик вообще всё, включая всю почтовую переписку, инструменты и прочее.
Какие выводы можно сделать?
В мире есть несколько, скажем так, полу-преступных группировок, которые совершенно официально и легально продают инструменты для удалённого или локального взлома айфонов, компьютеров и прочего.
Продать их могут как всесильному АНБ, так и какому-нибудь банановому правительству, которое при помощи них отследит нелюбимого журналиста и замочит его.
А что с этим делает АНБ, журналисты даже писать боятся, наверное.
Если вы в группе риска (журналистика, политика, крупный бизнес) и пользуетесь айфоном, проследуйте хотя бы этим рекомендациям:
— Перезагружайте айфон каждый день (защита от persistance),
— Отключите iMessage, Facetime, Airdrop,
— Отключите Javanoscript в Safari,
— Вовремя обновляйте iOS,
— Используйте пасскод, отключите FaceID,
— Защитите iCloud
Если у вас вдруг андроид, рекомендации в целом аналогичны: обновления, пасскод, VPN, отключение максимального количества функций (bluetooth, javanoscript, и т. д.).
🤡3👍1
Code is Law
Второй день люди из мира DeFi в прямом эфире наблюдают за самым крупным хищением в истории не только блокчейна, но и вообще IT, финансовой системы, да и, может, в принципе человечества.
Некий анонимус спёр 611 (шестьсот одиннадцать) миллионов долларов США из китайского проекта poly.network.
Уязвимость, через которую они это сделали, сочетала в себе недостаток авторизации и хитрую особенность языка Solidity, на котором пишут смарт-контракты (а именно, способ вызова функций на уровне байт-кода).
В какой-то момент атакующему кто-то в комментарии к транзакции дал подсказку о том, что часть похищенных токенов начали блокировать, и в знак благодарности хакер переслал подсказчику 13.37 ETH. Всего $43k, а мог ведь и $4M перевести =)
В результате на кошельках атакующего появляются тысячи транзакций людей, умоляющих поделиться награбленным. Каждый мечтает о том, что Робин Гуд скинет жалкие $500k именно ему на счёт.
Сам же хакер там же просит у "подписчиков" советов, как ему поступить с деньгами. В какой-то момент он даже начал возвращать средства проекту, но почему-то до сих пор не вернул всё.
Как обычно, хищение вскрыло вечные философские вопросы...
Должны ли быть DeFi-проекты по-настоящему децентрализованы?
Тут, например, компания Tether заблокировала атакующему $30M кастодиальных токенов USDT. Это противоречит духу DeFi, но зато может помочь вернуть деньги.
Является ли код смарт-контракта законом в конечной инстанции, а следовательно, и взломы — правомерным поведением в рамках контракта?
Если да, то каким образом защищаться от бекдоров и закладывать в экономику проекта риски, которые заведомо признаются нормальным поведением кода?
Если нет, то на кой чёрт тогда блокчейн вместо централизованного сервиса?
Кто несёт ответственность за потери?
Взломанный проект вроде как аудировали несколько команд, и уязвимость эту они не нашли.
При этом авторы проекта даже не удосужились выложить его код и результаты аудитов, так что со стороны такой объём средств в проекте выглядит как полнейшая глупость со стороны пользователей.
По-моему, в "традиционных" индустриях давно нет такого драйва, крутых задач и веселья (да и взломов таких там просто не может быть :D).
Так что, в очередной раз призываю вливаться и вникать: ведь как бы вы ни относились к этому явлению, оно уже существует и создаёт возможности и проблемы =)
Второй день люди из мира DeFi в прямом эфире наблюдают за самым крупным хищением в истории не только блокчейна, но и вообще IT, финансовой системы, да и, может, в принципе человечества.
Некий анонимус спёр 611 (шестьсот одиннадцать) миллионов долларов США из китайского проекта poly.network.
Уязвимость, через которую они это сделали, сочетала в себе недостаток авторизации и хитрую особенность языка Solidity, на котором пишут смарт-контракты (а именно, способ вызова функций на уровне байт-кода).
В какой-то момент атакующему кто-то в комментарии к транзакции дал подсказку о том, что часть похищенных токенов начали блокировать, и в знак благодарности хакер переслал подсказчику 13.37 ETH. Всего $43k, а мог ведь и $4M перевести =)
В результате на кошельках атакующего появляются тысячи транзакций людей, умоляющих поделиться награбленным. Каждый мечтает о том, что Робин Гуд скинет жалкие $500k именно ему на счёт.
Сам же хакер там же просит у "подписчиков" советов, как ему поступить с деньгами. В какой-то момент он даже начал возвращать средства проекту, но почему-то до сих пор не вернул всё.
Как обычно, хищение вскрыло вечные философские вопросы...
Должны ли быть DeFi-проекты по-настоящему децентрализованы?
Тут, например, компания Tether заблокировала атакующему $30M кастодиальных токенов USDT. Это противоречит духу DeFi, но зато может помочь вернуть деньги.
Является ли код смарт-контракта законом в конечной инстанции, а следовательно, и взломы — правомерным поведением в рамках контракта?
Если да, то каким образом защищаться от бекдоров и закладывать в экономику проекта риски, которые заведомо признаются нормальным поведением кода?
Если нет, то на кой чёрт тогда блокчейн вместо централизованного сервиса?
Кто несёт ответственность за потери?
Взломанный проект вроде как аудировали несколько команд, и уязвимость эту они не нашли.
При этом авторы проекта даже не удосужились выложить его код и результаты аудитов, так что со стороны такой объём средств в проекте выглядит как полнейшая глупость со стороны пользователей.
По-моему, в "традиционных" индустриях давно нет такого драйва, крутых задач и веселья (да и взломов таких там просто не может быть :D).
Так что, в очередной раз призываю вливаться и вникать: ведь как бы вы ни относились к этому явлению, оно уже существует и создаёт возможности и проблемы =)
Ethereum (ETH) Blockchain Explorer
PolyNetwork Exploiter 1 | Address 0xc8a65fadf0e0ddaf421f28feab69bf6e2e589963 | Etherscan
The Address 0xc8a65fadf0e0ddaf421f28feab69bf6e2e589963 page allows users to view transactions, balances, token holdings and transfers of ERC-20, ERC-721 and ERC-1155 (NFT) tokens, and analytics.
🤡3
Русский Мир
Поразительно, в уличном интервью в Австралии в 1962 г. на вопрос "какие языки необходимо преподавать в австралийских школах?" примерно половина респондентов упомянула русский.
Некоторые объяснили это тем, что русские скоро захватят мир и будут доминирующей нацией.
Выходит, несмотря на всю антисоветскую пропаганду, люди на Западе (в случае с этим видео — не в географическом, а в культурном смысле) воспринимали эту страну как победителя.
Похожим образом сейчас многие обосновывают необходимость изучать китайский.
Интересно, как будут выглядеть такие доводы через 60 лет...
Поразительно, в уличном интервью в Австралии в 1962 г. на вопрос "какие языки необходимо преподавать в австралийских школах?" примерно половина респондентов упомянула русский.
Некоторые объяснили это тем, что русские скоро захватят мир и будут доминирующей нацией.
Выходит, несмотря на всю антисоветскую пропаганду, люди на Западе (в случае с этим видео — не в географическом, а в культурном смысле) воспринимали эту страну как победителя.
Похожим образом сейчас многие обосновывают необходимость изучать китайский.
Интересно, как будут выглядеть такие доводы через 60 лет...
YouTube
What foreign languages should be taught in Australian schools? (1962) | Sixty years of Four Corners
In 1962, (Four Corners' second year on air), we asked Sydneysiders this very question. Their answers might surprise you.
Subscribe: https://www.youtube.com/c/abcnewsindepth
This year marks Four Corners’ 60th anniversary.
In August 1961, we made our…
Subscribe: https://www.youtube.com/c/abcnewsindepth
This year marks Four Corners’ 60th anniversary.
In August 1961, we made our…
🤡3👍1
Корпоративно-спортивный хакинг
Кстати, полтора месяца назад поучаствовали в чемпионате HackTheBox Business CTF среди компаний, которые предоставляют услуги по пентесту.
На самом деле, там, конечно, регистрировались и внутренние команды различных корпораций и банков, да и просто какие-то фрилансерские или академические команды.
Начали за здравие, удерживая 1-е место, но потом скатились на 7-е, сохранив 1-е среди российских команд.
На типичных CTF-соревнованиях нужно решать сложные задачи по бинарной эксплуатации, реверс-инжирингу, криптоанализу и прочим категориям.
Здесь же, помимо традиционных олимпиадных заданий, было много "тачек" в стиле HackTheBox: нужно было взламывать Active Directory, Kubernetes, повышать привилегии на Windows и Linux и т. д.
В целом, по-моему, делать корпоративные хакерские чемпионаты — прикольная идея.
И реализация была на удивление неплохой, я ожидал куда более идиотские таски.
В случае с HTB, конечно, мотивация очевидна: одним из их направлений бизнеса является как раз b2b, и им нужно продавать свои тренинги, для чего они и решили привлечь аудиторию таким ивентом.
Ну а наши ребята отлично потренились и добавили фактуры нашей корпоративной рекламе DeteAct про "чемпионов мира по хакингу", хотя, конечно, я всё ещё верен принципу, что в любых соревнованиях всё, кроме 1-го места, — это поражение ;)
Кстати, полтора месяца назад поучаствовали в чемпионате HackTheBox Business CTF среди компаний, которые предоставляют услуги по пентесту.
На самом деле, там, конечно, регистрировались и внутренние команды различных корпораций и банков, да и просто какие-то фрилансерские или академические команды.
Начали за здравие, удерживая 1-е место, но потом скатились на 7-е, сохранив 1-е среди российских команд.
На типичных CTF-соревнованиях нужно решать сложные задачи по бинарной эксплуатации, реверс-инжирингу, криптоанализу и прочим категориям.
Здесь же, помимо традиционных олимпиадных заданий, было много "тачек" в стиле HackTheBox: нужно было взламывать Active Directory, Kubernetes, повышать привилегии на Windows и Linux и т. д.
В целом, по-моему, делать корпоративные хакерские чемпионаты — прикольная идея.
И реализация была на удивление неплохой, я ожидал куда более идиотские таски.
В случае с HTB, конечно, мотивация очевидна: одним из их направлений бизнеса является как раз b2b, и им нужно продавать свои тренинги, для чего они и решили привлечь аудиторию таким ивентом.
Ну а наши ребята отлично потренились и добавили фактуры нашей корпоративной рекламе DeteAct про "чемпионов мира по хакингу", хотя, конечно, я всё ещё верен принципу, что в любых соревнованиях всё, кроме 1-го места, — это поражение ;)
Deteact - Тестирование на проникновение. Информационная безопасность
Топ-10 пентест-компаний в мире
Команда DeteAct заняла 7-е место в мире и 1-е место в России на чемпионате по тестированию на проникновение среди компаний.
🤡3🔥1
9\\11
20 лет назад беззаботно гонял мяч в облупленном дворе, а потом прибежал домой, где взрослые сидели на кухне и безотрывно пырили в маленький телик, где показывали то, что в значительной мере определило или по крайней мере символизировало последующие 20 лет жизни всего человечества и, наверное, в большей степени повлияло на облик профессии безопасников.
Начинался 21 век.
20 лет назад беззаботно гонял мяч в облупленном дворе, а потом прибежал домой, где взрослые сидели на кухне и безотрывно пырили в маленький телик, где показывали то, что в значительной мере определило или по крайней мере символизировало последующие 20 лет жизни всего человечества и, наверное, в большей степени повлияло на облик профессии безопасников.
Начинался 21 век.
🤡3
DoS: не недоступностью единой
Безнадёжно отстали от контент-плана по статьям на Хабре, но вот выкатил заметку на тему, о которой хотел основательно подумать последние 3-4 года, но так и не подумал достаточно хорошо =)
Думаю, что есть ещё немало интересных техник эксплуатации такого класса, и соответствующие недостатки трудно найти как вручную, так и автоматически.
Безнадёжно отстали от контент-плана по статьям на Хабре, но вот выкатил заметку на тему, о которой хотел основательно подумать последние 3-4 года, но так и не подумал достаточно хорошо =)
Думаю, что есть ещё немало интересных техник эксплуатации такого класса, и соответствующие недостатки трудно найти как вручную, так и автоматически.
Хабр
От DoS до RCE: о неуловимом векторе атак
Привет читателям блога компании DeteAct!Меня зовут Омар Ганиев, многие меня знают по нику «Beched». Во время проведения пентестов и анализа защищённости мы иногда обнаруживаем необычное...
🤡3
Ask Me Anything
Ещё я тут залетел в Т-Ж на AMA.
В течение нескольких дней придётся отвечать на вопросы, заодно разобравшись в них самому =)
Все желающие могут накидать своих вопросов или полайкать понравившиеся.
Часто самые простые на первый взгляд вопросы от "простых юзеров" вызывают самые длительные баталии ИБшников, что я как раз недавно проверил, задав в паре чатов вопрос о том, как лучше хранить пароли.
И тут ведь ситуация как у врачей: "пациенты" будут возлагать ответственность на экспертов, поэтому нужно давать максимально понятные и невредные советы =)
Ещё я тут залетел в Т-Ж на AMA.
В течение нескольких дней придётся отвечать на вопросы, заодно разобравшись в них самому =)
Все желающие могут накидать своих вопросов или полайкать понравившиеся.
Часто самые простые на первый взгляд вопросы от "простых юзеров" вызывают самые длительные баталии ИБшников, что я как раз недавно проверил, задав в паре чатов вопрос о том, как лучше хранить пароли.
И тут ведь ситуация как у врачей: "пациенты" будут возлагать ответственность на экспертов, поэтому нужно давать максимально понятные и невредные советы =)
Тинькофф Журнал
Хотите знать, как обезопасить свои данные? Задайте вопрос эксперту
AMA с экспертом по оценке безопасности и основателем компании DeteAct
🤡3