Это же всегда самое сложное, писать о себе?

В зиккурат за знаниями. Сегодня на AstraDevConf!

Сегодня набираемся ИБ-шной мудрости на Underconf

Небезопасный Linux

«Мы пробьём все стены в мире» — Наутилус Помпилиус

Благодарности

Автор благодарит следующих людей и сообщества за помощь в подготовке материалов:
Моего отца — за консультации и помощь в формировании концепции.
Близких и друзей — за поддержку и понимание в процессе написания книги.
Старшего преподавателя кафедры информатики и вычислительной математики МФТИ Дмитрия Артуровича Подлесных — за рекомендации по структуре книги.
Хакспейс «Стальная Крыса» и сообщество EC1337 — за гостеприимство.
«Клуб неюных испытателей» и лично Антона Клочкова — за помощь и рекомендации.
Алексея Комарова, автора сайта ZLONOV.ru — за материалы об отечественных дистрибутивах.
Николая Шлея — за информацию о внутреннем устройстве UEFI.
Сергея Задорожного (@SergeySabbath) — за разъяснение тонкостей безопасности Docker.
Кого не упомянул — прошу прощения. Вы знаете свои имена, и я их вспомню, обязательно.

О чем эта книга

Linux благодаря своей открытости порождает десятки способов достижения одной и той же цели. Для каждой логической подсистемы здесь можно найти несколько реализаций — со своими особенностями, приемами настройки, сильными и слабыми сторонами. Есть из чего выбирать — и в этом кроется как мощь системы, так и ловушка. Без понимания внутренней логики и последствий решений легко попасть в ситуацию, в которой система кажется надежной, но по факту остается беззащитной.
Эта книга написана, чтобы сделать выбор осознанным. Не навязать единственно верный путь, а показать, где скрыты риски, на какие параметры стоит обращать внимание, как рассуждать при выборе инструментов.

Как устроена эта книга

Мы начнем с основ: архитектуры ОС, моделей безопасности, загрузчика, разграничения прав и доверия. Разберем отличия аутентификации от авторизации, настройку двухфакторной аутентификации FIDO2 и работу с хранилищами секретов. Далее углубимся в мониторинг, песочницы, выбор ядра, сертифицированные решения (включая ФСТЭК), инициирующие системы и их конфликты.

Чем глубже погружение, тем больше внимания потребуют детали: безопасность виртуализации, сетевые аспекты взаимодействия, источники LOTL-атак и подходы к обеспечению целостности данных (не сводящиеся к Tripwire). Рассмотрим антивирусы, поиск руткитов и их уместность в разных контекстах. Затем перейдем к шифрованию, работе с сертификатами, выбору версий SSL-библиотек, резервному копированию и политикам хранения.

Блок по защите памяти охватит ASLR, DEP, hardening аллокаторов, cold boot-атаки и CFI. Обсудим компиляцию, усиление ядра и сравнение libc-библиотек. Далее сосредоточимся на безопасности приложений, анализе уязвимостей (CWE/CVE), расследовании инцидентов, цифровой криминалистике, восстановлении и правовых аспектах. В завершение дадим практические рекомендации и взглянем в будущее.

Кому она будет полезна

Эта книга написана для тех, кто хочет понимать, как на самом деле устроены системы, и почему одни конфигурации ведут к уязвимости, а другие — к устойчивости.
Я надеюсь, что студент технического вуза, только начинающий путь в области информационной безопасности, найдет здесь фундамент и отправную точку. Опытный администратор — способы систематизировать и углубить подход. DevSecOps — инструменты, которые помогут выстроить процесс, а не просто закрыть тикет. Руководители технических отделов и специалисты по защите информации — практические ориентиры, на которые можно опираться при выработке политики и принятии решений.
Здесь нет универсальных рецептов. Но мы попробуем понять, откуда берутся ошибки, как накапливаются уязвимости и почему безопасность — это не галочка в чек-листе, а способ думать и действовать.
Примеры в тексте, если не указано иное, приведены для Debian GNU/Linux. И да, я знаю, что Linux — это только ядро. Просто мы договоримся так называть всю систему, чтобы не спорить об очевидном.

Об авторе

Независимый исследователь. Консультант по информационной безопасности. Спикер DEF CON NN, VolgaCTF. Основатель проектов по созданию защищенной операционной системы на базе и AOSP FreeBSD. Автор статей в ][, преподаватель и владелец каналов с мемами.

Зловредные ML-модели на Hugging Face: что творится?


На Hugging Face Hub, популярной платформе для шаринга ML-моделей, нашли подставу — 135 вредоносных моделей, из них 8 реально опасных. JFrog, ребята из Израиля, раскопали это дело.

Что случилось?

Кто-то заливал модели с бэкдорами и эксплойтами через Pickle-файлы. Один экземпляр крал Discord-токены и шпионил за юзерами, другой пытался ломать системы через уязвимости вроде Log4j. Всё это маскировалось под легитный код, так что сразу и не поймёшь.

Кто виноват?

10 подозрительных юзеров, включая типа с ником "patron666". Они пуляли модели с мутными названиями вроде "bert-1" или "test111". Hugging Face уже прикрыл эти аккаунты, но осадочек остался.

Почему это важно?

ML-модели — не просто игрушки, их качают тысячи раз. Если в коде зашит троян, то хана — от кражи данных до взлома серверов. А Pickle-файлы — вообще лазейка для дряни, потому что выполняют код без лишних вопросов.

Что делать?

JFrog говорят: проверяйте модели перед запуском, используйте песочницы и не доверяйте всему подряд. Hugging Face же обещают закрутить гайки с модерацией, но пока — имеем. то, что имеем.

Итог

Хочешь ML-игрушку с Hugging Face? Сначала убедись, что это не мина замедленного действия. Времена простоты кончились — теперь каждый файл проверяем под лупой!

Оригинал

Зловреды в ML-моделях на Hugging Face: разбор от JFrog

Кто такие JFrog?

JFrog — израильская контора, основанная в 2008 году тремя чуваками: Йоавом Ландманом, Фреди Саймоном и Шломи Бен Хаимом. Их фишка — помогать разработчикам управлять кодом и не влетать в неприятности с безопасностью.

Суть проблемы

На Hugging Face, где дата-сайентисты берут ML-модели, нашли заразу. Вредоносный бэкдор PyTorchLoader тихо ломает системы и тырит данные. JFrog раскопали это и делятся фактами.

Какой урон?

- Модель типа "epicsucc/pytorch_loader" крадёт Discord-токены и сливает их в чужой канал.
- Качает дополнительные эксплойты, шлёт пинги на серверы вроде "45.88.194.153".
- Всё работает незаметно — ни ошибок, ни намёков.

Откуда ноги растут?

Злоумышленники используют PyTorch-файлы (.pt), куда зашивают код через torch.load(). Этот метод запускает что угодно без фильтров — идеальная лазейка для бэкдоров.

Кто попал под раздачу?

Дата-сайентисты и разработчики, которые качают модели для работы. Тысячи загрузок — и любой может стать жертвой, если не
проверяет файлы.

Что обнаружили?

- 135 подозрительных моделей на Hugging Face.
- 8 из них — с явным зловредом.
- Названия вроде "bert-base-uncased-finetuned" или "test_model" — ничего необычного, чтобы не привлекать внимания.

Кто за этим стоит?

Конкретных имён нет, но JFrog нашли следы — мутные аккаунты, заливающие заражённые файлы. Hugging Face уже чистит площадку, но угроза жива.

Как не влипнуть?

- Не запускай модели без проверки — код смотри вручную.
- Тестируй в песочнице, чтобы зараза не вылезла наружу.
- Юзай антивирусы (CrowdStrike, Malwarebytes) или скрипт от JFrog ссылка.

Вывод

Hugging Face — не только кладезь знаний, но и потенциальная ловушка. Дата-сайентистам теперь надо держать глаза открытыми: одна ошибка — и твои данные уплывут. Проверяй всё!

Оригинал

Очередной обзор изменений в законодательстве от коллег из УЦСБ - за февраль 2025 года. По тексту для упоминаемых НПА добавлены ссылки на карточки в Хабе Злонова.

https://hub.zlonov.ru/laws/reviews/2025-02-USSC-review

Старые версии Tor Browser ломаются: что делать?

Если ты всё ещё сидишь на старой версии Tor Browser — ниже 13.0, — пора проснуться. Эти сборки больше не работают с сетью Tor. Разбираемся, почему так вышло и как не остаться без анонимности.

Что случилось?

Сеть Tor недавно обновила свои протоколы, чтобы сделать её быстрее и надёжнее. Это затронуло всех, кто использует Tor Browser младше версии 13.0 (вышедшей ещё в июне 2023 года). Старые клиенты просто не могут подключиться к новым узлам — как будто пытаешься открыть современный сайт через Internet Explorer 6. С декабря 2024 года сеть окончательно отказалась от поддержки устаревших версий, и если ты не обновился, привет, чёрный экран вместо onion-сайтов.

Когда это началось?

Проблемы накатывали постепенно с ноября 2024 года, когда новые узлы начали вытеснять старые. К марту 2025-го всё, конец игры для лентяев.

Почему именно сейчас?

Tor Project дал больше года на переход — с июня 2023-го по декабрь 2024-го. Обновление нужно для защиты от уязвимостей и поддержки новых функций, вроде улучшенной защиты от DPI.

Как понять, что ты в зоне риска?

Проверь версию своего Tor Browser:
1. Открой браузер.
2. Кликни на три полоски в правом верхнем углу (меню).
3. Выбери "Справка" → "О Tor Browser".
4. Смотри номер версии.

Если там что-то вроде 12.5.x или ниже — ты в пролёте. Пора действовать.

Что делать?

Обновись до актуальной версии

Скачай свежий Tor Browser с официального сайта:
- Перейди на torproject.org.
- Выбери свою систему (Windows, macOS, Linux, Android).
- Установи и запусти.

Проверь подключение

После установки:
- Запусти Tor Browser.
- Дождись, пока он подключится к сети (зелёная полоска).
- Зайди на check.torproject.org — если всё ок, увидишь "Поздравляем, вы в Tor".

Если не работает

- Убедись, что время на устройстве правильное (Tor не любит рассинхрон).
- Попробуй мосты: в настройках выбери "Tor заблокирован" → "Выбрать встроенный мост" (obfs4 обычно спасает).
- Обнови систему — старые библиотеки иногда ломают всё.

Почему обновляться важно?

Старые версии — это не только отсутствие подключения. Они ещё и дырявые:
- Уязвимости в коде, которые уже закрыты в 13.0+.
- Слабая защита от анализа трафика (DPI легко вычисляет старый Tor).
- Нет поддержки новых onion-адресов (v3 длиннее и безопаснее).

Плюс, без обновлений ты теряешь анонимность. В 2025 году это как выходить в интернет без антивируса — рискованно.

Что дальше?

Tor Project не будет поддерживать старьё — это официально. Разработчики уже готовят версию 14.0 с улучшенной маскировкой и скоростью. Так что обновляйся, проверяй сеть и держи ухо востро. Анонимность — штука хрупкая, но с актуальным Tor Browser шансов у тебя больше.

Ресурсы:

Скачать Tor Browser
Форум поддержки
Новости Tor

Я, конечно, не хочу хвастаться
Впрочем нет, хочу.
Моя первая статья в ][
https://xakep.ru/2025/03/26/i2p-2025/

Эпизод №4. Безопасность Android

Пришла пора поговорить на такую волнующую всех тему как безопасность Android и наконец-то понять, откуда берётся выдача рекламы, некогда случайно озвученная вполголоса рядом с включённым устройством.

В гостях как дома:

Александр Вир. Независимый исследователь. Автор проекта @rutheniumos – ОС, нацеленной не только на безопасность, но также приватность и защиту данных пользователя, созданной на базе AOSP и лучших наработок в области безопасности Android и ориентированной на российский рынок. И по совместительству автор канала @theaftertimes.

Алексей Теплов. Действующий инструктор в телекоме в англоязычной среде (Juniper), в нашей среде бывший (додевопсный) сетевой инженер, а нынче энтузиаст в сфере защиты от утечек со смартфонов и ноутбуков. Местами продвинутый пользователь Android и QubesOS, консультирует по ИБ и обучает заинтересованных лиц, нынче это преимущественно военные связисты (начсвязи).

О чём:

• История появления Андроида: как все начиналось в 200x и во что все превратилось в 202x?• AOSP и архитектура современных андроидов/сборок
• Что не так с фабричными Андроидами в плане безопасности для обычного (рандомного) пользователя?
• Нужен ли рут и опасно ли наличие рута?
• Что такое дегуглофикация и почему она необходима инженеру?
• Bloatware, adware, трекеры/сборщики данных, etc – почему это зло, где его корни и как с ним бороться?
• Проект RutheniumOS – что, зачем и для чего? За что боремся, каковы высокие цели, в какой точке находимся, чего не хватает?
• Как сделать свой форк AOSP и нужно ли/сложно ли этому научиться? (может, академию открыть?! база (инженерная настройка) + адвансед (мейнтейнерство))
• Прочее интересное и полезное

Полезные ссылки:

LineageOS: https://lineageos.org/ + основанный на нем crDroid: https://crdroid.net/
DivestOS: https://divestos.org/
GrapheneOS: https://grapheneos.org/
CalyxOS: https://calyxos.org/

Рутирование:
Magisk (Official): https://github.com/topjohnwu/Magisk
Magisk Kitsune: https://github.com/HuskyDG/magisk-files/releases
KernelSU: https://kernelsu.org/ https://github.com/tiann/KernelSU

Опенсорс замена Google-сервисов: https://microg.org/ Magisk-модуль: https://github.com/nift4/microg_installer_revived

Песочница:
Insular: https://gitlab.com/secure-system/Insular

Кастомизация системы под свои нужды:
LSPosed Framework: https://lsposed.org/
Репозиторий модулей: https://modules.lsposed.org/

Деблоатер для рутированного смарта: https://sunilpaulmathew.github.io/De-Bloater/

Деблоатер для нерутированного смарта: https://github.com/Universal-Debloater-Alliance/universal-android-debloater-next-generation/

Фаерволл:
AFWALL+: https://github.com/ukanth/afwall

Андройд отдаёт в 20 раз больше телеметрии
https://arstechnica.com/gadgets/2021/03/android-sends-20x-more-data-to-google-than-ios-sends-to-apple-study-says

Поиск по патчам
https://review.lineageos.org

Анонс третьего доклада об операционной системе Android!

Третьим нашим участником и спикером станет прекрасный @aftertime (Александр Вир), который расскажет о дивном мире Android и немного о его истории...

На мой взгляд решительно невозможно правильно чем-то пользоваться, если ты не имеешь четкого представления, кто и для чего создавал предмет твоего интереса.
Сегодня мы посмотрим на зеленого робота с разных сторон, и постараемся разобраться, что же он из себя представляет.
Мы поговорим про идеи, которые легли в основу ОС, о значении лицензий в мире свободного ПО, о том, как бизнес заигрывает с сообществом, о том, как судились Google с Oracle, и причем тут Kotlin.

Я лично очень жду этого доклада и с удовольствием пропущу бокальчик сидра под увлекательный рассказ)

Приходите и вы :)

Кстати, Саша ведет офигительнейший канал https://news.1rj.ru/str/rutheniumos, очень рекомендую)

#mobileAppsecClub