to post messages and comments.

Поставил этот ваш тор браузер.

Тащемта я ожидал, что увижу взлет ракеты и некую заглавку с кнопками типа Drugs, Whores, Warez и там что еще по списку главных грехов даркнета...

А оно мне открыло модденный огнелис и DuckDuckGo.

Такого поворота событий я не ожидал.

Сообщив об уязвимости в безопасности веб-браузера Chrome, представители Microsoft проследили за ходом её устранения и указали Google на неправильную последовательность действий при работе с Open Source-проектом.

14 сентября специалисты по безопасности из компании Microsoft обнаружили серьёзную уязвимость в Chrome — CVE-2017-5121, — сообщив об этом Google с одновременной передачей эксплоита для возможности удалённого исполнения кода (RCE exploit). Авторам этого отчёта Google подарила 7500 USD, а вместе с другими багами, найденными в Microsoft в результате проведённого ими комплексного исследования работы песочниц в Chrome, общая премия составила 15 837 USD. Но куда занимательнее в этой истории оказался взгляд Microsoft на дальнейшие действия инженеров Google.

В целом работа Google над уязвимостью CVE-2017-5121 «Out-of-bounds access in V8» в Chrome произвела хорошее впечатление, потому что её исправление было опубликовано уже через 4 дня после первого сообщения*, а исправленная сборка продукта появилась через 3 дня после этого. Однако проблема, которую увидели в Microsoft в этом процессе, заключается в том, что исходный код исправления был опубликован в GitHub до того, как эти обновления стали доступны для пользователей приложения: «Хотя исправление этой проблемы не давало мгновенного доступа к эксплуатации соответствующей уязвимости, в других случаях всё могло бы пройти не так гладко», — пишет в блоге Windows Security Джордан Рабет (Jordan Rabet) из команды Microsoft Offensive Security.

nixp.ru

В третий <twitter.com> день <zerodayinitiative.com> два раза был успешно атакован Microsoft Edge, а также продемонстрировано  <twitter.com>два взлома VMWare Workstation, которые привели к выполнению кода за пределами виртуальной машины. Первый взлом был совершён <twitter.com> в рамках атаки на Edge, а второй в виде отдельной демонстрации. Для организации выполнения кода на стороне хоста при совершении атаки внутри гостевой системы были вовлечены три 0-day уязвимости: уязвимость в ядре Windows, утечка инфорамции в VMware и использование неинициализированного буфера в VMware.

за пределами виртуальной машины, Карл! ну и про эффективность модели Security through obscurity и безопасной проприетари

Я уверен, что автор книги "Искусство легального, анонимного и безопасного доступа к ресурсам Интернета" ничего принципиально нового не изложил, но я бы взглянул мельком. Покупать я её, конечно же, не буду. Подожду пока зальют на Флибусту или на торренты какие-нибудь. ozon.ru

Планирую переводить сайты на https, но сейчас всё чаще попадаются провайдеры, перехватывающие трафик под свой сертификат. Хотелось бы в этом случае пользователю выдавать жирное предупреждение. Как это сделать, куда копать?

Прислали вот простое руководство для людей, у которых проблемы с заботой о себе, исполнительной функцией и/или отслеживанием своих внутренних сигналов. Очень полезно в моменты прокрастинации и тревоги.

berekuk.ru

CVE-2016-4117. Уже и стебаться лень.
Опасность: Критическая
Описание: Уязвимость позволяет удаленному пользователю выполнить произвольный код на целевой системе.Уязвимость существует из-за ошибки проверки границ данных в модуле DeleteRangeTimelineOperation. Удаленный пользователь может с помощью специально сформированного .swf файла вызвать переполнение буфера и выполнить произвольный код на целевой системе.Примечание: уязвимость активно эксплуатируется в настоящее время.

CVE-2016-1887 — уязвимость в коде обработки аргументов системного вызова sendmsg() позволяет перезаписать содержимое больших областей памяти ядра, что может быть использовано локальным злоумышленником для получения прав root. Проблема проявляется в ветке FreeBSD 10.x.

CVE-2016-1886 — уязвимость в драйвере клавиатуры atkbd, связанная с переполнением буфера при обработке вызовов ioctl. Локальный злоумышленник может организовать выполнение кода в контексте ядра, отправив специально оформленный ioctl для изменения раскладки клавиатуры. Проблема проявляется во всех ветках FreeBSD. В качестве обходного пути блокирования уязвимости можно отключить изменение раскладки ("sysctl hw.kbd.keymap_restrict_change=4").

reuters.com
собственно ничего очень страшного, зараженная сеть была изолирована от сети управления АЭС.
Единственное что — триппер 2010 года, есть подозрение что до своей помойки на предмет вирусов парни дошли с 2010 только сейчас.

Сегодня столкнулся с неразрешимой дорожной проблемой. Надо было проехать мимо заезда на путепровод (см рисунок). По основной дороге едет непрерывный поток машин на скорости 80-100. Заезд на путепровод очень плавный, машины перед ним не тормозят, пешеходных переходов там никаких нет. Я еду вдоль основной дороги на скорости где-то 30 и мне надо проехать прямо (на рисунке обозначено стрелочками). Но получается что моя траектория будет пересекаться с траекторией машин поворачивающих с крайнего правого и среднего рядов на путепровод, и есть большая вероятность что они не притормозят.

Есть ли тут вариант безопасно проехать или надо искать объезд?

Поздравляем невольников майкрософт с прекращением деятельности очередного ботнета. 4 года фунциклировал dorkbot ботнет. Пожелаем же, друзья, чтобы заботливая МС разкрывала в два раза больше ботнетов и в два раза уменьшила средний срок их существавания. Слава роботам!
blogs.technet.com

Директора по безопасности Oracle заколебали покупатели, проверяющие их код на наличие уязвимостей.
Ишь чё придумали, самовольно проверять безопасность. По лицензии можно только верить на слово. Это вам не гнатик, где всё открыто.

Часто огромное значение имеет сопоставление информации. Могу привести хороший пример. Все знают, что сотовые операторы собирают метаданные, предоставляют их спецслужбам по запросу. Большую роль играет именно сопоставление данных. У спецслужб есть программы, которые выявляют людей, путешествующих вместе. Даже если люди не звонили друг другу, можно определить, что они встречались. Часто эти вещи даже более важны, чем прямое изъятие информации с компьютера или смартфона.

Сейчас люди стали больше внимания уделять не криптографии, а тому, как устроен обмен информацией, что может узнать внимательный наблюдатель, проанализировав информацию. Самое главное для человека, который хочет скрыть информацию, — это находиться ниже радара. А очень часто сам факт использования криптографических средств — это все равно что нарисовать на лбу большую мишень.

[…]

— С легкой руки господина Ашманова возник замечательный термин "информационный суверенитет". Если бы это слово обозначало то, что должно обозначать, это была бы возможность бесперебойного функционирования российского сегмента Интернета в том случае, если внезапно США нам его отключат. Но почему–то люди, которые употребляют это словосочетание, имеют в виду другое — возможность России вводить цензуру в пределах Рунета, ограничивать доступ к ресурсам, которые они считают вредными.

m.dp.ru

Просто идеальная реакция админа — бегает по заводу и всем рассказывает, что расклеил объявления и надо срочно все архивировать, а то страшный вирус зашифрует ваши данные.

Этот человек мне месяца четыре назад сказал, что все порты на прокси закрыты, чтобы вирусы не проникли, чтобы не могли изнутри попасть в интернет и не слали сам и вообще.