S.E.Reborn

Attacking Secrets.

• Secrets in private repositories;
- Scenario: An Attacker Scanning a Private Repository for Secrets;
- Example Commands and Codes;
• User Credentials in CI Pipelines;
- Scenario: An Adversary Exploiting CI Pipeline Credentials;
- Example Commands and Codes;
• Azure Key-Vault Authentication Abuse;
- Azure’s Documentation Overview;
• Practical Implementation: Azure’s Authentication Solution;
- Steps for Compromising Azure Key Vault;
• Azure Key Vault RBAC;
• Ansible Vault Secret;
- Generating a Hash for Cracking;
- Cracking the Hash;
- Decrypting the File;
• Vault-Backend-Migrator;
- Threats;
• Kubernetes Sealed Secrets;
• chamber;
• Vault Secrets Operator;
• Buttercup Weak Password;
• teller manipulate files;
• BlackBox;
• Conclusion;
- Attacker's Next Steps.

https://blog.devsecopsguides.com/

#devsecops

Шифруем данные. Часть 2.

• Еще немного про шифрование. Кашу маслом не испортишь, как не испортишь безопасность шифрованием. Но так ли это и на что еще обратить внимание, когда шифруешь файлы?

• Первое правило клуба шифровальщиков: никому не говори о клубе шифровальщиков. Ну кроме того, кому ты собираешься передать данные. Он то должен знать. Поэтому нужно шифровать все важные данные, которые вы передаете по открытой сети. Все дело в доверии. Доверяете ли вы Телеге? А Гуглу? А Протону? Никто не мешает нашим любимым операторам связи одной рукой устанавливать P2P соединение и называть это анонимностью, а другой – читать наши переписки. Бэкдоры они такие. Чтобы ваши данные попали в руки третьих лиц – шифруйте содержимое.

• Используйте ключевые файлы. Это как абсолютно надежный ключ от двери. Без него, даже зная пароль, архив не откроешь. Даже квантовым компьютером. Даже квантовым компьютером с паяльником. Его обычно транспортируют отдельно от архива. Создается этот ключ самой VeraCrypt. Вы можете выбрать его длину (в том числе случайную), а также количество. Хоть один, хоть сто, хоть двести. И спрятать можно его где угодно: ему можно присвоить любое расширение.

• Используйте PIM. Считайте, это дополнительный ПИН-код для вашего архива. Если шагнуть в сторону от математики, используя PIM нужно не только угадать ваш пароль, но и повторить его определенное количество раз. Это как если бы дверь открывали не всем, а только тем, кто стучит четыре раза в ля-бемоле. Штука удобная и крайне полезная. Взломостойкость повышается в разы. Быстродействие, конечно, падает, но если архив не терабайтный, то вы этого не особо заметите.

• Так что шифруйте, и да пребудет в сами сила криптографии!

#Криптография #VeraCrypt #PIM

Attacking IaC.

• Least Privilege;
• Secrets Management;
• Encryption of Sensitive Data;
• Compliance as code;
• terraform plan;
• pet Infra;
• Storing Terraform State Securely;
• Malicious Terraform Providers or Modules;
• Securing Terraform Executions with Isolation;
• Protecting Sensitive Variables in Terraform Logs;
• Securing API Keys and Archivist URLs in HCP Terraform;
• Use dynamic credentials;
• Terraform Plan vs Terraform Apply;
• Replace blacklisted provider.

https://blog.devsecopsguides.com/

#IaC #DevSecOps

Жизнь после мейнстрима: WEP.

• WEP - это алгоритм шифрования, который активно использовался в старых стандартах беспроводных сетей Wi-Fi. Он появился в конце 1990-х годов и за прошедшие десятилетия не раз был объектом внимания в скандалах, связанных со взломом. Первые данные об уязвимостях были опубликованы еще в 2000 году.

• Есть мнение, что именно эта шумиха препятствовала развитию беспроводных сетей в компаниях — слишком силен был стереотип, что данные «по воздуху» передавать не безопасно.

• Хотя у WEP есть модификация, поддерживающая длинный ключ, с существующими вычислительными мощностями и большим количеством «дыр» в самом алгоритме для его взлома достаточно нескольких минут, поэтому в Wi-Fi рекомендуется использовать альтернативный алгоритм (WPA). Эта рекомендация появилась в 2004 году и с того момента WEP официально признан устаревшим.

• Проблема в том, что WEP-шифрование спустя 18 лет все еще поддерживается огромным количеством устройств, а некоторая старая техника не знает никакой альтернативы. По статистике, WEP-шифрование все еще используют около 3% устройств в мире. Так что стандарт все еще в строю, несмотря на почти два десятилетия антирекламы.

• На фоне других устаревших стандартов WEP очень живуч. Но определенные шаги к отказу от него все-таки выполняются. Например, Microsoft объявила о прекращении поддержки WEP-шифрования в Windows 11 (а вместе с ним и техники, которая не поддерживает ничего иного, кроме WEP и TKIP).

#Разное

Заключенные, 2 ПК и взлом тюремной сети.

• Поведаю вам реальную историю о заключенных, которые смогли собрать 2 ПК, взломать сеть тюрьмы и занимались нелегальной деятельностью в интернете. История достаточно старая (2015 год), но весьма увлекательная и интересная:

• Пятеро заключенных из исправительного заведения Марион (Marion Correctional Institution (штат Огайо), далее MCI) тайно собрали два компьютера, спрятали их за подвесным потолком в служебном помещении, взломали сеть тюрьмы, получили возможность проходить в запрещенные для заключенных зоны и занимались нелегальной деятельностью в интернете. Все перечисленное стало возможно благодаря тому, что заключенные работали по программе Green Initiative, где занимались утилизацией различной электроники.

• Администраторы MCI начали замечать нечто странное летом 2015 года: аккаунт, принадлежавший одному из подрядчиков тюрьмы, стал превышать дневную квоту трафика. Затем похожее поведение стали демонстрировать учетные записи других сотрудников, в том числе в выходные дни, когда этих сотрудников вообще не было на рабочих местах. Хуже того, несколько дней спустя эти служащие стали предпринимать попытки уклониться от прокси, которые следили за трафиком. Подозрения администраторов дали старт полноценному расследованию, в ходе которого странную активность удалось отследить до компьютера, который фигурирует в отчете как -lab9-. Это имя совершенно не вписывалось во внутреннюю систему присвоения имен.

• В итоге подозрительный трафик проследили до 16 порта коммутатора, расположенного на территории тюрьмы, а затем обнаружили, что кабель, подключенный к устройству, уходит в один из соседствующих шкафов, а затем за подвесной потолок. За фанерными плитами потолка сотрудники MCI с удивлением обнаружили два работающих компьютера.

• На двух обнаруженных жестких дисках следователи нашли немало интересного: хакерские инструменты, легитимный софт, следы нелегальной активности. Криминалисты пишут, что были обнаружены самоподписанные сертификаты, аккаунты Pidgin, ссылки на различные Tor-сайты и следующий софт:

CC Proxy, Cain, Zed Attack Proxy (ZAP), #Wireshark, #NMap, ZenMap, Webslayer, JanaServer, Yoshi, AdvOr #Tor Browser, THC Hydra, Cavin, Paros, 3CXVoip Phone, #VirtualBox, TrueCrypt, CC Cleaner, VideoLan, Clamwin, phpBB, SoftEther VPN. OpenVPN и другой кастомый софт.

• Как оказалось, заключенные не просто «выходили в интернет», они перехватывали тюремный трафик, взломали аккаунты сотрудников и скомпрометировали сеть тюрьмы, получив доступ к системе Departmental Offender Tracking System. После этого они получили доступ к внутренним записям о других заключенных и смогли выпустить пропуска для доступа в закрытые зоны MCI.

• В интернете преступников тоже в основном интересовала криминальная деятельность: они изучали схемы мошенничества и возвратом налогов. Кстати, стоит сказать, что чтение не прошло даром, в рамках мошеннической схемы преступники пытались выпустить кредитные карты на имена других заключенных, ведь недостатка в чужих личных данных не было.

• После того как все пятеро хакеров были идентифицированы, их разделили, и теперь они отбывают наказание в разных исправительных учреждениях.

• Источник: https://xakep.ru/2017/04/13/inmates-hackers/

#Разное

Шифруем данные.

• Шифрование – это последний оплот цифровой свободы. Все почему? Потому что AES256 шифрование считается невозможным к дешифровке. Есть какие-то риски, что это сможет сделать квантовый компьютер. Но пока квантовые компьютеры – это как Палантир – есть только у Саурона. Когда квантовые компьютеры будут стоять у каждого товарища майора, тогда и поговорим. Да и то, на квантовый компьютер появится квантовое шифрование. Так что на каждую хитрую гайку найдется болт с левой резьбой.

• Но пока этого не случилось, как себя обезопасить? Я всем рекомендую VeraCrypt. За ней есть грешки, но постоянные патчи их оперативно устраняют. Можно, конечно, пользоваться олдскульным TrueCrypt (VeraCrypt – это его форк), но он больше не поддерживается. Есть еще ZuluCrypt, так что вариантов на самом деле масса. Выбирайте то, к чему душа больше лежит.

• Теперь о настройке. VeraCrypt нельзя использовать как есть, из коробки. Нужно проставить нужные галочки. В параметрах обязательно установите время размонтировки. Если вы ничего не делали с томом сколько-то времени, он автоматически размонтируется. Это полезно, если вы ушли в туалет и не размонтировали диски, или, не дай Бог, лежите в браслетах на холодном полу.

• Второе – очищать кэш паролей при выходе. Поясняю. Когда вы поработали с томом, не размонтировали его и закрыли крышку ноутбука, отправив его в сон, ваши пароли остаются в кэше и в случае чего их можно вытащить с помощью специального бубна и ритуальных танцев. Я думаю, что именно так силовики «вскрыли» архив одного известного журналиста. Ну или терморектальный криптоанализ. Тут даже квантовый компьютер не нужен.

• Ну и последнее. У VeraCrypt есть горячие кнопки. Можно назначить размонтирование даже на одну кнопку. Поэтому если товарищ майор начал внезапный штурм твоей двери из картона и палок – у тебя будет время превратить все архивы в тыкву.

#Шифрование

Голубиная почта.

• Автор YouTube-канала Джефф Гирлинг провёл необычный эксперимент. Он прикрепил три флэш-накопителя SanDisk Extreme PRO ёмкостью 1 ТБ к почтовому голубю и отправил его в канадский центр обработки данных. Энтузиаст утверждает, что голубь смог передать 3 ТБ данных на расстояние до 800 км быстрее, чем гигабитная оптоволоконная сеть.

• По словам блогера, интернет-провайдеры, как правило, позиционируют широкополосные интернет-соединения как предлагающие гигабитные скорости. Таким образом, данные должны передаваться со скоростью не менее 125 МБ/с, но у ютубера этот показатель не превышал 75 МБ/с.

• При этом голубю потребовалась минута, чтобы добраться до места назначения, которое находилось в 1,6 км от него. Герлинг добавил к этому показателю время, необходимое для переноса данных с флэш-накопителей в локальное хранилище, и сравнил его с передачей 3 ТБ данных через интернет-соединение.

• Он обнаружил, что перенос 3 ТБ на расстояние примерно до 800 км с помощью голубя займёт меньше времени. Затраченное время зависит от расстояния, которое голубю придётся преодолеть, тогда как на передачу данных через Интернет Герлингу потребовалось 10 часов и 54 минуты.

• В 2009 году южноафриканская фирма провела аналогичный эксперимент с голубем и накопителем ёмкостью 4 ГБ, сравнив его скорость с показателями самого быстрого интернет-провайдера Telkom. Компании удалось передать данные с помощью голубя на расстояние 96,5 км за 1 час и 8 минут, в то время как службе провайдера удалось выполнить только 4% загрузки.

#Разное