Онлайн-встреча по информационной безопасности Digital Security ON AIR

Рекомендуем почитать:

Xakep #253. Сканеры уязвимостей

• Содержание выпуска
• Подписка на «Хакер»

10 июня 2020 года присоединяйся к онлайн-встрече по информационной безопасности Digital Security ON AIR. Мероприятие начнется в 17:00 и продлится до 21:00. В программе доклады на актуальные темы ИБ, небольшой онлайновый CTF, а также игра Kahoot с призами. Вход свободный.

Digital Security ON AIR

Реальность, в которой мир существует несколько последних месяцев, заставляет посмотреть на привычное под другим углом и приносит новые идеи.

В компании Digital Security, есть одна хорошая, устоявшаяся традиция – каждый месяц они собираются вместе, читают доклады на различные темы, начиная от строго технических и заканчивая докладами, посвященным каким-либо популярным и актуальным вопросам, играют в Kahoot, едят пиццу, общаются и просто приятно проводят время.

В этом году команда Digital Security решила перенести хотя бы часть этой атмосферы в онлайн и поделиться ей с членами профессионального сообщества. Да, пиццу вместе пока поесть не доведется, но отличные доклады, вопросы докладчикам и Kahoot останутся на месте.

Проведем время максимально интересно и продуктивно. В программе будут следующие доклады:

• Облачные сервисы: атаки и защита
• Уязвимости корней доверия Intel (Authenticated Code Modules)
• 3D Secure, или что скрывается в механизмах безопасности онлайн-платежей
• DevSecOps: Фаззинг исходного кода
• Безопасность PHP-фреймворков

У вас будет возможность поиграть в Kahoot и выиграть призы. По всем канонам гостеприимства, организаторы все выигранное отправят победителям.

Небольшой онлайновый CTF — для тех, кто приходит на конференции не только ради докладов. Будут задания на реверс-инжиниринг, веб-безопасность и форензику.

Подробнее о докладах­

Фёдор Ярочкин — Облачные сервисы: атаки и защита

Многие компании выигрывают от перемещения своей инфраструктуры в облака. Облачные сервисы предлагают большие возможности масштабируемости и доступности и кажутся более простыми в использовании. Однако за эти удобства приходится платить. В начале 2019 года мы провели исследование и обнаружили множество незащищенных или небезопасно сконфигурированных сервисов.

Когда речь заходит о недостатках защиты облачных сервисов, первое, что приходит на ум, — некорректно настроенные S3 бакеты. Мы выяснили, что проблемы безопасности куда более разнообразны. Некоторые из них могут привести к раскрытию чувствительных данных, другие — к обходу аутентификации и раскрытию аутентификационных данных.

Рассмотрим, как улучшить безопасность развертываний в облаке путем повышения устойчивости облачных сервисов к атакам и правильной настройки определенных аспектов их конфигурации.

Александр Ермолов — Уязвимости корней доверия Intel (Authenticated Code Modules)

В последнее время многое сделано с целью улучшить безопасность x86-совместимых компьютерных платформ. В частности, Intel представила аппаратно-поддержанные механизмы защиты: TXT, BIOS Guard, BootGuard и SGX. Ввиду того, что runtime-окружению доверять нельзя, эти механизмы полагаются на хардварные рамки, заложенные еще на этапе создания архитектуры и производства платформы.

В итоге мы имеем два основных корня доверия в архитектуре Intel 64: Intel Management Engine ROM и Intel CPU ROM (Microcode ROM). Последний, кстати, отвечает за аутентификацию, загрузку и исполнение различных доверенных кодовых модулей Intel. Они же – Authenticated Code Modules (ACMs). Это специализированные подписанные (Intel) бинари, в которых заложена основа для поддержки вышеупомянутых технологий защиты. Очевидно, что уязвимость в ACM может привести к компрометации технологии, которую данный модуль поддерживает.

Александр Романов — 3D Secure, или что скрывается в механизмах безопасности онлайн платежей

Ежедневно в мире совершаются миллионы онлайн-покупок. Объем отрасли e-commerce исчисляется триллионами долларов, и такие обороты, естественно, привлекают внимание злоумышленников. О том, как работают механизмы защиты онлайн-платежей и какие уязвимости могут в них скрываться, мы поговорим на примере протокола 3D Secure.

Борис Рютин и Павел Князев — DevSecOps: Фаззинг исходного кода

За последние десять лет фаззинг стал неотъемлемой частью процессов аудита и поиска уязвимостей в ПО. Fuzz-машина Google, запущенная в 2011 году, нашла тысячи уязвимостей в Chromium и показала необходимость превращения разового исследования в постоянный процесс. Мы расскажем, с чем придется столкнуться разработчикам при подготовке своего продукта на С/С++ к фаззингу, какие подводные камни ожидают DevOps-инженеров, и как это в результате поможет сократить количество уязвимостей в вашем продукте еще на этапе разработки.

Владимир Волков — Безопасность PHP-фреймворков

Несмотря на то, что сейчас принято строить веб при помощи модных JS-фреймворков, довольно много веб-проектов написано на PHP. Представьте, что вам предстоит пентест проекта на PHP, и вы хотите разобраться в устройстве и особенностях популярных PHP-фреймворков. Мы поговорим, как выглядит структура таких проектов, какие интересные уязвимости в них можно встретить, а также обсудим некоторые PHP-специфичные баги.

Регистрируйся на Digital Security ON AIR!

Источник