книги хакеры / Курс_по_кибер_безопастности_Секреты_хакеров

Давайте посмотрим, сравнительно недавно, читайте заголовок, "Google ставит ультиматум Symantec касаемо неавторизованных HTTPS сертификатов". Что же там произошло? Symantec выпустил сертификаты, объявляющие о своей принадлежности Google, но Google, по факту, никогда не запрашивал этих сертификатов. А Symantec - это реально один из лидеров рынка по части удостоверения сертификатов. Это крупнейший игрок на рынке удостоверяющих центров. Эти ребята должны задавать стандарты.

Немного проскроллим вниз, читаем: "Вначале Symantec заявлял, что были выпущены 23 сертификата", и когда речь идет о 23 сертификатах, то это означает, что этих 23 сертификатов не должно было быть вообще. И что же дальше: "Google поставил под сомнение эту цифру, отмечая, что она значительно выше. Проведя дополнительные проверки, в Symantec признали, что были выпущены 164 сертификата для 76 доменов и 2458 сертификатов для даже незарегистрированных доменов".

Вот масштабы текущего уровня обеспокоенности по поводу действий центров сертификации и ошибок, которые они допускают. И это Symantec, считающийся лидером рынка. И это не единичный случай.

26

Есть множество способов борьбы с фальшивыми сертификатами и последующим дешифрованием вашего трафика. Вы можете уменьшить количество сертификатов, которым вы доверяете. Если мы зайдем в "Настройки", "Расширенные", “Сертификаты”, “Посмотреть сертификаты”, мы увидим здесь сотни сертификатов, которым вы непосредственно доверяете.

Вы можете удалить ненужные вам сертификаты. Вы обнаружите, что порядка 95% ресурсов, которые вы посещаете, нуждаются в малом количестве сертификатов. Так что если уменьшение количества сертификатов вас заинтересует, можете погуглить на этот счет и изучить этот вопрос, поэкспериментировать с удалением сертификатов.

28

Другая вещь, которую вы можете сделать, это отслеживание изменений сертификатов тех сайтов, которые вы используете. Есть аддон для Firefox под названием

"Certificate Patrol". "Ваш браузер доверяет

множеству различных центров сертификации и промежуточным центрам каждый раз, когда вы посещаете HTTPS веб-сайт. Данный аддон выявляет случаи, когда сертификаты обновляются, так чтобы вы смогли убедиться, что это было легитимное изменение".

Спустимся ниже. Не знаю, сможете ли вы разглядеть, что тут написано. Этот аддон показывает вам контрольную сумму сертификата во время вашего предыдущего посещения сайта, и контрольную сумму текущего сертификата.

На первый взгляд это может показаться хорошей идеей, не так ли? Но проблема в том, что это не практично. Сертификаты меняются постоянно. Вы будете получать эти всплывающие окна раз за разом, и вы не будете знать, подлинный ли новый сертификат или нет. Понятно, что вы можете догадаться, потому что если меняется центр сертификации с одного на другой, допустим, они перешли от Symantec на почту Гонконга, то, ясное дело, это знак того, что что-то тут нечисто.

Но если вы установите это расширение, то подобные вещи, вы будете получать эти всплывающие окна постоянно. И это станет весьма нецелесообразным. Закроем это окно.

Далее, есть другая опция, если вы владелец сервера или если у вас есть какие-либо связи с тем, куда вы коннектитесь, вы можете использовать так называемое "закрепление сертификата".

Что это такое? Как сказано на сайте проекта OWASP: "Закрепление - это процесс ассоциации хоста с его ожидаемым X.509 сертификатом или открытым ключом". Другими словами, это способ сказать: "Я принимаю только один определенный открытый ключ". Например, вы можете связать сертификат с его контрольной суммой или хешем, так что если кто-либо его поменяет, то вы сразу об этом узнаете.

Например, если вы используете интернет-банкинг, а я работал архитектором в сфере безопасности ряда банковских приложений в Великобритании, одним из средств защиты там является привязка сертификатов, потому что вашему банковскому приложению не нужно посещать множество сайтов. Вы можете сказать: "Разрешить только этот один публичный сертификат или несколько публичных сертификатов". Поэтому если человек посередине попытается подменить эти сертификаты, то это не сработает, потому что вы связали со своим приложением конкретные публичные ключи.

Привязка работает не только для HTTPS. Ее можно использовать с VPN, SSL, TLS и другими протоколами, которые вы используете для работы с сертификатами.

Следующий способ - это оставаться анонимным изначально. Если вы обеспокоены, что кто-либо считывает ваш трафик, то если вы анонимны, они не смогут соотнести этот трафик с вами, даже если прочитают его, если это вообще имеет смысл.

Например, если вы используете средства анонимизации, допустим, VPN или Tor,

29

Также вы можете использовать VPN. Однако, VPN защитит вас до определенной степени. Здесь у нас схема , демонстрирующая VPN. Это маршрут между инициатором VPN туннеля и VPN терминатором, и внутри этого туннеля у нас HTTPS, использующий SSL и TLS, и после того, как он достигает VPN терминатор, трафик снова превращается в обычный HTTPS.

Если атакующий может расположиться лишь посередине между вами и терминатором, то VPN туннелирование предотвратит подмену сертификата. Если атакующий получит доступ к трафику здесь, то конечно, он сможет заменить сертификат.

Пример, где это может пригодиться. Допустим, вы в Китае, и вас волнует, что китайское правительство может заменить сертификат на поддельный. Что вы можете сделать, вы можете выйти по VPN за пределы Китая и затем соединиться с сервером, опять же, сервер должен находиться за пределами Китая. И тогда у вас будет больше гарантии, что ваше соединение защищено от точки до точки, потому что вы знаете, что у них нет возможности подменить сертификат в то время, пока он находится на территории Китая.

Если вы хотите подключиться к серверу, который находится в зоне влияния источника вашей угрозы, то даже с VPN могут возникнуть проблемы, потому что как только вы покидаете VPN туннель, они могут дешифровать трафик.

Это был фрагмент о центрах сертификации и HTTPS, а также вопросах, связанных с ними. Ваш основной подход к защите - это использование эшелонированной защиты. Вы используете многочисленные средства защиты с целью минимизировать риски, и в данном случае средством защиты является VPN. И вам следует добавить дополнительные средства в зависимости от уровня безопасности или приватности, который вам нужен, это средства, которые мы рассмотрим далее в нашем курсе.

42. End-to-End шифрование (E2EE)

End-to-end шифрование заключается в том, что данные шифруются отправителем и дешифруются только получателем. Если вы хотите избежать отслеживания, массовой

слежки, хакеров и так далее, то вам нужен именно этот вид шифрования передаваемых 30 данных.

https://embeddedsw.net/OpenPuff_Steganography_Home.html

Итак, если вы готовы скачать OpenPuff, то зайдите на этот вебсайт, загрузите его, запустите программу. Это займет немного времени. Здесь, это кнопка для инструкции, это кнопка для перехода на домашнюю страницу сайта программы. То, что посередине, можете проигнорировать это. Это для проставления цифровых водяных знаков и другие возможности.

А это блок для того, чтобы спрятать данные в контейнер, и чтобы извлекать данные из контейнеров.

Давайте для начала спрячем данные. Нажимаем "Спрятать". Здесь вам нужно ввести три пароля. Если хотите узнать, для чего они нужны, обратитесь к инструкции по этой ссылке, здесь подробно расписаны причины. Использование трей паролей - это часть алгоритма для встраивания скрытой информации.

Мне нужны три пароля, я заранее их сгенерировал, программа требует сложные пароли. Копирую и вставляю их сюда, и теперь мне нужно добавить контейнер. Нажимаю "Добавить" и выбираю картинку с песиком в качестве контейнера.

32

33

34

Ваш механизм обеспечения безопасности должен запускаться еще до того, как вы даже попытаетесь его настроить. Люди и компании часто не могут начать использовать риск-ориентированный подход. Я наблюдал за тем, как время и деньги тратятся на шифрование ноутбуков, в то время как компания мало что делала с уязвимостями перед атаками на браузеры или электронную почту, а эти атаки в любом случае смогут обойти шифрование дисков. Речь идет о риске и приоритизации вашего времени и ресурсов для минимизации в первую очередь самых крупных рисков.

https://www.schneier.com/essays/archives/1998/01/security_pitfalls_in.html

Далее в курсе мы обсудим, какие существуют способы для атаки на шифрование, а пока что вот вам хороший материал для чтения, который я рекомендую, на тему того, как криптосистемы могут не справиться с атаками на них.

35