Из-за опечатки в настройках атакующие могли подменить DNS-сервер MasterCard

Таким образом, в течение четырёх с половиной лет любой желающий мог купить домен "akam.ne", создать хост "a22-65.akam.ne", развернуть на нём DNS-сервер, завести собственный вариант DNS-зоны mastercard.com и перенаправить любой поддомен mastercard.com на свой сервер. DNSSEC для mastercard.com не использовался. Так как опечатка допущена в имени одного из пяти DNS-серверов, в случае успешной атаки можно было получить контроль как минимум над 1/5 трафика. Охват можно увеличить выставив для подставной зоны большой TTL (Time To Live), что приведёт к более длительному удержанию записей в кэше общедоступных резолверов, например, поддерживаемых компаниями Cloudflare (1.1.1.1) и Google (8.8.8.8).

Кроме перехвата трафика существующих хостов можно было провести менее заметную атаку и использовать изначально отсутствующий поддомен для организации фишинга, например, завести хост "redemtion.mastercard.com" и использовать его в спаме вместо легитимной точки входа "redemption.mastercard.com". Среди прочего, имея контроль над одним из DNS-серверов, обслуживающих домен mastercard.com, можно было получить TLS-сертификат в сервисах, допускающих проверку владения доменом через Web или DNS, таких как Let's Encrypt. Среди возможных сценариев атак также упоминается создание подставного почтового сервера для перехвата корреспонденции с email имя@mastercard.com и организация перехвата данных аутентификации с компьютеров сотрудников, использующих Windows.

Выявивший проблемы исследователь купил домен "akam.ne" за $300 и запустил на нём DNS-сниффер для оценки объёма трафика. Анализ получаемых запросов показал, что случай с MasterCard не единственный и существуют другие доменные зоны, в списке DNS-серверов у которых указан хост "akam.ne" вместо "akam.net". Более того, выявлено, что с 2015 по 2018 год домен "akam.ne" был зарегистрирован и, вероятно, использовался для проведения атак. Предположение об атаках сделано, так как бывший владелец "akam.ne" также зарегистрировал домен "awsdns-06.ne", который стилизован под DNS-сервер "awsdns-06.net". Неработоспособность одного из DNS-серверов с опечаткой в имени может долго оставаться незамеченной администраторами, так как отказоустойчивость обеспечивается благодаря указанию нескольких DNS-серверов.

Компания MasterCard вначале проигнорировала сообщение о проблеме, но после того как c ней связался журналист Брайан Кребс (Brian Krebs), признала и исправила ошибку, заявив, что ошибка не представляла угрозы для инфраструктуры. После этого через сервис Bugcrowd, позволяющий получать отчисления за выявленные уязвимости, исследователю было перенаправлено требование MasterCard по удалению опубликованной заметки об инциденте.

В ответ исследователь заявил, что хотя у него и есть учётная запись в сервисе Bugcrowd, никаких заявок на получение вознаграждений он не отправлял, а напрямую уведомил компанию MasterCard о проблеме. Заметка была опубликована для привлечения внимания к проблеме после того, как компании MasterCard уже ничего не угрожало и домен "akam.ne" принадлежал исследователю. В итоге, компания MasterCard не только не компенсировала $300, потраченные на домен, но даже на словах не поблагодарила исследователя.

Что касается утверждения, что ошибка не создавала дополнительных рисков, исследователь привёл статистику полученных DNS-запросов, в которой фигурируют домены *.az.mastercard.com, указывающие на рабочие компоненты инфраструктуры MasterCard, размещённые в облачном сервисе Microsoft Azure. Компрометация подобных компонентов, судя по всему, представляла критическую угрозу безопасности.

Прикольная шапочка!
#rosehip #urbannature

Скамейка в стиле "подводный мир".
Народное творчество. Беларусь.
#photography #WTphoto #by #art #diy #handmade #путешествия #арт

#introduction
@ru

Всем привет!

Меня зовут Мара. Я родилась в 80-е, в российской провинции. С детства интересовалась математикой, программированием и наукой. Физику уважаю, но не люблю - в споре реального с идеальным, я всей душой за математиков :)

Люблю читать и писать. Мир есть текст. Вначале было Слово.
Обожаю думать и решать сложные задачи (даже когда это не требуется).
Максимальный кайф в жизни - видеть искру понимания в глазах других.
Самое необычное из хобби - любительская #астрономия и #астрофотография Сейчас, правда, вынужденный перерыв в этом увлечении, но как минимум, старые фото обязательно выложу. Мечтаю возобновить на новом уровне (полностью автоматизировать телескоп/гидирование/съемку). В астрофото больше интересны технические достижения, чем романтика. Например, попробовать снять спектр какого-нибудь объекта.

С юных лет сочувствовала миру #FOSS, имела много друзей, а потом и коллег - линуксоидов, мейнтейнеров, активистов, преподавателей. Однако, сама почти не участвовала - меня ослепляло желание сделать карьеру. Вавилон прельщал меня блеском золота и власти, и мое тогдашнее окружение очень способствовало тому, чтобы я однажды встала на сторону тьмы по-настоящему. Всего лишь, за деньги.

К счастью, все это в прошлом. Нравственный закон внутри меня выстоял. А каминг-аут и транспереход, показали мне изнанку моей прекрасной либертарианской (на тот момент) реальности. Заставив, как говориться, чекнуть свои прошлые привилегии и профильтровать в соответствии с этим, многие свои взгляды. Прямо как в фильме "Далласский клуб покупателей", ага.

Главное — всё заебись, и я здесь (с)

Здесь я чувствую себя снова на своем месте в жизни. Пропустила в свое время FidoNet по причине юного возраста - но вот теперь можно будет Fediverse ноду админить. Собираюсь заниматься этим всерьез и надолго, подтянуть сюда всех приличных людей, кого смогу, а так же развернуть и другие точки входа в Fediverse - для замены остальных сервисов.

Будем знакомы!

Инна Пиварс и Гистрионы: 2024 - Песни града Китежа

Русскоязычный психоделический рок с флёром советской эстрады.

P.S. В прошлый раз (когда я натыкался на этот коллектив) они ещё назывались "Inna Pivars & The Tsoys". Об этом до сих пор напоминает доменное имя на bandcamp.

(#чтопослушать)

someone confirmed getting #curl building and running on the 105th operating system: PikeOS

В 2024 Леонид Фёдоров выпустил альбом "Мир" на стихи Дмитрия Озерского.

Как и с прошлыми работами Фёдорова: сложно что-то сказать после одно-двух прослушиваний. Нужно ознакомиться, отложить, вернуться...

(#чтопослушать)

Ryan Chenkie:

Developers, please be careful when installing Homebrew. Google is serving sponsored links to a Homebrew site clone that has a cURL command to malware. The URL for this site is one letter different than the official site.

Note: Google allows the ad sponsors to specify an URL that will be displayed on the ad (original brew.sh here), but the click takes you to the malware domain brewe.sh.

#Apple #HomeBrew #Google #MacOS

And the entire cyberspace is monitored by kind people, who lick juices dripping from the tips of their fingers.

Happy birthday, 9front.

https://9front.org/releases/2025/01/19/0/

#9front #glenda #cirno #unix_surrealism

Jared just committed support for the built-in Wi-Fi on the Nintendo Wii to CURRENT. https://freshbsd.org/netbsd/src/commit/QXP9KgFhMBIAQ1GF

Весь 2025 год RSS-bridge отвратительно работает с ВК. Всё чаще при обновлении возвращает ошибку Bridge returned error 500!.

Поэтому я решил написать свой скрапер для ВК-пабликов: https://avk.any-key.press/.
Сервер принимает имя целевого ВК-паблика в аргументе name.
Например, что бы получить Atom-ленту для страницы https://vk.com/security нужно выполнить запрос https://avk.any-key.press/?name=security

$ curl "https://avk.any-key.press/?name=security"
<?xml version='1.0' encoding='utf-8'?>
<feed xmlns="http://www.w3.org/2005/Atom">
  <title>Безопасность | ВКонтакте</title>
  <id>https://m.vk.com/security</id>
  <updated>2025-01-17T14:31:00+03:00</updated>
  <generator uri="https://got.any-key.press/?action=summary&amp;path=avk.git" version="0.1">Anonymous Atom feed generator (by VK)</generator>
  <entry>
    <id>https://m.vk.com/wall-777107_188655</id>
    <updated>2025-01-16T17:22:00+03:00</updated>
    <title>Беспарольная авторизация — это безопасность, скорость и никакого стресса</title>
    <link rel="alternate" href="https://m.vk.com/wall-777107_188655" />
[...]

Если кому-то будет полезно - добро пожаловать, пользуйтесь.

Исходный код:

• Git-репозиторий: ssh://anonymous@got.any-key.press/avk
• Web интерфейс к git репозиторию

#УзелокНаПамять о том, как скачивать треки с Yandex музыки в #OpenBSD

Предварительная подготовка:

Клонировать репозиторий https://github.com/kaimi-io/yandex-music-download
Установить зависимости

$ cpan install Digest::MD5 File::Copy File::Spec File::Temp File::Util Getopt::Long::Descriptive HTML::Entities HTTP::Cookies JSON::PP LWP::Protocol::https LWP::UserAgent MP3::Tag Term::ANSIColor Mozilla::CA

OpenBSD-специфичный момент: LWP::Protocol::https не устанавливается из коробки. Нужно ставить его из портов/пакетов:

# pkg_add p5-LWP-Protocol-https

Заходим в поддиректорию src клонированного репозитория

$ cd yandex-music-download/src

Скачивание по URL

Заходим-авторизуемся в Yandex музыку браузером и сохраняем куку, вида Session_id=<...>.
Скачиваем треки:

$ perl ya.pl --cookie "Session_id=<...>" -u "https://music.yandex.ru/album/34992354"

Haiku ограничит доступ из Великобритании из-за риска нарушения закона Online Safety Act

Отмечается, что у проекта нет ресурсов для юридического анализа и приведения инфраструктуры к требованиям закона. Выполнение требований усложняет необходимость выполнения большого объёма бюрократических процедур, связанных с подготовкой документации, описывающей процессы и оценивающей имеющиеся риски (перечень рисков занимает 84 страницы с запутанными и неоднозначными формулировками).

Компания Haiku Inc зарегистрирована в США, а закон Online Safety Act принят в Великобритании, но является экстерриториальным, т.е. под его действие подпадают сайты, работающие за пределами Великобритании, если считается, что они "связаны с Великобританией", т.е. ими пользуются жители Великобритании. Предполагается, что без привлечения юристов сложно корректно заполнить все документы и выполнить требования закона. Игнорирование же закона создаёт существенные риски, например, размер штрафа за зарушение закона достигает 22 млн долларов.

Для вывода проекта Haiku из области действия закона Online Safety Act решено полностью заблокировать доступ из Великобритании к площадкам для взаимодействия с сообществом, по крайней мере до тех, пор пока не будет найдено другое решение. Кроме форума блокировка вероятно будет распространена на сервисы Gerrit и Haiku Depot, в которых допускается оставление комментариев. Сайт Haiku и репозитории проекта блокироваться не будут.

Требования закона Online Safety Act связаны с модерацией контента, отправляемого пользователями, удалением содержимого, нарушающего законы Великобритании, и ограничением доступа детей к контенту для взрослых. Сайты, насчитывающие более 700 тысяч пользователей, обязаны на этапе публикации отслеживать, фильтровать и сканировать отправляемое пользователями содержимое (ссылки, тексты, изображения). Требования к остальным ограничивается необходимостью реагировать на жалобы, но дополнительно может потребоваться проведение анализа рисков, назначение ответственных и создание регламента рассмотрения жалоб.

Закон касается сайтов, имеющих значительное количество пользователей из Великобритании (что считается значительным не детализируется) или предоставляющих услуги для граждан Великобритании, при наличии рисков причинения вреда таким гражданам. Исключение предусмотрено для сервисов, допускающих публикацию комментариев к авторским статьям и собственному контенту, но при этом не уточняется, подпадают ли под исключение площадки, допускающие публикацию ответов на другие комментарии.

Источник: https://www.opennet.ru/opennews/art.shtml?num=62579

Вчера наткнулся на любопытное видео: Терминалы - пульты доступа к большим ЭВМ

Рассматриваем терминалы VIDEOTON VDT 52100 и General KDE-810A860

• Терминал VDT 52100
• О железе VDT 52100
• Внешние коммуникации
• Терминал KDE-810
• О железе KDE-810
• Подключаем эмулятор ЭВМ
• Посмотрим терминал в работе
• Поиграем!

Интересно посмотреть на такое старое железо изнутри и в работе. Англоязычный терминал кириллическими символами я, например, никогда живьём не щупал.

P.S. +1 канал в подписку по RSS