Live and recent posts from across the Fediverse tagged #уязвимости, aggregated by home.social.
Очередная супер-пупер уязвимость угрожает всему миру
21 октября были раскрыты две критические уязвимости PHP — CVE-2026-109618 и CVE-2026-109619 , обе с CVSS 9.2. Их эксплуатация позволяет выполнять код без аутентификации с правами веб-сервера. Уязвимым можно считать PHP с версии 5.4. Что интересно, уязвимости были найдены с помощью нейросетей (Gemini 4 Argon + GPT-5.6 Sol), а размер патча составляет больше 10 тысяч строк кода.
Выживаем при PHP2Shell (CVE-2026-109618 / CVE-2026-109619) на легаси-стеке: Varnish + Docker + Apache mod_php (PHP 5.6)
21 октября 2026 года мир PHP вздрогнул от анонса двух критических RCE-уязвимостей (CVSS 9.2), получивших общее имя PHP2Shell ( CVE-2026-109618 и CVE-2026-109619 ). Опасность этих брешей в том, что они срабатывают на уровне ядра интерпретатора еще до того, как управление дойдет до первой строчки вашего index.php . Достаточно, чтобы сервер просто принимал HTTP-запросы. Разработчики PHP оперативно выпустили патчи для поддерживаемых веток (8.2.35, 8.3.36, 8.4.27, 8.5.12) и заявили: «Единственный 100% способ защиты — обновление, а сценарий наивысшего риска — это Apache с mod_php » . Звучит отлично, если у вас свежий проект. А что делать, если в продакшене крутится суровый высоконагруженный энтерпрайз-легаси на PHP 5.6 в связке с Apache 2.4 ( mpm_prefork + mod_php ) , переписать который за ночь невозможно, а официальных патчей для ветки 5.6 не выйдет никогда? Под катом - практический разбор того, как устроены обе уязвимости, почему именно mod_php оказался под главным ударом и как я выстроил эшелонированную оборону на уровне Varnish → Apache → PHP → Docker cgroups , не сломав легаси-монолит и проверив каждый рубеж боем (с разбором подводных камней HTTP keep-alive).
https://habr.com/ru/articles/1097990/
#apache #уязвимости #информационная_безопасность #varnish #mod_php #docker #php_56 #cve2026109618 #cve2026109619 #php2shell
Анатомия уязвимости HTC Sense: Как обойти FRP на HTC U11 Plus без ПК, если забыт графический ключ
Добрый день, хабровчане! Недавно столкнулась со стандартной, но от этого не менее неприятной проблемой: на старом Android-смартфоне был намертво забыт графический ключ. Время откирпичиваться. При попытке оживить HTC U11 Plus (Android 8/9) после жесткого сброса (Hard Reset) я ожидаемо уперлась в систему безопасности Factory Reset Protection (FRP) , которая блокирует все стандартные пути обхода. Ниже представлен подробный технический разбор проверенных (но не сработавших в данном случае) методов, пошаговый гайд по живому и рабочему способу через уязвимость в системных сертификатах, а также разбор того, почему это вообще сработало с точки зрения архитектуры ОС.
https://habr.com/ru/articles/1097838/
#уязвимости #смартфоны #htc #htc_sense #android_security #frp_bypass #credential_storage
Шлюз увидел «user», сервис увидел «admin», а JSON был один и тот же
Шлюз проверил JSON и пропустил запрос, а сервис за ним выдал пользователю права администратора. Оба компонента отработали корректно, но по-разному интерпретировали одни и те же данные. Разбираемся, почему JSON-парсеры расходятся в обработке ключей и чисел, к каким ошибкам это приводит и как защитить от них API. Разобрать уязвимости
https://habr.com/ru/companies/otus/articles/1092516/
#уязвимости #json #контроль_доступа #валидация_данных #микросервисы #безопасность_api #десериализация #обработка_json #jsonпарсеры #дублирующиеся_ключи
Почему обычный сканер пасует в Kubernetes: VM для контейнеров и облаков
Контейнеры живут секунды - что здесь вообще считать активом? А в облаке половину работы делает провайдер, но какую именно? Разбираем специфику управления уязвимостями в Docker, Kubernetes и облаках, класс решений container security и CNAPP, и главную ошибку - наивную веру, что “мы в облаке, провайдер за все отвечает”.
https://habr.com/ru/articles/1073180/
#безопасность #уязвимости #cloud #иб #patch #фстэк #процессы #импортозамещение #containers #kubernetes
Траблшутинг ИИ-багхантинга: ошибки, которые убивают ваши репорты
ИИ в багхантинге перестал быть экзотикой. Сегодня агент помогает искать уязвимости почти у всех, и вопрос давно не в том, пользоваться им или нет, а в том, как пользоваться так, чтобы это приносило валидные находки, а не поток мусора. Последние полгода мы вдвоём плотно гоняем агентные связки на российских багбаунти-площадках. За это время набралась коллекция типовых граблей, на которые наступает почти каждый, кто сажает ИИ искать баги. Ниже семь таких стоп-факторов, от самого простого к самому болезненному, и то, как мы с каждым из них боремся.
https://habr.com/ru/articles/1097010/
#уязвимости #нейросети #кибербезопасность #автоматизация_тестирования #пентест #bug_bounty #багбаунти #offzone #llm #ииагенты
Вы восстановили взломанный Proxmox из бэкапа. А атакующий уже снова внутри
Почти детектив: как в августе‑сентябре 2026 года массово взламывали гипервизоры Proxmox VE, прятали майнеры даже от root‑а, исправляли уязвимости на захваченных серверах и возвращались после восстановления инфраструктуры. 7 сентября 2026 года хостинг‑провайдер Netfront завершил восстановление кластера из 22 гипервизоров Proxmox VE. За предыдущую неделю злоумышленники получили административный доступ к серверам, внедрили руткиты, установили майнеры и проникли внутрь клиентских виртуальных машин. Администраторы восстанавливали системы из резервных копий, меняли пароли и SSH‑ключи, проверяли целостность файлов. После нескольких суток работы инфраструктуру наконец вернули клиентам. За время расследования выяснилось, что на серверах побывали атакующие с как минимум тридцати трёх разных внешних IP‑адресов. Одни атакующие последовательно обходили узлы кластера, другие выполняли тысячи команд, третьи устанавливали средства скрытого доступа. На части гипервизоров системные утилиты перестали нормально работать: top аварийно завершался, команды зависали, а load average достигал 160 при отсутствии соответствующей вычислительной нагрузки (более того, как позже узнали, использованный хакерами eBPF‑руткит пережил даже восстановление файловой системы командой rsync --delete — она успешно отработала, но не смогла обнаружить и удалить скрытые вредоносные файлы). В общем, администраторы Netfront не спали почти неделю, восстанавливая всё и вся. Однако вечером 7 сентября, вскоре после объявления о восстановлении инфраструктуры, злоумышленники снова вошли в кластер. В 20:31 началась новая подозрительная активность, а в 22:22 неизвестный пользователь запросил расписание резервного копирования и сразу после этого — список виртуальных машин, для которых резервное копирование не настроено. Позднее выяснилось, что атакующие заранее создали десятки API‑токенов и дополнительные учётные записи. Эти механизмы доступа сохранились в общей конфигурации кластера и пережили восстановление всех 22 серверов. Такие дела, собачка!
https://habr.com/ru/articles/1095136/
#уязвимости #информационная_безопасность #виртуализация #кибератаки #руткиты #proxmox_ve #взлом_серверов #криптомайнинг #cve202354391 #восстановление_после_атак
29 439 возможных уязвимостей, 6 157 отчётов мейнтейнерам, 516 исправлений: Anthropic сканирует open source проекты
Из 6 157 отчётов, которые Anthropic передала мейнтейнерам open source проектов, исправлено 516: это 8,4%, а не 516 из 29 000, как читается заголовок The New Stack. Разбираем что нашли модели Claude и к чему это привело.
https://habr.com/ru/companies/syntx_ai/articles/1094616/
#open_source #безопасность #уязвимости #cve #мейнтейнеры #llm #anthropic #claude #oss_scanner #триаж_отчетов
Уязвимости по осени считают: дайджест киберугроз сентября 2026
Осень приносит не только романтичные прогулки под дождем, но и фишинговые письма от «поставщиков», расширения с сюрпризом, подозрительные VPN-входы и устаревшие сервисы на внешнем периметре. Собрали дайджест главных киберугроз сентября для российских компаний.
https://habr.com/ru/articles/1094302/
#уязвимости #вредоносное_по #информационная_безопасность #фишинг #кибератаки #защита_данных #кибербезопасность #cve #microtik #citrix_netscaler
CTEM без хайпа: что стоит за модной аббревиатурой Gartner и зачем она вам
CTEM - на каждой конференции, но мало кто объясняет просто. Разбираем непрерывное управление экспозицией как “зонтик” над всеми практиками: управлением активами, VM, EASM и автопентестом. Пять этапов, честная оценка знаменитого прогноза Gartner и как небольшой компании начать без дорогих платформ.
https://habr.com/ru/articles/1073102/
#безопасность #it #уязвимости #иб #patch #фстэк #процессы #vm #импортозамещение #сканеры_уязвимостей
Чистим шумный SBOM: как убрать неэксплуатируемые уязвимости в Kubernetes с помощью VEX
В SBOM-отчёте оказались уязвимости компонентов, которых даже нет в вашем софте. Ничего необычного: просто сканер безопасности подтянул все непрямые зависимости и усложнил вам жизнь. Расскажу, как избавиться от шума ложных срабатываний сканера в CI/CD — решение можно реализовать Open Source-инструментами на любой инфраструктуре.
https://habr.com/ru/companies/flant/articles/1089610/
#уязвимости #devops #cve #vex #kubernetes #cicd #пайплайны #митигация_рисков
От HFT к ИБ — гонка, которую ускоряет ИИ
Нет, речь пойдет не про высокочастотную торговлю на бирже, но я буду использовать аналогию, чтобы стало понятно почему и как я думал. Собственно, мое мнение HFT прошел полный путь холодной войны. Изначально суть высокочастотной торговли заключалась в алгоритмах, они должны были быть достаточно простыми и при этом максимально эффективными. Выигрыш получал тот, кто успел "просчитать" быстрее других. Сначала это были секунды, потом доли секунд и в итоге алгоритмы начали зашивать в процессоры сетевых карт, чтобы максимально быстро реагировать на входящие данные и генерировать нужные сделки. На настоящий момент можно признать, что этот способ заработка практически умер, поскольку у всех приблизительно одна скорость обсчета и генерации, а следовательно результат начал зависеть от непредсказуемых факторов - по сути рулетка. Где сейчас живет HFT правильно, он ушел в более сложные FPGA и арбитраж на десятки бирж. Алгоритмы стали значительно сложнее, разнообразней и ушли от простых формул с простыми решениями. Я ни в коем случае не призываю никого делать то, что будет описано ниже, более того - все это лишь фантазия и она не имеет ничего общего с реальностью. Но давайте немного пофантазируем на почве состояния перегретого пара - ИИ и почему его так сильно боятся. Для начала рассмотрим как обстояли дела в прошлом, скажем честно очень недалеком прошлом, буквально вчера... У нас есть разработчик который пилит какой-то сервис, для нас сейчас не столь важно какой, но пусть это будет FTP-сервер, тем более что это близко к тому что творилось в wuftp в недалеком прошлом. Разработчика будут звать Роб, вполне себе разработческое имя. И он пилит его не тяп-ляп, а нормально. Тестирует все что может, старается оберегать свое детище от взломов, переполнений и при этом сохранить скорость и вменяемый размер.
https://habr.com/ru/articles/1092994/
#искусственный_интеллект #уязвимости #информационная_безопасность #эксплойты
Дайджест ИБ, 30 сентября – 6 октября: ИИ-агенты на сайтах властей, Google остановила bug bounty
Новости информационной безопасности за неделю с 30 сентября по 6 октября, в одну строку с ссылками на источник. Темы: ИИ, Уязвимости, Атаки и утечки, Исследования, Рынок, Регулирование, Медиа
https://habr.com/ru/articles/1091452/
#дайджест #информационная_безопасность #уязвимости #утечки #ииагенты
Проверка боем: автопентест, BAS и как AI обогнал людей в поиске уязвимостей
Дашборд зеленый - но дойдет ли реальный злоумышленник до цели? Раз в год пентеста мало. Разбираем автопентест и BAS - непрерывную проверку защиты, российские решения и прорыв 2025 года, когда AI-система XBOW заняла первое место среди багхантеров HackerOne, обогнав всех людей.
https://habr.com/ru/articles/1073084/
#уязвимости #patc #vm #it #процессы #сканеры_уязвимостей #безопасность #иб #импортозамещение #фстэк
Разбор заданий ZeroNights HackQuest 2026
30 сентября мы провели конференцию по информационной безопасности ZeroNights 2026. Спасибо всем, кто решил поучаствовать! Без вас не было бы ни классных докладов, ни мерча, ни веселой суеты вокруг всего этого. Скоро начнём выкладывать материалы на сайт, там будут доступны презентации и видеозаписи докладов. А пока хотим поделиться райтапами на задания HackQuest этого года. Это традиционное соревнование в формате CTF, которое мы проводим до начала конференции. Под катом разбор заданий на веб-уязвимости, DeFi, крипту, написание читов и форенсику японской магнитолы!
https://habr.com/ru/companies/dsec/articles/1091180/
#информационная_безопасность #ctf #zeronights #конференция #уязвимости #defi #безопасность_вебприложений #криптовалюта #эксплойт #пентест
В фокусе RVD: трендовые уязвимости сентября
Хабр, привет! На связи команда инженер-аналитиков R-Vision. Мы проанализировали широкий спектр уязвимостей, выявленных в сентябре 2026 года, и включили в дайджест те, что представляют наибольший практический интерес по уровню риска, подтверждённой эксплуатации и актуальности для специалистов по информационной безопасности. На этот раз включили в дайджест: CVE-2026-69676 – Windows Kerberos CVE-2026-85880 | BDU:2026-14306 – Windows ALPC CVE-2026-73570 | BDU:2026-12669 – Zimbra Collaboration Suite CVE-2026-85706 | BDU:2026-14538 - GitLab CE/EE
https://habr.com/ru/companies/rvision/articles/1090950/
#уязвимости #управление_уязвимостями #vulnerability_management #cisa_kev #эксплуатация_уязвимостей #windows #kerberos #alpc #zimbra #gitlab
Дайджест ИБ, 23–29 сентября: OpenAI остановила свои модели, атака на «Додо Пиццу»
Новости информационной безопасности за неделю с 23 по 29 сентября, в одной строке с ссылками на источник. Разбиты по темам: ИИ, Уязвимости, Атаки и утечки, Исследования, Рынок, Регулирование, Медиа, Open source
https://habr.com/ru/articles/1088312/
#дайджест #информационная_безопасность #уязвимости #ИИагенты #утечки_данных #OpenAI #КИИ #Антифрод #Додо_Пицца #Пентагон
EASM: посмотреть на свой периметр глазами атакующего и найти забытый сервер 11-летней давности
Злоумышленники знают о вашей внешней поверхности атаки больше, чем вы сами. Забытые тестовые серверы, открытые базы, поддомены старых акций - все это они находят раньше вас. Разбираем, что такое EASM, чем он отличается от обычного сканера и какие решения есть на российском рынке.
https://habr.com/ru/articles/1073068/
#уязвимости #patch #vm #it #безопасность #процессы #иб #импортозамещение #сканеры_уязвимостей #фстэк
Не ищи уязвимость — ищи странности: Recon в Bug Bounty
Когда говорят про recon в Bug Bounty, обычно вспоминают subfinder , httpx , поиск директорий, JS-файлы и огромные списки URL. Всё это действительно используется. Но проблема в том, что сам по себе список из нескольких тысяч поддоменов почти ничего не даёт. Главный вопрос начинается после сбора информации: что из этого действительно заслуживает внимания и почему?
https://habr.com/ru/articles/1088328/
#IBM #CGI #уязвимости #SQL #информационная_безопасность #bugbounty #appsec #Blind_SQL_Injection #Bug_Bounty
cKEV Index: успеть до полуночи
ИИ помогает быстрее искать уязвимости, разбирать исправления и готовить эксплойты. Окно технологических работ от этого длиннее не становится. У команды по-прежнему есть проверка совместимости, согласования и системы, которые должны работать. Атакующему достаточно выбрать одну подходящую ошибку. Чем больше находок, тем острее вопрос: что исправлять первым?
https://habr.com/ru/articles/1088206/
#информационная_безопасность #уязвимости #управление_уязвимостями #cve #cvss #epss #kev #эксплойты #патчменеджмент #икусственный_интеллект
cKEV Index: успеть до полуночи
ИИ помогает быстрее искать уязвимости, разбирать исправления и готовить эксплойты. Окно технологических работ от этого длиннее не становится. У команды по-прежнему есть проверка совместимости, согласования и системы, которые должны работать. Атакующему достаточно выбрать одну подходящую ошибку. Чем больше находок, тем острее вопрос: что исправлять первым? За каждым обновлением стоят люди и время. Если обнаружение ускоряется, а устранение остаётся на прежнем уровне, растёт очередь открытых проблем. Поэтому мы открываем cKEV Index — каталог приоритетных уязвимостей СайберОК на основе методики Urgent Patch Score (UPS) . В нём собраны проблемы, требующие срочного внимания, и события, которые объясняют их приоритет: появление эксплойта, подтверждение атак и другие свидетельства. В открытой версии представлены стадии Urgent Patch и Emergency / IR с сокращённой историей событий.
https://habr.com/ru/articles/1088050/
#информационная_безопасность #уязвимости #cve #cpss #epss #kev #управление_уязвимостями #патчменеджмент #эксплойты #искусственный_интеллект
Как я перестал долбить сканерами и начал думать: мой путь в Bug Bounty
Я не начинал свой путь в Bug Bounty с мысли «хочу стать security researcher». Всё было гораздо прозаичнее: курс по информационной безопасности, несколько видео про пентест, TryHackMe и постепенно появившийся интерес к тому, как вообще устроены системы. А потом был Bug Bounty.
https://habr.com/ru/articles/1087054/
#bug_bounty #bug_hunting #информационная_безопасность #веббезопасность #пентест #уязвимости #HackerOne #Burp_Suite #recon
Как приоритизировать новости об уязвимостях вместо балла CVSS
За последний год CISA, Евросоюз и ФСТЭК перестали назначать сроки устранения по баллу CVSS и перешли на признак эксплуатации. Замер на открытых данных показывает, чего этот признак стоит: у одних вендоров он приходит в день исправления, у других через три с половиной месяца. Как именно меняются подход и что из этого следует для отбора важности новостей попробуем разобраться. Замеры сделаны на открытых данных CISA KEV, NVD, EPSS и БДУ ФСТЭК
https://habr.com/ru/articles/1086358/
#уязвимости #управление_уязвимостями #фстэк #cve #cvss #cisa_kev #epss #nvd #приоритизация_уязвимостей #патчменеджмент
Закрыли все CVE и оставили admin:admin: зачем VM-специалисту комплаенс
Можно закрыть все уязвимости и быть взломанным через стандартный пароль. Разбираем, что такое комплаенс в ИБ, почему в России он стал жестче и дороже, как построить собственный стандарт на основе требований регулятора и почему контроль конфигураций - часть управления уязвимостями.
https://habr.com/ru/articles/1086114/
#patch #it #vm #compliance #процессы #фстэк #импортозамещение #безопасность #иб #уязвимости
Дайджест ИБ, 15–22 сентября: от картинки до кода OpenAI за 72 часа, ShinyHunters и ФБР
Новости информационной безопасности за неделю с 15 по 22 сентября, в одной строке с ссылками на источник. Разбиты по темам: ИИ, Уязвимости, Атаки и утечки, Исследования, Рынок, Регулирование, Медиа, Open source
https://habr.com/ru/articles/1085696/
#дайджест #информационная_безопасность #уязвимости #ИИагенты #утечки_данных #OpenAI #Claude #Gemini #ShinyHunters
Скорость — главное, что ИИ изменил в кибератаках
Недавно мы публиковали перевод статьи The Cybersecurity Industry Is Entering Its Third Era. Мы обсудили её с нашей red team-командой и пришли к выводу, что это хороший обзор происходящих изменений, но в нём почти нет главного, что происходит прямо сейчас, пока LLM ещё даже не раскрылись на полную. Речь о скорости. Методы взлома почти не изменились. Всё те же IDOR, инъекции, обходы аутентификации, забытый сервис с дефолтным паролем, который смотрит наружу. А вот скорость изменилась принципиально. То, на что раньше уходили дни ручной работы, теперь делается за минуты, и это ломает всю прежнюю логику обороны. Ниже разберём на кейсах последних недель.
https://habr.com/ru/articles/1085316/
#ИИагенты #LLM #кибербезопасность #кибератаки #пентест #уязвимости #CVE #атаки_на_цепочку_поставок #PaperCut #RubyGems
Закрыли все CVE и оставили admin:admin: зачем VM-специалисту комплаенс
Можно закрыть все уязвимости и быть взломанным через стандартный пароль. Разбираем, что такое комплаенс в ИБ, почему в России он стал жестче и дороже, как построить собственный стандарт на основе требований регулятора и почему контроль конфигураций - часть управления уязвимостями, а не отдельная бюрократия.
https://habr.com/ru/articles/1073052/
#patch #it #vm #процессы #фстэк #импортозамещение #безопасность #иб #compliance #уязвимости
SQL-инъекция через декомпиляцию: от JAR-файла до захвата пароля
SQL‑инъекция через декомпиляцию: от JAR‑файла до захвата пароля Материал носит образовательный характер. Все работы велись легально, в рамках пентеста, с письменного согласия владельца системы и в изолированном контуре. Название клиента и продукта не раскрываем — NDA. Имена классов, пакетов и таблиц в листингах изменены. Применяйте это только на системах, доступ к которым у вас есть. Доступ к чужим системам без разрешения преследуется по закону. Корпоративная Java‑система: складской учет, веб‑интерфейс, HTTPS. Внутри — SQL‑инъекция без аутентификации в одном GET‑запросе, из‑за строки «... WHERE ID=» + параметр. Разберем, как найти такую в приложении без исходников: декомпиляция JAR → чтение сервлетов → уязвимая строка → подтверждение через pg_sleep. Каждый шаг воспроизводим.
https://habr.com/ru/articles/1083916/
#sqlинъекция #sqli #пентест #whitebox #уязвимости #java #декомпиляция #jdgui #байткод #информационная_безопасность
VM в нетипичных средах: АСУ ТП, сеть, IoT, мобильные устройства, железо и ML (перезалив)
Процесс VM везде один, но дьявол в деталях. Где в АСУ ТП нельзя просто запустить сканер, какие сетевые уязвимости встречаются чаще всего, почему полмиллиона камер и роутеров с дефолтным паролем однажды положили половину интернета, что такое prompt injection в ML-системах и где прячутся уязвимости на уровне прошивок и процессоров (Spectre, BadUSB). Обзор специфики разных сред (перезалив)
https://habr.com/ru/articles/1083408/
#уязвимости #patch #it #асутп #безопасность #сканеры_уязвимостей #процессы #фстэк #импортозамещение #иб
Дайджест ИБ, 8–14 сентября: Claude у Midnight Blizzard, DDoS Wildberries
Новости информационной безопасности за неделю с 8 по 14 сентября, в одной строке с ссылками на источник. Разбиты по темам: ИИ, Уязвимости, Атаки и утечки, Исследования, Рынок, Регулирование, Медиа, Open source
https://habr.com/ru/articles/1082560/
#дайджест #информационная_безопасность #уязвимости #ИИагенты #утечки_данных #PaperCut #GitLab #Claude #Wildberries #ФСТЭК
### Прикладные Законы Мерфи для Криптографии (вольная интерпретация)
1. **Закон сложности шифрования:**
Чем сложнее алгоритм шифрования, тем быстрее найдётся простой способ его взломать.
2. **Закон ограниченного времени:**
Когда нет времени на генерацию идеального ключа, пароль "1234" становится стандартным.
3. **Закон доверия:**
Самая большая уязвимость любой криптосистемы — это человек, который её использует.
4. **Закон иллюзии приватности:**
Как только вы почувствуете себя полностью анонимным, кто-то получит доступ к вашим метаданным.
5. **Закон забытого ключа:**
Если приватный ключ был создан и идеально защищён, вы потеряете к нему доступ в самый неподходящий момент.
6. **Закон излишней уверенности:**
"Этот алгоритм невозможно взломать" — до тех пор, пока студент не докажет обратное в своей дипломной работе.
7. **Закон разработчика:**
Лучшее криптографическое решение, которое вы создадите, сломает ваша же тестовая команда.
8. **Закон универсальности:**
Чем универсальнее криптоалгоритм, тем больше он подвержен атакам на слабые места.
9. **Закон экономии ресурсов:**
Каждая криптосистема — это компромисс между безопасностью и производительностью, но её взлом всегда будет быстрее.
10. **Закон государственного вмешательства:**
Если ваш алгоритм достаточно хорош, чтобы его не могли взломать хакеры, регуляторы потребуют встроить "чёрный ход".
11. **Закон злоумышленника:**
Ваша криптография никогда не бывает слишком сложной для хакера, но всегда слишком сложна для обычного пользователя.
12. **Закон непредвиденных ошибок:**
У каждого алгоритма есть уязвимость, но обнаружится она только тогда, когда уже поздно.
13. **Закон срочного обновления:**
Как только вы внедрите новую криптографическую систему, её алгоритм станет устаревшим по современным стандартам.
14. **Закон "задним числом":**
"Никто не взломает RSA при нашей жизни" — пока квантовые компьютеры не докажут обратное.
15. **Закон энтропии:**
Чем сложнее пароль, тем больше вероятность, что пользователь напишет его на стикере и приклеит к монитору.
16. **Закон криптоанархии:**
Чем безопаснее ваша система, тем больше она раздражает правительства и корпорации.
17. **Закон простоты:**
Если что-то в криптографии выглядит слишком простым, чтобы быть взломанным, оно уже взломано.
18. **Закон длины ключа:**
Как только вы удвоите длину ключа, найдётся атака, которая взломает и старый, и новый варианты.
19. **Закон паранойи:**
В криптографии вы либо недостаточно параноик, либо уже слишком поздно.
20. **Закон "последнего теста":**
Крупнейшая уязвимость будет обнаружена через минуту после запуска системы в продакшен.
---
### **Хэштеги (23):**
#ЗаконМерфи #Криптография #КиберБезопасность #Шифрование #ЗащитаДанных #Приватность #ЦифроваяБезопасность #ОшибкиКриптографии #КвантовыеКомпьютеры #Взлом #БезопасностьПаролей #КриптоАлгоритмы #КиберУгрозы #ШифрованиеДанных #УправлениеКлючами #ПаранойяВБезопасности #НеВзламываемыйКод #Уязвимости #ЧёрныйХод #ИТЮмор #ТехноАнархия #СтикерыСПаролями #КвантоваяУгроза #КриптоИнсайты
Google сообщила про не подлежащую лечению уязвимость в телефонах с Exynos.
#уязвимости #связь #телефоны #Android #Google #новости
https://googleprojectzero.blogspot.com/2023/03/multiple-internet-to-baseband-remote-rce.html