В России появятся уроки кибербезопасности

В России появятся уроки кибербезопасности

В России появятся уроки кибербезопасности

Новый предмет появится в программах школ и других учебных заведений уже в этом учебном году. Инициатором выступил Минфин России. Детей и подростков будут обучать в том числе тому, как противостоять методам социальной инженерии.

О разработке такого курса рассказал корреспонденту «Известий» заместитель директора департамента финансовой политики Министерства финансов Осман Кабалоев. Учебный курс станет частью мероприятий по противодействию мошенничеству на финансовом рынке.

«Для популяризации идей борьбы с финансовым мошенничеством среди детей и студентов разрабатываются материалы для проведения занятий по тематике киберграмотности и кибербезопасности, чтобы не только рассказать об основных схемах работы мошенников, но и в игровой форме отработать навыки быстрого и осознанного распознания противоправных действий на финансовом рынке», — такой комментарий получили «Известия» от пресс-службы Министерства финансов.

Курс, как узнали «Известия», будет включать следующие направления: кибертехнологии в нашей жизни, защита личных данных, противодействие социальной инженерии и прочим манипулятивным технологиям (включая фишинг во всех его формах, вовлечение в дроперство и иные формы преступной деятельности), основные правила безопасности в киберпространстве.

Эти материалы поступят в учебные заведения уже в текущем году. Пока занятия будут носить просветительский характер, и никаких проверочных испытаний не предусматривают.

Опрошенные изданием эксперты назвали инициативу важной и полезной. По их мнению, такие занятия должны охватывать не только школьников, причем уже с первого класса, но и студентов, быть регулярными, а курс необходимо регулярно корректировать по мере появления новых угроз.

По результатам «Цифрового диктанта» 2023 года, которые озвучил на пресс-конференции, посвященной анонсу стартующего уже на этой неделе аналогичного мероприятия текущего года, именно дети в возрасте 13 лет и младше являются наиболее проблемной категорией среди населения России. Уровень их знаний составил 6 баллов из 10 возможных, тогда как средний уровень немногим ниже 6,5.

В МАКС нашли вход без пароля и СМС через токен в браузере

Вокруг российского мессенджера МАКС разгорелась новая дискуссия о безопасности. Пользователь Хабра под ником sansmaster рассказал, что для входа в веб-версию сервиса можно обойтись без пароля, СМС-кода и даже QR-аутентификации.

Правда, речь идёт не о взломе и не об уязвимости в классическом понимании.

Автор публикации обратил внимание, что после успешного входа в web.max.ru браузер сохраняет токен сессии в локальном хранилище (localStorage). Этот токен позволяет серверу идентифицировать пользователя и поддерживать активную сессию.

Через консоль разработчика браузера пользователь может извлечь сохранённый токен, а затем импортировать его в другой браузер или на другой компьютер. После перезагрузки страницы веб-версия МАКС откроется уже под нужной учётной записью, и всё это без ввода пароля, получения СМС или сканирования QR-кода.

 

По сути, речь идёт о переносе уже существующей сессии между браузерами. Сам автор подчёркивает, что никаких эксплойтов или обходов защиты здесь нет. Используются штатные механизмы браузера и данные, которые приложение само сохраняет на устройстве пользователя. Аналогичные принципы работы применяются и во многих других веб-сервисах.

 

Тем не менее публикация вызвала бурное обсуждение. Многие пользователи удивились тому, насколько легко можно получить доступ к токену через DevTools и перенести его в другую среду.

При этом есть важный нюанс. Для выполнения всей процедуры злоумышленнику уже необходим доступ к устройству или браузеру пользователя, где активна сессия МАКС. Без этого получить токен не получится.

Кроме того, выход из аккаунта или завершение сессии через настройки делает токен недействительным сразу на всех устройствах, где он использовался.

 

Фактически история стала ещё одним напоминанием о том, что токен аутентификации зачастую представляет не меньшую ценность, чем пароль. Если он попадает в чужие руки, то может открыть доступ к аккаунту без каких-либо дополнительных проверок.

RSS: Новости на портале Anti-Malware.ru