Yandex Cloud запустила подкаст о безопасной работе в облаке

Yandex Cloud запустила подкаст о безопасной работе в облаке

Yandex Cloud запустила подкаст о безопасной работе в облаке

Облачная платформа Yandex Cloud запустила подкаст «Безопасно говоря». Ведущие и приглашенные эксперты из финтеха, ритейла и не только обсуждают, как бизнесу, ИТ и специалистам по информационной безопасности разговаривать на одном языке, чтобы выстроить безопасную работу в облаке.

А именно — запускать DevSecOps-процессы, выстраивать практическую безопасность, соблюдать требования регуляторов, защищать приложения и многое другое.

В первом эпизоде участники подкаста поделились, как настроить безопасную разработку для финтеха, сделать безопасный банк в облаке с нуля и вовлечь команды ИТ и бизнеса в принятие решений по безопасности. Спикерами выступили Павел Арланов, директор по безопасности финансового маркетплейса Сравни и Роберт Сабирянов, CTO банка «Бланк».

В других выпусках подкаста можно будет услышать новых участников. Например, во втором выпуске CTO крупных ритейлеров поделятся опытом того, как снизить влияние человеческого фактора на ИБ при миграции в облако. Подкаст будет полезен менеджерам, и специалистам по безопасности, и всем тем, кто пользуется облаками или думает начать.

По данным исследования State of DevOps Report 2023, у 24% ИТ-специалистов российских компаний увеличилось количество задач по усилению безопасности инфраструктуры, в том числе облачной. При этом опрошенные указали, что испытывают недостаток функциональности сервисов ИБ или знаний для работы с ними. Так, например, выстраивание процессов безопасной разработки стало одной из самых популярных категорий, в которых ИТ-специалистам не хватает практики или опыта.

Ведущие подкаста работают над облачной безопасностью в Yandex Cloud. Это руководитель группы продуктовой архитектуры Security & Compliance Алексей Миртов, менеджер продуктов безопасности Рами Мулейс и Developer Advocate Антон Черноусов.

Подкаст выпущен при поддержке журнала «Хакер» и совместно с продакшном «Pro Звук». Первый выпуск уже доступен на YouTube и на подкаст-платформах, в том числе на Яндекс Музыке, Apple Podcasts и Google Podcasts.

Passkeys сдали адрес: iCloud Private Relay раскрывает реальный IP

Защитная ширма Apple оказалась с дыркой. Исследователи Томми Мыск и Талал Хадж Бакри обнаружили, что сайты могут узнать реальный IP-адрес пользователя даже при включённом iCloud Private Relay. Для этого им достаточно поддерживать ключи доступа или хотя бы сделать вид, что поддерживают.

Проблема кроется в WebKit и механизме WebAuthn. При проверке ключа доступа запрос отправляет не Safari, а системная служба учётных данных.

В результате трафик проходит мимо Private Relay, а сервер получает настоящий IP. Причём взаимодействие пользователя не всегда требуется, сайт способен провернуть трюк без заметного окна или запроса.

Private Relay здесь важно не путать с VPN. Сервис защищает веб-трафик Safari, тогда как VPN работает на уровне всей системы. Поэтому системный запрос спокойно обходит эппловский заслон.

Исследователи нашли ещё два канала утечки: через предварительное разрешение DNS-имён и WebTransport. В первом случае сайт может определить реальные DNS-серверы пользователя, во втором — установить прямое соединение и снова увидеть его IP. Все три проблемы подробно описаны в исследовании Mysk.

Под ударом оказался не только Safari. На iOS браузеры обязаны использовать WebKit, поэтому уязвимость затрагивает и приложения с собственным прокси, включая Onion Browser для работы через Tor. Обычные системные VPN от этих конкретных утечек не страдают.

Исследователи подготовили тестовый сайт, на котором пользователи могут проверить своё устройство. В браузере Psylo разработчики уже закрыли все три канала утечки, отключив опасные функции по умолчанию.

RSS: Новости на портале Anti-Malware.ru