Основное направление
Безопасность
В фасете «Основное направление» значение «Безопасность» группирует публикации по основной предметной области. В одном месте собраны статьи, открытые источники, институты, компании, люди, региональные риски, операционные зависимости и рыночный контекст. Страница объясняет границы области, основных участников и источники, на которые стоит опираться при сравнении сигналов. Она помогает увидеть, как одна тема проявляется в событиях, профилях, изменениях рынка и долгосрочных инфраструктурных решениях.
Досье
Обёртка назвала доказательство, но не связала устройство: RFC 9999 и полномочия внутри аттестационной коллекции
Процессор, SmartNIC и GPU могут выдать три корректно подписанных отчёта. Если сложить их в одну коллекцию, это ещё не докажет, что отчёты относятся к одному серверу и одной проверке. RFC 9999 упрощает перенос сообщений RATS, но не отменяет разделение между тем, кто связывает…
Досье
Запрос сохранил подпись, а сертификат мог измениться: RFC 10002 и полномочия внутри CMC
Выдача сертификата не сводится к одной проверке. RFC 10002 сохраняет подписанный запрос конечного субъекта, позволяет регистрирующим центрам добавлять доказательства и изменения во внешних слоях, а удостоверяющему центру — принимать окончательное решение по своей политике.…
Досье
Токен не попал в JavaScript. Команда всё равно прошла: RFC 10017 и границы полномочий браузерного OAuth
Безопасное хранение отвечает на вопрос, кто может унести учётный материал. Оно не отвечает, кто вправе отдать команду в уже открытой сессии. RFC 10017 рекомендует BFF именно потому, что эта архитектура закрывает несколько путей к токенам, но не скрывает оставшийся путь к…
Досье
Откат вернул две криптосистемы к одному источнику отказа
RFC 10024 точно определяет гибридное согласование ключей в TLS 1.3. Но если оба компонента зависят от одного генератора, процесса, модуля и оператора отката, разные математические задачи ещё не образуют разные эксплуатационные рубежи.
Досье
Прошивка совпала с эталоном. Право вернуться в сеть пришлось решать отдельно
RFC 10013 даёт измеренному компоненту переносимое описание внутри Субъект Attestation Token. Даже свежее, подписанное и точно закодированное свидетельство не отвечает само по себе, можно ли устройству доверить конкретную операцию.
Досье
Доверенный экран одобрил чужое устройство: RFC 10027 о разрыве контекста
Пользователь видит настоящий домен, проходит устойчивую к фишингу проверку и подтверждает реальный запрос. Но токен получает устройство злоумышленника. RFC 10027 показывает: высокий уровень аутентификации не отвечает на другой вопрос — кто создал запрос, который человек счёл…
Истории
ARIN разрешил нечеловеческие сервисные аккаунты, но инструкция всё ещё требует личную почту
До июля автоматизация в ARIN упиралась в тип владельца учётной записи. Теперь этот барьер снят: программный сервис может получить отдельную идентичность. Однако публичные правила по-прежнему описывают только человека — личный адрес, персональный POC и MFA, исключающую совместное…
Досье
Токен был привязан к ключу. Действие всё равно не было разрешено: DPoP и предел полномочий ограничения отправителя
DPoP способен помешать превращению скопированного OAuth-токена в переносной пропуск. Но он не устанавливает, кто управляет ключом, не исправляет audience и scope токена и не решает, допускает ли текущее состояние ресурса запрошенное последствие.
Досье
Подпись прошла проверку, но команда не получила полномочий: HTTP Message Signatures и граница охваченных компонентов
RFC 9421 подтверждает смысл только тех элементов HTTP-сообщения, которые явно вошли в signature base. Право владельца ключа выполнить действие, безопасность пропущенных полей и однократность запроса по-прежнему устанавливает принимающее приложение.
Досье
Сервер, который ничего не запомнил: SYN cookies и допуск без состояния
Обычный TCP-сервер резервирует память после первого стука, ещё не зная, способен ли отправитель услышать ответ. SYN cookie меняет порядок: сервер помещает компактную квитанцию в номер последовательности SYN-ACK и создаёт соединение лишь после того, как третий пакет вернёт её.…
Досье
Ключ, установленный дважды: KRACK и полномочие повтора
Повтор потерянного сообщения необходим беспроводной сети. Повтор уже совершённой установки ключа — нет. KRACK использовал именно это смешение полномочий: пароль и ключ оставались тайными, но связанное с ключом состояние возвращалось назад.
Досье
Сбой, выбравший шифр: POODLE и скрытое полномочие отката
Неудачное рукопожатие TLS должно было сообщать лишь одно: эта попытка соединения не состоялась. Логика совместимости превратила его в более сильное утверждение — серверу якобы нужен старый протокол. POODLE показал, что атакующий, способный вызвать сбой, тем самым получает влияние…
Досье
Заголовок, ставший программой: Shellshock и полномочие внутри окружения
Shellshock возник на стыке двух привычных интерфейсов. CGI переносил удалённые данные запроса в окружение процесса, а Bash мог прочитать значение особой формы как функцию и перейти к последующим командам. Право на исполнение появилось между слоями, хотя ни один владелец слоя явно…
Досье
Патч вышел раньше. Уязвимый процесс остался главным.
К январю 2003 года исправление SQL Server существовало уже несколько месяцев. Но SQL Slammer измерял не наличие бюллетеня, а состояние памяти и сетевой доступности. Один UDP-пакет превращал незащищённый сервер в нового отправителя, и за десять минут машинное время отменило…
Досье
Девять минут и чужая полоса: чему атака memcached научила GitHub
С 17:21 до 17:30 GitHub прошёл весь путь от обнаружения аномалии до восстановления. Но трафик создали не серверы GitHub: его оплатили тысячи чужих кэшей, поверивших поддельному обратному адресу. Этот разрыв между источником, усилителем и жертвой определяет правильную архитектуру…
Досье
Ответ, выигравший гонку: атака Камински на DNS и энтропия доверия
Поддельному пакету не требовалось доказывать полномочия. Достаточно было совпасть с незавершённым запросом и прийти раньше настоящего ответа. Кризис DNS 2008 года превратил это правило приёма в возобновляемую гонку и отделил удорожание лжи от проверки происхождения данных.
Досье
Правило успело на каждый узел раньше оценки цены: сбой WAF Cloudflare 2019 года
Глобальная доставка за секунды была сильной стороной Cloudflare, но обычное одобрение незаметно давало правилу ещё одно полномочие — расходовать процессорное время на всём пограничном контуре без доказанного верхнего предела.
Досье
Страница с памятью другого клиента: какую границу обнажил Cloudbleed
Ошибочный HTML запускал дефект, но раскрытые байты могли принадлежать совершенно постороннему клиенту. Cloudbleed показал, что остановить новую утечку и отозвать уже вышедшие за границу данные — разные полномочия.
Досье
Сертификат для чужой задачи: Flame и власть, спрятанная в назначении
Flame не понадобилось похищать закрытый корневой ключ Microsoft. Достаточно было найти в узком процессе лицензирования полномочие, которое клиенты понимали гораздо шире.
Досье
Запрос исчез, а работа осталась: чему Rapid Reset учит о праве на отмену
HTTP/2 Rapid Reset не опирался на запрещённую команду. Атака использовала разрыв между закрытием потока в протоколе и возвратом ресурсов, которые уже были потрачены на запрос. Законная функция отмены стала усилителем асимметрии, а соединение — настоящей единицей бюджета, оценки и…