Пост Лукацкого

Вот и в Ledger Nano X, продаваемом на MediaMarkt, вдруг обнаружили LTE-модуль. Случайно, наверное... Этак они во всех кошельках Ledger обнаружат такое. #инцидент #supplychain

Вот таких текстов увидел уже несколько. Не буквально таких, но по сути. Они очень хорошо показывают каскадный эффект (и риск концентрации) от инцидента; и не важно какова причина - ИТшная она, ИБшная или из сферы дроноведения. И проблема не в том, что владельцы не имели резервной копии… Помните история с Jaguar Land Rover? От атаки на JLR пострадало 5000 мелких компаний и 7% из них… обанкротилось. Они просто не выжили. А JLR получил от государства займ в размере полутора ярдов на восстановление и чувствует себя неплохо. Об этом еще Матфей писал в своем Евангелии и его «принцип» можно перефразировать как «богатые крупные выживают после инцидентов, а бедные маленькие нет». Яндекс восстановится - ему точно помогут, а некоторые его клиенты, увы, нет. Такова жизнь. Жаль, что у нас никто не ведет статистику банкротств после инцидентов. По ощущениям, у малого бизнеса этот показатель будет достаточно высоким 📈 #ущерб

Бегство ИИ-моделей, агенты, DDoS-атаки, компрометации пакетов на Github... Все это да, но не стоит забывать и про аппаратные закладки. 9 октября 2026 года стало известно о массовом хищении криптовалюты у владельцев аппаратных кошельков  ⁠Ledger. Первоначально ущерб оценивался в $86 млн, но к 12 октября аналитики Bitquery проследили хищение $93,2 млн с 315 криптокошельков в шести блокчейнах. При этом выяснилось, что проблема, вероятно, не в программной уязвимости кошельков, а в аппаратной закладке, установленной в устройства до их попадания к покупателям. Пострадавшие приобретали аппаратные кошельки Ledger через CryptoBilis – официального реселлера компании в Индонезии, Малайзии и на Филиппинах. Исследователи обнаружили в некоторых устройствах дополнительную электронную плату, установленную под дисплеем кошелька. Предполагаемый механизм атаки выглядел следующим образом: 6️⃣ Злоумышленники физически модифицировали аппаратный кошелек, встроив в него миниатюрную электронную закладку. 2️⃣ При первоначальной настройке устройство генерировало секретную фразу восстановления (seed phrase) из 24 слов. 3️⃣ Закладка перехватывала информацию, передаваемую из защищенного чипа на дисплей, включая эти 24 слова. 4️⃣ Благодаря встроенному модулю с SIM-картой перехваченная информация могла передаваться злоумышленникам через мобильную сеть. 5️⃣ Получив seed phrase, преступники могли восстановить кошелек на другом устройстве и вывести криптовалюту, не имея физического доступа к оригинальному кошельку. 6️⃣ Таким образом, взламывать криптографическую защиту Secure Element вообще не требовалось. Закладка перехватывала секреты в момент их легитимного отображения пользователю. Самая любопытная особенность атаки заключается в том, что модифицированное устройство потенциально могло успешно проходить штатную проверку подлинности Ledger Genuine Check. Дело в том, что эта проверка подтверждает подлинность защищенного элемента устройства, но не гарантирует отсутствие посторонних электронных компонентов в остальной части аппаратной платформы. Иными словами, Secure Element может оставаться совершенно исправным, криптография – надежной, прошивка – оригинальной, а устройство в целом – уже скомпрометированным. Эта история мне напомнила дискуссию про биометрию на "Цифровых решениях" и мой тезис, что безопасностью биометрических персональных данных должна заниматься ФСТЭК, с ее более широкой моделью угроз, а не ФСБ, сфокусированная только на криптографии. В кейсе с Ledger продемонстрировано, что даже защищенный криптографический модуль (кто сказал HSM?) не гарантирует безопасность устройства, если злоумышленник способен модифицировать его физическую конструкцию. Причем речь не об атаке на производителя микросхем, компрометации прошивки или взломе криптографических алгоритмов. Достаточно внедрить дополнительный компонент в цепочке поставок и вуаля... И особенно показательно, что пострадавшие покупали кошельки не у случайных продавцов, а через официально авторизованный канал продаж 🤔 #инцидент #supplychain

Ааа, Qualys похоже прочитал наши материалы по результативной кибербезопасности и выдает их за свои откровения (спустя 5 лет). Мол, большинство организаций пытаются оценивать риски снизу вверх: уязвимости → CVSS → критичность активов → риск → возможные последствия. А Qualys предлагает перевернуть эту последовательность: бизнес-потери → сценарии их возникновения → критичные активы → угрозы и уязвимости → меры защиты. То есть не нужно пытаться оценить в деньгах десятки тысяч уязвимостей; стоит начать с 5–10 наиболее болезненных для бизнеса сценариев. Добро пожаловать в клуб 🤝 #недопустимое #cxo

Вот оно как… Теперь заживем. #resilience

Тут в X идет  интересная дискуссия о том, может ли искусственный интеллект разрушить современную криптографию раньше, чем это сделают квантовые компьютеры. Да, местами бездоказательно и излишне кликбейтно, но здравое зерно в этом есть. Речь не об обнаруженной уязвимости, а об изменении представлений о надежности математических задач, на которых построена криптография с открытым ключом. Все из-за того, что 6 октября 2026 года ⁠OpenAI опубликовала сотни математических результатов, полученных экспериментальной ИИ-моделью. И хотя значительная часть доказательств еще требует независимой проверки, это вызвало неожиданную реакцию криптографов. Джастин Дрейк, исследователь Ethereum Foundation, предположил, что ИИ может найти эффективный алгоритм восстановления закрытых ключей ECDSA раньше появления достаточно мощных квантовых компьютеров. В худшем случае, по его оценке, речь может идти о месяцах, а не годах. Он предложил криптовалютной индустрии начать подготовку к "бункерному режиму", в частности постепенно переводить активы на адреса, открытые ключи которых еще не раскрыты. Мэтью Грин, криптограф из Университета Джонса Хопкинса, высказал еще более фундаментальное опасение, мол, мы можем потерять криптографию с открытым ключом в привычном виде, хотя позже он уточнил, что ему неизвестно о каких-либо готовящихся прорывах в криптоанализе RSA или эллиптических кривых. Но были и скептики. Йехуда Линделл, руководитель криптографического направления Coinbase, раскритиковал подобные предупреждения как FUD – распространение страха, неопределенности и сомнений без достаточных доказательств. Аргументировал он тем, что способность ИИ решать сложные математические задачи сама по себе не доказывает, что он способен эффективно решать задачи, лежащие в основе криптографических алгоритмов. Ну так себе аргумент, если честно. Позиция Грина мне ближе. Он пишет, что мы считаем RSA, ECDSA и другие криптографические конструкции надежными не потому, что математически доказана невозможность их взлома, а потому, что десятилетиями лучшие специалисты не смогли найти достаточно эффективные алгоритмы решения соответствующих математических задач. Однако специалистов, которые действительно глубоко исследовали эти задачи, сравнительно немного. Что произойдет, если ИИ сможет за несколько месяцев выполнить объем математических исследований, на который у человечества ушли десятилетия? Причем для возникновения серьезных проблем необязательно полностью взламывать криптографический алгоритм – достаточно обнаружить математический метод, который существенно уменьшит вычислительную сложность атаки. Поэтому эксперты пишут, что криптографическая гибкость (crypto-agility) становится необходимой не только из-за квантовой угрозы, но и из-за ускорения математических исследований с помощью ИИ. Организациям стоит заранее понимать, какие криптографические алгоритмы они используют, насколько быстро смогут их заменить и какие системы зависят от конкретных криптографических примитивов. И здесь проявляется интересный парадокс. Мы десятилетиями готовились к тому, что криптографию с открытым ключом сломают квантовые компьютеры. А теперь обсуждаем сценарий (пока только сценарий и пока только обсуждаем), при котором для этого может оказаться достаточно обычных компьютеров – если искусственный интеллект найдет принципиально новые алгоритмы. В России вопрос риторический – с одним алгоритмом у нас никакой гибкости, но для развития кругозора вполне себе интересная история... Хотя есть еще и другой вопрос. Представьте, что завтра OpenAI или Anthropic напишут, что их еще невыпущенные модели нашли доказали равенство P=NP 😲 При этом само доказательство либо не опубликовано, либо требует месяцев перепроверки человеком. Какие ваши действия будут начиная с момента опубликования этого факта? Вы готовы к такому? Что будете делать? #криптография #pqc #тенденции #ии

Иллюзия защиты: как метрики усыпляют нашу бдительность 🤥 1️⃣4️⃣ октября на форуме «Проверка на прочность» состоится интерактивный мастер-класс Алексея Лукацкого — бизнес-консультанта Positive Technologies, евангелиста кибербезопасности с более чем 30-летним стажем. ⚡️Обсудим выбор метрик, которые действительно помогают принимать решения - «50 оттенков зеленого: как метрики ИБ создают иллюзию защищенности» ❓Количество критических уязвимостей снижается, 98% систем пропатчены, EDR покрывает почти всю инфраструктуру, SOC выполняет SLA – значит ли это, что компания действительно защищена? А если Red Team за несколько часов добрался до критичной бизнес-системы? Метрики помогают управлять кибербезопасностью, но они же способны создавать опасную иллюзию контроля, особенно когда технические показатели пытаются превратить в универсальную оценку уровня защищенности. 🤳На интерактивном мастер-классе участники со своих смартфонов попробуют сами оценить защищенность условной компании, выбрать действительно полезные метрики и принять решения на основе меняющихся данных. Посмотрим, какие показатели влияют на наши решения, какие вводят в заблуждение и можно ли вообще ответить одним числом на вопрос «насколько мы защищены?». А заодно измерим, изменится ли отношение самих участников к метрикам за время мастер-класса. Не дайте метрикам обмануть вас. Приходите! 👇 Breakme-forum.ru

Ночью приснилось с пугающей четкостью, что на грядущей в среду "Проверке на прочность", на панельке, участники поют на мотив Пинкфлойдовской "Another Brick in the Wall" такие строки: We don't need no regulation We don't need no thought control No strict mandates in cyberspace Major, leave our biz alone Видимо, последние события и мероприятия наложились. Потом проснулся, понял, что все это мне приснились, и пошел готовиться к своему выступлению (помимо панельки, которую я там веду) на "Проверке на прочность". В нем я попробую новый формат, а не "скучную" презентацию (хотя они у меня вроде и не скучные), с вовлечением всех сидящих в зале 👇 #мероприятие #метрики #творчество

В тему резервирования и плана Б. На дискусионном шоу "Красная зона ИИ: технология готова – готовы ли мы?", когда ведущий, Антон Камолов, представлял меня, депутат Марина Ким заявила, что моя должность, Chief Evangelist Officer, нарушает действующее законодательство, видимо имея ввиду ст.10.1 168-ФЗ от 24.06.2025, которая требует использовать русский язык в деятельности организаций всех форм собственности, включая делопроизводство, в том числе в официальной переписке организаций с гражданами и также в рекламе и информации для потребителей. Как по мне, так озвучивание должности на английском языке, как и опубликование программы со списком докладчиков, не подпадает под упомянутую мной норму законодательства (все-таки это не реклама и услуг никаких потребителям не оказывается). Но так как спорить с депутатом по таким вопросам себе дороже (других-то тем у них нет – все проблемы в стране уже решены) и предвидя такие сложности (хорошо, что еще в оскорблении чувств верующих не обвинили из слова "евангелист"), я уже больше года нередко использую резервный вариант, который целиком и полностью соответствует всем нормам и нравственно-культурным и историческим ценностям Российской Федерации – "киберцарь". Так что если вы подписываетесь на мероприятиях CISO, Security Lead, AppSec Leader, CTO, CIO, Head of SOC, IT Security Analyst, Deputy CISO, а с вами рядом депутат, то имейте это ввиду! ЗЫ. На днях в одном из телевизионных эфиров меня назвали "старшим проповедником", что звучит непривычно, но зато тоже соответствует закону. Но "киберцарь" все-таки лучше 😦 #терминология #resilience

Место проведения: неизвестно. Время: после церемонии награждения лучших цифровых решений России. Тема: "О неотложных мерах по обеспечению устойчивости цифровой инфраструктуры в условиях текущей обстановки". Председатель: Коллеги, ситуация чрезвычайная. Третий ЦОД! До этого склады, нефтеперерабатывающие заводы, другие объекты. Четыре с лишним года живем в новых условиях, а инфраструктура продолжает страдать. Какие будут предложения? Цифровизатор: Предлагаю засекретить адреса всех ЦОДов! Скептик: Но они давно известны. Более того, в Интернете есть карта российских ЦОДов с координатами. Фактически готовый справочник для диверсий. Цифровизатор: Тем более! Немедленно запретить публикацию таких карт! Скептик: А уже опубликованные? Цифровизатор: Удалить! Скептик: Из Интернета? Цифровизатор: Из российского Интернета. За зарубежный пусть МИД отвечает. Или ГРУ ...наверное. Силовик: Предлагаю ввести временное управление ЦОДами в соответствии с последним указом Президента. Скептик: А это как-то повысит их защищенность? Силовик: Это повысит контролируемость. Скептик: Но от беспилотника контролируемость не защищает. Силовик: Зато будет понятно, кого привлекать к ответственности. Представитель регулятора: Вообще-то у нас давно существуют требования по антитеррористической защищенности объектов. Паспорта безопасности, категорирование, планы мероприятий, проверки… Председатель: И что, ничего не выполнялось?! Представитель регулятора: Почему не выполнялось? Нам регулярно присылали отчеты. Все выполнено на 146 процентов. Бюджеты освоены, перерасхода нет. Замечания устранены. Скептик: А почему тогда объекты поражаются? Представитель регулятора: Видимо, недостаточно качественно заполнялись отчеты. Предлагаю ужесточить требования к отчетности. Скептик: Может модель угроз надо регулярно обновлять было? Представитель телекома: Мы, между прочим, с 2014 года регулярно проводим учения по отключению России от глобального Интернета. Готовность подтверждена! Скептик: А как это поможет, если физически уничтожен ЦОД или точка обмена трафиком? Представитель телекома: Вы не понимаете. Это другое. Скептик: Что другое? Представитель телекома: Учения другие. У нас по ним отличные показатели. Экономист: Коллеги, а сколько будет стоить реальная защита? Резервирование, географическое разнесение, альтернативные каналы связи, автономное энергоснабжение, физическая защита, восстановление после разрушения? Председатель: Давайте без паники. Бюджет уже утвержден. Цифровизатор: Предлагаю создать единую государственную платформу мониторинга защищенности ЦОДов. С искусственным интеллектом! Скептик: Она будет сбивать беспилотники? Цифровизатор: Она будет формировать дашборды с нужными KPI. В режиме реального времени. Скептик: Сгоревших серверов? Цифровизатор: В том числе. С цветовой индикацией. Депутат: Коллеги, я категорически возмущен! Мы тут обсуждаем вопросы национальной безопасности, а у нас звучит иностранное слово "дашборд"! Вы вообще закон о защите русского языка читали?! Мы четыре года боремся за технологический суверенитет, а у нас до сих пор иностранные слова в государственных информационных системах! Это прямая угроза нашим традиционным духовно-нравственным ценностям! Предлагаю немедленно создать межведомственную комиссию по импортозамещению терминологии, разработать отечественный стандарт наименования элементов визуализации показателей защищенности, провести лингвистическую экспертизу всех интерфейсов и установить персональную ответственность за использование иностранных слов в отчетности! Потому что, коллеги, пока у нас дашборды, никакого суверенитета не будет! А если беспилотник попадет в ЦОД, на котором этот дашборд размещен, кто за это ответит?! И главное – как мы будем докладывать об этом руководству, если даже назвать произошедшее по-русски не можем?! Скептик: То есть вы предлагаете переименовать дашборд, чтобы ЦОД перестали атаковать? Депутат: Я предлагаю комплексный подход! Не надо вырывать отдельные слова из контекста! Силовик: Еще предлагаю запретить фотографировать ЦОДы. Скептик: Их видно со спутников. Силовик: Тогда запретить спутникам фотографировать. Председатель: Запишите. Проработать с Роскосмосом. Представитель бизнеса: Может, все-таки разработаем реальные сценарии обеспечения непрерывности? Определим критические сервисы, допустимое время простоя, проверим резервные площадки, проведем учения по восстановлению после физического уничтожения инфраструктуры? В зале повисла тяжелая тишина. Председатель: Вы предлагаете признать, что за четыре года мы этого не сделали? Представитель бизнеса: Я предлагаю проверить, готовы ли мы. Председатель: Коллеги, кто вообще пригласил сюда этого человека? Силовик: Разберемся. Цифровизатор: А пока предлагаю создать межведомственную рабочую группу по разработке дорожной карты формирования концепции комплексного подхода к повышению устойчивости цифровой инфраструктуры. Председатель: Отлично! Срок – к концу четвертого квартала. Ответственных назначить. Подготовить поручения, усилить контроль, обеспечить еженедельную отчетность. Скептик: А ЦОДы? Председатель: Что ЦОДы? Скептик: Их как защищать будем? Председатель: Мы же только что все решили! Вы совещание вообще слушали? Совещание завершилось. По его итогам принято 42 поручения, создано семь рабочих групп, утверждены две формы отчетности и назначена внеплановая проверка операторов ЦОДов. Все участники получили благодарности за оперативное реагирование. Представитель бизнеса получил предписание устранить нарушения. На следующий день очередной ЦОД перевели в категорию объектов повышенной защищенности. На бумаге. Гриф секретности с протокола сняли. Адрес проведения совещания засекретили... на всякий случай. ЗЫ. Все совпадения случайны и к реальности отношения не имеют! И вообще – всем лучи добра! 🎁 #юмор #resilience