3side кибербезопасности

В Telegram завезли очередную фичу — «сообщества» каналов, где можно читать посты десятков авторов в одной общей ленте. Наверняка вы скоро увидите кучу приглашений вступить в такие пулы. Нас там не будет. И вот почему. Когда мы создавали канал 3side, главным правилом было: никакого спама и информационного шума. Мы пишем только тогда, когда нам действительно есть что сказать — когда есть уникальная экспертиза, инсайд или личное мнение, которого вы не найдёте на других ресурсах. Из-за этого наши посты выходят нечасто, но каждый из них имеет вес. Если мы вступим в подобное «сообщество», произойдёт пара неприятных вещей: 1. Наш контент просто утонет. Уникальный лонгрид или редкая аналитика потеряются между десятками ежедневных постов от более активных коллег. 2. Вам станет неудобно. Отфильтровать только наши публикации в общей куче будет той ещё задачей. Мы понимаем, что для многих каналов такие коллаборации — это отличный способ быстро набрать подписчиков и словить хайп. Мы искренне рады за коллег, но у нас другой путь. Мы ценим ваше время и внимание. Остаёмся на связи. В своём, тихом и чистом темпе.

Приходите и участвуйте в нашем конкурсе!)

Чем еще заняться на «Лете в КиберКэмпе» (часть 1) Наши друзья подготовили много локаций и активностей, где можно развлечься или отдохнуть ⬇️ 🍀 3side Social Hacks — конкурс по социальной инженерии, вдохновленный книгами Кевина Митника и реальной практикой организаторов. Здесь пригодятся наблюдательность, умение убеждать и находить подход к людям. Сможете взломать не систему, а доверие? 🍀 Axel PRO Шахматы и шашки для тех, кто привык просчитывать ходы на несколько шагов вперед. После партии можно сделать фото с дружелюбным надувным корги — еще одним героем фестиваля. 🍀 Codeby Два испытания для любителей головоломок. CTF-квест проведет вас по всему фестивалю через задачи на OSINT, веб и криптографию, а GeoGuessr-турнир проверит наблюдательность и умение определять локации по мельчайшим деталям. Самых внимательных ждут призы. 🍀 Positive Technologies Спортивный азарт здесь встречается с летним настроением. Настольный футбол, игра «Всё упало», Ice Cream Bar, фотозона с SPF-баром и розыгрыш призов — отличный способ сменить активность между докладами. 🍀 R-Vision Загляните в R-Vision Save Point и сохраните прогресс перед следующей миссией. Здесь можно перевести дух в шезлонге, освежиться лимонадом, сыграть в бадминтон и сделать яркие фото. Иногда лучший способ пройти уровень — вовремя поставить игру на паузу. 🍀 VK Tech VK Security Gate ждёт вас на Пирсе: VIP-зона у воды, лаунж, бар и уютное место для общения и отдыха. Вы можете проверить свой публичный проект на GitHub на критические уязвимости и получить кастомный подарок. Если уязвимостей не найдется — дарим настольную игру «У нас инцидееент» .  🍀 ГК Эшелон Лимонадная лаборатория с четырьмя необычными вкусами поможет освежиться между активностями. А мобильный квест «Охота за уязвимостями» проведет вас по парку: находите уязвимости, отмечайте их на интерактивном баннере и получайте стильный мерч. 🍀 Индид Сразитесь за кубок «Индид Cup» или приходите поболеть за коллег. Турнир по настольному теннису пройдет по олимпийской системе с памятными призами для всех участников и подарками для победителей. Между матчами можно отдохнуть в лаунж-зоне и обсудить кибербез. Кстати, все эти локации участвуют в квесте «Печати Компота». Так что успейте побывать в каждой 😈 До встречи 17 июля в Березы Парк Строгино! 🌝 Билеты в Лето | 👋Комьюнити

⏹️8200 — как военная техническая разведка стала драйвером развития ИБ-отрасли в стране Сооснователь 3side/4sec Артем Наливайко анализирует, как выпускники создали компании на $200+ млрд и почему эту модель невозможно скопировать. 1️⃣2️⃣3️⃣4️⃣ Подписаться

Статья разошлась, и это супер!

Вебинар: Киберинцидент как бизнес-риск: реальные кейсы и выводы Дата проведения: 22 июля 2026г. | 12.00 (МСК) Формат: онлайн Регистрация по ссылке 22 июля в 12:00 Антон Бочкарев и Артем Наливайко проведут вебинар про реальные инциденты в российских компаниях. Что разберем: - почему большинство атак случается не из-за суперхакеров, а из-за обычных ошибок - несколько свежих кейсов, включая недавнюю историю с молочным заводом в Уфе и атаку на поставщика через один украденный токен - самые частые причины, из-за которых инциденты вообще происходят - что делать в первые часы, если все уже случилось Будет 30-40 минут практических примеров от Антона Бочкарева и Артема Наливайко, а потом сессия вопросов и ответов. Запись тоже будет, но если хотите успеть спросить свое – лучше приходите онлайн. Всех кто останется до конца ждет бонус. Регистрация

8200 — подробная история того, как военная разведка стала стартап-инкубатором Вот тут давно-давно я обещал текст про израильскую киберразведку. Написал я его еще в мае, но по разным причинам выходит он только сейчас. В общем, исправляюсь. Сам по себе этот текст — не попытка сказать "вау, давайте срочно делать так же, как и них" или "ужас ужас, кровавый апартеид", он вообще не про политику. Скорее это попытка проанализировать, как за 30+ лет чисто техническая разведслужба вышла на рынок и отъела себе его очень жирный кусок. В общем, такое вот чтение на вечер. Enjoy, надеюсь вам понравится) upd - если кто-то помнит меня до 3side то да, это первый длинный текст, который я написал с 2023 года )

Как не остаться без сертификата: чеклист для компаний С 13 июня GlobalSign — крупнейший зарубежный коммерческий Центр Сертификации(CA) в России (~90% рынка) — запустил принудительный отзыв. Параллельно ужесточили политику DigiCert и Sectigo. Об этом мы писали вот тут. Проверить свой сайт за 2 минуты: Открыть сайт → нажать замочек → «Сертификат» → строка «Кем выдан». — GlobalSign, DigiCert, Sectigo, Thawte, GeoTrust — читайте дальше внимательно, есть риски. — Let's Encrypt, HARICA, ZeroSSL — пока спокойно, но запасной план всё равно нужен. Рынок сейчас выглядит так: За последние недели пространство резко сузилось. Buypass прекратил деятельность. HARICA перешли на платную модель. Из бесплатных вариантов с глобальным доверием браузеров для российских компаний по факту остались два. Let's Encrypt — де-факто стандарт. Бесплатный, автоматизированный, Риск: как некоммерческая американская организация, может отозвать — прецеденты уже были для компаний под санкциями. Скорее всего именно их сертификат у вас и стоит, если вы не покупали. ZeroSSL — ближайшая боевая альтернатива. Бесплатный, проверяет только владение доменом. Не смотрит на юрлицо и не требует документов компании. Нужна регистрация для API-ключа, после — полностью автоматизируется. А если платная альтернатива? HARICA — платный сертификат . Некоммерческий греческий академический центр. Тоже входит в trust store всех браузеров. Не привязан к коммерческим санкционным спискам — риск отзыва ниже, чем у западных коммерческих CA. На него сейчас переехал vk.com Для IT, как подготовиться за полчаса? Все CA поддерживают ACME — тот же протокол, что использует Let's Encrypt. Инструмент acme.sh переключает CA одной командой с параметром --server. Минимальный план: 1. Установить acme.sh на сервер 2. Создать тестовый поддомен (ssl-test.ваш-домен.ru) 3. Выпустить тестовый сертификат запасного CA 4. Убедиться, что браузер не ругается 5. Зафиксировать команды — они готовы на день X Если ваш сертификат отзовут — переключение займёт 15–30 минут, а не сутки паники.

Нет ничего более постоянного, чем временное Мы свой сайт в такой парадигме делали дважды. Каждый раз он не совсем нас устраивал, но мы оставляли как есть по нескольким причинам: - Сайт казался нам не самым важным в нашем бизнесе. Ожидали, что наши задачи особо никто не гуглит и не выбирает по сайту. - Всегда было не до него, он был не в приоритете. - Не совсем сами понимали, что же мы от него хотим. В результате, только сейчас спустя много лет после нашего запуска, мы привели его в адекватный вид! Планируем расширять количество полезных кейсов, пополнять портфолио выступлений/публикаций/комментариев в СМИ. Но в целом сайт готов и вышел в прод! URL все тот же https://3side.org/ P.S. Цветовое решение целиком на Антоне, это сразу видно =)

Слежка за социальными связями через уязвимость Телеграм Парижская компания Symbolic Software, специализирующаяся на криптографии проверила старое обвинение в адрес Telegram. Что мессенджер можно использовать для слежки за пользователями через сетевой трафик, даже если переписка зашифрована. Технически это правда. Как это работает, по-простому: У каждого устройства с Telegram есть свой постоянный "номерок" — auth_key_id. Он зашит в каждое сообщение, которое телефон или компьютер отправляет на сервер Telegram. И этот номерок передаётся НЕ зашифрованным — его видит любой, кто технически может смотреть в трафик: - провайдер интернета - оператор Wi-Fi в кафе - админ корпоративной сети - государственная слежка. Важно: сам текст переписки при этом защищён шифрованием — экспертиза это не оспаривает. Проблема не в содержании сообщений, а в том, что "номерок устройства" торчит наружу отдельно от текста. Даже секретные чаты с end-to-end-шифрованием это не спасает — номерок живёт на уровне ниже, под шифрованием. Номерок не меняется при смене сети, IP, перезапуске приложения — он работает как постоянный ярлык на твоём телефоне, видимый издалека. Как это позволяет следить за связями: Если на одном IP-адресе или в одной точке (кафе, офис, мероприятие) одновременно видно несколько таких номерков — это значит, что устройства физически были рядом друг с другом. Через время накапливается статистика: чей номерок регулярно появляется рядом с чьим. Это и есть способ восстановить социальный граф — кто с кем встречается, кто состоит в одной группе — без чтения единого сообщения. Ровно так спецслужбы строят карты связей по метаданным телефонных звонков, только здесь это применимо и к мессенджеру. Авторы отчёта прямо пишут: достаточно один раз привязать номерок к реальному человеку,например, через регистрацию в гостевом Wi-Fi по почте — и весь архив прошлых и будущих подключений этого номерка можно поднять и прочитать как историю передвижений и контактов. А как же MTProto? Авторы исследования показали, что "Обфускация" MTProto — тривиальная, не криптографическая защита, легко обратима публично известными методами. Что делать? Защищать трафик, ведь если ваш трафик зашифрован, например с помощью решений которые нынче очень популярны, то увидеть "номерок" невозможно. Оригинальное исследование тут