История безопасности

Diffie–Hellman опубликовали идею обмена открытыми ключами — фундамент, на котором держатся TLS, цифровые подписи и сегодняшние passkeys.

Первый крупномасштабный интернет-червь — он поразил множество машин и подтолкнул к созданию CERT. Он показал миру, что запущенный код распространяется.

Возник после червя как первый центр координации реагирования на уязвимости — зерно скоординированного раскрытия.

Появляется шифрование веб-трафика (позже стандартизированное как TLS) — ядро HTTPS, останавливающее прослушивание и подмену.

Уязвимость, при которой ввод перехватывает запрос к базе данных, получает широкую известность — до сих пор риск высшего уровня. Защита: параметризованные запросы.

Начинается присвоение общего идентификатора каждой уязвимости — чтобы весь мир мог называть одну и ту же брешь одинаково.

Червь, взрывообразно распространившийся через вложения в электронной почте — ранний образец заражения через социальную инженерию.

Червь, за считанные минуты насытивший интернет — доказательство того, что неисправленная известная ошибка может обернуться глобальным сбоем.

Список, сведший риски веб-приложений к десяти пунктам — с тех пор общий язык для разработчиков.

XSS-червь, за день охвативший около 1 млн профилей — наглядный урок о том, почему вывод нужно экранировать.

Общий стандарт безопасности для всех, кто работает с данными карт — начало безопасности, движимой соответствием требованиям.

Ботнет, охвативший миллионы машин — ещё одно напоминание о том, насколько опасно медленное обновление.

Атака государственного уровня на промышленные системы управления — доказательство того, что кибератака способна вывести из строя физическое оборудование.

Уязвимость в OpenSSL, способная выдать закрытые ключи и сессии из памяти сервера — символ рисков зависимостей.

Уязвимость в Bash, допускавшая удалённое выполнение кода — брешь в повсеместно используемом компоненте имеет огромный охват.

Появляется устойчивый к фишингу стандарт второго фактора — путь, ведущий к passkeys.

Бесплатные автоматические TLS-сертификаты — переломный момент, сделавший HTTPS нормой, а не роскошью.

Захватил IoT-устройства со стандартными паролями в огромный DDoS — опасность стандартных и слабых учётных данных.

Ущерб от программ-вымогателей по всему миру — необновлённые системы вместе с быстрым распространением способны остановить целые организации.

Около 147 млн записей потеряно из-за неисправленной уязвимости Apache Struts — худшая цена игнорирования CVE в зависимости.

Всеобъемлющий закон ЕС о защите данных — теперь утечки влекут крупные штрафы и обязанность уведомления.

SSRF вместе с ошибкой облачной конфигурации раскрыл более 100 млн записей — типичная ошибка проектирования облачной эпохи.

Атака на цепочку поставок, спрятанная внутри легитимного обновления ПО — само доверенное русло распространения превращено в оружие.

Подмена CI-инструмента привела к утечке множества секретов — распространяя понимание, что конвейер сборки тоже мишень.

Уязвимость в Log4j, при которой простое логирование строки могло выполнить код — суровый урок о необходимости быстро обновлять зависимости.

Устойчивая к фишингу замена паролей появляется в основных ОС и браузерах.

Массовая эксплуатация уязвимости продукта для передачи файлов — брешь в одном компоненте каскадом задела тысячи организаций.

Бэкдор едва не проник в повсеместно используемую библиотеку сжатия — его перехватили в последний момент; атаки на цепочку поставок становятся всё изощрённее.

Генеративный ИИ ускоряет и атаку, и защиту — с новыми ловушками, такими как утечка ключей и внедрение в промпт.