основы безопасности
19 статей с этим тегом
Как удалить историю браузера, файлы cookie и сохранённые пароли (Chrome, Safari, Edge, Firefox на компьютере и телефоне): что удалять после утечки и что сначала сохранить
Руководство по удалению истории браузера, файлов cookie (данных сайтов), кеша, сохранённых паролей и данных автозаполнения в Chrome (Windows, Mac, Android, iPhone), Safari (Mac, iPhone, iPad), Edge и Firefox с названиями пунктов из официальной справки каждой компании. Удаление истории браузера не возвращает то, что уже скопировано, и не защищает от угрозы. Будущий ущерб снижают меры в отношении состояния входа (файлов cookie) и сохранённых паролей: смените пароли и завершите все сеансы с безопасного устройства. Если вы будете обращаться в полицию, до удаления зафиксируйте письмо с угрозой и подозрительные расширения. Если синхронизация включена, удаление стирает данные и на других ваших устройствах с тем же аккаунтом. В связи с инцидентом с Onamae.com Desktop Cloud в октябре 2026 года шестое уведомление GMO Internet просит клиентов не включать синхронизацию браузера, пока проверка устройств не завершена.
Что такое GDPR: правила защиты данных ЕС и обязанность уведомлять об утечке
GDPR (General Data Protection Regulation) — всеобъемлющий свод правил ЕС по защите персональных данных людей в ЕС, и он может дотянуться до бизнеса за пределами ЕС, обслуживающего пользователей из ЕС. Он требует законного основания (например, согласия), чёткой цели, минимизации данных, прав субъекта данных (доступ/удаление) и уведомления надзорного органа об утечке (как правило, в течение 72 часов), с крупными штрафами за серьёзные нарушения. Технически суть такова: собирайте и храните только нужные персональные данные, защищайте их и умейте быстро обнаружить и сообщить об утечке.
Что такое OWASP Top 10: эталонный список 10 главных рисков веб-приложений
OWASP Top 10 — список «самых критичных рисков веб-приложений», который некоммерческая организация OWASP публикует раз в несколько лет. Это общий язык для разработчиков и тех, кто эксплуатирует системы. Актуальную редакцию 2025 года (объявлена в ноябре 2025 года) по-прежнему возглавляет нарушение контроля доступа; ошибки конфигурации безопасности поднялись на второе место, и добавлены две новые категории: сбои цепочки поставок ПО и неправильная обработка исключительных ситуаций. SSRF вошла в категорию нарушения контроля доступа. Это КАТЕГОРИИ рисков, а не отдельные эксплойты, — используйте их как ракурс для аудита своего приложения.
Что такое криптография с открытым ключом: шифрование и подпись парой ключей
Криптография с открытым ключом использует «открытый ключ» (его можно раздавать) и «закрытый ключ» (хранится только у владельца). То, что зашифровано открытым ключом, расшифровывается только парным закрытым, а подпись, сделанную закрытым ключом, можно проверить открытым. Эта асимметрия лежит в основе обмена ключами в TLS (HTTPS), цифровых подписей и passkey. Защита: не изобретайте свою криптографию (используйте стандартные протоколы и проверенные библиотеки), берегите закрытый ключ и умейте его отзывать, держите длину ключа и алгоритмы актуальными.
Аутентификация и авторизация: один только вход не защищает данные других пользователей
Аутентификация — проверка того, кто вы; авторизация — решение о том, что вам можно делать. Это разные вещи, и добавить вход — не значит настроить авторизацию. Без привязки данных к владельцу (user_id) получается «вошёл = видит все данные» — Broken Access Control, которую OWASP ставит на первое место. Добавьте scaffold с открытой регистрацией — и посторонний сможет зарегистрироваться и получить доступ. Защита: привязывайте каждый запрос к владельцу, закрывайте ненужную регистрацию, стройте эшелонированную оборону, ведите аудит и логи доступа до инцидента, отслеживайте новые регистрации.
Как люди хранят пароли? Что показывают данные — и безопасный способ
Репрезентативные опросы показывают, что ~54% полагаются на память, ~33% записывают пароли на бумаге и лишь ~36% используют специализированный менеджер паролей — при этом ~25% переиспользуют пароли. Тем временем DBIR от Verizon выявил, что компрометация учётных данных участвовала в ~38% утечек, а ~74% паролей в данных утечек были переиспользованы. Коротко: самые популярные привычки хранения атакующим проще всего эксплуатировать. Безопасная основа — менеджер (уникальный пароль на каждый сайт) плюс passkey/MFA на ключевых аккаунтах.
Безопасность для эпохи ИИ: что закрыть прямо сейчас (приоритетный чек-лист)
ИИ в основном усиливает атаки на СУЩЕСТВУЮЩИЕ слабые места (незакрытые CVE, повторно используемые пароли, открытые секреты), а не изобретает новые — найденные автоматически, быстро, в масштабе. Поэтому лучшая подготовка — закрыть основы в правильном порядке: закрытие CVE + мониторинг зависимостей, отказ от повторного использования паролей + MFA, удаление открытых секретов, минимум привилегий, сокращение публичной поверхности, логи/IOC, резервные копии.
Меры безопасности в эпоху ИИ: что работает, а что нет, и почему малые сайты тоже становятся целями
Четыре заблуждения эпохи ИИ: (1) слишком мал, чтобы стать целью → автоматизированным атакам не нужен человек, выбирающий цель; (2) нужен особый новый механизм → основы по-прежнему работают лучше всего; (3) продукт делает вас безопасными → проектирование профилактики раньше обнаружения; (4) код от ИИ быстрый, значит безопасный → он может выйти с уязвимостями, поэтому проверяйте перед публикацией. Работают скучные основы в правильном порядке.
Основы резервного копирования: правило 3-2-1 и план восстановления, переживающий программу-вымогатель
«У меня есть резервная копия» недостаточно — пользу приносит только та копия, восстановление из которой вы проверили. Основа: правило 3-2-1 (три копии, два типа носителей, одна вне площадки). Против программы-вымогателя также нужна хотя бы одна «офлайновая или неизменяемая» копия — постоянно подключённая копия шифруется вместе с оригиналом. Облачная синхронизация — не резервная копия (она тиражирует и удаления, и шифрование). Версионирование и периодический тест восстановления завершают практику.
Как правильно выбирать MFA: что значит «устойчивый к фишингу» и почему SMS слаб
MFA сочетает разные категории факторов. Вводимые вручную коды можно выманить фишингом; SMS также зависит от контроля номера. Для важных аккаунтов выбирайте устойчивые к фишингу методы, например passkey или ключи FIDO2, и проверяйте условия проверки пользователя и восстановления.
Всё ещё на Windows 10? Риски безопасности после окончания поддержки
Обычная поддержка Windows 10 семейства Home/Pro версии 22H2 завершилась 14 октября 2025 года. В официальных материалах, проверенных 16 октября 2026 года, потребительская ESU действует до 12 октября 2027 года с автоматическим продолжением для уже зарегистрированных пользователей. Проверьте регистрацию, обновления и региональные условия, отдавая приоритет переходу на обновляемую ОС. LTSC/IoT и корпоративная ESU — отдельные программы.
Защита ноутбука, который вы носите с собой — от кражи, потери и подглядывания через плечо
Носить ноутбук — значит исходить из того, что вы его потеряете или его украдут. Главная защита — настроить его так, чтобы потеря не привела к утечке содержимого: шифрование диска (BitLocker/FileVault), надёжный вход с короткой автоблокировкой и удалённая блокировка/поиск. С повсеместным HTTPS перехват в публичном Wi-Fi менее приоритетен; реальные угрозы — поддельные точки доступа, подглядывание через плечо и отход от устройства. Не переоценивайте VPN — сначала укрепите устройство.
Безопасны ли менеджеры паролей? Как они работают, облако vs локально и как выбрать
Менеджер паролей помогает использовать отдельный надёжный пароль для каждого сервиса. Шифрование с нулевым разглашением призвано защищать содержимое даже при утечке зашифрованных данных у провайдера, но безопасность также зависит от силы мастер-пароля, настроек шифрования и защиты устройства. Используйте MFA против несанкционированного входа, а облачный или локальный вариант выбирайте по применению.
Опасности публичного Wi-Fi: поддельные точки доступа и предупреждения о сертификате важнее прослушки
«Прослушка» публичного Wi-Fi в основном смягчена HTTPS и теперь менее приоритетна. Настоящие риски — (1) самому подключиться к поддельной точке доступа «злому двойнику», (2) проигнорировать предупреждение о сертификате и (3) выставить своё устройство в общую сеть. Самые действенные меры просты: используйте раздачу с телефона, доверяйте HTTPS и предупреждениям о сертификате и не подключайтесь автоматически к неизвестным SSID. VPN — следующий слой.
Базовая безопасность для инди-разработчиков и малых операторов: стандартные меры в порядке приоритета
База — это не «всё одинаково важно». Порядок приоритета этого сайта: 1) админ-аккаунты, домен и почта (MFA), 2) секреты и код, 3) само приложение, 4) патчи, обнаружение, восстановление. При конечном времени заполняйте сверху вниз. Большинство серьёзных взломов происходит не из-за новых атак, а из-за пробела в этих базовых мерах.
Минимум безопасности организации: шесть приоритетов, выведенных из реальных инцидентов Японии 2026 года
«Минимум» организации нужно определять по тому, где реальные инциденты прорвали защиту, а не по списку продуктов. Если выстроить инциденты Японии 2026 года в ряд, точки входа разные — VPN-устройство, сторонний софт, функция запросов, нераскрытое — но причины, которые расширили ущерб, сводятся к шести: (1) закрывать доступные из интернета устройства в срок, (2) сузить учётные записи обслуживания, подрядчиков и ушедших сотрудников, (3) следить за объёмом и временем, (4) хранить журналы достаточно долго, (5) не хранить ненужные данные, (6) пересматривать приоритеты по KEV. Вывод сайта: минимум — это решить, кто замечает, по какому числу и когда.
Инвентаризация безопасности: 7 проверок, которые упускают владельцы нескольких серверов
Для одиночек/малых операторов инциденты происходят не столько из отсутствующих мер, сколько из неотслеживаемого состояния. Граница — это ПК, хранящий ваши ключи. Расставьте приоритеты 2FA по тому, какой аккаунт может восстановить остальные (сначала почта), составьте список, какой SSH-ключ открывает какой сервер, и удалите дубликаты, неиспользуемые ключи и оставшиеся регистрации, уберите пароли открытым текстом из облака, устраняйте обратимо по одному и держите секреты вне реестра. Инвентаризация прежде добавления инструментов.
Основы безопасности смартфона: защита одного устройства, на котором ваши пароли, платежи и удостоверение личности
Телефон концентрирует 2FA, почту, банкинг и удостоверение в одном устройстве, поэтому его потеря затрагивает множество сервисов (единая точка отказа). Самая действенная защита — не приложение безопасности: (1) сильная блокировка + короткая автоблокировка (код-пароль — это ключ шифрования); (2) автоматические обновления ОС/приложений; (3) официальный магазин + ревизия разрешений; (4) заранее настроить удалённую блокировку/стирание; (5) держать резерв вашей 2FA. iOS/Android уже шифруют и изолируют по умолчанию.
Безопасно ли хранить пароли в Google Drive? Как держать их правильно
Держать пароли в документе/таблице Google открытым текстом опасно: один аккаунт Google становится единой точкой отказа для каждого пароля — захват аккаунта, вредоносное подключённое приложение или фишинг утекают их все разом. Самый безопасный вариант — специализированный менеджер паролей (содержимое остаётся зашифрованным даже при синхронизации). Если вы обязаны использовать Drive, храните только зашифрованный файл хранилища и поставьте устойчивую к фишингу MFA на аккаунт.