Google Authenticator для компьютера

Защита персональных данных с помощью Google Authenticator на смартфонах и ПК является одним из наиболее надёжных и простых в освоении способов предотвращения несанкционированного доступа к вашему профилю. В условиях возрастающей доли присутствия человека в сети Интернет, взлом вашего аккаунта может привести к достаточно серьёзным проблемам. Поэтому применение программы Google Authenticator на компьютере с целью обеспечения дополнительной проверки при входе, вовсе не выглядит лишней перестраховкой. Вопрос требует более детального рассмотрения, о чём и пойдёт речь далее.

Приложение GA
Общий вид приложения

(далее…)

Как пользоваться Aircrack-NG

В этой статье я расскажу о программе – Aircrack-NG, опишу её функционал и возможности, а также поясню, как пользоваться Aircrack-NG. Интернет уже давно стал привычным атрибутом нашей жизни. Через интернет мы общаемся, узнаём новости, смотрим фильмы и слушаем музыку, учимся, зарабатываем деньги и многое другое. При этом далеко не всегда Интернет может оказаться под рукой и в свободном доступе, и довольно часто при поиске свободной Wi-Fi сети нас встречают десятки закрытых и запароленных альтернатив. Ничего страшного! Существуют программы, которые при должном умении (а главное – терпении) позволяют вскрыть пароль к чужой точке доступа и наслаждаться интернетом с неё абсолютно бесплатно.

Логотип программы Aircrack
Логотип программы Aircrack

(далее…)

Бесплатный SSL сертификат от L’ets Encrypt на Debian

Массовый переход сайтов на работу по зашифрованному протоколу день за днём набирает обороты. И если раньше работа с сертификатами представляла собой довольно рутинную задачу, то сегодня можно запросто и бесплатно получить сертификат с базовой проверкой принадлежности владельцу.

И в этом нам поможет классный сервис Let’s Encrypt. Этот центр сертификации начал работать в бета-режиме с 3 декабря 2015 года. И за это время число его пользователей растёт.

(далее…)

Как скрыть версию серверных приложений

Скрывать версию используемого программного обеспечения на сервере — хорошая практика, позволяющая запутать потенциальных взломщиков. Ведь зная версию, например, web-сервера, можно попытаться воспользоваться актуальной для этой версии уязвимостью.

А если хакер не знает, какая версия ПО используется на сервере, подбор уязвимости становится чуточку сложнее. На этой странице представлены параметры некоторых приложений, позволяющие скрыть версию и даже факт использования самого сервиса.
(далее…)

OCSP stapling на nginx с сертификатом StartSSL

Протокол OCSP позволяет проверить статус SSL сертификата Online. При открытии сайта браузер пытается связаться с OCSP сервером и получить информацию об этом сертификате. Это влияет на скорость работы, так как OCSP сервер может находиться намного дальше, чем сервер, где расположен сайт.

(далее…)

Приложение OpenVPN connect для Android

Если у вас есть смартфон, то, наверняка, вы хоть иногда пользуетесь публичными Wi-Fi точками доступа. Зачастую, они не защищены паролем. Да и если администратор этой точки доступа задал пароль, всё равно желательно защищать свой трафик посредством шифрования. Мало ли, каким образом может воспользоваться владелец точки доступа открытой информацией.

(далее…)

Доступ к серверу по ssh только для определённой группы

SSH позволяет ограничивать доступ к серверу только для пользователей, состоящих в определённой группе. Не являясь её членами, другие пользователи не смогут зайти на сервер по ssh. Это удобная возможность выдавать права доступа только тем пользователям, кому это действительно необходимо.

(далее…)

Базовая настройка iptables

Одной из первоочередных задач после установки системы является корректная настройка iptables для фильтрации трафика. Политика по-умолчанию разрешает всё, что не запрещено. Это не самый удачный метод в плане безопасности, потому что в таком режиме сервер подвержен воздействию злоумышленников.

Можно, например, заняться сканированием открытых на сервере портов. На основе этого возможно определение используемых сервисов, их версии, названия и версии операционной системы. Далее — подбор уязвимостей к ним. Или некоторые icmp — сообщения могут выдать лишнюю информацию.

(далее…)

Как скрыть факт использования nginx на сервере

Однажды я прочитал статью где речь шла о том, что можно скрыть факт использования nginx на сервере. Для этого требуется отредактировать исходный код модуля ngx_http_header_filter_module и изменить строки

static char ngx_http_server_string[] = "Server: nginx" CRLF;
static char ngx_http_server_full_string[] = "Server: " NGINX_VER CRLF;

Но чтобы пересобрать nginx из исходников, нужно обладать некоторыми знаниями.

Однако, существует и более простой метод, не требующий вообще никаких особых действий, типа редактирования исходников и перекомпиляции.

(далее…)

Использование nginx http_referer_module для защиты админки сайта от брутфорса

Читая документацию веб-сервера nginx, наткнулся на интересный модуль под названием http referer module. Он позволяет блокировать доступ к сайту, либо его разделам, если в запросе отсутствует корректный заголовок referer.

Этот модуль можно применить для защиты админки любого сайта от брутфорса. Например, сайт работает на вордпресс, но блокировка доступа по ip будет неуместной, если на сайте есть зарегистрированные пользователи. Им же тоже надо аутентифицироваться, а собирать их ip — занятие бессмысленное. :)

(далее…)