SbX | Security by Xyurity

Appsec-предсказания

Стоило вчера разлететься новости про атаку на Додо через мобильное приложение, как ко мне стали приходить коллеги со словами “неужели мы предсказали такие атаки?”. Нет, я ничего не предсказывал. Я, как любитель идей Нассима Талеба, не люблю предсказания.

Во всех выступлениях, комментариях, статьях и презентациях я говорю только о том, что вижу. И это не какая-то уникальная способность. Ваши аппсеки, чьи руки по локоть в теме, видят то же самое и готовы выдать вам пачку таких “предсказаний” хоть сегодня. Но предсказания любят пиар и маркетинг. Моя позиция тут - говорить о фактах, которые пока не всем заметны и еще на набрали масштаба. И вот когда масштаб набран, для массового пользователя это выглядит как пророчество, но мы то с вами знаем, что это не так.

О чем еще я говорил:
• клоны/моды мобильных приложений, неотличимые от оригинала, с внедренным вредоносом
• интерес ко внутренним мобильным приложениям как раз с целью получить “карту” внутрянки или “пропуск”
• боты, скрапперы, автоматизированное построение swagger

Уязвимости в мобилках - тема все еще нишевая, по моим ощущениям. Но кажется и их скоро станет больше, если посмотреть, как снижаются цены на bug bounty, так как растет число находок.

Короче, не верьте предсказателям, верьте вашим доблестным аппсекам и будете на шаг впереди злоумышленников.

ИИ-слоп в экспертизе

"Утка подгорает" (с) Огнеметчик из StarCraft 2

Я обожаю LLM. Но сегодня хочется публично пробомбиться на тему использования нейросетей в области экспертизы. Я уже давно редко что-то ломаю руками, но касаюсь экспертизы в мобильной безопасности ежедневно:
- общаюсь с командой и заказчиками
- пишу статьи и для маркетинга
- читаю профессиональные новости
- пилю pet-project в области безопасности мобилок
У переднего края экспертизы оставаться непросто, но я очень стараюсь, потому что это важно.

Но кажется, что так считают далеко не все.

Контент
Пиар, журналисты, копирайтеры - не эксперты, и это окей. При доработке моих статей и раньше возникали трудности, когда редактор меняет что-то на свой вкус и полностью искажает смысл. Но с приходом нейронок это вышло на новый уровень.
- Люди ленятся проверить, не исказился ли смысл
- вычитывать складный текст на предмет ошибок сильно сложнее
- в длинной цепочке передастов каждый на своем этапе решает чуть приукрасить с помощью ИИ
- все ожидают "правок" от автора, но на деле надо выбросить текст целиком и написать с нуля
Как итог: написание статьи по уже готовому черновику становится еще дольше. Репутация автора страдает: ему приписывают сгенерированный нейронкой булшит. Такого буста производительности мы хотели от ИИ?

Эксперты и бизнес
Эффекту когнитивной капитуляции подвержены даже эксперты. Только с начала года я насчитал уже несколько статей и новостей в экспертных сообществах и профильных СМИ, где тиражировали откровенный ИИ-слоп. А ведь я слежу в основном за безопасностью мобилок. И речь идет не о том, что экспертный сервис или база знаний от ИИ плоха лишь потому что была сгенерирована. Они содержат ошибки, при чем глупые, но хорошо аргументированные. Если даже эксперты пропускают такое с мыслью "и так сойдет", то что мы получим на выходе, когда такая "экспертиза" будет ложиться в основу инструментов безопасности? Вал ИИ-слоп-репортов на баг баунти - только начало.

А еще всегда есть соблазн нехватку дорогих кадров (а эксперты дорого стоят) компенсировать с помощью ИИ. И в целом в этом нет ничего плохого. Плохое начинается там, где ИИ - единственный эксперт - ему безоговорочно верят, потому что никто не может понять, где он ошибся. ИИ очень хорошо подстраивается под запрос и в руках не-специалиста почти всегда будет выдавать посредственный результат. Это простительно для стартапа или для экспериментов. Но когда есть реальная потребность в безопасности, когда на кону большие деньги и репутация, так быть не должно.

Все эти проблемы были и раньше, до массового прихода нейронок. Вот только вместо помощи в их решении, местами ИИ придал привычным проблемам серьезного масштаба, а складные ответы LLM в совокупности с когнитивной капитуляцией только усиливают ложное ощущение безопасности.

Но я убежден, что это временное явление. Будем надеяться, что мы вернемся к адекватности без необходимости испытать неприятные последствия от бездумного вмешательства ИИ в область экспертизы по ИБ.

На втором курсе впервые получил домашнее задание читать блог Лукацкого про мифы ИБ. А на этой неделе побывал у него гостем на подкасте.

«Жизнь удалась» (с) Алексей Лукацкий

Не бояться быть понятным

Фиксирую (в первую очередь - для себя) инсайт, который посещал меня очень много раз.

Сейчас по работе мне приходится больше обычного рассказывать разным людям про безопасность мобилок простым языком. 95% таких людей никогда не открывали Burp, jadx а кто-то даже джейл/рут не накатывал. Поскольку в свою текущую роль я пришел со стороны экспертизы, приходится постоянно работать над собой, чтобы легко и доступно доносить широкой аудитории очевидные для нас вещи.

Я давно заметил у экспертов одну особенность - выражаться на своем языке, не утруждая себя разъяснениями и заставляя собеседника угадывать смысл незнакомых конструкций. Кто-то может увлеченно рассказывать про RCE и просто не заметить, как 80% рассказа строится на терминологии или профессиональном жаргоне. Кто-то может считать простоту - признаком низкой квалификации, как будто более опытные коллеги не будут им респектовать. Говорят, что на свидании мы используем свой словарный запас почти на 100%, чтобы очаровать собеседника, возможно тут похожий механизм. Может есть еще причины?

Я лично сталкивался и с первой, и со второй. И если с первой легко справиться за счет опыта и постоянной практики, то для борьбы со второй причиной надо менять свои убеждения.

О чем я бы себе напомнил:
- не существует очевидных вещей
- существует проклятие знания - крайне тяжело игнорировать уже известную информацию
- синдром самозванца - зло, даже простая информация может нести ценность

Чтобы с этим справиться, мне помогают 2 мысленных ситуации:
1. Представить охранника, который орет на посетителей, что проход закрыт. Неужели не понятно? Ведь он уже столько раз сказал. Вот только каждый раз это были разные люди. Я не хочу быть таким охранником.
2. Представить, что ты объясняешь детям. И хотя детей у меня пока нет, я отлично тренируюсь на жене. Тренироваться на коте сложнее.

А еще стараюсь подмечать позитивный фидбэк:
- кивки заказчиков на презентации
- реакции и пересылки постов в соцсетях
- охваты и просмотры в блогах и новостях
- личная благодарность людей, которые видели меня на ютубе
Даже за негативным фидбэком можно увидеть позитив: "слишком простой доклад" - читаю как "я все понял, спасибо".

Я ни в коем случае не призываю всех делать очередной пересказ OWASP или рассказывать про AI-агента. Но если очевидные вещи строят мостик понимания между вашей мыслью и собеседником - этим нужно пользоваться.

Я больше не хекаю

Хотя, как посмотреть, конечно. Не просто так пропал надолго в очередной раз. На PHDays запустили сервис по защите мобильных приложений от реверс-инжиниринга PT MAZE - наш маленький стартап внутри большой компании.

Я всегда мечтал создавать что-то новое с нуля, даже была неудачная и очень травмирующая попытка лет 10 назад, и я очень благодарен руководству, что мне дали такую возможность. И конечно же я очень благодарен своей команде, которая вместе со мной работает наизнос, рискует, создавая что-то новое без гарантии результата - очень ценное качество, особенно в пору кандидатов, изнеженных условиями работы в крупных компаниях.

Помимо бесконечной усталости, с которой только недавно начал совладать, накопились еще какие-то мысли стартапера-новичка, который в своей повседневности сменил burp suite и jadx на почту, календарь, конфлюенс, созвоны, планирование, приоритизацию и прочий менеджмент. Я так и не придумал внятную тему для этого канала, поэтому буду периодически делиться чем-то интересным, что встречу на своем профессиональном пути, но теперь уже в роли руководителя стартапа.

Есть мысли рассказать про то, как опыт хакера помогает или мешает в разработке продукта, в чем я вижу хакерский склад ума у разработчиков, тестировщиков, менеджеров, в сотый раз в интернете повторю инсайты любого стартапера и др. Поучать никого не собираюсь, просто буду иногда делиться опытом. Поэтому, если вам такое интересно, или просто по фану будет понаблюдать, во что это выльется, stay tuned.

Но если вы подписывались за более техническим контентом, то спешу вас обрадовать: мы с нашей командой начали вести канал про реверс-инжиниринг мобильных приложений - @r3m4z3, с настоящим техническим хардкором. Сейчас там больше делимся интересными статьями, в будущем будет больше авторского, но даже сейчас там уже выложены записи докладов наших исследователей. А еще надеюсь мы дорастем до того, чтобы проводить конкурсы на отлом PT MAZE, так что следите за новостями.

P.S.
Вернул негативные реакции (только одну), поэтому дайте знать, как вам такой поворот в темах.

Секретная разработка для мобильных багхантеров! 📱👾

У меня есть знакомая, которая как раз работает над таким продуктом. Как вы догадались, продукт - для багхантеров, с уклоном в андроид-приложения. Разрабатывается он в рамках дипломной работы, и ей требуется помощь комьюнити: нужно провести интервью с целевой аудиторией продукта для проработки основного функционала.

Уверен, среди аудитории моего канала найдутся заинтересованные и готовые дать небольшое интервью. В качестве респондентов нужны багхантеры, специализирующиеся на мобильных приложениях. Опыт не важен.

Если вы готовы поучаствовать - пишете @eevpatiykolovrat