أقراص USB المشفّرة: عندما يحمي القفل ولا شيء
في مستودع ما الآن، توجد صناديق من أقراص USB تَعِد بـ«تشفير ببصمة الإصبع بمستوى عسكري»، ويستطيع طفل في الثانية عشرة بمفك صغير أن يخترقها في تسعين ثانية. قرص...
الأمن السيبراني
أمن التطبيقات وتحليل التهديدات وممارسات البرمجة الآمنة، ومشهد الأمن السيبراني المتطور.
21 مقالات
ثغرة TCP في Linux: التصحيح أم التخفيف؟
لدى نواتك ثغرة use-after-free قابلة للاستغلال عن بُعد في مسار مصافحة TCP، ولم تُصدر توزيعتك إصلاحًا بعد، وشخص ما أثبت بالفعل وجود استغلال يعمل للحصول على...
فشل أمان منصات تداول الكريبتو في السرعة لا في التشفير
عشرون دقيقة. هذه هي المدة التي يُقال إن المهاجمين احتاجوها لسحب 6.3 مليار دولار من Binance، وهي أقل من الوقت الذي تحتاجه معظم فرق الاستجابة للحوادث لتجتمع في...
باب Cursor الخلفي في السوق: مشكلة ثقة فروع VS Code
يفتح مطوّر برنامج Cursor صباح الثلاثاء، ويرى تحديثاً لإضافة Claude Code، فيسمح بتثبيته. لا شيء يبدو مختلفاً. الإضافة تعمل، ومساعد الذكاء الاصطناعي يستجيب،...
Anti-LLM Obfuscation: سكربتات البصمة تردّ على النماذج
قام باحث بربط كل استدعاء للوحة الرسم canvas على 10,000 من أكبر مواقع الويب، وجمع أكثر من ألف عملية رسم لأغراض البصمة، ثم بحث عن أجملها. ما وجده داخل السكربت...
اسرق بتكويني: ضجة ثغرات PHP أمام الواقع
إذا قضيت أي وقت على منصات التواصل المتخصصة في الأمن مؤخراً، فقد رأيت الادعاء: ثغرات تنفيذ الكود عن بُعد الجديدة في PHP بسيطة لدرجة أن وكلاء الذكاء الاصطناعي...
كسر حماية Switch 2: سلسلة الثغرات التي تجاوزت Secure Boot
يأتي الجهاز الجديد ومعه نواة صغيرة (microkernel) محصّنة، ومصادقة للمؤشرات على كل عنوان عودة، وذاكرة للتنفيذ فقط، وتحقق من تدفق التحكم، وسلسلة إقلاع موقّعة. بعد...
هجوم سلسلة توريد PyPI: درس LiteLLM
ثلاثة ملفات. هذه هي البصمة الكاملة لواحدة من أخطر هجمات سلسلة توريد بايثون التي شهدناها: ملف cook.pth بحجم 12 بايت، وcook.py بحجم 22 كيلوبايت،...
مفاتيح CA الضعيفة لدى eMudhra: 5 خرافات حول PKI
أحد مفاتيح الخاصة لسلطة الشهادات التابعة لـ eMudhra هو الرقم 4. ليس رقماً من 384 بت يبدأ بالرقم 4، بل الرقم 4 فقط، مع 47 بايت صفرياً تملأ الباقي ليبدو الأمر...
ثغرة PHP الحرجة: لماذا تفوّق الإيقاف المؤقت على الترقيعات
حين أعلن مشروع PHP أن إصدارًا أمنيًا حرجًا قادم، قبل أيام من توفر الترقيع فعليًا، فعل الإنترنت ما يفعله دائمًا: ذعر منتج. بوابات تسجيل الدخول الحكومية...
اختراق وسيط CA: عندما تنكسر سلاسل الثقة
إليك رأيًا يبدو معكوسًا: أسوأ حوادث هيئات الشهادات ليست تلك التي يقتحمها المهاجم. حادثة اختراق الوسيط في eMudhra الأخيرة دليل على ذلك. فقد أمكن استخراج ثماني...
حل لغز بذور منحنيات NIST: 5 خرافات حول أصول ECDSA
طوال خمسة وعشرين عامًا، كانت بذور منحنيات ECDSA من NIST أقرب شيء في علم التشفير التطبيقي إلى قضية جنائية لم تُحل. خمس قيم عشوائية الظاهر بطول 160 بت، سلّمتها...
الحبس أم المراقبة لوكلاء الذكاء الاصطناعي؟
عندما مدّ وكيل LLM في مختبر ذكاء اصطناعي رائد يده خارج بيئة اختباره وفتح ثغرة في البنية التحتية لـ Hugging Face، كتبت العناوين القصة بنفسها: ذكاء اصطناعي...
عندما يخترق المتسللون ثلاجات متجرك: دروس أمن أنظمة OT
تخيّل أنك مدير وردية الليل في سوبرماركت بمدينة ليون. في الساعة الثالثة فجراً، يلاحظ الطاقم المناوب أن الصقيع يذوب من واجهات المواد المجمدة. ثم تبدأ إنذارات...
أدوات سطر الأوامر لا يجب أن تثبّت خدمات خلفية افتراضياً
يشغّل مطور الأمر npm install -g @openai/codex لتجربة مساعد برمجي بالذكاء الاصطناعي، فينتهي به الأمر بعملية خلفية دائمة تحدّث نفسها بنفسها لم يطلبها أبداً. هذا...
تطبيقات اللياقة: أداة مراقبة في جيبك
تتبعت صحيفة فرنسية مؤخراً الموقع اللحظي لحاملة الطائرات الوحيدة في فرنسا، شارل ديغول، وهي من أكثر الأصول العسكرية حساسية في أوروبا، وذلك باستخدام بيانات متاحة...
تطور sudo: من su في Unix إلى الصلاحيات الحديثة
هل تعلم حقيقة تفاجئ معظم الناس؟ عندما تكتب كلمة المرور في sudo، لا يظهر لك أي أثر على الإطلاق. لا نجوم ولا نقاط، لا شيء. يبقى المؤشر ثابتاً في مكانه. هذا...
متى تتحول قوانين سلامة الإنترنت إلى أدوات رقابة
في عام 2023، تم حظر منتدى دعم لضحايا العنف الأسري بواسطة فلتر المحتوى التابع لأحد أكبر مزودي خدمة الإنترنت في المملكة المتحدة. الفلتر، المصمم لحماية الأطفال من...
التشفير الكمي: ما يحتاج المطور معرفته فعلاً
حصل تشارلز بينيت وجيل براسار على جائزة تورينغ عن أعمالهما الرائدة في علم المعلومات الكمية، وتحديداً عن بروتوكول توزيع المفاتيح الكمي BB84 الذي نشراه عام 1984....
ماذا يعلّمنا اختراق Xbox عن نماذج أمان الأجهزة
صمّمت مايكروسوفت بنية الأمان في Xbox One لتكون منيعة. جذر ثقة مادي، و Hypervisor مخصص، وتخزين مشفّر بمفاتيح خاصة لكل جهاز، وسلاسل إقلاع موقّعة تتحقق فيها كل...
نقاط العمى في تسجيل المصادقة في السحابة
كشف فريق أمني في TrustedSec مؤخرًا عن الطريقتين الثالثة والرابعة لتجاوز تسجيل الدخول في Azure. أي أن هناك أربع تقنيات مستقلة للمصادقة على خدمات Microsoft...