Cybersecus дайджест

несколько полезных и интересных ссылок на почитать:

– статья у ЛК на тему различных методов двухфакторной аутентификации (ура, я наконец-то написал это с первого раза, а не “авторизации”)
https://www.kaspersky.ru/blog/2fa-practical-guide/21495/?es_p=7871008

– интересная уязвимость в Android (исправлена еще в июльском апдейте, а затем доисправлена в сентябрьском), позволяющая повышать права в системе приложениям, которым это не положено. Очень много технической информации:
https://blog.zimperium.com/cve-2018-9411-new-critical-vulnerability-multiple-high-privileged-android-services/

– недокументированные API в Google Home, позволяющие простым запросом перегружать устройства, получать списки будильников, отключать уведомления и заставлять забывать их о беспроводной сети:
https://jerrygamblin.com/2018/10/29/google-home-insecurity/

Про процессор T2

Apple вчера опубликовала интересный документ про процессор T2, который в современных Маках обеспечивает довольно много функциональности:
– безопасную загрузку компьютера
– работу файловой системы APFS
– работу Touch ID на Маке

Весь PDF (15 страниц) сам по себе представляет интересный и познавательный материал, рекомендую почитать. Иногда пишут, что Apple сознательно блокирует ремонт компьютеров “на стороне”, потому что хочет сама ремонтировать компьютеры и брать за это много денег. Не без этого, конечно, но вообще надо понимать, что компьютеры – это очень хороший и мощный вектор атаки на пользователя, и проверять целостность этого вектора это хорошая практика. Именно это и делает процессор T2 при загрузке компьютера, а сторонний ремонт и замена каких-то комплектующих может нарушать этот процесс.
Continue reading

Про Signal и Telegram

Сразу два небольших апдейта о двух популярных мессенджерах, которые оба много говорят о своей безопасности. Действительно, и Telegram, и Signal позиционируют себя как мессенджеры с шифрованием, и предназначенные для общения таким образом, чтобы коммуникации пользователей не попадались на глаза кому попало. Компании используют разный подход, в частности, сообщения у Telegram по умолчанию не шифруются оконечным шифрованием — для этого нужно запускать специальные secret chats, в то время как у Signal все коммуникации по умолчанию зашифрованы. Но периодически и тот, и другой мессенджер попадают в новости с очередным ляпом в безопасности, поэтому сложно рекомендовать тот или иной. В интернете можно найти не одно исследование безопасности этих мессенджеров (вот, например, навскидку нагугленное исследование Telegram студентами MIT)

Например, в свое время у Signal оказалась лажа с сохранением истории чатов на Маке в открытом текстовом виде (к нему потом вышел апдейт). А тут прошла новость о том, что десктопный вариант Telegram к хранимым на компьютере данным с недостаточной защитой – база данных не шифруется, и поэтому даже контент секретных чатов можно прочитать, получив доступ к компьютеру пользователя. В целом, надо бы сказать, что, на мой взгляд, это не так ужасно, как могут попытаться подать некоторые СМИ.
Continue reading

Cybersecus digest

Сегодня у нас коллекция ссылок на тему.

1. Хакеры, в свое время взломавшие Uber и получившие доступ к миллионам пользовательских записей (а затем вынудили компанию заплатить выкуп, и замаскировать это под bug bounty), попались на другом взломе и были арестованы ФБР
https://techcrunch.com/2018/10/25/uber-hackers-indicted-lynda-breach/

2. База данных сотрудников Сбербанка утекла в сеть. Об этом стало известно еще на прошлой неделе (ссылку на базу прислал один из читателей), но теперь появилось и почти официальное подтверждение.

“О проблеме доложили Герману Грефу, который уже выразил свое недовольство, отметил один из собеседников “Ъ” в банке.”

https://www.kommersant.ru/doc/3785052

3. Google теперь требует от официально лицензирующих Android компаний обязательно два года выпускать обновления безопасности для смартфонов под управлением этой операционной системы
https://www.theverge.com/2018/10/24/18019356/android-security-update-mandate-google-contract

Я уже выразил свое недовольство небольшим количеством ссылок сегодня.

X.org CVE-2018-14665

Обнаруженная уязвимость CVE-2018-14665 затрагивает OpenBSD и большинство дистрибутивов Linux (включая Debian, Ubuntu, Red Hat, Fedora), и выглядит так:

cd /etc; Xorg -fp “root::16431:0:99999:7:::” -logfile shadow :1;su

Эта уязвимость позволяет злоумышленникам с ограниченным доступом к системе (Например, через сессию SSH) повысить свои привилегии до уровня root.

Больше информации об уязвимости тут:
https://www.securepatterns.com/2018/10/cve-2018-14665-xorg-x-server.html
и тут
https://lists.x.org/archives/xorg-announce/2018-October/002927.html

У OpenBSD уже есть фикс, для ваших любимых дистрибутивов линуксов следите за апдейтами у вендоров.

Выступление Тима Кука о конфиденциальности персональных данных

На фоне новостей о слежке за пользователями со стороны WiFi-провайдера в Москве, выступление Тима Кука в Брюсселе вчера смотрится особенно актуально. Выступая на конференции, посвященной конфиденциальности данных (Conference of Data Protection and Privacy Commissioners (ICDPPC)), Тим Кук в достаточно жестких выражениях озвучил то, что происходит сегодня с пользовательскими данными:

“Наша личная информация — от ежедневных событий до глубоко личной информации — используется в качестве оружия против нас с армейской эффективностью. Эти кусочки данных, каждый безвредный сам по себе, аккуратно собираются, синтезируются, обмениваются и продаются. В экстремальных кейсах этот процесс создает живучий цифровой профиль и позволяет компаниям узнавать вас лучше, чем вы знаете себя. Ваш профиль — это куча алгоритмов, которые выдают вам все более экстремальный контент, превращая наши безвредные предпочтения во вред”.

(сравните это с тем, что делает с вашими данными та же максима телеком в предыдущем посте)

Кук не указывал прямо на рекламно-технологических конкурентов вроде Google, Facebook и другие компании, занимающиеся сбором и обработкой пользовательских данных, но было совершенно очевидно, о ком он говорил. Кроме этого, в своем выступлении Тим Кук похвалил принятие и внедрение европейского законодательства по охране пользовательских данных General Data Protection Regulation (GDPR), и призвал американских законодателей на федеральном уровне принять подобный закон. GDPR принуждает компании, хранящие пользовательские данные, обеспечивать максимальную безопасность этим данным (а также обеспечивает право пользователей узнавать, какую информацию хранит компания о нем, и требовать удаления этой информации). Работает ли GDPR на самом деле — это другой вопрос: спама больше не стало, а кто и как там хранит мою информацию на самом деле узнать все еще не просто. (Зато удалось почитать политики конфиденциальности многих сервисов и сайтов и ужаснуться количеству всяких сторонних сервисов, с которыми эти сайты могут делиться теми или иными пользовательскими данными).

Дальше в Твиттере Тим Кук продублировал озвученные во время выступления четыре основных принципа защиты права на сохранность частной информации, которые во многом перекликаются с тем, о чем говорится в акте GDPR:
1. Компании должны либо применять усилия по деперсонализации пользовательских данных, либо не собирать эти данные вообще.
2. Пользователи должны знать, какая информация о них собирается и с какой целью.
3. Компании должны понимать, что данные принадлежат пользователям и должны обеспечивать возможность пользователям получить эту информацию, изменить или удалить.
4. У всех есть право на безопасность своих данных. Безопасность лежит в основе всех прав конфиденциальности данных.

Если есть время, посмотрите видео выступления целиком:

Можно любить или ненавидеть Apple, можно относиться к ней индифферентно, но Apple, по сути, практически единственная из крупных технологических компаний, которая занимает четкую позицию по отношению к конфиденциальным пользовательским данным и их безопасности, в том числе и в переговорах с правительствами разных стран. Да, иногда эта позиция бывает “гибкой” и ей приходится соответствовать законодательству этих стран (например, история с Китаем и VPN-клиентами в App Store, когда пришлось удалить несертифицированные правительством Китая приложения из магазина). Возможно, это счастливое совпадение, что позиция также хорошо вписывается в бизнес-модель Apple, когда нет необходимости эксплуатировать пользовательские данные для того, чтобы демонстрировать финансовую состоятельность.

Кто-то может называть это “маркетингом” (как будто это что-то плохое). Важно, что за маркетингом озвученной позиции и подобных выступлений есть масса различных действий Apple в разработке устройств и операционных систем, которые подтверждают, что все эти заявления и выступления — это не пустые слова, а реально позиция компании. Если это помогает Apple продавать больше iPhone — отлично, потому что в результате покупатели получают более безопасные устройства, обеспечивающие сохранность пользовательских данных.

Максима Телеком и пользовательские данные

Медуза опубликовала материал о том, как оператор городского WiFi в Москве следит за пользователями и пытается таргетировать рекламу пользователям на основе собранных им данных. Однажды попав в базу МТ, пользователи “отдают” провайдеру MAC-адрес своего устройства, после чего тот, наводнив город своими базами WiFi, начинает эту информацию использовать для дополнения другой информацией и отслеживания привычек.

Однажды попав в базу, профиль пользователя начинает обрастать информацией: в нем сохраняются все его перемещения, данные о поле, возрасте, уровне дохода, интересах (на основании анализа посещаемых через вайфай сайтов), технические характеристики смартфона.

Я не буду спойлить остальную статью, сходите по ссылке и почитайте. Меня удивляет, что компания так гордо рассказывает об этом мониторинге пользователей (я уверен, идентифицировать конкретного человека и его перемещения с имеющейся у МТ и в интернете информации им не составит труда). А уж какой потенциал для того, кто решит, что можно эту информацию получить, например, незаконным образом. Тем более, что факапы с безопасностью этих самых профилей у МТ уже были. Лучше бы во второй части статьи Артем Пуликов из „Максима Телеком“ рассказал о том, они обеспечивают безопасное хранение этой информации от доступа внутри и извне. Или же, например, как в рамках того же GDPR можно было бы попросить компанию удалить все имеющиеся на конкретного пользователя данные.
Continue reading

Битва Apple и Grayshift за разблокировку iPhone

В битве Apple против компании Grayshift, которая продает правоохранительным органам устройства по получению информации из iPhone (о которых я неоднократно писал в канале), кажется, очередной раунд остался за Apple. (Я сразу уточню, что точной информации о том, каким методом Grayshift научилась получать доступ к iPhone, неизвестно. Известно только, что после подключения к их коробочке устройство начинало перебирать пароли, и если пароль был 4-значный, то достаточно быстро устройство начинало сливать содержимое памяти устройства. Точные методы происходящего, да и вообще любая дополнительная информация были достаточно расплывчаты).

Издание Forbes пишет, что, по информации от множества источников, устройства GrayKey больше не могут перебирать пароли на устройствах с iOS 12. На таких гаджетах GrayKey может доставать только незашифрованные файлы (все пользовательские файлы в iOS шифруются по умолчанию), а также некоторые метаданные – размеры файлов и структуру папок. И похоже, что речь не о USB restrictions mode, о котором я также много писал, а именно о блокировке доступа к зашифрованным файлам. Будет очень интересно посмотреть, смогут ли Grayshift обойти эту блокировку, потому что эта игра в кошки-мышки очень увлекательная.

Боты и реклама в мобильных приложениях

Лонг-рид, но очень интересный. О компании, которая скупала приложения в Google Play Store, а затем скрытно трекала поведение пользователей в этих приложениях. На основе собранной информации компания тренировала ботов, чтобы их поведение было похожим на человеческое. С помощью этих тренированных ботов компания, скупавшая приложение, могла обманывать системы детекции фрода при показе рекламы, и таким образом генерить сотни миллионов долларов на показах рекламы фейковым ботам.

https://www.buzzfeednews.com/article/craigsilverman/how-a-massive-ad-fraud-scheme-exploited-android-phones-to
Continue reading

Проверка имейла на утечки через Shortcuts

Пользователям iOS 12 может быть полезно воспользоваться Шорткатом для проверки адреса электронной почты на предмет наличия в различных источниках утекшей за последние несколько лет информации (хотя, подозреваю, читатели канала давно это уже сделали без всяких шорткатов). Ссылка на шорткат:
https://www.icloud.com/shortcuts/12f9efa03ada4d2a9876f6647d94e8c3

(автор)

Шорткат отправляет запрос с адресом электронной почты по API на сайт HaveIBeenPwned.com, и выдает список сайтов, в утечках которого зарегистрирован указанный адрес. Дальше все в ваших руках — изменить пароли на этих сайтах, если вы еще не меняли их, и разработчики сайта не сбросили его автоматически, и убедиться, что эта комбинация логина и пароля не используется на других сайтах.