WWDC 2019 — безопасность и конфиденциальность

Для меня показателем того, насколько интересной была в этом году конференция WWDC, является тот факт, что я до сих пор продолжаю публиковать свои заметки о том, что на ней показали. (да, уже прошел целый месяц после WWDC, просто я медленно пишу). К счастью, это последний материал, который я хотел написать по следам конференции.

Кроме всех новинок операционных систем, Mac Pro с новым монитором, и проч., я бы хотел отдельно выделить улучшения в продуктах, которые касаются безопасности и конфиденциальности пользовательской информации. О некоторых, как, например, Sign In with Apple или Find My я уже писал, а до остального руки дошли только сейчас. Хотя там тоже хватает интересного.


Список security-изменений в новых версиях iOS/macOS
Continue reading

Впечатления после WWDC2019 – iPadOS

Поскольку позавчера публичные беты iOS 13/iPadOS/macOS 10.15 начали раздавать всем желающим станцевать на граблях багов, расскажу свои впечатления от iPadOS (забавно, что она без номера). Тем более, что она была у меня установлена на iPad mini 5 с первого дня анонса, на iPad Pro 10.5 примерно дней 10, и какие-то мысли уже накопились.

Анонс iPadOS, с одной стороны, оказался одним из самых больших сюрпризов конференции, а с другой — вполне закономерным развитием тех шагов, которые предпринимала Apple для модификации операционной системы iOS для своих планшетов. Достаточно вспомнить тот задел по многозадачности (хотя, точнее было бы сказать “несколькозадачности”), который внедрила Apple в iOS пару лет назад. Apple давно и упорно продвигает тему iPad как современную альтернативу компьютеру, так что это был вопрос времени — выделения системы для планшетов в отдельную ветку. Меня этот анонс порадовал едва ли не больше всего, поскольку я достаточно много пользуюсь iPad, и в ограничения системы я периодически упираюсь. Забегая вперед, сразу спойлерну, что iPadOS эти ограничения не снимает, и не факт, что когда-либо снимет — парадигма платформы другая. Однако, развитие системы движет её в направлении снижения фрикций при использовании.
Continue reading

Find My

Один из самых интересных для меня анонсов на WWDC 2019 – это функция мониторинга устройств Apple пользователями, которую Apple назвала Find My. Общая идея возможности пользователю видеть свои устройства сама по себе не нова и присутствовала у Apple под названием Find My iPhone много лет (и со временем стала позволять обнаруживать не только iPhone, но и другие устройства Apple, в том числе Маки). Историй о том, как пользователи находили свои потерянные и украденные устройства, включая истории про погони по городам за ворами, достаточно много. В этом году Apple, объединив два приложения Find My iPhone и Find My Friends, представила новый сервис Find My, который должен стать единым местом для просмотра информации о местоположении людей и техники. С людьми и социальным аспектом в целом понятно, а вот мониторинг устройств приобрёл очень интересную функцию. Речь идёт о возможности пользователю видеть местоположение устройства, которое не подключено к интернету.


Continue reading

Впечатления от WWDC2019 – iOS 13

Продолжаю описывать то, что я узнал во время WWDC о новых продуктах Apple на основе кейноута, других сессий для разработчиков и обсуждений с людьми, которые знают больше, чем я. В этой заметке я собирался проанализировать новости об iOS, включая разделение операционной системы на “для смартфонов” и “для планшетов” (я уже писал раньше про tvOS и watchOS), но что-то пошло не так.

Изменений в iOS 13 даже с пользовательской стороны столько, что по масштабности я бы сравнил это обновление с версией iOS 7, представленной в 2013 году. Тогда, как помнят старожилы, Apple перешла в интерфейсе от скевоморфизма к более сдержанному и “плоскому” дизайну, и подгораниями у критиков по поводу этих изменений какое-то время можно было обогреть достаточно большой мегаполис. Существенные изменения в интерфейсе iOS 13 увеличивают сходство с тем периодом. Темная тема, новые способы отображения контента в специальных карточках, методы взаимодействия с этим карточками, новые визуальные элементы интерфейса, новая цветовая гамма для визуальных элементов — это основательные изменения в операционной системе, которые заметят все пользователи. Сторонним разработчикам займет какое-то время подтянуться за этими изменениями, но сессия про обновления интерфейса приложений для iOS 13 показалась мне одной из самых интересных на WWDC. Темная тема на любителя, хотя мне она в некоторых сценариях использования пригодится. Важно помнить заветы Джобса, что дизайн — это не просто то, как что-то выглядит, а то, как это работает. За кажущимися небольшими визуальными изменениями стоит гораздо больше, чем просто подсветка кнопок.

Главная инновация же, конечно, новый индикатор громкости – наконец-то не перекрывает пол-экрана, рисуется аккуратно сверху, и его еще пальцем можно регулировать! Много ли пользователю iPhone надо для счастья?


Continue reading

ZombieLoad

Обнаружен новый набор уязвимостей в процессорах Intel (вплоть до 2011 года), похожих на Meltdown/Spectre, эксплуатирующих “слабость” предположительных вычислений в современных процессорах. Новая атака называется ZombieLoad и состоит из 4 отдельных багов. Суть, как я понял, заключается в том, что специально подготовленный код позволяет заставить процессор выдать данные из других приложений. Проблема затрагивает как персональные компьютеры, так и виртуальные машины в облаке, где в результате атаки можно получить доступ к данным из других виртуальных машин. На данный момент следов реальных атак не было зафиксировано, но это не значит, что их не было. Для обычных пользователей это означает, что какое-то вредоносное ПО, установленное на компьютер, может запустить такую атаку и перехватить из процессора конфиденциальную информацию. Intel выпустила апдейт микрокода процессора, который, по словам представителя компании, может привести к снижению производительности персональных компьютеров до 3%, а компьютеров в облачных датацентрах — до 9%.

Ссылки по теме:
Информация об атаке

Производители компьютеров выпускают апдейты:
Apple выпустила 10.14.5, что предотвращает атаку через Safari. Для желающих защититься полностью от подобных угроз, в этом апдейте добавили также возможность полного отключения Hyper-Threading в процессоре, но это приведет к снижению производительности компьютеров на 40%
Continue reading

Cybersecus дайджест #81

Сразу две хорошие новости, я отлучился на небольшой отпуск, и за это время ничего катастрофического не произошло! Если, например, не считать того, что из-за проблем с сертификатом у Firefox, что привело к тому, что уже установленные расширения не запускались, а новые не устанавливались. Те 2,5 пользователя Firefox, которые пострадали, уже знают, что проблема была исправлена:
https://blog.mozilla.org/addons/2019/05/04/update-regarding-add-ons-in-firefox/

А вот в китайском аналоге AWS — на облачной платформе Alibaba Cloud — обнаружилась база данных жителей из нескольких районов Пекина, которую собрали власти города с помощью системы распознавания лиц. “Умный город”, говорили они, “общественный транспорт вовремя”, говорили они, устанавливая камеры наблюдения. Только базу забыли закрыть паролем, и она лежала доступной для кого угодно в интернете. Elasticsearch, гигабайты данных, включая данные о распознавании сотен лиц за несколько месяцев. Базу обнаружил эксперт по кибербезопасности Джон Ветингтон, рассказавший об этом изданию TechCrunch.
https://techcrunch.com/2019/05/03/china-smart-city-exposed/

Компания 1Password, разработчик одноименного менеджера паролей, предлагает бесплатную версию своего приложения для журналистов. Нужно зарегистрироваться на странице, компания проверит статус зарегистрировавшегося как журналиста, и после этого зарегистрировавшийся получит бесплатную версию приложения.
https://blog.1password.com/world-press-freedom-day-1password-journalism/
Continue reading

Apple vs мониторилки использования смартфонов

Пару недель назад я писал о том, как Лаборатория Касперского подала жалобу против Apple по поводу блокировки апдейтов для их приложения по мониторингу активности детей. Я там подробно разобрал и сам пост ЛК, и технические ограничения самой iOS, которые требуют определенных приседаний для того, чтобы такие приложения вообще работали (и как эти приседания, вероятней всего, нарушают требования Apple к мобильным приложениям в iOS).

На прошлой неделе к этой теме еще подключилась The New York Times, опубликовавшая материал на эту тему, в котором тоже активно педалируется месседж, что Apple ограничивает приложения сторонних разработчиков в пользу функции Screen Time в iOS 12. Статья изобилует цитатами разработчиков, которые жалуются, что их приложения начали блокировать с бухты-барахты, без всяких предупреждений. Вся эта активность привела к тому, что Фил Шиллер, вице-президент Apple по продуктовому маркетингу ответил в письме одному из пользователей, в котором описал позицию компании и отметил, что статья в NYT подала информацию только с одной стороны, не озвучив позицию компании полностью.
Continue reading

Cybersecus дайджест #75

Год блокировки Роскомнадзором мессенджера Telegram показал, что ужесточение регулирования интернета в России неизбежно, но ему можно эффективно сопротивляться, отмечает Александр Плющев
https://www.dw.com/ru/комментарий-telegram-год-цифрового-неповиновения/a-48331914

Пост от редакции этого канала о том, как пока одни операторы в РФ тестируют поддержку eSIM, другие распространяют FUD о рисках eSIM и хакерских атаках, которые обязательно возрастут, когда eSIM появится в РФ.
https://alexmak.net/2019/04/15/esim/

Директор по развитию сетевой инфраструктуры Яндекса Алексей Соколов на конференции «Обеспечение доверия и безопасности при использовании ИКТ» рассказал, как технологии из закона «о суверенном интернете» (принят сегодня госдумой) обвалили сервисы Яндекса пару недель назад.
https://roem.ru/16-04-2019/277211/zakon-deystvuet/

Если вы пользовались клиентом Origin от Electronic Arts, рекомендуется обновиться до последней версии. EA исправили критическую уязвимость, которая могла привести к исполнению вредоносного кода на компьютере. Уязвимость затрагивает версию Origin для Windows, и связана с собственным форматом URL, который использует клиентское приложение origin://
https://techcrunch.com/2019/04/16/ea-origin-bug-exposed-hackers/
Continue reading

Бурление вокруг eSIM

В последние пару недель я заметил почему-то обилие материалов в российских СМИ по поводу SIM-карт в целом, и eSIM в частности. Подозреваю, российские операторы пытаются расшевелить тему с одной стороны, а с другой стороны есть силы, которые пытаются форсить тему криптографии в SIM-картах, вот эти материалы и всплывают:

Например, материал у РБК о подготовке перехода на новые SIM-карты:

Сотовые операторы начали переход на отечественную связь Идет подготовка к выдаче абонентам сим-карт с российской криптографией

Или странный материал у того же РБК о том, что операторы(!) почему-то сопротивляются внедрению eSIM:

Операторы связи и ФСБ выступили против используемой в iPhone технологии

А ещё обратный материал у Ведомостей (paywall) о том, что операторы вроде бы как раз и не против eSIM:

Российские операторы сотовой связи не реагируют на возражения ФСБ
Некоторые из них готовятся к внедрению технологии eSim, хотя спецслужба выступает против нее

Continue reading

Cybersecus дайджест #73

1. Наверно, новость дня — это утечка базы данных пациентов подмосковной скорой помощи
https://www.rbc.ru/society/09/04/2019/5cac54129a7947344a0f4e3f

И интересный анализ этой “утечки” на Пикабу(!)
https://pikabu.ru/story/mamkinyi_khakeryi_na_strazhe_nezalezhnosti_6629474

2. Я уже как-то писал про шпионское ПО Exodus, которое обнаружили в приложениях, находящихся в Google. Интересно, что эксперты обнаружили подобное приложение и для iOS — приложение прикидывалось приложением для поддержки мобильных операторов Италии и Туркменистана, и распространялось с корпоративным сертификатом разработчика для iOS (ранее было много новостей о том, как Google, Facebook и другие разработчики тоже распространяли в обход App Store приложения, подписанные корпоративным сертификатом). С точки зрения функциональности приложение могло украсть данные адресной книги пользователя, видео, фотографии, а также сгрузить информацию о местоположении пользователей. Apple уже отозвала сертификат разработчика, так что приложение невозможно больше установить. Есть подозрение, что разработчиком приложения является компания Connexxa, которая разрабатывает приложения для госорганов Италии с целью слежки.
https://blog.lookout.com/esurv-research

3. Очередная прекрасная история про AirBnB и то, как туристы из Новой Зеландии обнаружили в в доме скрытую камеру, которая транслировала картинку из гостиной. Камеру обнаружил один из гостей, просканировав сеть и обнаружив трансляцию. Камера была спрятана во что-то, замаскированное под датчик дыма. Там еще длинная история о том, как хозяин отмазывался, да и AirBnB не то, чтобы демонстрировало чудеса поддержки гостям. Так что если вы вдруг останавливаетесь в чьем-то AirBnB, первое, что нужно там сделать — это найти роутер от интернета и отключить его нафиг.
https://www.facebook.com/photo.php?fbid=10156325018207239&set=a.440220892238&type=3&theater

4. А помните историю с китайской шпионкой, пойманной на курорте, принадлежащем президенту Дональду Трампу? У истории есть и продолжение о расследовании, и, в частности, рассказ о том, как анализировали её флешку:

Secret Service agent Samuel Ivanovich, who interviewed Zhang on the day of her arrest, testified at the hearing. He stated that when another agent put Zhang’s thumb drive into his computer, it immediately began to install files, a “very out-of-the-ordinary” event that he had never seen happen before during this kind of analysis. The agent had to immediately stop the analysis to halt any further corruption of his computer, Ivanovich testified. The analysis is ongoing but still inconclusive, he said.

Вот так вставил флешку, и понеслась! Забавно про срочную остановку с выключением компьютера, хотя, как потом пояснили, речь шла о том, что а) это был специальный компьютер для подобных исследований, а выключение было произведено с целью фиксации действий вредоносного ПО на компьютере. Такие дела.

https://www.miamiherald.com/news/politics-government/article228963409.html