Технологии безопасности

Сайт посвященный вопросам безопасности

В воскресенье АНБ сворачивает многолетнюю массовую прослушку

Агентство национальной безопасности США в воскресенье завершает программу массовой прослушки. Такое заявление в пятницу сделали в администрации президента США. Вместо неё агентство должно будет ввести новую программу с сильно урезанными возможностями.

Это событие расценивается как победа борцов за приватность, достигнутая совместно с технологическими компаниями, отказывавшимися идти навстречу правительственному агентству в ущерб безопасности и приватности своих пользователей. Несмотря на многочисленные призывы обеспечить «чёрные ходы» в шифровании мобильных устройств и программ, такие гиганты, как Apple и Google не согласились идти на уступки.

Закрытие программы массовой прослушки PRISM произойдёт через два с половиной года после её разоблачения Эдвардом Сноуденом, на тот момент бывшим сотрудником агентств ЦРУ и АНБ. Массовая прослушка без суда и ордеров стала возможной после террористических атак 11 сентября 2001 года.

Теперь АНБ не сможет напропалую собирать информацию о всех звонках, совершённых гражданами США, чтобы обрабатывать эти т.н. «метаданные» в попытках обнаружить «подозрительные действия». Теперь агентству необходимо будет получать судебное решение, чтобы иметь возможность отслеживать звонки определённого лица или группы лиц на срок до шести месяцев.
Continue reading

Обнаруженная в протоколе брешь позволяет раскрывать ip-адреса клиентов VPN-провайдеров

26 ноября специалисты по безопасности VPN-провайдера Perfect Privacy обнаружили в VPN уязвимость, которая может привести к раскрытию ip-адресов пользователей. Атака работает за счёт перенаправления портов. По заявлениям специалистов, уязвимости подвержены все реализации VPN (протоколы IPSec, OpenVPN, PPTP, и другие), и не зависит от операционной системы.

Для успешного осуществления атаки атакующий должен завести аккаунт у того же VPN-провайдера, что и жертва. Затем необходимо узнать выходной ip-адрес жертвы. Часто у VPN-провайдеров используется небольшой пул выходных адресов – их можно перебирать, заманить жертву на специально созданный веб-сайт, что и выдаст её выходной ip-адрес, или брать адреса из торрентокачалки.

Затем атакующий активирует у себя перенаправление портов – при этом от жертвы не требуется никаких действий, и неважно, работает ли у неё такое перенаправление, или нет. И в заключение, жертве необходимо скормить любой ресурс, в url которого указан порт, на который идёт перенаправление.

Технические детали специалисты приводят следующие:
Continue reading

Конкурс на поиск уязвимостей в Яндекс.Браузере выиграл директор службы тестирования Mail.ru

Корпоративная «войнушка» между российскими интернет-компаниями вышла на хакерский уровень. 26 октября «Яндекс» объявил конкурс хакеров «Месяц поиска уязвимостей в Яндекс.Браузере». Трём победителям, которые найдут в браузере самые серьёзные баги, обещали призы: 500 тыс. руб, 300 тыс. и 150 тыс., соответственно.
Continue reading

Подлый трюк. Microsoft переименовала шпионский сервис DiagTrack и снова запустила его у всех пользователей

Две недели назад вышло большое обновление Threshold 2 для Windows 10. Прошедшего времени достаточно, чтобы досконально разобраться в том, что из себя представляет апдейт. В целом, его приняли положительно: хороших нововведений там явно больше, чем плохих.

Но всё-таки несколько ложек дёгтя Microsoft приготовила. Во-первых, операционная система зачем-то автоматически удаляет на отдельных компьютерах некоторые установленные программы. Судя по сообщениям на форумах, среди «пострадавших» — CPU-Z, speccy, 8gadgetpack, клиент Cisco VPN, драйверы SATA, SpyBot, RSAT, F5 VPN, HWMonitor и другие. После обновления Windows программы можно без проблем установить обратно.

Во-вторых, после обновления Windows 10 изменяет некоторые настройки по умолчанию обратно на сервисы Microsoft. Опять же, потом дают возможность вернуть всё обратно.

Два вышеуказанных бага отловили достаточно быстро. Чего не скажешь о третьем, самом грязном и даже немного подлом баге.
Continue reading

Портативный спуфер кредиток MagSpoof

Десять лет назад Сэми Камкар (Samy Kamkar) создал червя, который добавил к нему в друзья на MySpace миллион человек (червь Samy). С тех пор поляк беспрестанно радует нас новыми находками: это неудаляемые куки EverCookies; беспилотник SkyJack, автоматически взламывающий другие беспилотники и дающий оператору на земле доступ к управлению и видеокамерам, и многое другое. В общем, в мире хакинга Сэми Камкар — это как легендарный Фабрис Беллар в мире программирования.

Очередной гениальный гаджет от Сэми — портативный спуфер кредиток MagSpoof, работа которого в общем показана на видео.

Continue reading

Tor принимает пожертвования, чтобы не зависеть от госбюджета США

Организация The Tor Project запустила новую кампанию по сбору средств у населения. Принимаются одноразовые и месячные пожертвования на любую сумму через Paypal, Dwolla, в биткоинах, чеками и банковскими переводами. Пожертвования принимались и раньше, но сейчас Tor как никогда нуждается в «чистых» деньгах.

В принципе, проект не ощущает недостатка финансов. До сих пор он нормально снабжался правительством США с целью «продвижения демократии в тоталитарных странах». Государственное финансирование составляет обычно 80-90% годового бюджета Tor. Другие спонсоры — Reddit, Radio Free Asia, Национальный научный фонд США и прочие, но это мелочи. Основные деньги идут всё-таки из бюджета.

Зависимость от госбюджета США не совсем желательна для проекта Tor по разным причинам.
Continue reading

Dell принесла извинения за проблемы с корневым сертификатом и выпустила фикс


Фото: Leyram Odacrem

Компания Dell, как сегодня уже сообщалось, выпустила ноутбуки Dell XPS 15 с предустановленным в операционной системе корневым сертификатом, ключ и пароль которого одинаковы во всех ноутбуках этой модели. Таким образом, безопасность владельцев ноутбуков оказалось под угрозой. Корпорация Dell быстро признала проблему, а также выпустила программный инструмент, который решает этот вопрос.

Изначально сертификат eDellRoot предназначался для облегчения работы с системой для ее владельца. Но на самом деле, совпадение логинов и паролей чревато возможностью осуществления MitM-атаки с перехватом и произвольным изменением зашифрованных данных.
Continue reading

Дурной пример заразителен: Dell выпускает компьютеры с уязвимостью, подобной Superfish

На ноутбуках Dell XPS 15 обнаружен предустановленный в операционной системе корневой сертификат, ключ и пароль которого совпадают для всех ноутбуков этой модели. В перспективе это означает, что безопасность пользователей таких ноутбуков находится под серьёзной угрозой. Причина присутствия этого сертификата в системе пока неясна.

Один из пользователей сайта reddit, исследуя дальние закоулки своего ноутбука марки Dell, случайно обнаружил установленный сертификат eDellRoot. Сравнив сертификаты с другим специалистом по безопасности, пользователь пришёл к выводу, что все ноутбуки поставляются с абсолютно идентичными сертификатами, приватными ключами и паролями (пароль сертификата – «dell»).


Continue reading

Исполнители парижских терактов общались по SMS без шифрования

Полиция Франции нашла телефон, принадлежавший одному из террористов, в мусорном баке недалеко от концертного зала Bataclan. Кроме подробной карты КЗ в телефоне были найдены обычные SMS-сообщения, при помощи которых преступники общались друг с другом. Одно из них гласило "мы стартуем". Это входит в разрез с обвинениями, согласно которым террористы использовали в своей деятельности сложные системы для зашифрованного общения.

После терактов в Париже западные СМИ в один голос обвиняли Сноудена, WikiLeaks и других людей и организации, пропагандирующие борьбу с правительственной слежкой. По логике обвинителей, распространение информации о массовом прослушивании коммуникаций и о средствах защиты от прослушки сделало террористов технически подкованными. Якобы в результате этого они смогли избежать слежки спецслужб.

Газета The New York Times опубликовала целую обвинительную статью, в которой делилась мнением неназванных официальных лиц из Европейского правительства. Эти лица утверждали, что террористы использовали некие (к тому моменту точно неизвестно, какие именно) средства для шифрованного общения. Но по какой-то причине статья довольно быстро исчезла с сайта газеты и теперь доступна только в интернет-архиве.
Continue reading

Государство выявит одарённых детей, будет отслеживать и поможет в трудоустройстве

Российские власти намерены серьёзно бороться с утечкой мозгов, а также развивать научно-технический потенциал страны. Особое внимание получат одарённые дети, чьи способности надо использовать наиболее эффективным образом. Государство поможет таким детям трудоустроиться по окончании учёбы.

17 ноября 2015 года правительство приняло постановление № 1239 об утверждении Правил выявления детей, проявивших выдающиеся способности, сопровождения и мониторинга их дальнейшего развития (pdf).
Continue reading