EXPOCOD 26 сен 2017 в 15:56

Сага о Гольфстриме и уровне ИБ в крупной охранной фирме

10 мин

39K

Информационная безопасность*

Из песочницы

+121

Комментарии 50

Ugrum 26 сен 2017 в 16:08

Неделя скандалов, интриг и расследований продолжается.
Попкорн. Срочно. Ведро.
Одно не понятно, причём здесь гопота?

EXPOCOD 26 сен 2017 в 16:53

Гопники в данном случае это стиль общения СБ Гольфстрима в лице Суровцева П.А.

vilgeforce 26 сен 2017 в 17:12

А что ж о нем в статье ничего?

panvartan 26 сен 2017 в 16:18

не люблю слово «зашквар», но здесь, похоже, он самый

+12

Timon_Timonich 26 сен 2017 в 17:29

Аккурат вчера пришла смс от Гольфстрима с предупреждением об обновлении мобильного приложения. Совпадение?

POS_troi 26 сен 2017 в 18:01

Ну решили втихую попатчить, а может даже полученную информацию приписать на свой счёт и премию поиметь.
В любом случае джин уже выбрался из бутылки.
Будет весело если сейчас найдутся клиенты, которых ограбили и в тот момент сигнализацию почему-то не работала.

fenst 26 сен 2017 в 18:24

Более того, клиент и не докажет, что сигнализацию перед выходом из дома он активировал, а деактивирована она была удаленно. Не будет же Гольфстрим говорить «да вас ограбили из-за косяка в нашем ПО».

kalininmr 27 сен 2017 в 08:28

способы доказывания что не сам деактивировал тоже туманны.

Nokta_strigo 26 сен 2017 в 22:32

Ну даже если они обновят мобильное приложение, то что бы защититься от такой атаки им надо будет отказаться от совместимости со старыми версиями.
Да и вряд ли в новой версии не будет существенных уязвимостей, т.к. судя по описанному в статье на этапе проектирования там о безопасности вообще не думали.

NTG24 27 сен 2017 в 11:17

Так и есть, в новом приложении нужно абсолютно заново вносить все свои данные.
В новое приложение даже учетные данные не переносятся…

EXPOCOD 27 сен 2017 в 10:37

Верно

Lorien_Elf 27 сен 2017 в 00:05

Господи, какая помойка. Клиент привлекает внимание сомнительных личностей самим фактом установки охранного оборудования (значит, есть что прятать!), а на сдачу получает ложное чувство безопасности. Киберпанк, который мы заслужили :-(

furtaev 27 сен 2017 в 04:52

Тяжело читать такие посты, в которых прямо из каждого предложения сочится глубокая обида на компанию, не желающую сотрудничать с White Hat-ом. Не принимайте Вы это так близко к сердцу! Не захотел г-н Письман заплатить Вам пару шекелей — не беда, не он первый и не Вы — последний, продолжайте работать.

EXPOCOD 27 сен 2017 в 08:18

Понимаем Ваши мысли, но в данном случае речь совсем не шла о деньгах, тем более что в силу особенности мировоззрения должностных лица компании, общавшихся с нами, даже в теории не могли предложить что-то что могло бы заинтересовать. Поэтому данная публикация является исключительно информационной.

Tufed 2 окт 2017 в 18:06

Поддерживаю. Обнародовать о наличии уязвимости и нежелании её закрывать — необходимо! А стоит информация об уязвимости денег или нет — меж собой решат, это уже не наше дело.

Temmokan 27 сен 2017 в 05:47

Интересно, будет ли реакция от «Гольфстрима» в этом конкретном блоге.

Сдаётся мне, самое большее — заменят один косяк в безопасности на другой и с помпой оповестят пользователей о «повышении уровня безопасности». Ведь сайт — сплошной маркетинговый слоган «какие мы крутые и надёжные».

EXPOCOD 27 сен 2017 в 10:34

P.S.S. 27 сентября 2017 года, утро. Рады что удалось донести до руководства компании данную проблему, существующую около 2-х лет (время выхода мобильного приложения). На данный момент сервера компании отключены — логичный ход мысли, нет сервера — нет уязвимости (по крайней мере этой..).

evilruff 27 сен 2017 в 16:02

фиг знает по поводу «отключены»… у меня на телефоне вроде их приложение работает и с утра нотификация пришла о снятии… даже если и отключали утром, то приложение точно не обновлялось… по крайней мере после обновления пару-тройку дней назад…

ameli_anna_kate 27 сен 2017 в 10:56

Я как-то думала подключить квартиру на охрану этого агентства, почитала отзывы бывших сотрудников и расхотелось. Так что там и с кадрами не все гладко.

Landgraph 27 сен 2017 в 11:25

Кмк автор показал только вершину айсберга: ведь не учредители же писали софт…
Как надоело уже слышать всюду «техническая ошибка», а ведь за ней обязательно кто-то стоит (исключения есть, на уровне погрешности, форс-мажор называется).
Давайте говорить честно: кто-то из наших с вами коллег (администраторов, программистов, архитекторов и тп) накосячил.
Или проще сказать «мне менеджер запретил создать хорошую систему»? Вместо того, чтобы отстоять позицию, доступно обрисовать все риски, в конце концов отказаться делать заведомо плохо! Неужели нет элементарной профессиональной гордости?
Да в конце концов: не можешь — не берись! Это же косяки уровня времен становления интернета и include $_GET[’show’]!

-1

Loki3000 27 сен 2017 в 11:30

кто-то из наших с вами коллег (администраторов, программистов, архитекторов и тп)

Совсем необязательно. Программистам надо деньги платить, так что лучше найти кого-то, кто будет работать за еду.

Landgraph 27 сен 2017 в 11:44

Давайте не пытаться скрыть проблему жонглированием слов. Кодеры они тоже «из наших» :)
Вам не надоело на каждом углу слушать про плохих программистов? Мне думается, нас уже скоро бить на улицах начнут за «технические проблемы» везде и всюду :)
Кстати, это проблема не только нашей отрасли, а многих: всегда найдутся те, кто готов делать «как получится», «за еду». :(

Loki3000 27 сен 2017 в 11:52

Написание какого-то кода еще не делает человека программистом. А то сейчас каждый владелец фотоаппарата — фотограф, а каждый владелец аккаунта в соцсети — журналист. Я вот могу гвоздь в стену забить (да-да, прямо в штукатурку) — могу ли я, на этом основании, называть себя строителем?

Landgraph 27 сен 2017 в 12:18

Ок, как тогда в Вашей терминологии называются те, кто её реализовал и сопровождал? :)
Или те, кто пишут за деньги плохой код не бросают тень на тех, кто пишет хороший и с Вашей точки зрения достоин называться программистом?

Loki3000 27 сен 2017 в 12:26

Ок, как тогда в Вашей терминологии называются те, кто её реализовал и сопровождал? :)

Не знаю… может врачи? Они много и неразборчиво пишут:)

xmetropol 27 сен 2017 в 14:53

Мне в такие моменты вспоминается спор (коих уже было много на хабре), а нужно ли программисту знать основы алгоритмов, структур данных и т.п. Вот можно добавить ещё, а нужно ли знание основ ИБ для создания охранной системы? Исходя из данной статьи, ответ следующий — нет, не нужно. Систему ведь сделали, она работает. С телефона сигнализацию можно включить/выключить, удобно же)))

vadimr 27 сен 2017 в 14:00

И правильно делают. В любой области есть те, кто готов работать дёшево и плохо, и те, кто — дорого и хорошо (а также два остальных варианта). Важно не путать их между собой. Если владельцы охранного бизнеса экономят на квалифицированных специалистах по защите информации, то кто ж им доктор? Имеют право. Важно пользователям не вестись на всё это.

Но человек, который без малейшей задней мысли носит с собой кредитку, способную раздавать его деньги по радиозапросу желающих, уж точно не будет париться с проверкой шифрования трафика охранной системы. Тут только на естественный отбор надежда.

iig 27 сен 2017 в 12:31

Охранники — либо бывшие ~~менты~~ силовики, либо бывшие уголовники. Либо не бывшие. Отсюда и стиль общения с авторами статьи, и стремление улучшать свой продукт (зачем? деньги с клиентов и так капают, конкуренты на этот рынок так просто не зайдут..).

Mabusius 27 сен 2017 в 14:54

Скорее всего было приказано «делай пока так. а потом переделаем как надо». Потом так и не наступило. Не знаю как в мире, но в этой стране почти все так работает.

saboteur_kiev 23 окт 2017 в 15:27

Как программист может накосячить в том, что ответственные контактные лица (секретари, менеджеры, директора), целых два месяца отказываются воспринимать информацию со стороны стороннего эксперта, что у них есть уязвимость?
Ни админ ни программист ни архитектор не программировал их ДНК. Описанная в статье проблема — исключительно организационная, причем на самом высоком уровне — нанять бестолкового чванливого менеджера, который нанял бестолковых чванливых сотрудников и так пошло-поехало. Отсюда в конечном счете и работает все по http.

amarao 27 сен 2017 в 14:16

Очень плохо написаннная статья.

1. Возмущение в статье про уязвимость — отвлечение внимания. Если уязвимость серьёзная, найдутся те, кто возмутятся за вас, и куда более художественно. Нейтральный тон.
2. В технической статье не нужны все эти егурлы и прочие ЧП. Уязвимость в софте, а не в реестре юрлиц.
3. Статья должна начинаться с короткого введения: «критическая уязвимость, позволяющая… » (одно предложение) и информации о формате disclosure (coordinated disclosure или в связи с отсутствием реакции в течение N времени).
4. Технические факты должны быть вначале (после вступления).
5. История раскрытия — потом.
6. В конце — выводы. Кто уязвим и что делать.

При том, что вы пишите про совершенно вопиющую халтуру, и исследование очень важное, читать его совершенно не хочется из-за формата.

+11

alexglue 27 сен 2017 в 15:09

Но вы, тем не менее, прочитали, несмотря на формат )

amarao 27 сен 2017 в 15:24

Пролистал до описания уязвимости, и был крайне недоволен, что столько воды в начале.

TimsTims 28 сен 2017 в 00:56

Соглашусь. Эта желтушная хрень в начале вообще лишняя.
Одна картинка учредителя, с выделенной фамилией (видимо, автору она показалась забавной, иначе он бы выделил всё имя с фамилией).
Стиль написания тоже похож на желто-газетный стиль: кого-то обосрать, кого-то опустить, о чем-то сболтнуть, и вокруг побольше мути «смотрите, кто защищает объекты»

Беглый поиск по базе сведений о государственной регистрации юридических лиц даёт следующее:

А не беглый поиск даёт

еще больше компаний гольфстрим

dadata.ru/suggestions/#party

, плюс у таких крупных компаний бывают еще куча мелких связанных компаний под другими названиями, но вы их даже и не искали, и от того ценность информации ЕГРЮЛ невелика.

oleksii_nykytenko 27 сен 2017 в 16:05

Тема отличная, жизненно-техническая, также подходит для газеты «Скандалы, интриги, расследования» :)

fryday 27 сен 2017 в 18:25

Мы не располагаем информацией каким именно образом исследователю безопасности, который связался с нами и передал данную инфомацию, удалось установить точную функцию, но по его словам этой функцией оказался… обычный XOR!

Постойте, но установить же функцию в данном случае тривиально!

Temmokan 27 сен 2017 в 18:36

> Рады что удалось донести до руководства компании данную проблему, существующую около 2-х лет

Так они что, ответили каким-то образом? Или выключенные сервера наводят на такую мысль?

evilruff 27 сен 2017 в 18:45

Уже выше писал… особо выключенными их не видел. Даже полюбопытствовал что в новой версии в виде токена… поменяли на какой то base64 по внешнему виду… на xor от userid содержимое после декода не особо похоже… пиннига сертификата нет… старый клиент на телефоне у супруги превратился в кирпич..

EXPOCOD 27 сен 2017 в 20:21

По крайней мере сегодня в 10 утра сервер авторизации отдавал ошибку 403.

Temmokan 28 сен 2017 в 01:30

Понятно. Товарищи, возможно, направились путём наименьшего сопротивления — мы тут поменяем по-быстрому один костыль на другой…

Интересно было бы увидеть аналогичный анализ их нового протокола.

evilruff 28 сен 2017 в 11:04

Ну чисто внешне там все выглядит как и было, сегодня еще раз посмотрел… кроме того что token теперь длинный… все остальное один в один… токен статичный, то есть вчерашний отлично работает… я просто не увидел в статье как он раньше выглядел и от чего там XOR, на самом деле, правды ради, там и раньше при регистрации с телефона приходила СМС на номер владельца договора, содержимое которой предлагалось вводить при регистрации приложения на телефоне. Странно, что они собственно этот номер из СМС не замешали в токен…

Vovanys 27 сен 2017 в 20:35

Гольф обновил приложение, можете заново повторить манипуляции? Интересно что они сделали для улучшения «защиты»… И стоит ли на нем оставаться…
В веб версии кстати нету никаких кнопок типа снятия и поставки на охрану. Ее бы тоже проверить, а то может и там есть права на просмотр чего не нужно…

evilruff 28 сен 2017 в 11:15

ну на самом деле, по крайней мере в СПб, в этом сегменте цен, с учетом того что все оборудование которое они ставят — Honeywell и по какой цене то альтернатив им нет… плюс они достаточно гибко умеют договариваться с группами реагирования, то есть по сути они просто ставят оборудование и заводят к себе на пульт, а договор на приезд может быть в принципе с кем угодно кто ближе-удобнее-хочет клиент итд…

судя по тому что видел когда мне все это устанавливали идет какой то внутрикорпоративный процесс внедрения чего то нового, чем даже их монтажники не до конца еще умеют пользоваться…

это все безусловно не оправдывает косяк, но в реалиях я не удивлюсь что всем этим чудом ИТ-строения заведует отдел из 3-4 человек, формата «сам себе режиссер», что вообщем далеко не единичный случай для такого рода «непрофильных» компаний…

Louie 28 сен 2017 в 08:55

Аудит дотошный. Так и надо
Насчет воды и излишней экспрессии, о которой говорят камрады — тоже верно. Мне бы к этой статье приглянулся заголовок типа: «Шок. Письман показал всё (фото)» или «Интернет шокирован обнаженным кодом Гольфстрим (видео)».