Epic fail of the month: rsync как «вектор» на утянуть данные

[MaksV]

Т.е. бэкапы были в открытом доступе без пароля, и все могли их скачать? Дальше можно не продолжать.

[sebres]

не бэкапы, а по видимому сам сервис, что бэкапит…

[sebres]

… и да, rsync умеет в обе стороны (что не факт что здесь так можно было, но «writable» как бы намекает, да и судя по степени халатности/криворукости вполне себе могло иметь место).

[Areso]

Как-то случайно забрел на открытую FTP шару одной маленькой нефтяной компании, которая вела очень непубличную жизнь. Там было все — от документов до ключей и дистрибов софта.

[MACman_84]

157GB добра. Фи. У нас пакет Яровой начал действовать. То ли ещё будет.

[sebres]

Каким простите образом эти две поправки в Федеральный закон негативно влияют на IT-безопасность, и в частности имеют отношение к «дырке» в следствии «работы» человеческого фактора?
Поясните вашу логику… Если вы про «хранение интернет-трафика», то сам трафик (читай данные) провайдерами не хранится (только мета-данные так сказать, кто — где — когда — через какой сервис и т.д.)

[Dvlbug]

Про логику речи не буду вести, но по закону Яровой, провайдеры обязаны хранить, всё что прошло через них.
Но, хранить и перехватывать трафик пока нечем, т.к. комплексы, сертифицированные ФСБ (а значит и дороже на пару порядков) отсутствуют.

[sebres]

Вот не надо слухи только на хабре разводить (читайте закон внимательно).

провайдеры обязаны хранить, всё что прошло через них.

глупость, я вам уже писал что обязаны хранить провайдеры;

хранить и перехватывать трафик пока нечем, т.к. комплексы, сертифицированные ФСБ отсутствуют.

• про хранить см. выше; ну а следующее (отложенное в дальний угол с кучей поправок как минимум до 2023 года) подразумевает:
  Согласно проекту приказа Минкомсвязи, интернет-компании и сервисы (не провайдеры) должны хранить и предоставлять спецслужбам: псевдоним, дату рождения, адрес, фамилию, имя, отчество, паспортные данные, языки, которыми владеет пользователь, список его родственников, текст сообщений, аудио- и видеозаписи, адрес электронной почты, дату и время авторизации и выхода из информационного сервиса, наименование программы-клиента;
• "перехватывать трафик" — это нонсенс, где вы то взяли вообще?!
• обязательная сертификация средств кодирования (шифрования) требуется только при передаче сведений, составляющих государственную тайну, поэтому сертификации систем мгновенного обмена сообщениями (месенджеров), таких как Telegram, WhatsApp и прочих при передаче сведений не составляющих гос-тайну, не требуется.

Смотрю в книгу, вижу ...

[Dvlbug]

Я сужу по этому постановлению publication.pravo.gov.ru/Document/View/0001201806280001
А то что, мы обязаны записывать весь трафик перехватом не является? И как провайдер может определить, что является секретной информацией? Читать каждый документ?

[sebres]

1. как вы пришли от «организаторов распространения» информации (сообщений и т.д.) к «провайдерам» (почему у вас это они, а не собственно сервисы)?
2. то что провайдер чисто физически не в состоянии расшифровать трафик (например по запросу прокуратуры) того же Телеграм или Ватсап и др., вам вероятно тоже не понятно?
3. если вы про пункт 3 постановления… вы правда думаете что главные актеры из соц-сетей, месенджеров и т.д. не хранят сообщения? (и думается мне что реально дольше чем 6 месяцев).

[Dvlbug]

Я сотрудник небольшого провайдера и нашим юристам ясно сказали, что этот закон и к нам относится

[sebres]

закон и к нам относится

Ну дак наверно и вероятно даже (в случае звонков, смс, данных на юзверя какой IP в какое время за ним закреплен и т.д.)… И это кстати например в тех же Европах (например в Германии) уже несколько лет с гаком так (только больше не от террористов, а в защиту интелектуальной собственности, чтоб значит торрентами не пользовались и всякий контент "нелегальный" не раздавали).

Вы же мне выше про "провайдеры обязаны хранить, всё что прошло через них." расказывали… и про "хранить и перехватывать трафик пока нечем"!

Согласитесь это не одно и тоже что "закон и к провайдерам относится"?

[Dvlbug]

Это придирка к словам. Тем более я не лингвист и русский не считается моим родным языком. Перехват, это разве не захват всего трафика пользователя?
endic.ru/ozhegov/Perehvatit-22859.html

[Dvlbug]

Прошу прощения, не сразу осознал, про что вы речь ведете. По закону Яровой, мы как провайдер, должны хранить в пока течение месяца «текстовую, аудио, видео, и прочую информацию».
В этом моменте «прочая» и кроется проблема. Это, конечно, утрированно но так и обстоит.
www.vedomosti.ru/technology/articles/2018/06/28/774110-pravitelstvo-yarovoi

[roscomtheend]

Если бы это было 157GB шифрованных длинным ключём архивов, то сравнение было бы понятно, а так, видимо, вы просто не в курсе вместе с Dvlbug.

[a35012a]

Спасибо за статью, познавательно.
Однако есть определённые сомнения, что на серверах компаний лежали секретные данные с грифами. Думаю, вы имели в виду конфиденциальные? В противном случае, резонанс был бы совершенно другим.

[sebres]

ну грифы бывают разные, но спасибо, добавлю кавычки…