Информационная безопасность *

Издание The Wall Street Journal сообщает о том, что власти США обвинили китайскую технокорпорацию Huawei в возможности получать доступ к сетям своих клиентов-телекоммуникационных компаний. По мнению американских чиновников, это возможно при помощи бэкдоров, которые Huawei оставляет при разработке своего оборудования.

Ошибка программного обеспечения, которое использовали на государственном налоговом портале Дании, сделала доступными персональные идентификационные номера 1,26 млн датских граждан или пятой части населения страны.

Как написали в РБК, произошла очередная утечка персональных данных россиян, на этот раз желающих взять кредит.

В интернете в свободном доступе оказалась база клиентов кредитного брокера «Альфа-кредит», оказывающего помощь в получении займов. Данные десятков тысяч россиян можно использовать для рекламных обзвонов и социальной инженерии

На самом низком уровне взаимодействие между узлами TON производится по протоколу UDP. Узел зашифровывает пакет открытым ключом получателя и добавляет в начало пакета 256-битный адрес получателя. Источник: «TON: Telegram Open Network. Часть 1: Вступление, сетевой уровень, ADNL, DHT, оверлейные сети»

На неофициальном сайте Telegram Open Network опубликована инструкция по настройке прокси для доступа к TON Sites и созданию новых сайтов в сети Telegram Open Network.

В силу особенностей архитектуры пользователей Telegram Open Network значительно сложнее идентифицировать. Эта одноранговая сеть (P2P) защищена встроенным прокси и анонимайзером. По такому же принципу функционируют известные проекты анонимных одноранговых сетей вроде I2P и Tor.

8 февраля 2020 года правительство РФ опубликовало официальные отзывы на законопроекты № 808655-7 (официальный отзыв, PDF) и № 808671-7 (официальный отзыв, PDF) об идентификации пользователей почтовых сервисов, а также о штрафах для почтовиков за неисполнение этих требований. Отзывы опубликованы в соответствующих карточках законопроектов на сайте Госдумы.

Законопроект № 808655-7 предлагает установить общее для мессенджеров и сервисов электронной почты понятие «организатор сервиса обмена сообщениями» (ОСОС), а также общие обязанности. На ОСОС'ов возлагаются обязанности по «идентификации пользователей, обеспечению технической возможности отказа пользователей от получения электронных сообщений от других пользователей, а также ограничению рассылки и передачи сообщений».

8 февраля 2020 года хакеры взломали официальный аккаунт Facebook в Twitter, этот факт подтвердил сервис микроблогов. Со взломанного аккаунта злоумышленники опубликовали несколько повторяющихся сообщений. Через некоторое время специалисты Facebook смогли получить обратно управление над аккаунтом.

Ученые израильского Университета имени Давида Бен-Гуриона реализовали необычный способ организации утечки критических данных с изолированного от сети персонального компьютера, заранее зараженного специальной программой. Данная программа изменяла яркость монитора так, чтобы пользователь ничего не заметил, но была возможность организовать стабильный односторонний низкоскоростной канал передачи данных «ПК-монитор»->«удаленная камера».

Таким образом, исследователи смогли получить и обработать далее скрытую информацию с монитора компьютера через систему видеонаблюдения на IP-камерах, веб-камерах и даже с помощью смартфонов.

_{Источник: Jigsaw}

Компания Jigsaw, технологическое подразделение Google, выпустила инструмент под названием Assembler, который должен помочь в проверке подлинности изображений. Как указано в описании платформы, Assembler объединяет несколько методов обнаружения манипуляций над изображением, включая детектор, который определяет дипфейки, созданные с помощью нейросети StyleGAN.

_{Фото: www.bleepingcomputer.com}

Google в рамках усиления политики безопасности в Chrome полностью перейдет на использование протокола HTTPS при загрузке файлов. В Chrome 86 в октябре этого года загрузку нельзя будет осуществлять по протоколу HTTP. Это будет возможно только во внутренних сетях, которые необходимо будет настроить по специальной инструкции.

Министерство цифрового развития, связи и массовых коммуникаций РФ предложило отодвинуть внедрение технологии виртуальных сим-карт. В минкомсвязи опасаются, что механизм биометрической идентификации абонентов может быть небезопасным.

В январе 2020 года инженер-программист Роберт Хитон подключил свой графический планшет Wacom на новый макбук. В процессе установки нового драйвера для планшета ему было предложено принять политику конфиденциальности Wacom.

«Почему устройству, которое по сути является мышью, нужна политика конфиденциальности?» — такой вопрос задал себе инженер-программист Роберт Хитон. Он при обновлении драйвера графического планшета Wacom на своем Apple Mac заметил текст мелким шрифтом в политике конфиденциальности, принимая который Роберт фактически дал Wacom разрешение на слежку за его действиями, когда он работает с планшетом.

И вот после этого клика Роберт почувствовал себя недовольным таким отношением производителя к пользователям, в нем проснулся инженер-детектив. Роберт Хитон решил выяснить, какие данные собирает графический планшет Wacom и куда он их отсылает.

На одном из специализированных ресурсов появилась база данных клиентов микрофинансовых организаций (МФО). В ней содержатся данные более 1,2 млн клиентов крупнейших МФО России. Впервые эту базу обнаружили в продаже 2 февраля.

Тестовый фрагмент базы сдержит около 800 записей, включая ФИО, номера телефонов, адреса электронной почты, даты рождения и паспортные данные россиян. Большинство людей из тестового фрагмента, с которыми пообщались журналисты РБК, заявили, что являются клиентами компании «Быстроденьги».

5 февраля 2020 года компания Cisco выпустила обновления безопасности для многих своих продуктов, закрывающие недавно найденные пять уязвимостей, получивших общее название CDPwn и «высокий» статус важности. Эти уязвимости специалисты компании Armis обнаружили в текущей реализации проприетарного протокола Cisco Discovery Protocol (CDP) для многих устройств Cisco (роутеры, межсетевые экраны, коммутаторы, VoIP-телефоны и IP-камеры).

Гал Вaйцман, исследователь информационной безопасности, описал технические детали уязвимостей высокой степени (CVE-2019-18426) в WhatsApp. Они позволяли злоумышленникам читать файлы с ПК под управлением Windows и macOS и выполнять произвольный код. Сейчас уязвимости устранены разработчиком.

Бреши обнаружились именно в настольных версиях WhatsApp, а также в веб-версии приложения. Они позволяли хакерам удаленно получать доступ к пользовательским файлам и отправлять специально созданное сообщение, похожее на код, просмотр которого позволял осуществить выполнение произвольного кода в контексте веб-домена WhatsApp.

Исследователи из компании Check Point Research рассказали о найденной ими в конце 2019 года уязвимости в умной системе освещения Philips Hue. Используя эту уязвимость злоумышленники могут получить беспроводной доступ в домашнюю сеть пользователя через управляющее устройство Philips Hue Hub и зараженную умную лампу Philips Hue. Умные устройства Philips используют универсальный протокол передачи данных для умных устройств — ZigBee.

Представитель Check Point Research сообщил, что компания передала информацию о найденной уязвимости CVE-2020-6007 производителю умных устройств. В настоящее время владелец бренда и производитель этих умных устройств компания Signify выпустила исправленную версию прошивки, которую пользователям умных ламп предлагается установить через автоматическое обновление или вручную, скачав обновление самостоятельно.

Сенатор Алексей Русских предложил Госдуме рассмотреть законопроект, который предполагает создание в стране государственной электронной почты. Она будет использоваться для переписки граждан и юрлиц с органами государственной и муниципальной власти. Почта, как отмечается, будет предназначаться для отправки юридически значимых сообщений.

По мнению автора идеи, создание такой почты позволит россиянам быстрее получать от государства необходимые услуги, а также информацию о времени и месте судебных разбирательств с их участием или о факте зафиксированного правонарушения.

Twitter заявил, что обнаружил и исправил проблему, используемую злоумышленниками для сопоставления определенных телефонных номеров с соответствующими учетными записями в соцсети. Компания отметила, что узнала об уязвимости 24 декабря.

Согласно информации издания «Verge», в февраля 2020 года компания Google разослала уведомления некоторым пользователям сервиса Google Фото о том, что их личные видеоролики, размещенные на этом сервисе, оказались доступны другим пользователям. Причем эти видеоролики другие пользователи не только могли посмотреть, они были сохранены в архивах этих пользователей сервисом Google Takeout.

3 февраля 2020 года сервис для совместной работы Microsoft Teams ушёл в офлайн в районе 5:30 ET (16:30 мск). Microsoft Teams позиционируется как конкурент Slack. Тысячи крупных и мелких компаний используют его для коммуникации своих сотрудников. Но в понедельник утром они не смогли подключиться, получая ошибки HTTPS-соединения.

Расследование показало, что причиной падения сервиса стал просроченный сертификат.

Авторы проекта TFC объявили о размещении исходного кода сверхзащищённого мессенджера на GitHub. Это не просто приложение, а программно-аппаратный комплекс: он предполагает использование трех отдельных ПК участниками переписки. Плюс, у каждого участника должен быть специальный аппаратный сплиттер, подключенный к ПК. Все сообщения в новом мессенджере передаются через сеть Tor и шифруются надежными алгоритмами, а аппаратный сплиттер не позволяет добраться до конечных пользовательских устройств и взломать их. В Сети уже окрестили проект «мессенджером для параноиков».