Расширения для браузеров — основной канал утечки конфиденциальной информации

Из крупнейшей в мире социальной сети произошла очередная утечка данных. На этот раз утекла не только базовая информация о пользователях, но и самое «секретное» на Facebook — личные сообщения как минимум 81 000 пользователей, преимущественно из России и Украины. Архив выставлен на продажу, а доказательства опубликовала Русская служба BBC.

По мнению специалистов, приватная информация получена с помощью вредоносных расширений браузера. Но злоумышленники утверждают, что у них есть личные сообщения 120 млн человек, в том числе 2,7 млн россиян. Это небольшая доля от 2 млрд активных пользователей Facebook.

Специалистам известно, что однофакторная аутентификация по паролю устарела. Да, она подходит для малозначимых систем вроде Хабра, но действительно ценные активы неприемлемо защищать подобным образом. Не бывает «надёжных» и «стойких» паролей, даже криптостойкая парольная фраза на 44 бита энтропии малополезна, если не подкрепляется другими факторами аутентификации.

Факторы аутентификации:

1. «То, что ты знаешь» (Something You Know) — например, пароль
2. «То, что ты имеешь» (Something You Have) — например, мобильный телефон или PKI-токен
3. «То, чем ты являешься» (Something You Are) — например, клавиатурный почерк или другие биометрические признаки

С 1 июля 2016 года в странах Евросоюза начал работать регламент eIDAS (electronic IDentification, Authentication and trust Services) об электронной идентификации и доверенных услугах. Он выступил в силу после принятия Положения (EU) N°910/2014 и отмены Директивы об электронных подписях (eSignature Directive) от 1999 года. Регламент устанавливает общий стандарт для электронных подписей, электронных печатей, меток времени, услуг eDelivery и сертификатов аутентификации веб-сайтов.

Обязательное взаимное признание электронных идентификаторов странами Евросоюза действует с 29 сентября 2018 года.

В августе 2018 года IETF утвердил стандарт TLS 1.3

TLS 1.0 и TLS 1.1 скоро фактически прекратят своё существование. Уже сейчас телеметрия Firefox показывает, что эти протоколы составляют ничтожную долю HTTPS-трафика: 1,11% и 0,09%, соответственно. Подавляющее большинство сайтов сейчас используют TLS 1.2. А в 2019−2020 годы все ведущие браузеры намерены полностью отказаться от поддержки TLS 1.0 и TLS 1.1. На серверной стороне рекомендуется отключить эти протоколы уже сейчас.

Почему отключают TLS 1.0 и 1.1

Стандарту TLS 1.0 в январе будущего года исполняется 20 лет. Он выполнил свою роль: за эти годы протокол зашифровал миллиарды, если не триллионы соединений. Со временем стало лучше понятно, как следует проектировать протоколы шифрования. Выросли требования к надёжности шифров. К сожалению, TLS 1.0 и 1.1 не соответствуют этим требованиям.

Firefox стал первым браузером, который реализовал шифрование TLS Server Name Indication (SNI). Поддержку ESNI внедрили в последнюю версию Firefox Nightly, на которой обкатывают все нововведения перед их добавлением в основную ветку.

О важности этого стандарта месяц назад рассказывал CDN-провайдер Cloudflare. Если вкратце, то благодаря ESNI шифруется информация о том, к какому домену вы отправляете запрос. В стандартном HTTPS заголовки с именами доменов не шифруются и доступны для просмотра провайдеру или другому «человеку посередине». Теперь он видит только IP-адрес. Поскольку в современном интернете на одном IP-адресе могут располагаться сотни доменов, то ESNI эффективно скрывает информацию, на какой домен заходит пользователь.

Таким образом, блокировки по именам перестают работать, а цензура в интернете сильно усложнится. Цензорам придётся блокировать IP-адреса, а это сомнительная практика. Такая блокировка может затронуть непричастные сайты, а блокируемый сервис легко (автоматически) переключается на другой IP-адрес.

В марте 2016 года Роберт Дж. Лемке-Оливер и Каннан Соундарараджан из Стэнфордского университета открыли новый шаблон в распределении простых чисел. Оказалось, что простые числа специфически распределяются по числовому пространству. Подробнее см. перевод статьи «Структура и случайность простых чисел» на Хабре.

К изучению темы подключились специалисты из других областей, в том числе химии. И успешно. Профессор теоретической химии Сальваторе Торкуато вместе с теоретиком чисел Мэтью де Курси-Айрлэнд нашли новые шаблоны в распределении простых чисел, о которых раньше не было известно. Оказалось, что распределение простых чисел образует фракталоподобную дифракционную картину, чем-то похожую на картину дифракции у экзотических квазикристаллов.

Сверхскоростная камера T-CUP

Учёные из Национального научно-исследовательского института (Канада) и Калифорнийского технологического института разработали самую скоростную в мире видеокамеру T-CUP, которая снимает со скоростью 10¹³, то есть 10 триллионов кадров в секунду. Этот прибор позволяет буквально заморозить время, то есть визуализировать явления (и даже свет) в очень медленном темпе.

Недавно Google объявил о прекращении доверия всем SSL-сертификатам, выданным до 1 декабря 2017 г. удостоверяющими центрами Symantec, Thawte, GeoTrust и RapidSSL. Изменения вступят в силу 16 октября этого года с выходом нового юбилейного браузера Google Chrome 70.

На Хабре подробно рассказывали про уязвимость CVE-2018-14847, которой подвержены около 370 тыс. маршрутизаторов MikroTik по всему миру (в том числе 40 тыс. в России). Если вкратце, уязвимость в MikroTik RouterOS позволяет без особой авторизации прочитать удалённо любой файл с роутера, включая плохо защищённые пароли доступа.

Хотя патч выпустили очень оперативно в апреле, многие владельцы маршрутизаторов не следят за обновлениями. В результате их устройства остаются уязвимыми и входят в IoT-ботнеты, которыми пользуются злоумышленники. За последние несколько месяцев зарегистрировано несколько случаев, когда через уязвимые маршрутизаторы MikroTik устанавливали скрипты Coinhive для майнинга в браузере и настраивали редирект DNS на вредоносные сайты. Ситуация усугубилась 5 октября, когда вышел новый эксплоит By The Way для CVE-2018-14847.

Но не все хакеры готовы пользоваться беспечностью пользователей и зарабатывать на этом. Некоторые пытаются помочь. На днях популярное западное издание ZDNet рассказало о «таинственном русскоязычном хакере», который «взламывает маршрутизаторы и без разрешения пользователей патчит их». На самом деле речь идёт о хабраюзере LMonoceros, которого теперь можно считать знаменитостью.

Сэр Тим Бернерс-Ли на Campus Party 2008, фото Jonan Basterra

Сэр Тим Бернерс-Ли, создатель Всемирной паутины и директор консорциума W3C, уверен, что развитие веба достигло критической точки, максимально отклонилось от изначальной концепции. Изначально он задумывался как децентрализованная сеть, где первый браузер одновременно был и редактором документов. Идея состояла в том, что каждый пользователь не только сможет просматривать документы, но и создавать, редактировать их. Веб должен был стать местом совместного творчества и сотрудничества для всего человечества. Но что-то пошло не так.

Есть примеры удачной реализации совместного творчества, как Википедия, децентрализованный хостинг сайтов и пиринговые социальные сети. Это предвестники того, каким может стать веб на основе новой технологии Solid, которую разработал Тим Бернерс-Ли совместно с группой исследователей из Массачусетского технологического института. Это венец десятилетий концептуальной работы, которой занимался Бернерс-Ли.

Американские правоохранительные органы и спецслужбы давно перехватывают голосовые звонки по обычным телефонным линиям. Но с интернет-мессенджерами возникают проблемы, потому что они не подпадают под обычный закон о прослушке. Поскольку большинство IM-сервисов принадлежит американским компаниям, те вынуждены выполнять требования законодательства США, а если требование спецслужб или суда нижней инстанции не соответствует законам — вопрос рассматривается в суде.

Как сейчас стало известно Reuters, важный прецедент произошёл в августе этого года, когда на закрытом судебном слушании члены совместной федеральной и государственной оперативной группы пытались засудить компанию Facebook. Текстовые чаты членов преступной банды MS-13 в программе Messenger успешно перехватили, но минимум три голосовых разговора не дались оперативникам. Ранее компания отказалась выполнить постановление суда о прослушке телефонных разговоров, и теперь в связи с этим было разбирательство. Суд стал на сторону Facebook.

Это решение является важным прецедентом, пишет Reuters, потому что показывает попытки спецслужб США взломать шифрование мессенджеров или добиться содействия разработчиков в прослушке, как в данном случае.

В 2013 году сотрудники Европейской организации по ядерным исследованиям (ЦЕРН) с участием коллег из Гарвардского университета и Массачусетского технологического университета разработали ProtonMail — почтовый сервис с шифрованием. Он находится в Швейцарии. По мнению разработчиков, сервис защищён от действия американских и европейских законов, в первую очередь, от контроля АНБ. Главная цель — обеспечить безопасность и уважение к частной жизни пользователей. В каком-то смысле ProtonMail стал ответом на закрытие криптопочты Lavabit после атаки американских спецслужб на её создателя Ладара Левисона. Швейцарская компания Proton Technologies AG не попадает под действие американских законов, что сводит к минимуму вероятность подобного сценария.

В сентябре 2018 года ProtonMail достиг значительного рубежа: 5 миллионов зарегистрированных пользователей. «Мы хотим, чтобы вы смогли полностью дегуглифицировать свою жизнь, — сказал сооснователь и исполнительный директор компании Энди Йен в интервью изданию Inverse. — ProtonMail даёт все [необходимые] функции, а также безопасность и конфиденциальность, которые Google не может предоставить. Это наше долгосрочное видение». Кроме почты, в будущем появится шифрование документов, электронных таблиц и всего остального.

Скриншот thurrott.com

В инсайдерской сборке Windows 10 v.1809 появилась новая функция. При попытке пользователя установить Firefox или Chrome система теперь показывает сообщение, что на компьютере уже есть Microsoft Edge — и предлагает запустить этот «более быстрый и безопасный браузер».

ОС перехватывает установку альтернативного софта, который не одобряется к установке, и пытается отговорить пользователя от нежелательных действий.

Chrome DevTools в 2018 году

К десятилетию Chrome компания Google выпустила масштабное обновление — Chrome 69 с обновлённым интерфейсом, новым менеджером-генератором случайных паролей, ответами в «омнибоксе» без захода на поисковый сайт, поиском вкладок (если у вас открыто много вкладок и вы хотите найти нужную) и другими изменениями. К сожалению, новая версия не стала таким праздником, на какой рассчитывали создатели.

Несколько дней назад активисты движения за свободное аппаратное обеспечение выпустили вторую версию крошечного Linux-компьютера VoCore2 размером 25,6×25,6×3,0 мм, то есть с крупную монету (почти вписались по площади в квадратный дюйм). В спичечный коробок поместится примерно восемь таких компьютеров.

Это потомок того самого VoCore, на который собирали деньги через Indiegogo. Всё-таки собрали, и проект живёт. Это абсолютно открытый компьютер, который кто угодно может собрать из указанных комплектующих (или купить плату в сборе за $17,99). Компьютер работает на прошивке OpenWrt/LEDE, то есть идеально подходит на роль портативного маршрутизатора.

Не все ясно представляют, как их отслеживают в интернете. Кто-то знает про куки и прозрачные пиксели, но забывает о фингерпринтинге через теги HTML5 и других методах. Маркетинговые фирмы изобретают новые способы отслеживать пользователей, а мы и сами зачастую помогаем в этом, заходя в свои аккаунты Google и Facebook. После такого отслеживание на других сайтах становится тривиальной задачей через кнопки Like и скрипты партнёрских рекламных сетей.

К сожалению, блокировщики рекламы и скриптов установлены не на каждом компьютере, а эти скрипты не только угрожают безопасности, но ещё и замедляют загрузку страниц. Учитывая эти факторы, разработчики Firefox объявили о серьёзном решении: в ближайшее время Firefox начнёт блокировать по умолчанию онлайновые трекеры со сторонних сайтов.

Судя по всему, внедрение этих функций является частью продолжающегося слияния браузеров Firefox и Tor.

Простой скрипт изменяет поведение кнопки Back в браузере и подменяет исходную поисковую выдачу, направляя пользователей на контролируемые хакером копии сайтов конкурентов

Распространённый паттерн: открыть страницу поиска в Google и щёлкать по разным результатам в поисках нужной информации. Можно открыть десятки отдельных вкладок или ходить на каждый сайт по очереди, возвращаясь затем на поисковую выдачу (кнопка Back в браузере). Специалист по поисковой оптимизации Дэн Петрович из австралийской компании Dejan Marketing придумал, как эксплуатировать этот паттерн с выгодой для себя и получить обширную статистику посещений сайтов конкурентов, лишив их трафика.

Схема показана на иллюстрации вверху. Перехватывая трафик конкурентов, специалист получает возможность:

• генерировать теплокарты чужих сайтов (клики, переходы, глубина прокрутки)
• записывать реальные сессии (движения мыши, нажатия клавиатуры)
• получать весь текст из заполненных форм, в том числе форм для заказа товаров

23 июля Илон Маск, директор компании Tesla Motors, которая выпускает известные электромобили, поделился планами: «Мы собираемся полностью избавиться от контрактов, — написал он в твиттере. — Должна быть просто кнопка „Нажмите здесь — и получите свою машину”. А затем, если она вам по каким-то причинам не понравится, то вы просто возвращаете её, как любой другой товар».


Маск написал это в ответ автовладельцу JD Mankovsky: тот пожаловался что его невестка пришла покупать Tesla X — и очень долго ожидала, пока в салоне закончат оформление всех бумаг, Вероятно, там возникли какие-то непредвиденные проблемы. Девушка пришла в салон в 14:00, но смогла уехать на своём автомобиле только в 21:00.

Инновационный автомобиль, который получает апгрейды через интернет, технологии будущего — но людей заставляют ставить физическую подпись на бумаге, как в средние века.

Недавно компания Google представила новый дизайн Gmail. При желании каждый пользователь может перейти на него, а скоро всех пользователей G Suite переведут принудительно.

В этом дизайне реализовано несколько новых функций безопасности, в том числе так называемый конфиденциальный режим. Здесь отправитель устанавливает срок действия письма, после которого оно «исчезает». По крайней мере, так должно работать. На самом деле есть несколько способов обойти эту защиту, сохранить полученное сообщение, скопировать или распечатать.

Работа над новой версией протокола TLS 1.3 практически завершена. После четырёх лет обсуждения в марте 2018 года комитет IETF утвердил 28-ю версию черновика в качестве предложенного стандарта, так что она должна стать последней перед принятием окончательных спецификаций.

TLS 1.3 примерно вдвое ускоряет процесс установления безопасного соединения за счёт объединения нескольких шагов на этом этапе. Кроме того, в нём реализован режим совершенной прямой секретности через эфемерные ключи (EC)DH. Этот режим гарантирует защиту сессионных ключей даже в случае компрометации ключей долговременного пользования.