This media is not supported in your browser
VIEW IN TELEGRAM
1👍225❤25
Xo'sh... 27 mln fuqarolarning shaxsiy ma'lumotlari darknetda chiqibdi degan xabar chiqdi. Qanchalik rost yoki yolg’on, buni aniqlash kerak.
Skrinshotga ishonsak bu Personallashtirish Agentligi bazasidan ko'chirma. Misol qilib Raqamli texnologiyalar vazirning shaxsiy ma'lumotlarini ham keltirishibdi. Bo'yab qo'ydim.
Aytilishicha bu bazada: ism familiya, telefon rqam, PINFL raqam, yashash manzili, pasport raqami va fuqaroning biometrik rasmi bor.
Aytganimdek, endi bunday ma'lumotlar chiqaveradi. Shunga tayyor turish kerak. Sun'iy Intellekt hammasini tezlashtiryapti. Shu jumladan hakerlikni ham.
—
Ну что ж… Появилась новость о том, что персональные данные 27 миллионов граждан оказались в даркнете. Насколько достоверно, нужно конечно проверить.
Если верить скриншоту, это выгрузка из базы Агентства персонализации. В качестве примера даже привели персональные данные министра Цифровых технологий. Я их замазал.
Судя по тексту, в этой базе содержатся: имя и фамилия, номер телефона, ПИНФЛ, адрес проживания, номер паспорта и биометрическая фотография гражданина.
Как я и говорил, теперь подобные новости будут появляться регулярно. ИИ ускоряет всё. В том числе и взломы.
К этому нужно быть готовыми.
@trolluz
Skrinshotga ishonsak bu Personallashtirish Agentligi bazasidan ko'chirma. Misol qilib Raqamli texnologiyalar vazirning shaxsiy ma'lumotlarini ham keltirishibdi. Bo'yab qo'ydim.
Aytilishicha bu bazada: ism familiya, telefon rqam, PINFL raqam, yashash manzili, pasport raqami va fuqaroning biometrik rasmi bor.
Aytganimdek, endi bunday ma'lumotlar chiqaveradi. Shunga tayyor turish kerak. Sun'iy Intellekt hammasini tezlashtiryapti. Shu jumladan hakerlikni ham.
—
Ну что ж… Появилась новость о том, что персональные данные 27 миллионов граждан оказались в даркнете. Насколько достоверно, нужно конечно проверить.
Если верить скриншоту, это выгрузка из базы Агентства персонализации. В качестве примера даже привели персональные данные министра Цифровых технологий. Я их замазал.
Судя по тексту, в этой базе содержатся: имя и фамилия, номер телефона, ПИНФЛ, адрес проживания, номер паспорта и биометрическая фотография гражданина.
Как я и говорил, теперь подобные новости будут появляться регулярно. ИИ ускоряет всё. В том числе и взломы.
К этому нужно быть готовыми.
@trolluz
Davlat axborot tizimida zaiflik aniqlagan mutaxassis nima qilishi kerak?
Bir dasturchi menga O‘zbekistondagi kiberxavfsizlik holati haqida jiddiy o‘ylantiradigan voqeani aytib berdi.
Uning so‘zlariga ko‘ra, sentabr oyi oxirida O‘zbekiston vazirliklaridan birining platformasida jiddiy zaiflik aniqlangan.
Muammo shunda ediki, istalgan odam hech qanday avtorizatsiyasiz, cheklov va limitsiz aholi ma’lumotlarini ketma-ket tekshirib, quyidagi ma’lumotlarni olishi mumkin bo‘lgan:
• F.I.Sh. va fuqaroning fotosurati;
• tug‘ilgan sanasi;
• ID-karta, tug‘ilganlik haqidagi guvohnoma yoki xorijga chiqish pasportining seriyasi va raqami;
• JSHSHIR (PINFL);
• ta’lim olayotgan joyi va yo‘nalishi;
• doimiy ro‘yxatdan o‘tgan manzili va kadastr raqami.
Dasturchining aytishicha, baza O‘zbekistonning qariyb 40 million aholisi hamda mamlakatda ro‘yxatdan o‘tgan xorijiy fuqarolarni qamrab olgan.
Zaiflikning CVSS bo‘yicha bahosi 10 balldan 8,6 ballni tashkil etgan. Bu juda yuqori ko‘rsatkich.
Ammo eng qizig‘i muammo aniqlanganidan keyin boshlangan.
Dasturchi vazirlikning koll-markaziga qo‘ng‘iroq qilib, zaiflik haqida xabar bermoqchi bo‘lgan. Xodimning javobi taxminan shunday bo‘lgan:
«Sen o‘zi xakermisan? Ofisga kel, hammasi joyida ekanini ko‘rsataman».
Boshqa rasmiy kanal orqali murojaat qilganidan keyingina mas’ul xodimlarga muammo haqida ma’lum bo‘lgan. Dasturchini vazirlikka taklif qilishgan va u zaiflikni tushuntirib bergan.
Ammo muammoni tezda bartaraf etish o‘rniga, unga quyidagicha javob berishgan:
«Ha, bunday muammo borligini bilamiz. Lekin bu haqiqatan ham muammomi? Keyinroq bir amallab tuzatamiz».
Dasturchining aytishicha, unga vazirlik yaqinda barcha xavfsizlik tekshiruvlaridan muammosiz o‘tgani ham aytilgan.
Besh kun o‘tdi. Zaiflik esa hamon ochiq edi.
Oxir-oqibat, dasturchi Responsible Disclosure — zaiflik haqida mas’uliyatli xabar berish tartibidan foydalanish uchun O‘zbekiston Kiberxavfsizlik markaziga (CSC) murojaat qilishga majbur bo‘lgan.
Bu yerda ham bir qancha muammolar yuzaga kelgan:
• Zaiflik haqida anonim tarzda onlayn xabar berish imkoniyati yo‘q. Telegram, telefon yoki markaz ofisiga shaxsan murojaat qilish kerak.
• Markaz, odatda, aniqlangan zaifliklar uchun mukofot bermaydi. Minnatdorchilik xatini esa alohida so‘rash mumkin.
• Muammo qachon bartaraf etilishi bo‘yicha kafolatlangan muddat yo‘q. Markaz faqat mas’ul tashkilotga rasmiy so‘rov yuborishi mumkin.
Natijada muammo murojaatdan sakkiz kun o‘tib bartaraf etilgan. Uning ustiga, dastlab to‘liq tuzatilmagan.
Hatto dasturchiga:
«Iltimos, o‘zingiz tekshirib ko‘ring. Ular tuzatdik deb yozishibdi, shekilli».
Ya’ni zaiflikni aniqlagan odam uning haqiqatan ham bartaraf etilganini o‘zi tekshirishi kerak.
Yana bir jihat: dasturchiga bunday holatlar haqida ommaga ochiq gapirish mumkin emasligi, chunki tegishli qonunchilik bazasi hali tayyor emasligi aytilgan.
Endi ehtimoliy oqibatlar haqida.
Agar bunday ma’lumotlar internetga sizib chiqqanida yoki jinoyatchilar qo‘liga tushganida, oqibatlari juda jiddiy bo‘lishi mumkin edi.
Dasturchining taxminiga ko‘ra, shaxsiy ma’lumotlardan foydalanib firibgarlik qilish, noqonuniy kreditlar rasmiylashtirish va boshqa huquqbuzarliklar natijasida har bir fuqaro uchun o‘rtacha $50 zarar yetishi mumkin.
40 million kishilik baza miqyosida bu taxminan $2 milliard degani.
Albatta, bu tasdiqlangan zarar miqdori emas, balki ehtimoliy iqtisodiy yo‘qotishlar hisob-kitobi. Ammo muammoning ko‘lami shusiz ham tushunarli.
Va asosiy savol:
Davlat tizimida zaiflik aniqlagan mutaxassis nima uchun bu haqda xabar berishi kerak? Nima uni ushbu zaiflikdan foydalanish yoki ma’lumotni sotishdan qaytarishi kerak?
U vaqt sarfladi, mas’ullar bilan bog‘lanishga urindi, muammoni bir necha marta tushuntirdi, tuzatilishini kutdi. Yakunda esa ko‘pi bilan minnatdorchilik xatini so‘rash imkoniyatiga ega bo‘ldi.
Bunda anonim murojaat qilishning qulay mexanizmi, javob berishning aniq muddatlari, qayta aloqa kafolati va mutaxassis mehnatini e’tirof etish tizimi yo‘q.
Bir dasturchi menga O‘zbekistondagi kiberxavfsizlik holati haqida jiddiy o‘ylantiradigan voqeani aytib berdi.
Uning so‘zlariga ko‘ra, sentabr oyi oxirida O‘zbekiston vazirliklaridan birining platformasida jiddiy zaiflik aniqlangan.
Muammo shunda ediki, istalgan odam hech qanday avtorizatsiyasiz, cheklov va limitsiz aholi ma’lumotlarini ketma-ket tekshirib, quyidagi ma’lumotlarni olishi mumkin bo‘lgan:
• F.I.Sh. va fuqaroning fotosurati;
• tug‘ilgan sanasi;
• ID-karta, tug‘ilganlik haqidagi guvohnoma yoki xorijga chiqish pasportining seriyasi va raqami;
• JSHSHIR (PINFL);
• ta’lim olayotgan joyi va yo‘nalishi;
• doimiy ro‘yxatdan o‘tgan manzili va kadastr raqami.
Dasturchining aytishicha, baza O‘zbekistonning qariyb 40 million aholisi hamda mamlakatda ro‘yxatdan o‘tgan xorijiy fuqarolarni qamrab olgan.
Zaiflikning CVSS bo‘yicha bahosi 10 balldan 8,6 ballni tashkil etgan. Bu juda yuqori ko‘rsatkich.
Ammo eng qizig‘i muammo aniqlanganidan keyin boshlangan.
Dasturchi vazirlikning koll-markaziga qo‘ng‘iroq qilib, zaiflik haqida xabar bermoqchi bo‘lgan. Xodimning javobi taxminan shunday bo‘lgan:
«Sen o‘zi xakermisan? Ofisga kel, hammasi joyida ekanini ko‘rsataman».
Boshqa rasmiy kanal orqali murojaat qilganidan keyingina mas’ul xodimlarga muammo haqida ma’lum bo‘lgan. Dasturchini vazirlikka taklif qilishgan va u zaiflikni tushuntirib bergan.
Ammo muammoni tezda bartaraf etish o‘rniga, unga quyidagicha javob berishgan:
«Ha, bunday muammo borligini bilamiz. Lekin bu haqiqatan ham muammomi? Keyinroq bir amallab tuzatamiz».
Dasturchining aytishicha, unga vazirlik yaqinda barcha xavfsizlik tekshiruvlaridan muammosiz o‘tgani ham aytilgan.
Besh kun o‘tdi. Zaiflik esa hamon ochiq edi.
Oxir-oqibat, dasturchi Responsible Disclosure — zaiflik haqida mas’uliyatli xabar berish tartibidan foydalanish uchun O‘zbekiston Kiberxavfsizlik markaziga (CSC) murojaat qilishga majbur bo‘lgan.
Bu yerda ham bir qancha muammolar yuzaga kelgan:
• Zaiflik haqida anonim tarzda onlayn xabar berish imkoniyati yo‘q. Telegram, telefon yoki markaz ofisiga shaxsan murojaat qilish kerak.
• Markaz, odatda, aniqlangan zaifliklar uchun mukofot bermaydi. Minnatdorchilik xatini esa alohida so‘rash mumkin.
• Muammo qachon bartaraf etilishi bo‘yicha kafolatlangan muddat yo‘q. Markaz faqat mas’ul tashkilotga rasmiy so‘rov yuborishi mumkin.
Natijada muammo murojaatdan sakkiz kun o‘tib bartaraf etilgan. Uning ustiga, dastlab to‘liq tuzatilmagan.
Hatto dasturchiga:
«Iltimos, o‘zingiz tekshirib ko‘ring. Ular tuzatdik deb yozishibdi, shekilli».
Ya’ni zaiflikni aniqlagan odam uning haqiqatan ham bartaraf etilganini o‘zi tekshirishi kerak.
Yana bir jihat: dasturchiga bunday holatlar haqida ommaga ochiq gapirish mumkin emasligi, chunki tegishli qonunchilik bazasi hali tayyor emasligi aytilgan.
Endi ehtimoliy oqibatlar haqida.
Agar bunday ma’lumotlar internetga sizib chiqqanida yoki jinoyatchilar qo‘liga tushganida, oqibatlari juda jiddiy bo‘lishi mumkin edi.
Dasturchining taxminiga ko‘ra, shaxsiy ma’lumotlardan foydalanib firibgarlik qilish, noqonuniy kreditlar rasmiylashtirish va boshqa huquqbuzarliklar natijasida har bir fuqaro uchun o‘rtacha $50 zarar yetishi mumkin.
40 million kishilik baza miqyosida bu taxminan $2 milliard degani.
Albatta, bu tasdiqlangan zarar miqdori emas, balki ehtimoliy iqtisodiy yo‘qotishlar hisob-kitobi. Ammo muammoning ko‘lami shusiz ham tushunarli.
Va asosiy savol:
Davlat tizimida zaiflik aniqlagan mutaxassis nima uchun bu haqda xabar berishi kerak? Nima uni ushbu zaiflikdan foydalanish yoki ma’lumotni sotishdan qaytarishi kerak?
U vaqt sarfladi, mas’ullar bilan bog‘lanishga urindi, muammoni bir necha marta tushuntirdi, tuzatilishini kutdi. Yakunda esa ko‘pi bilan minnatdorchilik xatini so‘rash imkoniyatiga ega bo‘ldi.
Bunda anonim murojaat qilishning qulay mexanizmi, javob berishning aniq muddatlari, qayta aloqa kafolati va mutaxassis mehnatini e’tirof etish tizimi yo‘q.
👍116🤬45❤27😢9
Responsible Disclosure faqat ikki tomon ham o‘z majburiyatlarini tushunganida ishlaydi.
Mutaxassis zaiflik haqida xabar bergani uchun o‘zi muammoga duch kelishdan qo‘rqmasligi kerak. Davlat tashkiloti esa bunday murojaatlarni tezkor ko‘rib chiqishi, xavfni tekshirishi va muammoni bartaraf etishi lozim.
Aks holda, bir kuni bu zaiflikni hech kimga qo‘ng‘iroq qilmaydigan va hech narsani tushuntirib o‘tirmaydigan odam topadi.
Unda esa bu butunlay boshqa hikoya bo‘ladi.
@trolluz
Mutaxassis zaiflik haqida xabar bergani uchun o‘zi muammoga duch kelishdan qo‘rqmasligi kerak. Davlat tashkiloti esa bunday murojaatlarni tezkor ko‘rib chiqishi, xavfni tekshirishi va muammoni bartaraf etishi lozim.
Aks holda, bir kuni bu zaiflikni hech kimga qo‘ng‘iroq qilmaydigan va hech narsani tushuntirib o‘tirmaydigan odam topadi.
Unda esa bu butunlay boshqa hikoya bo‘ladi.
@trolluz
👍84🤬18
Что должен делать человек, обнаруживший уязвимость в государственной информационной системе?
Один программист рассказал мне историю, которая заставляет задуматься о состоянии кибербезопасности в Узбекистане.
В конце сентября он обнаружил серьёзную уязвимость на платформе одного из министерств Узбекистана.
Проблема заключалась в том, что любой человек мог без авторизации, ограничений и каких-либо лимитов перебирать данные населения страны.
В результате можно было получить:
• ФИО и фотографию человека;
• дату рождения;
• серию и номер ID-карты, свидетельства о рождении или загранпаспорта;
• ПИНФЛ;
• место учёбы и направление;
• адрес прописки и кадастровый номер.
По словам разработчика, база охватывала практически всё население Узбекистана — около 40 миллионов граждан, а также иностранных граждан, имеющих регистрацию в стране.
Оценка уязвимости по CVSS составляла 8,6 балла из 10. Это высокий уровень критичности.
Но самое интересное началось после обнаружения проблемы.
Разработчик попытался сообщить об уязвимости через колл-центр министерства. Ответ сотрудника был примерно таким:
«Ты типа хакер? Приезжай в офис, я покажу, что у нас всё нормально».
Через другой официальный канал информацию всё-таки удалось донести до нужных людей. Разработчика пригласили в министерство, где он объяснил проблему.
Но вместо оперативного устранения он услышал:
«Мы знаем, что она есть. Но проблема ли это? Давай потом как-нибудь починим».
При этом, по его словам, ему сообщили, что министерство недавно прошло все необходимые проверки безопасности и никаких проблем выявлено не было.
Прошло пять дней. Уязвимость всё ещё оставалась открытой.
В итоге разработчику пришлось обратиться в Центр кибербезопасности Узбекистана (CSC), чтобы воспользоваться процедурой Responsible Disclosure — ответственного раскрытия информации об уязвимости.
И тут тоже обнаружились интересные нюансы:
• Нет удобного онлайн-механизма для анонимного сообщения об уязвимости. Предлагается обращаться через Telegram, по телефону или лично в офис.
• Центр, как правило, не предоставляет вознаграждений за обнаруженные уязвимости. Благодарственное письмо можно получить по отдельному запросу.
• Нет гарантированных сроков устранения проблемы. Центр может лишь направить официальный запрос ответственному ведомству.
В итоге проблему устранили спустя восемь дней после обращения. Причём сначала не полностью.
Разработчику даже написали:
«Проверьте сами, пожалуйста. Они вроде написали, что починили».
То есть человек, обнаруживший уязвимость, должен самостоятельно проверять, действительно ли её устранили.
И ещё один момент: разработчику сообщили, что публично рассказывать о таких случаях пока нельзя, поскольку соответствующая законодательная база не готова.
Теперь немного о возможных последствиях.
Если бы подобные данные попали в открытый доступ или были проданы злоумышленникам, последствия могли бы быть катастрофическими.
По оценке самого разработчика, потенциальный экономический ущерб может составить около $50 на одного человека — с учётом мошенничества, оформления кредитов и других злоупотреблений с использованием персональных данных.
При базе в 40 миллионов человек речь идёт о потенциальных $2 млрд ущерба.
Это, конечно, условная оценка, а не подтверждённый прогноз потерь. Но даже без неё масштаб потенциальной проблемы очевиден.
И вот главный вопрос.
Какую мотивацию должен иметь специалист, чтобы сообщить государству об обнаруженной уязвимости, а не воспользоваться ею самостоятельно или продать информацию?
Он потратил время, пытался связаться с ответственными лицами, несколько раз объяснял проблему, ждал её устранения и в итоге получил максимум возможность запросить благодарственное письмо.
При этом нет понятного механизма анонимного обращения, прозрачных сроков реакции, гарантии обратной связи и публичного признания результатов работы.
Responsible Disclosure работает только тогда, когда обе стороны понимают свои обязанности.
Один программист рассказал мне историю, которая заставляет задуматься о состоянии кибербезопасности в Узбекистане.
В конце сентября он обнаружил серьёзную уязвимость на платформе одного из министерств Узбекистана.
Проблема заключалась в том, что любой человек мог без авторизации, ограничений и каких-либо лимитов перебирать данные населения страны.
В результате можно было получить:
• ФИО и фотографию человека;
• дату рождения;
• серию и номер ID-карты, свидетельства о рождении или загранпаспорта;
• ПИНФЛ;
• место учёбы и направление;
• адрес прописки и кадастровый номер.
По словам разработчика, база охватывала практически всё население Узбекистана — около 40 миллионов граждан, а также иностранных граждан, имеющих регистрацию в стране.
Оценка уязвимости по CVSS составляла 8,6 балла из 10. Это высокий уровень критичности.
Но самое интересное началось после обнаружения проблемы.
Разработчик попытался сообщить об уязвимости через колл-центр министерства. Ответ сотрудника был примерно таким:
«Ты типа хакер? Приезжай в офис, я покажу, что у нас всё нормально».
Через другой официальный канал информацию всё-таки удалось донести до нужных людей. Разработчика пригласили в министерство, где он объяснил проблему.
Но вместо оперативного устранения он услышал:
«Мы знаем, что она есть. Но проблема ли это? Давай потом как-нибудь починим».
При этом, по его словам, ему сообщили, что министерство недавно прошло все необходимые проверки безопасности и никаких проблем выявлено не было.
Прошло пять дней. Уязвимость всё ещё оставалась открытой.
В итоге разработчику пришлось обратиться в Центр кибербезопасности Узбекистана (CSC), чтобы воспользоваться процедурой Responsible Disclosure — ответственного раскрытия информации об уязвимости.
И тут тоже обнаружились интересные нюансы:
• Нет удобного онлайн-механизма для анонимного сообщения об уязвимости. Предлагается обращаться через Telegram, по телефону или лично в офис.
• Центр, как правило, не предоставляет вознаграждений за обнаруженные уязвимости. Благодарственное письмо можно получить по отдельному запросу.
• Нет гарантированных сроков устранения проблемы. Центр может лишь направить официальный запрос ответственному ведомству.
В итоге проблему устранили спустя восемь дней после обращения. Причём сначала не полностью.
Разработчику даже написали:
«Проверьте сами, пожалуйста. Они вроде написали, что починили».
То есть человек, обнаруживший уязвимость, должен самостоятельно проверять, действительно ли её устранили.
И ещё один момент: разработчику сообщили, что публично рассказывать о таких случаях пока нельзя, поскольку соответствующая законодательная база не готова.
Теперь немного о возможных последствиях.
Если бы подобные данные попали в открытый доступ или были проданы злоумышленникам, последствия могли бы быть катастрофическими.
По оценке самого разработчика, потенциальный экономический ущерб может составить около $50 на одного человека — с учётом мошенничества, оформления кредитов и других злоупотреблений с использованием персональных данных.
При базе в 40 миллионов человек речь идёт о потенциальных $2 млрд ущерба.
Это, конечно, условная оценка, а не подтверждённый прогноз потерь. Но даже без неё масштаб потенциальной проблемы очевиден.
И вот главный вопрос.
Какую мотивацию должен иметь специалист, чтобы сообщить государству об обнаруженной уязвимости, а не воспользоваться ею самостоятельно или продать информацию?
Он потратил время, пытался связаться с ответственными лицами, несколько раз объяснял проблему, ждал её устранения и в итоге получил максимум возможность запросить благодарственное письмо.
При этом нет понятного механизма анонимного обращения, прозрачных сроков реакции, гарантии обратной связи и публичного признания результатов работы.
Responsible Disclosure работает только тогда, когда обе стороны понимают свои обязанности.
1👍88🤬38
Специалист должен иметь возможность безопасно сообщить об уязвимости, не опасаясь, что сам факт её обнаружения обернётся для него проблемами. А государственная структура должна оперативно реагировать, проверять и устранять угрозу.
Иначе однажды уязвимость найдёт человек, который не станет никому звонить и ничего объяснять.
И это уже будет совсем другая история.
@trolluz
Иначе однажды уязвимость найдёт человек, который не станет никому звонить и ничего объяснять.
И это уже будет совсем другая история.
@trolluz
1👍114