🌳 Buxoroda daraxt ekish aksiyasiga qo‘shiling!

Hozirda ko‘chatlar xaridi uchun mablag‘ yig‘moqdamiz. Qachon va qayerda daraxt ekishimiz mablag‘ yig‘ilgach e’lon qilinadi. Yangiliklarni o‘tkazib yubormaslik uchun kanalimizga obuna bo‘lishni unutmang!

Ko‘chatlar uchun hissa qo‘shmoqchi bo‘lsangiz:
https://taps.uz/urikguli

——

🌳 Join our tree-planting campaign in Bukhara!

We’re currently raising funds to purchase seedlings. The planting date and location will be announced once we’ve raised enough funds. Don’t forget to subscribe to our channel so you don’t miss any updates!

To contribute towards the seedlings:
https://taps.uz/urikguli

Shunday izohlarni sevaman!

O’z shahringizda o’zingiz tashkil qilishingizga nima halaqit beradi?)

-

Обожаю читать недовольство людей, касательно того, что кто-то что-то организовал не у них в городе. Хотя такое организовать можно самостоятельно.

@trolluz

Nega ko’proq Buxoro haqida yozasan degan savolga javob.

@trolluz

Kanalda yangi alifboga ötiş sal noqulay bölyapti. Ötamizmi? Jiçça ğalati körinyapti :)

—

Перейти на канале на новый алфавит? Пока непривычно выглядит.

Mayli sekin asta o’tarmiz. Hozircha noqulay. Ilgari ikki marta bosish bilan “sh” “ch” yozilardi.

Endi s / c harfini bosib turish kerak. Keyin kerakli harfni tanlash kerak. Natijada ikkiga harf o’rniga bitta harf kiritishga ko’proq vaqt ketyapti va noqulayroq bo’lyapti. Paradoks. Balki keyin qulay usullar chiqar.

Endi menda savol. Hozir internet davri. Domenlar, username lar hukmronligi.

ş va ç ni ishlatish mumkin emas.

Masalan toshkent.uz keyinchalik toskent.uz bo’lib yozilishi to’g’riroqmi yoki toshkent.uz qolaveradimi.

Hozirgi O’ G’ harflari ham domenlarda ishlamaydi. Ozbekiston.uz deb yoziladi. Lekin ma’no jihatidan bu xunuk eshitiladi va o’qiladi. Yoki inglizcha qilib uzbekistan.uz qilish kerak. Unda to’g’riroq variant toshkent.uz / toskent.uz emas tashkent.uz bo’ladi-mi?

Bu juda katta muammo emas, shunchaki qaysi variant to’g’ri? Hamma istaganicha yozsin deyilsa, demak hali ham aniqlik yo’q. Aniqlik bo’lmagan joyda muammolar yuzaga kelaveradi.

@trolluz

UPD: Qo’shimcha turkcha klaviaturalarda qo’shimcha harflar bor ekan.

“Turkcha klaviatura ishlatilsa muammo yo’q” deb yozyapsizlar. Ş/ç yozish bu yerda ham ko’proq vaqt talab qiladiyu?)

Eng yomoni, jismoniy klaviaturalarda qo’shimcha harflar uchun joy yo’q.

Ha mayli)

5 yildan keyin yap-yangi alifbo chiqmasa bo’ldi :)

@trolluz

95-yildan beri kirill alifbosida yozaverayotgan brat.
—
Чувак, который с 95 года до сих пор пишет на кириллице и не собирается что-то менять.

@trolluz

Agar maboooodo kimgadir meni fikrim qiziq bo’lsa, standart qwerty klaviaturada bor belgilardan foydalangan bo’lardim. ` va ʻ o’rniga ‘ ni ishlatish tarafdori edim. Ha, bular har xil belgilar. Men ham doim chalkashaman.

“sh” va “ch” borligicha qoldirib, ў va ғ harflaridagi ʻ ni standart apostrof belgisiga, tutuq belgisini esa umuman olib tashlagan bo’lardim.

Shunda jismoniy klaviaturalarda ortiqcha tugma ham kerak emas. Standart klaviatura bilan ishlab chiqarilgan noutbuk va kompyuterlar O’zbekiston bozori uchun alohida klaviatura qilib o’tirmaydi. Iqtisodiy jihatdan o’zgartirishlar minimal. Milliardlar pullar ham sarflanmasdi. Xalqaro “Sh” va “Ch” tovushi ham o’z o’rnida qolardi. Chet elliklar o’zbek tilini o’rganishi ham juda osonlashgan bo’lardi. Chunki deyarli hamma harflar va tovushlar o’ziga tanish.

Ha, lingvistika va tarix jihatidan bu to’g’ri yondashuv emas. Lekin mantiq ga iqtisodiy jihatdan ancha effektivroq.

Endiiiii bu meni hech nimaga ta’sir qilmaydigan shaxsiy fikrim :) Qonun kuchga kirib bo’ldi. Tosh otmanglar, akaxonlar 👀 :)

—

Если бы вдруг кому-то было интересно моё мнение, я бы предложил использовать символы, которые уже есть на стандартной QWERTY-клавиатуре. Вместо ` ʻ я бы предпочёл использовать ’. Да, это разные символы. Я сам всегда путаю.

Сочетания sh и ch я бы оставил как есть, а в буквах o‘ и g‘ заменил бы символ ` на стандартный апостроф, а знак тутук вообще убрал бы.

Тогда не пришлось бы добавлять лишнюю клавишу на физических клавиатурах. Ноутбуки и компьютеры со стандартной клавиатурой не нужно было бы выпускать в отдельной версии специально для рынка Узбекистана. С экономической точки зрения изменения были бы минимальными. И миллиарды сумов не пришлось бы тратить. Международные сочетания звуков «Sh» и «Ch» тоже остались бы на своих местах. А иностранцам стало бы гораздо проще изучать узбекский язык, ведь практически все буквы и звуки им уже знакомы.

Да, с точки зрения лингвистики и истории такой подход не совсем правильный. Но логически и экономически, абсолютно эффективнее.

Ииии… это всего лишь моё личное мнение, которое ни на что не влияет :)

Закон уже вступил в силу. Так что не кидайтесь камнями, акахоны 👀 :)

@trolluz

Ijtimoiy tarmoqlardagi standart vaziyat.
-
Типичная ситуация в соцсетях.

@trolluz

O’zbekistonda Apple Pay va Google Pay ishlashni boshladi! Endi rivojlanib ketamiz!)

—-

В Узбекистане заработал Apple Pay и Google Pay! Теперь заживем!)

@trolluz

Qanday fikrdasiz?

@trolluz

Internetga yana minglab o’zbekistonliklarning ma’lumotlari chiqarib qo’yildi. Yozishlaricha, bu safar ma’lumotlar SafeRoad (hozirgi Safe Services), inDrive, Lada Auto, KiwiTaxi va Fargo dan sizib chiqqan.

Kompaniyalar buni rad etib, “feyk” deyishyapti. Har doimgidek.

Lekin feykmi yoki yo’qmi, odamlarning shaxsiy ma’lumotlari ochiq turibdi. O’zim tekshirib ko’rdim.

Bundan keyin yanada yomonlashadi. Sun’iy intellekt zaifliklarni tez topadi, dunyoda esa yirik platformalar, saytlar va ilovalar allaqachon buzilmoqda. Bizda esa ba’zi tizimlarni sun’iy intellektsiz ham buzish mumkin.

Tayyor yechimim yo’q. Lekin kompaniyalar xavfsizlikka jiddiy e’tibor berishi kerak.

Rostini aytsam, meni endi hech narsa ajablantirmaydi. Firma ochasiz, yarim soatdan keyin buxgalteriya firmalari, banklar va turli servislar qo’ng’iroq qila boshlaydi. Raqamingizni qayerdan olishgan? Kim bergan? Nega buning uchun hech kim javob bermaydi?

Shaxsga doir ma’lumotlar to’g’risida qonunimiz bor. Ammo ma’lumotlarni sizdirgani uchun jazolanganlar ko’rinmaydi.

Shunday ekan, ma’lumotlarimiz internetda yuraveradi.

—-

В сеть снова выложили данные тысяч граждан Узбекистана. Пишут, что на этот раз утечка произошла из SafeRoad (сейчас Safe Services), inDrive, Lada Auto, KiwiTaxi и Fargo.

Компании всё отрицают и называют новость фейком. Как всегда.

Но фейк это или нет, личные данные людей лежат в открытом доступе. Я проверил сам.

Дальше будет только хуже. ИИ быстро находит уязвимости, и по всему миру уже взламывают крупные платформы, сайты и приложения. А у нас некоторые системы можно взломать и без ИИ.

Решения у меня нет. Но компаниям пора всерьёз заняться безопасностью.

Впрочем, меня уже ничего не удивляет. Открываешь фирму, и через полчаса тебе уже звонят бухгалтерские конторы, банки и разные сервисы. Откуда у них номер? Кто его дал? И почему за это никто не отвечает?

Закон о персональных данных у нас есть. А наказанных за утечки не видно.

Пока так, наши данные будут гулять по сети.

@trolluz

Safe Services — Xavfsiz Xizmatlar / Безопасные Сервисы

Oh, irony.

@trolluz

O’zingizdan boshqa hech kimga ishonmang.

@trolluz

Xo'sh... 27 mln fuqarolarning shaxsiy ma'lumotlari darknetda chiqibdi degan xabar chiqdi. Qanchalik rost yoki yolg’on, buni aniqlash kerak.

Skrinshotga ishonsak bu Personallashtirish Agentligi bazasidan ko'chirma. Misol qilib Raqamli texnologiyalar vazirning shaxsiy ma'lumotlarini ham keltirishibdi. Bo'yab qo'ydim.

Aytilishicha bu bazada: ism familiya, telefon rqam, PINFL raqam, yashash manzili, pasport raqami va fuqaroning biometrik rasmi bor.

Aytganimdek, endi bunday ma'lumotlar chiqaveradi. Shunga tayyor turish kerak. Sun'iy Intellekt hammasini tezlashtiryapti. Shu jumladan hakerlikni ham.

—

Ну что ж… Появилась новость о том, что персональные данные 27 миллионов граждан оказались в даркнете. Насколько достоверно, нужно конечно проверить.

Если верить скриншоту, это выгрузка из базы Агентства персонализации. В качестве примера даже привели персональные данные министра Цифровых технологий. Я их замазал.

Судя по тексту, в этой базе содержатся: имя и фамилия, номер телефона, ПИНФЛ, адрес проживания, номер паспорта и биометрическая фотография гражданина.

Как я и говорил, теперь подобные новости будут появляться регулярно. ИИ ускоряет всё. В том числе и взломы.

К этому нужно быть готовыми.

@trolluz

Davlat axborot tizimida zaiflik aniqlagan mutaxassis nima qilishi kerak?

Bir dasturchi menga O‘zbekistondagi kiberxavfsizlik holati haqida jiddiy o‘ylantiradigan voqeani aytib berdi.

Uning so‘zlariga ko‘ra, sentabr oyi oxirida O‘zbekiston vazirliklaridan birining platformasida jiddiy zaiflik aniqlangan.

Muammo shunda ediki, istalgan odam hech qanday avtorizatsiyasiz, cheklov va limitsiz aholi ma’lumotlarini ketma-ket tekshirib, quyidagi ma’lumotlarni olishi mumkin bo‘lgan:

• F.I.Sh. va fuqaroning fotosurati;
• tug‘ilgan sanasi;
• ID-karta, tug‘ilganlik haqidagi guvohnoma yoki xorijga chiqish pasportining seriyasi va raqami;
• JSHSHIR (PINFL);
• ta’lim olayotgan joyi va yo‘nalishi;
• doimiy ro‘yxatdan o‘tgan manzili va kadastr raqami.

Dasturchining aytishicha, baza O‘zbekistonning qariyb 40 million aholisi hamda mamlakatda ro‘yxatdan o‘tgan xorijiy fuqarolarni qamrab olgan.

Zaiflikning CVSS bo‘yicha bahosi 10 balldan 8,6 ballni tashkil etgan. Bu juda yuqori ko‘rsatkich.

Ammo eng qizig‘i muammo aniqlanganidan keyin boshlangan.

Dasturchi vazirlikning koll-markaziga qo‘ng‘iroq qilib, zaiflik haqida xabar bermoqchi bo‘lgan. Xodimning javobi taxminan shunday bo‘lgan:

«Sen o‘zi xakermisan? Ofisga kel, hammasi joyida ekanini ko‘rsataman».

Boshqa rasmiy kanal orqali murojaat qilganidan keyingina mas’ul xodimlarga muammo haqida ma’lum bo‘lgan. Dasturchini vazirlikka taklif qilishgan va u zaiflikni tushuntirib bergan.

Ammo muammoni tezda bartaraf etish o‘rniga, unga quyidagicha javob berishgan:

«Ha, bunday muammo borligini bilamiz. Lekin bu haqiqatan ham muammomi? Keyinroq bir amallab tuzatamiz».

Dasturchining aytishicha, unga vazirlik yaqinda barcha xavfsizlik tekshiruvlaridan muammosiz o‘tgani ham aytilgan.

Besh kun o‘tdi. Zaiflik esa hamon ochiq edi.

Oxir-oqibat, dasturchi Responsible Disclosure — zaiflik haqida mas’uliyatli xabar berish tartibidan foydalanish uchun O‘zbekiston Kiberxavfsizlik markaziga (CSC) murojaat qilishga majbur bo‘lgan.

Bu yerda ham bir qancha muammolar yuzaga kelgan:

• Zaiflik haqida anonim tarzda onlayn xabar berish imkoniyati yo‘q. Telegram, telefon yoki markaz ofisiga shaxsan murojaat qilish kerak.
• Markaz, odatda, aniqlangan zaifliklar uchun mukofot bermaydi. Minnatdorchilik xatini esa alohida so‘rash mumkin.
• Muammo qachon bartaraf etilishi bo‘yicha kafolatlangan muddat yo‘q. Markaz faqat mas’ul tashkilotga rasmiy so‘rov yuborishi mumkin.

Natijada muammo murojaatdan sakkiz kun o‘tib bartaraf etilgan. Uning ustiga, dastlab to‘liq tuzatilmagan.

Hatto dasturchiga:

«Iltimos, o‘zingiz tekshirib ko‘ring. Ular tuzatdik deb yozishibdi, shekilli».

Ya’ni zaiflikni aniqlagan odam uning haqiqatan ham bartaraf etilganini o‘zi tekshirishi kerak.

Yana bir jihat: dasturchiga bunday holatlar haqida ommaga ochiq gapirish mumkin emasligi, chunki tegishli qonunchilik bazasi hali tayyor emasligi aytilgan.

Endi ehtimoliy oqibatlar haqida.

Agar bunday ma’lumotlar internetga sizib chiqqanida yoki jinoyatchilar qo‘liga tushganida, oqibatlari juda jiddiy bo‘lishi mumkin edi.

Dasturchining taxminiga ko‘ra, shaxsiy ma’lumotlardan foydalanib firibgarlik qilish, noqonuniy kreditlar rasmiylashtirish va boshqa huquqbuzarliklar natijasida har bir fuqaro uchun o‘rtacha $50 zarar yetishi mumkin.

40 million kishilik baza miqyosida bu taxminan $2 milliard degani.

Albatta, bu tasdiqlangan zarar miqdori emas, balki ehtimoliy iqtisodiy yo‘qotishlar hisob-kitobi. Ammo muammoning ko‘lami shusiz ham tushunarli.

Va asosiy savol:

Davlat tizimida zaiflik aniqlagan mutaxassis nima uchun bu haqda xabar berishi kerak? Nima uni ushbu zaiflikdan foydalanish yoki ma’lumotni sotishdan qaytarishi kerak?

U vaqt sarfladi, mas’ullar bilan bog‘lanishga urindi, muammoni bir necha marta tushuntirdi, tuzatilishini kutdi. Yakunda esa ko‘pi bilan minnatdorchilik xatini so‘rash imkoniyatiga ega bo‘ldi.

Bunda anonim murojaat qilishning qulay mexanizmi, javob berishning aniq muddatlari, qayta aloqa kafolati va mutaxassis mehnatini e’tirof etish tizimi yo‘q.

Responsible Disclosure faqat ikki tomon ham o‘z majburiyatlarini tushunganida ishlaydi.

Mutaxassis zaiflik haqida xabar bergani uchun o‘zi muammoga duch kelishdan qo‘rqmasligi kerak. Davlat tashkiloti esa bunday murojaatlarni tezkor ko‘rib chiqishi, xavfni tekshirishi va muammoni bartaraf etishi lozim.

Aks holda, bir kuni bu zaiflikni hech kimga qo‘ng‘iroq qilmaydigan va hech narsani tushuntirib o‘tirmaydigan odam topadi.

Unda esa bu butunlay boshqa hikoya bo‘ladi.

@trolluz

Что должен делать человек, обнаруживший уязвимость в государственной информационной системе?

Один программист рассказал мне историю, которая заставляет задуматься о состоянии кибербезопасности в Узбекистане.

В конце сентября он обнаружил серьёзную уязвимость на платформе одного из министерств Узбекистана.

Проблема заключалась в том, что любой человек мог без авторизации, ограничений и каких-либо лимитов перебирать данные населения страны.

В результате можно было получить:

• ФИО и фотографию человека;
• дату рождения;
• серию и номер ID-карты, свидетельства о рождении или загранпаспорта;
• ПИНФЛ;
• место учёбы и направление;
• адрес прописки и кадастровый номер.

По словам разработчика, база охватывала практически всё население Узбекистана — около 40 миллионов граждан, а также иностранных граждан, имеющих регистрацию в стране.

Оценка уязвимости по CVSS составляла 8,6 балла из 10. Это высокий уровень критичности.

Но самое интересное началось после обнаружения проблемы.

Разработчик попытался сообщить об уязвимости через колл-центр министерства. Ответ сотрудника был примерно таким:

«Ты типа хакер? Приезжай в офис, я покажу, что у нас всё нормально».

Через другой официальный канал информацию всё-таки удалось донести до нужных людей. Разработчика пригласили в министерство, где он объяснил проблему.

Но вместо оперативного устранения он услышал:

«Мы знаем, что она есть. Но проблема ли это? Давай потом как-нибудь починим».

При этом, по его словам, ему сообщили, что министерство недавно прошло все необходимые проверки безопасности и никаких проблем выявлено не было.

Прошло пять дней. Уязвимость всё ещё оставалась открытой.

В итоге разработчику пришлось обратиться в Центр кибербезопасности Узбекистана (CSC), чтобы воспользоваться процедурой Responsible Disclosure — ответственного раскрытия информации об уязвимости.

И тут тоже обнаружились интересные нюансы:

• Нет удобного онлайн-механизма для анонимного сообщения об уязвимости. Предлагается обращаться через Telegram, по телефону или лично в офис.
• Центр, как правило, не предоставляет вознаграждений за обнаруженные уязвимости. Благодарственное письмо можно получить по отдельному запросу.
• Нет гарантированных сроков устранения проблемы. Центр может лишь направить официальный запрос ответственному ведомству.

В итоге проблему устранили спустя восемь дней после обращения. Причём сначала не полностью.

Разработчику даже написали:

«Проверьте сами, пожалуйста. Они вроде написали, что починили».

То есть человек, обнаруживший уязвимость, должен самостоятельно проверять, действительно ли её устранили.

И ещё один момент: разработчику сообщили, что публично рассказывать о таких случаях пока нельзя, поскольку соответствующая законодательная база не готова.

Теперь немного о возможных последствиях.

Если бы подобные данные попали в открытый доступ или были проданы злоумышленникам, последствия могли бы быть катастрофическими.

По оценке самого разработчика, потенциальный экономический ущерб может составить около $50 на одного человека — с учётом мошенничества, оформления кредитов и других злоупотреблений с использованием персональных данных.

При базе в 40 миллионов человек речь идёт о потенциальных $2 млрд ущерба.

Это, конечно, условная оценка, а не подтверждённый прогноз потерь. Но даже без неё масштаб потенциальной проблемы очевиден.

И вот главный вопрос.

Какую мотивацию должен иметь специалист, чтобы сообщить государству об обнаруженной уязвимости, а не воспользоваться ею самостоятельно или продать информацию?

Он потратил время, пытался связаться с ответственными лицами, несколько раз объяснял проблему, ждал её устранения и в итоге получил максимум возможность запросить благодарственное письмо.

При этом нет понятного механизма анонимного обращения, прозрачных сроков реакции, гарантии обратной связи и публичного признания результатов работы.

Responsible Disclosure работает только тогда, когда обе стороны понимают свои обязанности.

Специалист должен иметь возможность безопасно сообщить об уязвимости, не опасаясь, что сам факт её обнаружения обернётся для него проблемами. А государственная структура должна оперативно реагировать, проверять и устранять угрозу.

Иначе однажды уязвимость найдёт человек, который не станет никому звонить и ничего объяснять.

И это уже будет совсем другая история.

@trolluz