This media is not supported in your browser
VIEW IN TELEGRAM
1🔥212👍120
Internetga yana minglab o’zbekistonliklarning ma’lumotlari chiqarib qo’yildi. Yozishlaricha, bu safar ma’lumotlar SafeRoad (hozirgi Safe Services), inDrive, Lada Auto, KiwiTaxi va Fargo dan sizib chiqqan.
Kompaniyalar buni rad etib, “feyk” deyishyapti. Har doimgidek.
Lekin feykmi yoki yo’qmi, odamlarning shaxsiy ma’lumotlari ochiq turibdi. O’zim tekshirib ko’rdim.
Bundan keyin yanada yomonlashadi. Sun’iy intellekt zaifliklarni tez topadi, dunyoda esa yirik platformalar, saytlar va ilovalar allaqachon buzilmoqda. Bizda esa ba’zi tizimlarni sun’iy intellektsiz ham buzish mumkin.
Tayyor yechimim yo’q. Lekin kompaniyalar xavfsizlikka jiddiy e’tibor berishi kerak.
Rostini aytsam, meni endi hech narsa ajablantirmaydi. Firma ochasiz, yarim soatdan keyin buxgalteriya firmalari, banklar va turli servislar qo’ng’iroq qila boshlaydi. Raqamingizni qayerdan olishgan? Kim bergan? Nega buning uchun hech kim javob bermaydi?
Shaxsga doir ma’lumotlar to’g’risida qonunimiz bor. Ammo ma’lumotlarni sizdirgani uchun jazolanganlar ko’rinmaydi.
Shunday ekan, ma’lumotlarimiz internetda yuraveradi.
—-
В сеть снова выложили данные тысяч граждан Узбекистана. Пишут, что на этот раз утечка произошла из SafeRoad (сейчас Safe Services), inDrive, Lada Auto, KiwiTaxi и Fargo.
Компании всё отрицают и называют новость фейком. Как всегда.
Но фейк это или нет, личные данные людей лежат в открытом доступе. Я проверил сам.
Дальше будет только хуже. ИИ быстро находит уязвимости, и по всему миру уже взламывают крупные платформы, сайты и приложения. А у нас некоторые системы можно взломать и без ИИ.
Решения у меня нет. Но компаниям пора всерьёз заняться безопасностью.
Впрочем, меня уже ничего не удивляет. Открываешь фирму, и через полчаса тебе уже звонят бухгалтерские конторы, банки и разные сервисы. Откуда у них номер? Кто его дал? И почему за это никто не отвечает?
Закон о персональных данных у нас есть. А наказанных за утечки не видно.
Пока так, наши данные будут гулять по сети.
@trolluz
Kompaniyalar buni rad etib, “feyk” deyishyapti. Har doimgidek.
Lekin feykmi yoki yo’qmi, odamlarning shaxsiy ma’lumotlari ochiq turibdi. O’zim tekshirib ko’rdim.
Bundan keyin yanada yomonlashadi. Sun’iy intellekt zaifliklarni tez topadi, dunyoda esa yirik platformalar, saytlar va ilovalar allaqachon buzilmoqda. Bizda esa ba’zi tizimlarni sun’iy intellektsiz ham buzish mumkin.
Tayyor yechimim yo’q. Lekin kompaniyalar xavfsizlikka jiddiy e’tibor berishi kerak.
Rostini aytsam, meni endi hech narsa ajablantirmaydi. Firma ochasiz, yarim soatdan keyin buxgalteriya firmalari, banklar va turli servislar qo’ng’iroq qila boshlaydi. Raqamingizni qayerdan olishgan? Kim bergan? Nega buning uchun hech kim javob bermaydi?
Shaxsga doir ma’lumotlar to’g’risida qonunimiz bor. Ammo ma’lumotlarni sizdirgani uchun jazolanganlar ko’rinmaydi.
Shunday ekan, ma’lumotlarimiz internetda yuraveradi.
—-
В сеть снова выложили данные тысяч граждан Узбекистана. Пишут, что на этот раз утечка произошла из SafeRoad (сейчас Safe Services), inDrive, Lada Auto, KiwiTaxi и Fargo.
Компании всё отрицают и называют новость фейком. Как всегда.
Но фейк это или нет, личные данные людей лежат в открытом доступе. Я проверил сам.
Дальше будет только хуже. ИИ быстро находит уязвимости, и по всему миру уже взламывают крупные платформы, сайты и приложения. А у нас некоторые системы можно взломать и без ИИ.
Решения у меня нет. Но компаниям пора всерьёз заняться безопасностью.
Впрочем, меня уже ничего не удивляет. Открываешь фирму, и через полчаса тебе уже звонят бухгалтерские конторы, банки и разные сервисы. Откуда у них номер? Кто его дал? И почему за это никто не отвечает?
Закон о персональных данных у нас есть. А наказанных за утечки не видно.
Пока так, наши данные будут гулять по сети.
@trolluz
1🤬360
This media is not supported in your browser
VIEW IN TELEGRAM
1👍250❤27
Xo'sh... 27 mln fuqarolarning shaxsiy ma'lumotlari darknetda chiqibdi degan xabar chiqdi. Qanchalik rost yoki yolg’on, buni aniqlash kerak.
Skrinshotga ishonsak bu Personallashtirish Agentligi bazasidan ko'chirma. Misol qilib Raqamli texnologiyalar vazirning shaxsiy ma'lumotlarini ham keltirishibdi. Bo'yab qo'ydim.
Aytilishicha bu bazada: ism familiya, telefon rqam, PINFL raqam, yashash manzili, pasport raqami va fuqaroning biometrik rasmi bor.
Aytganimdek, endi bunday ma'lumotlar chiqaveradi. Shunga tayyor turish kerak. Sun'iy Intellekt hammasini tezlashtiryapti. Shu jumladan hakerlikni ham.
—
Ну что ж… Появилась новость о том, что персональные данные 27 миллионов граждан оказались в даркнете. Насколько достоверно, нужно конечно проверить.
Если верить скриншоту, это выгрузка из базы Агентства персонализации. В качестве примера даже привели персональные данные министра Цифровых технологий. Я их замазал.
Судя по тексту, в этой базе содержатся: имя и фамилия, номер телефона, ПИНФЛ, адрес проживания, номер паспорта и биометрическая фотография гражданина.
Как я и говорил, теперь подобные новости будут появляться регулярно. ИИ ускоряет всё. В том числе и взломы.
К этому нужно быть готовыми.
@trolluz
Skrinshotga ishonsak bu Personallashtirish Agentligi bazasidan ko'chirma. Misol qilib Raqamli texnologiyalar vazirning shaxsiy ma'lumotlarini ham keltirishibdi. Bo'yab qo'ydim.
Aytilishicha bu bazada: ism familiya, telefon rqam, PINFL raqam, yashash manzili, pasport raqami va fuqaroning biometrik rasmi bor.
Aytganimdek, endi bunday ma'lumotlar chiqaveradi. Shunga tayyor turish kerak. Sun'iy Intellekt hammasini tezlashtiryapti. Shu jumladan hakerlikni ham.
—
Ну что ж… Появилась новость о том, что персональные данные 27 миллионов граждан оказались в даркнете. Насколько достоверно, нужно конечно проверить.
Если верить скриншоту, это выгрузка из базы Агентства персонализации. В качестве примера даже привели персональные данные министра Цифровых технологий. Я их замазал.
Судя по тексту, в этой базе содержатся: имя и фамилия, номер телефона, ПИНФЛ, адрес проживания, номер паспорта и биометрическая фотография гражданина.
Как я и говорил, теперь подобные новости будут появляться регулярно. ИИ ускоряет всё. В том числе и взломы.
К этому нужно быть готовыми.
@trolluz
Davlat axborot tizimida zaiflik aniqlagan mutaxassis nima qilishi kerak?
Bir dasturchi menga O‘zbekistondagi kiberxavfsizlik holati haqida jiddiy o‘ylantiradigan voqeani aytib berdi.
Uning so‘zlariga ko‘ra, sentabr oyi oxirida O‘zbekiston vazirliklaridan birining platformasida jiddiy zaiflik aniqlangan.
Muammo shunda ediki, istalgan odam hech qanday avtorizatsiyasiz, cheklov va limitsiz aholi ma’lumotlarini ketma-ket tekshirib, quyidagi ma’lumotlarni olishi mumkin bo‘lgan:
• F.I.Sh. va fuqaroning fotosurati;
• tug‘ilgan sanasi;
• ID-karta, tug‘ilganlik haqidagi guvohnoma yoki xorijga chiqish pasportining seriyasi va raqami;
• JSHSHIR (PINFL);
• ta’lim olayotgan joyi va yo‘nalishi;
• doimiy ro‘yxatdan o‘tgan manzili va kadastr raqami.
Dasturchining aytishicha, baza O‘zbekistonning qariyb 40 million aholisi hamda mamlakatda ro‘yxatdan o‘tgan xorijiy fuqarolarni qamrab olgan.
Zaiflikning CVSS bo‘yicha bahosi 10 balldan 8,6 ballni tashkil etgan. Bu juda yuqori ko‘rsatkich.
Ammo eng qizig‘i muammo aniqlanganidan keyin boshlangan.
Dasturchi vazirlikning koll-markaziga qo‘ng‘iroq qilib, zaiflik haqida xabar bermoqchi bo‘lgan. Xodimning javobi taxminan shunday bo‘lgan:
«Sen o‘zi xakermisan? Ofisga kel, hammasi joyida ekanini ko‘rsataman».
Boshqa rasmiy kanal orqali murojaat qilganidan keyingina mas’ul xodimlarga muammo haqida ma’lum bo‘lgan. Dasturchini vazirlikka taklif qilishgan va u zaiflikni tushuntirib bergan.
Ammo muammoni tezda bartaraf etish o‘rniga, unga quyidagicha javob berishgan:
«Ha, bunday muammo borligini bilamiz. Lekin bu haqiqatan ham muammomi? Keyinroq bir amallab tuzatamiz».
Dasturchining aytishicha, unga vazirlik yaqinda barcha xavfsizlik tekshiruvlaridan muammosiz o‘tgani ham aytilgan.
Besh kun o‘tdi. Zaiflik esa hamon ochiq edi.
Oxir-oqibat, dasturchi Responsible Disclosure — zaiflik haqida mas’uliyatli xabar berish tartibidan foydalanish uchun O‘zbekiston Kiberxavfsizlik markaziga (CSC) murojaat qilishga majbur bo‘lgan.
Bu yerda ham bir qancha muammolar yuzaga kelgan:
• Zaiflik haqida anonim tarzda onlayn xabar berish imkoniyati yo‘q. Telegram, telefon yoki markaz ofisiga shaxsan murojaat qilish kerak.
• Markaz, odatda, aniqlangan zaifliklar uchun mukofot bermaydi. Minnatdorchilik xatini esa alohida so‘rash mumkin.
• Muammo qachon bartaraf etilishi bo‘yicha kafolatlangan muddat yo‘q. Markaz faqat mas’ul tashkilotga rasmiy so‘rov yuborishi mumkin.
Natijada muammo murojaatdan sakkiz kun o‘tib bartaraf etilgan. Uning ustiga, dastlab to‘liq tuzatilmagan.
Hatto dasturchiga:
«Iltimos, o‘zingiz tekshirib ko‘ring. Ular tuzatdik deb yozishibdi, shekilli».
Ya’ni zaiflikni aniqlagan odam uning haqiqatan ham bartaraf etilganini o‘zi tekshirishi kerak.
Yana bir jihat: dasturchiga bunday holatlar haqida ommaga ochiq gapirish mumkin emasligi, chunki tegishli qonunchilik bazasi hali tayyor emasligi aytilgan.
Endi ehtimoliy oqibatlar haqida.
Agar bunday ma’lumotlar internetga sizib chiqqanida yoki jinoyatchilar qo‘liga tushganida, oqibatlari juda jiddiy bo‘lishi mumkin edi.
Dasturchining taxminiga ko‘ra, shaxsiy ma’lumotlardan foydalanib firibgarlik qilish, noqonuniy kreditlar rasmiylashtirish va boshqa huquqbuzarliklar natijasida har bir fuqaro uchun o‘rtacha $50 zarar yetishi mumkin.
40 million kishilik baza miqyosida bu taxminan $2 milliard degani.
Albatta, bu tasdiqlangan zarar miqdori emas, balki ehtimoliy iqtisodiy yo‘qotishlar hisob-kitobi. Ammo muammoning ko‘lami shusiz ham tushunarli.
Va asosiy savol:
Davlat tizimida zaiflik aniqlagan mutaxassis nima uchun bu haqda xabar berishi kerak? Nima uni ushbu zaiflikdan foydalanish yoki ma’lumotni sotishdan qaytarishi kerak?
U vaqt sarfladi, mas’ullar bilan bog‘lanishga urindi, muammoni bir necha marta tushuntirdi, tuzatilishini kutdi. Yakunda esa ko‘pi bilan minnatdorchilik xatini so‘rash imkoniyatiga ega bo‘ldi.
Bunda anonim murojaat qilishning qulay mexanizmi, javob berishning aniq muddatlari, qayta aloqa kafolati va mutaxassis mehnatini e’tirof etish tizimi yo‘q.
Bir dasturchi menga O‘zbekistondagi kiberxavfsizlik holati haqida jiddiy o‘ylantiradigan voqeani aytib berdi.
Uning so‘zlariga ko‘ra, sentabr oyi oxirida O‘zbekiston vazirliklaridan birining platformasida jiddiy zaiflik aniqlangan.
Muammo shunda ediki, istalgan odam hech qanday avtorizatsiyasiz, cheklov va limitsiz aholi ma’lumotlarini ketma-ket tekshirib, quyidagi ma’lumotlarni olishi mumkin bo‘lgan:
• F.I.Sh. va fuqaroning fotosurati;
• tug‘ilgan sanasi;
• ID-karta, tug‘ilganlik haqidagi guvohnoma yoki xorijga chiqish pasportining seriyasi va raqami;
• JSHSHIR (PINFL);
• ta’lim olayotgan joyi va yo‘nalishi;
• doimiy ro‘yxatdan o‘tgan manzili va kadastr raqami.
Dasturchining aytishicha, baza O‘zbekistonning qariyb 40 million aholisi hamda mamlakatda ro‘yxatdan o‘tgan xorijiy fuqarolarni qamrab olgan.
Zaiflikning CVSS bo‘yicha bahosi 10 balldan 8,6 ballni tashkil etgan. Bu juda yuqori ko‘rsatkich.
Ammo eng qizig‘i muammo aniqlanganidan keyin boshlangan.
Dasturchi vazirlikning koll-markaziga qo‘ng‘iroq qilib, zaiflik haqida xabar bermoqchi bo‘lgan. Xodimning javobi taxminan shunday bo‘lgan:
«Sen o‘zi xakermisan? Ofisga kel, hammasi joyida ekanini ko‘rsataman».
Boshqa rasmiy kanal orqali murojaat qilganidan keyingina mas’ul xodimlarga muammo haqida ma’lum bo‘lgan. Dasturchini vazirlikka taklif qilishgan va u zaiflikni tushuntirib bergan.
Ammo muammoni tezda bartaraf etish o‘rniga, unga quyidagicha javob berishgan:
«Ha, bunday muammo borligini bilamiz. Lekin bu haqiqatan ham muammomi? Keyinroq bir amallab tuzatamiz».
Dasturchining aytishicha, unga vazirlik yaqinda barcha xavfsizlik tekshiruvlaridan muammosiz o‘tgani ham aytilgan.
Besh kun o‘tdi. Zaiflik esa hamon ochiq edi.
Oxir-oqibat, dasturchi Responsible Disclosure — zaiflik haqida mas’uliyatli xabar berish tartibidan foydalanish uchun O‘zbekiston Kiberxavfsizlik markaziga (CSC) murojaat qilishga majbur bo‘lgan.
Bu yerda ham bir qancha muammolar yuzaga kelgan:
• Zaiflik haqida anonim tarzda onlayn xabar berish imkoniyati yo‘q. Telegram, telefon yoki markaz ofisiga shaxsan murojaat qilish kerak.
• Markaz, odatda, aniqlangan zaifliklar uchun mukofot bermaydi. Minnatdorchilik xatini esa alohida so‘rash mumkin.
• Muammo qachon bartaraf etilishi bo‘yicha kafolatlangan muddat yo‘q. Markaz faqat mas’ul tashkilotga rasmiy so‘rov yuborishi mumkin.
Natijada muammo murojaatdan sakkiz kun o‘tib bartaraf etilgan. Uning ustiga, dastlab to‘liq tuzatilmagan.
Hatto dasturchiga:
«Iltimos, o‘zingiz tekshirib ko‘ring. Ular tuzatdik deb yozishibdi, shekilli».
Ya’ni zaiflikni aniqlagan odam uning haqiqatan ham bartaraf etilganini o‘zi tekshirishi kerak.
Yana bir jihat: dasturchiga bunday holatlar haqida ommaga ochiq gapirish mumkin emasligi, chunki tegishli qonunchilik bazasi hali tayyor emasligi aytilgan.
Endi ehtimoliy oqibatlar haqida.
Agar bunday ma’lumotlar internetga sizib chiqqanida yoki jinoyatchilar qo‘liga tushganida, oqibatlari juda jiddiy bo‘lishi mumkin edi.
Dasturchining taxminiga ko‘ra, shaxsiy ma’lumotlardan foydalanib firibgarlik qilish, noqonuniy kreditlar rasmiylashtirish va boshqa huquqbuzarliklar natijasida har bir fuqaro uchun o‘rtacha $50 zarar yetishi mumkin.
40 million kishilik baza miqyosida bu taxminan $2 milliard degani.
Albatta, bu tasdiqlangan zarar miqdori emas, balki ehtimoliy iqtisodiy yo‘qotishlar hisob-kitobi. Ammo muammoning ko‘lami shusiz ham tushunarli.
Va asosiy savol:
Davlat tizimida zaiflik aniqlagan mutaxassis nima uchun bu haqda xabar berishi kerak? Nima uni ushbu zaiflikdan foydalanish yoki ma’lumotni sotishdan qaytarishi kerak?
U vaqt sarfladi, mas’ullar bilan bog‘lanishga urindi, muammoni bir necha marta tushuntirdi, tuzatilishini kutdi. Yakunda esa ko‘pi bilan minnatdorchilik xatini so‘rash imkoniyatiga ega bo‘ldi.
Bunda anonim murojaat qilishning qulay mexanizmi, javob berishning aniq muddatlari, qayta aloqa kafolati va mutaxassis mehnatini e’tirof etish tizimi yo‘q.
1👍264🤬98❤57
Responsible Disclosure faqat ikki tomon ham o‘z majburiyatlarini tushunganida ishlaydi.
Mutaxassis zaiflik haqida xabar bergani uchun o‘zi muammoga duch kelishdan qo‘rqmasligi kerak. Davlat tashkiloti esa bunday murojaatlarni tezkor ko‘rib chiqishi, xavfni tekshirishi va muammoni bartaraf etishi lozim.
Aks holda, bir kuni bu zaiflikni hech kimga qo‘ng‘iroq qilmaydigan va hech narsani tushuntirib o‘tirmaydigan odam topadi.
Unda esa bu butunlay boshqa hikoya bo‘ladi.
@trolluz
Mutaxassis zaiflik haqida xabar bergani uchun o‘zi muammoga duch kelishdan qo‘rqmasligi kerak. Davlat tashkiloti esa bunday murojaatlarni tezkor ko‘rib chiqishi, xavfni tekshirishi va muammoni bartaraf etishi lozim.
Aks holda, bir kuni bu zaiflikni hech kimga qo‘ng‘iroq qilmaydigan va hech narsani tushuntirib o‘tirmaydigan odam topadi.
Unda esa bu butunlay boshqa hikoya bo‘ladi.
@trolluz
1👍194
Что должен делать человек, обнаруживший уязвимость в государственной информационной системе?
Один программист рассказал мне историю, которая заставляет задуматься о состоянии кибербезопасности в Узбекистане.
В конце сентября он обнаружил серьёзную уязвимость на платформе одного из министерств Узбекистана.
Проблема заключалась в том, что любой человек мог без авторизации, ограничений и каких-либо лимитов перебирать данные населения страны.
В результате можно было получить:
• ФИО и фотографию человека;
• дату рождения;
• серию и номер ID-карты, свидетельства о рождении или загранпаспорта;
• ПИНФЛ;
• место учёбы и направление;
• адрес прописки и кадастровый номер.
По словам разработчика, база охватывала практически всё население Узбекистана — около 40 миллионов граждан, а также иностранных граждан, имеющих регистрацию в стране.
Оценка уязвимости по CVSS составляла 8,6 балла из 10. Это высокий уровень критичности.
Но самое интересное началось после обнаружения проблемы.
Разработчик попытался сообщить об уязвимости через колл-центр министерства. Ответ сотрудника был примерно таким:
«Ты типа хакер? Приезжай в офис, я покажу, что у нас всё нормально».
Через другой официальный канал информацию всё-таки удалось донести до нужных людей. Разработчика пригласили в министерство, где он объяснил проблему.
Но вместо оперативного устранения он услышал:
«Мы знаем, что она есть. Но проблема ли это? Давай потом как-нибудь починим».
При этом, по его словам, ему сообщили, что министерство недавно прошло все необходимые проверки безопасности и никаких проблем выявлено не было.
Прошло пять дней. Уязвимость всё ещё оставалась открытой.
В итоге разработчику пришлось обратиться в Центр кибербезопасности Узбекистана (CSC), чтобы воспользоваться процедурой Responsible Disclosure — ответственного раскрытия информации об уязвимости.
И тут тоже обнаружились интересные нюансы:
• Нет удобного онлайн-механизма для анонимного сообщения об уязвимости. Предлагается обращаться через Telegram, по телефону или лично в офис.
• Центр, как правило, не предоставляет вознаграждений за обнаруженные уязвимости. Благодарственное письмо можно получить по отдельному запросу.
• Нет гарантированных сроков устранения проблемы. Центр может лишь направить официальный запрос ответственному ведомству.
В итоге проблему устранили спустя восемь дней после обращения. Причём сначала не полностью.
Разработчику даже написали:
«Проверьте сами, пожалуйста. Они вроде написали, что починили».
То есть человек, обнаруживший уязвимость, должен самостоятельно проверять, действительно ли её устранили.
И ещё один момент: разработчику сообщили, что публично рассказывать о таких случаях пока нельзя, поскольку соответствующая законодательная база не готова.
Теперь немного о возможных последствиях.
Если бы подобные данные попали в открытый доступ или были проданы злоумышленникам, последствия могли бы быть катастрофическими.
По оценке самого разработчика, потенциальный экономический ущерб может составить около $50 на одного человека — с учётом мошенничества, оформления кредитов и других злоупотреблений с использованием персональных данных.
При базе в 40 миллионов человек речь идёт о потенциальных $2 млрд ущерба.
Это, конечно, условная оценка, а не подтверждённый прогноз потерь. Но даже без неё масштаб потенциальной проблемы очевиден.
И вот главный вопрос.
Какую мотивацию должен иметь специалист, чтобы сообщить государству об обнаруженной уязвимости, а не воспользоваться ею самостоятельно или продать информацию?
Он потратил время, пытался связаться с ответственными лицами, несколько раз объяснял проблему, ждал её устранения и в итоге получил максимум возможность запросить благодарственное письмо.
При этом нет понятного механизма анонимного обращения, прозрачных сроков реакции, гарантии обратной связи и публичного признания результатов работы.
Responsible Disclosure работает только тогда, когда обе стороны понимают свои обязанности.
Один программист рассказал мне историю, которая заставляет задуматься о состоянии кибербезопасности в Узбекистане.
В конце сентября он обнаружил серьёзную уязвимость на платформе одного из министерств Узбекистана.
Проблема заключалась в том, что любой человек мог без авторизации, ограничений и каких-либо лимитов перебирать данные населения страны.
В результате можно было получить:
• ФИО и фотографию человека;
• дату рождения;
• серию и номер ID-карты, свидетельства о рождении или загранпаспорта;
• ПИНФЛ;
• место учёбы и направление;
• адрес прописки и кадастровый номер.
По словам разработчика, база охватывала практически всё население Узбекистана — около 40 миллионов граждан, а также иностранных граждан, имеющих регистрацию в стране.
Оценка уязвимости по CVSS составляла 8,6 балла из 10. Это высокий уровень критичности.
Но самое интересное началось после обнаружения проблемы.
Разработчик попытался сообщить об уязвимости через колл-центр министерства. Ответ сотрудника был примерно таким:
«Ты типа хакер? Приезжай в офис, я покажу, что у нас всё нормально».
Через другой официальный канал информацию всё-таки удалось донести до нужных людей. Разработчика пригласили в министерство, где он объяснил проблему.
Но вместо оперативного устранения он услышал:
«Мы знаем, что она есть. Но проблема ли это? Давай потом как-нибудь починим».
При этом, по его словам, ему сообщили, что министерство недавно прошло все необходимые проверки безопасности и никаких проблем выявлено не было.
Прошло пять дней. Уязвимость всё ещё оставалась открытой.
В итоге разработчику пришлось обратиться в Центр кибербезопасности Узбекистана (CSC), чтобы воспользоваться процедурой Responsible Disclosure — ответственного раскрытия информации об уязвимости.
И тут тоже обнаружились интересные нюансы:
• Нет удобного онлайн-механизма для анонимного сообщения об уязвимости. Предлагается обращаться через Telegram, по телефону или лично в офис.
• Центр, как правило, не предоставляет вознаграждений за обнаруженные уязвимости. Благодарственное письмо можно получить по отдельному запросу.
• Нет гарантированных сроков устранения проблемы. Центр может лишь направить официальный запрос ответственному ведомству.
В итоге проблему устранили спустя восемь дней после обращения. Причём сначала не полностью.
Разработчику даже написали:
«Проверьте сами, пожалуйста. Они вроде написали, что починили».
То есть человек, обнаруживший уязвимость, должен самостоятельно проверять, действительно ли её устранили.
И ещё один момент: разработчику сообщили, что публично рассказывать о таких случаях пока нельзя, поскольку соответствующая законодательная база не готова.
Теперь немного о возможных последствиях.
Если бы подобные данные попали в открытый доступ или были проданы злоумышленникам, последствия могли бы быть катастрофическими.
По оценке самого разработчика, потенциальный экономический ущерб может составить около $50 на одного человека — с учётом мошенничества, оформления кредитов и других злоупотреблений с использованием персональных данных.
При базе в 40 миллионов человек речь идёт о потенциальных $2 млрд ущерба.
Это, конечно, условная оценка, а не подтверждённый прогноз потерь. Но даже без неё масштаб потенциальной проблемы очевиден.
И вот главный вопрос.
Какую мотивацию должен иметь специалист, чтобы сообщить государству об обнаруженной уязвимости, а не воспользоваться ею самостоятельно или продать информацию?
Он потратил время, пытался связаться с ответственными лицами, несколько раз объяснял проблему, ждал её устранения и в итоге получил максимум возможность запросить благодарственное письмо.
При этом нет понятного механизма анонимного обращения, прозрачных сроков реакции, гарантии обратной связи и публичного признания результатов работы.
Responsible Disclosure работает только тогда, когда обе стороны понимают свои обязанности.
2👍186🤬82
Специалист должен иметь возможность безопасно сообщить об уязвимости, не опасаясь, что сам факт её обнаружения обернётся для него проблемами. А государственная структура должна оперативно реагировать, проверять и устранять угрозу.
Иначе однажды уязвимость найдёт человек, который не станет никому звонить и ничего объяснять.
И это уже будет совсем другая история.
@trolluz
Иначе однажды уязвимость найдёт человек, который не станет никому звонить и ничего объяснять.
И это уже будет совсем другая история.
@trolluz
1👍245
Media is too big
VIEW IN TELEGRAM
5👍329❤37😁31
TROLL.UZ
Xalqdan uzr so’rayman..?! @trolluz
Please open Telegram to view this post
VIEW IN TELEGRAM
1😁343👍33❤22
Nasinemsin meni videomdan keyin pastda qurilish kompaniyalarning reklamari ketyapti. Insofsiz itvacchalar! Buni men reklama qilmayapman!
Telegram premium oling ko'rmaysiz shu reklamalarni 🙂 Hozir 10 tasini o'zim tarqataman, meni kanalimda mening istagimga qarshi chiqadigan reklamalar uchun uzr sifatida 🙂
@trolluz
Telegram premium oling ko'rmaysiz shu reklamalarni 🙂 Hozir 10 tasini o'zim tarqataman, meni kanalimda mening istagimga qarshi chiqadigan reklamalar uchun uzr sifatida 🙂
@trolluz
3🔥242😁149❤24👍18
This media is not supported in the widget
VIEW IN TELEGRAM
75👍765😁145❤54
Voy tovba, 10 ta premium uchun 15 ming odam qo’shildimi hozir?
Iye, shuni poylab turganmidingizlar? Botlar qo’shilyaptimi?
Nima qilsam bo’ladi bularni?
Iye, shuni poylab turganmidingizlar? Botlar qo’shilyaptimi?
Nima qilsam bo’ladi bularni?
6😁571
Forwarded from taps.
Media is too big
VIEW IN TELEGRAM
taps. da katta yangiliklar!
- Ambassador rejimi: pasaytirilgan komissiya va pulni kartaga bir zumda yechib olish
- Animatsiyali 50+ profil mavzusi, donatlar, maqsadlar va donaterlar topi uchun 150+ mavzu
- OvozQani bo’yicha ichki qidiruv: 6 000 dan ortiq tayyor tovush
- Donatlarni ovozlashtirish uchun 8 ta yangi ovoz, ovozni donater tanlaydi
- Blogerlar o’rtasida batllar va istalgan mavzuda so’rovnomalar: har bir donat ovozga aylanadi
Bundan tashqari platformada pulli obunalar, to'lovli xabarlar va xizmatlar, brendlar bilan ishlash bo'limlari mavjud!
Bu hali boshlanishi!
pro.taps.so
—
В taps. много нового!
- Режим амбассадора: пониженная комиссия и моментальный вывод на карту
- 50+ тем профиля с анимацией и 150+ тем для донатов, целей и топа донатеров
- Встроенный поиск по OvozQani: больше 6 000 готовых звуков
- 8 новых голосов для озвучки донатов, голос выбирает донатер
- Батлы между блогерами и опросы на любые темы, где каждый донат становится голосом
Помимо этого на платформе есть: платные подписки, платные сообщения, услуги и работа с брендами!
И это только начало!
pro.taps.so
@taps_blog
- Ambassador rejimi: pasaytirilgan komissiya va pulni kartaga bir zumda yechib olish
- Animatsiyali 50+ profil mavzusi, donatlar, maqsadlar va donaterlar topi uchun 150+ mavzu
- OvozQani bo’yicha ichki qidiruv: 6 000 dan ortiq tayyor tovush
- Donatlarni ovozlashtirish uchun 8 ta yangi ovoz, ovozni donater tanlaydi
- Blogerlar o’rtasida batllar va istalgan mavzuda so’rovnomalar: har bir donat ovozga aylanadi
Bundan tashqari platformada pulli obunalar, to'lovli xabarlar va xizmatlar, brendlar bilan ishlash bo'limlari mavjud!
Bu hali boshlanishi!
pro.taps.so
—
В taps. много нового!
- Режим амбассадора: пониженная комиссия и моментальный вывод на карту
- 50+ тем профиля с анимацией и 150+ тем для донатов, целей и топа донатеров
- Встроенный поиск по OvozQani: больше 6 000 готовых звуков
- 8 новых голосов для озвучки донатов, голос выбирает донатер
- Батлы между блогерами и опросы на любые темы, где каждый донат становится голосом
Помимо этого на платформе есть: платные подписки, платные сообщения, услуги и работа с брендами!
И это только начало!
pro.taps.so
@taps_blog
👍64❤12
taps.
taps. da katta yangiliklar! - Ambassador rejimi: pasaytirilgan komissiya va pulni kartaga bir zumda yechib olish - Animatsiyali 50+ profil mavzusi, donatlar, maqsadlar va donaterlar topi uchun 150+ mavzu - OvozQani bo’yicha ichki qidiruv: 6 000 dan ortiq…
Mayli startapimdan gaplashaylik!) Bizda katta yangiliklar bor. Yuqoridagi videoni ko'ringlar 🙂
Telegram uchun ham ovozli donatlarni qo'shdik. Kelgan donatlar turli ozovlarda o'qib beriladi
Bitta sinab ko'ringlar taps.uz/trolluz 🙂
—
Ладно, давайте про мой стартап поговорим. У нас большое обновление! Посмотрите видео выше.
Добавили голосовые донаты в telegram. Прочитает ваши донат разными голосами.
Попробуйте taps.uz/trolluz 🙂
Telegram uchun ham ovozli donatlarni qo'shdik. Kelgan donatlar turli ozovlarda o'qib beriladi
Bitta sinab ko'ringlar taps.uz/trolluz 🙂
—
Ладно, давайте про мой стартап поговорим. У нас большое обновление! Посмотрите видео выше.
Добавили голосовые донаты в telegram. Прочитает ваши донат разными голосами.
Попробуйте taps.uz/trolluz 🙂
taps.
TROLL.UZ | taps.
Bu yerda aqlli gap bo'lishi mumkin edi.
👍57