Еще одна история дня касается поимки и высылки из Нидерландов двух офицеров военной разведки Российской Федерации, которые занимались там попытками взлома Организации по запрету химического оружия. Тут есть целый тред в Твиттере с пресс-конференции в Гааге, с информацией об используемым оборудовании и прочими интересными деталями.

Кроме этого, Министерство Юстиции США выдвинуло обвинение против 7 офицеров ГРУ РФ, которые разъезжали по миру (Бразилия, США, Канада, Швейцария), и пытались взламывать различные организации: анти-допинговое агентство, спортивные федерации и другие спортивные организации. Также среди жертв оказались Westinghouse Electric Corporation — находящаяся в Пенсильвании компания по ядерной энергетике, и уже указанная выше Организации по запрету химического оружия, расследовавшая применение химического оружия в Сирии и отравление бывшего офицера ГРУ в Великобритании.

Имена из обвинения:
Aleksei Sergeyevich Morenets, 41
Evgenii Mikhaylovich, Serebriakov, 37
Ivan Sergeyevich Yermakov, 32
Artem Andreyevich Malyshev, 30
Dmitriy Sergeyevich Badin, 27
Oleg Mikhaylovich Sotnikov, 46
Alexey Valerevich Minin, 46,

PS Это провал, подумал Штирлиц.

Пресс-релиз МинЮста США
Текст обвинения

Вчерашняя история с якобы китайским чипом, установленным в серверах Apple и Amazon за сутки, к сожалению, понятней не стала. С одной стороны есть издание Bloomberg, методы журналистских расследований которого известны и считаются одними из лучших в мире. Расследование этой темы заняло не один месяц, и прошло перед публикацией соответствующие проверки.

С другой стороны, есть вполне жесткие и однозначные ответы Apple и Amazon, которые во вполне конкретных формулировках опровергают утверждения из статьи Bloomberg про осведомленность компаний о расследовании и ситуации с чипами в целом. (Ниже в статье есть перевод на русский язык заявления Apple). Им вторит (втроит?) и заявление компании Supermicro, акции которой вчера провалились на 50% на новостях об устанавливаемых во время сборки на китайских фабриках секретных чипов. Надо понимать, что подобные статьи — это не просто PR-активность. Для публичных компаний подобные заявления — это официальные документы, которые проходят проверку у юристов и в случае сообщения ложных сведений руководство компании несет полную ответственность, включая уголовную, за ложные данные (подобные заявления регулируются Комиссией по ценным бумагам). Так что если ориентироваться на ситуацию "статья vs заявления", тут уже каждый должен выбрать, кому верить.

Я пока что опубликую ту информацию, которую я видел по этой теме и нашел интересной:

- Как продолжение расследования Bloomberg, есть еще одна статья о том, что Facebook в 2015 году обнаружил программные модицификации на серверах Supermicro

- Интересный тред в твиттере об аппаратных имплантах. TL;DR версия: что-то в этой истории есть, но, похоже, что там многое потерялось/поменялось при передаче информации по испорченному телефону.

- еще одна интересная статья об аппаратных имплантах

- британское разведывательное агенство говорит, что не видит оснований сомневаться в заявлениях Apple и Amazon

- Так-так-так, а что тут у нас?
(https://alexmak.net/wp-content/uploads/2018/10/Screen-Shot-2018-10-05-at-12.14.33-PM.png)

Определенно есть схожесть с тем, что иллюстрировала Bloomberg вчера в статье:
(https://alexmak.net/wp-content/uploads/2018/10/Screen-Shot-2018-10-05-at-12.15.58-PM.png)

- Хороший вопрос о том, что в первоначальной статье фигурирует информация о "примерно 30 компаниях", но почему-то никого другого, кроме Apple и Amazon, не называют. Даже если история с чипом соответствует действительности, и следователи проинформировали пострадавшие компании, то, наверно, уж Apple и Amazon точно бы в этот список попали. Однако, компании однозначно утверждают, что они не в курсе ничего подобного.

В общем, можно сказать пока что, что пока до конца не понятно, кто прав, а кто нет. Но ясно одно: это большой и жирный гвоздь в любые стремления Китая развивать свою отрасль микропроцессоров. Кто же им теперь после такого доверится?

Перевод заявления Apple:

Businessweek сообщает неверные сведения об Apple

В выпуске журнала Bloomberg Businessweek от 8 октября 2018 г. сообщается недостоверная информация о том, что в 2015 г. компания Apple обнаружила на серверах своей сети «вредоносные чипы». В течение

последних 12 месяцев компания Apple неоднократно разъясняла корреспондентам и редакторам Bloomberg, что эти утверждения неверны.

Прежде чем материал Bloomberg Businessweek был опубликован, компания Apple отправила в журнал следующее заявление.

За прошедший год компания Bloomberg многократно обращалась к нам с различного рода запросами, как общими, так и конкретными, которые касались предполагаемых проблем с безопасностью. По каждому из этих запросов мы всякий раз проводили тщательное внутреннее расследование, и ни одно из них не выявило фактов, которые могли бы подтвердить какое-либо подозрение. Мы систематически предоставляли официальные фактологические отчеты, опровергавшие практически все утверждения об Apple, опубликованные в материале Bloomberg.

Мы можем прямо утверждать: ни на одном из серверов Apple не были найдены намеренно внедрённые вредоносные чипы или другие элементы оборудования, а также источники уязвимости. Компания Apple никогда не обращалась в ФБР или другое агентство по поводу подобного инцидента. Нам и нашим представителям, взаимодействующим с правоохранительными органами, ничего неизвестно о проводимых в ФБР расследованиях по этому поводу.

В ответ на последнюю версию материала Bloomberg мы предоставили следующие факты: Siri и система Topsy никогда не работали на одних и тех же серверах; для работы Siri никогда не использовались сервера, предоставленные компанией Super Micro; хранение данных Topsy ограничивалось приблизительно моделями 2000 Super Micro, а не 7000. Ни на одном из этих серверов ни разу не были найдены вредоносные чипы.

Наша практика такова: прежде чем включать сервера в работу систем Apple, мы всегда исследуем их на предмет наличия угроз безопасности. Кроме того, для всего оборудования и программного обеспечения мы устанавливаем новейшие системы защиты. При подготовке оборудования и ПО в соответствии со стандартными процедурами мы не обнаружили уязвимостей на серверах, приобретённых у Super Micro.

Мы глубоко разочарованы тем, что, взаимодействуя с нами, корреспонденты Bloomberg не допускают возможности того, что они сами или их источники могут ошибаться или владеть неверной информацией. Вероятнее всего, они путают нынешнюю ситуацию с описанным ранее случаем 2016 года, в котором на одном из серверов Super Micro в нашей лаборатории был обнаружен драйвер, содержавший вредоносное ПО. Это единичное происшествие было признано случайностью, а не целенаправленной атакой на Apple.

Хотя утверждения об угрозе для пользовательских данных и не звучали, мы серьёзно относимся к подобным ситуациям и хотим, чтобы наши пользователи знали: мы делаем всё возможное, чтобы защитить информацию, которую они нам доверяют. Мы также хотим сообщить нашим покупателям, что сведения об Apple, предоставляемые компанией Bloomberg, являются некорректными.

Компания Apple всегда придерживалась принципа прозрачности в отношении обработки и защиты данных. Если бы произошло нечто подобное тому, что описывает Bloomberg News, мы бы охотно предоставили все имеющиеся у нас сведения и активно сотрудничали бы с правоохранительными органами. Инженеры Apple регулярно проводят тщательные проверки, чтобы убедиться в том, что наши системы надёжно защищены. Нам известно, что безопасность — это сфера, в которой нельзя останавливаться на достигнутом. Именно поэтому мы постоянно усиливаем защиту наших систем от активно развивающихся хакерских технологий и киберпреступников, стремящихся украсть наши данные.



В опубликованном материале Businessweek также утверждается, что компания Apple «сообщила о происшествии в ФБР, но утаила подробности об обнаруженной проблеме, в том числе от собственных сотрудников». В ноябре 2017 года, как только мы впервые столкнулись с этим утверждением, мы предоставили компании Bloomberg следующие сведения в составе подробного и объёмного официального отчёта. В первую очередь он давал ответ на необоснованные высказывания корреспондентов о предполагаемом внутреннем расследовании.

Несмотря на многочисленные обсуждения

в различных отделах и организациях, никто в Apple не слышал о таком расследовании. Журнал Businessweek отказался предоставить нам какую-либо информацию, которая помогла бы отыскать сведения о ходе предполагаемого расследования или его результатах. Представители издания также не смогли объяснить, какие именно стандартные процедуры якобы были нарушены.

Никто из Apple не обращался в ФБР по поводу такой ситуации, и мы никогда не получали от ФБР сведений о подобном расследовании, не говоря уже о том, чтобы помешать ему.

В своём сегодняшнем утреннем выступлении на канале Bloomberg Television корреспондент Джордан Робертсон сделал ещё ряд заявлений о якобы обнаруженных вредоносных чипах. Он сказал: «Насколько мы понимаем, компании Apple случайно удалось обнаружить проблему в ходе выборочной проверки нескольких некорректно работающих серверов».

Как мы ранее сообщили агентству Bloomberg, это совершенно неверно. Компания Apple никогда не обнаруживала вредоносные чипы на своих серверах.

И наконец, отвечая на вопросы, полученные от других новостных организаций с момента публикации материала Businessweek, мы сообщаем, что, предоставляя информацию по этой ситуации, мы не находимся под запретом на разглашение сведений и что на нас не наложены иные юридические ограничения.

‌Сегодня компания Facebook анонсировала свой новый продукт Portal — два устройства с разным размером экранов, со встроенной камерой, микрофоном и спикером. Устройство позволяет осуществлять видеозвонки между пользователями Portal, а также использовать умного помощника Alexa для задач вроде таймера, справки или управления умным домом. Но это, конечно, не обзор устройства, мне интересен больше аспект информационной безопасности этого гаджета. Хотя к функциональности тоже есть вопросы: отсутствие поддержки Facebook Messenger, WhatsApp для чатов. Гаджет умеет показывать фотографии с Facebook, но не умеет делать этого для аккаунта Instagram. Впрочем, все может измениться еще с обновлениями ПО.

В целом выпуск устройства с камерой и микрофоном для Facebook сейчас, когда компания еще отходит от последних скандалов, начиная от манипуляций информации ботами или скандала с Cambridge Analytica, в рамках которого до сих пор непонятно, сколько разных разработчиков собрали информацию о неизвестном количестве пользователей. Или заканчивая последним скандалом со взломом Facebook, когда неизвестные злоумышленники получили полный контроль над десятками миллионов аккаунтов пользователей. А разработчики сторонних сервисов тоже пока не могут определенно сказать, затронул ли этот взлом тех пользователей сервисов, которые использовали вход в них с токеном Facebook.


По крайней мере, Facebook уделили целый раздел страницы о продукте тому, как продукт должен обеспечивать приватность данных пользователей:
- возможность полностью отключить камеру и микрофон (очень удобное устройство получится без этих систем)
- возможность заблокировать камеру идущей в комплекте шторкой
- в камере нет распознавания лиц и идентификации пользователей
- утверждается, что звонки "не хранятся" на сервере Facebook. Похоже, что, что в звонках по умолчанию используется оконечное (end-2-end) шифрование. А что насчет метадаты о звонках?
- запросы к "помощнику" сохраняются на сервере, но их можно оттуда удалить в логе активности Facebook.

Зато опциональная функция позволяет Portal следить за тем, когда вы уходите или возвращаетесь домой. И в качестве бонуса — обещается, что пока что в Portal нет рекламы, что значит, что она обязательно скоро появится. Так что я с трудом могу себе представить, как будут покупать это устройство, которое к тому же еще и в самой дешевой версии стоит 200 долларов.

полезно для юзеров iPhone с iOS 12 — команды Shortcuts бывают разными, в том числе и вредными.

Внимание!!!

Остерегайтесь команд, скачанных из сомнительных источников, злоумышленники могут завладеть вашими деньгами!

Возможно это не только через сообщение, как в этой команде.

Меня самого эта тема уже немного утомила писать о ней каждый день, но это, наверно, по масштабам потенциально одна из основных новостей области информационной безопасности в этом году, поэтому появление новой информации по ней очень интересно.

Bloomberg пока что хранит гордое молчание по поводу обновлений истории, но зато за выходные высказалось Министерство национальной безопасности США. В их заявлении говорится, что они в курсе того, что это обсуждается в новостях, и у них нет поводов сомневаться в заявлениях компаний, фигурирующих в статье". Не уверен, что участие в этой истории заявления МНБ вселяет в меня уверенность в правдивости заявлений компании, но формулировки заявления тоже достаточно однозначны. Напомню, что есть подобное заявление и от британского разведывательного агентства.

Buzzfeed пишет о том, что журналисты поговорили со своими источниками внутри Apple, и никто не может подтвердить историю Bloomberg. Вообще ничего близкого по теме, говорят источники.


Кроме анонимных внутренних источников, есть еще и официальное обращение директора по информационной безопасности Apple в Конгресс США, что никаких следов подобной атаки на сервера компании обнаружено не было.

Есть еще у Reuters это дополнение от бывшего главного юрисконсульта Apple, который позвонил своим контактам в ФБР в прошлом году, когда до него дошли запросы от Bloomberg о подобном расследовании:

“I got on the phone with him personally and said, ‘Do you know anything about this?,” Sewell said of his conversation with Baker. “He said, ‘I’ve never heard of this, but give me 24 hours to make sure.’ He called me back 24 hours later and said ‘Nobody here knows what this story is about.’”

Реально какая-то мутная история, у которой наверняка есть какие-то основания, но статья Bloomberg, возможно, попала не туда.

В статье в Wall Street Journal (paywall) сегодня рассказали о том, что уязвимость в Google+ на протяжении трех лет позволяла видеть данные профиля пользователей (имя, адрес электронной почты, пол, возраст), даже если эти данные были отмечены как скрытые. Google утверждает, что сторонние разработчики не воспользовались этой уязвимостью для сбора пользовательских данных. Вот пост Google о том, что произошло и что будет дальше:
https://www.blog.google/technology/safety-security/project-strobe/

Проблема, по словам представителей Google, затрагивала около 500 тыс пользователей (на протяжении последних двух недель, пока хранятся логи. Что там было в прошлом, Google сказать не может). Интересно, что Google обнаружила эту проблему в марте 2018 года, но компания решила не сообщать о ней, так как опасалась внимания со стороны регуляционных органов (на волне внимания к проблеме Facebook и Cambridge Analytica). Эта скрытность, чувствую, еще вылезет Google каким-нибудь боком. Зато из хорошего: Google таки в течение следующего года закроет социальную сеть Google+ для потребителей, потому что "там все равно никого нет" (90% сессий короче 5 секунд — видимо, те, кто случайно туда попал).

Кроме того, Google проводит аудит доступа разработчиков к пользовательским данным и вносит соответствующие изменения. В частности, появятся ограничения для разработчиков приложений на Android в плане доступа к истории звонков: только те приложения-звонилки, которые установлены таковыми по умолчанию, плюс приложения для работы с голосовой почтой и резервными копиями. Появятся и дополнительные ограничения на доступ к почте в Gmail для разработчиков приложений.

Я много пишу про доступность любой информации в интернете (и в блоге, и в Телеграм-канале). А ведь дальше будет только хуже. Просто почитайте эту статью (в отрыве от ее политического аспекта), чтобы в очередной раз убедиться, что сохранности частных данных просто не существует. То кто-то чужое водительское удостоверение пришлёт, то читатели по базам данных страховых компаний, куда у них есть доступ, ищут информацию и присылают её исследователям:

Наши читатели, используя базу данных страховых полисов ОСАГО и реквизиты водительского удостоверения, выяснили, что данные права действительно зарегистрированы на имя

Ну и дальше там полный список различных сервисов, по которым проводится полный деанон человека. Только подтверждаются тезисы из этой статьи. Не новость, конечно, но каждый раз хочется уехать куда-то в лес без электричества.

Из рубрики «никогда такого не было, и вот опять» - исследователи Tenable обнаружили несколько уязвимостей в RouterOS, используемой в роутерах MikroTik. И все, как уже было неоднократно: параметры входа по умолчанию, и уязвимости, приводящие к полному контролю над роутером. Для разных роутеров вышли обновления RouterOS версий 6.40.9, 6.42.7 и 6.43 - вы знаете, что делать.

https://www.tenable.com/blog/tenable-research-advisory-multiple-vulnerabilities-discovered-in-mikrotiks-routeros

Между тем, так и не предоставив никаких доказательств истории с китайскими чипами в серверах Apple и Amazon, Bloomberg продолжает педалировать тему, публикуя новую статью на эту тему. Теперь, если верить статье, крупная телекоммуникационная компания в США обнаружила у себя в сети сервер Supermicro, с критическим технологическим компонентом, над которым были проведены некие манипуляции. Якобы был обнаружен имплант, встроенный в Ethernet-порт сервера, который, видимо, должен был служить бэкдором в сервер (но из статьи не очень понятно, делал ли он это).

Важно отметить также, что все крупнейшие телекоммуникационные компании США заявили о том, что эта история не о них (компания в статье не называется).

Я уже не знаю, что об этом думать (к счастью, я не один такой). Все требуют доказательств, но Bloomberg хранит молчание.


Материалы по теме:
- интервью с источником для второй статьи о чипе в Ethernet-порту
- Подкаст с экспертом по аппаратным имплантам, который общался с авторами первой статьи в Bloomberg. Он высказывает сомнения, поскольку с журналистами он разговаривал про теоретически возможные сценарии, а потом оказалось, что его теоретически возможный сценарий внезапно оказался описанным точь в точь, только уже в якобы реальном кейсе.

But it was surprising to me that in a scenario where I would describe these things and then he would go and confirm these and 100 percent of what I described was confirmed by sources.

- Интересный тред в твиттере чувака, который как-то общался с журналистами Bloomberg, которые написали историю про китайские чипы, на другую тему. Если резюмировать этот тред: журналисты хорошие, но любят раздувать тему, невнимательно относятся к техническим деталям и не всегда фильтруют источники.

Обнаруженная в августе уязвимость в WhatsApp (для iOS и Android) была исправлена в последнем апдейте, так что обновление не помешает. Уязвимость позволяла при поступлении звонка от злоумышленника закрешить клиент (и, видимо, потенциально сделать что-то еще, о чем исследователь из Google не говорит, но называет эту проблему big deal).

Кстати, комментарий к багу там интересный

Несколько интересных и полезных ссылок, накопившихся за последнее время:

Встроенная защита от фейковых клавиатур в Safari на iOS 12
https://www.reddit.com/r/apple/comments/9m94qg/til_safari_on_ios_12_has_builtin_protection/

Introducing Intra: A New App to Stop DNS Manipulation
https://medium.com/@JigsawTeam/introducing-intra-a-new-app-to-stop-dns-manipulation-f76de3f5d01

Use YubiKey security key to sign into AWS Management Console with YubiKey for multi-factor authentication
https://aws.amazon.com/blogs/security/use-yubikey-security-key-sign-into-aws-management-console/

просто ссылка от читателя 🙂 https://www.google.com/search?q=db_password+filetype%3Aenv

ААААААААААААААААААААААААААААА!
https://twitter.com/misterjamo/status/1050436638520823809

Неделю назад стало известно о том, что социальную сеть Facebook взломали и злоумышленники получили доступ к примерно 50 млн пользовательских записей. Сегодня Facebook опубликовал дополнительную информацию об этом взломе, из которой можно узнать:

- расследование показало, что из первоначальной оценки 50 млн пользовательских записей, которые могли быть затронуты, реально украдены токены были у 30 млн пользователей.
- из этих 30 млн пользователей у 15 млн пользователей хакеры получили доступ к базовой контактной информации (адрес электронной почты и/или номер телефона)
- у 14 млн пользователей хакеры получили доступ к гораздо большему набору информации: всё та же контактная информация, плюс никнейм, пол, язык, статус отношений, религия, город рождения, текущий город, указанный в профиле, дату рождения, типы устройств, используемые для доступа к Facebook, информацию об образовании, работе, последние 10 мест чекина или отмеченных, адрес сайта, список людей или страниц, которые пользователи фолловят, а также 15 последних поисковых запросов.
- у 1 млн человек нападавшие не получили никакой информации.


- Атака не затронула сервисы Messenger, Instagram, WhatsApp, Pages, платежи и учетные записи рекламодателей и разработчиков.

Проверить, был ли затронут ваш аккаунт, можно на странице помощи. Расследование взлома ведет также ФБР, и Facebook написали, что агентство попросило их не разглашать дополнительную информацию.

несколько интересных ссылок по теме канала на почитать:

1. Bug bounty | mail.ru Доступ к админ панели партнерского сайта и раскрытие данных 2 млн пользователей
https://habr.com/post/416835/
(спасибо читателю канала)

2. Отчет агентства по ответственности правительства (US Government Accountability Office) о состоянии цифровой безопасности Министерства обороны США (по результатам "учений", в которых специально отобранные хакеры пытались взламывать - вполне успешно - различные системы министерства). Публичная версия отчета не содержит в себе конкретных технических деталей, но все равно интересно почитать:
https://www.gao.gov/products/GAO-19-128

3. Еще одна фитнес-компания не уберегла данные своих пользователей, оставив базу открытой на AWS:
https://www.infosecurity-magazine.com/news/fitmetrix-exposes-millions-of/

4. Украденные Apple ID используются для воровства денег у пользователей Alipay и WeChat (я так понимаю, там все завязано на том, что Apple ID требует в Китае номера телефона, а потом получается привязка к реальным аккаунтам платежных систем. Как-то сложно, но, видимо, работает):
https://www.reuters.com/article/us-china-alipay-apple/chinas-alipay-says-stolen-apple-ids-behind-thefts-of-users-money-idUSKCN1ML0QO

5. Про пароль Kanye West
https://motherboard.vice.com/en_us/article/j53n87/kanye-west-worst-iphone-passcode

И в рамках пятницы картинка о том, почему информационная безопасность касается каждого!

(https://alexmak.net/wp-content/uploads/2018/10/0C1F00D2-12E0-4B31-BADB-4F92A89CE533.jpg)