Вдогонку к предыдущему сообщению

https://twitter.com/b1n4r1b01/status/1419734027565617165?s=21

Все это как подтверждение того, что вчерашний сесурити апдейт для iOS/macOS чинит, скорей всего, уязвимость, эксплуатируемую NSO

https://www.theregister.com/2021/07/27/apple_patches_zeroday/

As such, we are confirming in no uncertain terms that Kaseya did not pay a ransom
either directly or indirectly through a third party - to obtain the decryptor.

интересно. то есть ключ они получили, но не платили за него. хмммммм....

https://helpdesk.kaseya.com/hc/en-gb/articles/4403440684689-Important-Notice-July-2nd-2021

Большой выпуск про выплаты наград исследователям безопасности:

1. Microsoft выплатила $13,6 млн исследователям по кибербезопасности в рамках программ Bug Bounty за прошедший год
https://news.microsoft.com/ru-ru/microsoft-bug-bounty/

2. Google перезапустила программу выплат и рассказывают, как они будут лучше взаимодействовать с исследователями, организуют обучение, упростят процесс публикации результатов программы, и все такое
https://security.googleblog.com/2021/07/a-new-chapter-for-googles-vulnerability.html

https://bughunters.google.com/

3. Рассказ исследователя о том, как он пытался подать информацию об уязвимости в Apple (приложение могло получить доступ к постоянной информации о геолокации пользователя без разрешения пользователя), и в течение 14 месяцев общался с компанией, но в итоге получил примерно пенис.

https://medium.com/macoclock/apple-security-bounty-a-personal-experience-fe9a57a81943

Пишут, что министерство обороны Израиля пришло в гости в офис NSO с проверкой. Интересно, интересно.
(Кстати, забавный момент, что в софте NSO стоит стоп-блок на американские телефонные номера. То есть остальных ломать можно, а американцев нельзя. Ну хоть так боятся)

https://www.calcalist.co.il/technology/article/b1t11d11jkf

Мы живем в то странное время, когда NSA (NSA!) публикует инструкции о том, как обезопасить свои личные устройства с беспроводными коммуникациями - Bluetooth, NFC, WiFi. Рекомендации из серии «отключайте те каналы, которые не используете, не пользуйтесь публичным вайфаем, отключайте или ограничивайте доступ к геолокации, устанавливайте сложные пароли на устройствах, используйте только доверенные аксессуары и оригинальные зарядные шнуры». Ничего неожиданного, но хорошо собрано в одном месте:

https://media.defense.gov/2021/Jul/29/2002815141/-1/-1/0/CSI_SECURING_WIRELESS_DEVICES_IN_PUBLIC.PDF

В Эстонии тоже информация опасносте. Некий хакер на протяжении нескольких дней качал фотографии почти 300 тысяч сограждан, используя зарубежные IP адреса, вредоносную сеть, уязвимость в базе и даже поддельные сертификаты! Ранее он уже, как я понял, собрал имена и ID сограждан. Но даже с фотографиями он, как утверждает полиция, не мог причинить никакого ущерба.

https://rus.postimees.ee/7302865/prestupnik-skachal-pochti-300-000-fotografiy-na-dokumenty-zhiteley-estonii
 
https://rus.postimees.ee/7304105/ria-krazha-fotografiy-s-dokumentov-ne-povliyaet-na-rabotu-elektronnyh-uslug
 
https://rus.postimees.ee/7303697/chto-izvestno-o-lyudyah-fotografii-kotoryh-byli-pohishcheny-hakerom


https://news.err.ee/1608291072/hacker-downloads-close-to-300-000-personal-id-photos

За ссылки спасибо читателям!

Следуйте рекомендациям NSA с ежедневными рестартами телефона, говорили они…

Тут, между прочим, пишут, что все, что украли у EA, выложили в интернете, потому что ЕА отказалась платить выкуп.

https://therecord.media/hackers-leak-full-ea-data-after-failed-extortion-attempt/

Какая шикарная история! Не знаю, пытался ли кто-то из читателей когда-либо связаться с Фейсбуком и получить от них ответ, но мне пришлось это делать - в частности, нужно было изменить параметры одного разработческого аккаунта. Пока я реально не нашёл через знакомых человека, который работал в ФБ в нужной сфере и смог достучаться за меня в правильное место в компании - никакой реакции от компании не было. Никаких ответов на формы на сайте, никаких адресов электронной почты, ничего. Поддержка не нужна, читайте форумы!

Короче, народ тут придумал хак этой системы: если у вас, например, хакнули учётку ФБ, можно купить приставку Oculus для VR - у внезапно у компании сразу появляется обратная связь с вами. Конечно, вы же занесли денег! Так вот, хак заключается в том, чтобы купить Oculus, получить поддержку - и вернуть его, не открывая.

https://www.npr.org/2021/08/02/1023801277/your-facebook-account-was-hacked-getting-help-may-take-weeks-or-299

И опять у нас рекомендации NSA, в этот раз по укреплению Kubernetes

https://www.nsa.gov/News-Features/Feature-Stories/Article-View/Article/2716980/nsa-cisa-release-kubernetes-hardening-guidance/

Или вот Амазон, который собирает отпечатки ладоней клиентов и готов платить баснословные 10 долларов за отпечаток. Thisisfine.jpg

https://techcrunch.com/2021/08/02/amazon-credit-palm-biometrics/

Еще один тред (тоже от специалиста по криптографии), как подобные неизвестные алгоритмы детекции потенциально несут в себе риски для слежки за людьми:
Два

Думаю, не будет лишним напомнить, что Facebook, Dropbox, Google, Microsoft и прочие сканируют фотографии на предмет CSAM, используя все ту же базу уже известных фотографий. Например, Facebook сообщил о 15 млн совпадений с такими фотографий в 2019 году, Dropbox — о 21 тысяче подобных совпадений в 2020 году. Правда, все это происходит исключительно в облаках, а здесь часть задачи по детекции переносится на устройства пользователей. Скорей всего, под этим всем имеются и какие-то юридические основания — типа “нам не дадут сделать end2end шифрование, если не будет детекции такого контента”. Я не удивлюсь, если окажется, что это важное условие для того, чтобы объявить, что бэкапы iCloud станут e2e-зашифррованными, наконец-то.

Apple утверждает, что таким образом конфиденциальность и приватность повышается, но моих знаний в криптографии недостаточно, чтобы понять этот аргумент. Понятно, что ситуации, где действительно происходит насилие над детьми и их сексуальная эксплуатация, требуют основательных подходов и решений. Хотелось бы, чтобы при этом не возникало ощущения, что теперь следят прямо за тобой, причем сразу с помощью твоего же устройства. Вспоминается реклама Apple о том, что “то, что происходит на вашем iPhone, остается на вашем iPhone”.

Ну так, почти. Почитаю еще специалистов, что они об этом говорят.

https://alexmak.net/2021/08/05/child-safety/

Есть большая и интересная тема, которую вчера анонсировала Apple. Вся забота — о детях же, конечно!

Вообще речь идет о трех основных вещах:

1. В мессенджере Messages появится инструмент определения фотографий с сексуальным контентом, и он будет предупреждать детей и их родителей о получении такого рода контента. Анализ фото будет проводиться на устройстве, и по умолчанию такие фотографии будут замазываться. Работать эта функция будет только для детских аккаунтов, у пользователей до 13 лет (к тому же опционально). По-моему, супер-полезно, хотя кого-то от Messages и оттолкнет.

2. В Siri и поиске на устройствах появится дополнительная возможность узнать о том, как оставаться в безопасности в онлайне.

3. И самая главная фича, которая вызвала уже довольно сильное бурление в интернете: теперь на устройстве будет проводиться некий анализ фотографий на предмет наличия в них контента с насилием над детьми — Child Sexual Abuse Material (CSAM). На самом деле это будет не совсем анализ в привычном для нас виде, когда потом можно найти все фотографии котиков или автомобиля в фотобиблиотеке. Для анализа будет использоваться база хешей Национального Центра для пропавших и эксплуатируемых детей и других организаций (National Center for Missing and Exploited Children (NCMEC), и сравниваться будет именно совпадение хешей. Раньше подобный анализ проводился над фотографиями, залитыми в iCloud, а теперь он в каком-то виде будет проводиться на устройстве до заливки в iCloud и затем при заливке будут инициироваться дополнительные проверки.

И дальше вроде бы тоже ничего нового: если система будет находить совпадение хешей, то живые люди будут сравнивать результаты (фотографий, которые, как я понимаю, будут заливаться в iCloud с неким криптографическим ваучером). При реальном обнаружении отчет будет передан в этот национальный центр NCMEC и, как я понимаю, оттуда информация попадет правоохранительным органам. Также учетная запись пользователя будет заблокирована (для восстановления можно инициировать апелляцию). Основное изменение во всей этой истории, как я понимаю, заключается в том, что предварительный анализ будет проводиться на устройстве, еще до того, как эти фотографии будут залиты в облако.
Несколько интересных пунктов для контекста и понимания:

– речь не идет о сканировании всех ваших фотографий, которые хранятся на устройстве. Есть база хешей уже известных фотографий, содержащих противоправный контент, и будут сравниваться именно эти хеши. Повторюсь, речь идет об обнаружении только уже известных CSAM изображений.

– сам момент анализа на устройстве пока что мне не до конца понятен. Вроде как safety voucher создается на устройстве, но анализ вроде как проводится только при аплоаде на iCloud Photos. Соответственно, отключив iCloud Photos, можно избежать анализа контента на предмет Child Sexual Abuse Material (если вам есть что скрывать, конечно). По сути, если я правильно понимаю, фотография все равно была бы просканирована при загрузке в iCloud, но часть этого “сканирования” будет происходить на устройстве.

– Само сравнение живыми ревьюверами происходит тоже не в виде просмотра полного изображения — они видят только некоторые элементы, которые могут позволить им понять совпадение или несовпадение с уже известными CSAM контентом

– Если фото не является известным CSAM, Apple ничего не знает о вашей фотографии.

– Отчет в Apple уйдет только в том случае, если будет достигнут некий предел наличия такого контента на устройстве

– Вся эта схема пока что будет работать только в США, и появится с выходом iOS 15.

Пара ссылок по теме:
1. Полный анонс новой функциональности
2. Детальное описание того, как будет работать определение контента, содержащего сцены насилия над детьми
3. Пост в канале с информацией о сканировании фотографий в iCloud
4. Статья в Forbes о том, как работает система определения подобных фотографий в почте

Пара статей с новостями об этом (раз, два)

Интересные треды в твиттере с обсуждением этих изменений: (например, от специалиста по криптографии и кибербезопасности)
Раз

так, продолжая тему «защиты детей» — а более корректно — борьбы с контентом, содержащим сцены сексуального насилия над детьми, еще парочка ссылок по теме:

1. перевод хорошей статьи, довольно популярно раскладывающей по полочкам что именно будет делать Apple, и также описывающей потенциальный риск от этих изменений

https://alexmak.net/2021/08/08/slippery-slope/

Оригинал https://daringfireball.net/2021/08/apple_child_safety_initiatives_slippery_slope

2. Также Эпол опубликовала сегодня FAQ с ответами, пытаясь прояснить самые актуальные вопросы, связанные с этими инициативами
https://www.apple.com/child-safety/pdf/Expanded_Protections_for_Children_Frequently_Asked_Questions.pdf

грубо говоря, на вопрос «какая гарантия, что завтра какой-нить кетай не придет со своими запросами» ответ был из серии «у нас все заточено на поиск конкретно этих картинок, все проходит через живых человеков, если уж эскалация с картинками, и вообще мы будем всячески сопротивляться». Посмотрим, готовы ли они сопротивляться до уровня отказа от какого-нибудь рынка, если уж найдет коса на камень

очень люблю эту тему с исследователями из Бен Гуриона, которые придумывают новые методы подсматривания и подслушивания (тут они уже пару раз, кажется, фигурировали). В этот раз они продемонстрировали механизм сканирования небольших колебаний в интенсивности LED на колонках и хабах, которые затем можно превратить обратно в аудио-сигналы (которые изначально эти колебания вызвали)

https://www.nassiben.com/glowworm-attack

https://arstechnica.com/gadgets/2021/08/new-glowworm-attack-recovers-audio-from-devices-power-leds/

=== РЕКЛАМА ====

‍Получите бесплатный доступ к облачным сервисам #CloudMTS для разработчиков на 30 дней!

✔️ Всё, что нужно для разработки цифрового продукта: IaaS, облачный суперкомпьютер на GPU, резервное копирование, S3 хранилище, CDN, WAF, сервисы Azure и многое другое.
✔️ Можно использовать любое количество сервисов одновременно.
✔️ Никаких ограничений по функционалу и скрытых платежей.

Выведите свой продукт на рынок в рекордные сроки вместе с #CloudMTS

https://bit.ly/2TM4T5E 👈🏻

Больше интересных новостей про продукт и не только в @iaasblog

компания Zimperium идентифицировала вредоносную кампанию с помощью трояна для Android, и опубликовала отчет об этом. По их информации, кампания насчитывает более 10 тысяч жертв в 144 странах. Для нее используется троян FlyTrap, который распространяется с помощью «перехвата социальных медиа, сторонних магазинов приложений, и загруженных мимо магазинов приложений». В организации этого всего безобразия обвиняют некую группировку из Вьетнама, и что они даже смогли разместить приложение с вирусом в том числе в Google Play (откуда Google его впоследствии удалила). Троян использует метод инъекции JavaScript, который позволяет приложению открывать легитимные УРЛы внутри WebView, который сконфигурирован с возможностью внедрения кода JS.

https://blog.zimperium.com/flytrap-android-malware-compromises-thousands-of-facebook-accounts/

Интересная и полезная публикация у компании Элкомсофт об инструментах защиты пользовательской информации на устройствах с iOS/macOS: шифрованные DNS и DoH, встроенные инструменты по прятанию IP адреса, Tor-браузеры, прокси и VPN

https://blog.elcomsoft.com/2021/07/ios-privacy-protection-tools-encrypted-dns-ios-15-private-relay-proxy-vpn-and-tor/