в пятницу 1 апреля — только серьезные новости! Например, о том, что VPN — не панацея от инициатив операторов продавать ваши данные о походах в интернет. потому что сейчас этих VPN-сервисов развелось как собак нерезанных, и нужно очень внимательно выбирать тех, кто не будет продавать ваши данные на сторону точно так же, как собираются это делать операторы связи. не говоря уже о том, что куча VPN-приложений для Android оказались сразу со встроенным вредоносным ПО. Короче, ценность VPN немношк переоцена https://www.techdirt.com/articles/20170327/09244537008/just-use-vpn-isnt-real-solution-to-gops-decision-to-kill-broadband-privacy-protections.shtml

а еще читатель Артем прислал ссылку на какое-то очень странное исследование уязвимостей в популярных мессенджерах на iOS и Android от компании SolarSecurity (о которой я, например, никогда не слышал). Короче, по результатам их исследований мессенджеры на Android гораздо безопасней, чем на iOS. я, конечно, необъективен, но мне что-то с трудом верится, что в Signal, который экспертами считается одним из самых надежных и безопасных мессенджеров, на iOS есть 20 критических уязвимостей. Короче, моя внутренняя собака-подозревака что-то не верит этому отчету. http://solarsecurity.ru/upload/iblock/263/Otchet_messanger_Solar_inCode.pdf

в качестве пятнично-развлекательного чтива можно почитать, как журналист Gizmodo обнаружил секретный твиттер-аккаунт директора ФБР, основываясь на обрывках информации, доступной в сети. в интернете не может спрятаться никто и нигде http://gizmodo.com/this-is-almost-certainly-james-comey-s-twitter-account-1793843641

ахахаха, меня тут поправляют, что у меня уже почему-то наступило 1 апреля. извините, это обезболивающие лекарства, наверно, так на меня действуют и превращают мозг в кашу

А вот ещё две интересные ссылки от читателя Ильи, с его комментариями:
Номер раз. ФСБ закон Яровой vs Операторы кратко операторы предложили создать тестовые зоны для исполнения требований фсбешников. (В надежде показать на сколько это дорого и бесполезно IMHO) Но ФСБ сказали технически это возможно так что идите в банк тратить ваше бабло на наши хотелки, сколько сольёте нам без разницы но шобы всё работало. Оригинал http://www.interfax.ru/russia/553363

Номер два. Хотят расширить закон Яровой ещё долбанутей чем он есть сейчас https://rns.online/it-and-media/Zakon-Yarovoi-mozhet-obyazat-abonentov-nazvat-vseh-vozmozhnih-polzovatelei-ih-gadzhetov-i-noutbukov-2017-03-28 А именно обязать указывать всех пользователей для гаджетов, а непослушных отрубать от связи. Берегите там себя и свою информацию!

Почему всегда надо проверять банкоматы на скиммеры https://krebsonsecurity.com/2017/03/why-i-always-tug-on-the-atm/

В марте Apple опубликовала обновленную версию документа, описывающего безопасность iOS. если вас интересует информационная безопасность, то это очень полезный и познавательный документ. из интересных изменений в последней версии можно отметить информацию про HomeKit и то, как HomeKit защищает пользователей от утечки их личной информации через всякие "умные" IoT устройства (в том числе путем сертификации таких устройств для работы с HomeKit и установки жестких требований по безопасности). еще пояснение о том, почему Siri по-прежнему иногда кривовато работает со сторонними приложениями ("безопасность пользовательских данных — прежде всего"). и еще я оттуда узнал, что в iOS 10 появилась такая штука как ReplayKit, которая в том числе позволяет захватывать в видео экран на iOS устройствах, так как в документе Apple объясняет различные ограничения по безопасности, которые этой фиче сопутствуют (раньше такая функциональность требовала джейлбрейка, насколько я помню). https://www.apple.com/business/docs/iOS_Security_Guide.pdf

так, а сейчас надо убрать несовершеннолетних, беременных и людей со слабой психикой от мониторов. тут появилась информация об очередном "достижении" Internet of Things, и в этот раз оно относительно отвратительное. во-первых, речь идет о дилдо. во-вторых, речь идет о дилдо во встроенной камерой (!!!) — кто вообще, блядь, придумал, камеру в дилдо, чтобы транслировать, скажем так, этот контент??? Ну и в третьих, у дилдо пароль по умолчанию к вайваю — 88888888, так что злоумышленник, будучи в радиусе действия вайфая дилдо (черт, у меня в голове не укладывается словосочетание "дилдо с вайфаем"), может подключиться к нему удаленно и смотреть поток видео с него (ЗАЧЕМ??????) внутри в ссылке — достаточно отвратительное видео внутренностей чьей-то вагины, так что берегите там свою психику. блядь, у меня просто слов нет. https://motherboard.vice.com/en_us/article/camera-dildo-svakom-siime-eye-hacked-livestream

не знаю, что больше шокировало отписавшихся несколько человек – использование слова на букву Б или же ссылка на видео с внутренностями вагины? но вообще новость-то вполне в тематику канала, и чем больше гаджетов будут с вайфаем-блютусом непонятно зачем, тем больше таких новостей будет. держитесь там!

Хорошие новости для пользователей менеджера пароля LastPass — уязвимость, которая позволяла перехватывать пароли в браузере из LP, наконец-то исправлена. Апдейт должен, по идее, встать автоматически. по ссылке — пост в блоге LP с информацией об апдейте и о самой уязвимости (довольно таки техническое описание произошедшего) https://blog.lastpass.com/2017/03/security-update-for-the-lastpass-extension.html/

и не очень хорошие новости для пользователей техники Samsung, в которой используется операционная система Tizen. Если ориентироваться чисто на рынок смартфонов, то там вроде как Tizen не очень известен, однако, Samsung, в своих попытках избавиться от зависимости от Android, успела засунуть Tizen не только в 10 миллионов смарфонов, но и в 30 миллионов телевизоров, а также в часы, а еще в холодильники и даже планировал в стиральные машины. короче, там один хакер хорошенько проанализировал весь этот Tizen, ужаснулся, нашел несколько десятков критичнейших уязвимостей и назвал Tizen "худшим кодом, который он когда-либо видел". Большинство уязвимостей в Tizen позволяет получить удаленный контроль над устройствами, в которых установлена эта операционная система (представьте себе SmartTV со встроенной камерой и микрофоном, через который за вами наблюдает не только ЦРУ, но и просто какой-то извращенец). Ошибки там и в старом коде, пришедшем еще с Bada, и в новом, который писали уже для Tizen. там все плохо и с точки зрения архитектуры, и даже с точки зрения использования элементарного шифрования передачи данных. Изначально Samsung даже репорты об этих уязвимостях игнорировал, но сейчас вроде начал шевелиться немного. Короче, никогда такого не было, и вот опять! https://motherboard.vice.com/en_us/article/samsung-tizen-operating-system-bugs-vulnerabilities

и моя любимая рубрика — прелести Internet of Things. Некто купил гаджет для управления гаражной дверью. Что-то у него пошло не так, пульт сразу не заработал, покупатель пошел и написал на Амазоне отзыв с одной звездой и комментарием "нифига не работает". Помните, когда в Google Play появилась возможность разработчикам отвечать пользователям, по сети ходили скриншоты, как разработчики пользователей посылают подальше в ответ на жалобы? Разработчик этого гаджета пошел дальше, они просто на сервере заблокировали возможность этого гаджета работать с сервисом. Еще и радостно в ответе написали "нефиг было дергаться сразу с отзывом, теперь у тебя опция — только вернуть обратно наш гаджет, у тебя он работать не будет". Отличный подход, я считаю

Читатель Илья прислал ссылку на статью об законопроекте, который предлагает строгий порядок допуска и регистрации в социальных сетях. Надо сказать, что в кои-то веки я с ним (законопроектом) согласен — "В проекте закона указано, что пользоваться соцсетями сможет только лицо, достигшее 14-летнего возраста.". А то от школоты в интернете уже не протолкнуться :) https://hi-tech.mail.ru/news/kids-shouldnt-go-to-social-networks/

в фильмах, где террористы захватывают мир, часто применяется прием, когда злодеи (впрочем, это могут быть и инопланетяне, например), каким-то образом перехватывают сигнал телеэфира и транслируют на все телевизоры в мире свой месседж. Так вот, с появлением smart TV такая тема становится куда реальней, чем кажется. Тут исследователи продемонстрировали эксперимент, при котором в транслируемый телесигнал с помощью специального устройства "подмешивается" специальный зловредный шум. А дальше, путем эксплуатации известных уязвимостей в СмартТВ Самсунг злоумышленник может получить полный удаленный контроль над телевизором, включая доступ к микрофону и камере телевизора. причем исследователи допускают, что подобные уязвимости могут присутствовать и в телевизорах других производителей. чето чем дальше, тем страшнее жить. Там по ссылке есть часовое видео с техническими деталями презентации https://arstechnica.com/security/2017/03/smart-tv-hack-embeds-attack-code-into-broadcast-signal-no-access-required/

И снова здравствуйте! Я как-то прохлопал тот факт, что в начале недели вышло обновление iOS 10.3.1. А теперь стала появляться информация о том, почему так срочно Apple понадобилось выпускать этот апдейт. На самом деле в iOS он исправляет уязвимость (внимание!) на адаптере WiFi, которая позволяла запускать вредоносный код прямо на WiFi-чипе. Вот информация о содержимом апдейта 10.3.1 https://support.apple.com/en-us/HT207688. А тут по ссылке — детальный разбор самой уязвимости на чипе Broadcom, если вам нужны дополнительные детали. https://googleprojectzero.blogspot.tw/2017/04/over-air-exploiting-broadcoms-wi-fi_4.html Проблема в том, что уязвимость затрагивает не только пользователей iOS, но и пользователей Android. К сожалению, для владельцев телефонов с Android у меня плохие новости: если для телефонов Nexus/Pixel Google вроде как выпустила исправление в рамках апрельского патча (я так и не понял по описанию, то ли он уже вышел, то ли только запланирован https://source.android.com/security/bulletin/2017-04-01), то для остальных моделей телефонов когда такой патч дойдет — вообще неизвестно. Чтобы понимать масштабы катастрофы: используя эту уязвимость на чипе Broadcom, который, похоже, используется практически везде, злоумышленники, настроив специальным образом WiFi-сеть, могут получить полный контроль над устройством. Пока что единственный способ избежать такой атаки (а они будут, учитывая доступность информации об уязвимости и отставание многих телефонов с Android в плане апдейтов безопасности) — отключить WiFi на телефоне, что, конечно же, большинство пользователей делать не станет. Так что берегите там себя, да (ну и по возможности выбирайте более безопасные платформы смартфонов) :)

Здравствуйте! Сегодня пятница, и как бы мне не хотелось сказать "только хорошие новости", но новости сегодня разные. Вот, например, хорошая! Вы же помните историю про "компьютерных террористов", которые шантажировали Apple массовым удалением устройств у пользователей iCloud? Они должны были сегодня (7 апреля) привести свою угрозу в исполнение, но, похоже, из этих угроз получился только пшик. У Троя Ханта, автора сайта haveibeenpwnd.com, который трекает всякие утечки пользовательских данных, вышло отличное исследование по материалам данных о том, откуда взялись эти угрозы про 500 миллионов потенциальных жертв. Если вкратце, то, по сути, это компиляция из предыдущих утечек из сервисов типа MySpace, Lastfm, Evony, и других, а никакого взлома систем Apple, разумеется, не было. Потенциально могут пострадать только те пользователи, у которых используется тот же пароль, что и в этих сервисах, откуда уже утекли данные о пользовательских записях, и при этом не активирована двухфакторная авторизация. Короче, можно расслабить булки. https://www.troyhunt.com/heres-where-the-apple-accounts-hackers-are-threatening-to-wipe-came-from/

а если среди вас остались пользователи ЖЖ, то вам будет интересно узнать детали нового пользовательского соглашения, которое сервис заставляет заключать с пользователями, которые все еще зачем-то используют эту платформу. По ссылке — достаточно детальный анализ нового соглашения, после прочтения которого хочется немедленно его сжечь (соглашение и ЖЖ) https://rublacklist.net/27266/

в качестве вечернего чтения могу предложить вам отчет компании McAffee об угрозах в интернете за март 2017 года (сам отчет — апрельский). Из него вы можете узнать много интересного про ботнет Mirai, включая её архитектуру и как организовываются атаки, а также дефолтные пароли многих IoT устройств. Но, кроме этого, из этого отчета можно узнать, что в 2016 году количество вредоносного ПО для Мака выросло на 744% (примерно 460 тыс "обнаружений"). Прежде чем бежать в панике покупать антивирус, полезно будет узнать, что практически всё из этого "роста" — это adware, то есть особого вреда, кроме попыток показать рекламу, не приносит. Для сравнения, всего, по оценкам McAffee, в 2016 году было зарегистрировано более 600 млн обнаружений вредоносного ПО — это чтобы понимать масштаб в случае с Маком. https://www.mcafee.com/us/resources/reports/rp-quarterly-threats-mar-2017.pdf

вчера ночью злоумышленники получили контроль над системой управления сиренами в Далласе, которые предупреждают о торнадо. Полтора часа 156 сирен радовали звуками местных жителей. Такие дела.