ну и хорошая история почитать на выходных, с отличной визуализацией: как журналисты The New York Times получили огромный архив данных о местоположении миллионов американцев за 2016-2017 год и что можно из этой информации получить. не буду спойлить, это очень хороший материал
https://www.nytimes.com/interactive/2019/12/19/opinion/location-tracking-cell-phone.html
https://www.nytimes.com/interactive/2019/12/19/opinion/location-tracking-cell-phone.html
Nytimes
Opinion | Twelve Million Phones, One Dataset, Zero Privacy (Published 2019)
What we learned from the spy in your pocket.
Для чтения на выходных и вообще как пример хорошо изложенного материала — новая версия документа Apple Platform Security (ранее известный как iOS Security Guide). Практически все, что вас может заинтересовать о том, как работает безопасность в устройствах и операционных системах Apple, изложена понятным и не сильно техническим языком.
https://manuals.info.apple.com/MANUALS/1000/MA1902/en_US/apple-platform-security-guide.pdf
https://manuals.info.apple.com/MANUALS/1000/MA1902/en_US/apple-platform-security-guide.pdf
Продолжение ко вчерашнему материалу NYT о трекинге перемещения американцев с прекрасными иллюстрациями в самом начале
https://www.nytimes.com/interactive/2019/12/20/opinion/location-data-national-security.html
https://www.nytimes.com/interactive/2019/12/20/opinion/location-data-national-security.html
Nytimes
Opinion | How to Track President Trump (Published 2019)
Smartphones leave a trail that anyone — and any foreign government — could follow.
Интересная история у, опять же, NYT о приложении ToTok — популярном приложении-мессенджере для мобильных платформ, разработанном, судя по всему, по заданию разведки Объединенных Арабских Эмиратов. Обещания были красивые — безопасный мессенджер и видеозвонки, конечно же. И, по информации источников издания, все сообщения, вся информация о местоперемещении пользователей, все аудио-видео записи — всё это было доступно правительству ОАЭ для мониторинга и слежки. Удобно!
На момент публикации приложения уже были удалены из соответствующих магазинов App Store и Google Play. (Правда, в магазинах Samsung, Huawei, Xiaomi и Oppo оно было доступно.) Интересно, что VirusTotal считал приложение безопасным, значит, вся обработка данных, если таковая была, происходила на стороне бэкэнда.
https://www.nytimes.com/2019/12/22/us/politics/totok-app-uae.html
компания, разумеется, все отрицает, а приложения недоступны в магазинах, потому что "Технические сложности".
https://totok.ai/news
На момент публикации приложения уже были удалены из соответствующих магазинов App Store и Google Play. (Правда, в магазинах Samsung, Huawei, Xiaomi и Oppo оно было доступно.) Интересно, что VirusTotal считал приложение безопасным, значит, вся обработка данных, если таковая была, происходила на стороне бэкэнда.
https://www.nytimes.com/2019/12/22/us/politics/totok-app-uae.html
компания, разумеется, все отрицает, а приложения недоступны в магазинах, потому что "Технические сложности".
https://totok.ai/news
NY Times
It Seemed Like a Popular Chat App. It’s Secretly a Spy Tool. (Published 2019)
ToTok, an Emirati messaging app that has been downloaded to millions of phones, is the latest escalation of a digital arms race.
Преступление:
"группа хакеров" шантажирует Apple, угрожая удалить данные сотен миллионов пользователей
https://t.me/alexmakus/1036
Наказание:
два года в тюрьме, но с отсрочкой на 300 часов неоплачиваемой работы с условием соблюдения 6 месяцев электронного наблюдения (вот тут я не понял, то ли это означает браслет на ногу, то ли запрет на работу с компьютером).
https://www.nationalcrimeagency.gov.uk/news/hacker-tried-to-blackmail-apple-by-threatening-to-delete-319m-accounts
"группа хакеров" шантажирует Apple, угрожая удалить данные сотен миллионов пользователей
https://t.me/alexmakus/1036
Наказание:
два года в тюрьме, но с отсрочкой на 300 часов неоплачиваемой работы с условием соблюдения 6 месяцев электронного наблюдения (вот тут я не понял, то ли это означает браслет на ногу, то ли запрет на работу с компьютером).
https://www.nationalcrimeagency.gov.uk/news/hacker-tried-to-blackmail-apple-by-threatening-to-delete-319m-accounts
Telegram
Информация опасносте
Гутенморген! С утра только "хорошие" новости. Некая группа хакеров под названием Turkish Crime Family требует у Apple выкуп в 75 тысяч долларов, а иначе 200 (а то и 300, а то и 559) миллионов iPhone 7 апреля будут удаленно очищены. Хакеры предоставили СМИ…
Возвращаюсь мыслями к скандалу о данных и слежке за пользователями, о которых писала New York Times на прошлой неделе. Пытаюсь понять, что организаторы платформ и/или мы как пользователи можем по этому поводу сделать. С одной стороны, Apple и Google и так задалбывают на своих устройствах всевозможными подтверждениями доступа к тем или иным данным. Но в итоге вся ответственность падает на пользователя, который разрешает или запрещает приложению доступ к данным. А когда разработчик получает разрешение от пользователя и начинает собирать данные, как могут создатели платформ контролировать, что разработчики делают с этими данными, и не продают ли они их на сторону.
С другой стороны, есть масса приложений, которым информация о местоположении действительно нужна. Приложение для показа погоды, например, или навигационное приложение, или приложение для спорта. Если с погодой еще можно ограничить информацию о местоположении городом, например, то с другими категориями уже сложнее. И как должен пользователь разбираться, что вот это бесплатное приложение действительно достойно получать геолокацию с телефона, а другое сливает его в базу разведки ОАЭ или чего-то такого?
Законодательное регулирование — это, конечно, вариант, но всякие GDPR, CCPA и прочее что-то пока привели только к увеличению дурацких писем и уведомлений, а так, чтобы почувствовать себя в информационной безопасности — такого нет. Так и живем.
С другой стороны, есть масса приложений, которым информация о местоположении действительно нужна. Приложение для показа погоды, например, или навигационное приложение, или приложение для спорта. Если с погодой еще можно ограничить информацию о местоположении городом, например, то с другими категориями уже сложнее. И как должен пользователь разбираться, что вот это бесплатное приложение действительно достойно получать геолокацию с телефона, а другое сливает его в базу разведки ОАЭ или чего-то такого?
Законодательное регулирование — это, конечно, вариант, но всякие GDPR, CCPA и прочее что-то пока привели только к увеличению дурацких писем и уведомлений, а так, чтобы почувствовать себя в информационной безопасности — такого нет. Так и живем.
Ну и про Эпол, раз пошла жара. Компания открыла свою bounty-программу для всех желающих, выплаты до 1млн долларов за сохраняющийся взлом ядра без интеракций со стороны пользователя. Какой-нибудь NSO Group за такую дыру заплатит раза в два раза больше.
https://developer.apple.com/security-bounty/payouts/
https://developer.apple.com/security-bounty/payouts/
Bounty - Apple Security Research
Your security research may be eligible for a reward through the Apple Security Bounty. We welcome reports from anyone.
Планы здания британской разведки с размещением сигнализаций и другими средствами предотвращения проникновения пропали. Очевидно, что эти планы могут представлять большой интерес для злоумышленников и шпионов. Джеймс Бонд напрягся
https://www.thesun.co.uk/news/10623272/mi6-sack-builders-hq-blueprints-missing/
https://www.thesun.co.uk/news/10623272/mi6-sack-builders-hq-blueprints-missing/
The Sun
Top secret MI6 blueprints vanish as it's warned they'll be 'gold dust' to criminals
TOP-secret planning documents of MI6’s HQ have gone missing in a shocking security gaffe. More than 100 papers, detailing layout and security measures, vanished from the building, which has feature…
Несколько апдейтов к концу года, которые накопились в закладках. Без особых комментариев, так как из отпуска их просто лениво писать
Разработчик «умных камер» Wyze оставил открытой базу данных клиентов компании, что позволило получить массу персональной информации об этих камерах, пользователях, и много другой персональной информации
https://blog.12security.com/wyze/
Компания подтвердила эту историю (правда, также пожаловались на то, что раскрытие информации обнаружившими её экспертами произошло через несколько минут после того, как они сообщили о ней компании)
https://forums.wyzecam.com/t/updated-12-29-19-data-leak-12-26-2019/79046
Разработчик «умных камер» Wyze оставил открытой базу данных клиентов компании, что позволило получить массу персональной информации об этих камерах, пользователях, и много другой персональной информации
https://blog.12security.com/wyze/
Компания подтвердила эту историю (правда, также пожаловались на то, что раскрытие информации обнаружившими её экспертами произошло через несколько минут после того, как они сообщили о ней компании)
https://forums.wyzecam.com/t/updated-12-29-19-data-leak-12-26-2019/79046
Two Minutes To Midnight
Wyze Essay 1 - Your Information is Exposed
Recently, Wyze, the fast selling consumer camera company, was breached. Personally, in ten years of sysadmin and cloud engineering, I have never encountered a breach of this magnitude.
Компания Wawa - заправки и магазины на восточном побережье США, в основном в Пенсильвании и соседних Штатах — обнаружила вредоносное ПО на терминалах в магазинах и на заправочных колонках. Все 700 точек, с марта по декабрь, ПО собирало данные по банковским картам, включая номера, даты окончания действия карты, имена владельцев. Тот случай, когда новость из канала затрагивает меня лично — за этот период я неоднократно заправлялся на заправках этой компании (к счастью, в большинстве случаев используя Apple Pay, так что данные карты не должны были утечь)
https://www.wawa.com/alerts/data-security
https://www.wawa.com/alerts/data-security
на этом редакция прощается с вами в этом году. Хорошо и безопасно вам встретить Новый год (например, не терять телефоны, включить биометрию, удаление данных после определенного количества попыток ввода пароля, и тд), ну и провести его тоже хорошо. Тематика этого канала такая, что я бы даже предпочёл, чтобы необходимости для новых постов было меньше, но реальность такова, что их станет, скорей всего больше. До новых постов!
С Новым годом, с новыми будущими утечками и информационными опасностями!
Уже даже в популярных массовых СМИ появляются статьи о том, что телевизоры собирают информацию о пользователях и просматриваемом контенте, и как это отключить. Может, пригодится. Я ещё и телевизор от вайфая отключил, потому что незачем это ему.
https://www.usatoday.com/story/tech/2020/01/02/amazon-fire-sony-vizio-smart-tvs-spying/2792152001/
https://www.usatoday.com/story/tech/2020/01/02/amazon-fire-sony-vizio-smart-tvs-spying/2792152001/
USA TODAY
Your smart TV is spying on you. Here are step-by-step instructions to stop it
Smart TV sets have settings for adjusting your preferences. You can take control and tell the TV manufacturers not to sell your data.
https://www.androidpolice.com/2020/01/02/uh-oh-xiaomi-camera-feed-showing-random-homes-on-a-google-nest-hub-including-still-images-of-sleeping-people/
Лол. «Умные» гаджеты такие умные
Лол. «Умные» гаджеты такие умные
Android Police
Google shuts down Xiaomi access to Assistant following Nest Hub picking up strangers' camera feeds (Update: Fully resolved)
Readers like you help support Android Police. When you make a purchase using links on our site, we may earn an affiliate commission. Read More.