Какая шикарная история! Не знаю, пытался ли кто-то из читателей когда-либо связаться с Фейсбуком и получить от них ответ, но мне пришлось это делать - в частности, нужно было изменить параметры одного разработческого аккаунта. Пока я реально не нашёл через знакомых человека, который работал в ФБ в нужной сфере и смог достучаться за меня в правильное место в компании - никакой реакции от компании не было. Никаких ответов на формы на сайте, никаких адресов электронной почты, ничего. Поддержка не нужна, читайте форумы!

Короче, народ тут придумал хак этой системы: если у вас, например, хакнули учётку ФБ, можно купить приставку Oculus для VR - у внезапно у компании сразу появляется обратная связь с вами. Конечно, вы же занесли денег! Так вот, хак заключается в том, чтобы купить Oculus, получить поддержку - и вернуть его, не открывая.

https://www.npr.org/2021/08/02/1023801277/your-facebook-account-was-hacked-getting-help-may-take-weeks-or-299

И опять у нас рекомендации NSA, в этот раз по укреплению Kubernetes

https://www.nsa.gov/News-Features/Feature-Stories/Article-View/Article/2716980/nsa-cisa-release-kubernetes-hardening-guidance/

Или вот Амазон, который собирает отпечатки ладоней клиентов и готов платить баснословные 10 долларов за отпечаток. Thisisfine.jpg

https://techcrunch.com/2021/08/02/amazon-credit-palm-biometrics/

Еще один тред (тоже от специалиста по криптографии), как подобные неизвестные алгоритмы детекции потенциально несут в себе риски для слежки за людьми:
Два

Думаю, не будет лишним напомнить, что Facebook, Dropbox, Google, Microsoft и прочие сканируют фотографии на предмет CSAM, используя все ту же базу уже известных фотографий. Например, Facebook сообщил о 15 млн совпадений с такими фотографий в 2019 году, Dropbox — о 21 тысяче подобных совпадений в 2020 году. Правда, все это происходит исключительно в облаках, а здесь часть задачи по детекции переносится на устройства пользователей. Скорей всего, под этим всем имеются и какие-то юридические основания — типа “нам не дадут сделать end2end шифрование, если не будет детекции такого контента”. Я не удивлюсь, если окажется, что это важное условие для того, чтобы объявить, что бэкапы iCloud станут e2e-зашифррованными, наконец-то.

Apple утверждает, что таким образом конфиденциальность и приватность повышается, но моих знаний в криптографии недостаточно, чтобы понять этот аргумент. Понятно, что ситуации, где действительно происходит насилие над детьми и их сексуальная эксплуатация, требуют основательных подходов и решений. Хотелось бы, чтобы при этом не возникало ощущения, что теперь следят прямо за тобой, причем сразу с помощью твоего же устройства. Вспоминается реклама Apple о том, что “то, что происходит на вашем iPhone, остается на вашем iPhone”.

Ну так, почти. Почитаю еще специалистов, что они об этом говорят.

https://alexmak.net/2021/08/05/child-safety/

Есть большая и интересная тема, которую вчера анонсировала Apple. Вся забота — о детях же, конечно!

Вообще речь идет о трех основных вещах:

1. В мессенджере Messages появится инструмент определения фотографий с сексуальным контентом, и он будет предупреждать детей и их родителей о получении такого рода контента. Анализ фото будет проводиться на устройстве, и по умолчанию такие фотографии будут замазываться. Работать эта функция будет только для детских аккаунтов, у пользователей до 13 лет (к тому же опционально). По-моему, супер-полезно, хотя кого-то от Messages и оттолкнет.

2. В Siri и поиске на устройствах появится дополнительная возможность узнать о том, как оставаться в безопасности в онлайне.

3. И самая главная фича, которая вызвала уже довольно сильное бурление в интернете: теперь на устройстве будет проводиться некий анализ фотографий на предмет наличия в них контента с насилием над детьми — Child Sexual Abuse Material (CSAM). На самом деле это будет не совсем анализ в привычном для нас виде, когда потом можно найти все фотографии котиков или автомобиля в фотобиблиотеке. Для анализа будет использоваться база хешей Национального Центра для пропавших и эксплуатируемых детей и других организаций (National Center for Missing and Exploited Children (NCMEC), и сравниваться будет именно совпадение хешей. Раньше подобный анализ проводился над фотографиями, залитыми в iCloud, а теперь он в каком-то виде будет проводиться на устройстве до заливки в iCloud и затем при заливке будут инициироваться дополнительные проверки.

И дальше вроде бы тоже ничего нового: если система будет находить совпадение хешей, то живые люди будут сравнивать результаты (фотографий, которые, как я понимаю, будут заливаться в iCloud с неким криптографическим ваучером). При реальном обнаружении отчет будет передан в этот национальный центр NCMEC и, как я понимаю, оттуда информация попадет правоохранительным органам. Также учетная запись пользователя будет заблокирована (для восстановления можно инициировать апелляцию). Основное изменение во всей этой истории, как я понимаю, заключается в том, что предварительный анализ будет проводиться на устройстве, еще до того, как эти фотографии будут залиты в облако.
Несколько интересных пунктов для контекста и понимания:

– речь не идет о сканировании всех ваших фотографий, которые хранятся на устройстве. Есть база хешей уже известных фотографий, содержащих противоправный контент, и будут сравниваться именно эти хеши. Повторюсь, речь идет об обнаружении только уже известных CSAM изображений.

– сам момент анализа на устройстве пока что мне не до конца понятен. Вроде как safety voucher создается на устройстве, но анализ вроде как проводится только при аплоаде на iCloud Photos. Соответственно, отключив iCloud Photos, можно избежать анализа контента на предмет Child Sexual Abuse Material (если вам есть что скрывать, конечно). По сути, если я правильно понимаю, фотография все равно была бы просканирована при загрузке в iCloud, но часть этого “сканирования” будет происходить на устройстве.

– Само сравнение живыми ревьюверами происходит тоже не в виде просмотра полного изображения — они видят только некоторые элементы, которые могут позволить им понять совпадение или несовпадение с уже известными CSAM контентом

– Если фото не является известным CSAM, Apple ничего не знает о вашей фотографии.

– Отчет в Apple уйдет только в том случае, если будет достигнут некий предел наличия такого контента на устройстве

– Вся эта схема пока что будет работать только в США, и появится с выходом iOS 15.

Пара ссылок по теме:
1. Полный анонс новой функциональности
2. Детальное описание того, как будет работать определение контента, содержащего сцены насилия над детьми
3. Пост в канале с информацией о сканировании фотографий в iCloud
4. Статья в Forbes о том, как работает система определения подобных фотографий в почте

Пара статей с новостями об этом (раз, два)

Интересные треды в твиттере с обсуждением этих изменений: (например, от специалиста по криптографии и кибербезопасности)
Раз

так, продолжая тему «защиты детей» — а более корректно — борьбы с контентом, содержащим сцены сексуального насилия над детьми, еще парочка ссылок по теме:

1. перевод хорошей статьи, довольно популярно раскладывающей по полочкам что именно будет делать Apple, и также описывающей потенциальный риск от этих изменений

https://alexmak.net/2021/08/08/slippery-slope/

Оригинал https://daringfireball.net/2021/08/apple_child_safety_initiatives_slippery_slope

2. Также Эпол опубликовала сегодня FAQ с ответами, пытаясь прояснить самые актуальные вопросы, связанные с этими инициативами
https://www.apple.com/child-safety/pdf/Expanded_Protections_for_Children_Frequently_Asked_Questions.pdf

грубо говоря, на вопрос «какая гарантия, что завтра какой-нить кетай не придет со своими запросами» ответ был из серии «у нас все заточено на поиск конкретно этих картинок, все проходит через живых человеков, если уж эскалация с картинками, и вообще мы будем всячески сопротивляться». Посмотрим, готовы ли они сопротивляться до уровня отказа от какого-нибудь рынка, если уж найдет коса на камень

очень люблю эту тему с исследователями из Бен Гуриона, которые придумывают новые методы подсматривания и подслушивания (тут они уже пару раз, кажется, фигурировали). В этот раз они продемонстрировали механизм сканирования небольших колебаний в интенсивности LED на колонках и хабах, которые затем можно превратить обратно в аудио-сигналы (которые изначально эти колебания вызвали)

https://www.nassiben.com/glowworm-attack

https://arstechnica.com/gadgets/2021/08/new-glowworm-attack-recovers-audio-from-devices-power-leds/

=== РЕКЛАМА ====

‍Получите бесплатный доступ к облачным сервисам #CloudMTS для разработчиков на 30 дней!

✔️ Всё, что нужно для разработки цифрового продукта: IaaS, облачный суперкомпьютер на GPU, резервное копирование, S3 хранилище, CDN, WAF, сервисы Azure и многое другое.
✔️ Можно использовать любое количество сервисов одновременно.
✔️ Никаких ограничений по функционалу и скрытых платежей.

Выведите свой продукт на рынок в рекордные сроки вместе с #CloudMTS

https://bit.ly/2TM4T5E 👈🏻

Больше интересных новостей про продукт и не только в @iaasblog

компания Zimperium идентифицировала вредоносную кампанию с помощью трояна для Android, и опубликовала отчет об этом. По их информации, кампания насчитывает более 10 тысяч жертв в 144 странах. Для нее используется троян FlyTrap, который распространяется с помощью «перехвата социальных медиа, сторонних магазинов приложений, и загруженных мимо магазинов приложений». В организации этого всего безобразия обвиняют некую группировку из Вьетнама, и что они даже смогли разместить приложение с вирусом в том числе в Google Play (откуда Google его впоследствии удалила). Троян использует метод инъекции JavaScript, который позволяет приложению открывать легитимные УРЛы внутри WebView, который сконфигурирован с возможностью внедрения кода JS.

https://blog.zimperium.com/flytrap-android-malware-compromises-thousands-of-facebook-accounts/

Интересная и полезная публикация у компании Элкомсофт об инструментах защиты пользовательской информации на устройствах с iOS/macOS: шифрованные DNS и DoH, встроенные инструменты по прятанию IP адреса, Tor-браузеры, прокси и VPN

https://blog.elcomsoft.com/2021/07/ios-privacy-protection-tools-encrypted-dns-ios-15-private-relay-proxy-vpn-and-tor/

=== РЕКЛАМА ===
Акрибия запустила альфа-версию сервиса Netlas.io, собственной разработки, над которой компания трудилась последние месяцы.

К тестированию приглашены все специалисты в области информационной безопасности, которым будут интересны и полезны собранные данные.

Netlas.io — это своеобразный технический атлас всей сети Интернет, который включает сертификаты, данные по доменам и поддоменам, ответы серверов по популярным портам и много другой полезной информации для исследователей безопасности. Актуальность данных в Netlas.io обеспечивает реализация процесса ETL (Extract, Transform, and Load), который включает в выдачу данные, поступающие во время сканирования, не старше минуты.

В период альфа-тестирования, который продлится несколько месяцев, сервис будет бесплатным для всех.

Для активных пользователей есть множество бонусов, которые будут полезны не только на период альфа-версии, но и после нее. Например, доступ к платному аккаунту на несколько месяцев.

Регистрируйтесь и оставляйте свои отзывы!

сообщения исчезают… исчезают сообщения…

https://signal.org/blog/disappearing-by-default/

Там, кстати, у Microsoft был Patch Tuesday вчера, и никогда не догадаетесь, что там выяснилось! Кликай на ссылку, чтобы узнать!

(51 патч уязвимостей, 7 критические, 1 активно эксплуатируется. Вы знаете, что делать)

https://isc.sans.edu/forums/diary/Microsoft+August+2021+Patch+Tuesday/27736/

Продолжая тему Apple и её инициативы по борьбе с детской порнографией — большое интервью главного по конфиденциальности в Apple изданию ТекКранч. Рекомендую попытаться абстрагироваться от вашего отношения к этим инициативам (какое бы оно не было), и внимательно почитать интервью. Из него можно вынести некое представление логики Apple, почему они вообще это затеяли, как пытались балансировать безопасность и конфиденциальность, и тд. Не все ответы я считаю удовлетворительными, и тема все равно остается очень спорной, но информация есть информация.

https://techcrunch.com/2021/08/10/interview-apples-head-of-privacy-details-child-abuse-detection-and-messages-safety-features/

Ну и чтобы два раза не вставать — на эту же тему тред в твиттере бывшего руководителя информационной безопасности Facebook Алекса Стамоса. Который, хотя и критикует Apple, но поясняет масштабы проблемы и вообще позволяет расширить горизонт понимания ситуации.
https://twitter.com/alexstamos/status/1424054544556646407

Интересный материал у Wired, как полиция Нового Йорка покупает различные материалы для слежки: ПО для распознавания лиц, рентген-аппараты в микроавтобусах, перехватчики сотового сигнала и тд. И все это без какого-либо контроля со стороны общественности

https://www.wired.com/story/nypd-secret-fund-surveillance-tools/

но история дня, конечно, это планшет якобы сотрудника группировки Вагнер, который он, видимо, где-то забыл или потерял.

https://www.bbc.com/russian/features-58140986

https://www.bbc.co.uk/news/extra/8iaz6xit26/the-lost-tablet-and-the-secret-documents

«Были и несколько скачанных книг, включая Mein Kampf, "Игру Престолов" и руководство по виноделию»

А вот ФБ рассказывает, как будет прямо на устройстве анализировать, какую рекламу показывать пользователю

Given Apple’s tight control of the iPhone, the two will likely butt heads on an area of technology Facebook is exploring called “on-device learning.” Instead of sending data about users to the cloud, an algorithm runs locally on a phone to determine the kinds of ads someone would find compelling and then show them said ads. The results are later sent back to the cloud in an anonymized and aggregate format for advertisers to review.
“I think one of the challenges with on-device learning is that the compute resources required to do it are obviously under the control of the operating systems themselves,” Mudd told The Verge.

https://www.theverge.com/2021/8/11/22619639/facebook-plans-privacy-focused-advertising-revamp

Из рубрики «никогда такого не было, и вот опять» — украли деньги с PolyNetwork, децентрализованного протокола и сети, позволяющего перемещать криптовалюту между разными блокчейнами. Больше 600 млн долларов в виде криптовалюты, между прочим, ушло в кошельки предпринимателей (зачеркнуто) злодеев.

https://www.bleepingcomputer.com/news/security/over-600-million-reportedly-stolen-in-cryptocurrency-hack/

И очень интересный тред в твиттере о том, как, собственно, был организован взлом

https://twitter.com/kelvinfichter/status/1425217046636371969

Ну ладно, часть денег они, предположим, вернули

https://www.fxstreet.com/cryptocurrencies/news/poly-network-recovers-over-47-million-of-stolen-funds-in-largest-defi-hack-202108111435