Архивы автора: Александр Леонов

Об авторе Александр Леонов

Привет! Меня зовут Александр. Я специалист по Управлению Уязвимостями. Подробнее обо мне можно и моих проектах можете прочитать здесь. Приглашаю подписаться на мой канал @avleonovrus "Управление Уязвимостями и прочее" в MAX или в Telegram. Вы можете обсудить мои посты или задать вопросы в группе ВКонтакте. And I invite all English-speaking people to another Telegram channel @avleonovcom.

По поводу новости, что компания Microsoft разблокировала возможность скачивать дистрибутивы ОС Windows из РФ

По поводу новости, что компания Microsoft разблокировала возможность скачивать дистрибутивы ОС Windows из РФ. Ограничение доступа они ввели ~19 июня, сняли ~28 декабря. Это, по-моему, крайне скверно.

За 2022 год MS опубликовали отчёты (Defending ***: Early Lessons from the Cyber War, Microsoft Digital Defense Report), которые не оставляют никаких сомнений на какой эта компания стороне. MS больше не нейтральный глобальный IT-вендор. Нельзя по инерции продолжать их так воспринимать. Теперь это явный придаток американского государства. Для них Россия эта угроза. Не какие-то условные киберпреступники из России, а именно органы гос. власти. Они прямо пишут как они этой угрозе противодействуют. И много о чем, естественно, умалчивают. Другие компании из американского бигтеха себе такого не позволяют, это случай практически уникальный.

Я не большой поклонник блокирования доступа к каким-то ресурсам в Интернет, но в случае дистрибутивов Windows мне кажется это совершенно оправдано делать. Необходимо всячески способствовать сокращению доли ОС Windows в РФ при этом не навредив стабильности текущей инфраструктуры. Кажется, что ограничение на скачивание продуктов Microsoft (чтобы пользователи лишний раз задумались, а может ну его, может Linux-а хватит), а также дополнительные существенные сборы с продажи лицензий и новых устройств с Windows стали бы достаточно действенной мерой. Косвенно это подтверждают и сами MS, т.к. ограничения с их стороны были сняты явно не из-за человеколюбия, видимо что-то начало меняться в невыгодную для них сторону.

Прочитал статью Дмитрия Алтухова "Корпоративная мобильность на Android: троянский конь для критической информационной инфраструктуры"

Прочитал статью Дмитрия Алтухова "Корпоративная мобильность на Android: троянский конь для критической информационной инфраструктуры". Неплохая раскладка про Android. Выделил тезисы:

1. Android не всегда был лидирующей мобильной ОС. В 2007 70% рынка было у Symbian. В 2009 появился Android, в 2013 его доля выросла до 50%, а о Symbian уже никто не вспоминал.
2. На рынке настольных ОС существует массовая Microsoft Windows, нишевая Mac OS и множество вариантов Unix-подобных систем. На мобильном рынке олигополия, т.к. мобильные ОС сильнее интегрированы с аппаратным обеспечением, имеют более высокие требования к оптимизации процессов системы для обеспечения долгого времени работы устройства от аккумулятора.
3. Основной бизнес Google – не разработка программного обеспечения, а реклама и аналитика данных пользователей. Продукты и сервисы это инструмент доступа к пользователям и их данным.
4. Первая бесплатная и открытая мобильная ОС - уникальный маркетинговый ход Google, который сработал.
5. Архитектура ранних версий Android была достаточно простой. Архитектурно драйверы не были изолированы от основных компонентов ОС (до HAL).
6. В первых версиях все приложения Google поставлялись с открытым исходным кодом и входили в состав операционной системы. Спустя пару лет их убрали в лицензируемый набор сервисов, API и приложений Google Mobile Services (GMS).
7. Android не является «честным» ПО с открытым исходным кодом. Google публикует исходный код Android после завершения разработки каждой версии. Драйверы аппаратного обеспечения в виде исходных кодов в полном объёме отсутствуют. Размер исходного кода современного Android (150 млн строк) не предполагает, что кто-то с ним будет по-настоящему разбираться. Ежегодно меняется несколько млн строк. Лицензия SDK Android Studio не является свободной (только для разработки совместимого ПО).
8. «Настоящий» Android на всех рынках, кроме китайского — это не AOSP, а сертифицированные Google телефоны с проприетарным GMS.
9. Производители Android-устройств с сервисами Google (Open Handset Alliance) связаны конфиденциальными юридическими соглашениями. Запрет на производство устройств на базе "несовместимых" форков исходного кода Android. Mobile Application Distribution Agreement обязывает производителей устанавливать единственный поиск по умолчанию и выносить приложения Google на первые экраны.
10. Через эти ограничения остановили, например, проект Яндекс.Кит. «Яндекс» договорился о выпуске телефонов: вышли ограниченным тиражом Huawei Honor 3 Yandex и Explay Flame; затем вмешался Google – Fly и Prestigio были вынуждены свернуть выпуск моделей, а затем и Explay оказался в такой же ситуации.
11. Google никогда не пытались сертифицировать свои системы (в отличие от той же Microsoft). При использовании Android с GMS невозможно полностью исключить блокировку всего устройства или части функционала, дистанционное удаление всех данных или несанкционированный доступ к информации со стороны производителя или третьей стороны, например государственных органов страны, в которой зарегистрирован производитель ОС или устройства. Только в случае правильно выбранного производителя устройства с AOSP заказчик может существенно снизить эти риски. Вероятность наличия недокументированных и бэкдоров функций в формально открытом коде довольно низкая, но полноценный независимый аудит безопасности AOSP не проводился.
12.С 2015 года Google выпускает ежемесячные обновления безопасности. Сейчас обновления выпускаются лишь для версий 10–13. До 2017 года Android обновлялся через полную замену прошивки. В Android 8 Google начал переход к модульным обновлениям «нижних слоёв» ОС, выделив полноценный слой аппаратной абстракции (в рамках Project Treble), разделив обновления фреймворков Android и драйверов «железа». Google ввёл новую формулу для сертифицированных телефонов «два релиза ОС, три года обновлений». Но по факту следуют ей далеко не все производители телефонов с GMS. Обновления же Android в варианте AOSP лежат на совести каждого производителя устройств и разработчика форка.

С наступающим 2023 годом! Год был непростой, но интересный

С наступающим 2023 годом! Год был непростой, но интересный
С наступающим 2023 годом! Год был непростой, но интересныйС наступающим 2023 годом! Год был непростой, но интересный

С наступающим 2023 годом! Год был непростой, но интересный. Мозгопрочищающий. По моей ИБ-шной активности помимо основной работы итоги получаются такие:

1. 31 эпизод на avleonov.com (блогпост с аудио/видео). На 3 меньше, чем в прошлом году. Из них
1.1. 12 обзоров Microsoft Patch Tuesdays. Тут получалось выпускать четенько, доволен собой. 🙂
1.2. 3 эпизода по другим уязвимостям (Joint Advisory AA22-279A, Gitlab OmniAuth, Spring4Shell).
1.3. 2 эпизода про инструменты детектирования (Vulners Linux Audit API, OpenSCAP).
1.4. 3 эпизода чисто про мои опенсурсные проекты (Vulristics, Scanvus).
1.5. 4 эпизода на общие темы (Zero Day, Malicious Open Source, End of CentOS Linux, удаляем данные с Github).
1.6. 3 эпизода про ИБшные конфы, где выступал (PHDays 11, AM Live VM, CISO Forum 2022). Ещё о 3 где-то мероприятиях не написал отчет. Основные темы, которые поднимал в этом году: "Слепые пятна в базах знаний VM решений", "Зловредный Open Source", "Изменения VM процесса в новой реальности".
1.7. 2 эпизода "Vulnerability Management news and publications". Очередная попытка поиграть в новостной формат. Довольно успешная, но свернул. В какой-то момент спросил себя, "я что, хочу тратить значительную часть свободного времени на постоянный пересказ чужих новостей?" Не хочу. Лучше хочу что-то свое делать и рассказывать об этом.
1.8. 2 эпизода в рамках VMconf 22. Проект отдельной Vulnerability Mangement "конфы" сворачиваю. Эксперимент неудачный, но довольно занимательный. Проникся ещё большим уважением к организаторам мероприятий, это прям работа-работа.

2. В июле завел телеграмм-канал на русском языке @avleonovrus, за полгода он набрал 500+ подписчиков. Делать посты на русском гораздо приятнее, быстрее и как-то естественнее. На некоторые темы писать на английском просто странно, особенно сейчас (импортозамещение, российские ОС, российская регуляторика и т.д.). Основной англоязычный канал @avleonovcom перевалил за 1500 подписчиков. Обе цифры для настоящих блоггеров конечно ни о чем, ну да я и ненастоящий блоггер. 😉

Планы на следующий год примерно те же - постараться насколько возможно жить своей жизнью и периодически фиксировать реальность, когда не фиксировать её не получается. Постараюсь больше уделять внимания освещению своих опенсурсных проектов, т.к. толку от этого больше. На конференции собираюсь ходить, только если орги будут звать, самому подаваться пока не хочется.

Прочитал статью в Ъ, что некий консорциум из российского бигтеха будет развивать "мобильную операционную систему для широкого потребителя"

Прочитал статью в Ъ, что некий консорциум из российского бигтеха будет развивать "мобильную операционную систему для широкого потребителя". Т.е. фактически возьмут гугловый AOSP, запилят свой аналог Google Mobile Services и такое поделье в духе хуавеевской Harmony станет нашей новой отечественной мобильной ОС. И эта ОС видимо будет дальше продвигаться для установки на отечественные же устройства.

А что же в таком случае будет с Авророй? "Будет использоваться в корпоративном и государственном секторе для работы с чувствительными данными". Т.е. останется нишевым решением поддерживаемым за счёт регуляторных требований и без особых перспектив роста. 🙁

Если и правда так будет, то это жесть. Хитрым способом получили контроль над единственным в мире полноценным мобильным Linux-ом, чудом нарастили экспертизу, чтобы оно как-то работало и развивалось. И вместо того чтобы продвигать сейчас своё родное по максимуму, опять будут брать готовый американский код, который не контролируют вообще никак. И все для того, чтобы бигтеху свои уникальные Java-приложеньки не переписывать. Офигеть теперь. Ну не хотите переписывать, ну развивайте эмулятор в Авроре. Sailfish OS позволяет запускать Android приложения, в Авроре тоже не должно быть принципиальных проблем с этим. Но нет. Лучше по пути наименьшего сопротивления.

В общем, новость так себе. 😐

Выпустил эпизод про поддержку двух API в Scanvus

Выпустил эпизод про поддержку двух API в Scanvus. Потестил сканирование локалхоста, удаленного хоста по SSH и Docker образа. Все работает, но при сравнении результатов есть серьезные расхождения. До конкретных причин я в этом эпизоде на докапывался. Однако это в очередной раз подтверждает, что обнаружение уязвимостей не такое просто дело, и хорошо, когда можно использовать несколько независимых механизмов обнаружения и сравнивать результаты. 😉

Отличные новости по моему опенсурсному проекту Scanvus!

Отличные новости по моему опенсурсному проекту Scanvus!

Отличные новости по моему опенсурсному проекту Scanvus! Теперь вы можете проводить проверки на уязвимости Linux хостов и докер-образов не только с помощью API от Vulners.com, но и с помощью аналогичного API от Vulns.io. Особенно приятно, что весь код для поддержки нового API коллеги из Vulns.io написали и законтрибьютили сами. Оставалось только потестить, что все работает. За это им огромное спасибо!

Чем может быть полезна поддержка двух API детекта уязвимостей в Scanvus?

Чем может быть полезна поддержка двух API детекта уязвимостей в Scanvus?

1. Нет привязки к одному вендору, выбирайте чьи условия вам нравятся больше.
2. Набор поддерживаемых ОС у Vulners.com и Vulns.io различается. Если какой-то Linux дистрибутив не поддерживается у одних, он может поддерживаться у других.
3. Реализации проверок независимые. Если при сканировании одного и того же хоста/образа результаты будут различаться, то будут наглядно видны ошибки/особенности реализации.
4. Scanvus выпускается под лицензией MIT, поэтому вы можете использовать его как пример работы с API Vulners.com и Vulns.io и использовать этот код в своих проектах.

Что дальше?

В настоящий момент поддержка API Vulners.com и Vulns.io реализована в равной степени, но она реализована независимо. Скрипты инвентаризации на bash для каждого из API различаются. Также используются 2 независимые функции репортинга. Скрипты для инвентаризации видится правильным унифицировать, чтобы эти результаты инвентаризации можно было бы проверить и с помощью Vulners.com и Vulns.io. Также напрашивается создание единого формата представления результатов детектирования, к которому можно будет приводить сырые результаты от API, и который можно будет использовать для построения отчетов и дальнейших интеграций. Кажется, что на примере работы Vulners.com и Vulns.io можно отладить схему добавления новых API в Scanvus.