Архив метки: Apple

Нам нужна национальная мобильная ОС

Нам нужна национальная мобильная ОС

Нам нужна национальная мобильная ОС. Соглашусь с Игнатием Цукергохером, что в плане мобильных ОС дело пахнет керосином и нужно что-то срочно предпринимать. Apple удалила из App Store национальный мессенджер MAX, после чего были удалены и другие приложения VK. Вслед за этим появились новости о предупреждении Apple от ФАС и возможном штрафе до 4 млрд рублей. Вряд ли Apple устранит "дискриминацию российских поисковых систем и обеспечит предустановку отечественного ПО на устройствах с iOS до 15 июля 2026 года". 🙄 Да и в то, что Эппл Рус выплатит штраф, тоже верится с трудом. Есть основания полагать, что идёт постепенная эскалация, результатом которой будет запрещение мобильных устройств Apple (в каком-то виде) и дальнейшее снижение их функциональности в России, реализованное как со стороны купертинцев, так и со стороны РКН.

Казалось бы, чего нам переживать за Apple и эплофилов? Есть же устройства на Android. Но там Google тоже переходит к гиперцентрализации и вводит обязательную регистрацию авторов приложений. У тех, кто не пройдёт верификацию (или у тех, кто будет неугоден по каким-то причинам 😉), приложения будут заблокированы на каждом Android-устройстве по всему миру. Речь не только о приложениях из Play Store, а вообще обо всех приложениях. Продвинутые пользователи смогут установить произвольную APK, но для этого придётся пройти пляски с бубном из 9 пунктов, один из которых - "Подождите 24 часа". Чистой воды издевательство. Закручивать гайки начнут с сентября 2026 года.

Ну и в целом, когда Дуров говорил, что без собственной операционной системы "все приложения на смартфонах - "национальные" или "иностранные" - остаются уязвимыми для точечной слежки и цензуры со стороны США через бэкдоры и магазины приложений iOS и Android", он был прав.

Как по мне, появление в широкой продаже устройств с отечественной мобильной операционной системой возможно только в случае повторения того же финта, что и с национальным мессенджером МАКС:

🔻 Необходимо, чтобы было принято политическое решение, что да, нужно создавать мобильную ОС директивно.

🔻 Особый статус национальной мобильной операционной системы (НМОС) должен быть закреплён в законе РФ.

🔻 В закрытом режиме должен быть выбран конкретный исполнитель, у которого есть наработки и компетенции, чтобы развивать НМОС.

🔻 Производители устройств должны быть директивно простимулированы производить устройства на НМОС, а ритейл - их продавать. Хочешь быть на рынке и не иметь проблем - участвуй в продвижении НМОС.

🔻 При появлении устройств с НМОС в продаже необходимо агрессивно навязывать их потребителям. Устройство с НМОС в кармане должно быть таким же атрибутом лояльности, как портрет президента в кабинете. На публике каждого чиновника должны видеть только со смартфоном с НМОС.

🔻 Бизнесы, у которых есть мобильные приложения, должны в первую очередь обеспечить их работу в НМОС. Определённые важные типы приложений должны работать только под НМОС.

Какая именно мобильная ОС должна стать национальной? Как по мне, непринципиально. Их сейчас в России достаточно много: Аврора, РЕД ОС М, РОСА Мобайл, Astra Linux Mobile, Alt Mobile, KasperskyOS for Mobile, kvadraOS и другие.

Из личного опыта могу сказать только то, что у меня есть смартфон на Авроре - Fplus R570E, который я купил в 2023 году. Это единственное устройство на Авроре, которое можно было официально купить физику. Казалось бы, флагман и показатель потенциала платформы для обычных потребителей, но последняя версия ОС для Fplus R570E (5.1.6) вышла в октябре прошлого года. А 3 последние версии ОС для этого смартфона выпущены не будут. ОМП показывает пальцем на Fplus, а у Fplus с прошлого года проблемы, им не до этого. Их гендиректора в июне этого года вообще признали банкротом. Не то чтобы я пожалел о покупке Fplus R570E - опыт был прикольный, но веры в то, что ОМП может достойно поддерживать НМОС, у меня поубавилось. 🤷‍♂️ Да и заставлять российские компании, у которых уже есть приложения под Android и iOS, портировать их под Аврору, ИМХО, как-то слишком.

Более логичным выглядит вариант на базе AOSP без гуглосервисов. Из отечественных AOSP-based ОС наиболее адекватной и живой выглядит РЕД ОС М.

Но, повторюсь, важна не конкретная ОС как таковая, а политическая воля по её насаждению. Посмотрим, будет ли эта воля продемонстрирована. Но в то, что без каких-либо директивных мер воздействия в России в широкой продаже могут появиться мобильные устройства на отечественных ОС и они займут существенную долю рынка, я не верю. 🙂

Что я думаю про отзывы сертификатов GlobalSign, Let's Encrypt и прочих

Что я думаю про отзывы сертификатов GlobalSign, Let's Encrypt и прочих

Что я думаю про отзывы сертификатов GlobalSign, Let's Encrypt и прочих. Вполне ожидаемо, что западные УЦ выполняют указания по первому сигналу своих регуляторов. Почему они так раньше не делали? Видимо наверху пошёл какой-то торг, в рамках которого нам решили наглядно продемонстрировать, что Рунет остаётся зависим от западной инфраструктуры и создать проблемы можно по щелчку пальцев. Как и в случае с Apple: дали сигнал удалить национальный мессенджер из App Store и они тут же его выполнили. Демонстрация зависимости.

Казалось бы, почему бы для сайтов не использовать сертификаты, выпущенные отечественными УЦ (в том числе через Госуслуги)? Но тогда пользователям, которые чуть менее чем все сидят на вражеских ОС и браузерах, будет необходимо совершать некоторые телодвижения (какие именно хорошо расписано на сайте Т‑Банк). А никто ведь не хочет, чтобы пользователю было неудобно. Все хотят, чтобы их сайт/приложеньки по дефолту работали на любых устройствах, даже вражеских. 😏 И даже прежде всего вражеских, т.к. у физиков на руках ничего другого фактически и нет. 🤷‍♂️ Вот и устраивают компании судорожные поиски западных УЦ (типа греческой HARICA), которые согласны будут выдать им сертификат. Очевидно, чем дальше, тем сложнее это будет делать, т.к. западные УЦ под вторичные санкции подставляться не захотят.

Имхо, решение этой проблемы возможно только на стороне конечного пользователя. Среди прочего, необходимо из каждого утюга транслировать тот простой факт, что устройства, ОС, браузеры могут быть откровенно вражескими и пользоваться ими в текущих геополитических условиях, во-первых, максимально нерукопожатно, а во-вторых, непрактично, т.к. их работоспособность в России никто не гарантирует. И тут не только про проверку сертификатов и наличие приложений в сторе. Ничего не мешает Apple, Google, Microsoft как угодно деградировать функциональность контролируемых устройств, а то и полностью брикнуть их. В этой полной зависимости корень зла. Если продолжать толерантно относиться к эплофилии и месседжам в духе "нам этого всего не надо, верните как было" по Первому каналу, проблема будет только усугубляться.

Тоже выскажусь по поводу удаления национального мессенджера MAX из Apple App Store и сообщения о кибершпионаже против высокопоставленных российских служащих с использованием смартфонов

Тоже выскажусь по поводу удаления национального мессенджера MAX из Apple App Store и сообщения о кибершпионаже против высокопоставленных российских служащих с использованием смартфонов

Тоже выскажусь по поводу удаления национального мессенджера MAX из Apple App Store и сообщения о кибершпионаже против высокопоставленных российских служащих с использованием смартфонов. Во втором случае вендора не конкретизировали, но несложно догадаться, с какими именно смартфонами ходят высокопоставленные российские служащие. 😏

Начну с того, что устройства Apple объективно неплохие. Компания вкладывает огромные деньги в R&D, и это даёт определённый результат. Лучше ли техника Apple продукции других вендоров в той же ценовой категории? Имхо, незначительно. Если говорить о смартфонах, в сегменте "выше $1000" сухие характеристики железа у большинства вендоров уже практически сравнялись, а конкуренты нередко предлагают даже больше инноваций и гибкости за те же деньги. При этом устройства Apple выглядят очень симпатично и вылизанно. Компания готова вкладываться в почти маниакальную полировку деталей и бесшовность экосистемы.

Но самое крутое у Apple - это высочайший уровень маркетинга. То, как они превращают повседневные и в общем-то стандартные вещи вроде смартфона или умных часов в фетиш, материализованный символ успеха и принадлежности к определённому образу жизни. И делают это очень последовательно, массово и эффективно. Последний айфон вожделеют совершенно разные люди: от гламурных дурочек, ожидающих подарочек в качестве "базового минимума", до ТОП-чиновников и бизнесменов, которым пользоваться чем-то кроме последнего айфона в топовой конфигурации "не по статусу", и даже значительной части IT и ИБ-специалистов (тут даже не могу предположить из каких соображений 🤷‍♂️). И вот то, как Apple это делают, по-настоящему удивительно. Иногда, конечно, у них случаются проколы - ходить по улицам в в лыжной маске дополненной реальности желающих не нашлось. Но в традиционных нишах у них до сих пор получается здорово, и этому у них действительно стоит поучиться.

Но при том, что я осознаю плюсы техники Apple, пользоваться ей в России считаю каким-то странным извращением, особой формой мазохизма. У Apple гиперцентрализованная экосистема, которая напрямую контролируется из Cupertino и подчинена американскому государству. Вполне естественно, что в условиях геополитического противостояния, они будут выполнять все санкционные требования и удалять любые приложения из своего единственного магазина по первому сигналу сверху. И, без сомнений, они могут способствовать кибершпионажу против России, если их попросят. Вероятнее всего, маскируя зловредную функциональность под уязвимости, чтобы нельзя было прикопаться. Готовые инструменты для эксплуатации таких уязвимостей давно существуют. Какими могут быть последствия атак (помимо слива данных с телефонов) мы уже видели на примере операции "Триангуляция".

Не нужно быть семи пядей во лбу, чтобы это понимать. При этом у нас НИКТО не транслирует, что устройства Apple (включая iPhone) - это "игрушка дьявола" и что достойному человеку, гражданину России и патриоту, негоже ими пользоваться. Наоборот. Все держат покерфейс и продолжают яростно эплофилить вприсядку. В рекламе, если проводится какая-то маркетинговая акция, то разыгрывается техника Apple. У чиновников техника Apple. Презентации Apple сладострастно смакуются в новостях. Крупный российский бизнес продолжает тратить огромные бюджеты на разработку и поддержку приложений под iPhone, вполне осознавая, что их в любой момент могут выкинуть из App Store, и ставить приложеньки придётся в офисе через проводок. 🙄 И всё это на четвёртый год военного прокси-конфликта с Западом. 🤦‍♂️ Удивительная фигня. Хочется надеяться, что когда-нибудь эту эплофильскую вакханалию всё-таки тем или иным способом прикрутят.

Palo Alto Networks подробно пишут про RCE-уязвимость в трёх open-source AI/ML-проектах на Python

Palo Alto Networks подробно пишут про RCE-уязвимость в трёх open-source AI/ML-проектах на Python

Palo Alto Networks подробно пишут про RCE-уязвимость в трёх open-source AI/ML-проектах на Python. Уязвимость вызвана использованием библиотеки Hydra (разрабатывается экстремистской компанией Meta) для загрузки конфигураций из метаданных модели. Злоумышленник может внедрять произвольный код в метаданные модели, который будет автоматически выполнен в момент загрузки модифицированной модели уязвимыми проектами:

🔻 NeMo - фреймворк на базе PyTorch, разработан NVIDIA. CVE-2025-23304 исправлена в версии 2.3.2.

🔻 Uni2TS - библиотека PyTorch, используемая в Morai от Salesforce - foundation‑модели для анализа временных рядов. CVE-2026-22584 исправлена 31 июля 2025 года.

🔻 FlexTok - фреймворк на Python, позволяющий AI/ML‑моделям обрабатывать изображения; разработан исследователями Apple и VILAB@EPFL. Уязвимость исправлена без CVE в июне 2025 года.

👾 Признаков эксплуатации вживую пока нет.

Судя по предварительным результатам опроса, утверждение, что все ИБ-специалисты ходят с айфонами, не соответствует истине

Судя по предварительным результатам опроса, утверждение, что все ИБ-специалисты ходят с айфонами, не соответствует истине

Судя по предварительным результатам опроса, утверждение, что все ИБ-специалисты ходят с айфонами, не соответствует истине. 😉 Любителей смартфонов Apple ощутимо меньше половины.

Мне сложно понять, что может нравиться технически грамотным людям в iPhone. По мне, эти устройства странные и ограниченные. Переплачивать за смартфон, чтобы потом плясать с бубном для установки банковского приложения? 🤪 И всё из-за того, что где-то в Штатах ввели санкции и удалили разработчика из единственно возможного стора? 🤔 Разве не унизительно?

С другой стороны, у меня много чего популярного в массах вызывает гораздо большее недоумение: употребление алкоголя, курение/парение, татуировки, пластика без показаний… 🫣 На этом фоне, ну пользуются люди странной железячкой - на здоровье! 👌 Камера в iPhone и правда хорошая. Лучше ли, чем в Android-смартфонах за те же деньги? Не знаю, может и лучше. 🤷‍♂️

Лично я хожу со смартфоном на Xiaomi HyperOS за 7500 р и мне норм. 😅

ТАСС опубликовали мой комментарий по поводу Security Feature Bypass - WhatsApp for iOS/Mac (CVE-2025-55177)

ТАСС опубликовали мой комментарий по поводу Security Feature Bypass - WhatsApp for iOS/Mac (CVE-2025-55177)

ТАСС опубликовали мой комментарий по поводу Security Feature Bypass - WhatsApp for iOS/Mac (CVE-2025-55177). Это продолжение истории про Memory Corruption/RCE - ImageIO (CVE-2025-43300).

🧩 29 августа Meta (признана экстремистской организацией в России) предупредила часть пользователей WhatsApp о возможной компрометации их устройств. 🎯 0day уязвимость в WhatsApp для iOS и Mac (CVE-2025-55177) позволяла злодеям инициировать обработку контента из произвольного URL-а из-за "неполной авторизации сообщений синхронизации связанных устройств". Затем они эксплуатировали знакомую RCE при обработке DNG файлов (CVE-2025-43300).

Злоумышленники наверняка найдут и другие способы доставки зловрденых DNG-шек. 😉

И что же делать? Кроме перехода на MAX и Аврору. 😉

♻️ своевременно обновлять приложения и ОС

🛡 использовать iOS Lockdown Mode / Android Advanced Protection Mode

🔄 при подозрении на компрометацию сбрасывать устройство к заводским настройкам

ТАСС опубликовали мой комментарий по поводу Memory Corruption/RCE - ImageIO (CVE-2025-43300)

ТАСС опубликовали мой комментарий по поводу Memory Corruption/RCE - ImageIO (CVE-2025-43300)

ТАСС опубликовали мой комментарий по поводу Memory Corruption/RCE - ImageIO (CVE-2025-43300). Отдельно радует, что ТАСС указали компанию, должность, имя-фамилию (а не "киберэксперт Леонов" 😅). Суть уязвимости тоже верно передали. 👍

По уязвимости появились подробности, что она вызвана ошибкой "в реализации кода для JPEG Lossless Decompression внутри модуля RawCamera.bundle, который обрабатывает файлы DNG (Digital Negative) от Adobe".

Почему опасно:

🔓 Эксплуатируется без клика и нотификаций: файлы DNG могут автоматически обрабатываться iOS при получении через iMessage или другие мессенджеры. 📱 Ваш телефон не спросит разрешения - он просто отрендерит превью и выполнит код. 😈

🌍 Широкий вектор атаки: DNG - это открытый формат raw изображения, активно используемый фотографами 📸.

🎯 Доп. возможности после эксплуатации: Apple BlastDoor разрешает права для RawCamera.bundle.

👾⚒️ Эксплуатируется вживую и есть PoC эксплоита на GitHub