Архив метки: Google

В WIRED вышла довольно занимательная статья о слежке за первым лицом России через рекламные идентификаторы смартфонов

Добавить комментарий

В WIRED вышла довольно занимательная статья о слежке за первым лицом России через рекламные идентификаторы смартфонов

В WIRED вышла довольно занимательная статья о слежке за первым лицом России через рекламные идентификаторы смартфонов.

🔻 Каждому владельцу телефона iPhone или Android компания Apple или Google назначает «анонимный» рекламный идентификатор (AAID для Google, IDFA для Apple). Он используется для отслеживания реальных перемещений, поведения в Интернете, установки приложений и прочего. По этой информации можно таргетировать рекламу.
🔻 Идентификатор хоть и анонимный, но нужного человека (или группу людей) легко отследить на биржах цифровой рекламы, т.к. привычки, распорядок дня, изменение координат очень специфичны для каждого человека. Например, там где телефон проводит большую часть вечеров, там его владелец и живёт.
🔻 Американцы отслеживали телефоны, принадлежавшие "водителям, сотрудникам службы безопасности, политическим помощникам и другому вспомогательному персоналу" первого лица России и узнавали о его перемещениях. Так что даже если сам ничем не пользуешься - не поможет, т.к. будет демаскировать окружение.

В условиях доминирования западных мобильных экосистем сделать с этим что-то сложно. Но навскидку можно предложить следующее:

🔹 Исходить из того, что информация о перемещениях персонала отслеживается, намеренно формировать ложные следы.
🔹 Пересаживать сотрудников, которые могут светить руководство, на защищенные устройства, отслеживать которые сложнее.
🔹 Теми же методами самостоятельно отслеживать сотрудников, которые нарушают запрет и используют личные устройства с иностранными ОС, и проводить с ними мероприятия.
🔹 Отслеживать и блочить иностранные сервера, отвечающие за таргетированную рекламу.
🔹 Жёстко регулировать рынок таргетированной рекламы внутри страны, чтобы с помощью механизмов таргетированной рекламы определенные группы устройств отслеживать было нельзя.

Вчера на Код ИБ был интересный вопрос про единственный трендовый Cross Site Scripting

Добавить комментарий

Вчера на Код ИБ был интересный вопрос про единственный трендовый Cross Site Scripting

Вчера на Код ИБ был интересный вопрос про единственный трендовый Cross Site Scripting. Это уязвимость в Zimbra Collaboration (CVE-2023-37580).

"Zimbra Collaboration (ZCS) 8 before 8.8.15 Patch 41 allows XSS in the Zimbra Classic Web Client."

В случае реализации атаки, злоумышленник выполнит вредоносные сценарии в веб-браузере жертвы.

ZCS можно описать как аналог MS Exchange, Google Docs и Google Apps. Компонент Zimbra Web Client - веб-клиент для работы с электронной почтой, групповыми календарями и т.д. Продукт коммерческий, но есть и бесплатная open source версия.

Согласно отчёту группы анализа угроз Google (TAG) уязвимость использовали для кражи данных электронной почты, учётных данных пользователей и токенов аутентификации в атаках на гос. учреждения 5 стран.

Есть все признаки 🟥 трендовости:

🔹 эксплуатация вживую с существенным импактом
🔹 есть PoC в статье TAG
🔹 достаточно популярный в наших широтах продукт, можно поискать "Вход в веб-клиент Zimbra"

Прожектор по ИБ, выпуск №7 (15.10.2023)

2 комментария

Прожектор по ИБ, выпуск №7 (15.10.2023). Записали очередной эпизод. Из основного: посмотрели как развивалась история с уязвимостями Confluence и curl, обсудили НТТР/2 Rapid Reset DDoS Attack в разных проявлениях, прошлись по Microsoft Patch Tuesday, пофантазировали на тему Курскводоканала и запустили проект Linux Patch Wednesday.

Мы это:

🔸 Александр Леонов, "Управление уязвимостями и прочее"
🔸 Лев Палей, "Вести из Палей"
🔸 Максим Хараск, "Global Digital Space"

00:00 Здороваемся и обсуждаем просмотры прошлого выпуска
02:49 Воспроизведенная EoP/AuthBypass уязвимость Confluence (CVE-2023-22515)
05:22 Rate limit-ы в National Vulnerability Database и куда ситуация движется
11:21 НТТР/2 Rapid Reset DDoS Attack и NGINX
14:23 НТТР/2 Rapid Reset DDoS Attack и Google
15:11 Октябрьский Microsoft Patch Tuesday (и НТТР/2 Rapid Reset DDoS Attack)
21:56 Центр мониторинга и реагирования UserGate предупреждает о множественных уязвимостях в продукте Sangfor's Next Gen Application Firewall
24:18 Игры с кальмаром: full disclosure для незафикшенных уязвимостей Squid
28:06 В США кот случайно отключил государственную IT-систему
30:09 Обещанные уязвимости в CURL и libcurl вышли.
34:26 Хакеры оставили МУП «Курскводоканал» без данных по показаниям счетчиков
37:12 Запуск проекта Linux Patch Wednesday: что это и зачем нужно
42:57 Прощание от Mr. X

Прожектор по ИБ, выпуск №1 (01.09.2023)

Добавить комментарий

Прожектор по ИБ, выпуск №1 (01.09.2023). Вроде в прошлый раз неплохо получилось, записали ещё один эпизод тем же составом:

🔸 Александр Леонов, "Управление уязвимостями и прочее"
🔸 Лев Палей, "Вести из Палей"
🔸 Максим Хараск, "Global Digital Space"

01:13 Публичные эксплоиты для уязвимостей Juniper и WinRAR
08:34 Брешь протокола BGP может привести к длительным сбоям в работе интернета
12:45 Подозрительные изменения в британском Investigatory Powers Act 2016 (IPA)
21:13 НеУязвимость curl
27:18 Google удалила пиратские URL из личных сохранённых ссылок пользователей
34:17 Взлом национального центра готовности к инцидентам и стратегии кибербезопасности Японии
36:59 Блокировка ПО со стороны Microsoft стала бы благом?

Nucleus Security нарисовали красивую картинку по CISA KEV уязвимостям

1 комментарий

Nucleus Security нарисовали красивую картинку по CISA KEV уязвимостям

Nucleus Security нарисовали красивую картинку по CISA KEV уязвимостям. Навели статистику по вендорам. К статистике наведенной по всем уязвимостям из NVD я отношусь обычно скептически - непонятно то ли у вендора такие дырявые продукты, то ли вендор наоборот ответственно подходит к уязвимостям в своих продуктах и заводит CVE на каждый чих. Здесь же рассматриваются только уязвимости с признаками эксплуатации в реальных атаках, просто так в CISA KEV не попадают. Поэтому вполне справедливо будет сделать вывод: если у вас инфраструктура на продуктах Microsoft, то уровень риска у вас соответствует этому громадному кружку, а если на Linux, то гораздо меньшему кружку (его так сразу и не заметишь). Выпиливайте у себя Microsoft! Хотя бы стратегически двигайтесь в этом направлении. Тоже касается и других больших кружков: CISCO, Apple, Oracle, Adobe. Google выпилить скорее всего не получится - это вездесущий Chromium. 🙂

По поводу поста зампреда комитета ГД по информполитике Антона Горелкина

Добавить комментарий

По поводу поста зампреда комитета ГД по информполитике Антона Горелкина. "Все успешные операционные системы, которые существуют сейчас, разрабатывались без участия государств. Они завоевали рынок именно потому, что коммерческие компании были кровно в этом заинтересованы."

Если убрать за скобки действительно спорный контекст с выделением 480 млрд рублей Ростелекому, а рассмотреть написанное по существу, то можно отметить следующее:

1. "Все успешные операционные системы, которые существуют сейчас", если брать десктопы и смартфоны, произведены 3 американскими компаниями: Microsoft, Google, Apple. Как же так получилось, что компании все американские, и занимают большую часть рынка во всех странах мира. За небольшим исключением - мобильные ОС на основе AOSP в Китае и Red Star OS в Северной Корее. Такое положение американских компаний вызвано конкуренцией на свободном рынке? Или все же имеет место разумная политика протекционизма?
2. "Разрабатывались без участия государств". Если государственных денег на первый взгляд не видно это не значит, что их нет. Вливание миллиардов долларов в Microsoft через Department of Defence, например, видно вполне отчётливо (первая попавшаяся ссылка "Microsoft wins $10 billion US Department of Defense JEDI cloud contract"), часть этих средств безусловно идёт на разработку Windows. Будет неправдой сказать, что бизнес американского бигтеха строится на прямых вливаниях из американского бюджета, но и говорить, что американское государство в деятельности этих компаний не участвует и материально не поддерживает тоже нельзя.
3. Факт зависимости РФ от продуктов американских компаний на лицо. Сама собой ситуация не изменится. Альтернативные десктопные и мобильные операционные системы в мире есть, но значительную доли рынка они самостоятельно занять не могут и видимо не смогут. Если брать мобильные ОС, то кого реально интересуют Sailfish, PureOS, postmarketOS и т.п. кроме горстки гиков (я среди них)?
4. Теперь вопрос: а насколько это критично? Если это вопрос государственной безопасности (а мне кажется это так и есть), то нужно принимать чрезвычайные меры, чтобы ситуация конкретно в России изменилась. Чтобы у нас вдруг стало не так как во всем мире. Для этого колоссальные усилия нужно предпринять. В том числе и в законодательной плоскости, и в сфере регуляторики. Сделать разумный протекционизм, как в Штатах, но располагая гораздо меньшими ресурсами. Это не просто кому-то денег дать. И результат совсем не гарантирован. Если же для государства засилье американских операционных систем это в целом норм, то тогда конечно можно оставить все как есть. Но ожидать, что ситуация сама изменится в силу самозародившейся конкуренции на локальном российском рынке, как мне кажется, не стоит.

Прочитал статью Дмитрия Алтухова "Корпоративная мобильность на Android: троянский конь для критической информационной инфраструктуры"

2 комментария

Прочитал статью Дмитрия Алтухова "Корпоративная мобильность на Android: троянский конь для критической информационной инфраструктуры". Неплохая раскладка про Android. Выделил тезисы:

1. Android не всегда был лидирующей мобильной ОС. В 2007 70% рынка было у Symbian. В 2009 появился Android, в 2013 его доля выросла до 50%, а о Symbian уже никто не вспоминал.
2. На рынке настольных ОС существует массовая Microsoft Windows, нишевая Mac OS и множество вариантов Unix-подобных систем. На мобильном рынке олигополия, т.к. мобильные ОС сильнее интегрированы с аппаратным обеспечением, имеют более высокие требования к оптимизации процессов системы для обеспечения долгого времени работы устройства от аккумулятора.
3. Основной бизнес Google – не разработка программного обеспечения, а реклама и аналитика данных пользователей. Продукты и сервисы это инструмент доступа к пользователям и их данным.
4. Первая бесплатная и открытая мобильная ОС - уникальный маркетинговый ход Google, который сработал.
5. Архитектура ранних версий Android была достаточно простой. Архитектурно драйверы не были изолированы от основных компонентов ОС (до HAL).
6. В первых версиях все приложения Google поставлялись с открытым исходным кодом и входили в состав операционной системы. Спустя пару лет их убрали в лицензируемый набор сервисов, API и приложений Google Mobile Services (GMS).
7. Android не является «честным» ПО с открытым исходным кодом. Google публикует исходный код Android после завершения разработки каждой версии. Драйверы аппаратного обеспечения в виде исходных кодов в полном объёме отсутствуют. Размер исходного кода современного Android (150 млн строк) не предполагает, что кто-то с ним будет по-настоящему разбираться. Ежегодно меняется несколько млн строк. Лицензия SDK Android Studio не является свободной (только для разработки совместимого ПО).
8. «Настоящий» Android на всех рынках, кроме китайского — это не AOSP, а сертифицированные Google телефоны с проприетарным GMS.
9. Производители Android-устройств с сервисами Google (Open Handset Alliance) связаны конфиденциальными юридическими соглашениями. Запрет на производство устройств на базе "несовместимых" форков исходного кода Android. Mobile Application Distribution Agreement обязывает производителей устанавливать единственный поиск по умолчанию и выносить приложения Google на первые экраны.
10. Через эти ограничения остановили, например, проект Яндекс.Кит. «Яндекс» договорился о выпуске телефонов: вышли ограниченным тиражом Huawei Honor 3 Yandex и Explay Flame; затем вмешался Google – Fly и Prestigio были вынуждены свернуть выпуск моделей, а затем и Explay оказался в такой же ситуации.
11. Google никогда не пытались сертифицировать свои системы (в отличие от той же Microsoft). При использовании Android с GMS невозможно полностью исключить блокировку всего устройства или части функционала, дистанционное удаление всех данных или несанкционированный доступ к информации со стороны производителя или третьей стороны, например государственных органов страны, в которой зарегистрирован производитель ОС или устройства. Только в случае правильно выбранного производителя устройства с AOSP заказчик может существенно снизить эти риски. Вероятность наличия недокументированных и бэкдоров функций в формально открытом коде довольно низкая, но полноценный независимый аудит безопасности AOSP не проводился.
12.С 2015 года Google выпускает ежемесячные обновления безопасности. Сейчас обновления выпускаются лишь для версий 10–13. До 2017 года Android обновлялся через полную замену прошивки. В Android 8 Google начал переход к модульным обновлениям «нижних слоёв» ОС, выделив полноценный слой аппаратной абстракции (в рамках Project Treble), разделив обновления фреймворков Android и драйверов «железа». Google ввёл новую формулу для сертифицированных телефонов «два релиза ОС, три года обновлений». Но по факту следуют ей далеко не все производители телефонов с GMS. Обновления же Android в варианте AOSP лежат на совести каждого производителя устройств и разработчика форка.