Архив метки: iOS

Вчерашнюю статью про "сравнительно более безопасную" Apple iOS обновили

Вчерашнюю статью про "сравнительно более безопасную" Apple iOS обновили. Пассаж про "сравнительно более безопасную" убрали вовсе. Добавили тезисы, чтобы "расставить однозначные акценты":

1. Нет сомнений в необходимости отказа от использования устройств Apple в госсекторе и на объектах критической информационной инфраструктуры и в связи компании Apple с разведсообществом США.
2. Apple и Google нарушают собственные политики сбора данных и конфиденциальности.
3. Выход из ситуации — переход на российские устройства с сертифицированными российскими мобильными ОС.
4. Российские устройства и мобильные ОС (например «Аврора») готовы для решения базовых задач бизнеса и позволяют заменить иностранные устройства и ОС.

Имхо, стало лучше. 👍🙂

Вышла занимательная статья про то, что переход с iPhone на китайские Android-смартфоны это так себе идея с точки зрения безопасности

Вышла занимательная статья про то, что переход с iPhone на китайские Android-смартфоны это так себе идея с точки зрения безопасности

Вышла занимательная статья про то, что переход с iPhone на китайские Android-смартфоны это так себе идея с точки зрения безопасности. Если резюмировать написанное, то там про то, что у Apple всё централизовано, а у китайских производителей смартфонов сплошной разброд и шатание:

1. Уязвимости они закрывают хуже и медленнее.
2. Телеметрии и персональных данных собирают больше.
3. В магазинах приложений там всякие "фонарики" со зловредной функциональностью.
4. APK-шки разрешают ставить скаченные непонятно откуда.
5. Иногда могут предустановленные на заводе бэкдоры содержать.
6. Разнообразных драйверов больше, соответственно уязвимостей в них больше.
7. Для Android сформировался чёрный рынок малварей.

В целом, со всем можно согласиться, но есть 2 передёргивания:

1. Игнорируется тот факт, что Apple обвинили в намеренном внесении бэкдора. После этого называть Apple iOS "сравнительно более безопасной мобильной ОС" это такоё себе. Ну правда, о какой безопасности говорить, если вендор специально бэкдоры вставляет, которые используются в таргетированных атаках.
2. Сравнивать надо сравнимое. Устройства на Apple iOS надо сравнивать с устройствами какого-то конкретного вендора, а не с условным китайским ноунейм вендором Android-смартфонов, навешивая на него проблемы из всех кейсов за последние 15 лет. Если брать топовых вендоров, таких как Xiao­mi и Huawei, и их актуальные модели, то там с безопасностью всё совсем не так плохо.

Хотя с тем, что от регуляторов желательно было бы видеть не только рекомендацию отказываться от устройств Apple, но и рекомендацию переходить "на российские мобильные устройства и операционные системы", я полностью согласен. Было бы также здорово, если бы эти устройства появились уже в свободной продаже для физиков.

Apple выпустили обновления для исправления уязвимостей, эксплуатирующихся в операции Триангуляция

Apple выпустили обновления для исправления уязвимостей, эксплуатирующихся в операции Триангуляция.

CVE-2023–32434 — "An app may be able to exe­cute arbi­trary code with ker­nel priv­i­lege"

CVE-2023–32435 — WebKit "Pro­cess­ing web con­tent may lead to arbi­trary code exe­cu­tion"

Исправления пришли в версиях iOS/iPadOS 16.5.1 и 15.7.7.

Получается 20 дней потребовалось на выпуск фикса. Можно констатировать, что какого-то нового закручивания гаек в отношение устройств Apple за эти 20 дней также не произошло.

Я за это время имел несколько бесед с безопасниками из разных компаний, которые используют устройства Apple (основной вопрос к устройствам на macOS). Поразительное дело. Все согласны с тем, что устройства Apple это "идеальное убежище для шпионских программ" и обеспечивать безопасность таких устройств куда сложнее, чем устройств под Lin­ux и Win­dows. В том числе и в плане Vul­ner­a­bil­i­ty Management‑а. Но как только дело доходит до "готов ли ты лично отказаться от устройств Apple? (хотя бы корпоративных)" ответ один "нет, ты что, я привык, они такие классные и удобные". 🤷‍♂️ Если с безопасниками такая история, то что уж говорить о простых обывателях. Пока не будет каких-то прямых запретительных мер, из корпоративных инфраструктур устройства Apple никуда не денутся. А физики от них не откажутся вообще никогда. Даже если Apple начнет эти устройства брикать, всё равно всеми правдами и неправдами будут стараться продолжить пользоваться. В удивительную зависимость люди попадают.

По поводу поста зампреда комитета ГД по информполитике Антона Горелкина

По поводу поста зампреда комитета ГД по информполитике Антона Горелкина. "Все успешные операционные системы, которые существуют сейчас, разрабатывались без участия государств. Они завоевали рынок именно потому, что коммерческие компании были кровно в этом заинтересованы."

Если убрать за скобки действительно спорный контекст с выделением 480 млрд рублей Ростелекому, а рассмотреть написанное по существу, то можно отметить следующее:

1. "Все успешные операционные системы, которые существуют сейчас", если брать десктопы и смартфоны, произведены 3 американскими компаниями: Microsoft, Google, Apple. Как же так получилось, что компании все американские, и занимают большую часть рынка во всех странах мира. За небольшим исключением — мобильные ОС на основе AOSP в Китае и Red Star OS в Северной Корее. Такое положение американских компаний вызвано конкуренцией на свободном рынке? Или все же имеет место разумная политика протекционизма?
2. "Разрабатывались без участия государств". Если государственных денег на первый взгляд не видно это не значит, что их нет. Вливание миллиардов долларов в Microsoft через Depart­ment of Defence, например, видно вполне отчётливо (первая попавшаяся ссылка "Microsoft wins $10 bil­lion US Depart­ment of Defense JEDI cloud con­tract"), часть этих средств безусловно идёт на разработку Win­dows. Будет неправдой сказать, что бизнес американского бигтеха строится на прямых вливаниях из американского бюджета, но и говорить, что американское государство в деятельности этих компаний не участвует и материально не поддерживает тоже нельзя.
3. Факт зависимости РФ от продуктов американских компаний на лицо. Сама собой ситуация не изменится. Альтернативные десктопные и мобильные операционные системы в мире есть, но значительную доли рынка они самостоятельно занять не могут и видимо не смогут. Если брать мобильные ОС, то кого реально интересуют Sail­fish, Pure­OS, post­mar­ke­tOS и т.п. кроме горстки гиков (я среди них)?
4. Теперь вопрос: а насколько это критично? Если это вопрос государственной безопасности (а мне кажется это так и есть), то нужно принимать чрезвычайные меры, чтобы ситуация конкретно в России изменилась. Чтобы у нас вдруг стало не так как во всем мире. Для этого колоссальные усилия нужно предпринять. В том числе и в законодательной плоскости, и в сфере регуляторики. Сделать разумный протекционизм, как в Штатах, но располагая гораздо меньшими ресурсами. Это не просто кому-то денег дать. И результат совсем не гарантирован. Если же для государства засилье американских операционных систем это в целом норм, то тогда конечно можно оставить все как есть. Но ожидать, что ситуация сама изменится в силу самозародившейся конкуренции на локальном российском рынке, как мне кажется, не стоит.

Занимательно порефлексировать над очередным набросом Дурова на WhatsApp

Занимательно порефлексировать над очередным набросом Дурова на What­sApp. Он там делает далеко идущие выводы, что очередная исправленная RCE уязвимость в What­sApp это на самом деле умышленно добавленный бэкдор. 🙂 И что эта уязвимость давала доступ ко всем файлам на телефоне пользователей. И поэтому ради безопасности своих данных не пользуйтесь What­sApp-ом.

Нет, ну что такая атака с использованием What­sApp в принципе возможна, мы ещё по кейсу с Pega­sus от NSO Group помним. Но не настолько же все тривиально! То, что используется в десятках таргетированных атак вряд ли будет долго и массово использоваться против простых обывателей.

С тем же успехом можно сказать, что, например, уязвимость в виндовом клиенте Telegram это тоже был бэкдор. 🙂

С другой стороны, является ли смартфон с удаленным ватсапом или даже телеграммом безопасным устройством? Нет конечно! Он как был убогой пальцетыкалкой с нелепым обрубком вместо операционной системы так и остался. Обрубком, который был вкорячен на конкретную железку матюками и грязными хаками, так что поставить туда что-то альтернативное в общем случае не получится, только попользоваться пару лет и выкинуть. На каждый чих по приложению требующему максимум прав. Дичь ведь. И всё это намертво завязано на американский бигтех и им же полность контролируется. Использовать смартфон с Android или iOS для чего-то чем вы не готовы сейчас же поделиться со всем миром это очень плохая идея. Если вы так делаете, прекращайте.