Появился рейтинг кибер-мощи 30 стран мира.
По этому рейтингу можно судить о раскладе сил по кибер-защите и кибер-нападению стран. Россия оказалась в нем на 4-м месте. Первее только США, Китай, Великобритания.
#НеКасперский говорит, что методика вычисления неординарная: умножали уровень намерений(амбиции и цели)в каждой из киберобластей на возможности реализовать эти намерения. Всего киберобластей 7. У России по докладу приоритетная цель - слежка и наблюдение. Но если смотреть не по намерениям, а возможностям, то Россия в этой области на 20-м месте. Зато мы лидируем в сфере контроля над информацией.
По этому рейтингу можно судить о раскладе сил по кибер-защите и кибер-нападению стран. Россия оказалась в нем на 4-м месте. Первее только США, Китай, Великобритания.
#НеКасперский говорит, что методика вычисления неординарная: умножали уровень намерений(амбиции и цели)в каждой из киберобластей на возможности реализовать эти намерения. Всего киберобластей 7. У России по докладу приоритетная цель - слежка и наблюдение. Но если смотреть не по намерениям, а возможностям, то Россия в этой области на 20-м месте. Зато мы лидируем в сфере контроля над информацией.
Медицинские приложения сольют ваши данные всем
Приложения в сфере здравоохранения проанализировали по категориям: телемедицина, медоборудования, торговля и отслеживания распространения коронавирусной инфекции.
Цифры такие:
91% приложений плохо шифруют данные
85% COVID - приложений имеют утечки данных
71% имеют хотя бы одну серьезную уязвимость
#НеКасперский говорит, что многие приложения для здравоохранения имеют проблемы с безопасностью хранения данных. В 60% Android-приложений собирают информацию в SharedPreferences, оставляя незашифрованные данные. Большую часть угроз можно было бы смягчить при помощи обфускации кода, обнаружении несанкционированного доступа и криптографии белого ящика.
Приложения в сфере здравоохранения проанализировали по категориям: телемедицина, медоборудования, торговля и отслеживания распространения коронавирусной инфекции.
Цифры такие:
91% приложений плохо шифруют данные
85% COVID - приложений имеют утечки данных
71% имеют хотя бы одну серьезную уязвимость
#НеКасперский говорит, что многие приложения для здравоохранения имеют проблемы с безопасностью хранения данных. В 60% Android-приложений собирают информацию в SharedPreferences, оставляя незашифрованные данные. Большую часть угроз можно было бы смягчить при помощи обфускации кода, обнаружении несанкционированного доступа и криптографии белого ящика.
Провалы школьников будут собираться в «цифровую биографию»
Министр просвещения Кравцов сказал, что сейчас в 15 регион пилотно уже запущена программа цифровой образовательный среды.(ЦОС)
Прогресс школьников будет фиксироваться в цифровой биографии. Все успехи и неудачи школьников будут находится также в ней.
#НеКасперский предполагает, что нужно серьезно отнестись к защите этих баз данных . По словам министра, благодаря этой биографии можно будет понять, в чем школьник не успевает и в чем ему нужна помощь. Но человеческий фактор никуда не исчез. Обязательно найдутся те, кто пожелает продать БД на чёрном рынке. Потенциальные покупатели: онлайн школы, курсы, продавцы всяких инфокурсов, которые ради денег готовы со школы играть на слабостях и провалах человека. Мошенники также могут использовать эти данные для шантажа. А кибербуллеры для давления на уязвимую психику подростков. В общем, надо быть осторожными и ответственным, вводя такие инструменты в школах.
Министр просвещения Кравцов сказал, что сейчас в 15 регион пилотно уже запущена программа цифровой образовательный среды.(ЦОС)
Прогресс школьников будет фиксироваться в цифровой биографии. Все успехи и неудачи школьников будут находится также в ней.
#НеКасперский предполагает, что нужно серьезно отнестись к защите этих баз данных . По словам министра, благодаря этой биографии можно будет понять, в чем школьник не успевает и в чем ему нужна помощь. Но человеческий фактор никуда не исчез. Обязательно найдутся те, кто пожелает продать БД на чёрном рынке. Потенциальные покупатели: онлайн школы, курсы, продавцы всяких инфокурсов, которые ради денег готовы со школы играть на слабостях и провалах человека. Мошенники также могут использовать эти данные для шантажа. А кибербуллеры для давления на уязвимую психику подростков. В общем, надо быть осторожными и ответственным, вводя такие инструменты в школах.
Оказывается, в непризнанных государствах работают свои операторы связи.
Особенность мобильной связи в том, что ее нельзя организовать без специфических знаний и сложных схем пропусков трафика. Интересно, что среди операторов «непризнанных» государств есть и те, кто имеет в базе больше 1 млн абонентов.
Особенность мобильной связи в том, что ее нельзя организовать без специфических знаний и сложных схем пропусков трафика. Интересно, что среди операторов «непризнанных» государств есть и те, кто имеет в базе больше 1 млн абонентов.
Операторы вирусов-вымогателей теперь совершают DDoS-атаки на сайты
Атаки на сайт используются как дополнительный инструмент, если компания, от которой требуется выкуп, отказывается от переговоров. Самый распространенный тип атак - инфраструктурный: они направлены на то, чтобы перегрузить пропускную способность сети либо серверы приложений. Второй тип - атаки уровня приложений. Они являются более сложными и их цель - более дорогостоящие части приложения.
#НеКасперский говорит, что использование DDoS - атак как рычага давления на компанию может действительно оставить ее без выбора. Под прессингом зашифрованных данных, даже если есть их резервная копия, вследствии чего компания может игнорировать переговоры и требование выкупа за их разблокировку и DDoS-атаки на сайт, небольшая компания не сможет выполнять работу. Для нейтрализации атаки можно использовать специальные сервисы, которые пропускают весь трафик через свою сеть и допускает до сайта клиента только реальных пользователей.
Атаки на сайт используются как дополнительный инструмент, если компания, от которой требуется выкуп, отказывается от переговоров. Самый распространенный тип атак - инфраструктурный: они направлены на то, чтобы перегрузить пропускную способность сети либо серверы приложений. Второй тип - атаки уровня приложений. Они являются более сложными и их цель - более дорогостоящие части приложения.
#НеКасперский говорит, что использование DDoS - атак как рычага давления на компанию может действительно оставить ее без выбора. Под прессингом зашифрованных данных, даже если есть их резервная копия, вследствии чего компания может игнорировать переговоры и требование выкупа за их разблокировку и DDoS-атаки на сайт, небольшая компания не сможет выполнять работу. Для нейтрализации атаки можно использовать специальные сервисы, которые пропускают весь трафик через свою сеть и допускает до сайта клиента только реальных пользователей.
Власти России хотят получить перс.данные россиян от Facebook и Twitter
Закон о персональных данных, который был принят еще в 2015 году, обязывает хранить информацию о российских пользователях только в России. Facebook и Twitter не соблюдали это требование, им была дана отсрочка до начала 2020. За несоблюдение дедлайна им дали штрафы, но блокировать не стали.
Сейчас Facebook и Twitter должны перенести сервера в РФ. Еще одной отсрочки для них не будет.
#НеКасперский считает, что переносить базы данных сложно и дорого для техногигантов. Чтобы соблюдать наш закон о перс. данных, им придется серьезно изменить собственную структуру их хранения. Для этого нужно настроить фильтрацию данных пользователей по территориальному признаку. Но заблокировать их сейчас вряд ли возможно. Телегу уже пытались заблокировать, но поняли, что лучше легализовать.
Закон о персональных данных, который был принят еще в 2015 году, обязывает хранить информацию о российских пользователях только в России. Facebook и Twitter не соблюдали это требование, им была дана отсрочка до начала 2020. За несоблюдение дедлайна им дали штрафы, но блокировать не стали.
Сейчас Facebook и Twitter должны перенести сервера в РФ. Еще одной отсрочки для них не будет.
#НеКасперский считает, что переносить базы данных сложно и дорого для техногигантов. Чтобы соблюдать наш закон о перс. данных, им придется серьезно изменить собственную структуру их хранения. Для этого нужно настроить фильтрацию данных пользователей по территориальному признаку. Но заблокировать их сейчас вряд ли возможно. Телегу уже пытались заблокировать, но поняли, что лучше легализовать.
Операторов заставят строить 5G на российском оборудовании
Это законодательная инициатива, которая будет оформлена в нормативно-правовых актах. Операторов хотят стимулировать тем, что будут выделять новый радиочастотный спектр при условии, что он используется под OpenRAN.
Сейчас поставщики российских операторов иностранные : Nokia, Huawei, Ericsson.
#НеКасперский опасается, что изменения могут негативно сказаться на работе операторов, цене и качестве услуг. Если архитектура OpenRAN будет крутой, операторы сами начнут ее внедрять без новых законов сверху. Некоторые операторы, например, Мегафон, уже используют оборудование с открытыми интерфейсами. Переход на российское оборудование должен носить рыночный характер, иначе цены услуг сильно взлетят.
Это законодательная инициатива, которая будет оформлена в нормативно-правовых актах. Операторов хотят стимулировать тем, что будут выделять новый радиочастотный спектр при условии, что он используется под OpenRAN.
Сейчас поставщики российских операторов иностранные : Nokia, Huawei, Ericsson.
#НеКасперский опасается, что изменения могут негативно сказаться на работе операторов, цене и качестве услуг. Если архитектура OpenRAN будет крутой, операторы сами начнут ее внедрять без новых законов сверху. Некоторые операторы, например, Мегафон, уже используют оборудование с открытыми интерфейсами. Переход на российское оборудование должен носить рыночный характер, иначе цены услуг сильно взлетят.
Власти Британии занизили статистику COVID на 16 000 по ошибке. А может и нет.
По официальной версии это произошло из-за ограничений в Excel, в котором центр общественного здоровья собирал результаты ежедневных тестов. CSV-файлы с результатами отправляли частные британские лаборатории.
Но оказалось, что в таблицы Excel их собирали в формате XLS, которые могут содержать не более 65536 строк. Так что после лимита часть данных перестала попадать в базу данных.
#НеКасперский говорит, что в результате этого большое число контактных заболевших не получило уведомлении о самоизоляции. Как следствие, резкий рост зараженных ковидом, о котором британцы узнали постфактум. Вот так человеческий фактор и техническое ограничение привели к масштабному провалу здравоохранения.
По официальной версии это произошло из-за ограничений в Excel, в котором центр общественного здоровья собирал результаты ежедневных тестов. CSV-файлы с результатами отправляли частные британские лаборатории.
Но оказалось, что в таблицы Excel их собирали в формате XLS, которые могут содержать не более 65536 строк. Так что после лимита часть данных перестала попадать в базу данных.
#НеКасперский говорит, что в результате этого большое число контактных заболевших не получило уведомлении о самоизоляции. Как следствие, резкий рост зараженных ковидом, о котором британцы узнали постфактум. Вот так человеческий фактор и техническое ограничение привели к масштабному провалу здравоохранения.
У Mac и MacBook новая неустранимая уязвимость
Вспомогательный процессор Т2 устройств Apple можно взломать новым методом. Он отвечает за криптографические операции, обработку паролей, TouchID и шифрование паролей.
Бета софт Checkra1n v.0.11.0 уже находится в открытом доступе. Он эксплуатирует два джелбрейка.
Хакер может подключиться через UCB-C во время загрузки Mac и запустить эксплойты. Благодаря этому он может выполнить код внутри чипа Т2 и получить в нем рутовые права.
#НеКасперский говорит, что самое плохое тут то, что уязвимость аппаратная. Она не может быть устранена сейчас. Может быть Apple и придумает что-то, чтобы закрыть эту дыру, но, судя по всему, не скоро. Решение для пользователя, при условии, что есть подозрения взлома, переустановить bridgeOS. Это поможет до следующей атаки.
Вспомогательный процессор Т2 устройств Apple можно взломать новым методом. Он отвечает за криптографические операции, обработку паролей, TouchID и шифрование паролей.
Бета софт Checkra1n v.0.11.0 уже находится в открытом доступе. Он эксплуатирует два джелбрейка.
Хакер может подключиться через UCB-C во время загрузки Mac и запустить эксплойты. Благодаря этому он может выполнить код внутри чипа Т2 и получить в нем рутовые права.
#НеКасперский говорит, что самое плохое тут то, что уязвимость аппаратная. Она не может быть устранена сейчас. Может быть Apple и придумает что-то, чтобы закрыть эту дыру, но, судя по всему, не скоро. Решение для пользователя, при условии, что есть подозрения взлома, переустановить bridgeOS. Это поможет до следующей атаки.
Никогда такого не было и вот опять. Москва готовится к введению пропусков. А это значит, что скоро снова будут базы с данными о передвижениях, риски утечек и т.д.
https://t.me/bazabazon/4824
https://t.me/bazabazon/4824
Telegram
Baza
Москва готовится к введению пропусков. Работники самых различных городских структур начали сдавать свои данные для оформления разрешений на передвижение по городу.
В частности, это коснулось уже сотрудников автобазы управления делами президента – некоторым…
В частности, это коснулось уже сотрудников автобазы управления делами президента – некоторым…
Молодой «предприниматель» из сотовой компании продавал данные за 150 - 500 рублей
В Костроме завершено расследование уголовного дела за нарушение тайны телефонных переговоров и неправомерный доступ к информации, ее копирование из корыстных интересов.
В 2020 мужчина копировал детализацию звонков из базы данных и другие перс. данные. Их он потом продавал за 150-500 рублей.
#НеКасперский ошеломлён тем, насколько дёшево может продаваться «пробив» в российской провинции. Скорее всего, есть и корреляция между ценой «пробива» и легкодоступностью детальной информации по звонкам и т.д. Чем лучше защищены перс.данные, тем дороже стоит «пробив». Но если в данном случае детализацию можно получить за такую сумму, за которую продавал ее обвиняемый, то страшно подумать, что можно сделать за
«большие» деньги.
В Костроме завершено расследование уголовного дела за нарушение тайны телефонных переговоров и неправомерный доступ к информации, ее копирование из корыстных интересов.
В 2020 мужчина копировал детализацию звонков из базы данных и другие перс. данные. Их он потом продавал за 150-500 рублей.
#НеКасперский ошеломлён тем, насколько дёшево может продаваться «пробив» в российской провинции. Скорее всего, есть и корреляция между ценой «пробива» и легкодоступностью детальной информации по звонкам и т.д. Чем лучше защищены перс.данные, тем дороже стоит «пробив». Но если в данном случае детализацию можно получить за такую сумму, за которую продавал ее обвиняемый, то страшно подумать, что можно сделать за
«большие» деньги.
Forwarded from Новости. Как есть
Московское метро, оснащенное системой распознавания лиц, начало приносить плоды. Копы выявили мужчину, которого разыскивали за похищение человека и грабеж. Иголку в стоге сена стало искать проще
Google помогла ФБР найти поджигателя машины
ФБР направила запрос в компанию с требованием раскрыть тех, кто гуглил адрес дома пострадавшего.
Так ФБР узнали IP-адрес, с которого искали дом жертвы несколько раз. IP-адрес был связан с номером телефона, принадлежащим жителю штата, из которого гуглили адрес.
Путь смартфона тоже проследили, узнали кто использовал вышки связи рядом с домом жертвы и получили перс. данные от оператора владельца номера. Жертвой оказался свидетель по делу об изнасиловании, а поджигателем - знакомый насильника.
#НеКасперский видит тенденцию сотрудничества технологических компаний и спецслужб в раскрытии преступлений. Недавно был случай, когда Apple впервые дала доступ к содержимому телефона пользователя, так же по запросу ФБР. Тут интересен даже не этот факт сотрудничества, а то, что у компаний так много данных о нас и нашей жизни, что невольно задумываешься: что произойдёт, если из-за чьей-то халатности и благодаря чьей-то предприимчивости эти данные окажутся в открытом доступе.
ФБР направила запрос в компанию с требованием раскрыть тех, кто гуглил адрес дома пострадавшего.
Так ФБР узнали IP-адрес, с которого искали дом жертвы несколько раз. IP-адрес был связан с номером телефона, принадлежащим жителю штата, из которого гуглили адрес.
Путь смартфона тоже проследили, узнали кто использовал вышки связи рядом с домом жертвы и получили перс. данные от оператора владельца номера. Жертвой оказался свидетель по делу об изнасиловании, а поджигателем - знакомый насильника.
#НеКасперский видит тенденцию сотрудничества технологических компаний и спецслужб в раскрытии преступлений. Недавно был случай, когда Apple впервые дала доступ к содержимому телефона пользователя, так же по запросу ФБР. Тут интересен даже не этот факт сотрудничества, а то, что у компаний так много данных о нас и нашей жизни, что невольно задумываешься: что произойдёт, если из-за чьей-то халатности и благодаря чьей-то предприимчивости эти данные окажутся в открытом доступе.
⚡️⚡️⚡️
Павел Дуров сообщил, что Apple требует закрыть Telegram-каналы, где выкладываются перс. данные белорусских силовиков.
Павел Дуров сообщил, что Apple требует закрыть Telegram-каналы, где выкладываются перс. данные белорусских силовиков.
Сбербанк собирает биометрические данные детей
Отпечатки ладоней собраны уже у сотен тысяч детей. В России сбор биометрических данных у детей не предусмотрен законом.
Проект «Ладошки» для безналичной оплаты обедов в школе существует уже с 2015 года. В качестве биометрии тут: уникальный рисунок вен на ладони, который прикреплён к счету. Данные хранит дочка Сбера «Расчетные решение». Родителям школьников практически не дают альтернативного выбора, поэтому им приходится подписывать согласие на сбор биометрических данных детей.
#НеКасперский говорит что перс. данные детей активно собирают и другие компании. Например, «Ростелеком» вместе с партнером «Дневник.ру» запустили проект по мониторингу успеваемости. В каждом таком проекте нужно проводить проверку на избыточность собираемых данных и изначально выстраивать качественную систему защиты, чтобы избежать действий мошенников в отношении детей.
Отпечатки ладоней собраны уже у сотен тысяч детей. В России сбор биометрических данных у детей не предусмотрен законом.
Проект «Ладошки» для безналичной оплаты обедов в школе существует уже с 2015 года. В качестве биометрии тут: уникальный рисунок вен на ладони, который прикреплён к счету. Данные хранит дочка Сбера «Расчетные решение». Родителям школьников практически не дают альтернативного выбора, поэтому им приходится подписывать согласие на сбор биометрических данных детей.
#НеКасперский говорит что перс. данные детей активно собирают и другие компании. Например, «Ростелеком» вместе с партнером «Дневник.ру» запустили проект по мониторингу успеваемости. В каждом таком проекте нужно проводить проверку на избыточность собираемых данных и изначально выстраивать качественную систему защиты, чтобы избежать действий мошенников в отношении детей.
Пульт с прослушкой: история как из фильма про шпионов
Мы уже давно знаем, что камера у ноутбука может следить за нами. Но задумывался ли кто-то, что пульт от ТВ-приставки может быть подслушивающим устройством?
Атака WarezThe Remote позволила перехватить пульт и отслеживать разговоры на расстоянии 20 м.
Оказалось, что уязвимость была в протоколе RF4CE, отвечающем за шифрование связи.
От обычных пультов с инфракрасным портом этот отличается наличием радиочастот для связи с кабельными приставками и микрофоном для голосовых команд.
Зная об уязвимости, хакеры смогли отправить сообщение о доступе новой прошивки и установить своё вредоносное ПО.
#НеКасперский понимает, что чем больше развиваются технологии и чем больше у них функционал, тем чаще будут появляться возможности и у хакеров. К сожалению, ничего не бывает идеально и в новых продуктах многое ещё нужно совершенствовать. Нечему удивляться, если даже у более известных и опытных компаний в устройствах есть «дыры». Хотя, казалось бы...)
Мы уже давно знаем, что камера у ноутбука может следить за нами. Но задумывался ли кто-то, что пульт от ТВ-приставки может быть подслушивающим устройством?
Атака WarezThe Remote позволила перехватить пульт и отслеживать разговоры на расстоянии 20 м.
Оказалось, что уязвимость была в протоколе RF4CE, отвечающем за шифрование связи.
От обычных пультов с инфракрасным портом этот отличается наличием радиочастот для связи с кабельными приставками и микрофоном для голосовых команд.
Зная об уязвимости, хакеры смогли отправить сообщение о доступе новой прошивки и установить своё вредоносное ПО.
#НеКасперский понимает, что чем больше развиваются технологии и чем больше у них функционал, тем чаще будут появляться возможности и у хакеров. К сожалению, ничего не бывает идеально и в новых продуктах многое ещё нужно совершенствовать. Нечему удивляться, если даже у более известных и опытных компаний в устройствах есть «дыры». Хотя, казалось бы...)
Белорусские Telegram-каналы опубликовали обращение к Apple с просьбой не блокировать каналы с перс. данными силовиков.
Авторы предупреждают, что действия компании «создают опасный прецедент» по цензуре в мессенджере Павла Дурова.
Авторы предупреждают, что действия компании «создают опасный прецедент» по цензуре в мессенджере Павла Дурова.
Павел Дуров - гений PR
Apple сегодня заявила, что требовала удалять не телеграм-каналы, а только отдельную информацию нарушающую политику AppStore. Дуров, конечно, как всегда всё преподнёс в своей трактовке.
Apple сегодня заявила, что требовала удалять не телеграм-каналы, а только отдельную информацию нарушающую политику AppStore. Дуров, конечно, как всегда всё преподнёс в своей трактовке.
СБУ обратилась к Google и Apple с просьбой заблокировать российские приложения в Play Market и App Store.
#НеКасперский говорит, что это смешно читать
#НеКасперский говорит, что это смешно читать