​​По словам инсайдеров, речь идёт о Павле Ковтонюке, одном из ближайших...цейво...поплічників равноапостольной Ульяны Супрун.

Ковтонюк - типичнейший, просто эталонный представитель социальной группы, получившей хлёсткое, хотя и не вполне адекватное прозвище "соросята". Одно из как бы официальных лиц, которое несёт ответственность за аццкое шапито, известное как "платформа электронного здоровья".

Райффайзен, который Аваль, прислал очередные "декілька простих правил безпеки".

"Нікому не розголошуйте:
- ПІН-код картки;
- 16 цифр номеру картки;
- Термін дії картки;
- CVV код (на зворотньому боці картки);
- Залишок коштів на рахунку".

В очередной раз задумался, каким образом человек с улицы, массовый клиент может понять, когда нельзя-нельзя разглашать, а когда можно и нужно? Все эти 3D Secure подобные процедуры и протоколы не предлагают выразительных (легко различимых), при этом устойчивых к разным формам компрометации отличительных признаков доверенной коммуникации. В результат фишинг и MitM процветают.

Егор Чурилов сделал в минском ПВТ доклад, посвящённый проблематике доверия в цифровой среде применительно к Web 3.0 У меня есть к докладу ряд вопросов, которые озвучил в тематической группе. Несмотря на шероховатости, полагаю доклад обязательным к просмотру тем, кого интересует SoT (State Of the Art) в этой сфере. Похоже на то, что заложенные в нашей совместной работе трёхлетней давности идеи и представления всё ещё остаются на переднем крае.

https://youtu.be/iMv00KCqb4o

​​В Эстонии проблема цифровых преступлений замечена и осознана уже года два или три. Есть очень неплохие примеры интерактивных учебных или ознакомительных веб-ресурсов, посвящённых этой проблеме.

Вот это видео и статья к нему являются примером того, как делать не нужно. Никаких, буквально ни одной иллюстрации, на как можно? Нет денег? Это не оправдание, нарезать скриншотов никогда не было проблемой.

​​Оприлюднено чергове дослідження, присвячене питанням інтеграції України до цифрового ринку ЄС. Цього разу автори з НГО "Український центр європейської політики" сконцентрували увагу на підписанні Угоди про взаємне визнання довірчих послуг. В ідеалі вона дозволить нам синхронізувати стандарти довірчих послуг (цифрові підписи, аутентифікація тощо), які розповсюджені в країнах ЄС, з тубільними. Це в ідеалі.

Наразі перелік рекомендацій, що їх запропонували автори дослідження, демонструє відсутність реального прогресу в даному напрямку. Міша, Льоша та весела гоп-компаній цифрових патріотів продовжують просувати різний самостійницький непотріб як-от "удосконалені на кваліфікованих". Дива не сталося, нажаль.

​​Публикация в популярном и, в целом, довольно авторитетном Politico является показательным примером того, насколько смутно и превратно Запад представляет себе ситуацию в нашей стране. Ну и к вопросу о реальной ценности "экспертного" мнения тоже наглядная иллюстрация.

Назвали, кажется, все буквы, но так ничего не угадали.

​​Цирковые продолжают шатать и без того изрядно обветшавшее здание украинского нотариата. Очередная инновация - возможность наложить на доверенность или иной бумажный документ, уже заверенный нотариусом, магический QR-код. Оный код, теоретически, позволяет "легко и быстро" проверить подлинность бумажного документа.

В комментариях потрясённых до глубины души граждан достоинства и недостатки оной инновации раскрываются исчерпывающим, как мне кажется, образом. По сравнению с революцией в части регистрации граждан уровень упоротости я оцениваю как умеренный.

Западные СМИ и эксперты одинаково неадекватно оценивают состояние дел в украинском телекоме и сфере кибербезопасности. Одинаково неадекватно по модулю, так сказать, но с разным знаком. В случае телекома имеет место ничем не оправданный скепсис. В случае кибербезопасности - столь же неадекватные восторги. Впрочем, восторги эти опираются на серьёзный, надёжный фундамент, а именно безудержный, жыстачайший пеар Его Высокопревосходительства и его молодой и неудержимой команды боевых сммщиков.

Результатом неадекватной оценки являются всё новые вливания в дырявые как решето меха с предсказуемым результатом. Впрочем, опыт нашумевшего проекта USAID наводит на разные мысли. Логика принятия решений, она же бывает разная и не всегда является очевидной, если вы понимаете, о чём я...

В дополнение к мнению украинских хактивистов и в качестве иллюстративного материала - расследование кровавых последствий типично украинского отношения к персональным и прочим чувствительным данным.

​​Назустріч єдиному цифровому ринку

Хоч мій ЖЖ вже тихенько сконав, управляюча компанія досі не може в це повірити, нагадаючи, як добре нам було разом. Ось і сьогодні надіслала посилання на матеріали, які я публікував свого часу. Перечитав, зітхнув, пореготав. Ця нація неймовірна!

"...Для цього колишній Голова Конституційного Суду дав керівнику Бухгалтерської служби КСУ – головному бухгалтеру незаконну вказівку щодо використання його особистого ключа з кваліфікованим електронним підписом для несанкціонованого втручання в роботу автоматизованої системи «Клієнт Казначейства – Казначейство» при підписанні бухгалтерських документів в електронній формі від його імені, також він передав їй захищений носій із власним електронним підписом.

На виконання зазначеної вказівки головний бухгалтер КСУ у період з 29 грудня 2020 року до 09 лютого 2021 року здійснила 207 несанкціонованих втручань у роботу автоматизованої системи та підписала із використанням електронного цифрового підпису на той час відстороненого від посади Голови КСУ бухгалтерські документи. Крім іншого, для створення враження у співробітників Суду щодо продовження виконання ним обов’язків Голови КСУ незаконно були підписані електронні платіжні доручення на виплату винагороди судді, заробітної плати співробітникам Секретаріату КСУ разом із преміями, грошовими та матеріальними допомогами, надбавками за інтенсивність праці та іншими виплатами.

Дії колишнього Голови та головного бухгалтера КСУ кваліфікуються за ч. 2 ст. 361 КК України – несанкціоноване втручання в роботу автоматизованої системи за попередньою змовою групою осіб, що призвело до підробки інформації. Санкція статті передбачає покарання у виді позбавлення волі строком до 6 років.

На сьогодні Державна казначейська служба України заблокувала кваліфікований електронний підпис колишнього Голови КСУ на підставі листа Державного бюро розслідувань щодо підозри про його компрометацію..."

Не слідкую за цим сюжетом, але готовий поставити 100 долярів, що ніхто не сів і не сяде. Хіба що колишній Голова виявиться колаборантом та зрадником із російським, ізраільським та панамським паспортами, чому я геть не буду здивований.

Опубликован очередной ежегодный The Cyber Defense Index. Украине не нашлось места ни в категории лидеров, ни в категории бросающих вызов, ни даже среди тех, которые стремятся. Короче, в Топ-20 нас нет.

​​В интервью СЕО Киевстар обратили внимание вот это место:

"Бесспорно, характер мошенничества изменился в связи с войной, а именно мошеннические действия, направленные на обычных абонентов, стали наблюдаться гораздо реже, но увеличилось количество кибератак на нашу сеть. Сейчас все же существенно снизилась активность финансовых и микрофинансовых организаций. У людей сейчас другие приоритеты".

Опендатамедиа выдал следующие сведения:

"Більш ніж у 3 рази зросла кількість виданих мікрокредитів в ІІІ кварталі 2022 року. За цей час українці оформили 1 154 273 кредитних угод на суму 4,29 млрд грн.

Попри зростання, загалом за 9 місяців поточного року кількість виданих кредитів все ще майже у 3 рази менша, ніж за відповідний період торік.

Також в 3 рази зросла й сума кредитів, виданих з липня по вересень — до 4,29 млрд грн. Для порівняння, у другому кварталі загальний розмір мікрокредитів, взятих українцями, становив 1,36 млрд грн. Проте ця сума все ще у 4 рази менше, аніж торік".

"...На початку 2022 було зафіксовано найбільшу суму мікрокредитів за останні п'ять років — вона сягла 5079 грн."

Постойте-ка, оказывается, если контуперный чиновник все проебал, работу свою не делал и вобще хуй ложил, то это не повод просить бюджеты, полномочия и изменений в уголовный кодекс, а статья за халатность и домашний арест для самого чиновника? Кто бы мог подумать! В Албании так. Дикие люди, про рызилиенс и перемогу не рассказывают, о том как устояли под подлой иранской атакой. Нет, так они никогда себе дию не построят и не станут цифровой сверхдержавой, как Украина.

Прочитал в The Economist статью о том, почему “провалились” российские хакерские атаки, и какие из этого можно извлечь уроки. Вместо “выученных уроков”, все та же тягомотина, мол, так как Украина выступала “тестовой площадкой”, то страна оказалась лучше подготовлена к войне. Что конечно же не так.

Никто тут ничего не “тестировал”, если русские взломщики заходят в областную администрацию, то это не тренировка, они делают ровно то, что собирались, используя все имеющиеся возможности. Вопреки распространенному мнению довольно скромные, потому что никаких “кибер-воинов” на россии нет, есть несколько отделов в разных спецслужбах, которые даже между собой не всегда могут договориться, не говоря уже о мифической “координации” с армией.

С нашей стороны никто и не готовился, как мне в свое время сказал один чиновник, пока хакеры ходили в его системе табунами: “сидим в засаде”. “Засада” подозрительно напоминала туалет типа “сортир” обр. 2000, при этом атакующий сидит сверху и не подозревает, что противник затаился среди отходов жизнедеятельности, утирается и пристально смотрит вверх.

Секрет устойчивости системы (по крайней мере кибер ее части) в том, что Украина слишком велика для малочисленных и плохо подготовленных подразделений, и в том что существующая бюрократия неимоверно избыточна, и если вырубить половину систем, то все еще и с облегчением вздохнут, даже в мирное время. И конечно же даже, если русским удалось что-то уничтожить, никто не скажет “ну, все выключаем компьютеры, переходим к голубям”. Систему чинят и запускают заново.

А еще противник кажется куда более организованным и гибким, чем он есть на самом деле. В реальности же они продолжают выполнять тот же самый план, который провалился в марте. Не потому что Microsoft, ESET и наши бравые кибер-защитники ему помешали, а потому что это изначально был плохой план. В котором отсутствовала самая важная часть, ответ на вопрос “а что, блядь, если нет?”

Изначально русские рассчитывали на то, что централизованное сопротивление получится смести за 7-10 дней блицкрига, а затем террор, расстрелы, депортации, подавление партизанщины и дискредитация западных партнеров, без поддержки которых партизаны долго бы не протянули. При этом перед россиянами стоял выбор - начать операцию по деморализации элиты заблаговременно или добиться эффекта неожиданности. В результате зафакапили оба.

Но директор СВР Нарышкин продолжает с завидным упорством повторять бредни про “аннексию Польшей западной Украины” (последний такой высер датирован 30 ноября (!), почти год уже этой унылой активке. Точно так же продолжают работать докс-каналы, чья задача выбирать цели для ФСБ, РГ и полицаев-коллаборантов несостоявшегося “рейхскомиссариата”. То что ту “гвардию” покрошили в горелый фарш под Харьковом в начале марта никак не повлияло. Запасного плана нет. Приказы никто не отменял.

Так что эрефия конечно не кибер-сила “планетарного масштаба”, но довольно вредное гео-историческое образование, и напакостят еще не мало. А чтобы уменьшить причиняемый вред, неплохо бы действительно начать извлекать хоть какие-то уроки, а не развлекать себя сказками про “миллионы отраженных атак”.

​​Отдам должное Эльдару Муртазину - его ресурс многие годы уделял большое и, в целом, компетентное, профессиональное внимание проблематике безопасности и доверия в цифровых средах. Многое из того, что составляет мой собственный багаж в этой сфере почёрпнуто именно на Mobile-Review.

Тем удивительнее было узнать о том, что команда ресурса ухитрилась проебать свой YouTube канал. Многословная статья с подробным описанием инцидента оставляет смешанное впечатление то ли неадекватности Муртазина сотоварищи, то ли неудачной попытки скрыть фактические обстоятельства угона.

"Доступ к каналу имело всего три человека, безопасность была выстроена по рекомендациям Google — привязан дополнительный адрес почты, номер телефона, включена двухфакторная авторизация", - звучит как публичное признание в зоофилии, если не в чём-то похуже. Из года в год авторы МР подробно рассказывали, как легко угнать любой номер в России. Любой - золотой, платиновый, контрактный, корпоративный.

Как можно после всего этого полагаться на рекомендации Google? Судя по тому, что пространный рассказ не содержит подробного описания атаки, чего-то Муртазин не договаривает.

Последние пару лет у российских операторов мобильной связи (и не только) расцвела такое пока ещё экзотическое направление допуслуг как виртуальные помощники (ассистенты, секретари). Примеры раз и два.

От привычного автоответчика и голосовой почты они отличаются, во-первых, интерактивностью, включая продвинутые возможности диалогового взаимодействия с вызывающими абонентами. Фактически, речь может идти о полноценном IVR c довольно сложными сценариями. Кто звонил, по какому поводу, что передать и т.п.

Во-вторых, базовая услуга автоматизированного обслуживания поступающих звонков дополняется множеством приятных дополнительных возможностей. Лично мне более всего нравится возможность получить стенограмму разговора на свой Telegram, жаль, что украинские операторы не предлагают пока ничего подобного.

Такого рода решения выглядят как уже вполне реалистичный и очевидный путь дальнейшей эволюции базовых услуг мобильной связи, точнее даже базовой услуги, классической телефонии. И не только мобильной связи, кстати. Не случайно едва ли не наиболее продвинутую версию голосового ассистента, целую технологическую платформу с API и непременными планами развития целой экосистемы выкатил российский же "Тинькофф банк". Собственно говоря, именно он стал первопроходцем этого многообещающего направления в соседней стране.

А теперь "ньюанс". Все вышеупомянутые решения построены вокруг задачи борьбы с телефонным спамом и мошенничествами. Ситуация с этой дрянью в России уже давно вышла из-под контроля и приняла формы совершенно эпические, невиданные и неслыханные в наших краях. Если верить тамошним специалистам, на пике очередной эпидемии (и они происходят несколько раз в год) ежедневно на случайный номер может поступать 15-20 "левых" звонков и примерно столько же текстовых сообщений.

И самое интересное. Телефонный спам, включая "холодные прозвоны" мошеннических колл-центров, являются очередной, уже третьей по счёту "темой", которую раскрутил, оседлал и теперь не спеша доит менеджмент российских операторских компаний в тесной связке с коллегами из банков и неизменными siloviks.

Первой "темой" свыше двадцати лет назад стали контент-услуги, спольш и рядом очень сильно, до полного неразличения похожие на мошеннические действия, злоупотребление доверием и кражу средств абонентов. Затем на передний план вышла "просто" кража абонентских средств через многочисленные изъяны операторских процедур, заботливо оставленные там и тут участниками предприятия. Сейчас контент отошёл на второй-третий план, а к "теме" с кражей средств добавился спам как наиболее безопасная, "беспаливная" возможность получать кэш от заинтересованных лиц.

Уже упомянутый "Тинькофф" долгое время был одним из самых популярных каналов вывода украденных средств, пока после нескольких особенно громких скандалов не приступил к "плану Б", возглавив крестовый поход против богомерзких мошенников. Нельзя не отметить причудливость гримас российского капитализма, который развивается на деньги, украденные у клиентов.

Доклад российского правозащитного проекта "Сетевые свободы" претендует на то, чтобы стать знаковым и этапным. Во-первых, в нём отражены реалии ужасного нового мира в ситуации крупнейшей войны на европейском континенте после окончания Второй мировой. Во-вторых, в нём, кажется, впервые заявлен как рациональный и даже единственно возможный весьма радикальный способ существования в той цифровой среде, которая сложилась под сенью государства российского.

Если принять описанную в докладе картину и предложенные 10 советов как адекватные реальному состоянию дел, уместно сделать вывод об а) тотальной компрометации цифровой среды и б) злокачественном характере цифрового транзита российских общества и государства.

Важно держать в уме, что Украина традиционно повторяет зады российского crony capitalism c лагом в 2-3 года. Если не случится чуда, нас ожидает всё то же самое. У меня есть несколько попыток теоретического осмысления данной проблематики, отражённых в текстах:

Российский сценарий “криминального транзита”
13 ТЕЗИСОВ О БЕЗОПАСНОСТИ В ЦИФРОВОЙ СРЕДЕ

К вопросу о характере российского режима есть несколько соображений. Во-первых, в результате криминальной революции 90-ых в РФ произошла массовая инфильтрация носителей криминального мышления во все без исключения институты общества, включая властные и бизнес-структуры. Подробнее о криминальной революции здесь, смотреть примечания к слайдам, т.е. скачать .pptx-файл и смотреть примечания (заметки, notes) к слайдам.

Во-вторых, РФ не является полицейским государством в моём понимании. В отличие от РБ, например. Я определяю полицейское государство как режим, где силовики в состоянии эффективно решать задачи в сфере общественной безопасности. В частности, осуществлять ту самую монополию на организованное и вооружённое насилие, тем более открытое и явное, публичное. Метрики и примеры предлагаю в указанной выше презентации.

Цифровой транзит общества, пропитанного подобными подходами, как раз и даёт нам то, что отражено в докладе "Сетевых свобод".

https://meduza.io/feature/2022/12/22/nikogda-esche-lichnye-dannye-rossiyan-ne-utekali-v-otkrytyy-dostup-tak-chasto-i-v-takom-ob-eme-kak-v-2022-m-odna-iz-prichin-voyna

​​Два года назад поучаствовал в стратсессии одного из операторов мобильной связи Республики Беларусь. Организаторы попросили идей как можно более неожиданных, но не оторванных от действительности. Свой доклад я построил вокруг нескольких идей:

а) рисков и угроз, с которым сталкиваются обычные люди в цифровых средах, включая мобильную связь. Иными словам, с рисками и угрозами цифрового транзита;
б) возможностями конкретно операторов связи управлять этими рисками и минимизировать угрозы, выступая в роли защитника и доверенного лица своих абонентов;
в) криминальными рисками и угрозами для Беларуси, которые несёт "разворот на восток", под гнетущим впечатлением которого пребывали участники мероприятия.

С одной стороны, чуда не произошло и "разворот" привёл к намного более тяжким последствиям, нежели все мы были готовы представить себе. С другой стороны, изначально я воспринимал подготовку доклада как интеллектуальное упражнение, возможность систематизировать и обсудить с профессионалами интересную мне проблематику.

Как бы там ни было, проблема управления рисками "цифрового транзита" никуда не делась и операторы мобильной связи по-прежнему имеют дело и с вызовами, и с возможностями в этой многообразной сфере.

В примечаниях (заметках, notes) к слайдам - тезисы моего доклада. Скачивайте файл презентации, открывайте в PowerPoint, смотрите примечания.

​​Попалась на глаза статья, написанная французским колумнистом Али Лаиди в далёком 2005 году. Если так "великие державы" вели себя в тучные по нынешним меркам годы, сложно представить, что происходит и будет происходить по ходу жесточайшего кризиса последних десятилетий.

​​"А вы когда заходите в пункт незламності подзарядить свой телефон, вы приходите со своими зарядкой и кабелем или смело вставляете чужой кабель в свой телефон, не думая о том, что он может быть не просто кабелем?"

Отсюда

​​Неустанно крепя экономические отношения с КНР, американский истеблишмент не забывает поддерживать нужный градус антикитайской паранойи. Одним из наиболее популярных (но не единственным) является вопрос о рисках, с которыми сопряжено использование цифровых продуктов и услуг из КНР. При всём антагонизме в Конгрессе между конкурирующими фракциями по данному вопросу имеет место двухпартийный консенсус.

В середине декабря два республиканца из авторитетных - Марко Рубио и Майк Галлахер), - внесли очередной законопроект, на этот раз нацеленный на полный запрет TikTok, поскольку-де с его помощью Компартия Китая может осуществлять слежку за американцами и влиять на них. В обоснование сей инициативы конгрессмены озвучивали, кажется, все без исключения страшилки и клише времён Трампа:

"США находятся в условиях новой холодной войны с Компартией Китая, которая, в любой момент может стать горячей из-за Тайваня";
"TikTok принадлежит компании ByteDance, а в Китае ни одна компания не является по-настоящему частной";
"китайские законы предписывают фирмам оказывать содействие сотрудникам разведки, что включает в себя раскрытие данных";
"с помощью TikTok можно собирать секретные данные, касающиеся американских чиновников, и составлять досье на миллионы американцев в целях шантажа или шпионажа".

"Мы должны запретить данное приложение, которое может быть использовано для шпионажа, пока не слишком поздно, а не поощрять его использование в США, как это делает президент Байден", - резюмировали инициаторы запрета.

Дело в том, что администрация Трампа уже запрещала TikTok в 2020 году. После прихода к власти Байден аннулировал данный запрет наряду с целым рядом аналогичных решений предшественника. Вместо безусловного запрета ByteDance было предписано пройти аудит безопасности и предпринять ряд мер для предотвращения несанкционированного доступа к пользовательским данным. В частности, компания обязана хранить и обрабатывать ПД американцев в дата-центрах на территории США.

Сия инициатива действительно получила частичную поддержку обеих палат Конгресса. Запрет на использование TikTok любыми устройствами, которые находятся в распоряжении федеральных ведомств, стал частью закона о финансировании правительства в 2023 году. Ранее аналогичные запреты были приняты в 19 штатах.

«Беспокоит то, что вместо вместо побуждения администрации завершить проверку TikTok на предмет безопасности, некоторые члены Конгресса решили настаивать на политически мотивированном запрете, который никак не улучшит национальную безопасность Соединённых Штатов», — прокомментировали произошедшее в ByteDance. И они таки имели все основания так утверждать.

Пока бдительные конгрессмены собирали голоса в защиту американцев от цифровых угроз на массовом рынке, жизнь подбросила отличную иллюстрацию того, как это бывает в действительности. Оказывается, пылесосы популярнейшей в Штатах марки iRobot периодически отправляют в штаб-квартиру фотографии помещений, в которых они находятся. Как объяснила компания-производитель, она использует эти фотографии для обучения ИИ. Фотографии передаются на сервера сторонней компании Scale AI, где реальные люди отсматривают их и маркируют для улучшения работы ИИ.

Одному из сотрудников Scale AI попала в руки фотография девушки, сидящей на унитазе и ему это показалось настолько смешным, что он запостил данное фото в соцсети, чем и запустил разбирательства, ведь пользователи не знали, что пылесосы их фотографируют, особенно в столь пикантные моменты. Получается, гг. Рубио, Галлахер и компания кругом правы! Однако, как говорится, есть нюанс. Дело в том, что iRobot это американская компания, эталонный представитель хай-тек индустрии, возникший на базе легендарного MIT.

"Казалось бы, причём здесь китайцы? В общем-то, не причём. Подумайте над этим".

Меня мучает один вопрос. Трижды проебанный сайт академии - это что было, государственная безопасность или национальная?