В новой версии приложения iCloud для Windows появился парольный менеджер, который работает через расширения в Chrome и MS Edge. Правда, генерировать пароли он не умеет и скорее похож на собственную хранилку паролей в Chrome, чем на полноценный облачный сервис, типа Bitwarden. Но если вам нужно синхронизировать пароли между гаджетами Apple и браузерами в Windows без стороннего софта - теперь у вас есть и такая возможность.

Небольшая компания Business Efficiency Solutions (BES) обвиняет китайскую корпорацию Huawei, что та заставила ее разработчиков внедрить бэкдор в систему безопасного города для Лахора — второго по величине города в Пакистане.

BES и Huawei вместе занимались разработкой и внедрением этого проекта, но в процессе поссорились, и сейчас судятся в Пакистане и в США. BES утверждает, что Huawei заставила их дублировать общую базу данных системы безопасного города с настоящими персданными на сервер Huawei в Китае. Huawei объясняет, что в Китае была только тестовая база без настоящих данных, которая использовалась только в процессе внедрения.

Пакистан начал официальное расследование, но окончательных результатов пока нет. Очень интересно, чем закончится. А то американцы рассказывали, что Huawei шпионит, когда вводили санкции, но совсем без технических подробностей.

Citizen Lab выпустил отчет о том, как Apple по политическим причинам запрещает заказывать у себя на сайте гаджеты с кастомной гравировкой некоторых слов и выражений. У Apple есть страновые списки запрещенных слов (вот ссылка на сами списки в Github), и не всегда эта цензура введена для соответствия местным законам. Исследователи предполагают, что иногда это просто политическая цензура по инициативе самой корпорации.

О чем эта история: на официальном сайте Apple можно заказать гравировку при покупке нового Ipad, AirPods, AirTag и еще нескольких устройств. Недавно журналисты издания Mashable выяснили, что некоторые ругательства не получается заказать для гравировки - система выдает ошибку. Агаа, подумали исследователи Citizen Lab и стали перебирать термины на сайтах Apple в Китае, Гонконге, Тайване, Японии, Канаде и США.

Выводы их исследования:
• Что касается ругательств и разных других плохих слов, например, расистских терминов, между странами есть отличия - в одной стране слово запрещено, а в другой - нет. У Apple нет внятной публичной документации, как формируются списки.
• В Китае Apple не дает гравировать всякую политику, в том числе ссылки на руководство Компартии, имена диссидентов и названия независимых СМИ, и вообще слова, связанные с религией, демократией и правами человека. Например, запрещены собственно словосочетания "права человека" или "свобода прессы". Из 1045 запрещенных в Китае слов и словосочетаний 458 - политика.
• Частично эти же списки блокировки дублируются в Гонконге и Тайване. В Гонконге Apple явно блокирует больше, чем обязана, а на Тайване - вообще юридически не должна, но блокирует.
• Похоже, что иногда Apple сама не понимает, что и почему запрещено, и просто копирует чужие списки. Например, запрещены десять китайских имен с распространенной фамилией "Чжан". И неизвестно, почему - вроде нет таких диссидентов. Исследователи предполагают, что Apple их просто скопировала из какого-то местного китайского списка, не разобравшись.

Citizen Lab делают отличные исследования, если вы знаете английский - почитайте оригинал. И спасибо постоянному читателю за наводку.

Ссылки:
[1] https://citizenlab.ca/2021/08/engrave-danger-an-analysis-of-apple-engraving-censorship-across-six-regions/
[2] https://github.com/citizenlab/chat-censorship/tree/master/apple

Неправительственные организации добились, чтобы Google публиковал в отчетах о прозрачности информацию о "запросах по геолокации" и "запросах по ключевым словам". Это запросы от правоохранительных органов типа "какие устройства в какой-то период времени находились примерно здесь?" и "какие пользователи искали по этим ключевым словам или этот адрес".

Судя по всему, это чисто внутренняя американская история и требует решения суда. В США такие запросы всплывают в материалах уголовных дел, но Googlе никогда не публиковал по ним открытую статистику. Было только известно, что на некоторые такие запросы Googlе выдавал информацию о десятках тысяч пользователей.

И в декабре 2020 года шестьдесят неправительственных организаций подписали открытое письмо Googlе с просьбой "рассекретить" такие запросы. Теперь американская корпорация согласилась с их требованиями и будет открыто публиковать поквартальные данные, а пока выпустила специальное приложение к отчету о прозрачности с данными за 2018-2020 годы.

Круто. Иногда кажется, что корпорациям вообще не интересны все эти открытые письма и они реагируют только на суды и штрафы, если вообще реагируют. А тут хорошая новость.

Ссылки:
[1] https://www.stopspying.org/latest-news/2021/8/19/google-agrees-to-civil-rights-groups-demand-for-geofence-warrants-report
[2] https://www.stopspying.org/geofence-letter
[3] https://services.google.com/fh/files/misc/supplemental_information_geofence_warrants_united_states.pdf

Facebook выпустил две специальных функции для пользователей в Афганистане, это борьба против талибского OSINT:

1. Lock your profile/Закрыть свой профиль - по нажатию одной кнопки меняет права просмотра на все посты и фото в ленте на "Только для друзей" и скрывает от всех остальных фото профиля.
2. Для всех афганских пользователей временно отключена возможность третьим лицам смотреть их список друзей.

Иностранным пользователям, у которых есть френды из Афганистана, рекомендуют вручную закрывать списки друзей, но автоматически для них ничего не меняется.

Представитель Пиратской партии утверждает на Хабре, что российские системы электронного голосования не обеспечивают тайну голосования, то есть позволяют сопоставить пользователя и его голос. Автор описывает проблемы систем от Департамента Информационных Технологий Москвы (далее ДИТ) и от Ростелекома/ЦИК (РТК). Пишет, что пытается обсуждать эти проблемы с разработчиками уже два года и получает отписки, а внимательно разобраться не получается, потому что исходники - закрыты.

"Сопоставление логов вебсерверов, проводивших авторизацию пользователя в ЕСИА/mos.ru, выдающих бюллетень, “анонимно” принимающих голос избирателя позволяют ДИТу и РТК однозначно сопоставить пользователя и его голос. Ведь в логах вебсервера оказываются IP адрес, версия браузера, версия ОС и т. п. И поэтому ДИТ имеет возможность однозначно сопоставить расшифрованный голос в итоговом протоколе с зашифрованным голосом в блокчейне, а по ИП адресу и другим следам выяснить, кто же этот голос оставил."

Как часто бывает на Хабре, комменты не менее интересны, чем сам материал.

Ссылка: https://habr.com/ru/post/574122/

Вчера разработчики сайта "Умное голосование", наконец, выключили у себя вебвизор Яндекс-метрики и вообще убрали Яндекс-метрику. Вебвизор - это функция, отслеживающая действия пользователей на сайтах, она может автоматически передавать Яндексу информацию, которую пользователи вводят в полях на сайте, то есть те самые адреса имейл и адреса регистрации. После отключения метрики Яндекс уже не получает новые данные зарегистрировавшихся пользователей.

В пункте 15 пользовательского соглашения говорится "Сервис работает полностью в автоматическом режиме, не анализирует содержание и смысл информации размещенной на страницах / в мобильном приложении или вводимой посетителями в поля на страницах / в мобильном приложении, а записывает её полностью независимо от содержания."

"УМГ" ругали за использование вебвизора уже некоторое время (тыц), а тут в пятницу на Хабре вышел отдельный пост про это. Рекомендуем почитать!

Ссылки:
[1] https://habr.com/ru/company/itsoft/blog/573958/
[2] https://t.me/itsorm2/115
[3] https://metrika.yandex.ru/promo/webvisor

Вчера вечером российские сотовые операторы начали блокировать сервера, откуда мобильное приложение "Навальный" получает контент блога и рекомендации по голосованию. Происходит именно то, что называется "блокировать приложение".

После первой блокировки разработчики Android-приложения поменяли сервер, к которому оно обращается, но сегодня с утра он тоже попал под блокировку. Судя по графикам Globalcheck, на фиксированных операторах блокировка пока в основном не работает. В операторской выгрузке (то есть списке того, что раздают операторам для обязательной блокировки) этих серверов пока нет. То есть это выглядит, как внереестровая блокировка при помощи ТСПУ (технических средств противодействия угрозам), или мобильные операторы получают другие списки. Globalcheck пишет, что с IOS-приложением пока есть проблема "связанная с получением новых точек подключения, поэтому приложение не работает целиком".

У разработчиков остается возможность и дальше менять сервера и передавать новую конфигурацию приложениям пользователей. Но сегодняшний день показал, что и новые сервера, похоже, будут оперативно блокироваться. Посмотрим, что будет происходить дальше.

Ссылки:
[1] https://t.me/globalcheck/17
[2] https://t.me/globalcheck/18

В криминалистическом блоге компании Elcomsoft обсуждают новую фичу IOS 15: временные бэкапы устройств в iCloud. До сих пор многим пользователям просто не хватало места на бэкапы в бесплатном тарифном плане эппловского облака, и это осложняло миграцию со старого iPhone на новый. Начиная с IOS 15, пользователь сможет сделать временный бэкап устройства в iCloud для миграции и это место считаться не будет.

• Работает только вручную по нажатию на кнопку и только с разблокированного устройства.
• Бэкапы хранятся 21 день и потом автоматически удаляются.
• Пока почему-то такой бэкап нельзя удалить руками, но может быть, это баг в бета-версии.

Криминалисты рады, потому что эти бэкапы можно скачивать их специальными утилитами и анализировать. Но для тех, кто меняет старый iPhone на новый, а iCloud забит фоточками, правда очень удобно.

Ссылка: https://blog.elcomsoft.com/2021/08/ios-15-forensic-implications-temporary-icloud-backups/

Происходит нечто странное. Наш плагин Censor Tracker определил блокировку radikal.ru в некоторых регионах (Татарстан, Саратовская область) у некоторых провайдеров.
Результат проверки у Влада Здольникова на https://globalcheck.net такой оказывается:

Результат проверки radikal.ru
Доступность: 43%
Успешные пробы: 3/7
Минимальное/среднее/максимальное время ответа: 636/6002/10000 мс
Moscow:
T2 Mobile LLC
HTTP код 200, 636 мс
Rostelecom
HTTP код 200, 651 мс
MTS PJSC
HTTP код 200, 728 мс
Yota
«Get "https://radikal.ru": context deadline exceeded»
VimpelCom
«Get "https://radikal.ru": context deadline exceeded»
PJSC MegaFon
«Get "https://radikal.ru": context deadline exceeded»
Gadzhiyevo:
Rostelecom
«Get "https://radikal.ru": context deadline exceeded»

В реестре radikal.ru нет.

Видимо РКН экспериментирует со своим ТСПУ. Наблюдаем за ними внимательно.

На днях privacyaccelerator вместе с Роскомсвободой запустил прием заявок на хакатон Demhack3. После хакатона лучшие участники (не обязательно победители) будут приглашены в акселератор.
Тематика: традиционно все что касается приватности, открытости, свободы и пользы обществу.

В этом году в качестве главного приза DJI FPV Combo, наверное, главная гиковская мечта этого года (или нет?). В любом случае, если есть желане или проект - ждем заявок!

На Motherboard вышел материал о том, как специализированные дата-брокеры оптом скупают у крупнейших интернет-провайдеров логи трафика и на их основе делают аналитические продукты. Речь в материале идет о двух американских компаниях - Team Cymru и Paolo Alto Networks.

"Аналитические продукты" значит, что потом можно купить у них информацию о том, что делал в интернете такой-то ip-адрес несколько месяцев назад, или как обменивались данными такие-то сервера, и прослеживать сложные связи. Это помогает в расследованиях киберпреступлений и утечек данных. Например, это помогает делать корреляцию VPN-трафика, то есть сопоставлять трафик конкретных пользователей "к" VPN-серверам и "от" них, чтобы понять, кто что делал под защитой VPN.

В материале пишут, что у таких дата-брокеров - строгие правила по части доступа к данным и вообще, они помогают хорошим людям делать качественные расследования. Например, недавно Citizen Lab благодарил Team Cymru за помощь в расследовании деятельности иранских государственных хакеров.

Все равно жуть.

Ссылка: https://www.vice.com/en/article/jg84yy/data-brokers-netflow-data-team-cymru

Российский центробанк запрашивает у банков информацию о том, какими VPN они пользуются. В запросе упомянуты Psiphon, Tunnelbear, Thunder, Redshield VPN и "иные аналогичные сервисы".

Запрос точно такой же, как пару месяцев назад рассылали Роскомнадзор и Минобрнауки. Запрашивают название сервиса, зачем нужен и IP-адрес клиента. Ссылаются на то, что Роскомнадзор планирует "осуществить комплекс мероприятий по ограничению использования сервисов". Ответить нужно до 2 сентября.

Что будет происходить дальше и как будут "ограничивать" - по-прежнему непонятно. Судя по всем этим письмам, похоже, что есть план блокировать или замедлять сами протоколы VPN при помощи DPI-оборудования (то есть, того же ТСПУ) и оставлять доступ только разрешенному списку клиентов. Это может получиться, но, по опыту других стран, дальше люди начинают активно интересоваться восстановлением доступа к нужным им сайтам и растет популярность работающих решений (например, Shadowsocks). Главное, что наказания пользователей за использование VPN в России нет, поэтому можно пользоваться всем, что работает.

Ссылки:
[1] https://www.rbc.ru/finances/26/08/2021/61279abf9a79472abc90c997
[2] https://t.me/rks_tech_talk/87
[3] https://t.me/rks_tech_talk/69

Канал ЗаТелеком пишет, что вчера в нескольких филиалах Ростелекома падал ТСПУ (технические средства противодействия угрозам), и порядка 200 тыс абонентов оставались без связи на 40 минут.

Проблему "единой точки отказа" (это когда отказ одного компонента системы выводит из строя всю систему) принято решать дублированием. Интересно, как вообще защищены системы интернет-провайдеров от отказа ТСПУ, и какие регламенты существуют на этот случай. Может кто-нибудь в курсе?

Ссылка: https://t.me/zatelecom/18731

​​Интенсив для IT-юристов с 13-17 сентября

Сегодняшний мир неизбежно уходит в интернет, а вместе с ним возникает и необходимость регулировать отношения во всемирной паутине. В том числе — и в сфере цифрового права.

▪️Как правильно разместить рекламу в интернете?
▪️Как оформить и защитить права на доменное имя сайта?
▪️Что делать, если возник юридический конфликт с хостинг-провайдером?
▪️Как лучше и безопаснее всего начать освоение криптомира?

Если вы хотите лучше разбираться в этих и других вопросах — записывайтесь в «Школу киберправа»! Наш новый курс будет проходить в Москве с 13 по 17 сентября 2021 года.

Программа обучения будет состоять из 7 модулей:

1. Intermediaries & ISP
2. Tax & Ad
3. IP & Copyright & Domains
4. Big Data & AI
5. Privacy & Security
6. Forensic
7. Digital assets & crypto/blockchain

5 дней, 11 экспертов, 8 модулей, 45 академических часов актуального материала от лучших практикующих экспертов. Не только теория, но и разбор кейсов из реальной практики. По результатам обучения каждый участник курса получит удостоверение государственного образца о повышении своей квалификации в области киберправа.

В связи с непростой эпидемиологической обстановкой мы предлагаем опциональное и дистанционное участие в обучении. Таким образом вы можете выстроить свой персональный график очного/заочного посещения занятий. Задать интересующие вопросы можно по телефону +7 (926) 353-89-41, а также по электронной почте dv@digitalrights.center.

Старт занятий уже 13 сентября, поэтому регистрируйтесь уже сейчас: https://clck.ru/Wuunc

С 20 августа у многих российских пользователей не работал бесплатный VPN от Cloudflare, WARP, сейчас починили.

Сам по себе VPN заблокирован не был, но ему для подключения требуется домен cloudflareportal.com c IP-адресом 104.19.153.125. На этом же адресе раньше было расположено онлайн-казино Slotum, заблокированное по решению ФНС в марте 2019 года. Почему-то 20 августа 2021 года адрес перестал открываться у пользователей из России и WARP сломался. А почему он до этого открывался - неизвестно. Потом пользователи стали жаловаться на форуме, в компании поменяли IP-адрес cloudflareportal.com, и VPN снова работает.

У Cloudflare вообще есть такая проблема: разные ресурсы используют одни и те же IP-адреса. Есть несколько непубличных историй, когда крупные российские сайты случайно блокировали "за компанию" с какими-нибудь казино и им приходилось быстро переезжать. Но чтобы таким способом у Cloudflare ломался собственный VPN - это впервые.


Ссылки:
[1] https://cloudflarewarp.com/
[2] https://t.me/zatelecom/18748
[3] https://community.cloudflare.com/t/cloudflareportal-com-ip-is-blocked-in-russia-unable-to-connect-warp-vpn/296791

Обновился децентрализованный мессенджер Delta Chat, у котого вообще нет собственных серверов, а "под капотом" на самом деле имейл + сквозное шифрование OpenPGP, но интерфейс как у мессенджера. В новой версии переработали сообщения от незнакомых контактов и переключение между несколькими аккаунтами.

Если кто-нибудь уже пользуется Delta Chat, а не просто тестировал, расскажите, как вам?

Ссылки:
[1] https://delta.chat/ru/download
[2] https://delta.chat/en/2021-08-24-updates

Кнопочные телефоны, которые продаются в российской рознице, могут следить за пользователями, отправлять сообщения на платные номера и передавать третьим лицам входящие сообщения. Об этом на Хабре рассказывает исследователь ValdikSS.

Он описывает три подтвержденных сценария и называет конкретные модели телефонов:
• Автоматическая отправка СМС-сообщений или выход в интернет для передачи IMEI телефона и IMSI SIM-карт.
• Встроенный троян, отправляющий платные СМС-сообщения на короткие номера
• Бэкдор, пересылающий входящие СМС-сообщения на сервер злоумышленников.

Как он предлагает защищаться:
• Покупать кнопочники Nokia без зловредного функционала.
• Читать отзывы перед покупкой.
• Заказывать детализацию у оператора за первые сутки пользования.
• Жаловаться производителю, в Роспотребнадзор и так далее.

ValdikSS давно занимается этой темой и недавно делал презентацию о ней на конференции ZeroNights. Кроме этого, он выпускал модифицированную прошивку для телефона Inoi 101, в которой вырезаны функции списания дополнительных денег со счета абонента. В общем, однозначно рекомендуем почитать.

Ссылки:

[1] https://habr.com/ru/post/575626/
[2] https://habr.com/ru/post/558780/

В начале недели Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло новый пункт в официальный список худших практик айти-безопасности для критической инфраструктуры: отсутствие двухфакторной аутентификации. До этого в списке было всего два пункта, а теперь три, так что это важно. Предыдущие два это:

• Устаревший и не поддерживаемый производителем софт.
• Слабые или дефолтные пароли.

CISA фактически говорит "на сегодня даже хорошего уникального пароля в важных аккаунтах - недостаточно", и наверное, они правы. По этой же причине в мае Googlе собирался тестировать автоматическое включение двухфакторной пользователям со смартфонами, которые могут показывать Уведомления от Google (Google Prompt). Интересно, как скоро двухфакторная станет обязательной и неотключаемой.

Ссылки:
[1] https://www.cisa.gov/BadPractices
[2] https://t.me/rks_tech_talk/13

FSCP - канал про IT и технологии и один из каналов, который мы регулярно читаем (это действительно так, а не только #промо). Иногда мы берем у них темы, а иногда наоборот - не пишем о чем-то, потому что они уже написали и нам к этому особо нечего добавить.

https://t.me/F_S_C_P
#промо

Twitter запустил тестирование функции Safety Mode, правда, пока с ограниченным количеством англоязычных бета-тестеров. Если включить ее в настройках аккаунта, нейронка начнет блокировать ругань, "нежелательные" комментарии и язык вражды в ваших комментах и личных сообщениях и скрывать от вас весь контент заблокированных пользователей на семь дней.

Заблокированные пользователи временно не смогут вас фолловить, не будут видеть ваши твиты и не смогут отправлять вам личные сообщения. Обещают не блокировать пользователей, которых вы фолловите или уже переписывались с ними, то есть с друзьями ругаться можно. Поскольку это все-таки нейронка, она может ошибаться, поэтому можно будет посмотреть свой список заблокированных пользователей в настройках и разблокировать руками.

Twitter уже некоторое время занимается удалением контента по ключевым словам безо всяких Safety Mode. Правда, раньше считалось, что окончательное решение должен принимать модератор-человек. Но тут речь не об удалении контента и не о блокировке аккаунтов, а просто о том, что одни пользователи могут временно стать для других невидимыми. Twitter считает, что такое решение может принять и робот.

Ссылка: https://blog.twitter.com/en_us/topics/product/2021/introducing-safety-mode