Теперь поговорим о том, как сохранить приватность в Интернете. Для начала стоит отказаться от DNS-серверов провайдера и заменить их на 1.1.1.1, 8.8.8.8 или 9.9.9.9. Или любой другой сервис, например OpenDNS, как можно дальше от Украины. Желательно при этом включить в настройках браузера DoH/DoT. Затем следует отключить WebRTC (в Файрфоксе в настройках, для Хрома понадобится плагин). Отключаем плагины Java, Flash и Silverlight, если они у вас стоят. Теперь идем на https://browserleaks.com/ и смотрим, что еще видно. Чтобы скрыть IP-адрес вам понадобится VPN. Можно купить подписку или поставить собственный сервер. А можете попробовать наш бесплатный #GardaVPN. Для этого вам понадобится OpenVPN-клиент и файл с настройками https://cyber.org.ua/vpn.html В качестве бонуса - обход интернет-цензуры. Одна из целей Ukrainian Cyber Alliance - противодействие цензуре и слежке в Интернете. Запустить в нас чеканной монетой можно тут https://send.monobank.ua/7X8yYxK9MF #ACAB
👍245
Осенью власти Германии попытались запустить свой аналог "Дии" - водительские права в телефоне. После того, как Лилит Виттманн показала, как использовать приложение для кражи личности его срочно изъяли из сторов "в связи с высокой нагрузкой". В отличии от немецкого "ID-кошелька" для "Дии" кража личности не побочный эффект, а основная функциональность. У Kostiantyn можно прочитать, что не так с украинской "цифровизацией" https://www.facebook.com/kostiantyn.korsun/posts/1864644137054012
А Лилит после похорон светлого цифрового будущего Германии взялась за немецкий аналог "нет такого агентства". Все началось с того, что она нашла в каталоге правительственных служб Федеральную Телекоммуникационную Службу (Bundesservice Telekommunikation), а дальше начались странности. У "телекоммуникационной службы" не нашлось работающего телефона или почты, у нее нет бюджета, штатного расписания, министерство внутренних дел не смогло ответить на запросы парламента (очень при этом нервничая).
Зато офис таинственного телеком-агентства оказался поблизости от Bundesamt für Verfassungsschutz (федеральное ведомство по охране конституции - контрразведка и противодействие экстремизму). Очень рекомендую почитать оригинальный пост Лилит https://cutt.ly/2OGo3el о том, как нехитрые OSINT-приемы помогают собирать информацию. Закончилось все тем, что Лилит послала на адрес телекоммуникационной службы Airtag спрятанный в журнале. И airtag отозвался не из Берлина, а из Кельна из службы защиты конституции...
Я не согласен с тем, что секретные службы должны быть упразднены, но держать сам факт их существования в секрете невозможно, а без парламентского контроля опасно.
А Лилит после похорон светлого цифрового будущего Германии взялась за немецкий аналог "нет такого агентства". Все началось с того, что она нашла в каталоге правительственных служб Федеральную Телекоммуникационную Службу (Bundesservice Telekommunikation), а дальше начались странности. У "телекоммуникационной службы" не нашлось работающего телефона или почты, у нее нет бюджета, штатного расписания, министерство внутренних дел не смогло ответить на запросы парламента (очень при этом нервничая).
Зато офис таинственного телеком-агентства оказался поблизости от Bundesamt für Verfassungsschutz (федеральное ведомство по охране конституции - контрразведка и противодействие экстремизму). Очень рекомендую почитать оригинальный пост Лилит https://cutt.ly/2OGo3el о том, как нехитрые OSINT-приемы помогают собирать информацию. Закончилось все тем, что Лилит послала на адрес телекоммуникационной службы Airtag спрятанный в журнале. И airtag отозвался не из Берлина, а из Кельна из службы защиты конституции...
Я не согласен с тем, что секретные службы должны быть упразднены, но держать сам факт их существования в секрете невозможно, а без парламентского контроля опасно.
👍170👎3
После российской атаки "14 января", в результате которой произошла массивная утечка данных из Дія, Міністерство внутрішніх справ и Мінрегіон возникло много вопросов о том, как все єто произошло. Kostiantyn Korsun взял на себя труд по систематизации недостатков правительственной "диджитализации" вобще и "Дии" в частности. В результате совместных усилий получился вот такой документ "Що не так з Дією?" https://cutt.ly/2OR77bF Министерство Цифровой Трансформации не только продолжает врать о том, что утечки не произошло, но и заставляет врать полицию.
Коммуникационная стратегия министерства (если визги заместителя министра Алексея Анатольевича Выскуба можно так назвать) сводится к тому, чтобы прикрываться частными компаниями (EPAM и Kitsoft, к которым по большому счету у меня лично претензий нет - что им государство заказало, то они и сделали) и атакам ad hominem на тех, кто участвовал в написании "Що не так". Можете почитать сами https://www.facebook.com/devuaua/posts/250050817278002 Если в Украине возникнут перебои с газом, то мы смело можем перевести отопление на чиновников минцифры. Очень ярко горят. Издание dev.ua попросило нас рассказать про наш опыт, и я с радостью воспользуюсь их приглашением, чтобы поговорить о том, что делает экспертов экспертами. Who we really are.
Когда Алексей Анатольевич Выскуб занимался цифровизацией в отдельно взятой области я решил шутки ради поучаствовать в баг-баунти программе украинского банка. Банк гораздо больше и сложнее чем "Дия". Нашел большую утечку финансовых данных. Банк выплатил максимальную награду. Может мне повезло, подумал я? И нашел способ обхода аутентификации в том же самом банке. Служба безопасности сперва не поняла, как это работает. Я объяснил. Банк сменил оценку уязвимости на "исправить немедленно!" и выплатил максимальную награду. Учитывая размеры тех баунти, скорее развлечение, чем настоящая работа.
С Константином Корсуном я лучше познакомился в марте 2014 года, когда он пригласил УБКТЛ (сейчас это Киберполиция), ДССЗЗІ, СБУ и частные компании, работающие в области кибербезопасности, чтобы обсудить, что государство и бизнес могут сделать для отражения российской агрессии https://cutt.ly/LOKnsk3 Все пришли, никто не отказался и ни у кого не возникало никаких вопросов, что тот или иной человек делает на этой встрече. "Экспертность" - социальный конструкт (в хорошем смысле этого слова), этому не обучают в институте, в эксперты нельзя записаться или получить сертификат эксперта. Мы можем спорить между собой, придерживаться разных политических взглядов и даже серьезно ссориться, но никому и в голову не придет оспаривать квалификацию коллег, независимо от того, носят ли они погоны или папки с хорошо известными логотипами. Ты либо соответствуешь, и тогда в сообществе у тебя есть свое место, принадлежащее тебе по праву, либо нет.
Что касается практического опыта, то мне есть чем похвастаться, как-то я нашел зацепку к известной кардерской группировке, СБУ не захотели писать международный запрос, спустя два месяца на тот же след случайно вышла полиция Нидерландов. В другой раз, получилось обойти защиту системы видеонаблюдения с помощью ножа, после того, как сидящий рядом в наручниках подозреваемый увидел кино, он тут же перешел к деятельному и чистосердечному раскаянию. Я могу найти утечку из СБУ и заставить московскую полицию прислать мне информацию. Прямо с "Петровки, 38". Вместе с Артемом Карпинским мы взломали государственную думу РФ. Дважды. Довели до истерики Киселева. Обманом натравили генерала ФСБ на собственных подчиненных. Заставили офицеров военной разведки забордюрья подозревать друг друга в шпионаже. Взломали хакеров, которые взломали полицию Украины. А когда мы отдавали контрразведке информацию на очередного сторонника русского мира на лайфе вышел сюжет о том, что Украине помогают "пятьдесят хакеров NATO". Так что хорошо мотивированный украинский доброволец равен взводу. Так думают в РФ.
Коммуникационная стратегия министерства (если визги заместителя министра Алексея Анатольевича Выскуба можно так назвать) сводится к тому, чтобы прикрываться частными компаниями (EPAM и Kitsoft, к которым по большому счету у меня лично претензий нет - что им государство заказало, то они и сделали) и атакам ad hominem на тех, кто участвовал в написании "Що не так". Можете почитать сами https://www.facebook.com/devuaua/posts/250050817278002 Если в Украине возникнут перебои с газом, то мы смело можем перевести отопление на чиновников минцифры. Очень ярко горят. Издание dev.ua попросило нас рассказать про наш опыт, и я с радостью воспользуюсь их приглашением, чтобы поговорить о том, что делает экспертов экспертами. Who we really are.
Когда Алексей Анатольевич Выскуб занимался цифровизацией в отдельно взятой области я решил шутки ради поучаствовать в баг-баунти программе украинского банка. Банк гораздо больше и сложнее чем "Дия". Нашел большую утечку финансовых данных. Банк выплатил максимальную награду. Может мне повезло, подумал я? И нашел способ обхода аутентификации в том же самом банке. Служба безопасности сперва не поняла, как это работает. Я объяснил. Банк сменил оценку уязвимости на "исправить немедленно!" и выплатил максимальную награду. Учитывая размеры тех баунти, скорее развлечение, чем настоящая работа.
С Константином Корсуном я лучше познакомился в марте 2014 года, когда он пригласил УБКТЛ (сейчас это Киберполиция), ДССЗЗІ, СБУ и частные компании, работающие в области кибербезопасности, чтобы обсудить, что государство и бизнес могут сделать для отражения российской агрессии https://cutt.ly/LOKnsk3 Все пришли, никто не отказался и ни у кого не возникало никаких вопросов, что тот или иной человек делает на этой встрече. "Экспертность" - социальный конструкт (в хорошем смысле этого слова), этому не обучают в институте, в эксперты нельзя записаться или получить сертификат эксперта. Мы можем спорить между собой, придерживаться разных политических взглядов и даже серьезно ссориться, но никому и в голову не придет оспаривать квалификацию коллег, независимо от того, носят ли они погоны или папки с хорошо известными логотипами. Ты либо соответствуешь, и тогда в сообществе у тебя есть свое место, принадлежащее тебе по праву, либо нет.
Что касается практического опыта, то мне есть чем похвастаться, как-то я нашел зацепку к известной кардерской группировке, СБУ не захотели писать международный запрос, спустя два месяца на тот же след случайно вышла полиция Нидерландов. В другой раз, получилось обойти защиту системы видеонаблюдения с помощью ножа, после того, как сидящий рядом в наручниках подозреваемый увидел кино, он тут же перешел к деятельному и чистосердечному раскаянию. Я могу найти утечку из СБУ и заставить московскую полицию прислать мне информацию. Прямо с "Петровки, 38". Вместе с Артемом Карпинским мы взломали государственную думу РФ. Дважды. Довели до истерики Киселева. Обманом натравили генерала ФСБ на собственных подчиненных. Заставили офицеров военной разведки забордюрья подозревать друг друга в шпионаже. Взломали хакеров, которые взломали полицию Украины. А когда мы отдавали контрразведке информацию на очередного сторонника русского мира на лайфе вышел сюжет о том, что Украине помогают "пятьдесят хакеров NATO". Так что хорошо мотивированный украинский доброволец равен взводу. Так думают в РФ.
👍223
Я так могу продолжать еще долго, у меня в запасе много удивительных историй, но если вам нужно независимое подтверждение, то вот выводы FireEye iSIGHT Intelligence. По поводу "moderate technical sophistication" я не обижаюсь. "High technical sophistication" - это уровень NSA и GCHQ. А "low confidence", так это уже просто неприкрытая лесть. (Кстати, на будущее, господа союзники, можете просто подойти и спросить, совсем не обязательно тратиться на дорогостоящую техническую разведку) Так что Aleksey Vyskub кое-какой опыт у нас есть. Мы сомневаемся не в профессиональных качествах наших коллег из EPAM, а в ваших, Алексей Анатольевич. И я глубоко убежден в том, что после недавних взломов МЦТ пора двигаться по шкале Кюблер-Росс от отрицания к принятию. Не хотите слушать своих профессионалов, вами займутся вражеские и что-то мне подсказывает, что ваш богатый опыт "цифровизации" ОДА вам не сильно поможет.
👍217
Я пока не хочу комментировать золотой дождь Дия саммита, тем более что сайт все равно лежит. Так что пока листаю увесистый документ о том, как мышам стать ежами ("План реалізації Стратегії кібербезпеки"). Выглядит как сборник пожеланий разных силовых ведомств (что как бы намекает, что никакой Стратегии, даже если написать слово КАПСОМ, на самом деле нет) Я уже немного освоился с высоким стратегическим стилем и от слов "усиление возможностей по предотвращению" у меня уже почти не кровоточат глаза.
Цель "плана по реализации" - разработать "систему индикаторов". Предлагаю не останавливаться и сразу сделать реестр индикаторов и осуществить комплекс неотложных мер по усилению возможностей в области разработки системы индикаторов для плана реализации (в доме, который похуй всем). Индикатор один. Очень надежный. Когда данные из Дія, Мінрегіон и МВС не лежат в даркнете, то цели уже достигнуты на 80%. Оставшиеся двадцать сводятся к тому, что под камеры должен выйти кибер-полковник и рассказать, что именно сделано и кто за это отвечает.
Дальше в плане "Кибервойска" и MIL-CERT. Про кибервойска уже говорили и не раз, а военный CERT вобщем-то неплохая идея. К примеру, пару дней назад ко мне обратилась частная компания и показала мисконфигурацию в DNS МОУ. Они попытались свзяаться с МОУ, но несколько недельные попытки дозвониться или написать письмо не увенчались успехом. Вмешательство НКЦК тоже не помогло. В итоге спустя несколько часов удалось связаться с одним из заместителей. Не знаю как с CERT'ом, но у меня есть очень простой план, как исправить ситуацию.
Нужен телефон (один), журнал бумажный (один), боец владеющий навыками связной речи (два), ручки шариковые, чай-кофе в ассортименте. Номер телефона опубликовать на сайте и в whois. А теперь самая важная и сложная часть плана.
Боец должен снимать трубку 24/7, отвечать вежливо (я точно знаю, что такие есть, прямо на парковке министерства) и все что ему говорят записывать в журнал. А теперь не только важная, а ключевая часть плана. Критическая. Дежурный администратор, приходя на работу, должен взять журнал, прочитать все что там написано и исправлять косяки. Если количество администраторов увеличить до двух, то вместе с двумя бойцами-секретарями получится "мини-CERT". Команда реагирования должна реагировать. В этом суть.
Это пока замечания к первой странице "плана", там есть еще двадцать пять, одна другой краше...
Цель "плана по реализации" - разработать "систему индикаторов". Предлагаю не останавливаться и сразу сделать реестр индикаторов и осуществить комплекс неотложных мер по усилению возможностей в области разработки системы индикаторов для плана реализации (в доме, который похуй всем). Индикатор один. Очень надежный. Когда данные из Дія, Мінрегіон и МВС не лежат в даркнете, то цели уже достигнуты на 80%. Оставшиеся двадцать сводятся к тому, что под камеры должен выйти кибер-полковник и рассказать, что именно сделано и кто за это отвечает.
Дальше в плане "Кибервойска" и MIL-CERT. Про кибервойска уже говорили и не раз, а военный CERT вобщем-то неплохая идея. К примеру, пару дней назад ко мне обратилась частная компания и показала мисконфигурацию в DNS МОУ. Они попытались свзяаться с МОУ, но несколько недельные попытки дозвониться или написать письмо не увенчались успехом. Вмешательство НКЦК тоже не помогло. В итоге спустя несколько часов удалось связаться с одним из заместителей. Не знаю как с CERT'ом, но у меня есть очень простой план, как исправить ситуацию.
Нужен телефон (один), журнал бумажный (один), боец владеющий навыками связной речи (два), ручки шариковые, чай-кофе в ассортименте. Номер телефона опубликовать на сайте и в whois. А теперь самая важная и сложная часть плана.
Боец должен снимать трубку 24/7, отвечать вежливо (я точно знаю, что такие есть, прямо на парковке министерства) и все что ему говорят записывать в журнал. А теперь не только важная, а ключевая часть плана. Критическая. Дежурный администратор, приходя на работу, должен взять журнал, прочитать все что там написано и исправлять косяки. Если количество администраторов увеличить до двух, то вместе с двумя бойцами-секретарями получится "мини-CERT". Команда реагирования должна реагировать. В этом суть.
Это пока замечания к первой странице "плана", там есть еще двадцать пять, одна другой краше...
👍241
“Лондон, 8 февраля, Reuters UK, пожертвования в биткоинах так и текут в украинские волонтерские и хакерские группы, некоторые из которых поставляют снаряжение правительственным силам, как видно из отчета, который показывает, что подобные группы получили более полумиллиона в криптовалютах в 2021, … Другая группа Украинский Киберальянс собрала почти $100 000 за последний год…”
Новость агентство Ройтерс подготовило по материалам фирмы, занимающейся блокчейн-анализом Elliptic. Давайте сразу к делу. Сколько мы собираем денег и на что их тратим?
Одна из замечательных особенностей криптовалют - все транзакции публичны. На этот номер кошелька мы собирали деньги с сайта 1C6uAQRAgFX6zADzEcqyxGKYu6yXhyxu4U на него поступило 0.26 BTC (2016-2019 годы), вот другой кошелек 19fMSv8ULjoBR7UNgNGuTrqoQmwiZEa63v на него мы собирали деньги после того, как украинские правоохранители устроили у нас рейд и изъяли всю технику. 0.15 BTC.
Если бы мы могли себе позволить инвестиции в криптовалюты, то на сегодняшний день полученные биткоины стоили бы около 18,000 долларов. Очень далеко от заявленных ста тысяч. Если компания, занимающаяся блокчейн-анализом, перепутала краудфандинговые кошельки с кошельками обменных пунктов, то возникает вопрос в их профессиональной состоятельности.
Но мы их потратили еще тогда. Курс в 2017-2019 году колебался в пределах $2,500-7,000 за один BTC. Я не берусь подсчитать точно, но пожертвования в пользу UCA в криптовалюте равняются где-то трем-четырем тысячам долларов, которые мы потратили на оплату сервисов.
Каких сервисов? На что мы их тратим? Аренда серверов (от десятков до сотен долларов в месяц за сервер), покупка доменов, иногда покупаем кое-что на черном рынке. Последний год мы поддерживаем бесплатный VPN-сервис GardaVPN, сопротивляемся цензуре Интернета и правительственной прослушке. Часть криптовалютных пожертвований 2016-2020 годов мы вывели на текущие банковские счета, для которых действует финансовый мониторинг и любые подозрительные транзакции были бы заблокированы банком.
Когда мы провели краудфандинговую кампанию в марте 2020 года, платежи были самыми разными - от “10000 гривен - держитесь” до “15 гривен - сколько могу”, и это до слез просто. Не очень похоже на криптовалютных магнатов? В основном мы тратим собственные деньги. Та информация, которую мы публиковали и передавали украинским спецслужбам, в “нормальных” условиях обошлась бы в сотни тысяч, если не миллионы долларов, и мы никогда не получали и не получаем финансирования от правительства.
Родина предпочитает платить уголовными делами. Надеяться приходится на себя и на вас, на сознательных граждан Украины, для которых статья 17 Конституции не пустой звук.
Новость агентство Ройтерс подготовило по материалам фирмы, занимающейся блокчейн-анализом Elliptic. Давайте сразу к делу. Сколько мы собираем денег и на что их тратим?
Одна из замечательных особенностей криптовалют - все транзакции публичны. На этот номер кошелька мы собирали деньги с сайта 1C6uAQRAgFX6zADzEcqyxGKYu6yXhyxu4U на него поступило 0.26 BTC (2016-2019 годы), вот другой кошелек 19fMSv8ULjoBR7UNgNGuTrqoQmwiZEa63v на него мы собирали деньги после того, как украинские правоохранители устроили у нас рейд и изъяли всю технику. 0.15 BTC.
Если бы мы могли себе позволить инвестиции в криптовалюты, то на сегодняшний день полученные биткоины стоили бы около 18,000 долларов. Очень далеко от заявленных ста тысяч. Если компания, занимающаяся блокчейн-анализом, перепутала краудфандинговые кошельки с кошельками обменных пунктов, то возникает вопрос в их профессиональной состоятельности.
Но мы их потратили еще тогда. Курс в 2017-2019 году колебался в пределах $2,500-7,000 за один BTC. Я не берусь подсчитать точно, но пожертвования в пользу UCA в криптовалюте равняются где-то трем-четырем тысячам долларов, которые мы потратили на оплату сервисов.
Каких сервисов? На что мы их тратим? Аренда серверов (от десятков до сотен долларов в месяц за сервер), покупка доменов, иногда покупаем кое-что на черном рынке. Последний год мы поддерживаем бесплатный VPN-сервис GardaVPN, сопротивляемся цензуре Интернета и правительственной прослушке. Часть криптовалютных пожертвований 2016-2020 годов мы вывели на текущие банковские счета, для которых действует финансовый мониторинг и любые подозрительные транзакции были бы заблокированы банком.
Когда мы провели краудфандинговую кампанию в марте 2020 года, платежи были самыми разными - от “10000 гривен - держитесь” до “15 гривен - сколько могу”, и это до слез просто. Не очень похоже на криптовалютных магнатов? В основном мы тратим собственные деньги. Та информация, которую мы публиковали и передавали украинским спецслужбам, в “нормальных” условиях обошлась бы в сотни тысяч, если не миллионы долларов, и мы никогда не получали и не получаем финансирования от правительства.
Родина предпочитает платить уголовными делами. Надеяться приходится на себя и на вас, на сознательных граждан Украины, для которых статья 17 Конституции не пустой звук.
👍265
Перечитал еще раз бумажного тигра ("план реализации стратегии кибербезопасности"). Из совсем поганых новостей правительство хочет СОРМ (п. 30, п. 38). СОРМ с эрэфийского языка переводится как массовая слежка и прослушка без достаточных оснований. Как и всегда, вместо того чтобы посмотреть на хуйло и сделать наоборот, отечественные чиновники воспринимают РФ как образец для подражания. Результат может быть только один - мелочная и жалкая автократия еще более мерзкая и отвратительная чем прототип.
Опять-таки по традиции, держава собирается чинить то, что не сломано, контролировать и рагулировать. Их нужно лечить. Медленное и болезненное выздоровление должно начаться с признания очевидного факта: именно государство - рассадник предательства и шпионажа (хотя бы потому, что у обычных граждан, как правило, нет ни секретов, ни достаточно власти, чтобы представлять интерес для противника). То есть нужно усиливать не контрразведывательную "защиту" "IT-сферы и афилиированной среды", а контр-контрразвездывательную защиту. Собственную безопасность.
Затем следует отъебаться от бизнеса и граждан. Как только возникает рагуляторный зуд - тут же разворачиваться и идти в противоположную сторону. Нахуй например. И наци-анальный DNS (п. 54) забрать с собой. И сертификацию с лицензированием. Государство и так планомерно уничтожает бизнес, не нужно усугублять, блядь. Иначе никаких отечественных разработок вам не видать как своих ушей. Хотелось бы, чтобы держава начала предъявлять хоть какие-то требования к себе самой. Показала благотворный пример "как надо", прежде чем кого-то поучать
Опять-таки по традиции, держава собирается чинить то, что не сломано, контролировать и рагулировать. Их нужно лечить. Медленное и болезненное выздоровление должно начаться с признания очевидного факта: именно государство - рассадник предательства и шпионажа (хотя бы потому, что у обычных граждан, как правило, нет ни секретов, ни достаточно власти, чтобы представлять интерес для противника). То есть нужно усиливать не контрразведывательную "защиту" "IT-сферы и афилиированной среды", а контр-контрразвездывательную защиту. Собственную безопасность.
Затем следует отъебаться от бизнеса и граждан. Как только возникает рагуляторный зуд - тут же разворачиваться и идти в противоположную сторону. Нахуй например. И наци-анальный DNS (п. 54) забрать с собой. И сертификацию с лицензированием. Государство и так планомерно уничтожает бизнес, не нужно усугублять, блядь. Иначе никаких отечественных разработок вам не видать как своих ушей. Хотелось бы, чтобы держава начала предъявлять хоть какие-то требования к себе самой. Показала благотворный пример "как надо", прежде чем кого-то поучать
👍302
Теперь россияне выложили медданные полиции. Сразу вспомнился анекдот: "значок, покажи свой чертов значок!" Еще можно перечитать план реализации стратегии кибербезопасности, и саму стратегию можно тоже прочитать вслух и с выражением. Можно еще в Кіберполіція позвонить. Российские спецслужбы очень испугаются заплачут и убегут. Ведь так? Ведь так?
👍186👎2
Мусорам ебнули домен. Спасибо cdnjs, CloudFlare и foozzi (предыстория тут https://www.facebook.com/ruheight/posts/1369418330173188)
👍122👎3
У меня как-то был любимый тролль-"поклонник", который ходил за мной из поста в пост и упрекал в недостатке стратегического мышления. Один из популярных подходов к тому, чтобы предотвращать нежелательные последствия (нападение забордюрной федерации) - сдерживание. И оно в свою очередь делится на сдерживание отрицанием (поцелуй мой блестящий металлический джавелин!) и сдерживание наказанием (загрустили "искандеры", приуныли "тополя", не смешит их что-то больше курс российского рубля)
В области "кибер" фактическая стратегия (в отличии от написанной) больше похожа над отрицание без сдерживания. Гнев и то был бы лучшей стратегией. Чего хотели добиться раки атакой 14 января? Что они могут зайти в любую систему, спиздить все что может пригодиться, повалить все остальное, насрать, оставить следы лаптей и уйти, приговаривая "это не мы". И они выполнили все поставленные задачи. Когда министервство цифровой трансформации отрицает сам факт произошедшего пиздеца, то это не только не сдерживает, а только провоцирует противника.
Эту нехитрую мысль инстинктивно понимает даже самая глупая и зашуганая жертва школьных хулиганов. Так что не знаю как с конвенционными раскладами, а в кибер-консерватории давно пора что-то поправить.
В области "кибер" фактическая стратегия (в отличии от написанной) больше похожа над отрицание без сдерживания. Гнев и то был бы лучшей стратегией. Чего хотели добиться раки атакой 14 января? Что они могут зайти в любую систему, спиздить все что может пригодиться, повалить все остальное, насрать, оставить следы лаптей и уйти, приговаривая "это не мы". И они выполнили все поставленные задачи. Когда министервство цифровой трансформации отрицает сам факт произошедшего пиздеца, то это не только не сдерживает, а только провоцирует противника.
Эту нехитрую мысль инстинктивно понимает даже самая глупая и зашуганая жертва школьных хулиганов. Так что не знаю как с конвенционными раскладами, а в кибер-консерватории давно пора что-то поправить.
👍193
Некоторые истории не заканчиваются никогда и вот одна из них. Сперва мне написал Майкл из Atlantic Council, потом набрал Миша Макарук из Информнапалма, и когда скорость его речи удалось понизить до приемлемой полуторной, мне удалось расслышать, что всех интересует боевик Полынков. Полынков, позывной "Хрусталик" - один из ближайших помощников Гиркина. Мы его взломали осенью 2016.
Но началось все еще раньше. После терактов в Нью-Йорке, у Вильяма Райли, потомка ирландцев и поляков из маленького городка в Мичигане, появились новые интересы. Он начал учить русский и арабский языки, заинтересовался исламом и начал захаживать в отдаленные уголки интернета, где собирается радикально настроенная публика. Конец был немного предсказуем - через какое-то время на пороге стоял агент ФБР с ксерокопией паспорта Райли-старшего.
Но дело в том, что у Билли получилось заходить в такие места, куда не могли попасть федеральные агенты, не смотря на "Патриотический Акт", неограниченные бюджеты и профессиональную подготовку. Так Билли стал работать на ФБР. В 2014 году его куратор попросил его обратить внимание на "Донецкую Народную Республику". Билли назвался "Василием", завел себе вконтакт и пошел налаживать знакомства с российскими оккупантами и наемниками.
В мае 2015 года Райли взял билеты Детройт-Москва. В Москве он стретился с "Хрусталиком", и после небольшого вояжа по России, поехал на базу боевиков в Ростов. Очень смелый и весьма опрометчивый поступок, думаю, что с джихадистами было бы проще. Через две недели, после того как Билли собрался на оккупированные территории, связь с ним пропала навсегда. Прочитать грустную историю Райли целиком можно в материале Бретта Форреста https://archive.fo/YWTLl
Благодаря нечеловеческим усилиям, его родителям удалось найти Билли спустя три года, в 2018 году. Опознали по тесту ДНК. Боевики его убили и выкинули труп в ближайший ставок. Потом тело было захоронено в Шахтерске в номерной могиле. Вот об этом всем я и разговаривал с Форрестом год назад. У нас есть, а точнее была полная переписка Полынкова, которая могла бы пролить свет на то, как убили Билли Райли. Там есть свидетельства военных преступлений РФ. Не только о Билли Райли, но и о многих других.
Доступа нет. Ключи от этого архива в компьютере, изъятом СБУ и полицией по делу "Греты". СБУ и полиция попытались сделать все возможное, чтобы затянуть рассмотрение сфабрикованного ими уголовного дела, чем отчасти парализовали нашу деятельность. Тереза и Вильям Райли (старший) не узнают, что случилось с их сыном, а военный преступник Полынков будет и дальше безнаказанно топтать землю. Такие дела.
Но началось все еще раньше. После терактов в Нью-Йорке, у Вильяма Райли, потомка ирландцев и поляков из маленького городка в Мичигане, появились новые интересы. Он начал учить русский и арабский языки, заинтересовался исламом и начал захаживать в отдаленные уголки интернета, где собирается радикально настроенная публика. Конец был немного предсказуем - через какое-то время на пороге стоял агент ФБР с ксерокопией паспорта Райли-старшего.
Но дело в том, что у Билли получилось заходить в такие места, куда не могли попасть федеральные агенты, не смотря на "Патриотический Акт", неограниченные бюджеты и профессиональную подготовку. Так Билли стал работать на ФБР. В 2014 году его куратор попросил его обратить внимание на "Донецкую Народную Республику". Билли назвался "Василием", завел себе вконтакт и пошел налаживать знакомства с российскими оккупантами и наемниками.
В мае 2015 года Райли взял билеты Детройт-Москва. В Москве он стретился с "Хрусталиком", и после небольшого вояжа по России, поехал на базу боевиков в Ростов. Очень смелый и весьма опрометчивый поступок, думаю, что с джихадистами было бы проще. Через две недели, после того как Билли собрался на оккупированные территории, связь с ним пропала навсегда. Прочитать грустную историю Райли целиком можно в материале Бретта Форреста https://archive.fo/YWTLl
Благодаря нечеловеческим усилиям, его родителям удалось найти Билли спустя три года, в 2018 году. Опознали по тесту ДНК. Боевики его убили и выкинули труп в ближайший ставок. Потом тело было захоронено в Шахтерске в номерной могиле. Вот об этом всем я и разговаривал с Форрестом год назад. У нас есть, а точнее была полная переписка Полынкова, которая могла бы пролить свет на то, как убили Билли Райли. Там есть свидетельства военных преступлений РФ. Не только о Билли Райли, но и о многих других.
Доступа нет. Ключи от этого архива в компьютере, изъятом СБУ и полицией по делу "Греты". СБУ и полиция попытались сделать все возможное, чтобы затянуть рассмотрение сфабрикованного ими уголовного дела, чем отчасти парализовали нашу деятельность. Тереза и Вильям Райли (старший) не узнают, что случилось с их сыном, а военный преступник Полынков будет и дальше безнаказанно топтать землю. Такие дела.
👍228
Около года назад CISA (Агенство кибербезопасности и безопасности инфраструктуры) обязало правительственные учреждения разработать программы раскрытия уязвимостей VDP. Потом присоединилась Британия с "Биллем о безопасности продуктов и телекоммуникационной инфраструктуры". Что более важно, чем VDP, закон предписывает формулировать минимальные требования к безопасности при закупках. Теперь добавилась Новая Зеландия - предлагают "безопасную гавань" для тех, кто ищет уязвимости в госухе.
До "пяти глаз" начинает что-то потихоньку доходить. Я не жду от VDP серьезных результатов, во-первых, потому, что если в организации есть хотя бы один человек, способный сформулировать политику разглашения и следовать ей, то там и так, как правило, все в порядке. Во-вторых, таким образом можно выкосить уязвимости лежащие на поверхности. В хакерской субкультуре, все эти бумажные гавани и обещания того, что эцилоп не будет бить по ночам, не выглядят "круто", а "крутость" - основная валюта сцены (именно так называется компьютерный "андеграунд" на своем собственном языке).
Сказываются традиции правового позитивизма. Законодатель считает, что законы формируют понятие нормы и непосредственно действуют на реальность. Если принять "закон об общественной морали" и угрожать всем 301-й статьей УК, то конечно же PornHub уйдет из top-10 посещаемых сайтов. Ведь так? Да, нихуя подобного. И конечно же, если отменить весь этот легалистический wishful thinking, то это - хорошо, но это совсем не значит, что на освободившемся месте тут же появится беленькая индустрия с единственным желанием заплатить поскорее налоги. Точно так же и с безопасностью
До "пяти глаз" начинает что-то потихоньку доходить. Я не жду от VDP серьезных результатов, во-первых, потому, что если в организации есть хотя бы один человек, способный сформулировать политику разглашения и следовать ей, то там и так, как правило, все в порядке. Во-вторых, таким образом можно выкосить уязвимости лежащие на поверхности. В хакерской субкультуре, все эти бумажные гавани и обещания того, что эцилоп не будет бить по ночам, не выглядят "круто", а "крутость" - основная валюта сцены (именно так называется компьютерный "андеграунд" на своем собственном языке).
Сказываются традиции правового позитивизма. Законодатель считает, что законы формируют понятие нормы и непосредственно действуют на реальность. Если принять "закон об общественной морали" и угрожать всем 301-й статьей УК, то конечно же PornHub уйдет из top-10 посещаемых сайтов. Ведь так? Да, нихуя подобного. И конечно же, если отменить весь этот легалистический wishful thinking, то это - хорошо, но это совсем не значит, что на освободившемся месте тут же появится беленькая индустрия с единственным желанием заплатить поскорее налоги. Точно так же и с безопасностью
👍90
Читаю текстовую трансляцию пресс-конференции очень ответственных служб о вчерашней DDoS-атаке. Сразу резанула глаз фраза "такая атака стоит миллионы долларов". Сейчас я вам расскажу то, что вам не хотелось знать о DDoS-атаках, но придется узнать. На черном рынке "услуга" DDoS стоит от нескольких десятков до нескольких сот долларов в час. Так что о "миллионах" говорить не приходится. Как это работает?
Самая большая база данных в мире - DNS, в ней сопоставлены понятные людям доменные имена, и понятные компьютерам IP-адреса. когда вы вводите в строке броузера mil точка gov точка ua, броузер сперва обращается к DNS-серверу и спрашивает, какой адрес у этого домена? Сервер отвечает 104.18.6.221 (поздравляю МОУ с переездом за Cloudflare, давно пора). Проблема в том, что запрос маленький от 50 байт, а ответ большой до 8 килобайт (если есть поддержка eDNS0). Возникает плечо до 1 к 160 (как правило меньше чем 1:160)
Атакующий покупает сервер, и начинает посылать запросы специально подобранным и абсолютно легальным DNS-серверам, в качестве отправитля указывает адрес жертвы (подмена адреса, spoofing, работает не всегда и такие сервера стоят дороже обычных, но не очень дорого). "Коробочный" софт для DDoS с красивым веб-интерфейсом для самых глупых киберпреступников на черном рынке стоит пару тысяч долларов. Если у сервера гигабитное подключение, то плечо превратит их в 20-100 гигабит мусора в секунду.
Смышленый студент третьего курса напишет такую городушку на коленке забесплатно. Прямо по описанию из этого поста и учебнику Стивенса. Чекисты потратят пять косарей зелени, что для них не проблема. И вот именно в этом проблема. Это очень дешево. Защита от DDoS стоит гораздо дороже и требует определенных умений, а самое главное готовности их применять. Естественно, что адреса "отражателей" и их национальная принадлежность не несут в себе никакого смысла. Так что если даете Федорову скрины с Арбора, расскажите ему в следующий раз, что они значат. 600 "узбекских" kpps - ни о чем. Стыдно даже слушать подобные глупости.
Самая большая база данных в мире - DNS, в ней сопоставлены понятные людям доменные имена, и понятные компьютерам IP-адреса. когда вы вводите в строке броузера mil точка gov точка ua, броузер сперва обращается к DNS-серверу и спрашивает, какой адрес у этого домена? Сервер отвечает 104.18.6.221 (поздравляю МОУ с переездом за Cloudflare, давно пора). Проблема в том, что запрос маленький от 50 байт, а ответ большой до 8 килобайт (если есть поддержка eDNS0). Возникает плечо до 1 к 160 (как правило меньше чем 1:160)
Атакующий покупает сервер, и начинает посылать запросы специально подобранным и абсолютно легальным DNS-серверам, в качестве отправитля указывает адрес жертвы (подмена адреса, spoofing, работает не всегда и такие сервера стоят дороже обычных, но не очень дорого). "Коробочный" софт для DDoS с красивым веб-интерфейсом для самых глупых киберпреступников на черном рынке стоит пару тысяч долларов. Если у сервера гигабитное подключение, то плечо превратит их в 20-100 гигабит мусора в секунду.
Смышленый студент третьего курса напишет такую городушку на коленке забесплатно. Прямо по описанию из этого поста и учебнику Стивенса. Чекисты потратят пять косарей зелени, что для них не проблема. И вот именно в этом проблема. Это очень дешево. Защита от DDoS стоит гораздо дороже и требует определенных умений, а самое главное готовности их применять. Естественно, что адреса "отражателей" и их национальная принадлежность не несут в себе никакого смысла. Так что если даете Федорову скрины с Арбора, расскажите ему в следующий раз, что они значат. 600 "узбекских" kpps - ни о чем. Стыдно даже слушать подобные глупости.
👍266