Что-то меня полиция останавливает на улице второй раз за последний месяц. И это ровно на два случая больше, чем за предыдущие пять лет. Не знаю, что во мне триггерит эту враждебную людям форму жизни, то ли скорость с которой я перемещаюсь по городу, не теряя задумчивого выражения лица, то ли бейсболка с крестом и мечами, но тонкая блядская линия меня уже начинает заёбывать.

Про магическое мышление и кибер-нихуя. Вы наверное помните, что в августе наши можновладці внезапно вспомнили, что для обсуждения "кибер" неплохо бы позвать специалистов https://bit.ly/33w4vrd с тех пор прошло ещё несколько встреч, в том числе с участием МО (которое вопреки всем принципам тоже хочет порулить и тянет одеялко на себя), но общие выводы не поменялись. Собираются обычно сурьезные дяди и тёти, 9 из 10 в безопасности понимают чуть менее чем нихуя, и пытаются что-то обсуждать (на доступном им уровне). По-прежнему, сильны сторонники "державы в страпоне", с целью заменить процесс принятия решений жужжащими компьютерами, с тем же успехом можно было бы взять и карты Таро, конец немного предсказуем. Невероятно настойчивы идиоты, искренне считающие, что безопасность зависит от интернет-провайдеров, и еблозавры из ДССЗЗІ, отчаянно сопротивляющиеся вымиранию. Как правило, обсуждаются вопросы не имеющие с безопасностью ничего общего. Самое близкое - имплементация директивы NIS https://bit.ly/2ISz1nl о базовых требованиях к национальным кибербезам (у нас на этот счет уже более жесткое законодательство, чем в Европе, только на него всем давно похуй, как будет похуй и на NIS) и аудиты. Хотелось бы посмотреть на то, как аудиторы большой четверки будут комплаить сельсовет или коммунальную задрочь "Мискьрогкопытснаб" по ISO 27K - обхохочемся. (А таких хреней у нас, напоминаю, сто тысяч в тридцати тысячах локаций) Одним словом, всё это - тлен и заебь, а общественность нужна исключительно для того, чтобы ею прикрываться при попытке внедрить какой-нибудь очередной смертоносный пиздец. "Страпонизаторы", этот процесс развала значительно ускоряют, так что даже без учёта соседа-оккупанта оно всё может пиздануться само по себе в любой момент.

P.S. Между тем над гос. спец. связью начинают сгущаться тучи https://bit.ly/2OMH6xG , и это очень хорошая новость, и я хотел бы пожелать удачи Михаилу Федорову в этом начинании.

При всём уважении к некоторым (но, отнюдь, не ко всем) участникам, что я только что прочитал? Мои бедные глазоньки. Безпека це загроза. Блядь. (Спасибо, Володимир за находку)

Попался интересный слайд с CyberNext Summit 2019 (если у кого-то есть презентация полностью или видео, то скиньте, пожалуйста, мне интересно как докладчик пришел к подобным выводам). Я бы не переоценивал РФ и поставил бы её чуть левее и гораздо ниже, а Румынию бы заменил на Турцию, и вобще немного бы точки подвигал, единственная страна, чьё положение на графике не вызывает вопросов - Франция и Индия (Пакистан где? Южная Корея?).

Но всё равно очень любопытно. Вы видите на графике Германию? Нидерланды? (а сколько шороху в своё время навела AIVD!) А Украина есть и на очень достойном месте, хотя по части completeness в нашей стране всё совсем не в порядке. У нас разведка вобще очень редко влияет на принятие решений, а уж о стратегии и говорить не хочется. А к той чудесной "анал-итике", из которой я взял слайд и к дымящимся школьным задам я ещё непременно вернусь. То нужно будет отдельно прояснить. С вертушки.

Max нашел чудесное у НКРЗІ. Чуваки собрались измерять "форматы IP-адресов", при этом даже не подозревая, что сокращение "IP" следует писать латиницей. Сразу вспомнилось, как я когда-то был маленьким сетевым администратором и позвал телефониста, чтобы вместе починить выделенку. Давно это было. Заходим на точку, там стоят новенькие коммутаторы: черные, стильные и полыхают логотипами и разноцветными светодиодами как инопланетная ёлка. На ободранные плинты, прикрученные к неструганным доскам (так это было исполнено у оператора) не похожи совсем. Пять минут я с нескрываемым интересом смотрел, как телефонное чмо пытается пристроить цешку в порт коммутатора. Патч-панель гений проводной мысли опознать не смог. Отобрал конечно у него прибор и сделал всё сам. Но традиции-то живы, никуда они не делись оказывается...

Читаю "Проект Закону про електронні комунікації" 2264 https://bit.ly/35IrscM Документ массивный, так что пока пробежался только по верхам.

Начнем с самых скандальных положений предыдущего проекта 1083. Симок по паспорту не будет, но анонимную симку вам без паспорта не восстановят (35.2) Возможность для СОРМ тоже остаётся на своём месте (42.4) Так как оборудование принадлежит и управляется "органами", то они туда будут лазить бесконтрольно. Так же предусмотрено хранение мета-информации в течении года (это норм)

Реестр, "качество", "соответствие оборудования", "отчетность" и прочий анал из рынков тоже на своих местах. АМКУ-на-коленке тоже. И "центр управления сетями" (сетями собираются управлять люди, которые стеклянный хуй, то разобьют, то проебут). Одним словом, формулировки местами сглажены, местами хитро переделаны, но это те же яйца только в профиль. А, и да, просто рагуляций им мало, будет "рагуляторная платформа".

И правила рагулятор будет сам сочинять по ходу. Обязательные к исполнению - для того и нужен "бесплатный и добровольный" реестр. Как только зарегистрировался - всё, попал под "платформу". Как всегда ТВ, голос и интернет смешали в одну кучу, чтобы не было понятно кто на ком стоял. Я бы советовал господам депутатам разделить этот блоб законодательной мысли на несколько частей, свернуть свои рагуляционные хотелки в трубочку и засунуть куда-нибудь подальше.

И у меня (для начала разговора) один вопрос к Олександр Федієнко:

Зачем нужен реестр ISP?

Почему вам недостаточно КВЕД, если уж "хочу всё знать" такое неуёмное.

Аха, а на Cybersecurity Ukraine было хорошее - Чаузов из гос. спец. связи рассказывал о том, как они сейчас всех осчастливят НСКЗ/НТМ (такой говнет, который они уже лет десять строят, строят и всё никак не построят). То есть в начале пытаются построить, потом всю госуху в него загнать, и собирать баблишко на сертификациях и подключении, а потом уже начинать думать, а нахрена он собственно нужен. Но в последние минуты презентации ворвался Олександр Федієнко и обозвал "город-сад" «утопічною схемою з корупційними складовими». Что верно. Там уже охулиард бабла закопан. Но в отличии от Александра Павловича, я считаю что говнеты всё-таки нужны (не один даже, а много), конечно строить их нужно совершенно иначе https://bit.ly/2NbBCu7 и можно при этом никуда особенно не торопиться. А фантазии ДССЗЗІ о "центре управления сетями", "защищенных узлах" и "НТМ" - рак и заебь. Хорошо, что пан депутат говорит об этом вслух.

Я повторю еще раз, списком и без украшений:

* Регулятор должен заниматься распределением частотного и номерного ресурса, всё остальное - не его собачье дело.
* Монополистами должен заниматься АМКУ.
* Реестр провайдеров - уничтожить. Реестра парикмахеров у нас нет, и мы выжили. Есть КВЕД 61 - с ним и ебитесь.
* Качество и прочий джиттер не имеют (почти) никакого смысла в мире Интернета
* Анал-из рынков - в топку
* А значит отчетность и "реестр форм отчетности" туда же
* Заботу об инвалидах с мутными схемами компенсации отменить. Социализм не работает.
* Фильтрация трафика на уровне оператора должны быть законодательно, в подтверждении Конституции, запрещена.
* Национальный центр управления сетями - российский маразм, как и НСКЗ-НТМ (в теперешнем виде)
* СОРМ - бесконтрольная прослушка
* Регулятор не может расширять свои полномочия нормативными актами. Все они должны быть перечислены в законе и только там, иначе ползучая регуляция всех сожрёт

А дальше, наш с Max Gadyukin TL;DR о рагоуляйтерах в сфере телекоммуникаций https://www.petrimazepa.com/zakonoproekt_2264_pyatdesyat_ottenkov_regulyacii

Всё что происходит вокруг электронных подписей напоминает мне междуплеменной съезд заслуженных шаманов с дальних островов. При взгляде на красивый компьютер, умные буквы типа ECDSA мозг выключается, а длинные ряды цифр внушают уверенность в завтрашнем дне. И оно близко. Завтрашнее дно. Проблема тут, отнюдь, не в подписях, а в их носителях. Уже сейчас никто не лезет в бумажный "голос украины", а все дружно идут на сайт рады. Но.

У меня один простой вопрос. Если вы не доверяете кабмину и министерствам, если вы не доверяете депутатам, которые норовят пропихнуть в закон пару двадцатиевровых бэкдоров, не доверяете аппарату верховной рады, который не может по три дня выложить на сайт проект. То схуяль доверять их электронным подписям? Люди станут лучше и чище, когда под документом появится ряд непонятных цифр?

Главная проблема в том, что теперь нужно будет доверять не только зашкваренным чиновникам, но ещё и двадцати мутным коммерческим лавкам, которые якобы что-то там удостоверяют, дырявым HSM и компьютерам всей той пиздобратиии, где не полазил только ленивый. И нужно ещё поверить в то, что люди которые не могут вздрочить говно-сайт, так чтобы он не развалился сразу после запуска всё сделали правильно.

Мне сразу вспомнилась история про Sony. Если совсем коротко, то подпись *DSA состоит из пары чисел, которые зависят от хеша сообщения (h), секретного и сессионного ключей. И если сессионный ключ (k) не случаен, то в двух разных подписях, будет одинаковый компонент (r), при разных (s), потом секретный ключ (x) получается в два действия k = (s2 - s1) / (h2 - h1), x = (s * k - h) * r^-1, так и был взломан секретный ключ для PS3.

Но это всё техническая лирика. Что вы выберете: просто верить тупорылым долбоёбам или верить тупорылым долбоёбам и завшивленным компьютерам? Электронные вундервафли требуют больше доверия, а не меньше. Это ключевая ошибка наших жижитализаторов.

Что мне непрерывно доставляет в российских кибер-операциях, я это уже не раз говорил, так это их детская непосредственность, переходящая в запредельную наглость. На днях NCSC и NSA опубликовали отчет https://bit.ly/31Eqr28 о том, как Turla (РФ) втупую отжали инфраструктуру у APT34 (Иран, от Ирана я кстати ожидал куда большего, чем свалка говна на JS https://github.com/laucyun/APT34 ), и спалились конечно в очередной раз.

Смешная реакция российского посольства в Лондоне: всё это отвратительные инсинуации вокруг отчета, и что сами спец. службы не выдвигали обвинений против РФ и российских граждан, и это, мол, попытка вбить клин между РФ и Ираном, и вместе с тем, РФ всегда готова сотрудничать в области кибербезопасности (читай очебурашивать Интернет таким же способом, как они поучаствовали в анти-асадовской коалиции) Неумирающая классика - разбросать везде свою мальварь, которая не меняется годами, оставить следы тушонки и надписи "кей-джи-би скул финишд" и потом удивляться, хлопая дурными глазёнками: "А нас за что?" и "Это не мы"

Кстати, не все понимают, но эффективность APT-групп определяется не количеством технических отчетов, а их отсутствием, с удовольствием перечитал threat intelligence на нашу собственную деятельность, и "low confidence in technical capabilities" (переводится: мы ничего не нашли, а там где нашли не смогли провести атрибуцию, и это не смотря на кошмарные проёбы по опсеку у всех участников) и "high organizational sophistication" (высокий уровень организации) - именно то, к чему нужно стремиться.

Вдогонку. И что меня бесит, так это замороченность политиков н нагнетании страха, IC на атрибуции угроз, IS на статьях "Еще раз об использовании Visual Basic и Mimikatz в скоординированной враждебной активности". Куда интересно подевался здравый смысл и цельная картина. Какую информацию удалось получить? Как она повлияла на события и принимаемые политические решения? Какие ставились задачи, насколько они выполнены? Просто беда со здравым смыслом в современном мире. Вот, кто-нибудь помнит, что было в почте Подесты и какие это имело последствия? Зато наверняка помните какого-нибудь ГРУшника по фамилии. Вот не похуй ли был ли это старший лейтенант Хуилов, или майор Пиздюков? Тоже конечно важное и нужное дело, но всё рассыпается в драное лоскутное одеяло. I wish common sense be more common.

Собираюсь написать давно запланированную третью часть "collateral treason", и перечитываю материалы. Если вы читаете военные доктрины (понимаю, не самое популярное чтение для субботнего утра), то там часто в отношении кибер- предлагается использовать стратегию сдерживания (#deterrence), по аналогии с ядерным сдерживанием во времена холодной войны. То есть вы говорите противнику: "не делай так, а то хуже будет!"

Распрстраненной является точка зрения, что сдерживание на новом театре боевых действий не работает. (Пример https://bit.ly/31U77OE ) Я тоже думаю, что в таком виде как оно представлено в национальных стратегиях, сдерживание работать не может.

Для того, чтобы противник испугался нужно продемонстрировать возможности. После демонстрации возможности (capabilities) будут немедленно скопированы (кибер- куда проще чем ядерная бомба) и это приведет к восстановлению паритета и дальнейшей эскалации. (А уязвимым окажется тот у кого больше площадь атаки, то есть более технологически развитые страны) Потому возможности держат в секрете, но неведомой никому угрозой нельзя никого напугать, блефовать бесконечно невозможно.

Уловка-22 запрещает сдерживание как принцип.

Тем не менее, мне пришло в голову несколько примеров того (и на это обращали внимание многие помимо меня), что иногда происходит сдерживание "наоборот", выстрел себе в ногу.

США победили в холодной войне и это привело к ослаблению спец. служб (вплоть до 9/11, когда для них появилась новая цель), разведка перестала влиять на принимаемые решения. Наращивание кибер-возможностей и крипто-оргазм по поводу кибер-оружия, потребовали значительного обновления кадровой политики, гонка "кибер-вооружений" и "головокружение от успехов" стало причиной грандиозных утечек - Меннинг, Сноуден, что опять-таки остановило спец. службы от дальнейшей эскалации.

Русская эскапада, сдержала Обаму от применения санкций (из боязни обвинений в излишней приверженности своей партии, и страха перед срывом выборов), с другой стороны, после того как усилиями развед сообщества (более широкого чем US IC) были вскрыты российские операции, это углубило раскол между российскими спец. службами и привело к сдерживанию (а в случае с РФ ещё и к посадкам).

Таким образом, кибер-сдерживание всё-таки возможно: для этого нужно разорвать взаимодействие между спец. службами и людьми принимающими решения. Но как это сделать, чтобы вам при этом не оторвало задницу, в доктринах ничего не написано.

В конце девятнадцатого века, до того как люди придумали надписи "самолечение может навредить вашему здоровью", частенько продавались лекарства от всех болезней из "змеиного яда", нефтянных масел и прочей пакости (до мороженого с радием включительно). Строго по рецептам О. Генри: нельзя брать у ближнего доллар, не дав ему что-нибудь взамен.

Мне показали очень забавную штуку, два антерпренера устроили передвижной security-theater под названием "#Stealthmail", с окончательным решением вопроса безопасности коммуникаций. Первейший признак мошенничества - вам парят "универсальный ответ", а не инструмент со своими достоинствами и недостатками. Сегодня пройдёт "конференция".

У вас будет уникальная возможность послушать человека, который издалека видел живого безопасника и получить в подарок книгу "как придумать очень сложный пароль" (и нихуя при этом не понять), а ещё пообщаться с человеком, который придумал "защищенный протокол SDNP", и после чтения патента, я по-прежнему затрудняюсь сказать, что именно он защищает и от кого.

Если верить авторам вундервафли, то оба ещё и выдающиеся писатели, которые со своей сорокостраничной брошюркой держат топ на Amazon, в разделе "Бизнес и инвестиции". Фотошоп конечно, пролистал весь раздел и Дональда Аллена и Евгения Верзуна я там не нашел.

Любой человек может придумать шифрование или схему защиты, которую он сам не может обойти, но в случае с security-продуктами, если вам рассказывают про лекарство от всех болезней, не показывая протоколы, алгоритмы и спецификации, то перед вами оно - змеиное масло. #snakeoil

Да, действительно, Украина не может просто взять и объявить войну России (потому что из двух советских республик победит та что больше), и "конфликт не имеет военного решения". Но и дипломатического решения у войны нет и быть не может. Цель Путина и РФ (два эти субъекта уже не разделимы) - возвращение Украины в зону влияния РФ. Как сказал (во время Майдана) Путин в разговоре с Кэмероном: "Это мой задний двор. Запад всё время унижает меня из-за Ливии, из-за Сирии... последние десять лет". Никакой "середины" нет и быть не может. Любые уступки будут восприняты как слабость и станут причиной эскалации. Ни о каких "территориях" тоже речь не идёт, нужно быть совсем уж тупой зелёной плесенью, чтобы думать о войне, как о территориальном конфликте. Речь идёт о субъектности Украины. Если государство отказывается от функций национальной безопасности и участия в поддержании мирового порядка, то оно просто обречено на разрушение. Я хотел бы обратиться к избирателям Зеленского: если Зеленский идёт на уступки врагу, отказывается от миллионов граждан Украины, тех, кто защищал все эти годы нашу страну, тех кто выехал с "территорий" и тех кто остался, то точно так же он потом разведёт и вас. Любой, кто думает, что с РФ и Путиным можно договориться - идиот и враг. Зеленский - идиот и враг.

Я часто сталкиваюсь с людьми простодушными и наивными, и они в комментариях к моим сердитым постам о текущих новостях, задают вопрос "а что тут такого?" Я не буду объяснять, что я лично вижу "такого", а лучше расскажу о том как я рассказываю об этом другим. Такая себе мета-журналистика, внутри сложного мира, который очень не любит простых вопросов. Всё началось с переписки в чате и в почте, по поводу очередного интервью для французского ТВ. Когда я был совсем маленьким хакером я даже фантазировал о том, как когда-нибудь ко мне подойдёт корреспондент какого-нибудь "очень важного издания" и спросит, что же я, черт возьми, думаю по тому или иному поводу? Будьте осторожнее с желаниями - они имеют обыкновение сбываться.

Солнечным октябрьским днем я прихожу на работу и, не смотря на дедлайн, заказываю такси, и еду в пригород Киева. Неизменный компаньон по полному и окончательному безобразию Джефф приехать не может - его ждут на очень-важной-встрече-по-кибер-безопасности нашей страны. Центр традиционно забит зубожилыми украинцами. Бессарабка, Шулявка: кто нам не сдастся - тот непобедим. Моё нетерпение передаётся таксисту и он иногда нарушает правила, чтобы выбраться из мышеловки. Всего-то через час, я уже пью кофе с журналистами, и пытаюсь впихнуть в себя пиццу, пока не стало слишком темно для съёмок. Из уютного кафе (уже посреди нигде) мы снова выбираемся на трассу Киев-Чоп и ищем локацию. В этот раз Дима, помогающий нам в связях с прессой, подобрал живописное место - дот, часть заброшенной линии обороны 30-х годов. Война - она рядом, гораздо ближе чем кажется. (Фото Alex Iluschenko - я нашел в гугле, сам я ничего не фотографировал)

Мы выгрузились из машины, ребята выкопали видео-аппаратуру из под бронежилетов, до того они успели побывать в Счастье и поговорить с бойцами ССО. Мы углубились в лес. Со стороны наша компания, должно быть, выглядела необычно. С тем же успехом это мог быть фильм про маньяков-убийц, но смотреть было некому, так что мы обсуждали в полный голос, на английском, с двумя разными акцентами, почему Ассанж из WikiLeaks отказался публиковать первые взломанные материалы из РФ? Кто такая Эмма Бест? Как люди в Европе реагирует на российскую агрессию? Что определяет российскую внешнюю политику? Что это - случайность, неотвратимый исторический процесс, гражданская война внутри Советского Союза? (Я сильно упрощаю) И не заблудимся ли мы, в конце-то концов, в этом прекрасном осеннем лесу?!

Просыпаешься посреди леса - это твоя жизнь, и с каждой минутой она подходит к концу. До последнего момента я не хочу надевать балаклаву. Вы пробовали говорить в балаклаве о международной политике? Я тоже не люблю. Разговаривать можно только гласными. И ворс липнет к губам. А из-за того, что в балаклаве и темных очках я стал похож на террористов семидесятых, пришлось выбирать - съездить за маской тигра (из детских запасов) или поверх балаклавы накинуть ещё "классический" хакерский капюшончик (образ хакеров в коллективном бессознательном закреплён всерьёз и надолго. Изменить его нелегко, меня уже тошнит от стоковых фотографий со светящейся клавиатурой. Но традиции есть традиции - у меня светится, да).

И, камера, мотор. Вмешательство во внутреннюю политику Украины с незапамятных времён. КСОРС, Россотрудничество, фонд Горачкова, пседо-soft-power организации, которые десятилетиями занимаются подрывной деятельностью и вербовкой агентов для будущего "русского мира", православная церковь московского патриархата и куликово поле, межведомственная комиссия по "восстановлению Донбасса". Контрабанда. Беспрерывные усилия Российской Федерации, направленные на полный слом украинской государственности. Поставки оружия. Логистика и управление. Финансы. ТКГ. 12-е коммандование резерва. СЦКК. "Добровольцы". СДД. 58 армия. Хакеры. DNC. MacronLeaks. BND. US IC. От аббревиатур начинает рябить в глазах. И у меня рябит, я иногда сбиваюсь и не могу закончить мысль.