​​В двух тысячах незащищённых БД на территории РФ нашли один и тот же бэкдор-аккаунт. С учёткой admin@kremlin.ru злоумышленники могли получать доступ к серверам российских и зарубежных банков, предприятий, коммуникационных компаний, даже Disney Russia и украинского реестра досудебных расследований.

Как такое могло произойти?
По словам ИБ-специалиста Виктора Геверса, компании использовали MongoDB в небезопасном режиме: СУБД открывала учётные данные всему Интернету. А бэкдор, считает Геверс, появился из-за того, что российские власти для удалённого доступа к базам использовали одни и те же учётные данные.

Со своими открытиями Геверс вначале обратился к самим компаниям — это было ещё в 2015 году. По его подсчётам, на закрытие уязвимости ушло 3 года, 5 месяцев и 15 дней.

Подробнее: https://tprg.ru/3YcU

Ребята из HackerRank опубликовали очередной ежегодный Developer Skills Report. В пару десятков диаграмм они втиснули всю жизнь девелоперского сообщества: на каких проектах разработчики тренируются, какие языки и фреймворки используют, какую музыку слушают, с какими багами сталкиваются и так далее: https://youtu.be/RSY9Zh1mS7I

Почему это важно?
Отчёт показывает, в каком направлении двигается разработка, какие инструменты нужно освоить, чтобы оставаться востребованным, или, в случае нанимателей, что нужно предлагать айтишникам, чтобы они любили свою работу и оставались ей верны.

Подробнее: https://tprg.ru/U5u6

Почти одновременно вышли обновления Chrome и Firefox.

Что нового в Chrome 72:
— Данные для автозаполнения в настройках разделены на секции: пароли, способы оплаты и адреса. Ими теперь можно управлять по отдельности.
— По умолчанию включена функция просмотра видео «картинка в картинке».
— Добавлено предупреждение об использовании на сайтах устаревших протоколов TLS 1.0 или 1.1.
— Ещё Chrome постепенно отказывается от FTP — чтобы загрузить по этому протоколу файл, теперь нужна прямая ссылка. Содержимое каталогов Chrome 72 отображать не будет.

Подробнее: https://tprg.ru/Chrome72

Что нового в Firefox 65:

— В настройках безопасности появились три режима блокировки отслеживающих скриптов: стандартный (по умолчанию), строгий или настраиваемый. Стандартный блокирует скрипты из чёрного списка disconnect.me в окнах приватного просмотра, строгий — все следящие скрипты во всех окнах, а в настраиваемом можно поиграться.
— Task Manager теперь показывает, сколько памяти уходит на каждую вкладку и дополнение.
— Появилась поддержка изображений формата WebP и возможность быстро сменить язык интерфейса.

Подробнее: https://tprg.ru/Firefox65

Вместе с релизом Firefox 65 Mozilla опубликовала новую страничку в MozillaWiki. Она касается отслеживающих скриптов и того, как браузер будет на них реагировать. Сейчас Mozilla ориентируется на базу трекеров, составленную disconnect.me, но также собирается бороться:

— с межсайтовыми трекерами, основанными на идентификации посетителя сайта по cookie-файлам или по параметрам URL;
— с трекерами, которые идентифицируют посетителя по косвенным признакам, — сюда входит фингерпринтинг браузера (цифровые отпечатки) и supercookies (неудаляемые cookie).

Эти правила не окончательные, Mozilla по мере продвижения в этом направлении будет их совершенствовать. Уже сейчас есть несколько исключений. К примеру, не будут блокироваться трекеры, созданные в целях более надёжной аутентификации пользователя, а также те, что предотвращают создание поддельных аккаунтов и выявляют мошеннические финансовые операции.

Подробнее: https://tprg.ru/nFXB

ФАС получила отрицательный отзыв от Google на свою инициативу о предустановке российского ПО. Особых подробностей нет: компания прислала его в письменном виде, с пометкой «для служебного пользования», то есть не для разглашения прессе. Об этом порталу RNS сообщила представитель ФАС.

Ещё она рассказала, что сегодня, 1 февраля, ведомство закончит шлифовать свой проект и отправит его в Минкомсвязь. Судя по «дорожной карте», готовую версию законопроекта представят в апреле.

Напомним, что против высказались Apple, Microsoft, Intel и РАТЭК, защищающая их интересы. А защиту проект получил от Mail.Ru Group, «Лаборатории Касперского», МТС, «МегаФона» и объединения РУССОФТ. «Яндекс» чёткой позиции не предоставила, сведя разговор к качеству проекта и удобству пользователей.

Подробнее: https://tprg.ru/vdED

Помните базу «Коллекция №1»? Миллиард уникальных комбинаций паролей и email-адресов — крупнейшая база слитых учётных данных, говорили тогда. Сейчас по даркнету и торрентам ходит «Коллекция №2−5». В ней 2,2 миллиарда уникальных комбинаций, а общее число записей — 25 миллиардов. Весит этот гигант 845 ГБ, и, по словам специалистов, его уже скачали больше тысячи раз.

Напоминаем, что проверить свои emai-адреса и пароли (по отдельности, да) можно на HaveIBeenPwnd.

Подробнее на WIRED: https://tprg.ru/ceCR

Mozilla приостановила автообновление Firefox до версии 65 на Windows из-за проблем с доступом к сайтам. Браузер выдаёт сообщение о небезопасном соединении даже для ресурсов, доступных через HTTPS. Баг чаще всего воспроизводится на устройствах с установленными антивирусами Avast или AVG.

Что делать, если уже обновился?
Если Firefox 65 при подключении показывает ошибку SEC_ERROR_UNKNOWN_ISSUER, надо в настройках about:config поменять значение параметра security.enterprise_roots.enabled на true. Либо же отключить сканирование зашифрованных соединений в настройках антивируса.

Подробнее: https://tprg.ru/EDWY

О новой версии Firefox мы рассказывали пару дней назад: https://t.me/tprogerlive/4067

Проголосуйте, пожалуйста, за наш проект: https://tprg.ru/C8Hz

Если вам нравится наш канал — это лучший способ поблагодарить команду, которая над ним работает. С вас только аккаунт на Яндексе и несколько кликов.

Apple пофиксила баг в групповых звонках FaceTime. Обновление прилетит на этой неделе.

Для тех, кто пропустил: в начале прошлой недели пользователи заметили, что при групповых звонках можно видеть и слышать собеседника ещё до того, как он принял или отклонил вызов. Из соображений безопасности Apple на время вообще отключила групповые звонки.

Подробнее: https://tprg.ru/XVHO

Google рассказала, как и когда будет закрывать Google+.

— 7 марта закроются те самые API, через которые так много данных утекало. Исчезнут кнопки «Войти в Google+» — администраторам сайтов предлагается перейти на форму входа через Google.

— Со 2 апреля Google начнёт удалять аккаунты со всеми персональными данными. Так что лучше проверить, не завалялись ли в G+ интересные фотографии и видео. В апреле они исчезнут.

— Всё это не коснётся корпоративных пользователей G Suite. Их аккаунты останутся в целости и сохранности.

Подробнее: https://tprg.ru/gR8t

​HackerU набирает слушателей на учебную программу «Специалист по web-разработке».

Что будет полезного?
Научат писать фронтенд и бэкенд веб-приложений, чтобы стать крутым full stack разработчиком. В программе только современный стек: CSS3/HTML5, Bootstrap и jQuery для фронтенда, а для бэка — IBM Bluemix, PHP и MySQL.

Обещают, что после курса получите международный диплом и работу. Ну и кучу полезных знаний, само собой.

Подробнее: https://tproger.ru/events/webdevelopment-hackeru-3/

Ближайшие события для айтишников

💻 Конференция DelEx: DevOps & Test Automation
8–9 февраля, Минск, Беларусь

Спикеры со всего мира поделятся богатым опытом, расскажут о необычных кейсах и решениях ежедневных задач на 3 параллельных потоках, посвящённых DevOps, автоматизации тестирования и инструментам современной разработки ПО.

💰 Конференция MCOM Moscow 2019
12 февраля, Москва

Спикеры из крупных компаний расскажут об эффективной продаже электроники, повышении лояльности покупателей в мобильных приложениях, мобильном маркетинге при продаже еды и модных брендов одежды.
Все участники смогут попасть на мастер-класс по e-commerce от Heads and Hands.

🤖 3-й всероссийский конкурс «Тест Тьюринга»
14–16 февраля, онлайн

Конкурс проводится в формате теста, определяющего возможность робота вести адекватный диалог с человеком. Вся коммуникация будет вестись через Телеграм-бота.
Разработчики подключатся к его API и сделают чат-ботов со своими индивидуальностями, добровольцы будут работать с ними в паре и отыгрывать те же роли. В свою очередь эксперты постараются с помощью вопросов отгадать, кто их собеседник: робот или человек.

​​В Google Play обнаружились 29 приложений для работы с камерой, содержащих малварь. Они охотились на персональные данные, фотографии, показывали агрессивную рекламу с прицелом на фишинг и устанавливали на устройство платные порнографические приложения.

Многие из этих приложений чрезвычайно популярны:
— больше миллиона загрузок у Pro Camera Beauty, Cartoon Art Photo и Emoji Camera;
— больше 500 тысяч загрузок у Artistic effect Filter;
— больше 100 тысяч загрузок у ещё семи приложений.

У остальных число загрузок варьируется от тысячи до 50 тысяч. Сейчас их все из магазина приложений удалили.

Подробнее: https://tprg.ru/4t5C

У правительства возникли вопросы к законопроекту об автономном Рунете: о каких угрозах идёт речь, кто заплатит за модернизацию сетей и почему РКН получает функции, обычно передаваемые министерствам или правительству.

И что теперь будет с проектом?
Теперь авторы инициативы должны доработать текст. Если у них получится разрешить все вопросы и найти для реализации деньги без существенного ущерба бюджету, то правительство проект поддержит.

Подробнее: https://tproger.ru/news/isolated-runet-law-gov/

О самом проекте мы писали в декабре: https://t.me/tprogerlive/3959

​​Начался сбор заявок на масштабный конкурс Криптонит Startup Challenge с призовым фондом 10 000 000 ₽. Его организатор — инвестиционная компания «Криптонит».

Что нужно знать?
Приглашают стартапы в очень разных востребованных направлениях IT. В финале вас оценят главы российских корпораций — можно попробовать заручиться их поддержкой, заключить контракты или вместе запустить пилот.

Узнайте больше и оставьте заявку до 15 марта: https://tprg.ru/2POn

​​Mail.Ru Group представила свой новый браузер — Atom. Для него уже есть программа Bug Bounty и даже суперприз: миллион рублей за репорт об RCE-уязвимости. Правда, за него можно побороться только до 21 мая: https://tprg.ru/GgSA

Atom построен на движке Chromium. Он позиционируется как приватный и безопасный: даёт быстрый доступ к настройкам разрешений для каждого сайта, позволяет блокировать рекламу и открывать окно приватного просмотра одним кликом. Можно настроить браузер так, чтобы определённые сайты он открывал только в таких окнах.

Загрузка пока доступна только для пользователей Windows (но у нас установка браузера провалилась): https://tprg.ru/Zc9a

Подробнее: https://tprg.ru/wDa1

Свой предыдущий браузер, «Амиго», компания закрыла в прошлом июне. За семь лет «жизни» он стал основой множества мемов: https://t.me/tprogerlive/2795

Ближайшие мероприятия для айтишников

⛓ Конференция «Технологии блокчейна 2019»
12 февраля, Москва

Конференция разбита на 3 секции, на каждой расскажут о разных аспектах разработки, применения и поддержки корпоративных платформ распределённого реестра. Среди основных тем обсуждения: обзор популярных платформ, возможности и ограничения блокчейна, потенциальные сферы применения и трансформация традиционных процессов с внедрением распределённых технологий.
Кроме докладов можно будет посмотреть презентации проектов, послушать истории успеха и неудач.

🐍 Конференция PyCon Belarus 2019
15–16 февраля, Минск, Беларусь

Конференция разделена на 2 обособленных части: Junior Day и Advanced Day. Первый день — воркшопы для новичков, второй — серьезные доклады от экспертов о машинном обучении, визуализации и поддержке устаревшего кода с помощью тестов.

🎮 Конкурс GTP Indie Cup Winter‘19
22 января – 2 апреля, онлайн

Участие в конкурсе — отличная возможность показать свою игру экспертам индустрии, получить качественный фидбэк и прорекламировать проект игровой прессе, стримерам и издателям.
Лучшие получат призы от партнёров — студий Kefir и Epic Games — и организаторов.

​​Разработчики Chrome в Canary-сборке 74 версии браузера тестируют функцию защиты от фишинга. Если браузер обнаружит подозрительную опечатку в URL (например, tw1tter или go0gle), то под адресной строкой появится плашка с предложением перейти на оригинальный сайт.

Почему это важно?
Злоумышленники часто пользуются невнимательностью людей и заманивают их на мошеннические сайты-клоны. Браузер сможет это распознать и предупредить пользователя о возможном обмане.

Подробнее: https://tprg.ru/tgE8

Команда Telegram вчера запустила двухмесячный конкурс на создание шаблонов Instant View для сайтов, призовой фонд — 300 тысяч долларов. По словам Павла Дурова, участвовать в нём может каждый, у кого есть представление об HTML и CSS.

За каждый рабочий шаблон дают 100 долларов. Тот, кто таких сделает больше всего, получит 10 тысяч долларов, а второму по продуктивности достанется 5 тысяч.

По подсчётам разработчиков, в своих шаблонах нуждаются примерно 3 тысячи доменов. Их будут публиковать порциями, по 500 сайтов каждые 10 дней.

Подробнее о правилах и участии: https://tprg.ru/UeWf

Такой же конкурс команда Telegram устраивала в 2017 году. Тогда призовой фонд, 250 тысяч долларов, разделили между собой 206 разработчиков. Вместе они сделали IV-шаблоны для 2277 сайтов: https://t.me/tprogerlive/301

​10 апреля начнётся подготовка к сдаче международного экзамена «Сертифицированный этичный хакер» (СЕН), которую организует высшая школа IT и безопасности HackerU. Специалисты, владеющие этим сертификатом, очень ценятся на IT-рынке. Обучение будет проходить в Москве.

Что в этом экзамене крутого?
CEH подтверждает знания и умения поиска уязвимостей в системах, предотвращения кибератак, оценки безопасности систем. Во время обучения по программе преподаватели дадут полное понятие об этичном хакинге, а также методах взлома различных ОС и систем. В конце студенты получат диплом международного образца от HackerU и (при условии сдачи экзамена) сертификат CEH. Записаться на бесплатную консультацию можно на сайте Школы.

Подробнее: https://tprg.ru/ceh2

​​«Ростех» выпускает в продажу офисный телефон «Круиз-К». По словам корпорации, его невозможно прослушать или взломать. У телефона даже есть сертификат ФСБ о том, что он соответствует требованиям криптографической защиты.

В магазинах «Круиз-К» не появится, его смогут купить только юрлица, по 85 тысяч рублей за телефон.

Подробнее: https://tprg.ru/nAcP

О характеристиках: https://tprg.ru/RNLc