Я хотел сегодня написать про очередное решение Роскомнадзора по блокировке VPN сервисов, но тут мне позвонили из Росбалта и в итоге я им наговорил на небольшую заметку [1].

Если вкратце, то чем больше Роскомнадзор будет блокировать платные коммерческие сервисы, тем большее число людей будут разворачивать себе личные VPN сервера и использовать что-то вроде Outline [2].

Я повторю одну и ту же мысль, в ситуации большого числа технически грамотных граждан все блокировки и ограничения бессмысленны без контроля конечных устройств пользователей. А такой контроль даже в Китае не обеспечивают.

При этом, я не хочу подсказывать Роскомнадзору как можно эффективно ограничивать VPN сервисы, а наоборот надо им спасибо сказать за то что они не могут эту работу сделать хорошо.

Ссылки:
[1] www.rosbalt.ru
[2] getoutline.org

#privacy #vpn #security
_______
Источник | #begtin

SecurityLab пишут [1] о том как несколько дней назад Христо Грозев, основатель Belligcat, выступал с предсказанием что года через 2 в России введут аккредитацию хостинг провайдеров и, соответственно, снижение скорости подключения к тем кто не аккредитуется.

Я не буду говорить о том что это поубивает весь ИТ/интернет бизнес в России который работал и работает на международную аудиторию, отъезд команд разработчиков резко ускорится, впрочем он и так набирает обороты. Я хочу сказать что это предсказание вполне реалистично и я добавлю свои пункты. При этом оговорюсь что не надо полагать что что-то из того о чём я пишу и так не знают. Уже давно регуляторам никто ничего не подсказывает, там всё знают.

1. Расширение полномочий Росфинмониторинга и ведение "списка блокировок финансовых транзакций" через Росфинмониторинг и ЦБ РФ. Фактически, неаккредитованным хостинг провайдерами и не только будут отрубать возможность получения платежей из России.
2. Запрет любой криптовалюты вне мониторинга ЦБ РФ и Росфинмониторинга. Цифровой рубль, если он таки будет, будет совершенно точно создаваться по критерию наблюдаемости и неанонимности транзакций. И это будет не только про входящие деньги на политическую активность, но и исходящие на платежи зарубежным сервисам.
3. Криминализация использования любой не аккредитованной ЦБ криптовалюты. Именно по причине неотслеживаемости и анонимности транзакций. Под это будут "публичные казни", мощные медиавбросы про ловлю криминальных банд легализующих через криптовалюту большие объёмы криминальных денег.
4. Ужесточение регулирования CDN провайдеров используемых для анонимизации хостинга контента. Модель будет всё та же - "Или сообщаете информацию о клиентах, или получаете блок на трафик и на финансовые транзакции". CDN сервисы разделяться на те которые на это согласятся и те которые нет
5. Создание специального реестра компаний ведущих интернет торговлю и получающих платежи из России. Скорее всего постепенно, начиная с каких-то критичных товаров и далее расширяя. Наиболее вероятный сценарий через принятие регулирования аналогичного GDPR с его экстерриториальностью, но с большим акцентом именно на экстерриториальность. То есть российские компании могут временно не регулировать, а вот зарубежные собирающие данные россиян вполне могут.


Ссылки:
[1] www.securitylab.ru

#privacy #security
_______
Источник | #begtin

Объясните мне, знающие люди, зачем часть сайтов и, может быть, инфраструктуры Мэрии Москвы находится за пределами РФ? Например, хостится на серверах Hetzner, Германия. Это такой хостер-дискаунтер, хороший в своём классе, но далёкий от России.

Вот примеры:
- inno.mos.ru - IP: 78.46.71.197 (открывается пустая страница)
- cgrt.mos.ru - IP: 176.9.230.170 (не открывается)
- gk.tech.mos.ru - IP: 138.201.197.43 (заглушка на немецком языке)
- aupd-test.mos.ru - IP: 95.216.13.234 (тестовая страница Московской электронной школы)
- new.dit.mos.ru - IP: 176.9.230.170 (не открывается)

Я, конечно, всё понимаю, немецкое качество и всё такое, но как так можно случайно сделать?

Это не единственный зарубежный хостер на который указывают домены в зане mos.ru и этот список не финальный. Читающим меня сотрудникам ДИТ Москвы я бы посоветовал проверить тщательно, потому что нельзя так делать.

#privacy #security #internet #moscow
_______
Источник | #begtin

Почему в прошлой публикации я написал что МИД мог бы свалить всю вину на разработчиков приложения?

Во-первых потому что в большинстве госприложений запрашивается меньше небезопасных разрешений. Так приложение МИДа запрашивает их 8 штук, аналогичные запросы делают только несколько приложений Московского Пр-ва, мы делали исследование год назад где писали об этом [1], но там это было, как бы, хотя бы частично обосновано.

А во вторых, и в главных, важно знать как устроено приложение МИДа. Это не специализированное мобильное приложение вроде Госуслуг, Госключа или Активного гражданина или ещё много чего. Это контентное приложение построенное на материалах сайта МИДа РФ. А если конкретнее - это оболочка над браузером который обращается к сайту m.mid.ru скорее всего сделанное на движке 1С Битрикс мобильное приложение [2].

Так вот совершенно непонятно зачем мобильному приложению которое, по сути, просто надстройка над сайтом и без дополнительных функций нужны разрешения на доступ к камере или записи аудио. В приложении просто не предусмотрены задачи для которых эти разрешения применимы.

После углублённого анализа выяснилось следующее.

Это сложное xapk приложение с набором вложенных apk файлов под разные языки и базовым приложением ru.mid.app.apk внутри этого xapk. В AndroidManifest.xml общего приложения затребуются максимум разрешений, а внутри ru.mid.app.apk их нет вообще. Поэтому при проверке по приложению указано то что при установке не затребуются. В итоге всё сводится к тому что:
1) Разработчики ошиблись в структуре манифеста затребующего разрешения, но именно разрешения из этого манифеста указываются в Google Apps и они используются всеми сервисами и инструментами анализа Android приложений.
2) МИД РФ не в курсе что по факту разрешения приложению не нужны, и начал оправдывать их запрос. Реакция МИДа была не вполне нормальной.
3) По факту приложение не может собирать аудио, подключаться к камере и тд. поскольку это приложение надстройка над мобильным сайтом МИДа, см. выше

В который раз, не масонская ложа, а великая лажа (с). Ну, ошибки разработчиков - это лучше чем заговор, но выглядит всё это вопиюще глупо.

Ссылки:
[1] privacygosmobapps.infoculture.ru
[2] www.1c-bitrix.ru

#privacy #security #android
_______
Источник | #begtin

Крайне любопытное новое устройство - втыкающийся в USB-разъем магнитный размыкатель, который вызывает заранее придуманное действие на компьютере. Типовое применение: стереть все данные с компьютера бухгалтера, если в помещение ворвались злоумышленники. Ну или просто блокировка экрана, если вы не настолько параноик.

Решение действительно неплохое, посмотрите видео - одно короткое действие, причем можно даже не касаться клавиатуры - и все готово. У меня есть точно такое же решение на базе Yubikey, но оно сильно сложнее и дороже. Но я и данные на диске всегда зашифрованными держу 🙂 www.buskill.in
_______
Источник | #addmeto

Если вам кажется что только в Вашей стране, где бы Вы ни были, всё делают через одно место и это не голова, то это не так. Например, Chaos Computer Club (CCC), старейшая хакерская команда в Германии, пишут о том что германская компания Gematik отвечающая за информатизацию здравоохранения плохо понимают в информационной безопасности того что они делают [1].

Текст на немецком языке, но легко переводится и смысл его в том что по номеру медицинской страховки сотрудник аптеки может получить о человеке всю информацию о его рецептах, без дополнительной авторизации и подтверждения самого человека. Учитывая что в Германии идёт цифровизация здравоохранения с переходом на электронные рецепты - то это становится актуально.

Я бы ещё обратил внимание на модель угроз которую они описывают. Сотрудник аптеки может продать таблоидам номера страховок знаменитостей и те могут узнать из рецептов от чего знаменитости лечатся.

Это не единственный "косяк" от Gematik, но достаточно яркий.

А если вернуться к российским реалиям, то для авторизации на российском портале ЕМИАС [2] достаточно номера карточки медицинского страхования и даты рождения. После этого доступны данные о записях к врачам, рецептам и направлениям (хорошо хоть не самой медкарты).

Это означает что любой врач в системе ОМС имеющий доступ к Вашему анамнезу может увидеть всю эту информацию на сайте ЕМИАС и Вы никогда об этом не узнаете. Но, всё интереснее. В медицинских полисах последние 6 цифр - это и есть дата рождения. Если у кого-то есть номер вашего мед полиса и даже если этот кто-то не знает даты Вашего рождения он/она может получить доступ к этому же личному кабинету.

Страны разные, проблемы похожие.

Ссылки:
[1] www.ccc.de
[2] emias.info

#security #privacy #germany #russia
__
Источник | #begtin
#хроникицифровизации

​mautrix-telegram – гибридный мост Matrix-Telegram для организации общения между пользователями разных протоколов шифрования (Matrix и MTProto)

Мосты создаются по инициативе Matrix. После поднятия и настройки вы можете взаимодействовать с группами и пользователями, как если бы они были Matrix комнатами и Matrix пользователями

⤷ Ссылка на проект

GitHub | #Interesting #Privacy #Security #Telegram
_______
Source: GitHub Community

Я вот уже несколько дней отказываюсь комментировать журналистам всё что связано с мобилизацией, войной, информатизацией военкоматов. Сейчас предостаточно политологов которые комментируют происходящее чуть ли не ежеминутно.

Я лично нахожусь в России, и надеюсь находится так долго как только смогу, как бы власти не усложняли жизнь мне и многим другим.

Но есть то я могу точно сказать и о чём говорить важно. Вся эта история с "отечественными сертификатами" у Сбербанка и корневыми сертификатами НУЦ Минцифры очень плохая.

Смысл сертификата в том чтобы обеспечивать защищённый канал связи между пользователем и сервером. Корневой сертификат необходим для того чтобы браузеры и другое ПО не выдавало ошибки при попытках связи с серверами использующими сертификаты выпущенные удостоверяющими центрами (УЦ).

УЦ, в свою очередь проходят определенную сертификацию для того чтобы обеспечить это доверие. Число таких корневых сертификатов в ОС Windows, MacOS, IOS, Android ограничено и то что там за все эти годы не появилось российского корневого УЦ должно только настораживать.

Добавив корневой сертификат в доверенные, сделает доверенными не только сертификат Сбербанка, но и может быть выпущен сертификат с помощью которого можно перехватывать трафик к HTTPS сайтам, например, органами правоохраны. Власти Казахстана пытались навязать госсертификат в декабре 2020 года (легко гуглится), но всё это провалилось в итоге. А здесь даже принуждения нет, вернее оно через принуждение сервисом: хочешь Сбербанк - ставь сертификат.

Поэтому, если всё таки, жизнь так распорядилась что доступ к сайту Сбербанка необходим или на другие сайты его распространят я рекомендую:
- либо устанавливать сертификат на отдельное, редко используемое устройство;
- либо устанавливать его на виртуальную операционную систему; используемую редко и не устанавливать его на основное устройство(-а)
- либо перестать использовать Сбербанк и любой иной сервис который такие сертификаты будет навязывать

#security #privacy
_______
Источник | #begtin

Подробности по делу за использование VPN, на самом деле там оказался не VPN, а мессенжер Vipole

что ничуть не лучше, поскольку формулировки дела таковы:
...осуществил поиск вредоносной компьютерной программы «Vipole», выражающейся в невозможности однозначной идентификации пользователя сети «Интернет» и его сетевой активности...
и
...осознавая, что использование данной программы приведет к нейтрализации средств защиты компьютерной информации провайдеров, регулярно осуществлял запуск вредоносной компьютерной программы «Vipole» со своего персонального компьютера, тем самым используя ее...

Под эти формулировки попадают, и VPN, и мессенжеры вроде Signal и ещё много что.

#privacy #security #vpn #messengers
_______
Источник | #begtin

fort - файервол для Windows 7 и новее, построенный на принципах простоты и надежности.

Возможности:
- фильтр по сетевым адресам, группам приложений и т. д.
- фильтр по SvcHost.exeназванию сервиса
- поддержка масок в именах путей приложений
-группы применения ограничения скорости
- списки блокировки через «Зоны»
-сохранение статистики трафика
- графическое отображение полосы пропускания

Имеет собственный драйвер ядра на основе Windows Filtering Platform (WFP)

github.com

Документация: github.com/wiki/User-Guide

опубликовано в

#win #security #firewall
___
Источник | #gitgate
#полезности
@F_S_C_P

Узнай судьбу картами Таро:
✨Anna Taro bot