IT и СОРМ
38.9K subscribers
323 photos
31 videos
15 files
994 links
Download Telegram
Теперь вам могут отключить телефонную связь или интернет по запросу оперативных подразделений МВД, ФСБ, ФСО, Федеральной таможенной службы, Службы внешней разведки и ФСИН.
Закон был принят в рамках борьбы с «телефонным терроризмом».

Чтобы вы понимали: современные технологии позволяют находиться в любой точке мира, при этом звонить из любой другой точки мира, и при определённой сноровке, оставаться полностью анонимным.
Но почему бы не использовать этот повод для принятия очередного репрессивного закона для ограничения прав и свобод граждан РФ, правда? Ведь телефонные террористы звонят только со своего мобильника в России!

И если сначала эту мысль хотелось гнать прочь, и было не очень понятно, к чему они ведут, то после этого закона остаётся всё меньше сомнений, что они эту историю с «телефонным терроризмом» и устроили.

P.S. Если вы — активист, или как-то ещё связаны с политическими историями, запасайтесь симками на других людей (а так же следите за балансом, и раз в пару месяцев отправляйте с них SMS, чтобы они не умирали).

https://openrussia.org/notes/716488/
ВАЖНО! СРОЧНО!
Все, у кого MacOS High Sierra — на ваш компьютер можно залогиниться без пароля под пользователем root и получить все данные.
Это не дыра, это ДЫРИЩА.
Чтобы исправить, нужно выключить пользователя Guest и установить пароль на root. Сделать это просто:

1. Настройки -> Пользователи и группы -> Гость -> Выкл.
2. Finder -> Вверху «Переход» -> Утилиты -> Терминал -> вводите «sudo passwd root» (без кавычек) -> old password — пропускаете, и дважды вводите новый пароль (его нужно придумать, он должен быть сложный).

Срочно сделайте это все, кто пользуется маками.
This media is not supported in your browser
VIEW IN TELEGRAM
Демонстрация уязвимости (то есть дырищи).
Встроенная в браузер Opera функция VPN (на самом деле — прокси, а не VPN) перестала работать для пользователей из России.
Если включить VPN, отображается ошибка о том, что необходимо обновить браузер, при этом браузер — последней версии.

Известно, что перед тем, как вступил в силу закон с требованием блокировать запрещённые сайты для VPN-сервисов, Opera взаимодействовала с Роскомнадзором, который назвал это «тестированием», но что это было за взаимодействие — неизвестно.

Именно об этом я рассказывал в интервью Медузе.
Компании, у которых VPN — не основной продукт, не будут рисковать аудиторией ради доступности этой услуги в своих сервисах.
Бизнес-модель бесплатных VPN-сервисов и прочих плагинов в браузер не предусматривает дополнительных вложений для того, чтобы оставаться доступными в условиях блокировок, да и ценность небольшого количества пользователей из конкретной страны для них — сомнительная.
Поэтому почти все бесплатные сервисы со временем либо начнут выполнять закон, либо прекратят работу, либо будут заблокированы.

UPD: проблема наблюдается только на локации, которая выбирается для российских пользователей по-умолчанию (Нидерланды).
Если выбрать другую локацию (например, США) — всё работает.
Это сделано, видимо, чтобы не работало без дополнительных действий.
Но если это сделано по договорённости с Роскомнадзором, то последние теперь потребуют выключить и доступ через другие локации.
Forwarded from Павел Чиков 🕊
​​Верховный суд России принял иск Telegram к ФСБ России
Forwarded from PLUSHEV/ПЛЮЩЕВ
Кстати, об эффекте Стрейзанд. Создатель сервиса "Красная кнопка" Александр Литреев залил удаленное с YouTube видео Навального на PornHub. Под названием AUTHORITARIAN GUY FUCKED HARD BY DEMOCRATIC GANG. В нашей стране PornHub не пускает без авторизации через ВКонтакте, поэтому имеет смысл использовать VPN.
С новым годом, мои дорогие подписчики!
Спасибо, что были всё это время со мной. Был очень интересный год (одни только летние приключения чего стоят).

Отдельное спасибо Мише Чичкову, Александру Плющеву, Леониду Волкову, Команде Агоры и Павлу Чикову, Роскомсвободе и всем, кто помогал и был со мной в сложные моменты.

Канал я немного подзабросил, потому много работы, но обещаю, что в следующем году буду вести его активнее :)
(подписывайтесь на мой твиттер).
Новый год начался эпично.
В Иране, как известно, революция, и власть решила заблокировать Telegram — самый популярный (и немногий из работающих) ресурс. Получается это у них так себе, телеграм там всё еще частично доступен, поэтому иранцы стали распространять способы бесплатного обхода блокировок в многомиллионных каналах: в основном, постили списки прокси-серверов, которые удобно можно добавить в настройки телеграм одним нажатием на ссылку.
Мы понимали, что рано или поздно, они найдут бесплатный прокси для телеграма в нашем VPN (он доступен по команде /proxy), и примерно к 22 часам MSK заметили массовую регистрацию иранских пользователей и рост нагрузки на прокси-серверы. Она была относительно небольшой, поэтому мы потюнили серверы и ушли праздновать.
Но самое интересное началось утром, когда в какой-то многомиллионный канал запостили ссылку с нашим прокси, и примерно 100 000 иранцев в течение 10 минут решили им воспользовался, что очень эпично выглядит на графике соединений.
Наши ресурсы, конечно, не были к такому готовы (всё таки это бесплатный сервис), и прокси-серверы (не VPN-ноды) умерли примерно на 50 тысячах пользователей.
Мы тоже не особо были готовы к внезапной утренней работе, но всё таки увеличили ресурсы и ещё потюнили серверы, и теперь всё работает.
Очень смешно и одновременно грустно облажался штаб Собчак, сделав рассылку по подписчикам в Ярославле, просто поставив их в копию.
Это настолько банальное и наглое раздолбайство, что страшно даже подумать, как они относятся к остальным персональным данным тех, кто зарегистрировался на сайте.
А так же это значит, что:
1) у штаба Собчак нет элементарного централизованного инструмента рассылок для регионов;
2) доступ к данным зарегистрировавшихся имеют сотрудники даже региональных штабов (а эти данные не должен видеть примерно никто).
3) у Собчак 221 зарегистрированных на сайте жителей Ярославля.

Последнее отдельно смешно и подтверждает примерный процент накруток подписей на сайте.
Для сравнения, на данный момент у Навального в Ярославле 7027 регистраций, что в 31 раз больше, чем у Собчак.
Понятно, что экстраполировать это соотношение на всю Россию не совсем правильно, но учитывая накрутки, можно смело говорить, что примерно 80% подписей на сайте — рисованные.

Главная ценность любой общественной истории, будь то некоммерческий фонд, работающий на пожертвования простых граждан, или предвыборный штаб народного кандидата — это доверие этих самых граждан.
И то, как общественная история относится к персональным данным своих сторонников — один из главных показателей важности доверия сторонников для этой организации.
Удобно быть кандидатом, которому не нужно нести настоящие 300 000 подписей в ЦИК, а можно изобразить их сбор и отнести список граждан из баз, ведь решение о допуске принимает совсем не ЦИК.
Forwarded from Evil Martians
Добро пожаловать в ад!

# Что

https://meltdownattack.com/

Meltdown / Spectre, худшие уязвимости ИТ за последние годы. Heartbleed и Krack по сравнению с ними — детский сад.

Из-за Meltdown обычный процесс может шариться во всей оперативной памяти — например, чтобы вытащить пароли или любые другие интересные данные. Подвержены все десктопные процессоры за последние десять лет, включая, судя по всему, и AMD.

Фиксить придется в операционных системах, в браузерах, словом — везде. Эксплойты есть даже на JavaScript (!).

Spectre же можно эксплуатировать вообще примерно везде, простого фикса нет и не предвидится.

Переводить детали уязвимостей не буду: кому интересно, прочитает и разберется по-английски, а кому нет — так и не надо.

# Подробнее и история

Сайт про уязвимости, с моднейшими логотипами и названиями как из фильмов про хакеров, все как полагается:
https://meltdownattack.com/

Подробнейшее описание от обнаруживших проблемы, Google Project Zero (ссылайтесь в будущем на него, а не на рандомные статьи «о господи, все пропало»)
https://security.googleblog.com/2018/01/todays-cpu-vulnerability-what-you-need.html

И JavaScript тоже:
https://twitter.com/mraleph/status/948683329359970304
https://twitter.com/migueldeicaza/status/948715833605459969

AMD поспешили заявить, что проблема в Intel (на этом фоне акции Intel упали и началась истерика). Оказывается, черта с два:
https://twitter.com/internetofshit/status/948684798570188806

Подробное и простое описание уязвимости от @FioraAeterna, инженера компиляторов и «твиттер-знаменитости»:
https://twitter.com/FioraAeterna/status/948684092333158400

Что делают команды ОС, чтобы хоть что-то заштопать:
https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=5aa90a84589282b87666f92b6c3c917c8080a9bf
https://twitter.com/aionescu/status/948818841747955713

Более-менее объяснение ситуации по-русски:
http://www.opennet.ru/opennews/art.shtml?num=47849

# И что теперь

Активно можно сделать мало что — просто накатывать обновления по мере выхода.

На уязвимость какую-то время было эмбарго, в результате которого в самых последних версиях macOS и Windows уязвимость уже немного заштопана. Amazon AWS и Azure тоже обновились.

К сожалению, от фикса все начинает работать медленнее. Я несколько не доверяю оценке в «фикс делает все на 30% медленнее», которую растиражиловали СМИ (хайп, истерика, о чем бы еще написать), кто-то даже придумал 50%, но вот есть тред от пользователей AWS, где видно, насколько все медленее:
https://twitter.com/internetofshit/status/948682685601509377
https://twitter.com/timgostony/status/948682862844248065

И, конечно, браузеры тоже подвержены проблеме: существует эксплоит аж из JavaScript.

# Что делать

Обязательно включить везде автообновления, в первую очередь на ОС и браузерах.

Придется обновиться на самые последние версии ОС. На старых версиях macOS отсидеться не получится, теперь действительно нужно обновляться на High Sierra.

Браузеры нужно обновить как только так сразу, однозначно есть уязвимость и в Google Chrome (хваленая изоляция не помогла), и в Firefox.

Часть облачных провайдеров уже обновилась, часть еще нет. В любом случае нужно ждать новых ядер для вашего дистрибутива и мгновенно обновляться. В январе ваши администраторы устроят вам перезагрузки серверов — если они не в спячке.

Все очень плохо, и масштаб проблемы (так же как и оценки того, мог ли ее кто-то эксплуатировать раньше) еще предстоит выяснить.
Про свежий наброс на телеграм.
Власти РФ привычно используют самый доступный (и не требующий ума) метод работы, который у них есть: дать бабла кому-то жадному до денег и более-менее медийному, чтобы решить свои проблемы, которые иначе они решить не могут.
Когда видите подобные набросы, всегда применяйте простое правило: «пруфы или нахуй». Если человек говорит про какие-то «инсайды, которые не может рассказать» или, тем более, «ощущения», — смело шлите его на хуй, он врёт.
А дизайнера просто используют, прав Чиков, конечно.
Не ведитесь.
Фейсбук, как известно, почти никогда не выдаёт российским властям информацию, которая поможет связать аккаунт с реальным человеком (IP-адреса, с которых заходили на страницу и совершали какие-либо действия). Но чемпионы мира по кройке и шитью из ФСБ придумали новый гениальный способ связать человека со страницей в фейсбуке, чтобы подтвердить это в суде: они просто изъяли компьютер, на котором не был зашифрован жёсткий диск, читали с него почту, а потом задним числом в оформили это как снятие информации с оборудования СОРМ.
Потому что даже у тех операторов, у которых есть настоящий СОРМ, он абсолютно бесполезен, потому что большая часть трафика в интернете зашифрована.
Почитайте эту адскую историю.
Мораль, конечно, очень простая: обязательно шифруйте жёсткие диски (особенно — системные разделы), если вы находитесь в группе риска. Да и если не находитесь — тоже шифруйте. Это несложно.
Для Windows — отлично подойдёт VeraCrypt или BitLocker (он встроен в Windows, погуглите).
Для MacOS достаточно включить FileVault в настройках.
Странная история случилась с моим любимым Альфа-банком.
Заметил на днях, что Альфа перестала слать оповещения об операциях через SMS, а вместо них стали приходить PUSH-уведомлениями.
Думаю: ну наконец-то, это гораздо удобнее, ну какие SMS в 2018 году?
Логично предположить, что услугу «Альфа-Чек», которая стоит 79 рублей в месяц, теперь можно отключить, что я и решил сделать.
Но меня терзало небольшое сомнение, и на всякий случай, решил уточнить в техподдержке, продолжат ли работать PUSH-уведомления, если её я отключу.
Ответ техподдержки меня поразил: оказывается, PUSH-уведомления у Альфы платные.
Эпичная переписка с поддержкой Альфы.
Сначала я даже подумал, что поддержка ошибается, ведь не может же быть такого, и полез читать описание услуги «Альфа-Чек» в поисках слова «PUSH».
Этого слова я там не нашёл, поэтому уточнил у поддержки всё несколько раз: да, ответили мне, вы всё поняли правильно (см. переписку).

Это, конечно, невероятная наглость.
Чуваки просто перестали слать SMS, сократив свои расходы на отправку уведомлений примерно до нуля, а брать за SMS деньги — не перестали.

Другим банкам, которые отправляет PUSH-уведомления клиентам (Рокетбанк, Раффайзен), даже не приходит в голову брать за это деньги.

Я пользуюсь Альфа-банком 10 лет, он мне нравится и я не собираюсь переставать им пользоваться. Мне не то, чтобы жалко 79 рублей в месяц (на самом деле, жалко, конечно), но считаю, что мы должны помочь ему стать чуть менее жадным и более современным.
Хреновый сегодня день у Альфа-банка.
После того, как я написал пост выше, в твиттер пришла Альфа и давай рассказывать, что на всех новых пакетах услуг (кроме самого дешёвого), включая мой («Оптиум»), SMS-уведомления вообще бесплатные.
Решил уточнить это в поддержке, и, внезапно, получил противоположный ответ.
Тогда я думал, что только кто-то один из них мне врёт :)
Пришёл со скриншотом ответа в твиттер альфы, на что те ответили, что оператор ошибся и уведомления об операциях у меня бесплатные.
Я, кстати, не удивлюсь, если это не раздолбайство поддержки. а они правили наживую свою запредельную наглость, а оператор поддержки просто не знал новую информацию.
Я уже говорил, что они врали мне оба?
Так вот. Оказывается, несмотря на то, что пакет услуг навешивается на все продукты клиента, бесплатные SMS не распространяются на кредитную карту, о чём и твиттер Альфы, и поддержка, до прямого вопроса, не говорили. То есть, фактически, врут, когда говорят, что уведомления бесплатные на пакете «оптиум» и что прозрачные, и ничего утаивать не будут.
Вот до этого момента, пока я не выложил переписку с поддержкой.

А теперь они ещё и незаконно заблокировали счёт «пятого времени года», юрлица кампании по выдвижению Навального (теперь уже забастовке избирателей), несмотря на то, что есть ещё 30 дней для апелляции и решение ещё не вступило в законную силу
Позорище какое-то.

Если пользуетесь Альфой, обязательно потребуйте в чате или по телефону перевести вашу дебетовую карту на новый пакет услуг с бесплатными SMS.

С вас, кстати, 79 рублей в месяц за пуш-уведомления с моего канала :)
Forwarded from Leonid Volkov
Пришли в Альфу разбираться. Пока что их позиция такая: мы не виноваты, нам пришло постановление от Минюста, мы автоматически заблокировали счет.
Forwarded from Leonid Volkov
Правда вот Минюст не вправе выносить подобных постановлений. Решения суда опять же нет. В интернет-банке действительно в качестве основания блокировки счета ПВГ значится «исполнительное производство — взыскание ГУ Минюста РФ».
Смешно если это и в самом деле так, более яркого примера failed state и не придумаешь: Минюст, присылающий исполнительный лист (!) за месяц до вступления решения суда в законную силу (!!!).
Forwarded from Leonid Volkov
Давайте я еще быстро поясню.
С моими счетами (на которые собираются донейты) — всё (пока?) ок.
Заблокирован счёт ПВГ в Альфе, на основании некоего письма из Минюста, мы этого письма еще не видели, пытаемся получить.
Законным это письмо быть не может, как и блокировка счета: по договору, они вправе блокировать его только после ликвидации юрлица, до ликвидации нам как до Луны — получение решения суда, обжалование, апелляция, исключение из ЕГРЮЛ, это минимум на полтора месяца.
Поэтому-то Минюст и пишет писульки сегодня, конечно же.
Ссылки Альфы на «автоматический» характер блокировки не выглядят убедительными; они не могут не понимать, что бумага Минюста незаконная. Ну, посмотрим, как будут события развиваться.
На счету застряло, как видно из опубликованного нами скриншота, около 1.5 млн рублей (Альфа очень криво осуществляет блокировку, виртуально минусуя триллион — вот дельта между минус триллионом и «остатком по картотеке» — это собственные средства). Мы стараемся много на счетах ПВГ не держать, но у нас на этой неделе довольно много аренды.
Сижу в офисе Альфы, сейчам попробуем получить бумагу Министерства «юстиции»
Forwarded from Leonid Volkov
В банке менеджер говорит:
1. Вы знаете, самой бумаги еще даже в базе нет, только завтра, вероятно, получим. (О — Оперативность!)
2. Счет-то не заблокирован! Интернет-банк же у вас работает. Просто триллион захолдирован. Если вы остаток перекроете — можете дальше счетом пользоваться.
(Так и сказал!).

То есть им Минюст свистнул, что пришлет требование о блокировки, еще его даже не прислал (!), они счет заблокировали, и у кого нет триллиона — идут в жопу.
Кросавчеги Альфабанк!
Утром писал пост из-за мелочи, и как хорошо к ним отношусь, а к вечеру они устроили настоящий беспредел. С ним нельзя мириться. Завтра иду закрывать счёт и призываю всех несогласных сделать тоже самое