Литреев «ответил».
Вот это прям тот самый случай, когда журналисты часто «отрицание» называют «опровержением».

> Очень забавно наблюдать за высосанными из пальца публикациями конкурентов.

Никаких не конкурентов, конечно. У Саши Литреева нет коммерческого продукта, который конкурировал бы с нашим.
Мы с радостью отдали бы часть (или даже всю, если бы это было возможно) «бесплатной» нагрузки кому угодно, и искренне расстроились, что альтернативный продукт нежизнеспособный, именно поэтому и появился предыдущий пост.

> Мы храним данные пользователей в защищенной централизованной базе данных с несколькими репликациями. Для аккаунтов существуют региональные ограничения. Таким образом, это утверждение Владислава ложное.

Так почему тогда я не могу подключиться с данными к любому серверу?
Какие к чёрту «регионы», если все серверы находятся в двух локациях?
Причём, самое смешное, виртуалки nl1 (Нидерланды?) и bg1 (Болгария?) аренуются у одного и того же провайдера Литве.
Какой вообще смысл умышленно не пускать пользователей одного простого сервиса на соседние серверы?

> мы не используем единую точку входа для реализации механизма обхода блокировок, в случае блокировки по доменному имени. В детали того, как мы препятствуем блокировкам Роскомнадзора, мы, по понятным причинам, вдаваться не будем

Какая «единая точка входа», если Роскомнадзор давно имеет возможность блокировать сразу все поддомены в домене?
В любом случае, им ничего не стоит заблокировать отдельно nl1, bg1, lv1 и сколько угодно ещё поддоменов.
Зачем врать и объяснять элементарное отсутствие единого сервера с аккаунтами какими-то, якобы, суперсекретными механизмами обхода блокировок (которых нет)?

> Известно, что Владислав продвигает собственный VPN-сервис TGVPN, называя его защищенным и безопасным средством доступа в Интернет. Специалисты Vee Security обнаружили серьезный недочёт в безопасности VPN-сервиса, предоставляемого компанией Здольникова.
Публикуем подробную информацию о проблеме:
http://telegra.ph/TGVPN--oshibka-v-konfiguracii-PFS-04-06

Поразительно, Саша, но и в попытке набросить ты облажался.
Я не удивлён, что в твоей «суперсайберсекьюрити компании» нет ни одного айтишника, который обнаружил бы в профиле для iOS ключи, по которым мы, в связке с логином+паролем, авторизуем пользователей.
Мы не используем shared secret (его отсутствие вы тоже не заметили, лол), поэтому опция PFS осталась после бета-тестирования и ни на что не влияет.

Итого:

1. Вместо ответа на вопрос, почему же клиент с аккаунтом от одного сервера не может подключиться к другому серверу, мы получили сказки о крутой архитектуре и о секретных способах обхода блокировок (которых нет).
У Литреева есть Старший вице-президент по качеству, Главный операционный директор и пресс-секретарь, но нет сервера с аккаунтами.

2. Ответный наезд не удался, т.к. у Литреева, кажется, нет ни одного айтишника, который разглядел бы отсутствие shared secret и наличие ключей.

3. Ну и в целом про «специалиста по кибербезопасности».
Саша Литреев среди профильных спецов — это такой мем, потому что чувак верстал сайты, а потом резко стал специалистом по кибербезопасности.
Даже я, с 13-ти летним опытом в IT, не осмелюсь себя так назвать.

Я такого пафоса и позора одновременно со школьных времён не видел. Не ведитесь.

Глава Роскомнадзора Александр Жаров добавлен в санкционные списки США.
Это означает, что если у Жарова есть активы в США, их заморозят.

ZHAROV, Alexander Alexandrovich (a.k.a. ZHAROV, Aleksandr), Russia; DOB 11 Aug 1964; POB Chelyabinsk, Russia; Gender Male; Head of the Federal Service for Supervision of Communications, Information Technology, and Mass Media (individual)

https://www.treasury.gov/resource-center/sanctions/OFAC-Enforcement/Pages/20180406.aspx

После сегодняшней истории с Литреевым, решил немного написать о доверии к сервисам.
Когда вы пользуетесь каким-либо сервисом, ваши отношения регулируются двумя документами: Terms of Service и Privacy Policy.
Именно в них указано, что может и не может делать сервис с вашими данными и трафиком, который вы через него пропускаете.
Даже если вы не платите сервису, фактом начала его использования вы соглашаетесь со всем, что написано в ToS & PP.
Именно там у бесплатных VPN-сервисов написано, что они могут передавать третьим лицам любую информацию о вас, ваш трафик и результат его анализа, а у платных — что не могут.

На сайтах Vee Security Литреева нет ни одного упоминания какого-либо юрлица, самих ToS и PP.
На опубликованном недавно Литреевым фото, на бейдже написано «Vee Security OU» (эстонская фирма), но в реестре юрлиц Эстонии такой фирмы просто нет.

Будьте внимательны, доверяя свои данные, и тем более, свой трафик.
Читайте хотя бы первые строчки ToS, PP сервисов, которыми пользуетесь.
Обращайте внимание на то, указано ли название компании на сайте сервиса (без этого ни одна приличная платёжная система не будет работать с сервисом).
Иначе окажется, что вы доверяете физлицу в Питере.

​​​​Прямо сейчас все адреса в интернете сканирует бот, который использует свежую уязвимость в Cisco IOS, позволяющую удалённо выполнить команду на устройстве Cisco.
Бот заходит на устройство и удаляет конфигурацию, записывая вместо неё файл с посланием.
Масштабы трагедии огромные, отваливаются сегменты или даже целые провайдеры
Поэтому, если у вас только что выключился, либо в ближайшее время выключится интернет, с большой вероятностью, это произошло по этой причине.

Устройства Cisco, которые уязвимы к этой атаке:
Catalyst 4500 Supervisor Engines
Catalyst 3850 Series
Catalyst 3750 Series
Catalyst 3650 Series
Catalyst 3560 Series
Catalyst 2960 Series
Catalyst 2975 Series
IE 2000
IE 3000
IE 3010
IE 4000
IE 4010
IE 5000
SM-ES2 SKUs
SM-ES3 SKUs
NME-16ES-1G-P
SM-X-ES3 SKUs

Абсолютно позорная история с МаксимаТелекомом, который делает Wi-Fi в московском и питерском метро.
Оказалось, чтобы показывать таргетированную рекламу в Wi-Fi, они передают личные данные пользователя в браузер устройства, чтобы тот мог запросить таргетированную рекламу.

Во-первых, поражает сама архитектура системы, когда реклама выдаётся не в результате анализа этих данных со стороны оператора, а в результате запроса браузера на устройстве пользователя, которому эти данные передаются.

Во-вторых, МаксимаТелеком, после публикации информации об этом (на сообщения в почте они не реагировали), вместо того, чтобы срочно переделывать систему на внутреннюю аналитику, просто захешировали результаты.

Среди данных, которые передаются:
— номер телефона;
— возраст;
— пол;
— занятость;
— семейное положение;
— достаток;
— станция местонахождения в данный момент;
— станции, где дом и работа;
— стоимость устройства.

Учитывая то, что авторизация в Wi-Fi-сети происходит по MAC-адресу (любому устройству можно за пару секунд назначить чужой адрес), эту информацию можно получить о любом человеке, который едет с вами в одном или соседних вагонах.
Особенно пугает возможность слежки в режиме реального времени (в статье есть видео с такой слежкой) за любым пользователем сети МаксимыТелеком, пока он находится в метро.

МаксимаТелеком должна сейчас срочно отключить таргетинг и переделать его на внутреннюю аналитику.
Не пользуйтесь Wi-Fi в метро, пока они это не сделают.

http://www.the-village.ru/village/city/situation/308363-krupnaya-utechka-operator-wi-fi-v-metro-moskvy-vykladyvaet-dannye-o-polzovatelyah-v-obschiy-dostup

(Извините)

​​​​​​​​Поразительно, что в 2018 году пиарщикам крупных компаний до сих пор приходит в голову, в случае факапов их компании, тем более, связанных с безопасностью данных пользователей, не посыпать её пеплом, каяться и говорить, что они срочно всё исправляют, а писать лживые посты и продвигать их за деньги.

МаксимаТелеком написала пост, полный лжи, и купила продвижение в фейсбуке.

В частности, эти позорные пиарщики уверяют, что «уязвимость была устранена несколько недель назад», и они «сразу зашифровали передачу профильных данных».

Это не так: не зашифровали, а захешировали, и значения хешей уже приводятся во вчерашней статье.

Дальше, они пишут, что
> Подмена MAC-адреса — технически сложный процесс, недоступный рядовому пользователю без специальных навыков

Вот на этом моменте вообще вся команда пиарщиков этого позорного оператора должна написать заявления ПСЖ.
Эти люди прямо говорят нам: злоумышленники — это рядовые пользователи, которые не умеют подменять MAC-адрес, поэтому всё хорошо, ваши данные в безопасности.

> а массовая атака такого рода из метро нашими системами не зафиксирована.

Вот это вообще прекрасный (и единственный) «ответ» на тезис о том, что дыра была открыта целый год.
Очень сомнительно, что МаксимаТелеком за сутки проанализировала минимум полмиллиарда подключений (исходя из их среднего минимума в 1.5 миллиона подключений в день) на предмет работы парсеров.
К тому же, если собирать личные данные пользователей по несколько тысяч в день, то это вообще практически невозможно отследить.

Призываю не пользоваться услугами этих позорников до тех пор, пока они
1. Не перестанут нагло врать, да ещё и втюхивать нам это враньё за деньги.
2. Не объявят, что переделали механизм выдачи рекламы на свою сторону, без передачи данных на пользовательское устройство.

АААААААААААААААААААААААААААА (via @pchikov)

Очень смешно, как помоечные телеграм-каналы, все как один, стали отмазывать МаксимуТелеком, писать проплаченные посты, что мол те всё исправили, а плохие СМИ и ужасный программист, который обнаружил дыру — врёт и жути нагоняет.

Поразительно, как у этих профнепригодных «пиарщиков» в голове стыкуется то, что на дворе 2018 год, и методы работы, которые они используют. Неужели они правда верят, что это сейчас работает?

Ничего ослы из МаксимыТелеком, конечно, не закрыли.
Они захешировали только номер телефона и убрали трекинг в режиме реального времени.
А теперь — снова тупо поменяли значения (даже не захешировали).

Вот новая таблица значений:

s/d5d7b7a879/gender1/g
s/baaf7b9539/age1/g
s/cf91abb5d7/family__status/g
s/b2d2f695fc/occupation/g
s/493e1c1598/profit/g
s/94f26d2a29/mnc/g
s/5383ef39ce/home__station/g
s/6e1448435e/job__station/g
s/560b46468e/device__price/g
s/459e5d6e8a/age2/g
s/b66359a814/gender2/g

А значения параметров "home__station" и "job__station" до сих пор передаются в открытом виде.

1. Не верьте помоечным каналам, пишущим что угодно за деньги.
2. Не верьте лгущим пиарщикам МаксимыТелеком.
3. Не используйте Wi-Fi в метро, пока они не уберут выдачу личных данных на устройство пользователя.

​​​​​​Роскомнадзор по требованию Генпрокуратуры начал блокировку технического домена Google — googleusercontent.com.
На этом домене у Google находится служебный контент собственных ресурсов, а так же ресурсы (счётчики, компоненты) для сторонних сайтов.
В ближайшее время могут перестать частично или полностью открываться не только ресурсы Google, но и огромное количество сайтов в интернете, использующих ресурсы Google в качестве элементов сайта.

Домен заблокирован с номером требования ГП 27-31-2015/Ид4082-15 — это знаменитое «резиновое» постановление Генпрокуратуры, по которому Роскомнадзор без зазрения совести блокирует любые ресурсы, которые им вздумается.
В данный момент по этому решению заблокировано 10417 сайтов и IP-адресов.
Ну то есть РКН, как и всегда, без какого-либо смысла уничтожает рунет.

Юристы Telegram попросили перенести досудебное рассмотрение иска о блокировке мессенджера на более поздний срок.

«Поскольку Telegram-таки определен участником процесса, его представители просят суд перенести беседу на более позднее время, дабы они могли ознакомиться с материалами и подготовиться. Соответствующее ходатайство в Таганский суд направлено», — написал Чиков.

Telegram потребовал может быть заблокирован уже завтра.

Установите бесплатный прокси от TgVPN для обхода блокировки.

Павел Дуров запретил своим адвокатам участвовать в завтрашнем судебном процессе по иску Роскомнадзора к Telegram дабы не легитимировать откровенный фарс своим присутствием.

Сразу после принятия решения «судом» о блокировке Telegram, тут появится ссылка на сайт с бесплатным публичным прокси для всех.
Получение прокси будет отвязано от бота в Telegram.

Упёрлись в очередной лимит API Telegram; @TgVPNbot может отвечать с задержкой. Решаем проблему с самим Telegram.

Сегодня тут будет текстовая трансляция с заседания «суда» по блокировке Telegram. Оно начнётся с минуты на минуту.
Подключайтесь

Заседание начинается

Явились представители ФСБ и Роскомнадзора.

Поступило ходатайство заинтересованного лица (Telegram) об отложении рассмотрения дела.
Роскомнадзор и ФСБ против, т.к. суд направлял в Телеграм документы, у которого у них было время на изучение этих документов