Кібербезпека | Хакер, що біжить

Signal vs Telegram

Signal (https://signal.org) в тренді після твіта Ілона Маска, і все більше людей звертають на нього увагу. Я не великий шанувальник Ілона, в тому сенсі, що мені дуже подобається те, що він робить, але не завжди подобається те, що він говорить. Та в цьому випадку я тішуся, що таке відбувається, бо чим більше людей користуються захищеними та приватними технологіями, тим краще для людства в цілому.

Use Signal
— Elon Musk (@elonmusk) January 7, 2021

Проте, на фоні цієї невеликої ейфорії, почастішали запитання від друзів, а чим, власне, Signal краще за… Telegram. Людині, яка займається кібербезпекою, таке питання звучить абсурдно. Тому не ображайся, якщо я реагую неочікувано – яке питання, така і відповідь. Але ж питають, тому мушу засунути его поглибше і відповідати.

Отже, на відміну від Telegram, Signal:

Забезпечує наскрізне шифрування (https://uk.wikipedia.org/wiki/Наскрізне_шифрування) з кінця в кінець – по замовчуванню. Вам не треба для цього створювати спеціальні “секретні” чати, вони там всі такі.
Забезпечує цілковиту пряму секретність (https://uk.wikipedia.org/wiki/Пряма_секретність)
Шифрує метадані, тобто дані про те звідки, кому, скільки та як часто ви пересилаєте.
Шифрує мережевий трафік на транспортному рівні.
Не зберігає ваші повідомлення та файли на своїх серверах.
Не колекціонує дані про ваші IP-адреси та мітки часу повідомлень.
Як наслідок, сервери Signal не можуть читати ваші повідомлення.
Додатково, ви можете перевірити справжність контакту, в тому числі вручну.
Вам повідомлять про зміни контактів (новий телефон, новий номер тощо).
А ще в Signal, на відміну від Telegram, немає планів на монетизацію.
Він не походить з Росії.
І він не належить Дурову.

Як бачите, міф про безпечність Телеграму грунтується здебільшого на заявах Павла Дурова. Це непоганий інструмент, але він скоріше нагадує соціальну мережу. Справді, мало є аналогів, де ви можете зібрати тисячі користувачів на канал чи в групу, та миттєво доставляти їм свої повідомлення. І в цьому сенсі, як інструмент соціалізації, Телеграм несе менше загроз приватності, ніж, скажімо, Facebook чи Instagram. Хоча і має при цьому низку вад, таких як слабка модерація та контроль за спамом. Щоправда, це компенсується його низькою популярністю. Але стверджувати, що Телеграм це захищений месенджер – це щонайменше перебільшення.

Вам навряд чи вдасться повністю відмовитись від використання Telegram. Але принаймні не користуватися ним для чогось більш-менш секретного може кожен. Серед інших рекомендованих інструментів можу назвати Wire (https://wire.com) та Keybase (https://keybase.io), щоправда, останній був куплений Zoom і останнім часом знаходиться в медичній комі. Більше даних для порівняння приватності месенджерів ви можете знайти за цим посиланням: https://www.securemessagingapps.com.

Nissan втратив вихідний код через дефолтні креди у Git

Я: — Кібербезпека це важко.

Ще я: — Безпека програмної розробки чи не найважча.

Буквально всі: — Безпека ланцюга постачання…

Nissan: — Залишає в Гіті логін та пароль admin/admin.

Cellebrite vs. Signal

Декілька друзів звернулись до мене днями, вказуючи на статтю на одному з тупорилих пацакських вебсайтів про те, що ніби то Селебрайт зламав Сігнал і ми всі помремо.

Помремо, безумовно, але не від цього.

Ізраїльська фірма Cellebrite заробляє на тому, що розблоковує для копів, федералів та решти нишпорок вилучені у підозрюваних смартфони. І те, що їхню нещодавню заяву про нову можливість розблокування Signal пацакські клікбейтери висвітлюють під кутом “хакери зламали суперзахищений месенджер Сігнал” не може бути ще далі від правди. Офіційну заяву Селебрайту треба читати так:

Якщо у вас досить грошей на наш продукт
Якщо ви забрали у когось смартфон
Якщо наш (чи інший) продукт може його розлочити
Якщо Сігнал буде не оновлено до останньої версії
Ми для вас спи34имо локальні дані з додатка

Якщо такий сценарій входить у вашу модель загроз, то ви напевно наркобарон, терорист номер N (де 1<N<10) або професор-ядерник з Ірану. В будь-якому разі, у вас є серйозніші причини хвилюватись, ніж Селебрайт, який тепер вміє розшифровувати локальне сховище Сігнала.

Якщо ж ви просто крипто-панк, який хоче безпеку через спортивну злість, то можу порадити такі правила:

Не читайте про кібербезпеку російською
Ввімкніть скрізь тимчасові повідомлення
Регулярно видаляйте застарілі чати
Нічого не бекапте
Не встановлюйте Сігнал на слабко захищені платформи (читати: не iOS)
Намагайтесь не про16ати телефон

Якщо ж ваш телефон колись раніше потрапив до ручок ПОО та розвідвідомств, ну тоді в мене для вас погані новини…

Читати офіційний блог компанії.

FireEye hack стає SolarWinds hack і це лише початок

Російські хакери зламали FireEye та виклали в публічний доступ їх інструменти (більшість яких виявились програмами з відкритим вихідним кодом).

Але це лише верхівка айсберга. Причиною зламу могла бути складна кібератака через ланцюг постачання розробника програмного забезпечення SolarWinds. Скоріш за все, так само зламали Держказначейство Сполучених Штатів та низку інших державних установ США та інших країн в Пн. Америці, Європі, Азії та на Бл. Сході.

В неділю SolarWinds опублікував пресреліз, в якому визнав компрометацію Orion, програмної платформи для централізованого моніторингу та управління, яка зазвичай використовується у великих мережах для відстеження всіх ІТ-ресурсів, таких як сервери, робочі станції, мобільні телефони та пристрої IoT. Компанія заявила, що версії оновлення Orion 2019.4 – 2020.2.1, випущені в період з березня 2020 року по червень 2020 року, були заражені шкідливим програмним забезпеченням.

В понеділок SolarWinds відзвітувала про інцидент в американську Комісію з цінних паперів (SEC). Зі звіту стало відомо, що з 300,000 клієнтів компанії лише 33,000 користувалися Оріоном, а з тих 33,000 лише 18,000 встановили заражені оновлення.

Я не розділяю оптимізм компанії, “лише вісімнадцять тисяч” компаній, які можуть дозволити собі продукцію SolarWinds – це цілком серйозна кількість досить важливих цілей. Події навколо інциденту розгортаються, і він, хоч може й не дотягує до NotPetya за руйнівними наслідками, та цілком може переважити його за масштабом впливу.

Тому користуючись нагодою, передаю вітання українській компанії Linkos Group. Думаю, наступні три роки маркетологи безпекових вендорів лякатимуть клієнтів не Медком, а Соларвіндз.

Всіх зламають, це лише питання часу

Одного з найбільших у світі постачальників послуг та продуктів з кібербезпеки, компанію FireEye, зламали хакери. Нападники були санкціоновані одною з великих держав (останнє речення читається так: “Росіяни”). Ціль атаки – інструментарій компанії (“кіберзброя”) та інформація про клієнтів з державного сектору (яких в компанії багацько).

Тому якщо хтось вам каже, що він “невразливий”, або забезпечує “абсолютний захист”, або що вам “не варто хвилюватися” і ваші дані “в повній безпеці” – можете бути впевнені, перед вами шарлатан. Люди, які так кажуть, просто не розуміють, про що говорять. Це ходячий ефект Даннінга-Крюґера або гірше – приклад відвертої та лицемірної брехні.

Але є в кібербезпеці й гірші речі. Це коли починають звинувачувати жертву. Типу вона могла захиститися, але не стала, тому сама винна. Це може стосуватися відомої людини, комерційної компанії, державної служби – не важливо. Головне оця тупорила совкова презумпція винуватості жертви з бюджетом. Типу мав усі шанси, але не скористався, лоханувся, сам винен.

Такі закиди можна пробачити наївним дилетантам або аматорам-початківцям. Мамкіному хакеру все одно, кого тролити в інтернеті – ”корупціонера”, “баригу” чи “мегакорпорацію зла”. Зі школотою все зрозуміло, її диванна експертиза нікого не цікавить і ні на що не впливає. Але коли жертву починають блеймити самопроголошені “експерди” з перевіреними акаунтами або з телевізора, таке треба запам’ятовувати. А ще краще записувати.

Зараз лузери та хейтери почнуть вам навішувати макарони за те, що FireEye зажрався, пропустив удар, і так йому і треба. Занотовуйте, хто так робить. Цей список вам знадобиться, потім подякуєте. А всіх, хто натякне чи навіть напряму закине, шо я необ’єктивний, бо в мене в FireEye купа друзів та приятелів, – можете сміливо посунути вгору списку. Це класний тест на вошивість для вашого “лідера думок” від кібербезпеки, не втратьте нагоду ним скористатися.