В продолжение предыдущего поста: после выхода утечки NSO директор Whatsapp сразу напомнил, что два года назад его компания воевала с NSO по поводу Pegasus. Действительно, в 2019 году Whatsapp обнаружил, что NSO Group заражала смартфоны клиентов своей малварью через уязвимость в функции видеозвонков, исправил уязвимость, опубликовал информацию в крупных СМИ и даже подал на NSO Group в американский суд. Тогда NSO заявил, что никого не атакует и за атаки не отвечает, а только инструмент продает.

Это такая гонка вооружений: NSO и подобные компании скупают (или ищут сами) и используют уязвимости нулевого дня и зарабатывают на этом, производители типа Apple и Whatsapp их исправляют в новых версиях, и так до бесконечности. И продолжаться это будет тех пор, пока атаковать - выгоднее, чем защищаться, так работает экономика безопасности.

Продолжение истории про вредоносное ПО NSO Group. Большинство уже исследованных телефонов, (13 из 23 подтвержденных заражений и еще 6 из 11 гаджетов со следами атаки) взломали именно через уязвимости в iMessage. Последние заражения происходили без участия пользователя, на новых моделях iPhone c последней прошивкой IOS14.6. Журналисты приводят совсем свежую историю живущей во Франции жены марокканского диссидента, которой таким способом взломали iPhone 11, она дала об этом интервью исследователям, а потом попросила у знакомых во временное пользование другой iPhone, и ей сразу удаленно взломали и его.

Комментаторы советуют пользователям отключать iMessage (в IOS "Настройки-Сообщения-iMessage"), но это поможет только от новых заражений через этот мессенджер, а уже зараженные устройства такими и останутся. Amnesty International выпустил технический документ для компьютерных криминалистов, позволяющий найти Pegasus на устройствах с IOS, но для обычных пользователей он слишком сложный.

А кроме этого, Amazon Web Services сегодня объявил, что после выхода расследования отключил аккаунты и инфраструктуру, связанную с NSO Group. Это важно, потому что Pegasus - не коробочный продукт, который производитель отдает клиентам, и те уже отдельно разворачивают его на своих серверах. Это именно Saas, ПО как услуга: софт и инфраструктуру, которую используют клиенты Pegasus, поддерживает сама израильская компания. Исследователь, знакомый с устройством основного конкурента и аналога NSO Pegasus - продукта Hacking Team Galileo, прокомментировал, что у государственных клиентов нет технических навыков обслуживать такие сложные системы самостоятельно, это делает за них производитель. Поэтому, когда израильская компания заявляет, что она не имеет отношения к действиям клиентов с использованием Pegasus, она просто предпочитает не смотреть в ту сторону.

Продолжает развиваться скандал со шпионским ПО NSO Group Pegasus. Пока журналисты публикуют истории про новых жертв, Amnesty International опубликовала у себя на github список 1400 доменов, связанных с Pegasus. Теперь системные администраторы могут блокировать эти домены на собственном сетевом оборудовании.

А публичный DNS-сервер NextDNS уже объявил, что блокирует эти домены для всех своих пользователей. NextDNS - это публичный DNS-провайдер с дополнительными наворотами типа блокирования известных фишинговых сайтов, трекеров, рекламы и подобных вещей. Требует регистрации, 300 000 запросов в месяц бесплатно, а потом либо все навороты отключаются и он до конца месяца становится просто публичным ресолвером (как 8.8.8.8 от Google или 1.1.1.1 от Cloudflare), либо 149 рублей в месяц. В общем, постепенно появляются возможности блокировать сервера, связанные с NSO Group.

А тем временем TechCrunch публикует инструкцию, как обнаружить малварь Pegasus на самих устройствах. Нужен набор утилит Mobile Verification Toolkit, конфигурация из github Amnesty International и опытный айтишник. Обычные пользователи такое не потянут, но уже можно хотя бы попросить помощи у айтишников.

Кстати, загрузили вчера Censor Tracker на ProductHunt. Это наш плагин для браузера, который не только позволяет обходить блокировки, но и помогает выявить то, что блокируется ТСПУ по "суверенному рунету".

У кого там есть аккаунт будем рады апвоту!

Работает сейчас и для Firefox и для Chrome.
С багрепортами и тестами будем рады видеть вас в этой группе!

Поисковая система DuckDuckGo объявила о запуске тестирования функции "Защита Email". Это их сервис пересылки электронной почты с очисткой писем от трекинга, аналог Firefox Relay, Simplelogin.io и грядущей Apple-овской функции Hide My Email.

Пользователи DuckDuckGo получат бесплатный постоянный адрес для пересылки в домене @duck.com и смогут генерировать временные адреса для форвардинга подписок в мобильных приложениях и браузерных расширениях DuckDuckGo. При пересылке система будет автоматически вырезать весь трекинг из писем. В анонсе написано, что трекинговые элементы встроены примерно в 70% сообщений электронной почты.

Чтобы принять участие в тестировании, нужно встать в очередь в мобильных приложениях в разделе "Настройки-Email protection".

На Хабре - история про свежую дыру в онлайн-инфраструктуре проекта "Умное Голосование". 24 июня автор получил от проекта имейл с адреса в домене @rus.vote, удивился, полез искать этот домен поисковой системой и на второй странице выдачи нашел открытую вебпанель админки Kubernetes. А в ней - лог всех имейлов, которые проект рассылал в последние 40 дней с адресами получателей, а также "доступы до внутренних сервисов; доступы до БД; ключи от сервисов Amazon, Google, ботов Telegram; пароли от Facebook и Instagram, ключ от mailgun" (внешнего сервиса рассылки почты). И все эти секреты автор нашел просто поисковиком, это даже не взлом. На момент, когда автор нашел админку, она висела в поисковиках в открытом доступе как минимум 10 дней. Дыру автор зарепортил, проект ее закрыл и ключи поменял.

Если эта история - правда, то вот такие у "Умного голосования" админы. Нет слов.
https://habr.com/ru/post/568842/

Мессенджер Nextcloud Talk обновился до версии 12. Новая версия поддерживает голосовые сообщения, возможность делиться геолокацией и контактами из мобильных приложений и удаление сообщений из чата в первые шесть часов после отправки.

Nextcloud Talk - это децентрализованный мессенджер, использующий собственные сервера пользователей или готовые настроенные сервера у провайдеров Nextcloud. В такой системе не нужно доверять единому центральному серверу, что он будет "хорошим" и не будет собирать все метаданные, как это может делать Skype или Whatsapp. Но поскольку сервер - доверенный, сквозного (end-to-end) шифрования у Nextcloud Talk нет и не предвидится. Такая концепция.

Если вы хотите попробовать новую версию Talk, самый быстрый и дешевый способ это сделать - выбрать провайдера на https://nextcloud.com/signup/, который дает аккаунты с бесплатным пробным периодом и возможностями администрирования для добавления пользователей. Например, https://webo.cloud/nextcloud-admin/. Регистрируете аккаунт, добавляете двух пользователей в разделе Пользователи, устанавливаете на два телефона Nextcloud Talk из Play Market или App Store - и вперед, можно чатиться и звонить через собственный сервер. Если понравится - самый дешевый сервер стоит примерно от 300 рублей в месяц. Или поднимайте свой собственный.

Кстати, все же понимают, что для этих взломов госуслуг никакой rocket science не требуется.
Взяли какую-нибудь базу данных слитых паролей (Озон, например, раньше любил пароли хранить вообще в открытом виде), процентов десять пар подойдет и к госуслугам (многие же любят использовать одни и те же пароли в разных сервисах). Двухфакторки у таких людей традиционно также нет. Ну и дальше можно на праймариз Единой России пойти, можно микрозайм оформить, а можно и недвижку переписать.

Скорее всего у тех, кто читает этот канал такой проблемы и с паролем и 2fa нет, но вот у ваших родителей скорее всего есть.
Поэтому заставьте их зайти через десктоп по этой ссылке: https://lk.gosuslugi.ru/settings/login
И пусть включат Вход с подтверждением по SMS. Да, как 2fa - смс так себе решение, но тут хватит.

И еще про двухфакторную аутентификацию (2fa): у Twitter вышел свежий отчет о прозрачности, в нем написано, что 2fa на декабрь 2020 года пользовались 2.3% пользователей платформы, из них 79.6% - через смс.

Вдумайтесь, 2.3% пользователей! Есть небольшая вероятность, что эти люди просто не считают Twitter важным, а Госуслуги у них хорошо настроены. Но скорее это данные в поддержку теории, что у людей просто массово не включена двухфакторная. А потом инциденты происходят, потому что они сами вводят пароли на фишинговых страницах, либо используют одинаковый пароль в разных местах (reuse), а потом его можно найти поиском на Dehashed.com.

Если вы - такой пользователь, то включите 2fa прямо сейчас везде, где можно, - в почтах, соцсетях, мессенджерах (там второй фактор - пароль) и Госуслугах. По статистике Microsoft и Google ЛЮБАЯ включенная двухфакторная в аккаунте пользователя снижает вероятность взлома аккаунта на их платформах на 95-99%.

Да, смс это не самый идеальный способ, и есть нарушители безопасности, которые умеют его перехватывать. Да, существуют крутые "конструкторы" фишинговых сайтов, которые предлагают пользователю ввести на поддельном сайте второй фактор ToTP из приложения и в реальном времени передают код второго фактора в Googlе, чтобы установить сессию. Да, аппаратный ключ FIDO/U2F можно потерять. Но вдумайтесь, 95-99% снижения вероятности, это же очень круто.

Как включить двухфакторную в сервиcе n? Забиваете в своей любимой поисковой системе "двухфакторная "название сервиса n", идете на официальную страницу и следуете инструкциям.

Новый скандал про продажу "обезличенных" данных геолокации. Приложение знакомств для геев Grindr собирает данные пользователей, "обезличивает" их и продает дата-брокерам, в том числе геолокацию с точным временем. Редакция католического сайта Pillar покупает у дата-брокера набор данных Grindr за два года, предположительно связанный с высокопоставленным американским католическим бюрократом, Джеффри Буррелом. Редакция деанонимизирует данные геолокации по координатам его дома, работы и известных мест рабочих встреч и поездок, этого достаточно. Как только редакция убеждается, что данные действительно принадлежат Буррелу, она наносит остальные точки на карту, и видит там гей-клубы и прочие подобные места. Pillar делает об этом материал, Буррела увольняют.

Публикация этой истории вызвала очередные обсуждения про приватность геолокации, американский сенатор Вайден высказывается в ключе, "ого, а оно реально так работает, это же не анонимность, давайте как-нибудь это регулировать"!

Люди постепенно начинают понимать, что данные геолокации - это персданные, и они не должны так просто в открытую продаваться, а приложения и брокеры данных просто врут про степень анонимности - у них такой бизнес. Большинство людей спит дома и работает в одном и том же месте, то есть у нас есть уникальный деанонимизирующий "фингерпринт локаций". И редакция сайта - это никакая не спецслужба, если они смогли купить, значит, любой сможет. Ну и наконец, данные геолокации часто можно сопоставить с данными камер видеонаблюдения, которые теперь везде.

Конечно, пользователи могут следить за тем, какие приложения устанавливают, или отключать геолокацию, когда она не нужна. Но пользователи не умеют, и этих защит недостаточно - похоже, надо "гасить" саму бизнес-модель. Только как?

Команда "Умного голосования" отреагировала на историю, как их админка месяц назад торчала в открытом доступе, а логи рассылки с имейлами получателей были доступны в поисковиках. Команда подтверждает, что да, был такой косяк, ошибка в конфигурационном файле. Когда пользователь сообщил им о проблеме, админы поменяли ключи доступа и закрыли админку от посторонних.

"Мы признаем ошибку с публичной доступностью внутреннего сервиса. Мы установили ее причины и исправили ее, предприняли технические и организационные меры, чтобы устранить целые классы возможных проблем безопасности. Мы очень надеемся на вашу поддержку и постараемся заслужить ваше доверие вновь."

Заодно команда описывает, какие технологии они используют, как их инфраструктура защищена от атак и зачем им вообще Kubernetes на таком проекте. Если вы веб-разработчик или веб-админ, интересно почитать.

Сайт "Ведомостей" не открывается, издатель говорит о DDoS-атаке. "Ведомости" сегодня опубликовали колонку Ивана Сафронова о том, как следствие работает с подозреваемыми до и после ареста. Потом колонка исчезла с сайта (но осталась в кеше Google), а теперь сам сайт лежит. Интересно, что там у них происходит.

UPD: Сайт заработал, лежал больше трех часов. Пишут, что это был технический сбой.

Новая версия нашего расширения для браузеров Censor Tracker (https://censortracker.org/) снова доступна в Chrome Store. Googlе дольше обычного проверял это обновление, и, наконец, проверил. Пользователи, которые писали нам, что собирались тестировать, но магазин Chrome выдавал ошибку - можете снова качать и устанавливать! С багрепортами и тестами будем рады видеть вас в этой группе.

Напоминаем, что делает это расширение:

• Позволяет обходить блокировки: пользователь ходит на доступные сайты напрямую, но если сайт заблокирован, расширение пускает пользователя через наши прокси.
• Сообщает пользователю, если сайт входит в реестр запрещенных сайтов или в список организаторов распространения информации. Последние обязаны хранить и без решения суда предоставлять органам любую информацию о пользователях.
• Помогает нам собирать информацию о внереестровых блокировках. То есть если сайт фактически заблокирован, а в реестре его нет, мы получим об этом минимум данных, чтобы начать разбираться. Когда мы начинаем разбираться - это иногда помогает.

Для странно настроенных сайтов в расширении есть список исключений.

Ссылка на версию для Chrome - на оффсайте проекта и в интернет-магазине Chrome. А версия для Firefox - здесь.

https://censortracker.org/

Домены navalny.com, free.navalny.com и 39 URI типа https://shtab.navalny.com/hq/[город] сегодня заблокированы по решению Генпрокуратуры и появились в нашей открытой базе Реестра запрещенных сайтов.

https://reestr.rublacklist.net/search/?q=navalny

UPD: Заблокированы не только navalny.com, free.navalny.com и 39 URI типа https://shtab.navalny.com/hq/[город], а еще и домены:
soboll.ru
leonidvolkov.ru
fbk.info
"Альянс учителей" teachers-union.ru
"Альянс врачей" alyansvrachey.ru
РосЖКХ roszkh.ru
РосЯма rosyama.ru

А вот еще какие сайты заблокированы в России с начала июля. Про все эти случаи писал наш основной Telegram-канал. На некоторых из них должна быть заблокирована одна страница, но если ссылка начинается с https://, то домен блокируется целиком, так уж технически устроена цензура.

23 июля: Три сайта с текстом рэпера Face "Суицид"
21 июля: Домены сервисов хранения картинок Photobucket.com и Pixabay.com
18 июля: Сервис хранения картинок музыкального сайта Bandcamp (https://f4.bcbits.com)

16 июля:
"Команда 29" team29.org
Фонд "Будущее России" futureofrussia.org
Американский Бард Колледж bard.edu
НКО "Немецко-русский обмен" austausch.org
Дискуссионная площадка "Центр либеральной современности" libmod.de
"Форум русскоязычных европейцев" forumeuru.org

15 июля:
Сайт Bitcoin.org
Сайт с текстом "Терновая зима" блэк-метал группы Blackthorn
Русская версия сайта "Радио Прага" ruski.radio.cz

14 июля: Украинский информационный сайт "Буквы"
9 июля: Крымская правозащитная группа Сrimeahrg.org
7 июля: Аниме по классическим произведениям японской литературы Aoi Bungaku.
5 июля: Сервисы анонимной отправки почты Anonymousmail.me и Anonymousemail.me

Пятилетие празднует проект No More Ransom, обновляемый репозиторий бесплатных утилит для расшифровки файлов, зашифрованных зловредами-шифровальниками (ransomware). На сегодня в базе сайта - 121 такая утилита, помогает при заражении 151 семействами вредоносного ПО. На сайте также есть раздел Крипто-шериф, куда можно закачать зашифрованный файл и определить, какой конкретно малварью он зашифрован.

No More Ransom - это совместный проект 180 организаций, в том числе правоохранителей типа Europol и полиции Нидерландов и антивирусных компаний, например McAfee и Kaspersky Labs. В честь пятилетия Europol пишет, что утилиты за пять лет сказали шесть миллионов раз, и что проект сэкономил жертвам шифровальщиков 900 миллионов долларов выкупа.

В общем, если вы админ или безопасник - полезный ресурс, однозначно в закладки.

Зеркало сайта Навального https://navalny.app/, которое сегодня ночью поднял Владислав Здольников, с 8 утра блокируют с использованием ТСПУ (Технических средств противодействия угрозам). Здольников пишет у себя в канале, что домен navalny.app - первая блокировка на ТСПУ, о которой нам известно, ранее это оборудование использовалось только для замедления Twitter. ТСПУ - это новое государственное DPI-оборудование, установленное у провайдеров по закону о "суверенном рунете", несколько месяцев назад Роскомнадзор заявлял, что ТСПУ установлено у 100% мобильных и 50% фиксированных операторов.

Действительно, в реестре запрещенных сайтов домена navalny.app нет, при этом доступность сайта в течение дня снижается, судя по графику в панели Globalcheck.

Ну что, это и есть внереестровая, непубличная блокировка.

UPD: Сайт появился в реестре.

🔥 navalny.app заблокирован

🚫 /n_3478186 Генпрокуратура 27-31-2021/Ид6832-21 2021-06-15 /d_0tg8mn9s92dja
• ст. 15.3, мятеж и фейки
как domain navalny.app

🚫 /n_3478187 Генпрокуратура 27-31-2021/Ид6832-21 2021-06-15 /d_0tg8mn9s92dja
• ст. 15.3, мятеж и фейки
как domain www.navalny.app

типы блокировки: domain: 🚫
✅ Данные синхронизированы: 2021-07-27T16:40:00+03:00

Как вообще понимать сегодняшнюю ситуацию с блокировкой зеркала navalny.app? Вот факты:

• Сегодня ночью поднимается зеркало, вот пост об этом, написанный в 2:49 утра.
• После семи утра российские провайдеры начинают его блокировать, вот график доступности сайта.
• Около 16:00 доменное имя зеркала появляется в Реестре запрещенных сайтов, и дальше реестр постепенно расходится по провайдерам, которые сейчас начинают блокировать его уже "как обычно".

А почему сайт блокировали до 16:00? Тут может быть несколько версий, например:

• Существуют разные версии "Реестра запрещенных сайтов" и некоторые провайдеры получают список сильно раньше других. Так было еще в 2018 году, но тогда разница во времени была не такая большая, точно не 8 часов.
• До включения в реестр сайт "аварийно" блокировали одним способом, в одном режиме, а после включения в реестр будут блокировать уже обычно. Тогда это все-таки внереестровая блокировка, но временная.

А какие еще могут быть варианты? Если вам что-нибудь приходит в голову, пишите в комменты.

Github анонсировал проект бесплатной юридической помощи для разработчиков свободного ПО, обвиненных в нарушении авторских прав по DMCA. Для этого сервис пожертвовал миллион долларов в Стэнфордскую юридическую школу. Теперь, когда в адрес Github будут приходить обоснованные жалобы, компания будет перенаправлять их разработчикам и тут же адресно отправлять их в Стэнфорд за бесплатной юридической поддержкой.

Сейчас разработчики, на которых наехали по DMCA, часто не знают, что делать, и удаляют проекты с Github. Например, в конце прошлого года американская ассоциация защиты авторских прав RIAA добилась временного удаления с Github проекта youtube-dl, утилиты для скачивания роликов с Youtube. RIAA утверждала, что основная функция youtube-dl - "воспроизводить и распространять музыкальные клипы и записи, приналежащшие [клиентам RIAA] без авторизации". Youtube-dl в результате отбился с помощью интернет-правозащитников EFF. Но в целом идея верная: у разработчиков свободного софта действительно нет денег на хороших юристов, да и не все проекты такие известные, как youtube-dl.

Человеческие мозги любят экономить энергию и думать, "ага, Github это Microsoft, Microsoft это "копирасты", значит Github это "копирасты". Но в этой новости Github - молодцы.