Facebook анонсировал звонки и видео со сквозным шифрованием в режиме секретной переписки в мобильном приложении Messenger. Обещают, что для этого в правом верхнем углу в режиме секретной переписки появятся дополнительные кнопки, а во время звонка на экране будет написано "end-to-end encrypted". Пока в последних версиях приложений для IOS и Android кнопок нет, ждем следующего апдейта. Заодно в этом же анонсе Facebook рассказывает о планах выпустить групповые секретные чаты и звонки, но попозже.

Режим секретной переписки в мобильном приложении Facebook - это такой аналог Whatsapp, чаты со сквозным шифрованием. Смысл в том, что сам Facebook не знает, о чем переписываются пользователи в этом режиме. Работает эта функция только на мобильных устройствах и чтобы ее активировать, нужно в конкретном чате выбрать ("Информация - Перейти в режим секретной переписки").

Несмотря на шифрование, Facebook будет по-прежнему иметь доступ к метаданным (кто кому когда звонил, как долго продолжался звонок и так далее). Наверное, для их бизнес-целей этого достаточно.

Наверное, это неплохая новость - будет какая-то дополнительная приватность для людей, которые пользуются Facebook на мобильных устройствах. Но бизнес-модель Facebook и приватность вообще плохо совместимы. А еще, если уж возможность есть, почему просто не включить сквозное шифрование звонков по умолчанию и не устраивать пользователям неудобства?

Лука Сафонов на Хабре проверял, насколько просто сломать аккаунт в Госуслугах, чтобы взять на него кредит или микрозайм. Краткие выводы:

• При переборе паролей одного аккаунта через несколько попыток сервис выдает reCaptcha и делает полностью автоматический перебор невозможным.
• При переборе разных аккаунтов с одним и тем же паролем - тоже.
• Атаковать веб-приложение у него не получилось (если что, он умеет).
• Дампов учеток с Госуслуг ни в поисковых системах, ни на форумах он не нашел.

Остается фишинг и повторное использование пользователями одинаковых паролей. Но это - атака на пользователя, а не на Госуслуги, и решать эту проблему должен сам пользователь. Двухфакторная аутентификация эту проблему решает, Госуслуги ее рекомендуют.

В общем, Сафонов подтверждает то, о чем мы уже писали. Используйте на Госуслугах уникальный пароль и включите двухэтапную проверку входа по SMS здесь: https://lk.gosuslugi.ru/settings/login И родственникам обязательно помогите настроить, а то они не умеют всю эту магию.

Ссылки:
[1] https://habr.com/ru/post/569370/
[2] https://t.me/rks_tech_talk/127
[3] https://lk.gosuslugi.ru/settings/login

Оказывается, в мобильном приложении Snapchat для Android временные сообщения (снапы) после самоудаления остаются лежать файлами в директории приложения, пока получатель не разлогинится (!!!), и только потом удаляются с файловой системы. Не закроет приложение, а именно разлогинится, выйдет из аккаунта. То есть никогда)

Вот утилита на Github, которая копирует такие "удаленные" сообщения из рабочей директории Snapchat. Если присмотреться, то это просто красивая обертка вокруг команды "mv" (в смысле move, переместить файл, если кто случайно не в курсе). Правда, она работает только на Android-смартфонах с root, иначе в рабочую директорию нет доступа. Но они-то там лежат!

В официальном блоге Snapchat объяснял: "После того, как временное сообщение было открыто, оно удаляется с диска на устройстве получателя. Мы стараемся, чтобы это произошло немедленно, но иногда это происходит в течение минуты или двух. Файлы удаляются с файловой системы стандартной инструкцией "удалить". А по факту это вообще не так.

Пишут, что у Snapchat 293 миллиона ежедневных активных пользователей. Но это скорее история о том, что мобильные приложения пишут одни люди, политику конфиденциальности - другие, а корпоративный блог - третьи. А эфемерные сообщения, к сожалению, иногда гарантированно удаляются только из интерфейса приложений(

Ссылки:

[1] https://github.com/sdushantha/snaprecovery#how-the-recovery-works
[2] https://web.archive.org/web/20210810160033/https://newsroom.snap.com/snaps-stored/

В новой версии приложения iCloud для Windows появился парольный менеджер, который работает через расширения в Chrome и MS Edge. Правда, генерировать пароли он не умеет и скорее похож на собственную хранилку паролей в Chrome, чем на полноценный облачный сервис, типа Bitwarden. Но если вам нужно синхронизировать пароли между гаджетами Apple и браузерами в Windows без стороннего софта - теперь у вас есть и такая возможность.

Небольшая компания Business Efficiency Solutions (BES) обвиняет китайскую корпорацию Huawei, что та заставила ее разработчиков внедрить бэкдор в систему безопасного города для Лахора — второго по величине города в Пакистане.

BES и Huawei вместе занимались разработкой и внедрением этого проекта, но в процессе поссорились, и сейчас судятся в Пакистане и в США. BES утверждает, что Huawei заставила их дублировать общую базу данных системы безопасного города с настоящими персданными на сервер Huawei в Китае. Huawei объясняет, что в Китае была только тестовая база без настоящих данных, которая использовалась только в процессе внедрения.

Пакистан начал официальное расследование, но окончательных результатов пока нет. Очень интересно, чем закончится. А то американцы рассказывали, что Huawei шпионит, когда вводили санкции, но совсем без технических подробностей.

Citizen Lab выпустил отчет о том, как Apple по политическим причинам запрещает заказывать у себя на сайте гаджеты с кастомной гравировкой некоторых слов и выражений. У Apple есть страновые списки запрещенных слов (вот ссылка на сами списки в Github), и не всегда эта цензура введена для соответствия местным законам. Исследователи предполагают, что иногда это просто политическая цензура по инициативе самой корпорации.

О чем эта история: на официальном сайте Apple можно заказать гравировку при покупке нового Ipad, AirPods, AirTag и еще нескольких устройств. Недавно журналисты издания Mashable выяснили, что некоторые ругательства не получается заказать для гравировки - система выдает ошибку. Агаа, подумали исследователи Citizen Lab и стали перебирать термины на сайтах Apple в Китае, Гонконге, Тайване, Японии, Канаде и США.

Выводы их исследования:
• Что касается ругательств и разных других плохих слов, например, расистских терминов, между странами есть отличия - в одной стране слово запрещено, а в другой - нет. У Apple нет внятной публичной документации, как формируются списки.
• В Китае Apple не дает гравировать всякую политику, в том числе ссылки на руководство Компартии, имена диссидентов и названия независимых СМИ, и вообще слова, связанные с религией, демократией и правами человека. Например, запрещены собственно словосочетания "права человека" или "свобода прессы". Из 1045 запрещенных в Китае слов и словосочетаний 458 - политика.
• Частично эти же списки блокировки дублируются в Гонконге и Тайване. В Гонконге Apple явно блокирует больше, чем обязана, а на Тайване - вообще юридически не должна, но блокирует.
• Похоже, что иногда Apple сама не понимает, что и почему запрещено, и просто копирует чужие списки. Например, запрещены десять китайских имен с распространенной фамилией "Чжан". И неизвестно, почему - вроде нет таких диссидентов. Исследователи предполагают, что Apple их просто скопировала из какого-то местного китайского списка, не разобравшись.

Citizen Lab делают отличные исследования, если вы знаете английский - почитайте оригинал. И спасибо постоянному читателю за наводку.

Ссылки:
[1] https://citizenlab.ca/2021/08/engrave-danger-an-analysis-of-apple-engraving-censorship-across-six-regions/
[2] https://github.com/citizenlab/chat-censorship/tree/master/apple

Неправительственные организации добились, чтобы Google публиковал в отчетах о прозрачности информацию о "запросах по геолокации" и "запросах по ключевым словам". Это запросы от правоохранительных органов типа "какие устройства в какой-то период времени находились примерно здесь?" и "какие пользователи искали по этим ключевым словам или этот адрес".

Судя по всему, это чисто внутренняя американская история и требует решения суда. В США такие запросы всплывают в материалах уголовных дел, но Googlе никогда не публиковал по ним открытую статистику. Было только известно, что на некоторые такие запросы Googlе выдавал информацию о десятках тысяч пользователей.

И в декабре 2020 года шестьдесят неправительственных организаций подписали открытое письмо Googlе с просьбой "рассекретить" такие запросы. Теперь американская корпорация согласилась с их требованиями и будет открыто публиковать поквартальные данные, а пока выпустила специальное приложение к отчету о прозрачности с данными за 2018-2020 годы.

Круто. Иногда кажется, что корпорациям вообще не интересны все эти открытые письма и они реагируют только на суды и штрафы, если вообще реагируют. А тут хорошая новость.

Ссылки:
[1] https://www.stopspying.org/latest-news/2021/8/19/google-agrees-to-civil-rights-groups-demand-for-geofence-warrants-report
[2] https://www.stopspying.org/geofence-letter
[3] https://services.google.com/fh/files/misc/supplemental_information_geofence_warrants_united_states.pdf

Facebook выпустил две специальных функции для пользователей в Афганистане, это борьба против талибского OSINT:

1. Lock your profile/Закрыть свой профиль - по нажатию одной кнопки меняет права просмотра на все посты и фото в ленте на "Только для друзей" и скрывает от всех остальных фото профиля.
2. Для всех афганских пользователей временно отключена возможность третьим лицам смотреть их список друзей.

Иностранным пользователям, у которых есть френды из Афганистана, рекомендуют вручную закрывать списки друзей, но автоматически для них ничего не меняется.

Представитель Пиратской партии утверждает на Хабре, что российские системы электронного голосования не обеспечивают тайну голосования, то есть позволяют сопоставить пользователя и его голос. Автор описывает проблемы систем от Департамента Информационных Технологий Москвы (далее ДИТ) и от Ростелекома/ЦИК (РТК). Пишет, что пытается обсуждать эти проблемы с разработчиками уже два года и получает отписки, а внимательно разобраться не получается, потому что исходники - закрыты.

"Сопоставление логов вебсерверов, проводивших авторизацию пользователя в ЕСИА/mos.ru, выдающих бюллетень, “анонимно” принимающих голос избирателя позволяют ДИТу и РТК однозначно сопоставить пользователя и его голос. Ведь в логах вебсервера оказываются IP адрес, версия браузера, версия ОС и т. п. И поэтому ДИТ имеет возможность однозначно сопоставить расшифрованный голос в итоговом протоколе с зашифрованным голосом в блокчейне, а по ИП адресу и другим следам выяснить, кто же этот голос оставил."

Как часто бывает на Хабре, комменты не менее интересны, чем сам материал.

Ссылка: https://habr.com/ru/post/574122/

Вчера разработчики сайта "Умное голосование", наконец, выключили у себя вебвизор Яндекс-метрики и вообще убрали Яндекс-метрику. Вебвизор - это функция, отслеживающая действия пользователей на сайтах, она может автоматически передавать Яндексу информацию, которую пользователи вводят в полях на сайте, то есть те самые адреса имейл и адреса регистрации. После отключения метрики Яндекс уже не получает новые данные зарегистрировавшихся пользователей.

В пункте 15 пользовательского соглашения говорится "Сервис работает полностью в автоматическом режиме, не анализирует содержание и смысл информации размещенной на страницах / в мобильном приложении или вводимой посетителями в поля на страницах / в мобильном приложении, а записывает её полностью независимо от содержания."

"УМГ" ругали за использование вебвизора уже некоторое время (тыц), а тут в пятницу на Хабре вышел отдельный пост про это. Рекомендуем почитать!

Ссылки:
[1] https://habr.com/ru/company/itsoft/blog/573958/
[2] https://t.me/itsorm2/115
[3] https://metrika.yandex.ru/promo/webvisor

Вчера вечером российские сотовые операторы начали блокировать сервера, откуда мобильное приложение "Навальный" получает контент блога и рекомендации по голосованию. Происходит именно то, что называется "блокировать приложение".

После первой блокировки разработчики Android-приложения поменяли сервер, к которому оно обращается, но сегодня с утра он тоже попал под блокировку. Судя по графикам Globalcheck, на фиксированных операторах блокировка пока в основном не работает. В операторской выгрузке (то есть списке того, что раздают операторам для обязательной блокировки) этих серверов пока нет. То есть это выглядит, как внереестровая блокировка при помощи ТСПУ (технических средств противодействия угрозам), или мобильные операторы получают другие списки. Globalcheck пишет, что с IOS-приложением пока есть проблема "связанная с получением новых точек подключения, поэтому приложение не работает целиком".

У разработчиков остается возможность и дальше менять сервера и передавать новую конфигурацию приложениям пользователей. Но сегодняшний день показал, что и новые сервера, похоже, будут оперативно блокироваться. Посмотрим, что будет происходить дальше.

Ссылки:
[1] https://t.me/globalcheck/17
[2] https://t.me/globalcheck/18

В криминалистическом блоге компании Elcomsoft обсуждают новую фичу IOS 15: временные бэкапы устройств в iCloud. До сих пор многим пользователям просто не хватало места на бэкапы в бесплатном тарифном плане эппловского облака, и это осложняло миграцию со старого iPhone на новый. Начиная с IOS 15, пользователь сможет сделать временный бэкап устройства в iCloud для миграции и это место считаться не будет.

• Работает только вручную по нажатию на кнопку и только с разблокированного устройства.
• Бэкапы хранятся 21 день и потом автоматически удаляются.
• Пока почему-то такой бэкап нельзя удалить руками, но может быть, это баг в бета-версии.

Криминалисты рады, потому что эти бэкапы можно скачивать их специальными утилитами и анализировать. Но для тех, кто меняет старый iPhone на новый, а iCloud забит фоточками, правда очень удобно.

Ссылка: https://blog.elcomsoft.com/2021/08/ios-15-forensic-implications-temporary-icloud-backups/

Происходит нечто странное. Наш плагин Censor Tracker определил блокировку radikal.ru в некоторых регионах (Татарстан, Саратовская область) у некоторых провайдеров.
Результат проверки у Влада Здольникова на https://globalcheck.net такой оказывается:

Результат проверки radikal.ru
Доступность: 43%
Успешные пробы: 3/7
Минимальное/среднее/максимальное время ответа: 636/6002/10000 мс
Moscow:
T2 Mobile LLC
HTTP код 200, 636 мс
Rostelecom
HTTP код 200, 651 мс
MTS PJSC
HTTP код 200, 728 мс
Yota
«Get "https://radikal.ru": context deadline exceeded»
VimpelCom
«Get "https://radikal.ru": context deadline exceeded»
PJSC MegaFon
«Get "https://radikal.ru": context deadline exceeded»
Gadzhiyevo:
Rostelecom
«Get "https://radikal.ru": context deadline exceeded»

В реестре radikal.ru нет.

Видимо РКН экспериментирует со своим ТСПУ. Наблюдаем за ними внимательно.

На днях privacyaccelerator вместе с Роскомсвободой запустил прием заявок на хакатон Demhack3. После хакатона лучшие участники (не обязательно победители) будут приглашены в акселератор.
Тематика: традиционно все что касается приватности, открытости, свободы и пользы обществу.

В этом году в качестве главного приза DJI FPV Combo, наверное, главная гиковская мечта этого года (или нет?). В любом случае, если есть желане или проект - ждем заявок!

На Motherboard вышел материал о том, как специализированные дата-брокеры оптом скупают у крупнейших интернет-провайдеров логи трафика и на их основе делают аналитические продукты. Речь в материале идет о двух американских компаниях - Team Cymru и Paolo Alto Networks.

"Аналитические продукты" значит, что потом можно купить у них информацию о том, что делал в интернете такой-то ip-адрес несколько месяцев назад, или как обменивались данными такие-то сервера, и прослеживать сложные связи. Это помогает в расследованиях киберпреступлений и утечек данных. Например, это помогает делать корреляцию VPN-трафика, то есть сопоставлять трафик конкретных пользователей "к" VPN-серверам и "от" них, чтобы понять, кто что делал под защитой VPN.

В материале пишут, что у таких дата-брокеров - строгие правила по части доступа к данным и вообще, они помогают хорошим людям делать качественные расследования. Например, недавно Citizen Lab благодарил Team Cymru за помощь в расследовании деятельности иранских государственных хакеров.

Все равно жуть.

Ссылка: https://www.vice.com/en/article/jg84yy/data-brokers-netflow-data-team-cymru

Российский центробанк запрашивает у банков информацию о том, какими VPN они пользуются. В запросе упомянуты Psiphon, Tunnelbear, Thunder, Redshield VPN и "иные аналогичные сервисы".

Запрос точно такой же, как пару месяцев назад рассылали Роскомнадзор и Минобрнауки. Запрашивают название сервиса, зачем нужен и IP-адрес клиента. Ссылаются на то, что Роскомнадзор планирует "осуществить комплекс мероприятий по ограничению использования сервисов". Ответить нужно до 2 сентября.

Что будет происходить дальше и как будут "ограничивать" - по-прежнему непонятно. Судя по всем этим письмам, похоже, что есть план блокировать или замедлять сами протоколы VPN при помощи DPI-оборудования (то есть, того же ТСПУ) и оставлять доступ только разрешенному списку клиентов. Это может получиться, но, по опыту других стран, дальше люди начинают активно интересоваться восстановлением доступа к нужным им сайтам и растет популярность работающих решений (например, Shadowsocks). Главное, что наказания пользователей за использование VPN в России нет, поэтому можно пользоваться всем, что работает.

Ссылки:
[1] https://www.rbc.ru/finances/26/08/2021/61279abf9a79472abc90c997
[2] https://t.me/rks_tech_talk/87
[3] https://t.me/rks_tech_talk/69

Канал ЗаТелеком пишет, что вчера в нескольких филиалах Ростелекома падал ТСПУ (технические средства противодействия угрозам), и порядка 200 тыс абонентов оставались без связи на 40 минут.

Проблему "единой точки отказа" (это когда отказ одного компонента системы выводит из строя всю систему) принято решать дублированием. Интересно, как вообще защищены системы интернет-провайдеров от отказа ТСПУ, и какие регламенты существуют на этот случай. Может кто-нибудь в курсе?

Ссылка: https://t.me/zatelecom/18731

​​Интенсив для IT-юристов с 13-17 сентября

Сегодняшний мир неизбежно уходит в интернет, а вместе с ним возникает и необходимость регулировать отношения во всемирной паутине. В том числе — и в сфере цифрового права.

▪️Как правильно разместить рекламу в интернете?
▪️Как оформить и защитить права на доменное имя сайта?
▪️Что делать, если возник юридический конфликт с хостинг-провайдером?
▪️Как лучше и безопаснее всего начать освоение криптомира?

Если вы хотите лучше разбираться в этих и других вопросах — записывайтесь в «Школу киберправа»! Наш новый курс будет проходить в Москве с 13 по 17 сентября 2021 года.

Программа обучения будет состоять из 7 модулей:

1. Intermediaries & ISP
2. Tax & Ad
3. IP & Copyright & Domains
4. Big Data & AI
5. Privacy & Security
6. Forensic
7. Digital assets & crypto/blockchain

5 дней, 11 экспертов, 8 модулей, 45 академических часов актуального материала от лучших практикующих экспертов. Не только теория, но и разбор кейсов из реальной практики. По результатам обучения каждый участник курса получит удостоверение государственного образца о повышении своей квалификации в области киберправа.

В связи с непростой эпидемиологической обстановкой мы предлагаем опциональное и дистанционное участие в обучении. Таким образом вы можете выстроить свой персональный график очного/заочного посещения занятий. Задать интересующие вопросы можно по телефону +7 (926) 353-89-41, а также по электронной почте dv@digitalrights.center.

Старт занятий уже 13 сентября, поэтому регистрируйтесь уже сейчас: https://clck.ru/Wuunc

С 20 августа у многих российских пользователей не работал бесплатный VPN от Cloudflare, WARP, сейчас починили.

Сам по себе VPN заблокирован не был, но ему для подключения требуется домен cloudflareportal.com c IP-адресом 104.19.153.125. На этом же адресе раньше было расположено онлайн-казино Slotum, заблокированное по решению ФНС в марте 2019 года. Почему-то 20 августа 2021 года адрес перестал открываться у пользователей из России и WARP сломался. А почему он до этого открывался - неизвестно. Потом пользователи стали жаловаться на форуме, в компании поменяли IP-адрес cloudflareportal.com, и VPN снова работает.

У Cloudflare вообще есть такая проблема: разные ресурсы используют одни и те же IP-адреса. Есть несколько непубличных историй, когда крупные российские сайты случайно блокировали "за компанию" с какими-нибудь казино и им приходилось быстро переезжать. Но чтобы таким способом у Cloudflare ломался собственный VPN - это впервые.


Ссылки:
[1] https://cloudflarewarp.com/
[2] https://t.me/zatelecom/18748
[3] https://community.cloudflare.com/t/cloudflareportal-com-ip-is-blocked-in-russia-unable-to-connect-warp-vpn/296791

Обновился децентрализованный мессенджер Delta Chat, у котого вообще нет собственных серверов, а "под капотом" на самом деле имейл + сквозное шифрование OpenPGP, но интерфейс как у мессенджера. В новой версии переработали сообщения от незнакомых контактов и переключение между несколькими аккаунтами.

Если кто-нибудь уже пользуется Delta Chat, а не просто тестировал, расскажите, как вам?

Ссылки:
[1] https://delta.chat/ru/download
[2] https://delta.chat/en/2021-08-24-updates