Архив категории 'Информационная безопасность'
Опубликовано: 4 сентября 2016 года
С наступлением учебного года школьники с новой силой берутся за учебу и активно используют для приобретения знаний гаджеты с выходом в Интернет. Однако в Сети им попадается не только информация для расширения кругозора и получения хороших оценок, но и нежелательный контент, а также множество опасностей, о которых родители могут даже не подозревать.
По данным «Лаборатории Касперского», в случае необходимости выйти в Сеть для решения вопросов, связанных с обучением, 70% российских школьников предпочитают именно компьютеры и ноутбуки. Планшеты же для этих целей использует лишь каждый третий, а смартфоны — каждый пятый учащийся.
Три четверти юных пользователей (78%) как минимум несколько раз в неделю выходят в Интернет именно для учебы. При этом почти половина (47%) считают Сеть настолько ценным инструментом для собственного образования, что категорически не готовы отказаться от доступа к ней именно по этой причине.
Однако иногда при поиске информации в Сети школьники могут столкнуться и с киберугрозами. Так, более половины (56%) детей от 8 до 16 лет ответили, что у них был такой опыт. Они сталкивались с неподходящим контентом, вредоносным ПО, фишингом, онлайн-травлей и другими угрозами.
Кроме того, активное использование школьниками устройств с выходом в Интернет иногда приводит к конфликтам с родителями, поскольку во многих семьях дети и взрослые пользуются одними и теми же гаджетами. Это довольно актуальная проблема для почти половины семей (47%), где компьютеры и ноутбуки являются общими.
Читать запись полностью »
Опубликовано: 25 августа 2016 года
В Сети опубликована база учетных данных 25 млн пользователей игровых сервисов Mail.ru. Компания утверждает, что похищенные пользовательские данные уже неактуальны.
Утечка 25 млн аккаунтов
По сообщению ресурса LeakedSource, который занимается отслеживанием утечек паролей и персональных данных, в августе 2016 г. были украдены логины и пароли пользователей нескольких игровых сервисов mail.ru.
Как утверждает LeakedSource, пострадали более 12,8 млн аккаунтов игры Crossfire на домене cfire.mail.ru (из них расшифрованы 6,2 млн), 5 млн аккаунтов игры «Пара Па: Город Танцев» на домене parapa.mail.ru (из них уже вскрыто 3,3 млн), 3,99 млн аккаунтов к фоуму той же игры (расшифрованы 2,9 млн) и 3,2 млн паролей от «Танков» (tanks.mail.ru).
В общей сложности опубликованы данные более 25 млн аккаунтов.
LeakedSource заявляет, что вскрытию большей части паролей от похищенных аккаунтов способствовала использование для их шифрования алгоритма MD5, который к нынешнему времени уже нельзя считать надежной защитой.
Интересно, что более миллиона паролей пользователей Mail.ru имели вид «12345…» или «qwerty…», «1111…» и т.п., что сильно упростило их расшифровку.
Помимо учетных данных и паролей были похищены адреса электронной почты пользователей и дни их рождения. Для некоторых записей злоумышленники получили IP-адреса и номера телефонов, которые были связаны с похищенными аккаунтами.
Известно, что форумы работали на движке vBulletin, а для атаки использовалась уязвимость SQL injection (внедрение кода на SQL в запросы к сайту).
Что получили взломщики
Пресс-служба Mail.ru заявила, что опубликованные LeakedSource пароли принадлежат форумам игровых проектов, которые компания приобретала в разные годы, и не имеют отношения к основному почтовому сервису Mail.ru. Сейчас форумы и игры Mail.Ru Group переведены на единую систему авторизации, говорят представители компании.
Представители Mail.ru посетовали, что LeakedSource вопреки этическим нормам «белых» хакеров публично рассказали об утечке, прежде чем сообщить о ней Mail.ru.
Несмотря на то, что сейчас пароли могут быть неактуальными, в руки взломщиков попали данные для сопоставления почтовых адресов и дат рождения большого числа пользователей.
Читать запись полностью »
Опубликовано: 17 августа 2016 года
Китай впервые в мире запустил спутник, с которого на Землю будет осуществляться передача информации с квантовым шифрованием. Данный вид шифрования считается не поддающимся взлому. Исследовательский проект рассчитан на два года.
Запуск спутника с квантовым шифрованием
Китай запустил спутник для проведения первых в мире экспериментов по передаче информации с квантовым шифрованием между спутником и приемным устройством на поверхности Земли, сообщает новостное агентство «Синьхуа».
Запуск спутника «Мо-цзы», названного в честь китайского ученого и философа, весом 600 кг был выполнен с космодрома Цзюцюань в Северо-Западном Китае ночью, 16 августа 2016 г. с помощью ракеты-носителя «Чанчжэн-2Г». Космический аппарат будет находиться на орбите высотой 500 км, его период обращения вокруг Земли составит 90 минут.
Принцип действия
На оборудовании «Мо-цзы» правительство Китая планирует создать пару так называемых запутанных фотонов — субатомных частиц света, свойства которых зависят друг от друга. Ученые планируют переместить один из фотонов со спутника в исследовательские центры в Китае и Австрии.
Читать запись полностью »
Опубликовано: 16 августа 2016 года
Создано Android-приложение, «открывающее новую страницу в криминалистике». Достаточно его установить и запустить, чтобы стала известна переписка пользователя – в том числе в защищенных мессенджерах.
Новая страница в криминалистике
Исследователи из Университет Пердью в США разработали мобильное приложение для Android-смартфонов, позволяющее узнавать, о чем в последние несколько часов или дней переписывался владелец устройства, с кем общался, что искал в интернете и другую информацию.
Авторы полагают, что их разработка будет полезна криминалистам. На разработку приложения ушло девять месяцев.
Принцип действия
Приложению было дано имя RetroScope. Принцип его действия прост — оно извлекает из оперативной памяти слепки последних изображений, которые были выведены на дисплей смартфона графическим контроллером.
Авторы воспользовались компонентом Android, которое отвечает за прорисовку экрана, и просто ввели в нем команду перерисовать данные из определенного участка оперативной памяти.
Позволил создать такое приложение тот факт, что корпорация Google, разработчик Android, не предусмотрела удаление из оперативной памяти этой информации. По мнению исследователей, это могло быть сделано намеренно — сохранение в памяти слепка экрана значительно укоряет отрисовку интерфейса при возвращении к закрытому приложению.
Никаких ограничений
В ходе эксперимента создателям удалось воспроизвести от трех до 11 последних экранов в 15 различных приложениях, включая Gmail, Skype, WeChat, WhatsApp, TextSecure, Telegram и стандартное приложение Android для обмена SMS- и MMS-сообщениями.
Можно отметить, что WhatsApp и Telegram позиционируются как мессенджеры с повышенной защитой переписки от чужих глаз благодаря сквозному шифрованию, которое в WhatsApp включено по умолчанию, а в Telegram — включается пользователем.
Что касается мессенджера TextSecure (на других платформах известен как Signal), то он вообще разработан как сверхзащищенное от перехвата решение, в связи с чем однажды даже было рекомендовано пользователям инсайдером АНБ Эдвардом Сноуденом (Edward Snowden).
Единственная защита – выключение смартфона
Читать запись полностью »
Опубликовано: 11 августа 2016 года
«Умная» секс-игрушка для пар We-Vibe 4 Plus отправляет всю информацию о своём использовании производителю. Об этом сообщает портал Fusion.
О том, что устройство может распространять интимную информацию, на конференции Defcon в Лас-Вегасе в начале августа сообщили два исследователя в области интернет-безопасности, известные под никами @gOldfisk и @rancidbacon (свои настоящие имена они не раскрывают).
Пара специалистов разобралась в коде приложения вибратора We-Vibe 4 Plus и выяснила, какие данные устройство передаёт на смартфон через Bluetooth, а какие из них — отправляет на сервера создателей.
Как выяснилось, We-Vibe 4 Plus передаёт производителю, компании Standard Innovations Corporation (SIS), всю чувствительную информацию о своём использовании, включая ежеминутные отчёты о температуре гаджета и всех переключениях уровня вибрации.
Таким образом, SIS могут узнать предпочтения владельца устройства в сексе, а также время, которое ему необходимо, чтобы достигнуть оргазма.
В ответ на запрос издания представители компании не стали отрицать факт сбора информации.
«Мы стремимся создавать инновационные продукты, которые смогут выполнять все предпочтения наших клиентов. We-Vibe собирает данные об интенсивности вибрации и используемых режимах в рамках маркетинговых исследований — чтобы мы могли понять, какие параметры интенсивности оказываются наиболее действенными», — заявляют в Standard Innovations Corporation.
Как отмечает Fusion, в пользовательском соглашении не упоминаются никакие маркетинговые исследования: создатели ограничиваются стандартным набором фраз о защите пользовательских данных.
Читать запись полностью »
Опубликовано: 2 августа 2016 года
Популярный мобильный мессенджер WhatsApp хранит пользовательскую переписку, даже если она была удалена из приложения — такими выводами поделился с общественностью Джонатан Здзиарски, эксперт в области информационной безопасности, осуществивший реверс-инжиниринг приложения.
Никто, впрочем, и не сомневался в этом.
Правительства многих государств мира обязывают социальные сети, мессенджеры и прочие используемые для общения сервисы, хранить пользовательские данные, чтобы всегда иметь возможность получить к ним доступ, например, в целях расследования преступлений. Поэтому все заявления разработчиков WhatsApp относительно усиления шифрования передаваемых приложением данных являются, в общем-то, правдивыми лишь отчасти.
Доступ к информации действительно проблематично получить каким-нибудь рядовым хакерам, однако спецслужбам для этого достаточно лишь сделать специальный запрос к владельцам WhatsApp, пишет anti-malware.ru.
Продвинутое шифрование, которым, напомним, хвастались разработчики WhatsApp, распространяется не только на текстовый контент, но и на любые фотографические или видеоматериалы.
Кстати, конкурент WhatsApp — мессенджер Viber — следует определенным правилам, которые устанавливаются положениями политики конфиденциальности. Эта политика сообщает о том, что Viber не может хранить личную переписку пользователей на серверах компании. Обычно история сохраняется на устройствах пользователей, поэтому если она оказалась однажды случайно удалена, восстановить ее будет уже невозможно. По крайней мере, так утверждают разработчики Viber.
В другом популярном мессенджере — Telegram — вся текстовая информация, полученная пользователем Телеграмм, является доступной только в чате телеграмма.
Все данные, отправленные получателю в Telegram, проходят шифровку и отправляются на сервер разработчиков приложения — там они хранятся до тех пор, пока система их не удалит (это нужно для освобождения памяти на диске). История переписки не попадает на сторонние ресурсы, кроме данного сервера и чата в телеграмме. Сохраненную информацию невозможно получить и прочесть: на сайте они уже находятся в зашифрованном виде, обратный процесс восстановления невозможен.
В том случае, если сообщения будут случайно удалены, восстановить их будет невозможно. Тем не менее, можно предотвратить данную проблему, сохранив текст на сторонних ресурсах или предприняв другие меры по резервированию важных переписок и сообщений.
Читать запись полностью »
Опубликовано: 19 июля 2016 года
Президент России Владимир Путин поручил Правительству подготовить переход органов власти, органов местного самоуправления и внебюджетных фондов на использование отечественных средств шифрования и криптографических алгоритмов.
Текст поручения опубликован на сайте kremlin.ru.
Поручение Президента России адресовано главе Правительства Дмитрию Медведеву. Оно должно быть исполнено к 1 декабря 2017 г.
Документ предписывает «Обеспечить разработку и реализацию комплекса мероприятий, необходимых для поэтапного перехода федеральных органов исполнительной власти, органов государственной власти субъектов Российской Федерации, государственных внебюджетных фондов, органов местного самоуправления на использование российских криптографических алгоритмов и средств шифрования в рамках исполнения полномочий при электронном взаимодействии между собой, с гражданами и организациями».
Согласно тому же документу, отечественные средства шифрования должны быть стойкими от взлома.
В документе это требование сформулировано так: «исключить применение оборудования, позволяющего третьим лицам вмешиваться в работу криптографических протоколов при передаче данных с использованием сети связи общего пользования».
Тем же поручением Владимир Путин распорядился, что граждане России должны иметь безвозмездный доступ к отечественным средствам криптографии для для электронного взаимодействия с органами государственной власти и местного самоуправления.
P.S.
Кстати,
«Магма»
Одним из самых известных используемых российских стандартов шифрования является ГОСТ 28147-89 (Магма) — межгосударственный стандарт симметричного шифрования, введённый в 1990 году.
Полное название — «ГОСТ 28147-89 Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования».
Шифроалгоритм является блочным. При использовании метода шифрования с гаммированием может выполнять функции поточного шифроалгоритма.
По некоторым сведениям, история этого шифра гораздо более давняя. Алгоритм, положенный впоследствии в основу стандарта, родился, предположительно, в недрах Восьмого Главного управления КГБ СССР (ныне в структуре ФСБ), в Воронежском НИИ Связи, вероятно, ещё в 1970-х годах в рамках проектов создания программных и аппаратных реализаций шифра для различных вычислительных платформ.
С момента опубликования ГОСТа на нём стоял ограничительный гриф «для служебного пользования», и формально шифр был объявлен «полностью открытым» только в мае 1994 года. История создания шифра и критерии разработчиков по состоянию на 2015 год не обнародованы.
В 2015 г. вместе с новым алгоритмом «Кузнечик» один из вариантов алгоритма ГОСТ-89 был опубликован под названием «Магма» как часть стандарта ГОСТ Р 34.12-2015.
Читать запись полностью »
Опубликовано: 10 июля 2016 года
В четверг, 07.07.2016, Президент России Владимир Путин подписал пакет антитеррористических законов, внесенный депутатом Ириной Яровой и сенатором Виктором Озеровым — так называемый «пакет Яровой».
«Президент подписал пакет документов, поправки к закону о мерах по противодействию терроризму. Вместе с этим пакетом подписан перечень поручений правительству, в котором кабмину поручается очень четко мониторить ход имплементации этого закона, чтобы при необходимости минимизировать возможные риски, связанные с расходами, использованием отечественного оборудования для хранения информации и прочее, и при необходимости выступать с должными инициативами по принятию соответствующих актов, которые бы эти риски минимизировали», — сообщил пресс-секретарь президента Дмитрий Песков.
Документы были одобрены Госдумой 24 июня и утверждены Советом Федерации 29 июня 2016 года.
1. Резонансные нормы
Многие положения первоначальной редакции пакета законов вызвали оживленную дискуссию как в обществе, так и среди парламентариев.
В частности, как ранее заявлял глава комитета по государственному строительству Андрей Клишас, речь шла о лишении гражданства бипатридов, уличенных в террористической деятельности, и запрете на выезд из РФ для экстремистов. Эти нормы, по мнению сенаторов, нарушали бы конституционные права граждан.
В окончательной редакции пакет «пришел без (лишения) гражданства, без ограничения въезда-выезда, тогда по части нашей компетенции все в порядке», отметил Клишас.
2. Черный день для операторов связи
Однако в документе сохранились положения о хранении в РФ операторами связи информации о фактах соединений абонентов в течение 3 лет, а самого контента, включая видео, до шести месяцев. Сейчас операторы в России в течение трех лет хранят сведения об абонентах (паспортные данные), их абонентских номерах и о расчетах, производимых с использованием этих номеров.
Для владельцев мессенджеров и соцсетей эти нормы были частично смягчены: им нельзя будет удалять сведения о фактах передачи информации и данные о пользователях в течение года, а не трех лет, как было в предыдущей версии законопроекта. Сократить сроки хранения данных потребовало правительство.
Согласно подписанному закону, операторы связи также должны будут предоставлять правоохранительным органам информацию о пользователях и об оказанных им услугах связи и другие данные. Мессенджеры и соцсети будут обязаны при использовании дополнительного кодирования сообщений пользователей представлять в ФСБ также и ключи для их декодирования.
За неисполнение этого требования для граждан штраф составит от 3 тысяч до 5 тысяч рублей; для должностных лиц — от 30 до 50 тысяч рублей; для юридических лиц — от 800 тысяч до 1 миллиона рублей.
Читать запись полностью »
Опубликовано: 5 июля 2016 года
Президент России Владимир Путин 30 июня 2016 года подписал федеральный закон «О внесении изменений в Федеральный закон «О государственной гражданской службе Российской Федерации» и Федеральный закон «О муниципальной службе в Российской Федерации».
Законом, в частности, вводятся требования о представлении сведений о размещении информации в Интернете к гражданам, претендующим на замещение должностей государственной гражданской службы или муниципальной службы, а также к государственным гражданским и муниципальным служащим.
Как сообщается на сайте Кремля, указанным лицам необходимо представить представителю нанимателя:
- сведения об адресах сайтов и (или) страниц сайтов в сети Интернет, на которых они размещали общедоступную информацию, а также данные, позволяющие их идентифицировать.
Гражданин, претендующий на замещение должности государственной гражданской или муниципальной службы, представляет указанные сведения при поступлении на службу за три календарных года, предшествующих году поступления на государственную гражданскую или муниципальную службу соответственно.
Государственные гражданские служащие и муниципальные служащие представляют указанные сведения (за исключением случаев размещения общедоступной информации в рамках исполнения своих должностных обязанностей) ежегодно за предшествующий календарный год не позднее 1 апреля года, следующего за отчётным.
Указанные сведения представляются по форме, которую должно разработать правительство Российской Федерации.
При этом также устанавливается, что гражданин не может быть принят на государственную гражданскую службу или муниципальную службу, а государственный гражданский служащий и муниципальный служащий не могут находиться на такой службе в случае непредставления указанных сведений.
Документ вступил в силу с 1 июля 2016 года.
Читать запись полностью »
Опубликовано: 28 июня 2016 года
Популярное американское издание привело мнения экспертов по информационной безопасности и порекомендовало немедленно прекратить пользоваться мессенджером Telegram.
Обманчивая реклама
Мессенджер Telegram имеет целый комплекс проблем безопасности и не обеспечивает пользователей тем уровнем надежности, который рекламируют его создатели, пишет популярное американское издание Gizmodo.
Ссылаясь на мнения специалистов по информационной безопасности, оно рекомендует немедленно прекратить пользоваться этим мессенджером.
Отсутствие шифрования по умолчанию
Одна из главных проблем заключается в том, что Telegram не шифрует чаты по умолчанию.
«Существует множество пользователей Telegram, которые думают, что общаются по зашифрованным соединениям. Но на самом деле это оказывается не так, потому что они просто не поняли, что эту функцию нужно самостоятельно включить в настройках», — прокомментировал старший технолог Американского союза борьбы за гражданские свободы Кристофер Согоян (Christopher Soghoian).
Создатели же Telegram утверждают совершенно иное. В FAQ на сайте мессенджера говорится, что он настолько же защищен, насколько WhatsApp. Но на самом деле WhatsApp использует наиболее надежный протокол шифрования, согласно мнениям экспертов, и шифрует все подряд — каждое сообщение и каждый телефонный звонок, пишет Gizmodo.
Собственный алгоритм шифрования
По мнению экспертов, на которых ссылается Gizmodo, создатели Telegram совершили большую ошибку, выбрав собственный протокол шифрования MTproto вместо открытых аналогов.
«Мы не знаем, насколько хорош этот протокол. И в этом проблема безопасности через неясность. Криптографы часто целиком публикуют алгоритмы шифрования. Но в случае с Telegram он скрыт. Пока вы не набрались достаточно опыта, не нужно браться за написание собственного алгоритма шифрования. Никто не понимает, зачем они за это взялись», — прокомментировал Алан Вудвард (Alan Woodward), профессор Университета Суррея в Великобритании.
«Они просто взяли и создали собственный протокол, — сказал изданию Daily Dot в прошлом году профессор по криптографии Университета Джонса Хопкинса Мэтью Грин (Matthew Green). — Согласно записям в официальном блоге мессенджера, у компании есть пара блестящих математиков — которые в действительности вовсе не криптографы, но достаточно умные, чтобы создать собственный алгоритм шифрования. Это на самом деле дикость. Криптограф не стал бы таким пользоваться. Я не знаю, есть ли в этом алгоритме уязвимости. Просто так не должно быть».
Слив метаданных
Читать запись полностью »