Size: a a a

Информация опасносте

2018 January 18
Информация опасносте
Если вы думали, что на Meltdown/Spectre все закончится, то у меня для вас плохие новости - не закончится. Судя по тизеру, дальше будет хуже (впрочем, это давно девиз этого канала) https://skyfallattack.com/

АПД. Важно отметить, что пока что эксперты склоняются к тому, что это может оказаться фейком, так что выжигать процессоры паяльником пока что ещё рано
источник
Информация опасносте
интересно, когда стоимость биткойна упадёт, прекратятся ли эти попытки майнить криптовалюты браузерами пользователей?
https://research.checkpoint.com/rubyminer-cryptominer-affects-30-ww-networks/
источник
Информация опасносте
Пользователям Virtual Box будет полезно узнать, что там вышел апдейт, исправляющий дыру, позволявшую выходить из виртуальной машины в хост. А это означает, что информация об уязвимости теперь доступна публично, так что кто не проапдейтился - сам виноват
https://twitter.com/_niklasb/status/953604276726718465
источник
Информация опасносте
В интернете сейчас циркулирует якобы ещё одна лажа в macOS, в рамках которой вроде как неадминский юзер может установить расширение ядра, нажав кнопку в системных настройках, не вводя админские логин и пароль.
https://twitter.com/wdormann/status/953651214532726789
Похоже, что это та проблема, которая выглядит хуже, чем на самом деле, потому что в данном случае пользователь уже авторизовался в установщике, введя там админский пароль, поэтому в настройках используется информация об этой авторизации. Так что вроде как работает все как и должно, но панику в интернете развести это никогда не мешало
источник
2018 January 19
Информация опасносте
источник
Информация опасносте
Все очень и очень плохо (сами решайте в каком смысле)
источник
2018 January 22
Информация опасносте
Привет! продолжаем наши апдейты из мира, где все плохо. Вряд ли многие из вас покупали что-то прямо на сайте OnePlus (популярный производитель смартфонов с Android), но вам будет интересно узнать, что компания обнаружила взлом сайта, который позволял злоумышленникам воровать данные банковских карточек покупателей. Проблема зацепила примерно 40 тысяч покупателей, данные кредиток которых были украдены.

информация от самой компании тут https://forums.oneplus.net/threads/jan-19-update-an-update-on-credit-card-security.752415/

На сайте жил скрипт, воровавший данные прямо из браузера пользователей, поэтому украдены и коды безопасности банковских карточек
https://birchtree.me/blog/why-onepluss-credit-card-data-breach-is-particularly-bad/
источник
Информация опасносте
Помните Meltdown/Spectre? Вот и RedHat помнит, но пока что откатили патчи, потому что сильно повлияло на стабильность системы https://access.redhat.com/solutions/3315431
источник
Информация опасносте
интересная история про расширение для Хрома, которое кликает за юзеров по видео, и которое практически невозможно удалить с компьютера пользователя. Было доступно из Google Chrome extensions store, и заняло Гугл почти 3 недели, чтобы его убрать из магазина
https://arstechnica.com/information-technology/2018/01/malicious-chrome-extension-is-next-to-impossible-to-manually-remove/
источник
Информация опасносте
не совсем по теме "опасносте", но по теме IoT, которую я тоже очень люблю. У Nokia (известного производителя телефонов эпохи раннего айфона) есть теперь еще "умные" весы, которые в том числе умели замерять скорость, с которой кровь течет по венам. Чем быстрее течет — тем, якобы, лучше здоровье. Так вот, Nokia собралась эту фичу отключить, потому что регуляционные органы не уверены в корректности подобных утверждений без дополнительного тестирования. И отключение будет без выбора — всем накатят автоматически апдейт завтра и фича тютю. Помните об этом, когда в следующий раз будете покупать очередной "умный" гаджет, что производитель может прокинуть вас через... ну, скажем, колено, только так, и мнения вашего особо не спросит — а фичи как не бывало. а то и устройство превратится в что-то, чем можно только гвозди забивать. (это в добавок к приветам от IoT с потерей персональных данных или участием в бот-сетях)
https://www.engadget.com/2018/01/22/nokia-disables-pulse-wave-velocity-body-cardio/
источник
Информация опасносте
Кстати, тут еще и HP откатила патчи, минимизирующие эффект Meltdown/Spectre, в связи с проблемами стабильности, возникающими после установки апдейта. проблема в микрокоде, который предоставила Intel в виде решения уязвимости Spectre

https://support.hpe.com/hpsc/doc/public/display?docId=emr_na-a00039784en_us&hprpt_id=HPGL_ALERTS_1997698&jumpid=em_alerts_us-us_Jan18_xbu_all_all_1427307_1997698_ServersMoonshotSystemsSynergy_critical__/

при этом Intel подтвердила наличие этой проблемы, сообщив, что они её идентифицировали, уже вроде как исправили, и начали тестирование с партнерами, а как закончат тестирование — выпустят всем
https://newsroom.intel.com/news/root-cause-of-reboot-issue-identified-updated-guidance-for-customers-and-partners/

пользователям Apple, говорят, можно не беспокоиться, потому что Apple не использует микрокод Intel
источник
2018 January 23
Информация опасносте
чипокалипсис не отпускает. теперь патчи решила придержать VMware
https://kb.vmware.com/s/article/52345

а Intel выложила список процессоров, которые не рекомендует обновлять: Broadwell, Haswell, Coffee Lake, Kaby Lake, Skylake и Ivy Bridge. Серверам с Xeon и Ivy Bridge тоже лучше пока не спешить
https://newsroom.intel.com/wp-content/uploads/sites/11/2018/01/microcode-update-guidance.pdf

короче, с этими уязвимостями стало понятно, что а) кластерфак еще тот, б) лучшая иллюстрация, что поспешишь — багов наплодишь.
источник
Информация опасносте
тут интересная история из твиттера подъехала. некий перец, вроде как живущий в Китае, рассказал прохладную былину о том, что его друг пользовался VPN в Китае, местные власти это определили и теперь iPhone больше не айфон. Более того, якобы этот друган пошел в Apple Store, сказал, что он пользовался VPN в Китае, и там сотрудник Apple сказал "ну вот тебе и причина, теперь тебе нужен новый телефон". Мол, китайские власти умеют удаленно что-то такое делать с телефоном, после чего он выходит из строя. Звучит, конечно, как конкретное гонево, но я не удивлюсь, если в какой-то момент вся эта история вылезет в качестве новостей во всех СМИ — с них станется.
источник
Информация опасносте
источник
Информация опасносте
Разработчик Google поделился интересной статистикой, что менее 10% активных учетных записей Google пользуются двухфакторной авторизацией
источник
Информация опасносте
у меня, если честно, речь после такой статистики отнимает. Почта в современном мире — это то, на что завязаны все остальные сервисы, чаще всего. в почте хранится огромное количество персональных данных. в почте, в конце концов, хранятся контакты других людей, которых после взлома тоже будут либо взламывать, либо спамить. если на что-то и настраивать 2FA, то это в первую очередь на почту. Да, в этом есть неудобства, я сам матерюсь каждый раз, когда надо идти в приложение с кодами доступа, но это тот дискомфорт, на который я согласен ради безопасности своих данных. Эх :(
источник
Информация опасносте
анатомия взлома почты. 14 минут на логин, удаление почты с нотификацией, экспорт контактов, рассылку почты с фишинговыми линками и логаут.
источник
Информация опасносте
а вот, кажется, грядет отмена сетевого нейтралитета в российском интернете
https://www.rbc.ru/technology_and_media/23/01/2018/5a66091f9a79473f3441723c
Они, конечно, будут называть это красивыми словами про  "мягкую сетевую нейтральность" и "разумными ограничениями", но вы-то знаете, как это будет на самом деле.
источник
Информация опасносте
кстати, интересный момент (спасибо, Никита, что натолкнул на мысль это поисследовать). В России, в общем-то, считается, что сетевого нейтралитета и так нет, а, значит, и отменять нечего 🙂

Вот, например, цитата:
В России есть сетевой нейтралитет?
Нет, причём сами власти содействуют этому. 25 февраля Минкомсвязь опубликовала список сайтов рунета, к которым у жителей страны должен быть бесплатный доступ в рамках универсальной услуги связи. Среди них — портал «Госуслуги» и серверы ЦБ и Центризбиркома. В то же время из СМИ в этот список попали, к примеру, «Русская служба новостей» и телеканал НТВ.

Против сетевого нейтралитета в России по факту выступают и провайдеры. Они вводят разные тарифы для доступа физических и юридических лиц. Кроме того, они меняют скорость трафика в зависимости от сайта, на который заходит пользователь. Некоторые операторы, например МТС и «Вымпелком» («Билайн»), вводят специальные «нулевые зоны» — адреса, при заходе на которые трафик не тарифицируется. Так, можно бесплатно зайти в облегчённые версии страниц Facebook, «ВКонтакте», «Одноклассники», Livejournal.com, «Яндекс.Карты». При этом Федеральная антимонопольная служба ещё в 2012 году заявила, что в таком случае, даже если у неё возникнут вопросы к оператору, это ещё не означает автоматически судебное разбирательство.
https://apparat.cc/world/about-net-neutrality/

или вот еще
Что в России?
В России нет особого законодательства, регулирующего сетевой нейтралитет, однако в теории провайдеры, злоупотребляющие навязыванием пользователю услуг, могут нарушать закон о связи.
Как показывает практика, подобная деятельность нередко заканчивается медийным скандалом.
"Провайдеры совершенно спокойно вмешиваются в канал связи между пользователем и сайтом, это сплошь и рядом бывает. Например, "Билайн" в мобильном интернете добавлял свое меню. Можно вспомнить сервис очень забавный в питерском Ростелекоме - "Космобонус", [в котором] компании платили за привлечение клиентов. Например, вы заходили на сайт aviasales.ru, а Ростелеком делал вид, что вы пришли через "Космобонус". Или санкт-петербургский провайдер "Веб Плас" блокировал более дешевые услуги, и требовал переходить на услугу на пять долларов дороже", - рассказал Русской службе Би-би-си создатель сайта Roem.ru Юрий Синодов.
При этом перспективы тяжбы и привлечения операторов к суду за подобные действия выглядят в российских реалиях весьма туманно.
"Больше всего операторы боятся нарушения закона о связи. Внедрение в передаваемый трафик своего кода - это нарушение конфиденциальности, но юристы операторов, конечно, стараются подстелить все соломки. Пока хватало скандалов, но если бы я юридически решал вопрос, я бы нашел зубастого юриста, который бы прицепился именно к нарушению тайны связи", - считает Синодов.
http://www.bbc.com/russian/features-40557357

А отменять то, чего нет — очень сложно.
Apparat
Всё, что нужно знать о сетевом нейтралитете
Федеральная комиссия по коммуникациям США (FCC) решила узаконить сетевой нейтралитет, несмотря на протесты интернет-провайдеров. Тем временем, Республиканцы подготовили законопроект, который может заблокировать решение FCC. Право на равный доступ ко всем интернет-ресурсам является предметом споров как в России, так и за рубежом. Apparat следит за тем, как меняется отношение к сетевому нейтралитету в разных странах. Что такое сетевой нейтралитет? Если кратко, то право человека на равный доступ ко всем интернет-ресурсам. Термин придумал профессор права Колумбийского университета Тим Ву в начале 2000-х годов. Речь идёт прежде всего о скорости подключения и необходимости дополнительной платы за него в определённых случаях. К примеру, у вас есть стандартный пакет с доступом в интернет. При этом скорость подключения к сайтам вроде YouTube уменьшается по желанию провайдера, и, чтобы посмотреть видео в хорошем качестве, вам нужно заплатить ещё немного денег. Изначально в интернете соблюдался
источник
Информация опасносте
Хорошие новости для Мак-юзеров на старых системах. Для Sierra и El Capitan вышел Security Update 2018-001, минимизирующий риски для уязвимости Meltdown
https://support.apple.com/en-us/HT208465
источник