Корейское правительство проинспектировало популярные биржи криптовалюты и обнаружило там такое!!! Кликай, чтобы узнать больше!

Привет! в продолжение вчерашней темы о сетевом нейтралитете — интересная статья на geektimes на эту тему от читателя канала
https://geektimes.ru/post/297513/

PS а вообще клевая аудитория у канала! это вам не мемасики постить 🙂

Кстати, тоже в продолжение темы отношений правительств и криптовалю. Министерство финансов России опубликовало законопроект «О цифровых финансовых активах», регулирующий криптовалюты и проведение ICO (initial coin offering, аналог IPO для криптовалют).

В проекте закона даны определения цифровых финансовых активов, к которым отнесены криптовалюта и токен. Оба они не признаются законным средством платежа на территории РФ.

Обмен токенов на другую криптовалюту или рубли может происходить только через специальных операторов. Стать им может только зарегистрированное в России юридическое лицо, соблюдающее федеральные законы «О рынке ценных бумаг» или «Об организованных торгах».

При выпуске токенов должны публиковаться сопроводительные документы, основной из которых – публичная оферта. В ней следует описать все детали сделки по продаже токенов, а также раскрыть бенефициаров проекта. При этом неквалифицированные инвесторы (то есть, например, обычные люди) в рамках одного ICO не смогут приобрести токены более чем на 50 тысяч рублей. Сумма, которую хотел бы привлечь эмитент токенов на ICO, законопроектом не ограничивается.

https://www.minfin.ru/ru/document/?id_4=121810&page_id=2104&popup=Y&area_id=4

Откровения одной журналистки, которая, хоть и сделала себе сложный пароль, но в какой-то момент обнаружила (когда хакнули её банковский счет), что использовать один и тот же пароль в разных местах — чревато. Ну и парочка полезных советов про пароли, все очевидное, но все равно нужно повторять
https://www.inc.com/melissa-thompson/the-phone-call-that-changed-way-i-choose-my-passwords-forever.html

(я себе, кстати, на этот год запланировал задачу разобраться хорошенько с паролями, найти места, где еще применяется reuse паролей — да, мне стыдно — и исправить все, чтобы было правильно. Я даже жену уговорил наконец-то завести себе менеджер паролей, и вам рекомендую, если еще не)

многие знают про популярное приложение Tinder (даже я знаю, хотя я им не пользуюсь). Так вот, тут израильская компания Checkmarx продемонстрировала уязвимости в приложении, которые позволяют злоумышленникам, находящимся в одной с пользователем сети, следить за свайпами в приложении, видеть фотографии профилей, подменять их и тд. А все в связи с тем, что для передачи некоторых данных в приложении, не используется HTTPS

https://www.wired.com/story/tinder-lack-of-encryption-lets-strangers-spy-on-swipes/

по ссылке, зарегистрировавшись, можно скачать детальный отчет https://www.checkmarx.com/2018/01/23/tinder-someone-may-watching-swipe-2/

Только недавно я писал об истории, когда обнаружилось, что сайт производителя смартфонов OnePlus взломали и на протяжении нескольких месяцев воровали данные банковских карт покупателей на сайте (если раньше, чтобы подцепить вредоносное ПО, надо было купить смартфон с Android и установить на него какой-то софт, то с помощью OnePlus достаточно было просто купить смартфон, чтобы потерять данные карточки — оптимизация!). Так вот, тут в бете OxygenOS Open Beta 2 (это их форк Андроида для своих телефонов) обнаружилось еще более интересное: у приложения для буфера обмена нашелся странный файл badword.txt, в котором есть очень много интересных слов. файл на китайском, то есть пользователи на других языках вроде как не затронуты, но все же.
По порядку:
1. Там очень много ключевых слов, включая address, email, home, birthday, и проч. проч (я вставлю картинки со скриншотами чуть позже)
2. файлы лежат в шифрованной библиотеке teddymobile
3. teddymobile — компания, идентифицирующая пользователей по SMS-сообщениям
4. похоже, что OnePlus отправяет IMEI и другую информацию на сервера teddymobile
Короче, если у вас телефон OnePLus, то я бы задумался над тем, чтобы в будущем поменять его на телефон другого производителя, а то подход компании к данным пользователя что-то никому не нравится.

вот скриншоты с ключевыми словами

информация отсюда (там в треде есть еще дополнительная инфа и интересное обсуждение)
https://twitter.com/fs0c131y/status/956628910308982785

Ладно, OnePlus. Но эта контора Teddymobile сотрудничает и с другими производителями смартфонов, о чем можно прочитать прямо на их сайте. Кто знает, что они там собирают
teddymobile.cn/page/coop.do

Интересная ссылка от читателя канала, а также по совместительству — автора канала https://t.me/cypherdog/ — об очередной попытке создать максимально защищенный мессенджер. Он типа весь такой революционный, и для анархистов, что вызвало у меня немного усмешку, но интересно было почитать про архитектуру приложения
 
telegra.ph/Briar---revolyucionnyj-messendzher-01-24

тут мне подсказывают, что вдогонку про историю с OnePlus надо бы указать и некий вывод, сделанный автором изначального обнаружения подозрительной библиотеки в ОС OnePlus:
"пока что мы можем только сделать вывод о том, что это не нормально — включать такой SDK в приложение для управления буфером обмена, даже если это SDK неактивно"

https://twitter.com/fs0c131y/status/956920886120144897

можно относиться к деятельности Лаборатории Касперского как угодно (я знаю, что среди читателей канала весьма противоположные мнения на этот счет), но вот забавный тест про статью Медузы о Лаборатории Касперского, с помощью которого ЛК хорошо pwned Медузу
https://www.kaspersky.ru/blog/meduza-allegations-quiz/19553/

есть интересный апдейт про OnePlus:
The OnePlus story about sending data back to Chinese servers is complete and total FUD.
In short, this is what happens when people who don't know what they're looking at (for example, me) try to draw technical conclusions with incomplete information. No, OnePlus is not sending your bank account number to China, nor is it collecting your text messages.
And no, OnePlus isn't collecting its Chinese users' bank account numbers. The dude found a file of the *blacklisted* content that is explicitly voided out for collection on the Chinese ROM.
If you want to complain about data harvesting in China, have at it. We aren't in China.

https://twitter.com/RDR0b11/status/956951714870984704

биржа криптовалют Coincheck подтвердила взлом и потерю токенов на сумму примерно 533 миллиона долларов, что делает это самым большим взломом бирж за последнее время. Но нестрашно, как только в панике курс криптовалют опять рухнет, то сумма потерянных токенов сразу станет гораздо меньше. Блокчейн, говорили они, все транзакции отслеживаются, говорили они.  Никогда такого не было, и вот опять!

https://www.coindesk.com/coincheck-confirms-crypto-hack-loss-larger-than-mt-gox/

Интересно, список доменов, которые пытаются майнить криптовалюту в браузерах пользователей. Полезно добавить их в блокиратор рекламы
https://github.com/Marfjeh/coinhive-block/blob/master/domains

Кстати, на ту же тему - вот и в рекламах на ютюбе обнаружили майнеры криптовалют https://twitter.com/photovirus/status/957017836106416129

Собирался написать об этом в понедельник, но, чувствую, не стоит оттягивать. Есть такое приложение Strava - трекер бега и велосипедной езды, плюс социальный аспект - юзеры, друзья, лента, и тд. Мне многие велосипедисты советовали её, когда я купил велосипед в прошлом году. Приложение работает с кучей всяких трекеров и с Apple Watch, и записывает GPS-маршруты юзеров.

На этой неделе компания опубликовала информацию о триллионах ГПС-точек, которые записали её юзеры
https://medium.com/strava-engineering/the-global-heatmap-now-6x-hotter-23fc01d301de,
Прям сразу с картой, и маршрутами (я даже свой маршрут там обнаружил, потому что в моем районе только я езжу на велосипеде)
https://labs.strava.com/heatmap/

Все бы хорошо (и вы, наверно, думаете - а где же здесь опасносте информации?). Короче, лажа оказалась в чем. Видимо, Стравой любят пользоваться военные, и народ в Интернете сразу стал сравнить информацию из Стравы с известными военными базами и даже с местами, где, по слухам, находятся секретные точки армии и ЦРУ. УПС!