20475
Чаще про c̶y̶b̶e̶r̶s̶e̶x̶ cybersec Нет, «опасносте» не опечатка @alexmaknet Размещение рекламы остановлено в связи с войной России против Украины
👀 Закон о сборе и хранении биометрии россиян – это ловушка. И вот почему
В России в ближайшее время заработает закон о сборе и хранении биометрических данных россиян. В Госдуме его принимали в спешке, со скандалом и только голосами «Единой России». Скоро документ подпишет Путин.
Хотя новый закон отчасти повторяет то, что уже написано в других действующих законах, его все равно можно назвать эпохальным. Вся биометрия россиян будет храниться только в государственной базе. Уже сданные образцы голоса и изображений лиц банки (прежде всего, Сбер) обязаны до 30 сентября 2023 года передать государству.
Формально власти продвигают сдачу биометрии как возможность для граждан быстрее получать государственные и банковские услуги. Однако главным бенефициаром закона следует признать полицию и спецслужбы. База биометрических данных россиян и стремительное внедрение камер в российских городах дают им фактически неограниченные возможности для слежки. Прежде всего, за теми, кто выступает против власти.
Но даже если вы «вне политики», то спешить со сдачей биометрии не нужно. Хотя государство уверяет, что данные будут надежно защищены, опрошенные нами эксперты (например, автор канала «ЗаТелеком» Михаил Климарев) в этом сильно сомневаются.
Подробный разбор нового закона в новом выпуске «Пояснительной записки».
Ok, LastPass опять с апдейтом о взломе. В лучших традициях пиара, апдейт опубликовали незаметно под самое Рождество. Но суть такая, что после взлома украли не только кучу информации о пользователях, но и сами сейфы с паролями:
To date, we have determined that once the cloud storage access key and dual storage container decryption keys were obtained, the threat actor copied information from backup that contained basic customer account information and related metadata including company names, end-user names, billing addresses, email addresses, telephone numbers, and the IP addresses from which customers were accessing the LastPass service.
The threat actor was also able to copy a backup of customer vault data from the encrypted storage container which is stored in a proprietary binary format that contains both unencrypted data, such as website URLs, as well as fully-encrypted sensitive fields such as website usernames and passwords, secure notes, and form-filled data. These encrypted fields remain secured with 256-bit AES encryption and can only be decrypted with a unique encryption key derived from each user’s master password using our Zero Knowledge architecture. As a reminder, the master password is never known to LastPass and is not stored or maintained by LastPass. The encryption and decryption of data is performed only on the local LastPass client. For more information about our Zero Knowledge architecture and encryption algorithms, please see here.
Утверждается, что все шифровано и перешифровано, но параноиков это не убедит, я думаю
https://blog.lastpass.com/2022/12/notice-of-recent-security-incident/
Впрочем, чуть не пропустил, что у Microsoft тоже Patch Tuesday сегодня!
https://msrc.microsoft.com/update-guide/en-us
48 уязвимостей, включая 6 критических
што вообще как
https://twitter.com/0xVeera/status/1601918063989108736
Данные почти всех сотрудников «Билайна», включая адреса корпоративной электронной почты, номера мобильных и домашних телефонов, закодированные ФИО и др., оказались в открытом доступе. Первым об этом сообщил Telegram-канал «Утечки информации». Представитель «Билайна» подтвердил факт утечки.
https://www.vedomosti.ru/technology/articles/2022/12/01/953164-informatsiya-bilaina-utekla
а вот еще хороший тред в твиттере, как уязвимость в сервисе спутникового радио для автомобилей SiriusXM — который, как оказалось, также предлагает услуги “подключенных автомобилей”, привела к проблемам у автопроизводителей. В частгости, можно было удаленно разблокировать, включать аварийку, запускать двигатель, получить информацию о местоположении автомобиля — зная лишь его VIN. Касалось это автомобилей Honda, Acura, Nissan, Infiniti. Исследователи сообщили об уязвимости в SiriusXM и те исправили её.
https://twitter.com/samwcyo/status/1597792097175674880
какаято мутная история про то, что камеры Eufy якобы закидывают в свое облако картинки с камеры, даже если облачная функциональность у камеры отключена — пока что это касается превьюшек с видео. Там дальше начинается еще более странное что-то, про то, что стримы с камер можно смотреть с помощью VLC, а данные при этом передаются без шфирования (хотя, конечно же, компания на сайте рассказывает про military grade encryption. я обычно как вижу такое обещание, сразу думаю “пиздят”). там есть и ответ компании про то, что такие превьюшки нужны для уведомлений через пуши об обнаружении объектов на видео, и потом они удаляются. и компания сожалеет, что толком этого не объяснила. ну не знаю, “без облака” должно значить “без облака”, и нефиг тут.
https://www.macrumors.com/2022/11/29/eufy-camera-cloud-uploads-no-user-consent/
Ирландия продолжает штрафовать Фейсбук за утечку данных 500 млн пользователей, теперь еще на 275 млн долларов. Всего сумма штрафа приближается уже к 1млрд долларов. Тогда, напомню, у многих юзеров утекли имейлы, номера телефонов и у некоторых — геолокационные данные.
https://www.thestreet.com/social-media/meta-fined-275-million-in-irish-data-leak-case
интересно, что “взлом whatsapp”, о котором успели написать некоторые издания (“500 миллионов украли!!!”), и не взлом вовсе
https://www.linkedin.com/posts/alon-gal-utb_whatsapp-notabreach-stopscrapingyoulittleshits-activity-7001821915610800128-nSR_/
(вот пример такой статьи о взломе https://cybernews.com/news/whatsapp-data-leak/)
в принципе, трех минут достаточно должно быть
https://www.smh.com.au/national/queensland/hackers-show-porn-on-brisbane-billboard-for-three-minutes-20221121-p5bzyc.html
как чувак нашел уязвимость в Google Pixel, позволявшую разблокировать любой заблокированный телефон и получил за это 70 тыс долларов
https://bugs.xdavidhu.me/google/2022/11/10/accidental-70k-google-pixel-lock-screen-bypass/
https://source.android.com/docs/security/bulletin/2022-11-01
По информации телеграм канала @Data1eaks, в базе содержатся 7.237.427 уникальных телефонов, которые уже доступны в боте @PhoneLeaks_bot. На популярном хакерском форуме продается полная база данных. Файл с промокодами и два файла с пользователями содержат следующие поля:
• Имя;
• Эл. почта;
• Телефон;
• Часть данных банковских карт;
• Другие детали.
https://www.securitylab.ru/news/534762.php
«Проукраинские» хакеры похитили данные пользователей подконтрольного «Газпром-медиа» сервиса Yappy, сообщают профильные Telegram-каналы и подтверждают источники «Ъ». В открытом доступе оказались таблицы на 2 млн строк, в них содержатся ФИО, мобильные телефоны, даты регистрации и другие данные пользователей сервиса. Эксперты предполагают, что злоумышленники получили доступ к данным через аккаунт одного из администраторов сервиса.
https://www.kommersant.ru/doc/5653066
ноябрьский Patch Tuesday у Microsoft. 68 уязвимостей, включая 4 zero day
-CVE-2022-41128, JScript9 RCE, via Google TAG
-CVE-2022-41091, MOTW bypass
-CVE-2022-41073, Print spooler EoP, via MSTIC
-CVE-2022-41125, CNG EoP
https://rawcdn.githack.com/campuscodi/Microsoft-Patch-Tuesday-Security-Reports/1a976afcf461b6f104d40601305e4c9773175f57/Reports/MSRC_CVEs2022-Nov.html
epixoip/109570449317277575" rel="nofollow">https://infosec.exchange/@epixoip/109570449317277575
Читать полностью…
Okta, a leading provider of authentication services and Identity and Access Management (IAM) solutions, says that its private GitHub repositories were hacked this month.
According to a 'confidential' email notification sent by Okta and seen by BleepingComputer, the security incident involves threat actors stealing Okta's source code.
https://www.bleepingcomputer.com/news/security/oktas-source-code-stolen-after-github-repositories-hacked/
у Apple день апдейтов сегодня, и там в каждом апдейте по пачке фиксов различных уязвимостей
macOS 13.1 https://support.apple.com/kb/HT213532
iOS/iPadOS 16.2 https://support.apple.com/kb/HT213530
и прочие tvOS/watchOS. Если вдруг вы не хотите апдейтиться на последние macOS/iOS, то для macOS 12.6 и 11.7 тоже вышли апдейты с фиксами
https://support.apple.com/kb/HT213533
https://support.apple.com/kb/HT213534
для последней версии iOS/iPad OS 15.7 тоже вышли апдейты
https://support.apple.com/kb/HT213531
в принципе, ужасов-ужасов в логах я не вижу, но вот, например, есть интересное
Available for: macOS Ventura
Impact: Processing maliciously crafted web content may lead to arbitrary code execution. Apple is aware of a report that this issue may have been actively exploited against versions of iOS released before iOS 15.1.
Description: A type confusion issue was addressed with improved state handling.
WebKit Bugzilla: 247562
CVE-2022-42856: Clément Lecigne of Google's Threat Analysis Group
Тред, подчеркивающий, что в интернете нельзя публиковать никаких фотографий вообще - вычисление расположения нового бомбардировщика США
https://twitter.com/johnmcelhone8/status/1600683623250030593
Новые изменения безопасности систем Apple
Apple сегодня анонсировала целый набор существенных изменений в различных системах, обеспечивающих безопасность своих операционных систем и облачного сервиса iCloud. Я, увлекаясь темой информационной безопасности как хобби, могу только поприветствовать такие изменения.
Основных изменений три:
– Проверка ключей контактов в iMessage
– Поддержка физических ключей безопасности для акаунтов Apple ID
– Дополнительные разделы iCloud, которые теперь будут зашифрованы сквозным шифрованием.
Проверка ключей контактов при обмене сообщений в iMessage важна для тех людей, кто может испытывать на себе чрезмерный интерес различных органов — от разведывательных до государственных, например, журналисты. В этом случае те пользователи, которые активировали iMessage Contact Key Verification, получат сообщения, если в переписке будет замечено неавторизованное устройство (например, злоумышленники взломали учетку одного из участников переписки и вошли в нее со своего устройства, что позволяет получать на это устройство сообщения из переписки).
https://alexmak.net/2022/12/07/apple-security-enhancements/
прекрасное, если правда
https://twitter.com/MsMelChen/status/1597807914395500545
В августе была новость про взлом сервиса LastPass (/channel/alexmakus/4788). К сожалению, у истории есть продолжение — используя информацию, похищенную в августовском взломе, злоумышленники получили новый доступ к системам компании. В этот раз, похоже, и доступ к некоторой пользовательской информации — какой именно, не уточняется. Пароли, утверждается, “не задеты”.
https://blog.lastpass.com/2022/11/notice-of-recent-security-incident/
29 уязвимостей в драйверах Nvidia, включая пару весьма критичныэ. к счастью, исправлены последним апдейтом
https://www.bleepingcomputer.com/news/security/nvidia-releases-gpu-driver-update-to-fix-29-security-flaws/
Хоть что-то хорошее от прихода Маска в Твиттер - говорят, что на базе протокола Signal сделают сквозное шифрование для direct messages в сервисе. Посмотрим, как они это объединят между вебом и разными клиентами, включая сторонние.
https://www.tesmanian.com/blogs/tesmanian-blog/twitter-will-adopt-the-signal-protocol-for-encrypted-dms-says-security-researcher
“We assessed the vulnerable component to be the Boa web server, which is often used to access settings and management consoles and sign-in screens in devices. Despite being discontinued in 2005, the Boa web server continues to be implemented by different vendors across a variety of IoT devices and popular software development kits (SDKs). Without developers managing the Boa web server, its known vulnerabilities could allow attackers to silently gain access to networks by collecting information from files. Moreover, those affected may be unaware that their devices run services using the discontinued Boa web server, and that firmware updates and downstream patches do not address its known vulnerabilities.”
https://www.microsoft.com/en-us/security/blog/2022/11/22/vulnerable-sdk-components-lead-to-supply-chain-risks-in-iot-and-ot-environments/
на протяжении последних пары недель было несколько новостей о том, что Apple активно собирает из своих приложений продуктовую аналитику, даже если пользователь при настройке телефона указывал свое несогласие отправлять аналитику в Apple. Теперь за это против Apple подали иск в суд
https://news.bloomberglaw.com/litigation/apple-hit-with-class-action-over-tracking-of-mobile-app-activity
https://www.bloomberglaw.com/public/desktop/document/LibmanvAppleIncDocketNo522cv07069NDCalNov102022CourtDocket?1668427016
https://gizmodo.com/apple-iphone-analytics-tracking-even-when-off-app-store-1849757558
https://www.youtube.com/watch?v=8JxvH80Rrcw
А что случилось? куда подевались суверенные сертификаты?
Читать полностью…
для macOS/iOS тоже вышли апдейты (macOS 13.0.1 и iOS 16.1.1/iPadOS 16.1.1), исправляющие парочку CVE
https://support.apple.com/en-us/HT213504
https://support.apple.com/en-us/HT213505
К слову о патчах Microsoft - пара CVE в Windows Server
https://support.microsoft.com/en-us/topic/kb5021131-how-to-manage-the-kerberos-protocol-changes-related-to-cve-2022-37966-fd837ac3-cdec-4e76-a6ec-86e67501407d
https://support.microsoft.com/en-us/topic/kb5020805-how-to-manage-kerberos-protocol-changes-related-to-cve-2022-37967-997e9acc-67c5-48e1-8d0d-190269bf4efb
Изменения затронут только Россию — для пользователей за пределами страны набор функций и VPN-серверов не изменится. Русскоязычная версия приложения останется на сайтах компании и в магазинах приложений. В пресс-службе компании отказались комментировать «Интерфаксу» причины отключения VPN-приложения.
https://vc.ru/services/535076-laboratoriya-kasperskogo-otklyuchit-svoy-vpn-servis-v-rossii