Интересная и полезная публикация у компании Элкомсофт об инструментах защиты пользовательской информации на устройствах с iOS/macOS: шифрованные DNS и DoH, встроенные инструменты по прятанию IP адреса, Tor-браузеры, прокси и VPN

https://blog.elcomsoft.com/2021/07/ios-privacy-protection-tools-encrypted-dns-ios-15-private-relay-proxy-vpn-and-tor/

=== РЕКЛАМА ===
Акрибия запустила альфа-версию сервиса Netlas.io, собственной разработки, над которой компания трудилась последние месяцы.

К тестированию приглашены все специалисты в области информационной безопасности, которым будут интересны и полезны собранные данные.

Netlas.io — это своеобразный технический атлас всей сети Интернет, который включает сертификаты, данные по доменам и поддоменам, ответы серверов по популярным портам и много другой полезной информации для исследователей безопасности. Актуальность данных в Netlas.io обеспечивает реализация процесса ETL (Extract, Transform, and Load), который включает в выдачу данные, поступающие во время сканирования, не старше минуты.

В период альфа-тестирования, который продлится несколько месяцев, сервис будет бесплатным для всех.

Для активных пользователей есть множество бонусов, которые будут полезны не только на период альфа-версии, но и после нее. Например, доступ к платному аккаунту на несколько месяцев.

Регистрируйтесь и оставляйте свои отзывы!Регистрируйтесь и оставляйте свои отзывы!

сообщения исчезают… исчезают сообщения…

https://signal.org/blog/disappearing-by-default/

Там, кстати, у Microsoft был Patch Tuesday вчера, и никогда не догадаетесь, что там выяснилось! Кликай на ссылку, чтобы узнать!

(51 патч уязвимостей, 7 критические, 1 активно эксплуатируется. Вы знаете, что делать)

https://isc.sans.edu/forums/diary/Microsoft+August+2021+Patch+Tuesday/27736/

Продолжая тему Apple и её инициативы по борьбе с детской порнографией — большое интервью главного по конфиденциальности в Apple изданию ТекКранч. Рекомендую попытаться абстрагироваться от вашего отношения к этим инициативам (какое бы оно не было), и внимательно почитать интервью. Из него можно вынести некое представление логики Apple, почему они вообще это затеяли, как пытались балансировать безопасность и конфиденциальность, и тд. Не все ответы я считаю удовлетворительными, и тема все равно остается очень спорной, но информация есть информация.

https://techcrunch.com/2021/08/10/interview-apples-head-of-privacy-details-child-abuse-detection-and-messages-safety-features/

Ну и чтобы два раза не вставать — на эту же тему тред в твиттере бывшего руководителя информационной безопасности Facebook Алекса Стамоса. Который, хотя и критикует Apple, но поясняет масштабы проблемы и вообще позволяет расширить горизонт понимания ситуации.  
https://twitter.com/alexstamos/status/1424054544556646407

Интересный материал у Wired, как полиция Нового Йорка покупает различные материалы для слежки: ПО для распознавания лиц, рентген-аппараты в микроавтобусах, перехватчики сотового сигнала и тд. И все это без какого-либо контроля со стороны общественности

https://www.wired.com/story/nypd-secret-fund-surveillance-tools/

но история дня, конечно, это планшет якобы сотрудника группировки Вагнер, который он, видимо, где-то забыл или потерял.

https://www.bbc.com/russian/features-58140986

https://www.bbc.co.uk/news/extra/8iaz6xit26/the-lost-tablet-and-the-secret-documents

«Были и несколько скачанных книг, включая Mein Kampf, "Игру Престолов" и руководство по виноделию»

А вот ФБ рассказывает, как будет прямо на устройстве анализировать, какую рекламу показывать пользователю

Given Apple’s tight control of the iPhone, the two will likely butt heads on an area of technology Facebook is exploring called “on-device learning.” Instead of sending data about users to the cloud, an algorithm runs locally on a phone to determine the kinds of ads someone would find compelling and then show them said ads. The results are later sent back to the cloud in an anonymized and aggregate format for advertisers to review.
“I think one of the challenges with on-device learning is that the compute resources required to do it are obviously under the control of the operating systems themselves,” Mudd told The Verge.

https://www.theverge.com/2021/8/11/22619639/facebook-plans-privacy-focused-advertising-revamp

Из рубрики «никогда такого не было, и вот опять» — украли деньги с PolyNetwork, децентрализованного протокола и сети, позволяющего перемещать криптовалюту между разными блокчейнами. Больше 600 млн долларов в виде криптовалюты, между прочим, ушло в кошельки предпринимателей (зачеркнуто) злодеев.

https://www.bleepingcomputer.com/news/security/over-600-million-reportedly-stolen-in-cryptocurrency-hack/

И очень интересный тред в твиттере о том, как, собственно, был организован взлом

https://twitter.com/kelvinfichter/status/1425217046636371969

Ну ладно, часть денег они, предположим, вернули

https://www.fxstreet.com/cryptocurrencies/news/poly-network-recovers-over-47-million-of-stolen-funds-in-largest-defi-hack-202108111435

Давненько про Print Spooler не было, да? А там опять zero day

https://threatpost.com/microsoft-unpatched-printnightmare-zero-day/168613/

Vice: T-Mobile расследует заявления о массовой утечке пользовательских данныхVice: T-Mobile расследует заявления о массовой утечке пользовательских данных

– T-Mobile расследует сообщения о продаже данных пользователей оператора
– Продавец написал на одном из форумов, что продает данные 100 млн человек
– Они включают номера, имена, адреса, IMEI, данные соцстрахования и др.
– Журналисты видели образцы данных и подтверждают их актуальность
– Продавец сказал, что удалось скомпрометировать несколько серверов
– За выборку из 30 млн продавец просит 6 биткоинов (около $270 тыс.)
– Выборка содержит номера соцстрахования и водительских прав
– Остальные данные продавец продает в частном порядке
– Продавец уже потерял доступ к бэкдору, но успел загрузить данные локально

This is fine

https://www.forbes.ru/tehnologii/437419-google-predupredil-o-riskah-dlya-rossii-v-sluchae-proigrysha-v-sude-cargradu

Боб Дьяченко, исследователь безопасности, часто фигурирующий с новостями в этом канале, опять с нами! В этот раз он нашёл сервер Elasticsearch, доступный из интернета, и не защищённый паролем. Пока что все как обычно, но в этот раз данные на сервере содержали 1,9 млн записей людей, подозреваемых в связях с террористическими организациями, включая т, кому запрещено летать. Имена, страна гражданства, пол, дата рождения, паспортные данные и тд. Судя по всему, данные принадлежали центру мониторинга террористов ФБР - Terrorist Screening Center (TSC). Данные были проиндексированы поисковиками, так что высока вероятность, что они куда-то уже утекли. Так еще и соответствующим органам заняло 3 недели убрать данные из доступа.

https://www.bleepingcomputer.com/news/security/secret-terrorist-watchlist-with-2-million-records-exposed-online/

Accenture - одна из крупнейших компаний по ИТ-услугам - стала жертвой вируса-вымогателя. Что там про сапожников без сапог?

https://www.thecybersecuritytimes.com/accenture-has-been-hit-by-lockbit-ransomware-demanding-50-million/

Вдогонку к теме взлома T-Mobile, о котором я форвардил пост в канал пару дней назад. Оператор подтвердил факт несанкционированного доступа к данным компании, но пока что не может подтвердить, были ли затронуты пользовательские данные. Но на всякий случай говорит, что все точки входа для доступа к таким данным теперь точно надёжно перекрыты. Очень похоже на то, как обычно гасят пиар-скандалы, потихоньку сливая инфу, а там уже через неделю все морально привыкнут, что опять все данные украли, и масштаб скандала будет гораздо меньше

https://www.zdnet.com/article/t-mobile-says-hackers-accessed-user-data-but-wont-confirm-ssn-breach-of-100-million-customers/

За прошедшее с последнего поста о борьбе Apple против контента с детским порно у меня накопилось какое-то количество полезных и интересных ссылок по поводу, поэтому сразу вывалю все в одном посте.

1. Мы записали в рамках подкаста Купертино выпуск, где как раз обсуждаем эту инициативу Apple, за и против, и потенциальные угрозы, которые могут от этого возникать

Видео https://youtu.be/TEWvz8uGeh4
Аудио  
Яндекс.Музыка https://music.yandex.ru/album/16846312
Google Podcast https://bit.ly/3CRzEI1
Apple Music https://apple.co/3ARCD2o

2. Крейг Федериги, главный в Apple по софту, дал интервью WSJ, в котором ответил на многие вопросы и дал разъяснение по поводу инициативы. Основное, что мы узнали из этого интервью — предел, после которого будет срабатывать алгоритм ручной проверки, составляет 30 изображений, хэш которых совпадет с уже известным CSAM. По мнению экспертов, такой высокий порог свидетельствует больше о желании ограничивать массовый общий доступ к фото, нежели поиск создателей такого контента.
https://on.wsj.com/3xDBbxK


3. Apple опубликовала дополнительный документ, в котором описала свои соображения по поводу модели угроз для всей этой системы проверок. Мне показалось самым интересным то, что база хэшей на устройстве будет содержать в себе только те записи, которые были поданы двумя или большим количеством независимых организаций, занимающихся детской безопасностью, которые при этом находятся в разных юрисдикциях и не находятся под контролем одного и того же правительства. Это должно предотвратить попадание в такую базу контента, который некое правительство вдруг посчитало вредным и решило бороться с инакомыслием. Кроме этого, будет опубликован root hash зашифрованной базы, и что у пользователей будет возможность проверить его и сравнить с тем, который должен быть на самом деле. Кроме того, будет существовать некий независимый аудитор системы.

https://www.apple.com/child-safety/pdf/Security_Threat_Model_Review_of_Apple_Child_Safety_Features.pdf

4. Интересное интервью с Алекс Стамос, бывшим директором Facebook по безопасности, в котором он озвучивает свои мысли по поводу инициативы Apple и возможные риски, связанные с внедрением такой технологии
https://www.getrevue.co/profile/themarkup/issues/decrypting-apple-s-plan-to-scan-photos-on-your-phone-716040

5. Corellium, компания, которая предоставляет доступ к виртуализированным iPhone в облаке (которая была объектом судебного иска Apple по этому поводу, и иск только на прошлой неделе был отозван), инициировала свою собственную программу по исследованию безопасности устройств. В рамках этой инициативы они призывают исследователей проверить все предложения и заявления Apple касательно безопасности и конфиденциальности подхода сканирования контента на устройствах пользователей. Призы — 5 тыс долларов в виде грантов и 1 год бесплатного доступа к сервису Corellium.
https://www.corellium.com/blog/open-security-initiative

FIGHT!