Последствия наших намерений

Вряд ли американцы намеревались поддержать разработчиков Tor, когда начинали свою программу PRISM. И, тем не менее, именно это у них и получилось: после того, как Сноуден обнародовал информацию о ней, количество пользователей знаменитого анонимайзера возросло многократно. Иначе, впрочем, и быть не могло.

Вот график роста популярности Tor'а (взят с Хакер.ру):

Как правильно пишут на "Хакере", ничем кроме попыток скрыться от всевидящего ока спецслужб, такой резкий рост популярности объяснить невозможно.

Понятно дело, когда затевался проект PRISM, никто и не задумывался о том, что в итоге он станет достоянием общественности (хотя догадаться о том, что так всё и будет, было, скажем прямо, несложно), поэтому и о том, что в итоге PRISM приведет к росту недовольства со стороны населения, не подумали.

Можно провести аналогию с внедрением DLP-системы. Вы молча внедряете её, никому ничего не говоря, и потом увольняете нескольких сотрудников за то, что те "сливают" данные конкурентам. Дальше отделу информационной безопасности нужны новые победы, и они штрафуют уже тех, кто просто сидит в "Одноклассниках". В итоге, каждый сотрудник рано или поздно узнает, что в компании есть работающая DLP-система. Отношение к ней такое же, как к PRISM - "вы за нами следите", "какое у вас право" и так далее. Все недовольны, некоторые даже уходят. Вместо плюсов от внедрения сплошная головная боль.

Совсем иначе обстоят дела, если вы заранее сообщили сотрудникам о наличии DLP-системы. Что было бы с той же PRISM, если бы о ней технически грамотным языком сообщили заранее широким массам? Скорее всего, ничего. Поговорили да забыли. То же самое и тут. Да, возможно, станет немного сложнее вылавливать инсайдеров, которые действуют против вас. Ну так и им действовать станет труднее. В конечном итоге, при систематической работе ИБ-службы все они всё равно попадутся.

Лето заканчивается...

Скоро прозвенит первый в этом году школьный звонок - к счастью, уже не для нас, мы будем заниматься более интересными делами:). В конце лета я сначала хотел сделать обзор самых интересных новостей из сферы информационной безопасности, которыми нас порадовало это лето. Но потом решил, что ковыряться в старых новостях не очень интересно, да и пост получится совершенно невероятных размеров. Поэтому решил ограничиться этой неделей, благо, прокомментировать тоже есть что.

Хакеры распространяют вирус, предварительно замаскировав его под уведомление от Facebook. Ну, наконец-то додумались. Молодцы. Честно говоря, я уже давно ждал, когда же таким  приемом начнут пользоваться не только фишеры, и не только рассылая приглашения якобы от имени социальной сети. В этой новости не было бы ничего интересного, если бы не тот факт, что Facebook'у придется как-то защищать свои уведомления и в самой соцсети. Я бы предложил как решение цифровую подпись, хотя, скорее всего, никто этим "заморачиваться" не будет, просто оставив всё как есть. Но проблема уже наболела, так что если не Facebook, то кто-нибудь должен начать её решать.

Палестинские хакеры пригрозили стереть Израиль с карт Google. Ну, как говорится, не получается в реале - хоть на Google Maps вас сотрем. Вообще, мысль достаточно интересная, потому что война на электронных картах - тоже, в общем-то, разновидность кибервойн, только, пожалуй, самая гуманная из всех. Конечно, Google вряд ли будет рад тому, что все противоборствующие стороны будут ломать его карты, но это всё-таки явно лучше, чем перекраивание реальных границ с автоматами и танками.

Ну и, конечно, не обошлось без новостей с родины. МВД намерено серьезно бороться с азартными играми в Сети, то есть, говоря русским языком, заблокировать доступ к онлайн-казино. Понятно, что делается это, чтобы наполнить казну за счет легальных казино, но получится всё по Черномырдину, когда, закрыв казино в Москве, власти сделали подарок Белоруссии, где теперь этих казино в каждом селе видимо-невидимо, и где играют вовсе не местные в лаптях, а россияне на дорогих иномарках. Похоже, теперь всё то же самое нас ждет и в интернете, с той только разницей, что для того, чтобы поиграть, надо будет не ехать за тысячу километров, а ставить Tor (если его самого к тому времени не запретят - тогда просто игроки будут нести большую ответственность за свои действия).

В общем, вот такой конец лета. Ждем новостей начала осени, дамы и господа.

Как обезопасить компанию от кражи интеллектуальной собственности?

Компании, главным активом которых является информация, всеми силами стараются защищать собственные разработки. Если конкуренты получат доступ к ним, то они сэкономят миллионы человеко-часов, потраченные на создание интеллектуальной собственности, и смогут обойтись без значительных финансовых вложений, которыми сопровождаются любая разработка чего-то нового.
Интеллектуальная собственность компании защищается с помощью патентов и других стандартных правовых средств, однако подобная защита подходит только для тех разработок, которые уже окончательно оформлены и доработаны. В то же время, утечка информации может произойти задолго до того, как компания получит патент и сможет преследовать любителей легкой наживы в соответствии с патентным законодательством. Кроме того, существуют такие виды интеллектуальной собственности, которые не так и просто защитить, зато очень легко украсть.
Наиболее часто из компаний утекают следующие разработки:
•    Чертежи
•    Программный код
•    Конструкторская документация
•    Образцы дизайна продукции и логотипы
•    Технологическая документация
Несложно представить, насколько серьезными могут оказаться даже для крупной компании последствия утечки её коммерческой тайны, особенно в том случае, если документы попадут в руки конкурентов. Эксперты отмечают, что для банкротства компании достаточно утечки всего 20% её коммерческих секретов, поскольку в случае с интеллектуальной собственностью убытки от утечек данных могут быть колоссальными, а в ряде случаев способны превышать даже размер годовой прибыли компании.
К счастью, у компаний, заботящихся о сохранности своей интеллектуальной собственности, есть возможность воспользоваться средствами защиты от утечек информации, чтобы предотвратить хищение своей интеллектуальной собственности. Одним из средств, наилучшим образом подходящих для предотвращения утечек перечисленных выше документов является «Контур информационной безопасности SearchInform».
Для обнаружения пересылки интеллектуальной собственности компании удобно воспользоваться «Поиском похожих»   запатентованным поисковым алгоритмом, позволяющим использовать в качестве запроса целые документы. При этом их можно обнаружить в общем потоке информации даже в том случае, когда перед отправлением их специально изменяли для затруднения поиска. В качестве подобного запроса должны фигурировать те документы, утечки которых организация хочет избежать.
Есди в результате работы «Контура информационной безопасности SearchInform» обнаружилась утечка интеллектуально собственности, необходимо организовать внутреннее расследование. Если такое расследование покажет, что утечка информации была непреднамеренной, то сотрудника, который её допустил, необходимо проинструктировать о соблюдении политик информационной безопасности компании. Если же утечка оказалась преднамеренной, то такого сотрудника, очевидно, придется увольнять.

"Наш ответ Чемберлену"

Пока американцы продолжают негодовать по поводу Сноудена, легализуя потихоньку свой многострадальный PRISM, пока The Guardian пытается разобраться с собственным правительством и его отношением к той же самой системе слежения, любители сетевой анонимности сплотились в едином порыве для того, чтобы дать свой "ответ Чемберлену", то есть, проще говоря, защититься от лишних любопытных глаз разных правительств. Что, в принципе, было вполне так ожидаемо.

Крупнейшие интернет разработчики будут бороться против программ слежки, используемых США и Великобританией. В частности, Инженерный совет Интернета (Internet Engineering Task Force, IETF) – орган, разрабатывающий интернет-стандарты, намерен шифровать все данные, которыми обмениваются web-сайты и браузеры. Об этом сообщает Financial Times.
Подробнее: http://www.securitylab.ru/news/443900.php

В общем-то, вполне логично, что в качестве средства борьбы выбрано именно шифрование. Действительно, чего уж там говорить, расшифровать зашифрованный трафик - это вам не переписку из сегодняшних социальных сетей "вытянуть". Но проблема в том, что и на шифрование трафика нужны гигантские вычислительные ресурсы, не говоря уже о том, что шифрованный трафик так легко не упакуешь, и пропускная способность каналов связи станет заметно меньше. Ну и потом, не совсем понятно, зачем "шифровать все данные, которыми обмениваются web-сайты и браузеры". Мне вот абсолютно всё равно, кто будет подсматривать за моим видео, которое я смотрю на YouTube, или за MP3'шками, слушаемыми на Last.fm и в VK. Такой трафик тоже будут шифровать?!

Ну и потом, инструменты шифрования тоже не всегда являются панацеей. К примеру, тот же Skype или HTTPS отлично мониторятся нашим "Контуром информационной безопасности SearchInform", благодаря агентскому ПО на компьютерах пользователей. Думаете, кто-нибудь сможет остановить то же правительство США, если оно решит разместить механизм прослушки прямо на вашем ПК, смартфоне, планшете?.. Да, это дорого и куда менее эффективно, чем PRISM, но если вы действительно кого-то интересуете, поверьте, всё это не так уж и сложно внедрить.

Думаю, что идея "всеобщего шифрования" - это что-то вроде махания кулаками после драки. К PRISM, СОРМ и прочим подобным системам надо относиться единственно верным образом: иметь в виду их существование и по возможности не пользоваться теми каналами, за которыми они следят. Ну, а если за вами следят чуть более пристально, чем за остальными, вы и сами должны знать, как защищаться в этом случае... Впрочем, для дилетантов подкину небольшую статью на тему защиты от прослушки. Надеюсь, впрочем, что вы отнесетесь к советам в ней с должной долей скепсиса - безопасность, знаете ли, абсолютной не бывает...

О вас плохо сказали? Это тоже забота ИБ

Повсеместное распространение доступа в интернет и популярность сетевых "социальных" сервисов привели к тому, что сегодня любая компания может найти в Сети о себе разный негатив. Это, естественно, не очень хорошо, потому что её потенциальные клиенты и партнеры тоже могут на весь этот негатив легко наткнуться. Что делать в связи со всем этим? Можно просто "забить", предоставив всем, кому не лень, писать всё, что им заблагорассудится, а можно побороться с этим явлением. Выбор, как говорится, за вами.

Весь вопрос в том, как именно бороться, чтобы не было пресловутого "эффекта Стрейзанд"? Тут надо немного углубиться в суть происходящих явлений.

Это может показаться удивительным, но значительную часть негативных отзывов о любой компании оставляют сами её сотрудники, за что-то на неё обиженные. В отдельных случаях до 95% негативных сведений, которые можно найти в Сети о той или иной компании, пишет один и тот же человек, что, в принципе, чувствуется по стилю и тону этих всех отзывов, но при этом мало влияет на тот факт, что эти отзывы кто-то прочитает и составит по ним своё мнение о компании.

К счастью, тот факт, что таким нехорошим делом занимаются собственные сотрудники, позволяет компании сравнительно легко справляться с проблемой, не опасаясь знаменитого "эффекта Стрейзанд". Для этого нужно внедрить DLP-систему, которая будет контролировать работу персонала и "стучать" на тех, кто занимается размещением негативной  информации о своём  работодателе в Сети.

Что именно должна делать DLP-система для того, чтобы организация могла адекватно упредить массовое распространение порочащей её информации в интернете? Прежде всего, нужно организовать регулярный мониторинг публикации по названию компании, а также по ключевому списку негативных слов, таких, как «недобросовестный», «красть», «откаты» и т.д. – фактически, тех самых слов и словосочетаний, которые чаще всего встречаются в негативных материалах о компании, размещаемых в Сети. Словарь можно составить по имеющимся примерам негативных отзывов.

Если DLP-система действительно выявит факты распространения сотрудниками негативной информации о компании-работодателе, то перед применением каких-либо санкций и взысканий, лучше всего провести с сотрудником разъяснительную беседу и, в зависимости от мотивов его поведения, дать ему «испытательный срок» на исправление. Понятно, что в том случае, если отправление негативного отзыва социальную сеть повторится, речь уже однозначно должна идти об увольнении, по возможности – «по статье».
А вообще, России и Украине не хватает закона о лояльности наемных сотрудников - белорусы, к примеру, о нем уже всерьез задумываются, а на западе такие вещи в порядке вещей.

Бешеный принтер продолжает удивлять...

Российские законодатели продолжают радовать население новыми интересными идеями, без которых, конечно, России обязательно настанет конец. На сей раз отличились "жиринята" (сиречь, ЛДПР), которые считают, что россиянам нужно обязательно подтверждать свою личность в социальных сетях. Видать, без этого СОРМ уже не справляется...

Нужно сказать, что мы тут далеко не "впереди планеты всей". В Китае и соседней Белоруссии уже давно в интернет пускают только по паспортам. У белорусов с этим вообще строго, ваш покорный слуга как-то, приезжая в минский филиал компании, пытался перед отходом поезда посидеть в интернете на вокзале, сделав вид, что забыл паспорт. Был так настойчив, что пришлось показывать его уже не администратору, а милиции...

Так вот, всё в той же Белоруссии есть свой клончик нашего клона Facebook'а, называется, кхм, оригинально - vseti.by. Там уже давно есть то, что предлагает ЛДПР, правда, что удивительно для Белоруссии, пока еще на добровольных началах. Там, если вы вышлете соцсети персональные данные для подтверждения личности, на страничку добавляется "медалька" с текстом "личность подтверждена". И, как говорится, все довольны.

На самом деле, пока что вполне можно ограничиться и таким вот добровольным подтверждением, тем более, большинство пользователей, как показывает практика, совсем не против  того, чтобы в нем участвовать. Достаточно пообещать пользователю какую-нибудь "плюшку", и он будет рад распространить свои личные  данные. Так может, лучше воспользоваться пряником, а кнут пока отложить?..

В США, между тем, мобильные операторы вообще борются за право выдавать личные данные своих абонентов. Так что зачем заниматься всем этим еще и с социальными сетями?..

Социальные связи (они только сейчас додумались?!)

Всё-таки, что ни говори, иногда, читая новости, только удивляешься тому, насколько медленно американцы при всей мощи их ИТ-индустрии додумываются до очевидных, в общем-то, вещей, которые можно реализовать в виде программного обеспечения.

Вот она, новость с Хакера:

Группа инженеров-программистов из Военной академии США в Вест-Поинте разработали инновационное программное обеспечение для аналитической разведки в социальных сетях. Естественно, военных интересуют не гражданские социальные сети вроде Facebook, а реальные социальные сети неформальных организаций, таких как партизанские отряды повстанцев в Ираке и Афганистане. Программа Organization, Relationship, and Contact Analyzer (ORCA) помогает составить социальную сеть и выявить неформальных лидеров.
Подобный софт давно используется армией США, а теперь его собираются приспособить против организованной преступности — уличных банд и криминальных группировок, которые действуют на территории Америки. Как выяснилось, принципы социальной иерархии таких полуанархических формирований очень похожи на структуру повстанческих отрядов, с которыми боролась армия. Здесь тоже нет званий, но члены банд и группировок объединены в мелкие группы со своими неформальными лидерами.

И вот как выглядит их граф:

 

А теперь, внимание, дамы и господа, другой граф:

 

Да-да, вы всё совершенно правильно поняли. Это всё давно есть в "Контуре информационной безопасности SearchInform", который ловит не уличных преступников, а обычных таких нормальных инсайдеров, которые есть в любой без исключения компании.

На самом деле, инструмент (он является компонентом нашего решения ReportCenter)  совершенно уникальный и, не побоюсь этого слова, непревзойденно мощный. С его помощью можно не только узнавать, кто из ваших сотрудников замешан в переписке с конкурентами, но и выявлять как раз разных так называемых неформальных лидеров, которые имеют вес в коллективе и могут разваливать его изнутри. К сожалению, мало кто из служб ИБ в России занимается мониторингом подобных процессов, а зря - это всё тоже очень сильно влияет на работу компании.

Вот так-то. Что ни говори, а мы пришли к этому раньше американцев и всех наших здешних конкурентов, не зря мы - общепризнанные лидеры на рынке DLP-систем в России, странах СНГ и Прибалтике. Не знаю,  кстати, сами ли американские копы додумались до такого графа, или кто-то им наш "Контур информационной безопасности" показал?..

Пятницо

Очередной пост с обзором самого интересного в сфере ИБ за последние дни. Как говорится, читайте, не проходите мимо:)

Для начала о Твиттере, который теперь имеет такое влияние на судьбы простых смертных, что даже страшно представить:

За сутки после появления в микроблоге Twitter миллиардера-инвестора Карла Айкана сообщения о том, что его структуры удерживают крупную позицию по акциям Apple и что он считает компанию недооцененной, курс акций Apple поднялся почти на 5%. С учетом размера компании, это означает увеличение капитализации примерно на 15 млрд долл.

Отсюда

Посмотрите, какая огромная ценность может быть заключена в 140 символах Twitter-послания. Это что-то совершенно новое, чего не было раньше, и что стало доступно только в современную информационную эпоху. Представьте себе,  какова будет цена ошибки, если устами "сильных мира сего" заговорит кто-то другой. То есть, если Твиттер того же Айкана, или, хуже того, какого-нибудь известного и уважаемого СМИ просто-напросто взломают и будут рассылать фальшивые сообщения. Так может и Apple обанкротиться, и вообще начаться Третья мировая!

Дальше новости из Пиндостана Самой Демократической в Мире Страны:

Американские правоохранители ликуют: федеральный суд, в юрисдикции которого находятся штаты Луизиана, Миссиссипи и Техас, счёл отслеживание абонентов мобильных сетей законным и не противоречащим Конституции США. 

http://www.itsec.ru/newstext.php?news_id=94237#sthash.Qztvv6zQ.dpuf

Собственно, ничего удивительного. Всё идет к тому,  чтобы узаконить всё то, чем занимается государство от нечего делать на благо своих (отдельных) граждан. Но я с судьями, в принципе, согласен, особенно если принять во внимание данные следующего исследования:

http://tran.su/digital-vs-physical-privacy/

То есть, оффлайн - это вам не онлайн, здесь всё воспринимается более остро, но на самом деле никаких больших проблем здесь нет и быть не может. Просто мы все слишком привыкли думать, что у нас может быть какая-то приватность. Увы, в современном обществе от этой привычки нужно как можно скорее избавляться.

Заметьте: если дать человеку взамен пряник, он легко отдаст свои данные. Бинго. Но, допустим, вам этот пряник и даром не нужен (как и мне, например). Что делать? Во-первых, можно просто-напросто отключить GPS и Wi-Fi. Но если это не вариант, придуманы решения по отдаче фальшивых данных, типа https://play.google.com/store/apps/details?id=com.lexa.fakegps&hl=ru. А вот с Wi-Fi всё немного сложнее, но, думаю, тоже можно найти что-то похожее.

Кстати, а вы сами что думаете? Отдали бы информацию за скидочный купон или другую "плюшку"?

Необычная проблема

Напоролся недавно на одну статью, которая проливает свет на достаточно необычную проблему, а именно, на то, что из-за блокировок интернета в разных регионах России скоро будут свои региональные -неты (ну, например, Москванет, Новосибнет, Кавказнет), а единого цельного Рунета, как такового, и не будет. Проблема, может, и несколько (пока) надумана, но от это не менее интересна.

Статья здесь

Вообще, насколько я знаю, Россия в этом плане уникальная страна. В Штатах, например, тоже есть региональные суды, которые принимают региональные решения, но там никто не блокирует отдельные сайты по IP или, тем более, по MAC-адресу (!) целыми пачками. Там как-то, знаете ли, предпочитают более гуманные и более действенные методы.

Здесь напрашивается аналогия со столь любимыми мною DLP-системами (уж простите):) Если сотрудник что-то пересылает конкуренту, то нет никакого смысла блокировать IP конкурента или делать еще какие-то подобные телодвижения. Всё равно, с помощью какого-нибудь Tor'а или еще чего-нибудь подобного все ваши блокировки будут обходиться, а данные - передаваться. Гораздо эффективнее бороться с самими сотрудниками, которые так делают. Пара показательных штрафов/увольнений - и всё, проблема решена чуть ли не на годы вперед.

Конечно, не всё так просто, как хотелось бы. Того, кто что-то откуда-то скачивает, еще надо найти. Здесь нужна какая-то глобальная DLP-система с прицелом на мониторинг контента, который пользователь получает сам на свой же компьютер из Сети. Не знаю, насколько просто её сделать, но, думаю, если смогли сделать СОРМ/PRISM, смогут и это. Тут больше вопрос в том, что блокировка сайтов нацелена вовсе не на борьбу с пиратами, а на борьбу с недовольными и, можно так сказать, инакомыслящими. Которых в рамках современного правового поля иначе не прижмешь. Эх, как, наверное, скучают запрещающие "Газету.ру" чиновники по сталинскому уголовному кодексу!..

Тогда всё становится прозрачно и понятно. Для правообладателей, для провайдеров и для экономики способ "бей пользователя" куда удобнее и выгоднее. Вместо блокировки сайтов, которые тоже являются экономическими субъектами и даже иногда платят налоги, казна получает деньги со штрафов пользователей. Провайдеры по-прежнему получают деньги от сетевой активности, правообладатели довольны тем, что кого-то можно наказать, сайты тоже не в накладе. Только пользователи по-прежнему могут написать и  прочитать в Сети что-нибудь "ненужное". Поэтому экономическая целесообразность подменяется политической волей, что мы видим в сфере ИБ, к сожалению, очень, даже слишком, часто...

Защита бизнес-идей от... инвесторов

Уже несколько раз приходилось отвечать на вопросы наподобие "как защитить свою бизнес-идею от инвесторов".  Думаю, что имеет смысл осветить эту проблему (вернее, конечно же, не столько саму проблему, сколько её решение) и в нашем корпоративном блоге.

Начнем с самой постановки вопроса. Что такое бизнес-идея и стоит ли её защищать вообще? Если ваш бизнес состоит в том, чтобы принести в свой регион что-то, что уже успешно работает в других регионах (к примеру, открыть какое-то производство или магазин, нацеленный именно на ваш региональный рынок), то у меня для вас плохие новости: никак такую идею не защитишь. А вот если вы разработали какой-то уникальный продукт (не важно, что это - компьютерная программа, беспроводная удочка, или просто новый сорт хлеба с трюфелями и кусочками лобстеров) - то тут действительно стоит попробовать защитить свой труд по придумыванию этого дела.

Может быть, вы удивитесь, но я сразу скажу: DLP-система вам здесь совсем не помощник. Да-да. DLP - это для готового бизнеса, а если бизнеса нет, то и DLP не поможет. Здесь для защиты себя нужно включить соображалку и немного покопаться в интернетах.

Во-первых, узнайте всё про вашего инвестора. Если кто-то с ним сотрудничал и обжегся на том, чего боитесь и вы, то в Сети не может не остаться слов недовольства. Если вам известны какие-то проекты, которые проинвестировал тот, к кому вы хотите обратиться, поговорите с их организаторами - вы можете узнать массу ценных вещей.

Во-вторых, если сильно хочется, составьте соглашение о неразглашении. Да-да, для инвестора. Он, конечно, над вами посмеется, но если проект реально того стоит, то всё подпишет. Да и вообще, если он нормальный человек, то должен понять ваши страхи. Хотя обычно инвесторам и не очень интересно красть чужие идеи - он скорее попробует включить вас в свой бизнес, чтобы зря такая голова не пропадала.

В-третьих, думайте лучше о партнерах, с которыми начинаете бизнес. И о наемных сотрудниках. Именно они, а не инвесторы, в 95% случаев становятся причиной кражи бизнес-идей. Так что  про инвесторов помните, но сосредотачиваться только на них будет пагубной идеей.

Как-то так. Если есть мысли по этому поводу или дополнения, милости прошу в комментарии.

Неустраненная уязвимость - истерия для масс

Все вы, я думаю, уже успели узнать о новостях с Chrome и Safari, которые, без сомнения, стали самыми заметными ИБ-событиями прошедшей недели. Интерес к подобным новостям, в принципе, всегда понятен - всё-таки Chrome - один из популярнейших браузеров, который делает не кто-нибудь, а Корпорация Добра, которой приятно перемыть кости. Что непонятно, так это почему поднялась паника вокруг этого заурядного события.

Вообще-то про эту функцию подавляющего большинства браузеров (а не только "Хрома") известно любому более-менее продвинутому пользователю. Идем в настройки того же Firefox, нажимаем "Защита", потом "Сохраненные  пароли" и смотрим их точно так же, как в случае с Chrome  по ссылке выше. Вот мы и стали злостными хакерами, ура-ура!

Продолжаем "взломы". Запускаем менее известный на Западе, но очень популярный у нас браузер Opera. Штатным  средством посика Windows ищем файл "wand.dat". В нём Opera хранит пароли - не поверите - в зашифрованном виде. Заходим в Google (для этого и нужно было запускать "Оперу"), ищем и находим по первой же ссылке утилитку "Unwand", ноторой скармливаем найденный файл. И что бы вы думали? Опять-таки, видим все пароли.

В общем, технология, я думаю, понятна. Понятно и то, что ни один браузер "не заботится о нашей безопасности". Страх и ужас.

Только еще понятно, что хранить пароли в браузере тому, кому на них не наплевать - последнее дело, как и вагонные споры.  Есть специальные программы для хранения  паролей, а вообще, лучше пароли запоминать в голове, а не на компьютере. У меня, к примеру, нет в браузере ни одного сохраненного пароля, при том, что для всех сайтов они разные, и это не 111, 222, 333 и так  далее.

Так что никакой новости для тех, кто "в теме", все эти истерические сообщения по поводу Chrome и других браузеров не несут. Они рассчитаны на массу безграмотных пользователей, которые и понятия не имели, что там дальше происходит после нажатия но кнопку "запомнить пароль". Так что, пользуясь случаем, хочу напомнить вам, чтобы вы напомнили ИМ про то, как НЕ следует хранить пароли :)

Давайте пофантазируем, раз уж пятница

Говорят, "дурная голова рукам покоя не дает". В чем-то это применимо к современным технологиям: всё новые возможности порождают всё новые и новые проблемы, которые, похоже, кроме специалистов по информационной безопасности заранее предвидеть то ли не может, то ли не хочет. Похоже, именно такая история готовится произойти с новой идеей Apple, заключающейся в добавлении ссылок в аудиоподкасты.

Apple работает над технологией аудиогиперссылок, которая будет использовать слышимые и неслышимые сигналы, встроенные в музыку или другие аудиодорожки, для ссылки на другие медиа или для запуска каких-нибудь функций, пишет TechCrunch. Это позволит устройствам выполнять ряд различных функций при обнаружении таких гиперссылок, прямо как действуют пользователи, когда видят обычные ссылки в Интернете.

Отсюда, хотя лучше читать оригинал

По сути,  всё это давно уже запатентовано "мелкомягкими", которые задумались о подобной технологии ещё в 1999-м году(!). Правда, там идея была не столько в том, чтобы вставлять ссылки, сколько в том, чтобы помочь правообладателям, но технически всё очень похоже. "Яблочникам" остается только взять её и "допилить напильником".

На самом деле, мы имеем дело со звуковой стеганографией: в звуковой поток прячется специфическая информация, не являющаяся  чисто звуковыми данными, которая затем может быть из него извлечена.  Данная технология не слышна человеческому уху и не искажает звучание.  Также она стойка к звуковому искажению (смешиванию), но к сожалению, не к сильному растяжению (изменению скорости звучания).

Понятное дело, что применение этого всего на радость правообладателей само по себе может стать достаточно серьезной проблемой для общества, но это только полбеды. Ссылки - это всегда опасно, особенно ссылки, которые вы не видите, и которые сами не открываете. Представьте себе, слушаете вы музыку, а тут плеер набредает на ссылку внутри звукового потока, и вам автоматически скачивается какой-нибудь троянчик, втихоря крадущий данные  о ваших банковских картах с вашего смартфона с NFC-чипом.

Конечно, для осуществления такой атаки плеер должен поддерживать звуковые ссылки. Поэтому не исключено, что в моду войдут плееры без поддержки таких ссылок, которые будут всячески баниться в AppStore и его клонах.

Впрочем, это всё пока только измышления. Пятница, знаете ли, располагает. Удачных всем выходных.

Обсудим тенденции

Несмотря на летнее затишье, новостей в мире информационной безопасности на удивление много. Их мы сейчас и обсудим в формате дайджеста.

Самая, пожалуй, тревожная и трендообразующая новость пришла к нам из соседней Белоруссии: там собираются регулировать законодательно поведение пользователей в социальных сетях. Не секрет, что многие удивительные законы российский "взбесившийся принтер" заимствует именно из страны процветающего социализма, поэтому можем ожидать, что подобный закон может в обозримом будущем появиться и у нас.

Знаете, самое удивительное, что лично я не сильно против подобного закона, только не от российских законодателей. Почему? Потому что социальные сети нуждаются в нем, так как они как никакое другое проявление интернета моделируют оффлайновое общество, но законами оффлайнового общества не регулируются. Я бы, например, запретил регистрацию в соцсетях до 13-14 лет, установил обязательную норму по двухфакторной авторизации... Впрочем, скорее всего, у нас это будет в духе последних законов про религии и усыновление, потому что "хотели как лучше, а получилось как всегда".

Еще одна радостная новость, которую хочется обсудить, посвящена банковским картам. Согласно данным исследования компании DataGenetics, проанализировавшей 3,4 млн четырехзначных пин-кодов, один из 10 столь распространен, что взломщики угадывают его с первой попытки. Как то ни странно, новость действительно радостная, потому что 10% - это отличная цифра для такой ненадежной штуки, как PIN-код. Правда, в реальности у злоумышленника три попытки,  то есть, вероятность успешного подбора пин-кода составляет уже около 20%, что не так и плохо. В общем, мы в лишний раз убедились, что пин-коды - зло, и будущее за оплатой смартфонами с NFC-чипами.

Ну, и на закуску такая новость: Twitter изменил метод двухфакторной аутентификации, исключив отправку SMS. При каждой попытке войти в учетную запись пользователям будет приходить уведомление с запросом подтверждения учетных данных.

В чем суть? Твиттер будет генерировать ключ каждый раз заново, оставляя его на телефоне, при этом ключ - это не обычный цифро-буквенный код, а 2048-битный RSA-ключ. Что мы можем вынести из этого информационного сообщения? Что все популярные сервисы, которыми пользуются официальные лица и серьезные организации, должны воспользоваться чем-то подобным, чтобы исключить кражу учетных записей. Потому что цена подобного инцидента, как и любого другого инцидента ИБ, может быть слишком высока... И тенденция такова, что скоро с обычным телефоном не залогинишься в Твиттере, как и со смартфоном на непопулярной платформе. Так что всё-таки в покупке айфонов есть смысл.

Бизнес-аналитики забыли про ИБ

Ахилл бежал, а черепаха
 Влекла его к земному краю.
 Герой подумал не без страха:
 «Я что-то тут не догоняю!»
 Константин Ефетов

Этот забавный стишок в эпиграф вынесен не зря. Этот, с позволения сказать, мысленный эксперимент из эпохи Древней Греции напоминает мне развитие информационной безопасности. Всё повторяется. В каждой сфере появляется что-то, что будет удобным и полезным, что повысит продуктивность тех, кто работает в ней. Это что-то становится популярным, и рано или поздно появляются те, кто хочет эксплуатировать эту популярность - с выгодой для себя, с ущербом для всех остальных.

За примерами, как говорится, далеко ходить не надо. Взять тот же интернет, который изначально задумывался для удобства ученых, и только с приходом популярности оказалось, что ему нужно больше безопасности. Мобильные телефоны, и особенно смартфоны - аналогично. Как мы буквально вчера говорили, теперь ещё и GPS. Ну, а на очереди и системы бизнес-аналитики.

Использующиеся для бизнес-аналитики многомерные кубы данных подвержены атакам через язык запросов. Крупнейшие вендоры не задумываются о том, что с помощью атак этого класса злоумышленники могут получать доступ к файлам и удаленно исполнять код, считают эксперты по безопасности.
Подробнее: http://safe.cnews.ru/news/top/index.shtml?2013/08/05/537934

Настоятельно рекомендую, если вы еще не в курсе, ознакомиться с текстом по ссылке - судя по всему, это именно то, чем мы, ИБшники, будем заниматься уже буквально завтра.

Что мы видим? Вновь те же проблемы: сначала сделали, а потом задумались о безопасности. Возникает закономерный и наивный в своей простоте вопрос: почему бы не плясать от обратного, сначала хотя бы продумать варианты защиты, а затем разрабатывать?

На мой взгляд, ответ прост: дорого и невыгодно так поступать. Все системы проектируются без "запаса прочности", точно так же как в гражданской жизни вокзалы и аэропорты строятся без средств защиты от террористов. Всё навешивается потом. Можно сказать, что тут еще и работает некомпетентность тех, кто разрабатывает это всё, в сфере ИБ. А вы как думаете?

Информационная безопасность: начало августа

Поскольку в последнее время произошло много всего такого, что хочется обсудить, я отойду от привычного читателям нашего корпоративного блога формата комментирования одной новости в одном посте, и предложу вашему вниманию некий дайджест,  естественно, не без собственных комментариев:)

Для начала поговорим о GPS-спуфинге. Думаю, вы уже о нем слышали и читали, но пройти мимо такой интересной темы выше моих сил:). Суть: ученые "угнали" яхту, подменив сигнал GPS своим собственным. Сейчас все спорят, насколько эта модельная ситуация реализуема в виде реальной атаки. Достаточно неплохо аргументы обеих сторон изложены здесь.

Моё мнение таково: все эти атаки реализуемы достаточно сложно, именно в силу дублируемости GPS другими навигационными системами. Т.е. это работает только тогда, когда капитан судна (водного ли, воздушного ли), образно говоря, выключает голову и верит одному GPS'у. Т.е. атака всё-таки не настолько универсальна, чтобы выключать в панике все GPS'ы, но вот с беспилотными аппаратами (в т.ч. с гугломобилями, которые скоро начнут колесить по Америке) она будет "прокатывать" на ура. Так что, видимо, для защиты GPS-сигнала и американцам придется использовать еще и ГЛОНАСС, который в силу его низкой популярности пока не интересен злоумышленникам.

Поехали дальше, опять-таки, на транспортную тематику. 

Мексиканский владелец Ford Focus Рикардо Магалланес подал в суд на компанию Ford Motor Company за халатность, которая привела к утечке кода от центрального замка его автомобиля. Злоумышленники воспользовались машиной Рикардо для того, чтобы переправить через границу 50,8 кг марихуаны.

Отсюда

Ford предсказуемо "отмазался" от утечки, скинув ответственность на дилеров, но зато перед нами живая жертва такой утечки, потерявшая не только деньги, но и время, и здоровье за полгода пребывания в мексиканской тюрьме. Кто сказал, что утечки информации не опасны? Но суть не в этом. В современном мире уже даже не нужно самому оставлять где-то свои данные, чтобы стать жертвой утечки - за вас это может сделать кто и что угодно, включая ваш собственный автомобиль.

Кстати, такая новость заставляет переосмыслить недавний запрет на публикацию кодов для взлома элитных авто.  Всё-таки, что ни говори, иногда лучше держать язык за зубами, даже если тщеславие требует обратного.

Ну и, наконец, самое свежее. 

Компания BlackBerry (ранее - RIM) выпустила бета-версию бесплатного приложения BlackBerry Messenger (BBM) для операционных систем Android и iOS, сообщает Pocket-lint. Приложение пока доступно для ограниченного круга пользователей - участников программы тестирования.
Подробнее: http://telecom.cnews.ru/news/top/index.shtml?2013/08/02/537636

Что тут сказать. Опоздали RIM, а жаль, BlackBerry была и остается самой защищенной из современных мобильных платформ. Хотя, конечно, и не самой удобной и уже далеко не самой престижной. Что, впрочем, только лишний раз доказывает, что современный человек думает только о престиже и развлечениях, забывая о безопасности. Поэтому наша  работа, дамы и господа, ещё очень долго будет оставаться очень и очень востребованной.

Засим позвольте откланяться, спасибо всем за внимание.

Еще немного о борьбе с оружием

Не так давно мы обсуждали безопасность 3D-принтеров, что вызвало достаточно живой отклик в массах. Недавно наткнулся на новость в продолжение оружейной темы (которая, впрочем, к 3D-принтерам отношения уже не имеет), которой тоже хочу с вами поделиться. Как и своими соображениями по её поводу, конечно же.

Полиция Торонто объявила условия сенсационной программы: обмен технически исправного огнестрельного оружия на цифровые фотокамеры и подарочные сертификаты. На 12 июля «урожай» организаторов составил 485 единиц оружия и 22 тысячи патронов. 

Отсюда

Как правильно заметили многие комментаторы, проблема оружия не ограничивается трехммерными принтерами, они только подливают масла в огонь (и без того достаточно горячий, надо заметить). Поэтому решать проблему за счет одних 3D-принтеров, конечно, неправильно. Но и существующие сегодня подходы отличаются неэффективностью, поэтому нужны новые. В соседней Белоруссии, например, действует правило, согласно которому если ты сдашь оружие добровольно, на тебя не заведут уголовное дело. Канадский метод "кнута и пряника", несомненно, куда эффективнее.

Канадская полиция придумала, на самом деле, отличную вещь, которую можно взять на вооружение и всем безопасникам. Например, если в вашей компании есть политика, запрещающая использовать на работе свои сотовые телефоны и планшеты, можно устроить акцию по их обмену на корпоративные. Можно продумать и другие варианты использования этого принципа, главное - уловить его суть.