Таки про Фейсбук и Вотсапп

Конечно, это немного неоригинально, но трудной пройти мимо такой новости:) Для тех кто не в курсе: Facebook купил WhatsApp (один из самых популярных мессенджеров) за $16 млрд. Подробнее тут или тут (последний вариант с едкой ухмылкой в адрес проданного в 20 раз дешевле Viber'а с не сильно меньшей аудиторией).
Ни для кого не секрет, что Фейсбуку сам по себе мессенджер не очень сильно нужен - у них есть своя платформа обмена сообщениями. Социальной сети интереснее аудитория WhatsApp'а. Это полмиллиарда человек. Из них каждый день мессенджером пользуются почти 70%. У самого Фейсбука показатели охвата аудитории не столь впечатляющие, так что, как говорят аналитики, возможно, Цукерберг хочет таким образом поднять их.
Но тут интереснее другое. Мне, например, сразу вспомнилась другая недавняя новость, касающаяся Facebook:
Facebook теперь читает ваши SMS
Компания Facebook выпустила обновление мобильного клиента под Android. Новая версия требует дополнительные разрешения, в том числе разрешение читать текстовые сообщения SMS или MMS.
Отсюда
А теперь сопоставим одно с другим. Трафик WhatsApp уже сравнялся с мировым СМС-трафиком, и при этом еще и растет: каждый день мессенджер скачивают около миллиона новых пользователей. Очевидно, что дело не только в показателях посещаемости Фейсбука: трафик Вотсаппа дает широчайшие просторы для анализа предпочтений пользователя и, соответственно, таргетинга. Особенно с учетом привязки к телефонной книге смартфона. Думаю, это стоило заплаченных за сервис миллиардов.

Facebook - молодцы! Казалось бы, при чем тут DLP?..

Не так давно у нас был пост о том, что у Adobe утекло много документов, и кому-то из-за этого обязательно будет плохо. История получила свое продолжение: некоторые ресурсы, которые, видимо, все-таки не совсем плюют на безопасность своих пользователей, извлекли из этой утечки урок, что вызывает уважение к ним.
Всё гениальное просто и не претендует на модное слово "инновации". Ребята из Facebook'a предположили, что некоторые пользователи могли использовать один и тот же пароль на нескольких ресурсах. Что им оставалось? Правильно. Проверить свою догадку, вооружившись расшифрованной базой.
Сейчас нужно сделать небольшое лирическое отступление и сказать пару слов о... правильно, как обычно, пару слов о DLP. С помощью DLP-систем также можно контролировать пароли. Самых распространённых подходов два.
Первый такой: с помощью фразового поиска по базам IM (инстант мессенджеров) и Skype можно искать слова "пароль", "логин", "login", "pass", "password" и т.д. Тем самым, будем выявлять тех, кто говорит о паролях.
Думаете, будет много ложных срабатываний? Как оказалось, нет. Типичный диалог, который попадает в перехват:
- Зин, а Зин, какой там у нас пароль от админки\1C\ядерного чемоданчика?
- Лови. login: 888, password:111
Конечно, считать это нарушение политики ИБ критичным, или нет, решать вам самим, но знать о нем не помешает.
Но есть еще второй вариант применения DLP к паролям, и он уже чем-то похож на стратегию Facebook. Из открытых источников берём топ-100 самых популярных паролей, и с помощью фразового поиска ищем их в базе перехвата HTTP. Дело в том, что некоторые ресурсы никак не защищают передаваемый им при авторизации пароль. Его-то DLP и может перехватить. А мы, в свою очередь, проверим, насколько пользователь внимательно относится к защите своих аккаунтов.
Кстати, есть еще одно проверка, для которой даже DLP не понадобится. Для этого возьмём базу корпоративных паролей и топ-100 самых популярных паролей. Дальше, думаю, вы поняли.

«Русская рулетка» в Facebook, или Легко ли совершить «социальное самоубийство»?

Нет, ув. сотрудники Роскомнадзора, не нужно этот пост заносить в реестр запрещенных сайтов, т.к. речь в нем пойдет не о суициде, а о попытках удалить свой аккаунт из социальных сетей.

Итак, сначала набольшая новость: «Администрация социальной сети Facebook заблокировала приложение Social Roulette, имитирующее «социальное самоубийство». С помощью программы, запуск которой состоялся всего лишь 11 мая, пользователи могли удалить свою учетную запись по принципу русской рулетки (с вероятностью 1 к 6).

В случае проигрыша удаление профиля пользователя происходило автоматически и затрагивало сообщения, фото и контакты владельца учетной записи».

Официальная причина блокировки – несоответствие правилам Facebook, в которых где-то там прописан пункт, что приложение должно способствовать увеличению, а не уменьшению пользователей в социальной сети.

Разработчики же программы утверждают, что цель их приложения – помочь людям, которые давно хотят удалить свой аккаунт из Facebook, но никак не решаются сделать это, преподнеся это в виде игры в «социальное самоубийство».

И это на самом деле проблема для очень многих. И не только в силу причин психологических, но и технических – о возможностях (или, скорее, невозможностях) удаления своей страницы из социальных сетей уже давно ходят легенды.

Проведем небольшой социальный эксперимент. Думаю, многие из читателей блога зарегистрированы в Facebook. Как быстро  вы сможете найти кнопку, с помощью которой можно полностью удалить свою страницу? Лично я обнаружил в настройках только возможность скрыть аккаунт, прямую же ссылку на удаление нашел лишь с помощью Гугла.

То, что соц. сети не дают возможности совершить «социальное самоубийство» - неправильно. Виртуальная жизнь, что бы о ней не говорили – не реальная, и может на самом деле мешать, отнимать время, подменять общение и т.д., если злоупотреблять виртуальностью. И единственная возможность выпутаться из такой «сети» хотя бы на время – удалить свой аккаунт.

К сожалению, мы снова видим ситуацию, когда Facebook из-за своих личных выгод намеренно ограничивает возможности своих пользователей.

Ну и напоследок, та самая ссылка, по которой можно удалить страницу. Как видно по url, размещена она в справочном разделе. Интуитивно понятное место, не так ли?

Александр Вашкевич

Верите ли вы друзьям, или интересное начинание "Фейсбука"

"Фейсбук", надо отдать им должное, одна из сравнительно немногих интернет-компаний, которые пытаются делать какие-то инновации в сфере безопасности аккаунтов своих пользователей. Недавно самая  популярная в мире социальная сеть предложила достаточно интересное новшество, связанное с восстановлением доступа к учетной записи, которое, возможно, приживется повсеместно.

Социальная сеть Facebook внедряет новую систему для восстановления доступа к аккаунту в случае потери пароля. Каждый пользователь может выбрать 3-5 друзей/родственников и доверить им секретные ключи для доступа к своему аккаунту. В случае, если человек потеряет доступ, Facebook запросит информацию у его друзей. Предполагается, что самые близкие люди могут позвонить голосом или спросить лично, действительно ли вы забыли пароль, или это злобный хакер пытается вломиться в ваш аккаунт. Если они получат личное подтверждение, то предоставят секретные ключи для смены пароля.

Отсюда

Не знаю, конечно, как кажется вам, но как по мне, так идея более чем здравая. Потому что получить ответ на среднестатистический так называемый секретный вопрос сегодня можно буквально через полчаса изучения самой взламываемой страницы. В плане надежности, несомненно, идея Фейсбука вполне хороша. Но вот в плане конфиденциальности информации, выложенной на аккаунте - не очень. Поэтому то, что хорошо для социальной сети, не подойдет, к примеру, даже для хранилища файлов а-ля Дропбокс или Яндекс.Диск, потому что там есть что посмотреть, в отличие от соцсети, где уже всё на виду.

Хотя и в социальной сети можно получить массу интересного, когда восстанавливать доступ возьмутся жены, подозревающие мужей в неверности, или родители, желающие проследить за детьми. Потому что родственники - это всегда достаточно заинтересованные лица, да и друзья, по большому счету, тоже. Но, к сожалению, отдать ключи от аккаунта совершенно не знакомым с его владельцам людям (читай, не заинтересованным в том, чтобы читать переписку) - тоже явно не вариант.

В общем, поживем - увидим. Нововведение  явно достаточно интересное, и вряд ли пройдет незамеченным со стороны разработчиков других социальных сетей, но имеет и  свои минусы. Хотя, повторюсь, на первый взгляд, плюсов (во всяком случае, в ситуации с Фейсбуком) пока больше.

Р. Идов,

ведущий аналитик компании SearchInform

Плата за общение

Как лучше всего бороться со спамом и фишингом с соц. сетях? Конечно же, с помощью введения оплаты за отправку сообщений! По крайней мере, именно так считают владельцы социальной сети Facebook.

Из сообщения в официальном блоге Facebook: "Система оплаты сообщений, отправленных в ящик людей, которые не являются вашими друзьями, разработана для того, чтобы предотвратить спам. Также принимается во внимание, что иногда вы захотите связаться с кем-то вне вашего круга общения. Мы тестируем размер оплаты в Великобритании и других странах, чтобы определить оптимальную стоимость сообщения".

Насколько вообще оправдана подобная мера? Ведь, казалось бы, преследуется благая цель, да и на первый взгляд,  «денежная демотивация» может на самом деле остановить распространение спамных и фишинговых сообщений.

На деле же, думается, введение оплаты за сообщения приведет лишь к единственному изменению – увеличению «друзей» на своей странице, потому что каждый предпочтет перед началом беседы добавить собеседника в «френдлист», чем платить.

Идем дальше. По новым правилам отправлять бесплатные сообщения можно всем друзьям и друзьям друзей. Добавляем сюда первый пункт, и получаем, что взломав или «зафрендив» всего одного-двух человек, злоумышленник получит еще больший простор для «творчества», чем до введения нового правила. Ведь ни для кого не секрет, что спам и так рассылается в основном  «друзьям» взломанного аккаунта.

 К тому же, вспоминая «теорию шести рукопожатий» (которая, по последним исследованиям, уже сократилась до «четырех рукопожатий»), получить доступ спамеру или фишеру к достаточно большой базе страниц, на которые можно по-прежнему бесплатно рассылать свои сообщения, не составит труда. Жертвы сами охотно добавят «фейк» своего знакомого в друзья.

Как видно, ожидать реального изменения после таких нововведений не стоит – ситуация коренным образом не изменится. Изменятся способы, но их  результат останется тем же. Но вот обычным пользователям платные сообщения доставят массу хлопот и разрастание «френдлиста» до еще больших размеров, чем он есть сейчас.

И, к сожалению, только одно лицо почувствует себя лучше после распространения подобной практики – Facebook.  

Александр Вашкевич

Публика возмущается

Я всё ждал, когда же после публикаций нового пользовательского соглашения Instagram (того самого, по которому Facebook имеет все мыслимые и немыслимые права на ваши фотографии) американцы займутся своим любимым спортом - начнут засыпать Цукерберга и компанию судебными исками. Ну что, можете меня поздравить, хоть и не сразу, но дождался.

Житель Калифорнии подал в федеральный суд в Сан-Франциско иск на сервис Instagram с жалобой об одностороннем изменении правил его использования, сообщает Reuters. Жалоба была подана вслед за публикацией нового лицензионного соглашения, которое будет действовать с января 2013 г. Юридическая фирма Finkelstein & Krinsk, выступившая от лица истца, утверждает, что при удалении учетной записи в Instagram пользователь теряет права на фотографии, размещенные в нем до этого.
Подробнее: http://biz.cnews.ru/news/line/index.shtml?2012/12/25/513804

Впрочем, конечно, не думаю, что шансов на победу у этого жителя Калифорнии много - всё-таки наверняка юристы Facebook перед тем, как выкатить на-гора такое чудо-соглашение, прорабатывали варианты защиты от активно недовольных пользователей сервиса Instagram. Но мы, тем не менее, конечно, пожелаем ему удачи, потому что новые правила использования Instagram - это, безусловно, что-то, что ни в какие ворота не лезет.

Хотя, надо сказать, что многие российские компании, стремясь оградить себя от, как говорилось в одном хорошем фильме, "всяких инцестов", не менее интересными документами. Обычные соглашения о неразглашении рядом с ними - вообще детский лепет. Например, реально доводилось держать в руках документ, в котором запрещалось "жениться и выходить замуж за сотрудников и сотрудниц компаний-конкурентов". Так что Facebook - вовсе даже не родоначальник всяких забавных документов, граничащих с маразмом, а иногда и переходящих эту тонкую и незаметную грань.

Тем же, кто активно пользуется Facebook'ом и Instagram'ом, стоит задуматься о том, сколько всего вы туда уже запостили, и стоит ли продолжать подобным образом развлекаться. Задуматься, конечно, стоило и раньше, потому что все здравомыслящие люди понимают, что социальная сеть - не совсем та организация, которая будет сильно заботиться о сохранении приватности данных, которые вы сами туда привнесли. Если что-то однажды успело попасть в интернет, то заставить его исчезнуть, мягко говоря, не очень просто, и с этим необходимо считаться каждому пользователю любой социальной сети.

В общем, запасаемся попкорном и наблюдаем за судебным процессом. Думаю, что мы о нем в новостям услышим, увидим и прочитаем еще не один раз.

Р. Идов,

ведущий аналитик компании SearchInform

Похвальная инициатива

Многие ли интернет-сервисы всерьез заботятся о безопасности своих пользователей? Конечно, точной статистики у меня нет, но, думаю, если провести  серьезное полномасштабное исследование, то, скорее всего, итоговый процент оных окажется просто-таки исчезающе малым. Что, в принципе, и понятно, потому что особенно много денег им такая забота не принесет. 

На этом фоне особенно похвальной выглядит антифишинговая инициатива Facebook:

Крупнейшая в мире соцсеть Facebook призвала пользователей сообщать о попытках фишинговых атак, перехвата персональной информации злоумышленниками, на специально созданный электронный ящик, говорится в корпоративном блоге Facebook.
Пользователи Facebook могут сообщать о попытках фишинга на электронный ящик phish@fb.com. Администрация соцсети проверит сообщения и при необходимости обратится к разработчикам браузеров с просьбой о блокировке доступа к фишинговым ресурсам, а также к хостинговым компаниям и государственным органам для закрытия мошеннических веб-сайтов.

Источник

Конечно, Facebook как никто другой страдает от фишеров, и именно поэтому крупнейшая и популярнейшая в мире социальная сеть должна бороться с ними всеми возможными способами. Но от фишеров страдают и другие, чуть менее пропиаренные ресурсы. И подавляющее большинство из них смотрит на эту проблему, мягко говоря, не слишком пристально. Потому что проблема не у них, а у пользователей, и какой тут с них спрос.

Если же взглянуть на проблему шире, то мы увидим достаточно эффективный и дешевый способ борьбы с угрозами. А именно: увидел что-то подозрительное - напиши нам. И доверие повышается со стороны лояльных клиентов, и проблема, которая могла бы остаться незамеченной, уже не пройдет мимо зоркого ока отдела информационной безопасности.

Конечно, применительно ко внутренней безопасности этот метод надо применять максимально остророжно, дабы избежать цветущего махровым цветом стукачества. Но в плане безопасности внешней эту тактику можно и нужно взять на вооружение, и результаты не заставят себя долго ждать.

Р. Идов,

аналитик компании SearchInform