Без оглядки на безопасность

Когда система проектируется и реализуется без оглядки на вопросы информационной безопасности, то в процессе эксплуатации рано или поздно появляется ситуация, когда нужно срочно делать патчи и латать дырки. И несмотря на то, что огромное количество отрицательных примеров отлично показывает, что нет никакого смысла экономить на привлечении безопасников к проектированию систем, но, тем не менее, всё новые компании наступают на те же грабли. Не стала исключением и Mail.ru Group.

Давным давно, когда один пользователь аськи пересылал другому какой-то файл, их клиенты соединялись друг с другом напрямую через интернет и осуществляли передачу. Сейчас при пересылке файла сам файл закачивается на сервера, принадлежащие Mail.RU, а получателю отправляется только ссылка на такой файл. Ссылка выглядит как "http://files.icq.net/files/get?fileId=XXXXXX", где XXXXXX – это набор букв и цифр, указывающих на файл. Скачать конкретный файл можно, только в точности зная эту последовательность. Безопасно? Нет. Файлы по аське пересылают миллионы людей, и даже указывая случайные комбинации, можно легко получить доступ к файлам случайных пользователей.

Дальше тут,  с матом и фото пользователей "Аськи" в стиле "ню"

Про пересылку фотографий документов через сеть по любому незащищенному каналу можно говорить долго и со вкусом, но всё-таки даже в таких случаях те службы, где пользователь может сам контролировать судьбу своих данных (например, FTP'шник на своём персональном сайте) выглядят явно более предпочтительно, чем такие, как "аська" или файлообменники. Но речь сейчас, в общем-то, совсем не о том, что пользователи любят пересылать документы через ICQ, а о том, компания Mail.ru лажанулась. Нет, ЛАЖАНУЛАСЬ. Вот так.

Какие уроки можно извлечь из этого? Пересылать файлы нужно ТОЛЬКО по защищенным каналам (VPN - самое то), а если вдруг, не дай Бог, что-то важное необходимо передать по той же аське или, хуже того, по электронной почте, причем в адресе отправителя или получателя есть mail.ru, hotmail.com, gmail.com и прочие yandex.ru, то пересылать всё нужно только в запароленном архиве, причем пароль должен иметь длину не меньше десятка знаков, и не 1234567890, а что-то посерьезнее. Хотя и парольная защита - та еще гадость, но это уже совсем другой разговор.

В общем, как обычно, не стоит доверять ни владельцам сервиса, которым вы пользуетесь, ни тому, кому вы что-то пересылаете. Нужно три раза подумать, прежде чем что-то пересылать, потому что предосторожности лишними никогда не бывают.

Р. Идов,

ведущий аналитик компании SearchInform

Дедукция, сэр!

На днях произошёл забавный случай: впервые за 5 лет в аську пришёл спам. И ладно бы просто пришёл, но нет. Сам способ достоин упоминания и описания. Плюс ко всему, в дело включилась моя фантазия.

В процессе разговора со знакомой вдруг от неё пришло такое сообщение:

Специально вставляю картинку, а то мало ли любителей «кликнуть» найдётся. Тем не менее, «угонщики» асек сменили философию. Дело в том, что не так давно Mail.ru Group вовсю пиарили новый функционал своих детищ из сферы интернет-мессенджеров. Главной «фичёй» стала возможность одновременно быть подключённым с нескольких мест. То бишь по сути Mail.ru продублировали у себя функционал Skype. Но вместе с плюсами, пришли и свои минусы. Раньше, если кто-то заходил в твою аську, это было сразу видно, так как тебя выкидывало с соответствующей ошибкой. Теперь же подобного не происходит, и нет гарантий, что вас никто не слушает.

Всё это, при должной фантазии, даёт спамеру неплохие шансы не вызвать подозрения своими ссылками. Конечно, в данном случае, текст на английском, сразу же вызвал подозрение (на самом деле не только он. Подробный анализ ссылки будет ниже). К примеру, сообщение вида «*оффтоп* зацени, <ссылка>», лично у меня вызвало бы меньше подозрений.

Но вернёмся к нашей ссылке. Она скорее всего приведёт нас к какой-то гадости. Давайте подумаем, как можно увериться в её вредоносности, не совершая переход.

Каждому в глаза бросается что-то своё, поэтому перечислю всё просто по порядку.

Первое, что вызывает подозрение – домен «.сс». Он имеет особую репутацию в мире зловредов и периодически становится эпицентром скандалов. Вот недавний.

Идём дальше, само слово «tiny» призвано уменьшить нашу подозрительность, намекая на то, что был использован сервис сокращения ссылок. Он действительно был использован, т.к. при внимательном рассмотрении ссылка заканчивается на DCS8037_jpeg. Здесь расчёт на невнимательного пользователя, который подумает, что точку просто не видно.

В дополнение ко второму пункту стоит сказать, что грамотный человек, получив такую ссылку, от собеседника, должен задуматься, а с чего вдруг тот стал пользоваться сервисом сокращений ссылок.

Третье, и последнее, на что стоит обратить внимание, это название. Злоумышленники хотят убедить нас, что это безобидная ссылка на фото. Причём, как видно из ссылки, оно было загружено без изменения имени. Однако ни один фотоаппарат не маркирует свои снимки словами «Picture». Более того, расширение снимков обычно JPG, но никак не jpeg. Конечно, никто не мешает нам поставить для пущей убедительности в ссылку хоть «CR2», но знайте, что такой формат даже Picasa не «переваривает».

Какой же итог? Новые возможности «аськи» дали старт новому направлению атак, рассчитанных на тех пользователей, которые сначала кликают по ссылке, а только потом думают. Как вы могли убедиться, для анализа порой достаточно лишь включить дедукцию.

Алексей Дрозд,

аналитик компании SearchInform

Мессенджеры: добро или зло?

До сих пор не приходилось встречать коммерческую организацию, где была бы запрещена электронная почта. Напротив, Skype запрещен очень много где (видимо, из-за того, что не знают о существовании нашего замечательного SkypeSniffer, с помощью которого можно и слушать переговоры через него, и читать переписку). А вот к мессенджерам ("аське", Mail.ru Агенту и т.д.) отношение везде неоднозначное. Почему?

Потому что у них много и плюсов, и минусов. Ну и еще потому что работать без них, в отличие от той же электронной почты, вполне можно, а репутации "вражеской программы непонятного назначения", которая есть у Skype, у мессенджеров нет. Смешно сказать, что приходилось даже слышать от одного достаточно толкового в остальном безопасника, что Skype пересылает переписку и голосовые данные в Америку, где  те складываются и потом спокойно анализируются спецслужбами. Про "Аську, которая, в отличие от глубоко пирингового Скайпа действительно пересылает данные "за бугор", такого он не говорил, что есть симптоматично.

У мессенджеров есть плюсы, и умные компании стараются их использовать. Системы мгновенного обмена сообщениями позволяют заметно сэкономить время сотрудников на походы из комнаты в комнату в случае необходимости срочного получения какого-либо документа или другой информации. При этом, в отличие от звонка через мобильный это почти бесплатно, и последнее преимущество становится особенно ощутимым в роуминге.

Самое интересное, что, по моим наблюдениям, чаще всего мессенджеры в компании становятся жертвой вовсе не борьбы за информационную безопасность, а за трудовую дисциплину - как, кстати, и всякие "Одноклассники". Только последние, в отличие от месседжеров, не несут реальной рабочей нагрузки, и нужны по-настоящему разве что представителям служб по связи с общественностью.

Моё мнение, блокировать мессенджеры бессмыссленно, потому что тот, кому нечего делать, может и пасьянсом заняться. А вот тот, кто хочет выболтать корпоративные секреты, уже может воспользоваться, в случае их запрета, куда более трудно поддающемся контролю мобильным телефоном.

Р. Идов,

аналитик компании SearchInform