BespalePhone

2022-12-07 20:44:52 ​Так, мои золотые.

Пригласили тут выступить на очередном мероприятии, прочитать нечто общественно полезное.
Т.к. с CyberYozh мы дружим уже давно, отказать права не имел.

Буду выступать на тему:
"Идентификаторы телефона, и как они влияют на анонимность?"

А еще, вот такой сопровод к этому мероприятию имеется (там как раз вся важная инфа сидит ):

С 7 по 11 декабря проходит бесплатное онлайн-мероприятие «CyberWeekend» от CyberYozh.

Среди заявленных участников: Сергей Павлович (Люди PRO), Андрей Масалович (Кибердед), BespalePhone, VektorT13, Евгений Ивченков и другие специалисты.

Так что, ждем всех желающих, халява все-таки Открыть/Комментировать

2022-11-22 23:20:31 Бля, во я тип конеш.
Интервью же вышло, а я молчу почему-то вторые сутки

Наш давний друг Pulse пригласил поболтать (спасибо родной , к тебе - всегда с кайфом).

Собственно, просвещайтесь, мои золотые. Не то чтобы рассказал что-то уж очень эксклюзивное, но и базовые вещи в памяти освежить бывает полезно.



Открыть/Комментировать

2022-11-11 21:58:57 Со вчерашнего дня бурлит история о приговоре за впн, плавно перетекшая в приговор за виполю (еще 2 года назад я просто и понятно расписал, что это за чудесный мессенджер, возвращаться не будем).

Плавно перетекшая в рассуждения о сделке со следствием, собственно, с учетом полного признания вины и особого порядка, че тут и рассуждать

Кто-то пишет, мол фэсы не смогли найти ничего криминального в компе (а почему собственно в компе, а не в телефоне, например), и вот так на пустом месте пригрузили и самого этого бедолагу, а также экспертизу там и чего-то чего-то..

Ну, давайте порассуждаем.
С учетом того, что некое устройство было изъято, это значит был прием/обыск.

С учетом того, что факт наличия виполи этой как-то всплыл/был установлен, скорее всего, устройство было открыто, доступно для вскрытия, скажем так. Иначе откуда это вообще вылезло, если только не сама виполя и сдала его во что верится.. ну не знаю, ставьте проценты на собственный вкус, это не принципиально. Ведь если сдала, уже точно было за что.

С учетом того, что 90% пользователей (по моему скромному мнению) этого мессенджера связаны со сферой.. скажем так.

С учетом того, что его принимало аж целое управление по области, очень слабо верится, что они выходили на охоту, не подготовившись. Возможно ничего особого криминального конкретно у него и не нашли, но возможно и прием/обыск был не только у него. Я бы даже сказал очень вероятно, целое управление работает скорее так, и мессенджер - это ведь как минимум для двоих, не так ли?

С учетом того, что прошло аж два+ года от приема/обыска до такого странного приговора.

Думаю, сделка тут была совсем не в признании этого тухляка. Что-то там поинтереснее разыгрывалось все это время. А оформить-то они могут что угодно, какая там уже кому разница. Открыть/Комментировать

2022-11-04 02:05:36 Заработай вместе с Bespale

Акция продлится до 31.12.2022
(а может и после, будем посмотреть)

============

Платим:

$100 - за каждый проданный BespalePhone / BespalePhone_rugged

$40 - за каждый проданный Matrix personal messenger

$20 - за каждый проданный BespaleVPN personal / Jabber personal messenger

$6 / $12 / $15 / $26 - за каждую проданную годовую / двухлетнюю / трехлетнюю / пожизненную (соответственно) подписку на BespaleVPN

============

Чтобы получить выплату, необходимо:
1. Написать нам @bespalephone и получить персональный промокод.
2. Привести клиента, который укажет промокод при совершении сделки.
3. Получить деньги.

============

Выплата в день совершения сделки
Клиент получает 5% скидку при указании промокода (скидка 5% за оплату криптой суммируется) Открыть/Комментировать

2022-11-04 02:05:36 Который день уже обсуждаем тут маркетинговые стратегии (прости господи). Не буду погружать вас в эти перипетии, тем более что они несколько беспонтовы.. ну как по мне

А хотел погрузить вот во что. Это как бы не совсем маркетинг.. а может и наоборот - как раз он, я тут не большой специалист, честно признаюсь (помоему маркетинг - это нечто среднее между хиромантией и алхимией ), но идея глобально следующая:

Как ни крути, в конечном итоге наилучшим каналом сбыта на сегодня у нас является сарафанное радио. Т.е. это возвращающиеся клиенты, друзья/знакомые клиентов, это ресселеры, это сторонние оптовые партнеры, которым по долгу службы нужны наши продукты, и так далее. В общем, все на личном общении, на тонкой линии доверия, скажем так.

С одной стороны, это очень приятно и трогательно, это показатель качества наших продуктов, некое признание, что в определенной степени наполняет смыслом нашу работу и старания. Спасибо вам, мои золотые, всех вас люблю и кланяюсь в ноги.
С другой стороны, я так и не обзавелся майбахом, что не может не удручать, конечно же

Короче говоря, руководствуясь этой простой идеей, мы решили направить бюджеты не на очередное шаманство с кликами/просмотрами, а вот сюда, т.е. на вас, мои родненькие (вряд ли оно результирует в майбах, будем объективны, но может хоть икорки на бутерброд добавит).

Итак: Открыть/Комментировать

2022-10-21 18:53:09 Что еще нарыли ребятки?
Например некую b2b компанию, которая, используя одно и то же дырявое sdk с одинаковым токеном доступа, спалила данные всех своих 15 000 клиентов (это 15 000 отдельных предприятий, бизнесов, не просто людей, b2b же). Корпоративные данные, финансовые отчеты, списки сотрудников с полной инфой (фулки, считай) - все это вытаскивается с помощью одного токена, просто прикиньте масштаб.
Пять популярных банков, чьи ios-приложения обращались к одному и тому же дырявому sdk, обеспечивающему аутентификацию (лог/пас, пальчики, глазки итд). Покопавшись в этом sdk можно вытащить не только фулки конечных клиентов, коих утекло 300 000, к слову, а дажи и ключи авторизации самих блядь банков, вместе с исходниками api и схемой всей облачной инфраструктуры сервиса.
Беттинговый (ставки на спооооорт) b2b сервис, чья дырявая библиотека спалила рут-доступы к серверам 16 беттинг-компаний (так понимаю просто рут-пароль в себе хранила, это конечно вышка). Рут-доступ к серверу такой компании - это доступ ко всем ее клиентам, к слову сказать, включая их платежные реквизиты, и, конечно, фулки.

_

Такие пирожки, мои дорогие.
Что с этим делать? Рядовому пользователю - да в общем-то ничего.
Ну то есть все по классике: не регать на себя ничего и никогда, юзать чужие платежные инструменты, на которых деньги не хранить, а только транзитить, не доверять тем, к кому нельзя прийти домой, уж хотя бы

А вот разрабам - не использовать цепочки поставок, или хотя бы хорошенько их проверять перед выпуском в мир. Хотя какая им разница, по большому-то счету? Оплата ведь приходит по факту релиза, а не по факту найденных дырок.

Берегите себя, братцы и сестрицы, вон оно че бывает. Открыть/Комментировать

2022-10-21 18:53:09 Всем саламчик.
Лан, хорош бакланить, пора отрабатывать свое предназначение


Уязвимости цепочек поставки приложений

Цепочка поставки (supply chain) - термин должен быть знаком многим, особенно людям бизнеса: добыча и поставка сырья, производство компонентов, склады/распред.центры, логистика, в конечном итоге - готовый продукт на полке/витрине. Общий смысл уловили, будем считать.

При разработке и дистрибуции, а также последующем обслуживании мобильных (и не только) приложений - похожая история, в особенности, если мы говорим не о простейших офлайн-калькуляторах, но о сложно-сочиненных сервисах, типа банков/соц.сетей/онлайн-игр: такие приложения тоже используют цепочки поставок (или цепочки обслуживания, если будет угодно).

Зачем писать с нуля библиотеки/модули/api/sdk для какого-либо приложения, если уже есть полно готовых, логично? Зачем самому бегать-напаривать свое приложение (да это и нереально в сегодняшних условиях), если можно выставить его на витрину в appstore/googleplay/huaweistore/итд?
В конечном итоге, зачем самому вообще писать какое-то приложение (и/или отдельные его части), если ты компания с n-миллионной капитализацией? Не проще ли нанять кодеров на аутсорсе?
Вот вам и цепочка поставки/обслуживания/дистрибуции приложения. И, конечно, в таких цепочках сидит дохуя и больше уязвимостей, разной степени опасности.


AWS

Пожалуй наиболее распространенная дырка в подобных цепочках - прописанные прям в самом приложении токены доступа к AWS. То есть прямо в коде приложения содержаться данные для подключения и аутентификации к серверам/контейнерам AWS (типа как логин/пароль, только токен, аналог логина/пароля, скажем так).
AWS (amazon web services) на сегодня монополист в сфере облачных сервисов.
По факту это сервер-склад, где хранятся всякие библиотеки, sdk (набор средств разработки, т.е. готовые куски кода, модули), а также, внимание(!), множество персональных данных: от ip и марки/модели устройства, вплоть до платежных реквизитов и полных данных на человека (так называемые фулки, с помощью которых совершаются identity theft, т.е. кража личности), а также данных для входа в платежные инструменты (те же лог/пасс, токены, куки и прочие вкусняшки), и даже биометрия (пальчики, глазки, голоски, и что там еще нынче используется в этом качестве)

То есть, условный банк берет в аренду сервак на AWS, складывает туда всякую чувствительную инфу (о самом себе, о своих механизмах/инфраструктуре, о своих клиентах, итд), после чего напрямую прописывает токен доступа к этому серваку в своем же приложении. Ну так же удобнее, и проще, и быстрее. И дырявее
Обычный пользователь, конечно, этого токена не видит, просто вбивает свой лог/пас, или прикладывает палец/лицо/пипку - а приложение уже само шлет/сверяет инфу на AWS, используя встроенный токен. Так себе конструкция, не правда ли? Но она цветет и пахнет, как бы неприятно вам сейчас от этого ни стало.

Согласно отчету symantec (они же broadcom, а эти вообще любят поискать AWS-дырки, т.к. сами продают множество cloud-сервисов), ребятки проанализировали 1 859 приложений, которые любой из нас может скачать из соответствующего стора.
И вот что обнаружили:
в 77% случаев в приложении были прописаны токены доступа к AWS
в 47% случаев эти токены дают доступ к множеству чужих файлов (часто миллионам файлов ), хранящихся на AWS (хранилище Amazon S3)
в 53% случаев приложения используют ОДИНАКОВЫЕ ТОКЕНЫ, несмотря на то что они как бы от разных разработчиков (привет индийским аутсорсерам)

Кстати, абсолютное большинство (98%) этих приложений - под iOS. Не хочу кидать очередной камень в яблочный огород (и так хватает ), но они пишут, что это связано в том числе с политикой appstore, куда такое разгильдяйство проще пропихивается. Открыть/Комментировать

2022-09-29 18:45:45 Всем привет, мои золотые.
Ну че, как вам?
Я вахуе, если честно.

С начала войны моя публицистическая деятельность несколько припала, как вы могли заметить. Честно говоря, слов просто подходящих не хватает, да и поссыкиваю, че уж там. Нет, не ответственности за слова, а так в целом вообще..

Да и че тут комментировать, по большому счету, сами все видите/слышите/понимаете (надеюсь).

Ну зато экономическая деятельность хоть живет: телефоны/мессенджеры/впны/поддержка дорогих клиентов. Спасибо всем любимкам за доверие в столь непростой час, кстати. Пока живы - вас не бросим, не беспокойтесь (охуеть оговорочки.. вот тебе и '22ой)

В общем че хотел сказать-то: склад наш поредел, осталось буквально 3 трубки. Что будет дальше с поставкой (а следовательно - ценой, и вообще возможностью), пожалуй прогнозировать не буду, ну его нах. Напрогнозировался уже

Так что, кому актуэль - рекомендую не тупить.

Всем остальным - трезвости ума, крепости духа, холодного расчета, здорового эгоизма. Ну и.. фарту масти Открыть/Комментировать

2022-09-06 16:27:05 Так, ну что.
Мы решили пойти во все тяжкие интернет-маркетинга, и сделали вот пост на vc, например

Для старичков с канала там в целом ничего нового нет: чем дабл лучше обычного впна, чем BespaleVPN лучше обычного дабла, ну и всякое такое. Хотя может кому и будет полезно ознакомиться/освежить материал.

Следующий шаг видимо дзен
Ну а хули, трафик не пахнет. Открыть/Комментировать

2022-09-02 13:37:40 Всем привет.
Давненько не забегал.

Но по хорошему поводу - грех не забежать. Мы наконец-то доделали сайт (не прошло и 3 лет ). Это была непростая работа (с моим-то перфекционизмом), но мы справились.
Собственно, вот он:
https://bespale.net

Ничего сверхъестественного, но, как минимум, давно пора было сделать отдельный удобный каталог с формой заказа.

Кроме того, теперь наконец можно реализовать реферальную систему ($бонус за приведенного клиента), вы давно просили. Ждем в личке, объясним как это работает.
Ну и критика по существу - это мы любим, так что не стесняйтесь Открыть/Комментировать