RUH8

2021-04-09 15:10:15 Есть у нашей правопохоронной системы одна замечательная особенность. Если им что-то нужно, то они по тревоге поднимут спецназ с пулеметами, проедут тысячу километров, чтобы насрать вам на коврик под дверью, и еще Авакова будут перед собой на броневичке катить при огневой поддержке с воздуха. А когда адвокат в очередной раз показывает, что следователи ссут в глаза (под процессуальным руководством прокуратуры) https://www.facebook.com/vadim.kolokolnikov/posts/10222374726491821 , то морозиться для них - норма, порядочек. Одним словом, судья обязал прокурора привести следователя на следующие заседание. Так себе и представляю картину маслом: прокурор - следователю, собирайся, давай, в суд пора. А следователь плачет, кутается в одеяло и канючит, ну, можно, я не пойду, там адвокаты злые, дело резонансное, еще пять минуточек, позязя и начинает хлюпать мохнорогим своим еблищем. Кіберполіція, Національна поліція України, Служба безпеки України, ау, дармоеды! За полгода пора бы уже показывать результаты расследования. Открыть/Комментировать

2021-04-07 11:33:04 Если вас пытаются взломать... (краткий курс выживания для политических активистов в условиях авторитаризма на минималках).

Просмотрите все приложения, у которых есть доступ к SMS, удалите ненужные. Поставьте пароль на телефон. Обновите систему. Если она не обновляются автоматически, то сделайте это прямо сейчас. Потом, проверьте, какие устройства залогинены в данный момент:

Facebook
Settings & Privacy Settings Security & Login Where You're Logged In
Google
Manage your Google Account Security Your Devices
Telegram
Settings Devices
Twitter
More Settings & Privacy Security and account access Apps and sessions Sessions

Удалите все неизвестные вам устройства (Фейсбук иногда путается в геолокации и может указать не тот город, но береженого - бог бережет)

После чистки левых устройств, заходим сюда https://haveibeenpwned.com/ и проверяем не текли ли пароли, связанные с вашими аккаунтами (кто-то мог выудить ваш пароль в интернет-магазине, где вы делали покупки, говномагазин проще взломать, чем Google).

Выбираем надежный пароль (12+ символов, цифры, буквы, знаки), пароли для разных сервисов должны быть разными, если у вас нет своей системы для запоминания паролей и вы их не можете запомнить, то сохраните их в менеджере паролей.

Сохраните холдеры от сим-карт с IMSI, стикеры с IMEI от телефона и коды восстановления от сервисов в мусоронедоступном месте. Не дома и не в акккаунте с двойной аутентификацией (от которого вы можете потерять доступ).

Обязательно включите двойную аутентификацию и проверьте, что все работает правильно (из приватной вкладки). Включается в тех же настройках безопасности, где вы проверяли список устройств.

Если вас пытались взломать и вы знаете IP-адрес и точное время, то напишите жалобу провайдеру. Заходим сюда https://apps.db.ripe.net/db-web-ui/query вводим IP, открываем admin-c, abuse-c и жалуемся.

И не жмите на что попало https://github.com/sapran/dontclickshit (почитайте на досуге, там много всего полезного для бытовой безопасности); еще есть курс лекций "Кіберзахист від держави" https://www.youtube.com/channel/UCSdJpku-cKaj3jO_mVR7_zA/videos

Мы лёд под ногами майора! Открыть/Комментировать

2021-04-07 11:32:36 Открыть/Комментировать

2021-04-04 22:00:04 Дія послана нам за грехи. Особенно я смеялся над тем, что после того, как добрые люди с Ebanoe.it уведомили Міністерство цифрової трансформації України о том, что у них критическая дыра, спустя двое суток, с адреса security@ им ответили, что нужно по этим вопросам обращаться к чат-боту. Беспощадная цифровизация. Немилосердная.
Больше тут https://ebanoe.it/2021/04/04/diia-city-fail/ Открыть/Комментировать

2021-03-31 15:07:06 С удовольствием перечитываю зубастое интервью Sonya Koshkina с Юрій Щиголь (ДССЗЗІ) https://bit.ly/39uEVbo , там много смешного и поучительного. На удивление, местами появляются даже вполне здравые мысли, хотя говорить что-то и делать что-то - совсем не одно и тоже. Очень насмешила "оценка рисков". Зловредная Федерация стыдливо прикрыта эвфемизмом "некоторые страны", а угрозы существуют "репутационные" и связанные с персональными данными.

Так как война с Россией не прекращается, то основная угроза - она и есть, и самая желанная добыча - спец. службы (не исключая и госспецсвязь), армия, центральные органы власти. И если наш недо-DHS их не видит, то это скорее говорит о состоянии безопасности в нашей стране, а не о том, что уязвим бизнес или энергосектор. Вторая угроза - внутренняя, это вороватые чиновники, которые тащат данные из реестров и мошенничают с их наполнением.

И тут у Щиголя интересный поворот мысли. Чтобы данные не воровали, нужно мол, построить еще один (единный, национальный, государственный) резервный шмибер-центр и свалить все реестры туда. Прекрасная точка отката (а затем отказа). Собственно, если кто-то не в курсе, то Минцифра - государство в государстве, и так как новое министерство институционально несостоятельно, то Федорову понадобилась более основательная площадка для тотальной цифровизации. Для того там Щиголь и поставлен. За лояльность.

По поводу наевыборов - просто бред. Общемировой консенсус на этот счет, цитирую: "ха-ха-ха, сожгите нахер" (lol, burn it with fire). И это связано не с кибербезопасностью, а с конфликтом между оффлайновыми и онлайновыми принципами. Но как считает Щиголь, вроде бы и нельзя (бля, он что-то начал подозревать!), но нужно стараться и идти в соответствующем направлении. Нельзя, но надо. А то Михаил Альбертович наругает. А на помощь придет самая передовая украинская наука!

Вся эта гордость жалкими остатками советских еще ништяков, оно вобщем-то и не плохо. Я на самом деле рад, что в Украине есть люди, которые не только понимают как устроены внутри AES, Grøstl, Snow 2 и NTRU, но и могут их немного поправить, чтобы получились Калина, Купина и Струмок (для NTRU еще патриотический лейбл не придуман). Есть одно но. Если (вдруг) найдется уязвимость в оригинальных шифрах, то и "отечественные" будут уязвимы тоже.

Они не дают дополнительной безопасности, но загоняют нас в заповедник национальных стандартов (как это было с Южной Кореей, Японией, Канадой и Германией. Корея и Германия облажались сильнее всех). И в этом "заповеднике" самый хищный зверь, не профессора математики, а державные спиздприемства и дружественные лавки гос. спец. связи. Такой вот коррупционный "щит родины".

В один пост все не вместится, так что напоследок небольшой каминг-аут. Мы (UCA) конечно не Huawei и не Cisco, но у Ukrainian Cyber Alliance есть меморандум о научно-техническом сотрудничестве с гос. спец. связью, о чем господин Щиголь, по идее, должен был бы знать. Учитывая, что очень важное ведомство забывает о мимораундах сразу после их подписания, то скорее всего продлевать его мы не будем... (возможно у этого поста будет продолжение, уж очень там нажористо, например Щиголь не знает, что USAID не "международная компания", а государственное агентство)

P.S. Kostiantyn Korsun тоже не выдержал https://bit.ly/3fuqyrG , полагаю, что это интервью Щиголя войдет в золотой фонд цитат, на равне с "мы всех выгнали и все работает" и мы к нему не раз еще вернемся, спасибо Лівий Берег - LB.UA). Открыть/Комментировать

2021-03-31 00:28:02 Я вижу в ленте нешуточную ажитацию по поводу того, что Украина стала "первой страной в мире с электронными паспортами". Я так полагаю, по устойчивости государственных институтов, доходам и хайтеку мы уже обогнали Европу, а Штаты просто молча плачут, кусают локти и завидуют невиданному прогрессу в наших Нью-Васюках.

Я напомню, что такое паспорт. Это, сюрприз, защищенный документ, сделанный так, чтобы его тяжело было скопировать или использовать кому-то еще (и эти свойства разительно отличаются от мобильных телефонов).

Существует от сам по себе без хитро приныканных на местах "форм 1" (те формы - децентрализованный реестр, сделанный так, чтобы максимально усложнить к нему доступ со стороны чиновников и других бандитов, в первую очередь. И это совсем не случайно). Усложнить, не упростить. Нужна "форма 1", не для того, чтобы на нее QR-коды кидать.

Модель с реестром - это китайский вариант. В ней достаточно просто записать номер паспорта на салфетке или улыбнуться в камеру большому брату. ID-карты, при всем несовершенстве технологии, усиливают и продолжают бумажный тренд. А вот токен, он вполне себе изымается из дырявого телефона.

Теперь, чтобы жизнь медом не казалась, минцифры вместо того, чтобы выдать е-документ: "Такой-то получил данные паспорта такого-то тогда-то. С уважением ваша Дия, подпись", собирается ввести пермалинки вместо эфемерных QR-кодов, что без сомнения очень ускорит и облегчит мошенничество.

И так уже тысячи людей твикают злодию, что рано или поздно закончится supply-chain атакой, а то что запланировано - полный пиздец. Идентификация не в карте, не в мобилке, не в книжечке и не в цифровой подписи. Идентификация происходит, когда у вас есть "артефакт", который тяжело скопировать и вы сами (скопировать еще сложнее).

Я не знаю, насколько нужно быть умственно отсталым хипстером-жижетализатором, чтобы не понимать элементарных вещей. Если вы хотите, чтобы Украина заняла первое место в мире по identity theft, тогда радуйтесь конечно, кто же вам запретит. Открыть/Комментировать

2021-03-31 00:27:33 Открыть/Комментировать

2021-03-29 15:04:57 Нашел замечательное. Как "доказать" гипотезу Коллатца с помощью компилятора

P.S. На самом деле нет.

Компилятор видит хвостовую рекурсию, то есть бесконечный цикл, который по стандарту дает неопределенное поведение (UB), и единственный выход из цикла - единичка. Для байтоебов, вроде меня, тут скрыты многие печали. Открыть/Комментировать

2021-03-25 17:18:33 Вы знаете, я должен вам признаться, что я перестал бояться и полюбил Грету Тунберг. У нас целый фан-клуб Греты из отборных безопасников и адвокатов. И мы будем бороться за локальное потепление в ДКИБ СБУ (если у чекистов сгорит пару стульев, то в остальном мире немного похолодает). На скриншоте прелюбопытный и довольно редкий документ. На жаргоне называется "тешка" (что-то вроде краткой аналитической записки). Из неё становится понятно, что срать хотел ДКИБ на то табло, а целились "рыцари" плаща и кинжала на то, чтобы "обилетить" одесский аэропорт. Стоит еще отметить, что взлом тысячелетия произошел с локального компьютера. И то, как чекисты крали данные с того самого компьютера. Позвольте, уж не они ли сами там Грету намалевали, чтобы был повод зайти на поговорить?.. Открыть/Комментировать

2021-03-25 14:34:32 Сегодня, 25 марта, Служба Бакланов Украины отмечает свой профессиональный праздник. И у меня возник вопрос о военных тайнах (и немного о государственных). Вот вы видели документы ФСБ, так чтобы всё по форме, "Лубянская площадь, 2", вот это вот всё? Или ФСО, например, ФСТЭК, не, не встречали? А я уже даже немного устал уворовывать обратно у российских хакеров документы, которые они тащат прямо со стола у Баканова. В СБУ есть специальный департамент "контррозвідувального захисту інтересів держави у сфері інформаційної безпеки", который должен по идее не бизнес кошмарить, и не за активистами гоняться (об этом мы еще поговорим), а следить за тем, чтобы хотя бы их родную контору не дрючили. ДКІБ, ау, может вам Кіберполіція вызвать, чтобы они у вас пошуршали и выяснили, как именно вас российское хакерье нагибает? Открыть/Комментировать