OpenNET

Опубликована версия 2.0 инженерной раскладки клавиатуры Ручей. Раскладка позволяет без переключения на латиницу вводить спецсимволы, такие как "{}[]<>", используя правую клавишу Alt, что упрощает набор технических текстов с использованием разметки Markdown, Yaml и Wiki, а также кода программ на русском языке. Также доступен и английский вариант раскладки имеющий одинаковый с русским вариантом расположение спецсимволов. Наработки проекта распространяются как общественное достояние.

Изменения в новой версии:

# Раскладки теперь полностью базируются на русском варианте;

# На своё место вернулась двойная кавычка и гравис;

# Изменено расположение апострофа и параграфа;

# Убрана идентификация раскладок как кириллицы и латиницы;

# Для Linux раскладки теперь не относятся к категории "exotic" и размещены в base.xml;

# Для GNOME исправлена идентификация раскладок как "ru" и "en".

В подготовке новой версии большое участие приняло сообщество opennet.ru и linux.org.ru. С версии 2.0 все изменения заморожены, символы своё положение менять не будут. Для Linux раскладки будут штатно доступны в выпуске пакета xkeyboard-config 2.37. Также в выпуск вошли варианты раскладки для Windows и macOS.

Макет русского варианта раскладки:

Макет английского варианта раскладки:

Группа исследователей из Национального университета Сингапура и Университета Ёнсе (Корея) разработала метод для выявления скрытого включения микрофона на ноутбуке. Для демонстрации работы метода на базе платы Raspberry Pi 4, усилителя и программируемого приёмопередатчика (SDR) собран прототип, получивший название TickTock, который позволяет выявлять активацию микрофона вредоносным или шпионским ПО для прослушивания за пользователем. Техника пассивного определения включения микрофона актуальна так как, если в случае с web-камерой пользователь может блокировать запись просто заклеив камеру, то встроенный микрофон отключить проблематично и не понятно, когда он активен, а когда нет.

Метод основан на том, что при работе микрофона, цепи, передающие тактовые сигналы на аналого-цифровой преобразователь, начинают излучать специфичный фоновый сигнал, который можно уловить и отделить от шумов, вызванных работой других систем. По наличию специфичного для микрофона электромагнитного излучения можно сделать вывод о ведении записи.

Устройство требует адаптации для разных моделей нотубуков, так как характер излучаемого сигнала сильно зависит от применяемого звукового чипа. Для корректного определения активности микрофона также потребовалось решить задачу с фильтрацией шумов от других электрических цепей и учесть изменение сигнала в зависимости от подключения.

В итоге, исследователям удалось адаптировать своё устройство для надёжного определения включения микрофона на 27 из 30 протестированных моделях ноутбуков, производства Lenovo, Fujitsu, Toshiba, Samsung, HP, Asus и Dell. Три устройства, с которыми метод не сработал, оказались модели Apple MacBook 2014, 2017 и 2019 (предполагается, что утечку сигнала не удалось уловить из-за экранирующего алюминиевого корпуса и использования коротких гибких кабелей).

Исследователи также попытались адаптировать метод для других классов устройств, таких как смартфоны, планшеты, умные колонки и USB-камеры, но эффективность оказались заметно ниже - из 40 протестированных устройств определение было налажено только на 21, что объясняется использованием аналоговых микрофонов вместо цифровых, других схем подключения и более коротких проводников, излучающих электромагнитный сигнал.

Компания Google внесла изменения в правила каталога Play Store, которые ограничивают предоставляемый платформой API VpnService. Новые правила запрещают использование VpnService для фильтрации трафика других приложений с целью монетизации, скрытого сбора персональных и конфиденциальных данных и любых манипуляций с рекламой, которые могут повлиять на монетизацию других приложений.

Сервисам также предписывается обязательное применение шифрования для туннелируемого трафика и выполнение требований правил для разработчиков, связанных c мошенничеством с рекламой, запросом полномочий и вредоносной активностью. Туннели к внешним серверам разрешено создавать приложениям, явно заявляющим о выполнении функций VPN, и только при помощи API VPNService. Исключения по обращению к внешним серверам сделаны для приложений, в которых подобное обращение формирует основную функциональность, например, программы родительского контроля, межсетевые экраны, антивирусы, программы управления с мобильного устройства, сетевые инструменты, системы удалённого доступа, web-браузеры, системы телефонии и т.п.

Изменения вступят в силу 1 ноября 2022 года. Среди целей изменения правил называется улучшение качества рекламы на платформе, повышение безопасности и борьба с распространением ложной информации. Ожидается, что новые правила позволят защитить пользователей от сомнительных VPN-приложений, отслеживающих данные пользователя и перенаправляющих трафик для манипуляций с рекламой.

При этом изменение затронет и легитимные приложения, например, VPN-приложения с функциями обеспечения конфиденциальности, использующие упомянутую функциональность для вырезания рекламы и блокирования обращений к внешним сервисам, отслеживающим активность пользователей. Запрет манипуляций с рекламным трафиком на устройстве также может негативно повлиять на приложения для обхода ограничений монетизации, например, перенаправляющих запросы рекламы через серверы в других странах.

В качестве примера приложений, функциональность которых будет нарушена, приводятся Blokada v5, Jumbo и Duck Duck Go. Разработчики Blokada уже обошли вводимое ограничение в ветке v6, перейдя на фильтрацию трафика не на устройстве пользователя, а на внешних серверах, что не запрещено новыми правилами.

Среди других изменений в правилах можно упомянуть начинающий действовать с 30 сентября запрет на показ рекламы на весь экран, если данную рекламы невозможно отключить через 15 секунд или если реклама появляется неожиданно при попытке выполнения пользователей каких-то действий в приложении. Например, запрещена полноэкранная реклама, показываемая в качестве заставки при запуске или во время игрового процесса, в том числе при переходе на новый уровень.

С завтрашнего дня также начнёт действовать запрет на размещение приложений, вводящих пользователей в заблуждение, выдавая себя за другого разработчика, компанию или другое приложение. Запрет охватывает использование логотипов других компаний и приложений в пиктограммах, упоминание названий других компанией в имени разработчика (например, публикация от имени "Google Developer" лицом, не связанным с Google), ложные заявления о причастности к продукту или сервису, а также нарушения, связанные с использованием торговых марок.

С сегодняшнего дня начинает действовать требование, обязывающее приложения с платной подпиской предоставлять заметные пользователю средства для управления подпиской и её отменой. В том числе в приложении должен предоставляться доступ к простому методу для отказа от подписки в режиме online.

В пакете с браузером Chromium, предлагаемом в дистрибутиве Debian, осуществлён переход на использование по умолчанию поисковой системы DuckDuckGo вместо Google. Предложение о замене поисковой системы на DuckDuckGo рассматривалось с апреля 2020 года. В качестве причины упоминается забота о конфиденциальности пользователей - сервис DuckDuckGo не использует персонализацию вывода и вырезает данные, которые могут использоваться для отслеживания предпочтений и перемещений пользователя. При необходимости вернуть Google или выбрать любую другую поисковую систему можно в настройках ("Настройки > Поисковая система", "Settings > Search Engine").

Участники Google Security Team опубликовали открытую библиотеку Paranoid, предназначенную для выявления ненадёжных криптографических артефактов, таких как открытые ключи и цифровые подписи, созданных в уязвимых аппаратных (HSM) и программных системах. Код написан на языке Python и распространяется под лицензией Apache 2.0.

Проект может оказаться полезен для косвенной оценки применения алгоритмов и библиотек, в которых имеются известные бреши и уязвимости, влияющие на надёжность формируемых ключей и цифровых подписей, если проверяемые артефакты генерируются недоступными для проверки аппаратным обеспечением или закрытыми компонентами, представляющими собой чёрный ящик. Библиотека также может анализировать наборы псевдослучайных чисел на предмет надёжности их генератора, и по большой коллекции артефактов выявлять неизвестные ранее проблемы, возникающие из-за ошибок при программировании или использовании ненадёжных генераторов псевдослучайных чисел.

При проверке при помощи предложенной библиотеки содержимого публичного лога CT (Certificate Transparency), включающего сведения о более чем 7 миллиардах сертификатов, не выявлено проблемных открытых ключей на основе эллиптических кривых (EC) и цифровых подписей на базе алгоритма ECDSA, но найдены проблемные открытые ключи на базе алгоритма RSA. В частности, выявлено 3586 ненадёжных ключей, сгенерированных кодом с неисправленной уязвимостью CVE-2008-0166 в OpenSSL-пакете для Debian, 2533 ключей, связанных с уязвимостью CVE-2017-15361 в библиотеке Infineon, и 1860 ключей с уязвимостью, связанной с поиском наибольшего общего делителя (GCD). Информация об остающихся в обиходе проблемных сертификатах направлена удостоверяющим центрам для их отзыва.

Разработчики из компании Red Hat объявили о готовности инструмента gnome-info-collect для сбора телеметрии о системах, на которых используется окружение GNOME. Пользователям, желающим принять участие в сборе данных, предложены готовые пакеты для Ubuntu, openSUSE, Arch Linux и Fedora.

Переданная информация позволит проанализировать предпочтения пользователей GNOME и учесть их при принятии решений, связанных с повышением удобства работы и развитием оболочки. При помощи полученных данных разработчики смогут лучше понять потребности пользователей и выделить направления деятельности, которым следует уделить первостепенное внимание.

Gnome-info-collect представляет собой простое клиент-серверное приложение, которое собирает данные о системе и передаёт их на сервер GNOME. Данные обрабатываются обезличенно, без сохранения информации о конкретных пользователях и хостах, но для исключения дубликатов к данным привязывается хэш с солью, созданный на основе идентификатора компьютера (/etc/machine-id) и имени пользователя. Перед отправкой подготовленные для передачи данные показываются пользователю для подтверждения операции. Данные, которые могут использоваться для идентификации системы, такие как IP-адрес и точное время на стороне пользователя, отфильтровываются и не попадают в лог на сервере.

Среди собираемой информации: используемый дистрибутив, параметры аппаратного обеспечения (включая данные о производителе и модели), список установленных приложений, список избранных приложений (вынесенных на панель), наличие поддержки Flatpak и доступа к Flathub в GNOME Software, типы используемых учётных записей в GNOME online, включённые сервисы совместного доступа (DAV, VNC, RDP, SSH), настройки виртуальных рабочих столов, число пользователей в системе, используемый web-браузер, включённые расширения GNOME.