whysafe

Только сертификат подписи на Android не секрет. Любое приложение может спросить у системы сертификат Teams, который у вас уже стоит, и посчитать тот же самый хэш. Проверка смотрела, сходится ли рассказ, а кто его рассказывает, не спрашивала. Как охранник, который убедился, что пропуск настоящий, и не посмотрел, тот ли человек его принёс.

На выходе злоумышленник получал access и refresh токены от имени Teams: почту, файлы, календарь и чаты рабочего аккаунта. По refresh токену доступ можно продлевать и дальше. Приложению при этом не нужно ни одного разрешения и не нужен root, от человека требовалось только его установить. Уязвимости дали 8.6 из 10, номер CVE-2026-80097.

Исправили в версии 6.2606.4246. Если у вас в Authenticator есть рабочий аккаунт, обновитесь. Админам советуют больше: токены с устройств, где стояла старая версия, считать утёкшими и отозвать refresh токены.

Я пишу ботов и сайты на заказ, и та же самая ошибка, только попроще, попадалась мне в чужом коде, который приносили доделать. Бот берёт id пользователя из параметра в ссылке или из данных кнопки, а не из того, что прислал сам Telegram. Сайт считает тебя админом, потому что так написано в скрытом поле формы. Правило тут одно: кто к тебе пришёл, спрашивай у системы, а не у того, кто пришёл. В Android для этого есть getCallingPackage() и Binder.getCallingUid(), в Telegram-боте это from.id из апдейта, на сайте сессия на сервере.

Если вы смотрите чужой код и не знаете, с чего начать, начните с этого места. Даже у Microsoft оно оказалось дырявым.

Удалить пакет после этого мало, украденные ключи сами себя не отзовут. Все, кто разбирал инцидент, советуют одно и то же: откатиться на 1.106.2, а все секреты, которые видела заражённая машина, считать утёкшими и перевыпускать.

Я пишу ботов и парсеры на заказ, и почти в каждом проекте у меня лежит .env с токеном бота, доступом к базе, иногда с ключом от платёжки. Так что про такие истории я думаю совсем не абстрактно. Вот что я делаю, чтобы меня это задевало поменьше.

1. Версии зависимостей фиксирую точно, через ==. Никаких «поставь последнюю». Обновляю руками, когда сам решил, а не когда сервер сам пересобрался.

2. В Docker не использую тег latest. Тут прямо в тему: заражённым оказался как раз latest.

3. Новую версию популярной библиотеки не ставлю в день выхода. Пару дней подождать почти всегда можно, а такие взломы обычно находят за часы.

4. У каждого проекта свои ключи. Если утечёт один, не придётся бегать и менять всё у всех заказчиков.

5. Токены и пароли заказчик оформляет на себя. Если что-то случилось, он может отозвать их сам, не дожидаясь меня.

На сто процентов ничего из этого не спасает. Если бы я в ту среду в обед пересобирал проект с незафиксированной версией, словил бы то же самое. Но шансов меньше, и разгребать потом меньше.

Кстати, по данным Chainguard, LiteLLM так ломают уже второй раз за семь месяцев. Если у вас где-то стоит litellm без указания версии, гляньте, какая там сейчас.

Спорить, если честно, было не с чем. Я предложил. Он согласился. Всё по-честному.

Отменить заказ я тоже думал. Но отмена грозила плохим отзывом, а у меня отзывов и так было по пальцам пересчитать. Для новичка это хуже любых потерянных денег. Так что я выдохнул и сделал всё, что было в задаче.

Сдаю. Заказчик пишет: «А можно ещё отчёт по проделанной работе?»

Можно, конечно. За 500 рублей у нас всё включено.

Отчёт я тоже сделал. Аккуратный, по пунктам. Подозреваю, это был самый подробный отчёт в истории заказов за пятьсот рублей.

Сейчас я вспоминаю это без обиды. Ну ладно, почти без обиды. Заказчик просто не стал переплачивать, когда ему предложили дёшево. Половина вины на мне. Я тогда назначал цену из страха, что возьмут кого-то другого. И ведь могли взять: кто-нибудь всегда был готов сделать ещё дешевле.

С тех пор у меня простое правило. Сначала разбираюсь в задаче, потом называю цену. И называю её так, чтобы потом не хотелось писать заказчику «давайте пересмотрим».

А у вас было такое, что сами назвали цену и сами же об этом пожалели?

Ожидание: тишина, никто не отвлекает.
Реальность: соседи начали ремонт в ту неделю, когда у меня был первый крупный заказ. С тех пор прошло полтора года. Они сверлят. Я начинаю подозревать, что они тоже на фрилансе и сверлить их работа.

Ожидание: рабочее место как в видео на ютубе. Подсветка, растение, механическая клавиатура.
Реальность: клавиатура механическая, тут я себя не обманул. Растение было. Оно не пережило дедлайн по игре для Яндекс Игр, две недели я про него не вспоминал. Подсветка тоже есть, это монитор.

Ожидание: созвоны в рубашке.
Реальность: рубашка сверху. Снизу шорты с котами. Камера стоит так, что видно потолок и половину лица. Заказчики не жалуются, некоторые сидят так же.

Ожидание: обед по расписанию.
Реальность: обед наступает, когда прошли тесты. Если тесты не прошли, обеда нет. В плохие дни это ужин в четыре часа дня из того, что нашлось в холодильнике.

Ожидание: появится время на спорт.
Реальность: мой спорт это дойти до двери, когда курьер привёз пиццу. Шагомер в телефоне иногда смотрит на меня с осуждением. Ну, как умеет.

Ожидание: дома все поймут, что я работаю.
Реальность: «Ты же всё равно дома. Прими посылку, сходи на почту, погуляй с собакой». Объяснить, что я на работе, сложно. Особенно когда я на работе в шортах с котами.

Знакомые иногда спрашивают, не тянет ли меня в офис. Не тянет. Да, соседи сверлят, и растение жалко. Зато никто не стоит за спиной и не спрашивает, когда будет готово. Для этого есть телеграм, а там всегда можно сделать вид, что я в душе.

Кто тоже работает из дома, какая ваша картинка не сбылась?

18:52. Захожу. Бот работает, но код на сервере не мой. Кто-то правил его прямо там. В файле с текстами появилась строчка «Скидка 15% для постоянных!!!». С тремя восклицательными знаками. Это ценная информация, её терять нельзя.

19:20. Сливаю свою версию с серверной. Аккуратно, руками. Восклицательные знаки сохраняю все три.

19:35. Перезапускаю. Бот падает. На новом хостинге другая версия Python, и одна библиотека с ней не дружит.

20:10. Обновляю библиотеку. Бот поднимается. Делаю тестовую запись на завтра на 12:00. Приходит «Ждём вас!». Красота.

20:12. Заказчик: «О, работает! Слушай, а раз ты там, можно "ждём вас" с маленькой буквы? А то как-то кричит».

20:13. Меняю. Перезапускаю. Ничего не падает. Я даже немного разочарован.

20:15. Заказчик: «Спасибо огромное! Сколько я тебе за пять минут должен?»

Я честно посчитал. Вышло два с половиной часа, из них на саму строчку ушло секунд сорок. Взял за час. Он перевёл и прислал смайлик с бицепсом.

После той пятницы я кое-что поменял. При сдаче проекта мы теперь сразу договариваемся, кто трогает сервер. Доступы храню у себя. Пароли фотографией больше не принимаю, только текстом. А «одна строчка» у меня теперь стоит как час работы, и заказчики, кстати, не спорят.

Рассказывайте, у кого какая «одна строчка» растянулась на вечер.

4. Двоюродный брат попросил сделать ему игру «как GTA, только про наш район». Срок к выходным. Бюджет «ну ты же свой». Я сделал ему кубик, который ездит по квадрату. Он сказал, что для начала нормально.

5. Мама попросила удалить вирус, который пишет, что память заполнена. Вирусом оказались 11 тысяч картинок из родительского чата. Каждая открытка «с добрым утром» в трёх экземплярах.

6. Принтер. Тут без подробностей. Принтер был всегда, и принтер победил.

7. Отец решил, что раз я пишу ботов, я могу сделать бота, который будет за него спорить в домовом чате. Я честно задумался. Потом представил, чем это кончится, и отказался.

Самое смешное, что за всё это время никто ни разу не спросил, чем я на самом деле занимаюсь. Зато на семейных праздниках меня представляют так: «Это Лёша, он по компьютерам. Лёш, глянь потом, у Светы ноутбук гудит».

Ноутбук я глянул. Там была кошка. Она спала на решётке вентилятора.

«Я сам немного разбираюсь»
Сейчас будет скриншот кода с ChatGPT и вопрос, почему я так не сделал.

«Срочно!»
Можно было вчера. Но ТЗ будет в четверг.

«Это же просто кнопка»
За кнопкой оплата, проверка, база данных, уведомление менеджеру и письмо клиенту. Но да, снаружи кнопка.

«Мой племянник сделал бы за выходные»
Племянник уже делал. Поэтому вы здесь.

«Давайте сначала сделаете, а если понравится, заплачу»
Давайте я сначала заплачу вам, а если понравится, вы мне вернёте.

«Логотип покрупнее»
Ещё покрупнее. Нет, не так.

«Посмотрю вечером и отпишусь»
Отпишется через две недели с фразой «ну что там, готово?».

«У меня есть идея на миллион, нужен только программист»
Программист нужен бесплатно, за долю. Миллион пока тоже в виде идеи.

«Всё отлично, спасибо!»
Редкий зверь. Встречается примерно в половине случаев, и ради этого всё и делается.

Честно, большинство моих заказчиков нормальные люди, и с последним пунктом я не шутил. Но первые два слышу почти каждую неделю.

Дополняйте в комментах, у кого что было. Особенно жду дизайнеров, у вас наверняка свой разговорник.