После статьи мне написали несколько инженеров из Тэлмы и Ронды - компаний, которые аутсорсили разработку софта для телефонов Motorola из нулевых. Теперь доподлинно известно, что в РФ разработали немалую часть прошивки Motorola E398:
Пилили софт для LG:
Добавляли в Android поддержку CDMA помимо GSM (комdпания Teleca):
Помогали пилить Maemo и Meego (которая теперь стала Sailfish и в последствии Авророй):
И по заявлению комментатора с Хабра даже Nokia X (тот самый Android-смартфон) помогали доделать :)
Open Source остается основой глобальной кооперации в разработке. Преимущества, которые он приносит в мировую ИТ-индустрию, значительно перевешивают потенциальные риски.
Существует популярное мнение, что открытый код легче взломать. Такие утверждения обычно строятся на том, что код доступен всем, и любой желающий может найти в нем уязвимость, чтобы определить вектор атаки на развёрнутое приложение. Tadviser поговорил с экспертами по кибербезопасности, которые сделали важные ремарки на этот счёт.
Когда код видят тысячи разработчиков, уязвимости обнаруживаются и исправляются значительно быстрее. Кроме того, организации могут самостоятельно изучать код, что особенно важно для обеспечения безопасности критических систем. Аудиторы в больших и популярных проектах тоже видят код, что уравновешивает шансы закрытия уязвимостей ПО.
Как рассказал Пётр Козлёнков, руководитель службы информационных технологий PVS-Studio, открытое ПО имеет длинную историю как в инженерной, так и в производственной инфраструктуре: от операционных систем (Linux) до систем управления базами данных (PostgreSQL). Доверие к таким решениям складывается из практических механизмов: прозрачности, воспроизводимости и коллективного аудита. Например, OpenSSL, ядро Linux и PostgreSQL регулярно проходят независимые проверки, включая исследования университетов и консалтинговых компаний.
Алексей Варлаханов, руководитель отдела прикладных систем Angara Security, считает, что Open Source заслуживает доверия, прежде всего, благодаря прозрачности исходного кода, что позволяет проводить независимый аудит безопасности и модифицировать продукт под конкретные нужды организации.
«Один из ключевых аргументов в пользу OSS-продуктов – любой желающий может посмотреть исходный код, пересобрать его, провести аудит с помощью инструментов статического, композитного или динамического анализа. Всё это снижает вероятность возникновения скрытых бэкдоров, неочевидных шпионских функций или недокументированных механизмов сбора данных, к примеру, телеметрии», — рассказал Пётр Козлёнков, руководитель службы информационных технологий PVS-Studio.
Возможность изучить исходники на предмет уязвимостей выгодно отличает OSS от проприетарного кода, защищенного политиками вендоров.
Как рассказал генеральный директор Swordfish Security Александр Пинаев, продукты с открытым исходным кодом пользуются доверием разработчиков, поскольку его безопасность можно проверить. Инженеры могут самостоятельно просканировать исходный код или заказать проверку у ИБ-специалистов. С проприетарным кодом это не всегда возможно, так как компании чаще всего не поставляют исходный код вместе с продуктом.
С точки зрения доверенности и безопасности, наличие свободных компонентов является большим плюсом, поскольку возможности их исследования значительно выше, чем проприетарных, отметил Алексей Смирнов, председатель совета директоров «Базальт СПО». К тому же, благодаря доступности исходного кода в его исследовании принимает участие большое сообщество разработчиков.
Широко известны OSS-проекты, такие как Linux, Nginx, Kubernetes, OpenSSH, которые выбирают из-за ряда преимуществ и используют повсеместно крупные коммерческие компании. Эксперты считают, что эти программы являются более надёжными, чем многие проприетарные аналоги.
«Идея о том, что OSS-продукты более уязвимы – миф. Действительно, есть риски, связанные с качеством управления проектом, атаками на цепочку поставок и отсутствием централизованной ответственности, но корректное управление ими делает использование OSS-продуктов более безопасным», — отметил Пётр Козлёнков, руководитель службы информационных технологий PVS-Studio.
По словам Алексея Варлаханова, руководителя отдела прикладных систем Angara Security, проприетарное ПО может скрывать свои уязвимости от внешнего анализа, что создает эффект «черного ящика» с неизвестными угрозами. Однако коммерческие продукты зачастую обладают более качественной и формальной поддержкой, что снижает эксплуатационные риски. Таким образом, опасения относительно OSS оправданы лишь частично, и все зависит от конкретных условий поддержки, процесса разработки и применения продуктов.
«Можно сказать, что идея о потенциально более высокой уязвимости Open Source по сравнению с проприетарным софтом является ошибочным стереотипом. Действительно, публичность кода означает, что уязвимости видны всем, включая злоумышленников, но одновременно это обеспечивает гораздо более быстрый отклик сообщества и производителей на их устранение» — прокомментировал Алексей Варлаханов, руководитель отдела прикладных систем Angara Security.
МОСКВА, 15 янв — РИА Новости. Анонимный хакер, который заявлял об утечке данных более 15 миллионов человек из MAX, опроверг сам себя, выяснил корреспондент РИА Новости.
«
"Я хотел бы уточнить, что мой предыдущий пост относительно базы данных был неправильным; такой базы данных не существует. Наше дальнейшее расследование других потенциальных критических уязвимостей не дало результатов", — написал он на сайте хакерского форума.
Массовых жалоб о попытках мошенничества на платформе MAX нет
6 января, 07:54
По его словам, крупномасштабного взлома не было. Хакер уточнил, что продолжает следить за развитием MAX с большим интересом.
Ночью в четверг пресс-служба платформы сообщила РИА Новости, что информация от анонимного источника о взломе MAX является фейком, данные пользователей надежно защищены.
Платформа не использует зарубежные сервисы хранения данных, в том числе от Amazon (AWS). Мессенджер не применяет метод хэширования паролей Bcrypt, а анализ логов не выявил подозрительной активности. Отсутствуют и обращения в программу по поиску уязвимостей BugBounty MAX по этому вопросу.
На платформе также нет информации о локации, дате рождения, почте, ИНН, СНИЛС. Отсутствуют и такие данные, как username и "уровни аккаунта", поскольку пользователей не маркируют таким образом.
Платформа не использует зарубежные сервисы хранения данных, отметили в пресс-службе
МОСКВА, 14 января. /ТАСС/. Информация из анонимного источника о якобы взломе национального мессенджера Max является недостоверной. Об этом ТАСС сообщили в пресс-службе платформы.
"Информация из анонимного источника - очередной фейк", - рассказали ТАСС в пресс-службе .
Там уточнили, что специалисты центра безопасности Мах проверили сообщение и отмечают, что платоформа не использует зарубежные сервисы хранения данных, в том числе от Amazon, и все данные нацмессенджера хранятся только на российских серверах. Кроме того, Мах не использует метод хэширования паролей Bcrypt, анализ логов не выявил подозрительной активности, а также обращения в программу BugBounty Мах по данному вопросу также отсутствуют.
В пресс-службе также подчеркнули, что информация о пользователе, которая была выложена анонимами в качестве доказательства, не имеет отношения к Мах. "Мах не хранит данные в указанном в сообщении формате, в мессенджере нет данных о локации, дате рождения, почте пользователя, ИНН, СНИЛС и так далее. Также в Мах нет username и "уровней аккаунта", поскольку мессенджер не маркирует пользователей по "уровням", - добавили в пресс-службе.
"Данные пользователей Мах надежно защищены", - заключили в пресс-службе платформы.
Ранее в Telegram-каналах начала распространяться информация о якобы полном взломе Max. Анонимные хакеры заявили о том, что произошла утечка данных более 15 млн человек.
Вечером 14 января Telegram сотрясает громкая новость: мессенджер MAX оказался взломан, данные 15,4 миллионов пользователей украдены. В доказательство этого приведен слив персональных данных одного из депутатов. Для неподготовленного читателя выглядит убедительно, но давайте взглянем на этот слив с технической точки зрения
Сразу отмечу: цель этого поста - не защита MAX, а разбор конкретной "утечки" с технической точки зрения. Я не пользователь MAX и не поддерживаю многое, что с ним связано
Первое, что бросается в глаза - "профессиональный хакер", "взломавший" один из самых развивающихся проектов РФ оказывается новичком на специализированном форуме, зарегистрировавшимся в месяц взлома и написавший всего 6 постов
Начнем по порядку, не затрагивая персональные данные session_token ehehehehe - очевиднейший стёб. Столь короткая строка, тем более такого вида, не может быть сгенерирована даже теоретически. Сессионный токен - случайно сгенерированная последовательность, которая создаётся на сервере и зачастую имеет вид a8f1e2c9f04dfb3b7e1a5c9c0f9b2a77 (или чего-то похожего), не имеющего смысла для человека. Если вы видите сессионный токен, который можно прочитать или запомнить - это не токен, а художественный вымысел.
BYPASSED_RCE - очередная бессмыслица. RCE - это класс уязвимостей, означающий возможность выполнить произвольный код на сервере. RCE не может быть включённой или отключённой, защищённой или обойдённой - это не состояние системы. Реальная система может хранить только факты: mfa_enabled: true (включена двухэтапная аутентификация), webauthn: false и так далее. То, что система взломана - это человеческая интерпретация, а не состояние в коде. Если бы RCE атака и правда случилась, то вывод был бы куда более подробным и техническим: аномалии в логах, аварийные падения процессов и многое другое. Все бы не ограничилось одной строчкой
device_model: iPhone 17 Pro device_model: iPhone 17 Pro Здесь важно понимать, как iOS-приложения вообще получают информацию об устройстве. Приложение не получает маркетинговое название модели ("iPhone 17 Pro", "Pro Max' и т.д.). Через iOS SDK оно получает внутренний аппаратный идентификатор, примеры которого приведены на скриншоте ниже. Именно такие значения используются в логах, аналитике и базах данных. Названия вроде "iPhone 17 Pro" - это человеко-читаемое описание, которое система не возвращает автоматически.
Ну и довольно парадоксально, что IPhone 17 Pro в подобном сливе стал бы... 18,1 (или 18,2)
То же самое и про версию iOS. Строка "iOS 26.0.1" не может быть получена через SDK ни при каких условиях - такой версии просто не существует в системе. Пример вывода приведен в официальной документации, а именно "1.2"
Ну и пожалуй самое забавное - Megaphone VIP. Приложение действительно может узнать через Core Telephony код страны (MCC) и код оператора (MNC), и на этом... всё. О том, что абонент является VIP клиентом, оно узнать не сможет. Добавление слова «VIP» здесь - попытка сделать данные "более важными" для читателя, но к реальной телеметрии отношения не имеет.
Последнее - GEOIP. Как работает эта система? Сервер видит IP, прогоняет его через GEOIP базу и возвращает примерную геолокацию - страну и город. Ни улицы, ни района города, ни тем более про Государственную Думу он не знает. В настоящей базе данных было бы что-то наподобие этого: { "country": "RU", "city": "Moscow" } Может быть, дополнительно включили бы координаты, но находить физические объекты таким образом невозможно
В заключение хотел бы призвать вас не поддаваться панике при чтении громких новостных заголовков. Читайте альтернативные источники, анализируйте саму ситуацию. Громкие заголовки хорошо расходятся, но технические детали почти всегда выдают фейк. Достаточно просто посмотреть, пишет ли это система для человека - или человек для системы
В современном мире кибербезопасности важную роль играют не только всевозможные средства защиты информационных систем, но и различные проактивные мероприятия по обнаружению и устранению слабых мест в защите. Ключевыми специалистами в этой области являются пентестеры или "белые хакеры". Сам термин пентест происходит от английского penetration testing, что переводится как тестирование на проникновение. Такие спецы занимаются тем, что пытаются проникнуть внутрь периметра компании и получить несанкционированный доступ. Естественно, они занимаются этим по запросу самой компании и только для того, чтобы обнаружить слабые места в безопасности.
Для того, чтобы качественно выполнить свою работу, пентестеры используют весь доступный арсенал программных и аппаратных инструментов, а также любые уловки и хитрости, например социальную инженерию. Но сейчас я бы хотел поговорить именно о программно-аппаратных инструментах. Есть в них какой-то особый шарм для тех, кто романтизирует хакерство. Они снимаются в фильмах и сериалах и становятся узнаваемыми среди энтузиастов.
Один из крупнейших производителей подобных устройств - это Hak5. Компания выпускает широкий спектр различных устройств для специалистов по пентесту.
И этот пост будет посвящен, пожалуй, самому известному устройству из линейки Hak5. Встречайте, WiFi Pineapple.
Кадр из сериала Кремниевая долина
Что такое WiFi Pineapple?
WiFi Pineapple - это портативное устройство, которое сочетает в себе функционал беспроводной точки доступа, с возможностью инъекции пакетов и набор инструментов для тестирования безопасности беспроводных сетей. Основная цель устройства — выявить уязвимости в Wi-Fi сетях, такие как слабые пароли, небезопасные подключения или ошибки конфигурации. Однако его возможности выходят далеко за рамки простого сканирования сетей.
Само по себе устройство выглядит как WiFi-роутер и питается через USB-порт.
WiFi pineapple mark VII
Все управление происходит через вэб-интерфейс, а значит сам ананас может лежать в рюкзаке, подключенным к пауэрбанку, в то время, как пентестер будет просто управлять им с телефона или ноутбука через браузер. А при использовании услуги Cloud C2 от Hak5 устройство может управляться удаленно. Достаточно только дать ему доступ к интернету.
Что умеет ананас?
Функционал WiFi Pineapple позволяет выполнять множество различных вариантов действий с беспроводными сетями и их клиентами:
Аудит беспроводных сетей
Интерфейс WiFi pineapple
Ананас может быстро просканировать и собрать данные обо всех доступных беспроводных сетях. Устройство производит опрос всех доступных сетей различными способами для получения максимально возможного количества информации. На выходе можно получить информацию об именах сетей, MAC-адресах, уровнях сигналов и различную статистику. И все это будет дополнено визуализацией всего пейзажа беспроводных сетей.
Перехват рукопожатий
Отправка deauth пакета и перехват рукопожатий
Перехват рукопожатий - это одна из самых базовых атак, позволяющая получить пароль от беспроводной сети. При авторизации устройства в беспроводной сети, устройство и точка доступа обмениваются пакетами, называемыми handshake, то есть, рукопожатие. В этих пакетах, кроме всего прочего, передается пароль для доступа к беспроводной сети в зашифрованном виде. Сама атака по перехвату рукопожатий состоит из трех этапов. Сначала, устройство с функционалом инъекции пакетов отправляет через точку доступа пакеты deauth, которые заставляют все подключенные устройства переподключиться к точке доступа. Вторым шагом выполняется перехват рукопожатий, которые происходят при переподключении. А третьим этапом производится дешифровка перехваченных пакетов для извлечения из них пароля от беспроводной сети.
Кстати, вы можете самостоятельно попробовать, как работает перехват рукопожатий, не тратя значительную сумму денег на ананас. Для этой атаки достаточно WiFi-адаптера с возможностью инъекции пакетов и компьютера или виртуальной машины с Kali Linux. Самое интересное, что адаптер с возможностью инъекции совершенно не обязательно должен быть каким-нибудь дорогущим труъ-хакерским устройством. Один из самых бюджетных вариантов подобных адаптеров - это TP-LINK Archer T2U Plus. С виду - обычный WiFi-свисток, а внутри затаился удачный беспроводной модуль.
Злой близнец
Злой близнец - это вариант атаки Man-in-the-middle. При выполнении этой атаки устройство создает копию легитимной беспроводной сети. В результате, клиентские устройства подключаются к фальшивой сети вместо настоящей. Ананас в это время подключается к легитимной сети и передает весь трафик клиента на нее. Клиент в это время не ощущает никакой разницы, но пентестер получает возможность перехвата всего трафика клиента. А перехват трафика означает, в том числе, перехват логинов, паролей и любых других данных передаваемых через беспроводную сеть.
Фишинговые атаки
Кроме всего прочего, этой устройство способно выполнять еще и фишинговые атаки. Такие атаки можно проводить как параллельно со злым близнецом, притворяясь легитимной беспроводной сетью, так и просто создав привлекательную для клиентов сеть. Например, в здании аэропорта беспроводная сеть Airport_WiFI_Free, скорее всего, заинтересует некоторых пассажиров. При подключении к такой сети, ананас покажет пользователю страничку с просьбой авторизоваться с помощью, например, Google-аккаунта. Каждый, кто авторизуется таким образом, просто подарит свой логин и пароль атакующему. И горе тем, кто везде использует одни и те же пароли.
Визард кампаний
Это, пожалуй, самая страшная фишка ананаса. Все атакующие кампании на этом устройстве настраиваются с помощью помощника или визарда (англ. Wizrard - волшебник). То есть, для выполнения большинства атак достаточно иметь самые минимальные знания в области безопасности беспроводных сетей. С помощью WiFi Pineapple практически кто угодно сможет выполнить большинство доступных, потенциально вредоносных действий. И подобный инструментарий в руках того, кто не понимает, что с ним делает, немного пугает.
Что по итогу?
WiFi Pineapple является мощным инструментом для легального тестирования безопасности, его использование должно строго соответствовать законам и этическим нормам. Всегда помните, что любые попытки несанкционированного доступа к сетям или перехват трафика без разрешения владельца являются незаконными и могут повлечь серьезные правовые последствия. Поэтому важно всегда получать явное разрешение перед проведением любых тестов или издеваться над собственными сетями.
Главное — помнить, что технологии должны служить целям защиты, а не нарушения чужой приватности. Соблюдайте этические нормы, не нарушайте закон и ведите себя хорошо.
