Карта кибератак

@paradisecurity

Опубликовала небольшую статью на хабре о болях программистов. Я знаю, что тут у меня сидит много хабражителей, надеюсь, будет полезно для вас 🙂

На самом деле, если посмотреть мой профиль, все мои статьи сугубо технические. А тут я решила замахнуться на заболевания. Просто этот вопрос стал беспокоить меня саму и я знаю, что он интересен и моим знакомым.

Когда я столкнулась с "некими" проблемами, о которых вы можете узнать из статьи, то я много прочитала, сходила к врачам, а так же меня весьма заинтересовал вопрос витаминов. Я собрала много данных по этому поводу и возможно даже запущу бота, чтобы вы могли подбирать витамины для себя (конечно же, не является точной медицинской рекомендацией. Хотите точную рекомендацию – идите к врачу).

#статьи @paradisecurity

В своем докладе на Мобиусе я как раз рассказывала про SDK. Стабильность работы встраиваемого в приложения SDK очень важна, тк отказ его работоспособности может повлиять сразу на большое количество приложений. Но ошибки могут допускать и крупные компании, а когда проблема в SDK, которое отвечает за авторизацию пользователей может привести к тому, что обратного пути, кроме как ждать, пока его починят – нет.

А авторизацию в приложении типа Viber, на мой взгляд, вообще нельзя отдавать на реализацию всяким внешним SDK, даже если это SDK от Facebook.

#заметки @paradisecurity

Как самостоятельно починить приложения, которые крашатся из-за Facebook SDK

Spotify, Pinterest, Tinder и другие iOS-приложения перестали работать из-за Facebook SDK уже второй раз за год. Но есть способ решить эту проблему самостоятельно, если разработчики еще не успели выпустить апдейт.

Есть обходной путь, чтобы восстановить и запустить приложения, прежде чем Facebook исправит проблемы, а разработчики приложений зальют новые версии в стор. Для этого нужно установить Lockdown Apps. Это приложение позволяет блокировать любое соединение с любым доменом и защищающий вашу конфиденциальность в Интернете. Оно абсолютно бесплатное. Это позволит запускать приложения, такие как Spotify, Pinterest и Tinder, благодаря тому что будет блокировать работу Facebook iOS SDK.

Настройка приложения:

• Загрузите Lockdown Apps из App Store
• Запустите Lockdown Apps и следуйте инструкции
• Нажмите Cancel, когда он попросит вас зарегистрироваться или войти
• Нажмите кнопку “firewall on” в верхней панели приложения
• Вам нужно будет согласиться настроить профиль VPN на вашем iPhone
• После настройки вы сможете переключать VPN/брандмауэр из Lockdown Apps
• Пропустите пробную версию и приложение заработает

#заметки @paradisecurity

Повестка дня

@paradisecurity

Наверно все уже слышали о том, что Twitter взломали, а на страницах известных людей, начиная от Илона Маска и заканчивая Барака Обамой появилась ссылка на биткоин кошелек с заявлением, что все поступившие на него средства будут удваиваться и отправляться обратно. Сейчас там уже более 12 биткоинов (~110тыс долларов).

Это, конечно же, мошенничество. И более того, стало известно, что произошло оно благодаря сотруднику твиттера, которого хакеры просто подкупили. И подобная ситуация уже происходила в Твиттер еще в 2017 году, когда сотрудник в свой последний рабочий день деактивировал аккаунт Трампа.

Вывод из всего этого бардака

Пока что неизвестно, была ли это социальная инженерия или банальный подкуп и добровольное соучастие, с пониманием всех последствий. Но тут можно сказать только одно, вы можете потратить тонну времени на реализацию защиты своего сервиса, обмотаться метриками и сборщиками статистик, шифровать, засунуть сервера в бункер. Но всегда может найтись человек, защититься от которого вы будете просто не в силах, потому что именно он с вами и затаскивал эти сервера в этот бункер, и пароль от него он точно знает.

Рассказываю немножко о себе. Надеюсь, будет интересно 🙂

Прошу оценить мой канал 👇

#статьи @paradisecurity

Нашла, кстати, скриншот моего первого приложения 😄 Тот самый переводчик для детей. Писала его где-то лет семь назад, сейчас даже кода не найти.

Там была еще игра для запоминания слов, но, к сожалению, все утеряно.

Единорога рисовала сама 🦄

Как говорится: "Дай девушке в руки код, и она опять сделает что-то розовое и няшное" (с) – шутка, это я только что придумала

#заметки @paradisecurity

Планирую сделать стикеры, хочу чтобы там была затронута тема мемасов про хакеров и программистов. Если есть идеи💡- кидайте в моего бота @mother_paradisecurity_bot. Буду очень благодарна 😚

Завтра вечером поболтаем на интересные темы вместе с @krlrozov. Обязательно подписывайтесь на @android_broadcast. Если вас интересует мобильная разработка – это маст-хэв!

Мне всегда интересно наблюдать, как разворачиваются драмы взломов. Кажется, что по ним можно писать романы. Немного моих рассуждений на тему зашифрованных данных компании Garmin.

#статьи @paradisecurity

Немного об антимонопольный Конгрессе США, прошедшем в нынешнюю среду.

Заодно давайте узнаем, как много людей тут затронули бы изменения политики компаний по поводу сборов 👇

#статьи @paradisecurity

Ааа, вы не поверите, Twitter взломал 17-летний школьник 🤪

#заметки @paradisecurity

Тут подъехала идея по созданию качественного курса по безопасности мобилок для российских реалий. Хотим привлечь хороших спикеров, которые разбираются в теме. Какие-то материалы сделать бесплатными, чтобы можно было оценить насколько вообще это нужно, перед покупкой самого курса, более глубокие материалы сделать платными.

Почему именно на российских реалиях. Есть много на самом деле курсов, которые могут рассказать вам про безопасность мобильных приложений, есть книги. Однако большинство из них либо устарело, либо не совсем подходит для разработчиков локально, потому что если сравнивать наши приложения с зарубежными, то, к сожалению, российские приложения по статистике подвергаются угрозам чаще. Так уж исторически сложилось.

К сожалению, статьи которые выходят либо разрознены, либо не затрагивают определенные темы. Тут мы хотим собрать все в одном месте.

Что будет входить в этот курс:

🥖 Бесплатные материалы (видео)
🥖 Более глубокие материалы (видео, методичка/книга, доп материалы в виде кода)
🥖 Внутренний чат

Я с командой уже делала такой курс для студентов Бауманки, помимо этого, некоторые мои коллеги делали внутренние выступления для компаний по запросу, поэтому такая компетенция у нас есть.

Если вы оцениваете себя как хорошего специалиста в данной теме, то пишите @mother_paradisecurity_bot

И мне интересно ваше мнение.

#курсы @paradisecurity

Было бы вам интересно такое?

Хакер под ником Эллиот Алдерсон (занимальная отсылка, если вы смотрите сериалы 😄) сделал исследование ТикТока. Он хотел выяснить, что за занимательную информацию шлет ТикТок каждые две минуты в виде зашифрованного архива, а также попытаться найти причины по которым приложение, которое просто транслирует короткие забавные видосы так невзлюбил Трамп лично, а также многие главы государств, таких как Индия, Австралия, стран ЕС и другие.

Собственно, для тех кому лень читать самостоятельно: ничего сверхъестественного ТикТок, конечно же, не собирает. Фактически, все данные сопоставимы с теми же данными, что собирает Инстаграм, Фейсбук, ВКонтакте и другие подобные им приложения. Эти данные нужны разработчикам для того чтобы они могли качественно таргетировать аудиторию и предлагать нам именно тех котиков, которые нам зайдут (не знаю как у вас, а я как не зайду в ТикТок, то вижу там только забавных котов).

А теперь информация для тех, у кого тоже стоит подобная задача.

Данные, которые можно собрать с устройства и как их можно использовать (тут я говорю как всегда в основном только про Android, с iOS все несколько сложнее):

Данные датчиков

⭐️ Акселерометр
⭐️ Свет
⭐️ Bluetooth
⭐️ GPS
⭐️ Микрофон
⭐️ Положение
⭐️ WiFi

Поведенческие паттерны

⭐️ Описание поведенческих паттернов с течением времени
⭐️ Прогнозирование результатов жизни
⭐️ Изучение систем социальных сетей
⭐️ Изучение установленных приложений
⭐️ Изучение параметров девайса

И это только часть того, что можно вытащить. На самом деле данных куда больше и я даже как-то работала на проекте, основная цель которого была предсказание дальнейших действий пользователя. То есть пользователь еще ничего не сделал, а мы уже знали, как он поступит в следующие несколько секунд.

Конечно, интересно знать, что можно вытащить с вашего девайса, но на самом деле вся фишка не просто в сырых данных, а в их анализе.

При анализе таких данных учитывается целый ряд факторов

⭐️ Как долго длилось обучение
⭐️ Какова частота дискретизации
⭐️ Сколько уникальных пользовательских данных удалось собрать
⭐️ Как именно используется устройство
⭐️ Как используется конкретное приложение

Знаю, выглядит жутко, особенно для параноика. Но бояться этого абсолютно не стоит, потому что какое бы приложение вы не открыли, оно все равно будет пытаться собрать о вас как можно больше информации. В таком мире мы живем уже давно и все равно этих данных недостаточно, компании всегда будут хотеть больше. Как можно больше. А раз есть спрос – будет и предложение.

Так что нет никакого смысла бояться ТикТока или любого другого подобного ему приложения. Если вам страшно – выкиньте всю электронику из вашего дома, переедьте на луну и наденьте шапочку из фольги. Хотя, учитывая нынешнюю помешанность на космосе, даже на луне вас не оставят в покое.

#заметки @paradisecurity

Недавно я поднимала тему встраиваемых трекеров в мобильных приложениях. Если вам интересно как отключить агрессивный сбор ваших данных и при этом пользоваться приложениями как и раньше, то прочитайте эту статью.

Кстати, у автора нет приглашения на хабре, если вам понравится статья, можете сделать его полноправным участником 🙂

#статьи @paradisecurity

Как я и говорила, начали делать стикеры. Варианты уже подъехали, так что можете оценить то, что есть.

Единственное, планирую делать стикеры анимированными, а аниматоры тоже хотят кушать 🥕

Если хотите помочь сделать хорошую анимацию, а заодно и поддержать канал, то можете задонатить на стикерпак. Там вы сможете указать свою идею или эмоцию, какую бы хотели видеть. Лучшие отберем и реализуем.

Чем больше соберем донатов, тем качественнее и больше стикеров сможем сделать! К тому же, мне будет просто приятно, ведь это значит что вы поддерживаете то, что я делаю 🙂

Кстати, можете оценить какой из уже реализованных прототипов вам больше нравится.

​​Вы думали разработчики вне политики? Ага, как же. Белый ты, черный, хоть фиолетовый. Твои предки никогда не владели рабами и вообще ты с Марса?

Не беда, называешь ветку master и попадаешь под санкции.

Делаешь приложение для блока нежелательных контактов и называешь его blacklist, попадаешь под санкции.

Думаешь ты crazy? Нет, ты под санкциями!

Теперь кодить придется с УВАЖЕНИЕМ, иначе тебя загрызут.

А давайте теперь серьезно. Насколько хорошо вообще может повлиять такая цензура на разработку? Может ли это хоть что-то изменить?

Когда я пишу код я не думаю ни о черных, ни о белых, даже о серых не думаю. Суть как раз в том что все из разных стран, говорят на разных языках и при этом могут работать сообща.

К чему это может привести? На мой взгляд только к тому, что развяжет руки Google блокировать все подряд и скидывать ответственность на разработчиков. Это перестало касаться только определенного субъекта, выплыло гораздо дальше за пределы Америки и накроет всех.

Цензура никогда хорошо не влияла ни на науку, ни на медицину. Всегда это приводило к тому что какая-то часть общества просто выпадала и сталкивалась с притеснениями.

Размытость определений и неопределенность правил не может привести ни к чему хорошему, кроме как к эксплуатации со злым умыслом.

Вы можете сказать, что это вас не заденет, что это все ерунда. Но это не так. Такие дела никогда не рассматриваются с точки зрения здравого смысла.

Я не говорю о том, что расизма и дискриминации не существует. Конечно, существуют и это очень плохо! Но бороться с этим нужно не способом порицания разработчиков, которые просто делают свою работу, запрета истории и причисления обычных слов к категории хуже матерной.

Я была бы счастлива, если бы это делало наш мир лучше. Но пока что я не вижу этого. Хотя в то же время именно радикализация способна хоть как-то изменить мировоззрение и поменять мир.

А как думаете вы?

Всем респект (по ссылке новая политика Android)

#заметки @paradisecurity