Я хотел бы поблагодарить всех, кто проголосовал за список Демократична Сокира в РГК НАБУ. Сокрушительная победа с десятикратным отрывом. Я уже рассказывал эту историю, но учитывая интерес к выборным технологиям и завиральные идеи про блохчейны и прочую хайтек хуергу, стоит повторить.

Пару лет назад я заходил в ДССЗЗІ поспорить о выборах, и там мне задали простой вопрос: что делать, если комиссия запишет в протокол совсем другой результат? Как исключить такой способ мошенничества, не пересчитывая по два раза бюллетени? Для этого существуют аудиты снижения риска (risk limiting audits). Этот метод подходит для традиционного оффлайнового голосования, ситуацию, когда бюллетени вброшены он не закрывает.

Скачиваем "бюллетени" с сайта НАБУ и статью "A Gentle Introduction to Risk-limiting Audits" Марка Линдмана. Пробовать будем на Mark Savchuk, лидирующим с 89.51% голосов.

Выбираем уровень допустимого фрода t = 1%, начальное значение T = 1, долю победившего кандидата s = 89.51% потом выбираем случайный бюллетень, если он "за", то умножаем T на (s - t) / 50%, если против, то на (1 - (s - t)) / 50%, пока значение T либо не опустится ниже (0.01, мошенничество, требуется пересчет голосов) или не поднимется выше 9.9 (результат подтвержден). Ссылки и код в комментариях.

Сколько бюллетеней (если бы они были бумажными) из 13664 нужно было бы проверить, чтобы убедиться, что подсчет проходил честно? Ответ: пять-десять штук (не тысяч).

В случае с голосованием РГК НАБУ результат полностью подтвержден. Что вобщем-то неудивительно, ни с технической, ни с общественной точки зрения. Именно с помощью таких нехитрых приемов (а не "диями" и "блокчейнами") можно повысить доверие граждан к избирательной системе.

Увидел у Kostiantyn Korsun ссылку на чудесный отчет "Ukrainian Digital Resistance to Russian Aggression" подготовленный минцифрой и неким StrategEast. Конторка борется за инклюзивность и гендерное равенство. Я обеими руками за инклюзивность и равенство возможностей, только не понимаю какое они отношение имеют к войне. И именно этот раздел отчета https://cutt.ly/NJdK70Y меня и заинтерсовал. Он немного шизофренический на самом деле.

Сперва Федоров говорит о киберагрессии и значительном ущербе, а потом о том, что все данные надежно защищены. Так ущерб или защищены? Тут что-то одно нужно оставить. Хотелось бы послушать, как "эшелонированная оборона" защитила портал "Дия" и кабинет министров, и МИД, который россияне ломали как минимум четыре раза, до мая включительно. И действительно ли нам нужен внепланоый "бекап" документооборота МИД на России?

По поводу "горячей линии" СБУ, а точнее почтового ящика "incident@dis.gov.ua" (ситуационный центр), то он существует уже года два, однако я сомневаюсь, что на него кто-то пишет. Потому что (следующее "достижение" в списке) ДССЗЗІ действительно попытались изменить уголовный кодекс, но вместо того, чтобы развязать руки безопасникам усилили ответственность по гнилым кибер-статьям до 15 лет. При том, что взломщикам из России на украинский уголовный кодекс глубоко насрать.

По части минцифрового е-пипифакса, который они называют "документом", я так и не понял чем одна цифровая филькина грамота отличается от другой, и как Дия может "не хранить" при отключенных реестрах (которые якобы защищены "эшелонированной обороной"). Ну, ебана. Или они защищены эшелонированной обороной и работают, либо они уязвимы и потому отключены в целях безопасности. По задорности изложения отчет вполне может потягаться с российской пропагандой, где кукуха парит высоко над здравым смыслом.

А вот к призывам ввести санкции и завозу старлинков (которыми НЦУ тут же хотел запретить пользоваться гражданским) вопросов нет, тут минцифра внесла свою лепту, молодцы. Но с "сопротивлением" по-прежнему непонятно.

Восстанавливаю старый архив личных переписок из ВКонтакте российских наемников и прочей нечисти. Как они любят повторять "никто не забыт, ничто не забыто". Файлы пока синхронизируются, а текст уже есть http://cyber.org.ua/vk/

Люблю российских хакеров. Сразу вспомнилась "Національна поліція УкраїнЫ"

"Ukraine does not conduct offensive cyber operations but does conduct defensive ones"

Уже несколько раз возникал вопрос, что делать с телефонами и компьютерами, если вы в оккупации? Самый короткий ответ - удаляйте все нахер. С одной стороны вы со своим телефоном, с другой стороны вооруженный жлоб. Не фотографируйте, не обсуждайте по телефону. Хотите что-то сохранить запакуйте в архив с паролем и залейте в облако. А потом factory reset. Оставьте личные фото, котиков, хуи и сиськи, цветы тоже допустимо. Вы обыватель. Сперва нужно остаться в живых, а способы погеройствовать потом найдутся.

Ребята, я верю в DDoS как разовую акцию прямого действия, но не верю в DDoS как метод. Даже если мы заставим каждый тостер и холодильник в Украине поливать россию, то испортим сеть в основном себе. А уж тем более из водяных пистолетиков VPN-ов и проксей. Хотите продолжать - вперед, купите себе VPS за пять долларов и досьте (что, кстати, будет гораздо эффективнее), а мы просто задолбались восстанавливать узлы Гарды. На это уходит время. Потому пренеприятное известие: крупные российские сети на Гарде заблокированы. Как зуд пройдет откроем снова
https://cyber.org.ua/vpn.html

Очень интересно наблюдать за тем, как дезинформация описывает размашистые круги и возвращается домой. Ладно, я понимаю почему NED и USAID, хотя и удивляюсь победе Рокфеллеров над Ротшильдами в борьбе за умы пролетариев умственного труда. Из занятного, полная уверенность россиян, что кругом всемогущее ИПСО, и у меня есть идея на этот счет.

В конце шестидесятых, КГБ в рамках пятилетнего плана по подкладыванию свиней потенциальному противнику, напечатало книжку "Кто есть кто в ЦРУ", куда намешали и настоящих шпионов и случайных людей, чтобы их дискредитировать, ЦРУ тоже в долгу не остались, и симметрично выпустили "КГБ: Секретная работа советских агентов". И я могу вам сказать, что россияне своим традициям верны, хотя и сменили печатный пресс на телеграм-каналы.

Обычно набрасывают на непосредственных коллег, да так предсказуемо, что тема наброса становится своеобразным маркером: наброс на ИПСО? Перед вами ГРУ. Наброс на СБУ? Это - ФСБ. Так их и отличают. СВР и СЗР смотрят на этот праздник жизни искоса, и наверняка завидуют. Потом из всей этой каши политологи, частные и официальные разведслужбы пытаются сшить общую картину, а вместо нее получается латанное одеяло из сумасшедшего дома. Картинка из недавнего отчета частной лавки "Р-ТЕХНО" наглядно иллюстрирует эту мысль.

Мы по мнению этих деятелей ЦИПсО, кого таким способом в Украине можно очернить я не очень представляю, я бы гордился будь это так, но на полянке активных мероприятий, видимо, большой дефицит новых тем. Ведь работает все, хули менять? Пятьдесят лет по одним и тем же шаблонам, вопреки и превозмогая. Так что дезинформация - обоюдоострый меч, можно в конец оскотиниться, что собственно с педерацией и произошло.

Смешная история. Многие наверное помнят какая начинается жара, когда в программах с открытым исходным кодом находят очередную дыру. Люди решили что "нужно же что-то делать" и Comcast открыл bug bounty программу для нескольких библиотек, которыми они пользуются. А чтобы не разбираться в тонкостях багбаунти открыли программу на Bugcrowd.

Пришел исследователь soatok и нашел несколько очевидных ошибок. Модератор багкрауда закрыл тикет, потому что нет готового эксплоита. Soatok сказал: отправьте Комкасту, иначе опубликую, раз это "не ошибка", то и вреда от этого не будет никакого. Модератор открыл тикет и дернул Комкаст. Комкаст пнул мейнтейнера пакета, который обновлялся в последний раз два года назад, сама библиотека 2005 года. В те времена на side-channel атаки обращали меньше внимания. Комкаст ответил, что от мейнтейнера ответа нет, а потому никаких публикаций!

Soatok тем не менее выкладывает баги. И его начинает шантажировать Багкрауд, что если он не сотрет свой пост и не удалит его из веб-архива (LOL!), то его забанят на платформе. Все это еще и с рассказами про этику-хуетику и прочий code of conduct. Что лишний раз как бы напоминает нам о том, что тот же Багкрауд работает не в интересах хакеров или публики, а в интересах компаний, которые его нанимают. Just business.

NB! Если вы не понимаете, почему выделенная строка ошибочна, держитесь подальше от криптографии.

Кек. Если бы Анонимусов не было, их следовало бы выдумать. Никто так не умеет превращать жизнь бедных CTI-аналитиков в ад как они 🙂

Сейчас судят Джошуа Шалта, который как считает ФБР, пять лет назад слил "кибероружие" ЦРУ WikiLeaks ("Vault 7"). Я уже хихикал над качествами оных вооружений. Специальная олимпиада на тему "код как оружие" началась в начале восьмидесятых и не утихает до сих пор, так что можно и обсудить для кого тот код "хороший", а для кого "плохой" и можно ли его считать оружием.

Хакеры - субкультура, такая же как хиппи или панки, и как у всякой уважающей себя субкультуры у хакеров есть своя эстетика. К несчастью, у нее нет никакого визуального выражения от чего очень страдают бильд-редакторы, продюсеры, сценаристы и художники-постановщики по всему миру. Капюшончики и клавиатуры они как раз потому, что показывать нечего, а на самом деле все довольно просто.

Код может быть очень простым, но необычным, очень обычным, но технически сложным, очень маленьким или очень большим, при этом в отличии от индустрии, поддержка, документация, контроль качества и прочие качества уместные на конвейере не имеют никакого значения. Это чистая идея достоинства которой можно оценить. Потому хакерское сообщество называется сценой.

С этой точки зрения "кибероружие" ЦРУ и АНБ полнейшее беспросветное говно - большое, уродливое, в него вкомпилены библиотеки там где можно было обойтись десятью строчками кода. И оно бесполезно почти для всех. Тот же hive - обычный бэкдор, программа для удаленного управления компьютером, длинная палка для штор, объединенная в своеобразный "домен контролер" или просто ботнет.

Мы можем назвать бэкдор "имплантом", а ботнет "C2", но суть от этого не меняется. Белые хакеры просто ржут от такого кода. Безопасникам он не нужен, потому что у них нет надобности закрепляться в системе надолго, блекота сидит в системе максимум один-два дня и прекрасно обходятся nc -e / nc -lvn или <?=$_GET[1]?> Академию такие мелочи как практическое использование не интересуют в принципе.

Тем не менее, это неплохой код, потому что в нем есть все необходимое для операторов ЦРУ и АНБ, они в любой момент могут получить поддержку и дополнительную фичу, он полностью соответствует организационной структуре соответстующих подразделений и их культуре работы с источниками. И чтобы повторить что-то подобное понадобятся годы и самосвал денег. Не на код, естественно.

И даже код будет повторить довольно проблематично, не потому что он сложный, а потому что к коду еще полагается хакеры, операторы, кодеры, саппорт, администраторы, аналитики, переводчики и менеджмент, не говоря уже про потребителей, у которых есть цели и политика их достижения. Так-то!

В этом году алгоритму RSA исполняется 45 лет (если не учитывать секретные разработки Кокса, Эллиса и Вильямсона в GCHQ), тем не менее люди по-прежнему находят способы его закосячить. Мы все любим облака, но как говорит расхожая шутка: "облако" - это забавный способ сказать "не мой компьютер". А значит информацию нужно зашифровать. И начинаются компромиссы, потому что люди очень плохо запоминают трехсотзначные числа. Если выбрать случайный ключ, то его сложно переносить с устройства на устройство, если пароль, то его можно подобрать.

Mega позиционирует себя как E2EE-хранилище, они настаивают на том, что не могут посмотреть в пользовательские данные, даже если захотят или кто-то (National State Aversary, lol) захочет их к этому принудить. Что они сделали? Сперва из пользовательского пароля с помощью KDF генерируются ключи аутентификации и шифрования, ими расшифровыввается мастер-ключ, которым зашифрованы долговременные ключевые пары, хранящиеся на сервере.

Чтобы ускорить RSA используется китайская теорема об остатках и вместо пары (n, d) хранятся "запчасти" от нее (q, p, d u), u = q^{-1} mod p. Все упаковано в большой блоб и зашифровано AES-ECB. Исследователи из ETH Zurich нашли способ, которым сервер, то есть сама Мега может вскрыть ключ пользователя. Сервер может вместо сообщения с идентификатором сессии послать левое сообщение m' и испортить u в зашифрованном ключе пользователя (как раз из-за ECB), когда пользователь присылает на следующем шаге свой расшифрованный идентификатор, сервер узнает один бит ключа (m' < q), дальше в ход идет двоичный поиск.

Неделю назад на экономическом форуме в расчленинбурге зампред Сбербанка жаловался, что с началом "спецоперации" личные данные россиян почему-то начали утекать. Да, так шустро, что потек каждый второй. Думаю, он поскромничал.

Тамошняя минцифра списывает все на инсайдеров. Вы же понимаете, это только в россии настоящие суперхакеры, а в остальных странах скидди погулять вышли. Но иногда инсайдер может оказать неоценимую помощь.

В феврале Дарья устроилась в школу английского языка Skyeng, и как раз 24 февраля у нее был первый рабочий день. Русский мир прилетел в Харьков вместе с крылатыми ракетами, и рабочие отношения почему-то не заладились.

И Дарья на удачу позвала хакеров, и отдала свои корпоративные учетки. Мы немного потыкались и нашли отличный IDOR. 10 миллионов записей дорогих россиян. Даже с юзерпиками. Видимо, мы там не первые, потому что в июне часть той же самой базы появилась на тематических форумах.

Мы же в свою очередь, напоминаем о том, что мы базы не продаем, а только показываем. И Дарье спасибо огромное за то, что запустила нас внутрь. Если мародеры, военные преступники и оккупанты думают спрятаться, то у них не выйдет.

(Поддержать UCA 19fMSv8ULjoBR7UNgNGuTrqoQmwiZEa63v)

На днях Стефан Сусанто из ETH Zürich опубликовал отчет об IT Армии Украины. Где, как мне кажется, допустил сразу несколько ошибок. Он считает, что "IT Армия" - иерархическая state-sponsored группа. Не знаю как у него с исследованиями в области международной безопасности, а с кибер-историей он видимо знаком плохо. Ведь была же и арабская весна, и атаки Anonymous на ИГИЛ, цели общественных движений вполне могут совпадать с интересами государств. State-aligned actors. Не говоря уже о том, что сетевые структуры сложнее иерархических. Во-первых, минцифра, существующее всего три года, не может похвастаться институциональніми традициями (если не считать хамства в фейсбуке), чтобы создавать сложные структуры, во-вторых, то что помимо DDoS и рейдов, анонимус-стайл, проводятся и более сложные атаки, совсем не говорит об участии спецслужб. Они может быть и хотели бы, но "пролиферация технологий" всегда происходит от хакеров в спецслужбы, а не наоборот. Помимо "IT Армии" существует еще множество групп, с общими целями, но совсем другими методами.

На днях все гоняли скриншоты, на которых ̶д̶у̶р̶а̶ц̶к̶и̶й̶ туратский детский сад "Малыш", а точнее "МБДОУ" (так орки называют загончики для орчат), ударился в самую низкопробную военную пропаганду. То что у них в детских садах есть уголки антитеррора я уже не удивляюсь, но мне интересно: эти мбдонцы подумали о том, что такими постами они перевели свое "образовательное учреждение" в категорию законных военных целей? А наш девиз: дальше, чем ракеты.