Вчера Михайло Федоров в передаче Шустер online устроил очередной тёплый дождь (уж не знаю, себе ли или вам, дорогие телезрители). Я посмотрел искрометный фестиваль цифровизации и даже "поучаствовал" в виде скриншота майского поста https://bit.ly/3jHP086 . Были договоренности о том, что в студии будет Mykhailo Makaruk, Kostiantyn Korsun или Tim Karpinsky, на выбор, но потом гостевой редактор сказал, что тема передачи поменялась на ковид и перестала брать трубку. Внезапно. Возможно Vitaliy Shabunin или Іван Крулько лучше разбираются в IT? Кто знает.

Для усиления эффекта даже сняли пару роликов о том, как люди регистрируют ФОП и оформляют помощь через е-Малятко за сколько-то там минут, и что мол такого дийового аналоговнета больше ни у кого нет. Знаете почему? Да потому, что во многих юрисдикциях sole proprietorship (тот самый ФОП), LP и LLP не требуют государственной регистрации. Нет её. Никакой. Ни электронной, ни бумажной. А если вы регистрируете торговое имя (Doing Business As), чтобы стать Солом Гудменом вместо Джимми МакГила, то это нужно, чтобы защитить вас от клонов. Не для ментов, не для службы брелков.

Ни слова о том, что "Дия" "экспериментальный проект", в котором вы подобытные кролики, о финансировании, о документации, о законодательной базе, о независимом аудите, вместо цирка с КСЗИ (после раздутого Дубинским скандала о возможной утечке из Дии, Федоров сменил руководство ДССЗЗІ на более послушное и фактически выписал сертификат соответствия сам себе). Про "старые данные" - смехотворная отмазка. Мой паспорт выдан в 1995 году, e-mail и номер телефона не меняются лет пятнадцать. Мне все равно, когда они утекли - вчера или пять лет назад. Мне нужны ответы на вопросы.

Я хочу знать: кто понес ответственность за утечку? Кто наказан за недостоверные данные в реестрах? Почему полиция, спецслужбы и другие мошенники роются там совершенно бесконтрольно? Почему документы с грифом "таємно" валяются в Интернете, а на еще более любопытных документах грифа нет вовсе? Может, начнем наконец-то повышать "кибер-грамотность" самих чиновников, вместо конкурсов по самовыпасу населения? Зачем создавать внутренний оффшор с отдельным законодательством, а не бить мусоров за то, что они не понимают, что такое probable cause и не клянутся под присягой в том, что они осознают, что бремя доказательства - это бремя и оно лежит на них? Почему здравоохранением у нас занимается полиция?

И самый главный вопрос ИБ: а что, блядь, если нет? Что вы будете делать, когда весь этот автоматизированный совковый бардак с электронными справками "о составе семьи" просто рухнет?

Не только украинская земля богата идиотами. Министры внутренних дел стран "пяти глаз" и примкнувший к ним генеральный прокурор Барр, подписали обращение https://bit.ly/34Y1ceD , в котором отмечают, что с одной стороны шифрование, которое нельзя взломать - это хорошо, и как бы, права человека, но с другой стороны, очень хочется бэкдор. Конец немного предсказуем. Нельзя просверлить дно лодки, чтобы удобнее было смотреть на рыбок. Или надежное шифрование для всех (включая плохих парней и правоохранителей) или ни для кого.

Отечественные говноеды очень любят такие штуки, чтобы при закручивании гаечек, говорить "а вот в Европе", забывая о том, что и в Штатах и в Европе за подобные инициативы государство пиздят титановым ломом и оспаривают в не-печерских судах. В Украине по-прежнему действует контроль криптографии, введенный еще в 1998 году. Утешает только то, что дикость украинских законов компенсируется обязательностью их не исполнения. #EARNIT #cryptowar

Как раз сегодня записывали интервью по поводу возможного вмешательства России в американские выборы. И тут прямо как по заказу появились "письма Байдена". Ничего более смехотворного в жизни не видывал. Еще в январе компания Area 1 опубликовала отчет, в котором обвинила ГРУ в попытках взлома почты Бурисмы. Тактика не меняется - немного настоящей почты, немного фейковой и д̶и̶с̶п̶е̶т̶ч̶е̶р̶ ̶К̶а̶р̶л̶о̶с̶ честный ремонтник из Делавера. Совсем обленилась #terrorussia.

В фейсбуке забанен, пишите в телегу или сигнал

Есть простой способ поиска уязвимостей, детский совсем, доступный всем без исключения. Попробовать вставить одинарную или двойную кавычку в параметр сайта. Если после добавления кавычки появится ошибка SQL error, то значит сайт уязвим к error-based SQL injection. Как на на скриншоте. Над распихиванием кавычек очень любят хихикать хакеры "категории Б" с элитного телеграм-канала, но скуля от этого скулей быть не перестаёт, а ставит владельца уязвимого сайта в ещё более унизительное и смехотворное положение.

Недавно мне рассказали замечательную историю о том, как Служба безпеки України умудрилась сломать кавычку. Документы к сожалению показать не могу. В одно государственное учреждение приходит грозное письмо из областной конторы о том, что в вашем сайте найдены SQL- и SSI-инъекции, требуем устранить, отчитаться, потому что враг не дремлет, что может за собой как повлечь, так и поволочь.

Владелец ресурса без понятия о том, что это за инъекции такие и не наркомания ли это, и зовет контрактора (один из немногих примеров частно-государственного партнерства). А контрактор начинает неиллюзорно удивляться, потому что скули в этом месте быть просто не может. Звонит конечно в избу, а там тоже без понятия про скули-хуюли и прочее кибер-мумбо-юмбо, но обещают узнать в Киеве, что за зверь такой? До сих пор узнают.

Тут прекрасно все, тут вам и ответственность "распорядителя государственного информационного ресурса", и коммуникации, и стратегии, и кибербезопасность - всё в одном флаконе. Вместо того, чтобы ловить российские APT (то пусть американцы ловят, не барское дело), изба натравила говно-сканер и разослала всем ложных срабатываний, не думая и не проверяя. Компьютер написал injection - значит injection. Как говорят, на плечах можно носить что-то одно - или голову или погоны.

P.S. Да, кстати, CERT-UA дерните там кого-нибудь в Приазовской РДА, там скуля настоящая.

Из года в год не прекращаются попытки взять украинских пользователей Сети под контроль. Не мытьем, так катаньем внедрить неконтролируемую прослушку и государственную цензуру, наплевав на здравый смысл и Конституцию.

В последнее время попытки пошли настолько часто и густо, что единственный способ противостоять беспределу правопохоронной системы - неповиновение.

Мы в Ukrainian Cyber Alliance решили сделать бесплатный VPN-сервис для всех желающих. Без регистрации. Сейчас доступно два тестовых сервера в Канаде и Польше. Ссылки на софт (OpenVPN connect и конфигурацию) здесь https://cyber.org.ua/vpn.html

Я так устал от мамкиных экспертов по "большим данным" вконтактика и свидетелей ФСБ под кроватью, что книжка Томаса Рида "Активные мероприятия" - просто бальзам на моё израненное долбоёбами сердце.

Помимо монументального обзора спецопераций за последние сто лет, есть еще интересные выводы (рад, что ко многим из них я как практик пришел самостоятельно): у любого мероприятия есть целевая аудитория (и это отнюдь не домохозяйки из одноглазников, если вы подрывной деятельностью занимаетесь, а не продажей фартучков) и измеримая, вполне конкретная цель.

Просто раньше приходилось все печатать на механической машинке и отправлять по почте, а теперь есть имейл, что сильно снижает стоимость, но не меняет принципов, так что, все происходит более активно, и с меньшей мерой (more active, less measured) , и те на кого направлены активные мероприятия сильно их недооценивают, а те кто противодействуют наоборот переоценивают противника, в итоге и первая и вторая категории переходят в одну общую - полезных идиотов.

Там еще много интересного, так что рекомендую. Одна из лучших книг, из тех что я прочел за последний год.

Самое смешное, что пока я читал книжку, к нам подошел оператор одной из новых активок, прямо как из учебника, чтобы вбросить свой материал, потом это чучело активно пытающееся пропихнуть активку по срыву активок, затегало Рида. Я просто хрюкал от смеха, за всем этим наблюдая. Не делайте так никогда. Надо будет на досуге полистать материалы, чтобы определить кто это такой тупой.

Занятная история. Вчера российский хакер Павел Ситников слил в паблик архивчик "Одесское МВД", файлы из которого он подобрал на беспарольной шаре. Кроме многочисленных ментов (не только из Одессы), там хакнутые документы СБ в Донецкой области, ДЗНД, военных, пограничников и кабмина. Самое смешное, что IP адресочек-то донецкий. Фокс слил оккупантов, которые в свою очередь по системам Міністерство внутрішніх справ и Служба безпеки України ходят как у себя дома. У меня есть предложение. Вместо того чтобы отслеживать утечки и происхождение документов, лучше всего собрать круглый стол по кибербезопасности. Подписать меморандум об углублении и наращивании. А потом фуршет.

После теракта в Вене появились алармистские заявления о том, что Евросоюз "потребует у WhatsApp и Signal ключи от шифрования". Для начала напомню, что законы ЕС принимает Еврокомиссия, а черновик резолюции потек из Совета Европы и скорее всего это заявление так и останется ничем не подкрепленным бла-бла-бла. Тем не менее занятный вывих мысли. Пропорциональность, таргетируемость и парламентский контроль - это все прекрасно, но доступ к данным он либо есть, либо его нет. Сломанное шифрование или как говорят в CoEU "безопасность не смотря на шифрование" приведет ко многим бедам и огромным убыткам.

Мэт Грин приводит хороший пример. Правоохранителям не нужен доступ к переписке людей, которых они уже подозревают. Взять того же террориста. О его планах никто не знал, его убили и теперь хотят получить доступ к его сообщениям, которые были написаны до того, как появились подозрения. И если вы можете прочитать письма человека, которого никто не подозревал, то значит можете прочитать письма любого человека. Для таких действий есть подходящее название - бесконтрольная массовая прослушка.

Отдельно доставило про "квантовое шифрование". Как раз несколько недель назад АНБ опубликовало свое мнение на этот счет. Когда говорят про что-нибудь "квантовое", то подразумевается QKD (обмен ключами), QC (шифрование) и алгоритмы устойчивые к квантовым компьютерам (PQC). QKD и QC с научной точки зрения штуки интересные, но очень дороги и сложны в реализации (требуются отдельные каналы), атакующий может устроить DoS-атаку просто "посмотрев" в "коробку с котом", и вместо хорошо изученных математических законов возвращается к физическим устройствам для защиты. Все равно что шифрование заменить на хитрое скремблирование. PQC вещь полезная и тут американская контора ставит на решетки (lattices).

P.S. Кстати, австрийскую полицию предупреждали о возможном теракте, но они проигнорировали данные разведки.

P.P.S. Ни у WhatsApp ни у Signal нет ключей, в понимании товарища майора, нечего "требовать", но упоминание "ключей" - на совести журналистов, в тексте резолюции об этом ни слова. "Сотрудничество с академией" переводится на понятный язык как "никто не знает как это сделать, но мы очень хотим".

Вы же помните как "мыши съели" зерно из госрезерва? Теперь те мыши добрались и до IT. Державна служба спеціального зв'язку та захисту інформації України собирается делать резервные копии государственных информационных систем. Всех. У меня вопросик возник. СБУ тоже? И полицию? Офис президента? Нацбанк? Судову владу? Что значит "нахуй пошли"? Объясняю на пальцах.

Большая часть государственных учреждений не может позволить себе собственную "информационную систему". Денег нет. Специалистов нет. Крайних нет. Но очень хочется, по простым соображениям престижа и безопасности. И если организация не в состоянии сделать резервную копию, то значит и собственных систем у них быть не должно. А централизованное копирование - это единая точка отката.

Какашкин домик (ОП) закапывает деньги в асфальт, а эти понастроят ДЦ за охулиард (полохулиарда спиздят по дороге), под предлогом безопасности и потом оно еще и потечет. Одно из самых блестящих выступлений на конкурсе слабоумие и отвага.

Email один из самых древних протоколов. В следующем году исполнится пятьдесят лет с тех пор, как было послано первое электронное письмо. О безопасности тогда думали куда меньше чем сейчас и у почты есть множество врожденных проблем, которые пытаются решить разнообразными костылями. Один из моих любимых - #DKIM, цифровая подпись, которая подтверждает целостность сообщения и домен отправителя, чтобы усложнить жизнь спамерам. У неё есть неприятный (для пользователя эффект) - non-repudiation, невозможность отрицания авторства.

В январе месяце, компания "Area 1" выявила попытку фишинга, направленную против группы компаний "Бурисма" и "Квартал 95". Я, кстати, хочу спросить у Кіберполіція: как поживает расследование, полудурки? Не пора ли вам рассказать всем о ваших успехах? Год прошел. А перед выборами в США, в New York Post полыхнул "октябрьский сюрприз" - письмо от Вадима Пожарского (Бурисма) Хантеру Байдену, с благодарностью за знакомство с его отцом, что оживило теории заговора о "коррупции Байдена, который уволил честнейшего прокурора Шокина".

Все вместе выглядит как классическое "активное мероприятие". Спустя какое-то время содержимое мифических "ноубуков Хантера" подтекло и появился оригинал письма https://github.com/…/h…/blob/main/Meeting%20for%20coffee.eml и оно настоящее, что добавило вес остальным обвинениям. Побочный эффект борьбы со спамом и фишингом, который как бы намекает на то, что неотзываемые подписи хороши на договорах, а не на личной переписке.

Нашел интересную статью о том, как вернуть почте deniability http://www.mit.edu/~specter/blog/2020/dkim/ Еще один вариант - чаще менять ключи, и публиковать старые секретные ключи. Немного заморочливо для небольших компаний, но вполне по силам монстрам вроде Гугла. Это немного усложнит жизнь хактивистам, но вернёт немного приватности обычным пользователям.

Державне бюро розслідувань

Як мені стало відомо з повідомлення в соціальній мережі "Фейсбук" від 16.11.2020, розташованого за посиланням https://www.facebook.com/yelyzaveta.zharikova/posts/3460489630725449 , 12.10.2020 співробітники СУ ГУНП та відділу протидії кіберзлочинам Департаменту Кіберполіція Національна поліція України в Луганській області, у невстановленному місці, у невстановленний час, повністю усвідомлюючи протиправну суть своїх дій, відтворили власну копію відеоматеріалів які мають ознаки дитячої порнографії, шляхом завантаження з сайту icaccops . com. Подібні дії мають ознаки злочину передбаченного ст. 301 ККУ, й до них можуть бути причетні старший слідчий Труфанов В. Ю, інспектор Сочка Р. І. Надані мною відомості підтверджуються ухвалою слідчого судді Сєвєродонецького міського суду Бароніна Д. Б. від 21.10.2020. Прошу надати правову оцінку діям співробітників Національної поліції України.

#ACAB

С удовольсвием рассматриваю "организационно-техническую модель киберзащиты". Модель состоит из одного слайда набитого "киберетикой" и "правами человека в киберспорте" (чтобы это ни значило). Обратите внимание на то, насколько плотно связано общество и бизнес с государством. Частно-государственное партнерство во все поля. У меня есть обоснованные сомнения в том, что господин Щиголь сможет объяснить чем отличаются SOC, CSIRT и CERT. Long story short, не взлетит балалайка, вёсла все опять забыли прихватить. Фасилитация деградации только набирает обороты. Насладиться державным высером можно здесь https://cip.gov.ua/services/cm/api/attachment/download?id=24594 Kostiantyn тоже прошелся, рекомендую https://www.facebook.com/kostiantyn.korsun/posts/1536885473163215

Пропустил наброс со стороны "Федерального Агентства Новостей", там много смешного, но для тех кто не ценит забордюрный юмор, приведу цитату из разговора с журналистом BBC, которая не вошла в интервью о беларусских киберпартизанах:

"...у нас есть внешний враг - Российская Федерация, и мы никогда не использовали и не используем хакерские методы внутри страны или в отношении других стран кроме РФ и оккупированных территорий, которые полностью подконтрольны России. В Украине мы ведем публичные дискуссии, участвуем в политической жизни страны, а взломы - только в РФ. При этом с целями и методами мы определились сразу и неуклонно придерживаемся определенных принципов."

(В фейсбуке я забанен, так что - пишите письма)