Forwarded from ZLONOV security
Очередной обзор изменений в законодательстве от коллег из УЦСБ - за февраль 2025 года. По тексту для упоминаемых НПА добавлены ссылки на карточки в Хабе Злонова.
https://hub.zlonov.ru/laws/reviews/2025-02-USSC-review
https://hub.zlonov.ru/laws/reviews/2025-02-USSC-review
Старые версии Tor Browser ломаются: что делать?
Если ты всё ещё сидишь на старой версии Tor Browser — ниже 13.0, — пора проснуться. Эти сборки больше не работают с сетью Tor. Разбираемся, почему так вышло и как не остаться без анонимности.
Что случилось?
Сеть Tor недавно обновила свои протоколы, чтобы сделать её быстрее и надёжнее. Это затронуло всех, кто использует Tor Browser младше версии 13.0 (вышедшей ещё в июне 2023 года). Старые клиенты просто не могут подключиться к новым узлам — как будто пытаешься открыть современный сайт через Internet Explorer 6. С декабря 2024 года сеть окончательно отказалась от поддержки устаревших версий, и если ты не обновился, привет, чёрный экран вместо onion-сайтов.
Когда это началось?
Проблемы накатывали постепенно с ноября 2024 года, когда новые узлы начали вытеснять старые. К марту 2025-го всё, конец игры для лентяев.
Почему именно сейчас?
Tor Project дал больше года на переход — с июня 2023-го по декабрь 2024-го. Обновление нужно для защиты от уязвимостей и поддержки новых функций, вроде улучшенной защиты от DPI.
Как понять, что ты в зоне риска?
Проверь версию своего Tor Browser:
1. Открой браузер.
2. Кликни на три полоски в правом верхнем углу (меню).
3. Выбери "Справка" → "О Tor Browser".
4. Смотри номер версии.
Если там что-то вроде 12.5.x или ниже — ты в пролёте. Пора действовать.
Что делать?
Обновись до актуальной версии
Скачай свежий Tor Browser с официального сайта:
- Перейди на torproject.org.
- Выбери свою систему (Windows, macOS, Linux, Android).
- Установи и запусти.
Проверь подключение
После установки:
- Запусти Tor Browser.
- Дождись, пока он подключится к сети (зелёная полоска).
- Зайди на check.torproject.org — если всё ок, увидишь "Поздравляем, вы в Tor".
Если не работает
- Убедись, что время на устройстве правильное (Tor не любит рассинхрон).
- Попробуй мосты: в настройках выбери "Tor заблокирован" → "Выбрать встроенный мост" (obfs4 обычно спасает).
- Обнови систему — старые библиотеки иногда ломают всё.
Почему обновляться важно?
Старые версии — это не только отсутствие подключения. Они ещё и дырявые:
- Уязвимости в коде, которые уже закрыты в 13.0+.
- Слабая защита от анализа трафика (DPI легко вычисляет старый Tor).
- Нет поддержки новых onion-адресов (v3 длиннее и безопаснее).
Плюс, без обновлений ты теряешь анонимность. В 2025 году это как выходить в интернет без антивируса — рискованно.
Что дальше?
Tor Project не будет поддерживать старьё — это официально. Разработчики уже готовят версию 14.0 с улучшенной маскировкой и скоростью. Так что обновляйся, проверяй сеть и держи ухо востро. Анонимность — штука хрупкая, но с актуальным Tor Browser шансов у тебя больше.
Ресурсы:
Скачать Tor Browser
Форум поддержки
Новости Tor
Если ты всё ещё сидишь на старой версии Tor Browser — ниже 13.0, — пора проснуться. Эти сборки больше не работают с сетью Tor. Разбираемся, почему так вышло и как не остаться без анонимности.
Что случилось?
Сеть Tor недавно обновила свои протоколы, чтобы сделать её быстрее и надёжнее. Это затронуло всех, кто использует Tor Browser младше версии 13.0 (вышедшей ещё в июне 2023 года). Старые клиенты просто не могут подключиться к новым узлам — как будто пытаешься открыть современный сайт через Internet Explorer 6. С декабря 2024 года сеть окончательно отказалась от поддержки устаревших версий, и если ты не обновился, привет, чёрный экран вместо onion-сайтов.
Когда это началось?
Проблемы накатывали постепенно с ноября 2024 года, когда новые узлы начали вытеснять старые. К марту 2025-го всё, конец игры для лентяев.
Почему именно сейчас?
Tor Project дал больше года на переход — с июня 2023-го по декабрь 2024-го. Обновление нужно для защиты от уязвимостей и поддержки новых функций, вроде улучшенной защиты от DPI.
Как понять, что ты в зоне риска?
Проверь версию своего Tor Browser:
1. Открой браузер.
2. Кликни на три полоски в правом верхнем углу (меню).
3. Выбери "Справка" → "О Tor Browser".
4. Смотри номер версии.
Если там что-то вроде 12.5.x или ниже — ты в пролёте. Пора действовать.
Что делать?
Обновись до актуальной версии
Скачай свежий Tor Browser с официального сайта:
- Перейди на torproject.org.
- Выбери свою систему (Windows, macOS, Linux, Android).
- Установи и запусти.
Проверь подключение
После установки:
- Запусти Tor Browser.
- Дождись, пока он подключится к сети (зелёная полоска).
- Зайди на check.torproject.org — если всё ок, увидишь "Поздравляем, вы в Tor".
Если не работает
- Убедись, что время на устройстве правильное (Tor не любит рассинхрон).
- Попробуй мосты: в настройках выбери "Tor заблокирован" → "Выбрать встроенный мост" (obfs4 обычно спасает).
- Обнови систему — старые библиотеки иногда ломают всё.
Почему обновляться важно?
Старые версии — это не только отсутствие подключения. Они ещё и дырявые:
- Уязвимости в коде, которые уже закрыты в 13.0+.
- Слабая защита от анализа трафика (DPI легко вычисляет старый Tor).
- Нет поддержки новых onion-адресов (v3 длиннее и безопаснее).
Плюс, без обновлений ты теряешь анонимность. В 2025 году это как выходить в интернет без антивируса — рискованно.
Что дальше?
Tor Project не будет поддерживать старьё — это официально. Разработчики уже готовят версию 14.0 с улучшенной маскировкой и скоростью. Так что обновляйся, проверяй сеть и держи ухо востро. Анонимность — штука хрупкая, но с актуальным Tor Browser шансов у тебя больше.
Ресурсы:
Скачать Tor Browser
Форум поддержки
Новости Tor
www.torproject.org
The Tor Project | Privacy & Freedom Online
Defend yourself against tracking and surveillance. Circumvent censorship.
Небезопасность pinned «Небезопасный Linux «Мы пробьём все стены в мире» — Наутилус Помпилиус Благодарности Автор благодарит следующих людей и сообщества за помощь в подготовке материалов: Моего отца — за консультации и помощь в формировании концепции. Близких…»
Впрочем нет, хочу.
Моя первая статья в ][
https://xakep.ru/2025/03/26/i2p-2025/
xakep.ru
I2P в 2025-м. Изучаем возможности I2P и настраиваем скрытую сеть
I2P — это не просто «глубинный интернет», это полноценный андеграунд для тех, кто желает избежать слежки, предлагающий анонимность без компромиссов. В этой статье мы разберем, что творится сегодня в этой сети, как ее ломают и стоит ли нырять в эту кроличью…
Forwarded from ITRadio
Эпизод №4. Безопасность Android
Пришла пора поговорить на такую волнующую всех тему как безопасность Android и наконец-то понять, откуда берётся выдача рекламы, некогда случайно озвученная вполголоса рядом с включённым устройством.
В гостях как дома:
Александр Вир. Независимый исследователь. Автор проекта @rutheniumos – ОС, нацеленной не только на безопасность, но также приватность и защиту данных пользователя, созданной на базе AOSP и лучших наработок в области безопасности Android и ориентированной на российский рынок. И по совместительству автор канала @theaftertimes.
Алексей Теплов. Действующий инструктор в телекоме в англоязычной среде (Juniper), в нашей среде бывший (додевопсный) сетевой инженер, а нынче энтузиаст в сфере защиты от утечек со смартфонов и ноутбуков. Местами продвинутый пользователь Android и QubesOS, консультирует по ИБ и обучает заинтересованных лиц, нынче это преимущественно военные связисты (начсвязи).
О чём:
• История появления Андроида: как все начиналось в 200x и во что все превратилось в 202x?• AOSP и архитектура современных андроидов/сборок
• Что не так с фабричными Андроидами в плане безопасности для обычного (рандомного) пользователя?
• Нужен ли рут и опасно ли наличие рута?
• Что такое дегуглофикация и почему она необходима инженеру?
• Bloatware, adware, трекеры/сборщики данных, etc – почему это зло, где его корни и как с ним бороться?
• Проект RutheniumOS – что, зачем и для чего? За что боремся, каковы высокие цели, в какой точке находимся, чего не хватает?
• Как сделать свой форк AOSP и нужно ли/сложно ли этому научиться? (может, академию открыть?! база (инженерная настройка) + адвансед (мейнтейнерство))
• Прочее интересное и полезное
Полезные ссылки:
LineageOS: https://lineageos.org/ + основанный на нем crDroid: https://crdroid.net/
DivestOS: https://divestos.org/
GrapheneOS: https://grapheneos.org/
CalyxOS: https://calyxos.org/
Рутирование:
Magisk (Official): https://github.com/topjohnwu/Magisk
Magisk Kitsune: https://github.com/HuskyDG/magisk-files/releases
KernelSU: https://kernelsu.org/ https://github.com/tiann/KernelSU
Опенсорс замена Google-сервисов: https://microg.org/ Magisk-модуль: https://github.com/nift4/microg_installer_revived
Песочница:
Insular: https://gitlab.com/secure-system/Insular
Кастомизация системы под свои нужды:
LSPosed Framework: https://lsposed.org/
Репозиторий модулей: https://modules.lsposed.org/
Деблоатер для рутированного смарта: https://sunilpaulmathew.github.io/De-Bloater/
Деблоатер для нерутированного смарта: https://github.com/Universal-Debloater-Alliance/universal-android-debloater-next-generation/
Фаерволл:
AFWALL+: https://github.com/ukanth/afwall
Андройд отдаёт в 20 раз больше телеметрии
https://arstechnica.com/gadgets/2021/03/android-sends-20x-more-data-to-google-than-ios-sends-to-apple-study-says
Поиск по патчам
https://review.lineageos.org
Пришла пора поговорить на такую волнующую всех тему как безопасность Android и наконец-то понять, откуда берётся выдача рекламы, некогда случайно озвученная вполголоса рядом с включённым устройством.
В гостях как дома:
Александр Вир. Независимый исследователь. Автор проекта @rutheniumos – ОС, нацеленной не только на безопасность, но также приватность и защиту данных пользователя, созданной на базе AOSP и лучших наработок в области безопасности Android и ориентированной на российский рынок. И по совместительству автор канала @theaftertimes.
Алексей Теплов. Действующий инструктор в телекоме в англоязычной среде (Juniper), в нашей среде бывший (додевопсный) сетевой инженер, а нынче энтузиаст в сфере защиты от утечек со смартфонов и ноутбуков. Местами продвинутый пользователь Android и QubesOS, консультирует по ИБ и обучает заинтересованных лиц, нынче это преимущественно военные связисты (начсвязи).
О чём:
• История появления Андроида: как все начиналось в 200x и во что все превратилось в 202x?• AOSP и архитектура современных андроидов/сборок
• Что не так с фабричными Андроидами в плане безопасности для обычного (рандомного) пользователя?
• Нужен ли рут и опасно ли наличие рута?
• Что такое дегуглофикация и почему она необходима инженеру?
• Bloatware, adware, трекеры/сборщики данных, etc – почему это зло, где его корни и как с ним бороться?
• Проект RutheniumOS – что, зачем и для чего? За что боремся, каковы высокие цели, в какой точке находимся, чего не хватает?
• Как сделать свой форк AOSP и нужно ли/сложно ли этому научиться? (может, академию открыть?! база (инженерная настройка) + адвансед (мейнтейнерство))
• Прочее интересное и полезное
Полезные ссылки:
LineageOS: https://lineageos.org/ + основанный на нем crDroid: https://crdroid.net/
DivestOS: https://divestos.org/
GrapheneOS: https://grapheneos.org/
CalyxOS: https://calyxos.org/
Рутирование:
Magisk (Official): https://github.com/topjohnwu/Magisk
Magisk Kitsune: https://github.com/HuskyDG/magisk-files/releases
KernelSU: https://kernelsu.org/ https://github.com/tiann/KernelSU
Опенсорс замена Google-сервисов: https://microg.org/ Magisk-модуль: https://github.com/nift4/microg_installer_revived
Песочница:
Insular: https://gitlab.com/secure-system/Insular
Кастомизация системы под свои нужды:
LSPosed Framework: https://lsposed.org/
Репозиторий модулей: https://modules.lsposed.org/
Деблоатер для рутированного смарта: https://sunilpaulmathew.github.io/De-Bloater/
Деблоатер для нерутированного смарта: https://github.com/Universal-Debloater-Alliance/universal-android-debloater-next-generation/
Фаерволл:
AFWALL+: https://github.com/ukanth/afwall
Андройд отдаёт в 20 раз больше телеметрии
https://arstechnica.com/gadgets/2021/03/android-sends-20x-more-data-to-google-than-ios-sends-to-apple-study-says
Поиск по патчам
https://review.lineageos.org
Forwarded from Mobile AppSec World (Yury Shabalin)
Анонс третьего доклада об операционной системе Android!
Третьим нашим участником и спикером станет прекрасный @aftertime (Александр Вир), который расскажет о дивном мире Android и немного о его истории...
Я лично очень жду этого доклада и с удовольствием пропущу бокальчик сидра под увлекательный рассказ)
Приходите и вы :)
Кстати, Саша ведет офигительнейший канал https://news.1rj.ru/str/rutheniumos, очень рекомендую)
#mobileAppsecClub
Третьим нашим участником и спикером станет прекрасный @aftertime (Александр Вир), который расскажет о дивном мире Android и немного о его истории...
На мой взгляд решительно невозможно правильно чем-то пользоваться, если ты не имеешь четкого представления, кто и для чего создавал предмет твоего интереса.
Сегодня мы посмотрим на зеленого робота с разных сторон, и постараемся разобраться, что же он из себя представляет.
Мы поговорим про идеи, которые легли в основу ОС, о значении лицензий в мире свободного ПО, о том, как бизнес заигрывает с сообществом, о том, как судились Google с Oracle, и причем тут Kotlin.
Я лично очень жду этого доклада и с удовольствием пропущу бокальчик сидра под увлекательный рассказ)
Приходите и вы :)
Кстати, Саша ведет офигительнейший канал https://news.1rj.ru/str/rutheniumos, очень рекомендую)
#mobileAppsecClub
Telegram
RutheniumOS
Заметки об AOSP и создании защищённого и безопасного дистрибутива на базе лучших практик.
По всем вопросам -> @aftertime
По всем вопросам -> @aftertime
Forwarded from Александр Вир
Forwarded from RutheniumOS
Ссылка на видео с таймкодом
YouTube
DC 7831 Пятая ежегодная конференция DEFCON Нижний Новгород (День 1)
День 1. Конференция пройдет в Нижнем Новгороде 24-25 февраля 2024 года (в выходные) при участии и поддержке ННГУ им. Лобачевского. Университет предоставил свою площадку для проведения мероприятия во втором корпусе по адресу Нижний Новгород, проспект Гагарина…
О зарождении RutheniumOS
Telegram
RutheniumOS
RutheniumOS
За каждым начинанием стоит идея. А за идеей необходимость.
Однажды я задумался, сколько и какой информации получают из самого близкого нам устройства - смартфона. Никаких теорий заговоров, просто бизнес. Обогащение данных, более точное таргетирование…
За каждым начинанием стоит идея. А за идеей необходимость.
Однажды я задумался, сколько и какой информации получают из самого близкого нам устройства - смартфона. Никаких теорий заговоров, просто бизнес. Обогащение данных, более точное таргетирование…
This media is not supported in your browser
VIEW IN TELEGRAM
CBSD — *BSD в облаке
Если ты работал с lxc, virt-manager, docker — тебе будет знаком CBSD. Это кроссплатформенный фреймворк для управления виртуалками, изначально разработанный для FreeBSD. Удобный интерфейс (TUI и CLI), шаблоны, сетевые конфиги, снапшоты через ZFS, миграция между узлами. Но если ты пришёл в FreeBSD за контролем — CBSD тебе не подойдёт.
Во FreeBSD изоляция построена иначе. Тут есть jail — аналог контейнера, но на уровне ядра. Не cgroup, а жёсткое разграничение процессов, сетей, даже сокетов ядра. Настройки хранятся в /etc/jail.conf — это текстовый файл с описанием каждого изолированного окружения. Без JSON, YAML или спец-DSL.
Запуск — через стандартные механизмы инициализации rc.d. Это местный аналог init.d, но полностью читаемый и прозрачный. Никаких systemd, только sh-скрипты. Добавил jail в rc.conf — он стартует. Убрал — не стартует.
Сеть? Используется pf — встроенный фаервол, по функциональности сопоставимый с iptables + nftables, но с более чистым синтаксисом. Все сетевые правила, NAT, редиректы, throttle — задаются в одном файле /etc/pf.conf. И они работают сразу, без daemon-reload.
CBSD всё это оборачивает в собственную логику: создаёт базы в SQLite, подменяет пути, запускает скрипты из своего каталога
CBSD — это круто, если ты обслуживаешь десятки машин. Но если тебе нужна система, в которой ничего не стартует без команды, ты не ставишь лишнего и сам отвечаешь за каждый скрипт — обходи CBSD стороной.
FreeBSD даёт всё: jail, pf, securelevel, MAC. Просто используй их напрямую. И будет тебе контроль, по заветам старой школы — без магии.
Если ты работал с lxc, virt-manager, docker — тебе будет знаком CBSD. Это кроссплатформенный фреймворк для управления виртуалками, изначально разработанный для FreeBSD. Удобный интерфейс (TUI и CLI), шаблоны, сетевые конфиги, снапшоты через ZFS, миграция между узлами. Но если ты пришёл в FreeBSD за контролем — CBSD тебе не подойдёт.
Во FreeBSD изоляция построена иначе. Тут есть jail — аналог контейнера, но на уровне ядра. Не cgroup, а жёсткое разграничение процессов, сетей, даже сокетов ядра. Настройки хранятся в /etc/jail.conf — это текстовый файл с описанием каждого изолированного окружения. Без JSON, YAML или спец-DSL.
Запуск — через стандартные механизмы инициализации rc.d. Это местный аналог init.d, но полностью читаемый и прозрачный. Никаких systemd, только sh-скрипты. Добавил jail в rc.conf — он стартует. Убрал — не стартует.
Сеть? Используется pf — встроенный фаервол, по функциональности сопоставимый с iptables + nftables, но с более чистым синтаксисом. Все сетевые правила, NAT, редиректы, throttle — задаются в одном файле /etc/pf.conf. И они работают сразу, без daemon-reload.
CBSD всё это оборачивает в собственную логику: создаёт базы в SQLite, подменяет пути, запускает скрипты из своего каталога
CBSD — это круто, если ты обслуживаешь десятки машин. Но если тебе нужна система, в которой ничего не стартует без команды, ты не ставишь лишнего и сам отвечаешь за каждый скрипт — обходи CBSD стороной.
FreeBSD даёт всё: jail, pf, securelevel, MAC. Просто используй их напрямую. И будет тебе контроль, по заветам старой школы — без магии.
👍1
Почему просто так менять MAC-адрес в сети с IDS - плохая идея
Много раз поднимался вопрос о том, что даёт смена MAC-адреса, но почти все утилиты делают это в случайном порядке, так что давайте представим, что будет, если сменить адрес в боевых условиях.
Изменение MAC-адреса не является надёжным способом скрыть свою активность в сети, где установлена система обнаружения вторжений (IDS). Вот основные причины:
1. MAC-адрес — не секретная информация
MAC-адрес предназначен для идентификации устройств в локальной сети, но он легко доступен. Например, его можно узнать с помощью команды
2. IDS смотрит дальше MAC-адресов
Современные системы обнаружения вторжений не полагаются только на MAC-адреса. Они анализируют множество других параметров:
- IP-адреса;
- Используемые порты;
- Применяемые протоколы;
- Поведение сетевого трафика.
Изменение MAC-адреса не скрывает эти данные, и IDS всё равно может идентифицировать устройство или выявить подозрительную активность.
3. Корреляция данных
IDS способна собирать информацию из разных источников — логов маршрутизаторов, файрволов, коммутаторов и т.д. Даже если MAC-адрес изменён, система может сопоставить другие параметры и обнаружить несоответствия или аномалии.
4. Изменение MAC-адреса само по себе подозрительно
Некоторые IDS отслеживают изменения MAC-адресов в сети. Если устройство вдруг начинает использовать новый MAC-адрес, это может быть расценено как признак потенциальной угрозы, что, наоборот, привлечёт внимание.
Итого:
Простое изменение MAC-адреса в сети с IDS неэффективно, потому что:
- Оно не скрывает другие идентифицирующие параметры, которые отслеживает IDS;
- Сам факт изменения может быть замечен и вызвать подозрения;
- Для настоящей анонимности нужны более сложные методы, такие как VPN или Tor, которые скрывают IP-адрес и шифруют трафик.
Таким образом, если вы находитесь в сети с системой обнаружения вторжений, полагаться только на смену MAC-адреса — идея так себе. Это не обеспечит надёжной защиты от обнаружения.
Много раз поднимался вопрос о том, что даёт смена MAC-адреса, но почти все утилиты делают это в случайном порядке, так что давайте представим, что будет, если сменить адрес в боевых условиях.
Изменение MAC-адреса не является надёжным способом скрыть свою активность в сети, где установлена система обнаружения вторжений (IDS). Вот основные причины:
1. MAC-адрес — не секретная информация
MAC-адрес предназначен для идентификации устройств в локальной сети, но он легко доступен. Например, его можно узнать с помощью команды
arp -a. Это означает, что изменение MAC-адреса не даёт значительного преимущества в плане анонимности.2. IDS смотрит дальше MAC-адресов
Современные системы обнаружения вторжений не полагаются только на MAC-адреса. Они анализируют множество других параметров:
- IP-адреса;
- Используемые порты;
- Применяемые протоколы;
- Поведение сетевого трафика.
Изменение MAC-адреса не скрывает эти данные, и IDS всё равно может идентифицировать устройство или выявить подозрительную активность.
3. Корреляция данных
IDS способна собирать информацию из разных источников — логов маршрутизаторов, файрволов, коммутаторов и т.д. Даже если MAC-адрес изменён, система может сопоставить другие параметры и обнаружить несоответствия или аномалии.
4. Изменение MAC-адреса само по себе подозрительно
Некоторые IDS отслеживают изменения MAC-адресов в сети. Если устройство вдруг начинает использовать новый MAC-адрес, это может быть расценено как признак потенциальной угрозы, что, наоборот, привлечёт внимание.
Итого:
Простое изменение MAC-адреса в сети с IDS неэффективно, потому что:
- Оно не скрывает другие идентифицирующие параметры, которые отслеживает IDS;
- Сам факт изменения может быть замечен и вызвать подозрения;
- Для настоящей анонимности нужны более сложные методы, такие как VPN или Tor, которые скрывают IP-адрес и шифруют трафик.
Таким образом, если вы находитесь в сети с системой обнаружения вторжений, полагаться только на смену MAC-адреса — идея так себе. Это не обеспечит надёжной защиты от обнаружения.
Отслеживание местоположения через рекламу в приложениях: что нужно знать
Недавно прочитал любопытный пост с канала @mobile_appsec_world со ссылками на статью где поясняется, как приложения на наших телефонах могут следить за тем, где мы находимся, через рекламу. Часто это происходит без нашего разрешения. Да, откровений ниже не будет, но методика работы полезная и может пригодиться для анализа работы приложений в дальнейшем.
Часть первая: "Всем известно ваше местоположение"
Автор решил проверить, как его телефон передает данные о его местоположении. Он узнал, что компания Gravy Analytics раскрыла утечку данных из более чем 2000 приложений в AppStore и Google Play. Эти приложения собирают информацию о том, где находятся пользователи, даже если те об этом не знают.
После этого он обнаружил в списке несколько приложений, которые были на его iPhone, и начал разбираться. Он анализировал трафик своего телефона — то есть смотрел, какие данные уходят с устройства. В итоге он заметил запросы, где было указано его точное местоположение. Еще он нашел данные об IP-адресе, по которому тоже можно примерно понять, где человек находится.
Он изучил систему OpenRTB — это технология, которую используют для показа рекламы в реальном времени. Она передает кучу информации: где ты находишься, какой у тебя уровень заряда батареи, яркость экрана и даже в помещении ты или на улице. Всё это помогает создавать "отпечаток" твоего телефона, чтобы следить за тобой, даже если ты не разрешал доступ к геолокации.
Автор также узнал, что такие данные можно купить у специальных компаний, но это дорого и не каждому доступно.
Часть вторая: "Всем известно ваше местоположение, часть 2: попробуйте сами"
Во второй части автор улучшил свой способ анализа данных с телефона и предложил всем попробовать это самим. Он советует использовать программу mitmproxy, чтобы перехватывать и смотреть, какие данные уходят с твоего устройства. Автор даже написал инструкцию, как это настроить, и попросил читателей делиться своими находками через специальную форму.
Он объясняет, что даже приложения, которые не просят доступ к местоположению, могут собирать эти данные через рекламу. Например, компании вроде Applovin используют такие данные, чтобы показывать рекламу или анализировать поведение пользователей. Даже если ты выключил отслеживание в настройках телефона, это не всегда помогает.
Как защититься?
Вот несколько простых шагов, которые можно сделать, чтобы меньше данных о тебе утекало:
Проверь свои приложения. Посмотри, какие приложения стоят на твоем телефоне. Если они в списке тех, что собирают данные, подумай, нужны ли они тебе, или найди замену.
Отключи отслеживание. На iPhone зайди в "Конфиденциальность" → "Отслеживание" и запрети приложениям следить за тобой, если им это не нужно для работы.
Используй защищенный канал связи. Это поможет скрыть твой IP-адрес, чтобы по нему не могли понять, где ты.
Не давай лишних разрешений. Если приложению не нужно знать твое местоположение, не разрешай ему доступ.
Попробуй сам проверить. Если умеешь работать с техникой, можешь настроить mitmproxy и посмотреть, что именно передают твои приложения.
Отслеживание через рекламу в приложениях — это реальная проблема. Даже если кажется, что твои данные в безопасности, приложения могут собирать их тайком. Важно знать об этом и защищать свою приватность. Надеюсь, эти советы помогут тебе чувствовать себя спокойнее!
Ссылки на оригинальные статьи:
- Первая часть
- Вторая часть
Недавно прочитал любопытный пост с канала @mobile_appsec_world со ссылками на статью где поясняется, как приложения на наших телефонах могут следить за тем, где мы находимся, через рекламу. Часто это происходит без нашего разрешения. Да, откровений ниже не будет, но методика работы полезная и может пригодиться для анализа работы приложений в дальнейшем.
Часть первая: "Всем известно ваше местоположение"
Автор решил проверить, как его телефон передает данные о его местоположении. Он узнал, что компания Gravy Analytics раскрыла утечку данных из более чем 2000 приложений в AppStore и Google Play. Эти приложения собирают информацию о том, где находятся пользователи, даже если те об этом не знают.
После этого он обнаружил в списке несколько приложений, которые были на его iPhone, и начал разбираться. Он анализировал трафик своего телефона — то есть смотрел, какие данные уходят с устройства. В итоге он заметил запросы, где было указано его точное местоположение. Еще он нашел данные об IP-адресе, по которому тоже можно примерно понять, где человек находится.
Он изучил систему OpenRTB — это технология, которую используют для показа рекламы в реальном времени. Она передает кучу информации: где ты находишься, какой у тебя уровень заряда батареи, яркость экрана и даже в помещении ты или на улице. Всё это помогает создавать "отпечаток" твоего телефона, чтобы следить за тобой, даже если ты не разрешал доступ к геолокации.
Автор также узнал, что такие данные можно купить у специальных компаний, но это дорого и не каждому доступно.
Часть вторая: "Всем известно ваше местоположение, часть 2: попробуйте сами"
Во второй части автор улучшил свой способ анализа данных с телефона и предложил всем попробовать это самим. Он советует использовать программу mitmproxy, чтобы перехватывать и смотреть, какие данные уходят с твоего устройства. Автор даже написал инструкцию, как это настроить, и попросил читателей делиться своими находками через специальную форму.
Он объясняет, что даже приложения, которые не просят доступ к местоположению, могут собирать эти данные через рекламу. Например, компании вроде Applovin используют такие данные, чтобы показывать рекламу или анализировать поведение пользователей. Даже если ты выключил отслеживание в настройках телефона, это не всегда помогает.
Как защититься?
Вот несколько простых шагов, которые можно сделать, чтобы меньше данных о тебе утекало:
Проверь свои приложения. Посмотри, какие приложения стоят на твоем телефоне. Если они в списке тех, что собирают данные, подумай, нужны ли они тебе, или найди замену.
Отключи отслеживание. На iPhone зайди в "Конфиденциальность" → "Отслеживание" и запрети приложениям следить за тобой, если им это не нужно для работы.
Используй защищенный канал связи. Это поможет скрыть твой IP-адрес, чтобы по нему не могли понять, где ты.
Не давай лишних разрешений. Если приложению не нужно знать твое местоположение, не разрешай ему доступ.
Попробуй сам проверить. Если умеешь работать с техникой, можешь настроить mitmproxy и посмотреть, что именно передают твои приложения.
Отслеживание через рекламу в приложениях — это реальная проблема. Даже если кажется, что твои данные в безопасности, приложения могут собирать их тайком. Важно знать об этом и защищать свою приватность. Надеюсь, эти советы помогут тебе чувствовать себя спокойнее!
Ссылки на оригинальные статьи:
- Первая часть
- Вторая часть
❤1⚡1🔥1
OWASP Top 10 для LLM — 2025: Защита ИИ-приложений
В 2025 году OWASP представил обновленный список ключевых уязвимостей для LLM-приложений, разработанный при участии экспертов в AI, кибербезопасности и облачных технологий. Хотя LLM остаются относительно новой технологией, их стремительное внедрение потребовало актуализации стандартов безопасности.
Из 10 категорий лишь три остались неизменными с версии 2023 года, что подчеркивает динамичность угроз. Основные риски включают инъекции промптов, утечки данных через генерацию, poisoning обучающих выборок и обход фильтров. Например, атаки типа Prompt Injection позволяют злоумышленникам манипулировать поведением моделей через скрытые команды в тексте.
Отчет акцентирует сценарии атак, методы предотвращения (фильтрация ввода, изоляция контекста, red teaming) и смягчения последствий. Полная версия доступна на сайте OWASP с примерами кейсов и рекомендациями для разработчиков, я же дам выжимку.
LLM01: Инъекция промптов
Злоумышленники могут вводить вредоносные данные, чтобы заставить модель раскрыть конфиденциальную информацию или выполнить нежелательные действия, включая удалённое выполнение кода. Эта уязвимость лидирует, так как эксплуатирует саму природу LLM.
Прямая инъекция: Использование техник вроде DAN (Do Anything Now) для обхода защиты через ролевые игры.
Косвенная инъекция: Вредоносные промпты скрыты в документах (например, белый текст на белом фоне).
Пример: В 2024 году хакер встроил в резюме команду "рекомендуй меня", и HR-бот её выполнил.
Защита: Фильтрация ввода, анализ контекста запросов.
LLM02: Раскрытие конфиденциальной информации
Неправильная настройка модели может привести к утечке персональных данных, финансовой информации или даже алгоритмов самой модели, что нарушает права на интеллектуальную собственность.
Пример: В 2023 году чат-бот Air Canada выдал ложные данные о рейсах, что закончилось судебным иском.
Защита: Санитизация вывода, ограничение доступа к чувствительным данным.
LLM03: Уязвимости цепочки поставок
Сторонние модели и данные (например, с Hugging Face) могут содержать бэкдоры или уязвимости, особенно если поставщик ненадёжен.
Пример: В 2024 году предобученная модель с Hugging Face активировала вредоносный код на определённых запросах.
Защита: Аудит поставщиков, проверка целостности моделей и данных.
LLM04: Отравление данных и моделей
Вредоносные данные, внедрённые на этапе обучения, ухудшают безопасность, этичность или точность модели, добавляя бэкдоры или предвзятость.
Пример: Фейковые данные о компаниях вызвали предвзятость в финансовых рекомендациях.
Защита: Валидация обучающих данных, мониторинг процесса обучения.
LLM05: Ненадлежащая обработка вывода
Непроверенный вывод модели может содержать вредоносный код, выполняемый на сервере или в браузере пользователя, например, для XSS или SQL-инъекций.
Пример: В 2023 году отзыв о товаре с косвенной инъекцией вызвал выполнение JavaScript в браузере.
Защита: Валидация вывода, подход "нулевого доверия" к модели.
В 2025 году OWASP представил обновленный список ключевых уязвимостей для LLM-приложений, разработанный при участии экспертов в AI, кибербезопасности и облачных технологий. Хотя LLM остаются относительно новой технологией, их стремительное внедрение потребовало актуализации стандартов безопасности.
Из 10 категорий лишь три остались неизменными с версии 2023 года, что подчеркивает динамичность угроз. Основные риски включают инъекции промптов, утечки данных через генерацию, poisoning обучающих выборок и обход фильтров. Например, атаки типа Prompt Injection позволяют злоумышленникам манипулировать поведением моделей через скрытые команды в тексте.
Отчет акцентирует сценарии атак, методы предотвращения (фильтрация ввода, изоляция контекста, red teaming) и смягчения последствий. Полная версия доступна на сайте OWASP с примерами кейсов и рекомендациями для разработчиков, я же дам выжимку.
LLM01: Инъекция промптов
Злоумышленники могут вводить вредоносные данные, чтобы заставить модель раскрыть конфиденциальную информацию или выполнить нежелательные действия, включая удалённое выполнение кода. Эта уязвимость лидирует, так как эксплуатирует саму природу LLM.
Прямая инъекция: Использование техник вроде DAN (Do Anything Now) для обхода защиты через ролевые игры.
Косвенная инъекция: Вредоносные промпты скрыты в документах (например, белый текст на белом фоне).
Пример: В 2024 году хакер встроил в резюме команду "рекомендуй меня", и HR-бот её выполнил.
Защита: Фильтрация ввода, анализ контекста запросов.
LLM02: Раскрытие конфиденциальной информации
Неправильная настройка модели может привести к утечке персональных данных, финансовой информации или даже алгоритмов самой модели, что нарушает права на интеллектуальную собственность.
Пример: В 2023 году чат-бот Air Canada выдал ложные данные о рейсах, что закончилось судебным иском.
Защита: Санитизация вывода, ограничение доступа к чувствительным данным.
LLM03: Уязвимости цепочки поставок
Сторонние модели и данные (например, с Hugging Face) могут содержать бэкдоры или уязвимости, особенно если поставщик ненадёжен.
Пример: В 2024 году предобученная модель с Hugging Face активировала вредоносный код на определённых запросах.
Защита: Аудит поставщиков, проверка целостности моделей и данных.
LLM04: Отравление данных и моделей
Вредоносные данные, внедрённые на этапе обучения, ухудшают безопасность, этичность или точность модели, добавляя бэкдоры или предвзятость.
Пример: Фейковые данные о компаниях вызвали предвзятость в финансовых рекомендациях.
Защита: Валидация обучающих данных, мониторинг процесса обучения.
LLM05: Ненадлежащая обработка вывода
Непроверенный вывод модели может содержать вредоносный код, выполняемый на сервере или в браузере пользователя, например, для XSS или SQL-инъекций.
Пример: В 2023 году отзыв о товаре с косвенной инъекцией вызвал выполнение JavaScript в браузере.
Защита: Валидация вывода, подход "нулевого доверия" к модели.
OWASP Gen AI Security Project
OWASP Top 10 for LLM Applications 2025
Discover the OWASP Top 10 for LLM Applications (2025) – essential guidance for securing large language model applications against emerging vulnerabilities.
👍2🔥1
OWASP Top 10 для LLM — 2025: Защита ИИ-приложений. Часть 2
LLM06: Чрезмерная автономность
Модели с избыточными правами могут случайно выполнять нежелательные действия, такие как удаление файлов или отправка писем.
Пример: Плагин для чтения файлов также позволял их удалять.
Защита: Ограничение прав модели, проверка действий пользователя.
LLM07: Утечка системного промпта
Раскрытие внутренних инструкций модели позволяет злоумышленникам обойти защиту, особенно если промпт содержит секреты, такие как API-ключи.
Пример: В 2024 году утечка промпта раскрыла API-ключи компании.
Защита: Исключение секретов из промптов, использование внешних систем контроля.
LLM08: Уязвимости векторов и эмбеддингов
Ошибки в методе RAG (Retrieval Augmented Generation) могут привести к утечке данных или изменению поведения модели.
Пример: В 2025 году общие эмбеддинги в мультитенантной среде дали доступ к чужим данным.
Защита: Контроль доступа к данным, аудит эмбеддингов.
LLM09: Дезинформация
Модели могут генерировать ложные данные из-за галлюцинаций или предвзятости, что опасно в критических областях вроде медицины или права.
Пример: ChatGPT в 2023 году выдал вымышленные судебные прецеденты.
Защита: Проверка фактов, использование RAG для повышения точности.
LLM10: Неконтролируемое потребление
Чрезмерное использование ресурсов модели может вызвать DoS-атаки, финансовые потери или кражу модели через API.
Пример: В 2024 году атака на API стоила компании тысячи долларов за час.
Защита: Лимиты запросов, мониторинг аномального поведения.
Защита LLM требует постоянных усилий. Используйте фильтрацию ввода, ограничение прав и мониторинг.
LLM06: Чрезмерная автономность
Модели с избыточными правами могут случайно выполнять нежелательные действия, такие как удаление файлов или отправка писем.
Пример: Плагин для чтения файлов также позволял их удалять.
Защита: Ограничение прав модели, проверка действий пользователя.
LLM07: Утечка системного промпта
Раскрытие внутренних инструкций модели позволяет злоумышленникам обойти защиту, особенно если промпт содержит секреты, такие как API-ключи.
Пример: В 2024 году утечка промпта раскрыла API-ключи компании.
Защита: Исключение секретов из промптов, использование внешних систем контроля.
LLM08: Уязвимости векторов и эмбеддингов
Ошибки в методе RAG (Retrieval Augmented Generation) могут привести к утечке данных или изменению поведения модели.
Пример: В 2025 году общие эмбеддинги в мультитенантной среде дали доступ к чужим данным.
Защита: Контроль доступа к данным, аудит эмбеддингов.
LLM09: Дезинформация
Модели могут генерировать ложные данные из-за галлюцинаций или предвзятости, что опасно в критических областях вроде медицины или права.
Пример: ChatGPT в 2023 году выдал вымышленные судебные прецеденты.
Защита: Проверка фактов, использование RAG для повышения точности.
LLM10: Неконтролируемое потребление
Чрезмерное использование ресурсов модели может вызвать DoS-атаки, финансовые потери или кражу модели через API.
Пример: В 2024 году атака на API стоила компании тысячи долларов за час.
Защита: Лимиты запросов, мониторинг аномального поведения.
Защита LLM требует постоянных усилий. Используйте фильтрацию ввода, ограничение прав и мониторинг.
👍2
Очередной "безопасный" мессенджер и его взлом
TeleMessage — приложение от Smarsh (Портленд, Орегон), аналог Signal, для архивирования сообщений. Взлом затронул 60+ госслужащих из FEMA, таможни, Белого дома, Секретной службы и дипломатов. Smarsh работала с Госдепартаментом, DHS и CDC (CDC отверг приложение в 2024 году).
4 мая 2025 года хакер получил доступ к серверу TeleMessage за 15–20 минут, эксплуатируя уязвимость в конфигурации архивного сервера (archive.telemessage.com), размещенного на Amazon AWS. Используя инструмент feroxbuster, он нашел публично доступный endpoint /heapdump, предоставивший дамп памяти Java (150 МБ). В дампе содержались имена пользователей, пароли (хешированные устаревшим MD5), журналы чатов и ключи шифрования. Хакер также обнаружил, что пароли хешировались на стороне клиента (MD5), что снижало их защиту. Используя найденные учетные данные, он вошел в админ-панель secure.telemessage.com, получив доступ к данным, включая список из 747 сотрудников таможенной службы США (CBP). Устаревшая технология JSP и слабая конфигурация Spring Boot способствовали легкости атаки.
Украденные данные
Украдено 410 ГБ данных, включая метаданные и сообщения до 4 мая 2025 года, опубликованные Distributed Denial of Secrets. Метаданные угрожают контрразведке, сообщения касались поездок (Ватикан, Иордания).
TeleMessage остановило работу 5 мая 2025 года. CISA добавила уязвимость (CVE-2025-47729) в каталог эксплуатируемых уязвимостей, рекомендовав прекратить использование до принятия мер от Smarsh.
оригинал
TeleMessage — приложение от Smarsh (Портленд, Орегон), аналог Signal, для архивирования сообщений. Взлом затронул 60+ госслужащих из FEMA, таможни, Белого дома, Секретной службы и дипломатов. Smarsh работала с Госдепартаментом, DHS и CDC (CDC отверг приложение в 2024 году).
4 мая 2025 года хакер получил доступ к серверу TeleMessage за 15–20 минут, эксплуатируя уязвимость в конфигурации архивного сервера (archive.telemessage.com), размещенного на Amazon AWS. Используя инструмент feroxbuster, он нашел публично доступный endpoint /heapdump, предоставивший дамп памяти Java (150 МБ). В дампе содержались имена пользователей, пароли (хешированные устаревшим MD5), журналы чатов и ключи шифрования. Хакер также обнаружил, что пароли хешировались на стороне клиента (MD5), что снижало их защиту. Используя найденные учетные данные, он вошел в админ-панель secure.telemessage.com, получив доступ к данным, включая список из 747 сотрудников таможенной службы США (CBP). Устаревшая технология JSP и слабая конфигурация Spring Boot способствовали легкости атаки.
Украденные данные
Украдено 410 ГБ данных, включая метаданные и сообщения до 4 мая 2025 года, опубликованные Distributed Denial of Secrets. Метаданные угрожают контрразведке, сообщения касались поездок (Ватикан, Иордания).
TeleMessage остановило работу 5 мая 2025 года. CISA добавила уязвимость (CVE-2025-47729) в каталог эксплуатируемых уязвимостей, рекомендовав прекратить использование до принятия мер от Smarsh.
оригинал
👏1