Гос дума

Киселёв пообещал ответить на обвинения в лжи от французского телеканала и назвал ошибки «заусенцами»

Самый беззащитный — уже не Сапсан. Всё оказалось куда хуже…

Больше года назад хабравчанин keklick1337 опубликовал свой единственный пост «Самый беззащитный — это Сапсан» в котором рассказывает как он без серьёзных ухищрений получил доступ ко внутренней сети РЖД через WiFi Сапсана.

В ОАО «РЖД» прокомментировали результаты этого расследования. «Есть результаты проверки. Почему удалось взломать? Наверное, потому, что злоумышленник. Наверное, из-за этого… Ну, он из „фана“. Юный натуралист. Там уязвимостей, которые бы влияли на утечку каких-то критических данных, нет. Мультимедийный портал „Сапсанов“ функционирует как положено и не нуждается в доработке», — заявил Евгений Чаркин.
То есть вместо того, чтобы выразить благодарность за обнаруженную уязвимость, автора обозвали «злоумышленником» и «Юным натуралистом».

К сожалению, но специалисты РЖД, начиная с директора по информационным технологиям, отнеслись к статье очень пренебрежительно, проигнорировав важное указание автора:
Также оттуда в сеть РЖД есть впн. Если захотите — найдёте её там сами.
И вот, год спустя я попал в сеть РЖД даже не садясь в Сапсан.

Видимо, только этот котэ добросовестно охраняет вокзал.

Как именно я попал в сеть РЖД с пруфами, чего не сделал директор по информационным технологиям ОАО «РЖД» Чаркин Евгений Игоревич и возможные последствия — под катом.

Всё началось с гипотезы

В интернете очень много бесплатных прокси-серверов. Но кто в здравом уме будет открывать всем желающим выход в интернет через свой роутер? Вариантов по большому счету два: это либо взломанные устройства, либо владелец забыл отключить эту функцию.

Таким образом меня посетила идея проверить гипотезу: «Есть ли жизнь за прокси»?

Я запустил nmap по диапазону адресов по порту 8080. Далее из полученного результата прошёлся прокси-чеккером в поисках публичного прокси без авторизации и из положительных результатов выбрал самый близкий ко мне по пингу.

Запустил сканер через него по адресам 172.16.0.0/12 порт 8291 (mikrotik winbox). И! Я его нашёл! Без пароля!

То есть за роутером с прокси есть ещё один — Mikrotik без пароля. Гипотеза подтверждена: за прокси могут быть целые незащищённые сети.

Только на тот момент я недооценивал масштаб «незащищённости», который я случайно нашёл.

В поисках Немо владельца системы

Так как я придерживаюсь принципов Grey hat (Обо мне mysterious Russian-speaking grey-hat hacker Alexey и статья на Хабре) и «съел собаку» на безопасности Mikrotik, то я принялся искать владельца системы, чтобы связаться с ним.

Кстати, заходите в Телеграм чат «RouterOS Security» t.me/router_os

Недолго думая я поднял исходящий VPN до себя. Всё же комфортней через нормальный туннель дальше изучать сеть и искать признаки владельца системы. HTTP connect — ещё тот геморрой…

За интерфейсами ether1 и bridge ничего интересного не обнаружил. Найденные камеры были абсолютно не информативными.

А вот сканирование vpn, отмеченные красным на скрине выше, выдало более 20 000 устройств…
Причём более 1000 штук — микротики. Огромное количество устройств с заводскими паролями.

Вот некоторые из найденных сервисов с паролями по умолчанию:

1. Камеры наружного наблюдения — подавляющее большинство.

Ещё камеры

Даже офисы внутри

Камер, по скромным ощущениям, не менее 10 000 штук. Производители разные: beward, axis, panasonic и т.д.

2. Ip-телефоны и FreePBX сервера также большое количество.

3. IPMI серверов:

Asus

Dell (их подавляющее большинство)

Supermicro

Из серверов виртуализации встречаются ESXi, Proxmox и oVirt

Много узлов кластера Proxmox (по поднятым сервисам и трафиком между ними.)

4. Преобразователи ethernet во 'что угодно' (Moxa UniPing etc)

5. Системы управления ИБП

6. Внутренние сервисы

Что-то похожее на мониторинг состояния систем обеспечения здания.

Система управления кондиционированием и вентиляцией

Различные системы управления табло на перронах :-)

Эта самая красивая

Некий терминал, но внутри модифицированный дебиан.

Таких нашёл около 20

Кстати, аптайм у него почти год:

6. Сетевое оборудование

Разумеется, много различных роутеров. Как уже сказано выше, мне больше интересны Микротики. Подавляющее большинство с последней прошивкой и пароли не пустые. Но есть без паролей и с устаревшими прошивками.

Туннели наружу подымаются легко. То есть фильтрации исходящих коннектов практически нет.
Более того огромное количество микротиков со включенным прокси, аналогично тому, при помощи которого я и попал в эту сеть… Кстати, туннели через них тоже замечательно подымаются.

Не полный кусок лога по прокси.

Такое ощущение, что интегратор, который строил сеть, специально оставил этот доступ.

И все же кто же хозяин?

Думаю, что уже все и так догадались.

Это я пробежался по верхушкам в рандомном порядке. Потратил я на это чуть больше 20 минут, чем автор статьи про Сапсан.

Это здец. Сеть просто в решето.

Причём это устройства по всей РФ.

Например, вот это вокзал Уфы

Антропово Костромской области

Развёрнута профессиональная система видеонаблюдения.

Нашёл презентацию по вокзалам.

macroscop

Находил Кемерово, Новосибирск, Омск и т.д. По внешнему виду вокзалы сложно определить. К тому же я поездом уже лет 5 не ездил.

Как же так получилось?

Я всегда считал, что уязвимости в корпоративных сетях появляются из-за ошибок или специальных действий безграмотных сотрудников. Первое что пришло мне в голову — это некий сотрудник по разрешению СБ поднял у себя из дома VPN до рабочей сети на микротике в своей домашней сети. Но в данном случае эта моя гипотеза разбилась как только я увидел обратный резолв адреса через который я попал на этот Микротик.

То есть это один из шлюзов в мир из сети РЖД. Ну и в сеть РЖД тоже…

Получилась вот такая картина:

Вероятно, что это один из офисов РЖД, который прилинкован к основой сети через l2tp. Я попадаю в сеть где межсетевые экраны отсутствуют как класс. Запускаю интенсивное сканирование хостов — у меня соединение не рвётся. Значит о системах обнаружения вторжения (IDS/IPS) РЖД тоже ничего не слышал. Микротик может замечательно интегрироваться, например

Обнаружил кучу устройств без защиты. Это говорит, что службы сетевой безопасности в РЖД так же нет.Много устройств с дефолтными паролями. То есть политики паролей тоже нет.С Микротиков внутри сети я легко поднял туннели. То есть исходящий трафик не контролируется. Я вижу все интерфейсы управления в одной сети с клиентскими сервисами. Админы РЖД ничего не знают о Management VLAN
«Российские железные дороги» провели проверку после взлома мультимедийной системы поезда «Сапсан» одним из пассажиров, критических уязвимостей не обнаружено.
Так дайте ответ, Евгений Игоревич, какой «Юный натуралист» проводил расследование и не заметил гнездо со слонами?

У меня лично есть всего три варианта ответа на этот вопрос:

1. У Вас исходно плохая команда.

Проверку проводил тот же отдел, который и проектировал/обслуживает систему. Отрицая проблему, они или сохраняют свою работу, или преследуют иные цели.

2. Вы доверились не тому специалисту. Аудит проводил некомпетентный сотрудник.

3. Вы и так знаете о проблеме, но по каким-то неведомым причинам не можете ее публично признать и решить.

Стоимость уязвимости

«Что есть защищенная система? Защищенная система — это та система, взлом которой стоит дороже, чем ценность информации, которая там есть. Вот и все», — подытожил директор по информационным технологиям ОАО «РЖД».
Предлагаю применить Вашу систему оценки в теории на примере системы видеонаблюдения РЖД.

Чтобы вывести камеры из строя так, чтобы их могли восстановить только специалисты вендора, достаточно залить прошивку с заблокированным сетевым интерфейсом.

Рандомно выбранная из списка установленных модель стоит ~13к рублей.

А закупки по 44-ФЗ отличаются, как непредсказуемой конечной стоимостью, так и временем проведения самой процедуры и получения продукта. Я потратил 8 часов для сбора информации для этой статьи. Найдено ~10к камер. Производителей камер, которые установлены, немного — максимум штук 10.

Гипотетическому злоумышленнику потребуется:

Модифицировать прошивки, заблокировав сетевой порт на 10 прошивках. Думаю, что на это у специалиста уйдёт три рабочих дня;Написать сканер, который будет анализировать устройство и заливать соответствующую прошивку. Заложим ещё 2 дня;Запустить этот сканер-прошивальщик, чтобы не смогли найти источник и заблокировать — часа два.
Таким образом за неделю работы специалиста по взлому РЖД потеряет минимум 130 миллионов рублей. Отсюда стоимость одного часа работы злоумышленника будет равна ~2,5 млн. рублей.

Двигаемся дальше.

Быстро заменить камеры на работающие РЖД не сможет. В резерве столько нет. Купить новые из-за обязанности объявления торгов так же не получится. Таким образом вся железная дорога будет без видеонаблюдения не меньше месяца.

А вот это уже опасность террористической угрозы. Чтобы её хоть как-то снизить потребуется на 10 тысячах объектов существенно усилить охрану. То есть даже на маленькую ж.д. станцию потребуется дополнительно 6 человек охраны…

Кажется счёт уже уходит за миллиарды…

Что нужно изменить, чтобы снизить вероятность возможных последствий?
Далее чисто мой взгляд на решение данной ситуации. Он ничего общего не имеет с мировыми best practices.

Так же, сразу оговорюсь, что проблема касается только обнаруженной мною сети видеонаблюдения. В других сегментах сети РЖД, очень надеюсь, всё намного лучше.

1. Нанять сетевых аудиторов, которые помогут найти и закрыть самые «зияющие» дыры.

2. Нанять крутых системных архитекторов, которые имеют богатый опыт построения больших сетей. И не факт, что это будут российские специалисты. Перед ними поставить следующие задачи:

2.1. доработать текущую инфраструктуру до безопасного состояния за минимальные средства (зачем вкладывать много денег в проект, который скоро разберут)

2.2. разработать новую полноценную инфраструктуру, отвечающую всем требованиям безопасности и план поэтапной миграции.

3. Нанять подрядчика, который будет реализовывать в жизни данные проекты и передавать на эксплуатацию сетевикам РЖД.

4. После сдачи проектов провести аудит безопасности инфраструктуры.

5. По окончанию пентестов своими силами объявить Bug Bounty

Чтобы мотивировать аудиторов и внутренних специалистов работать качественно, надо объявить лимит на количество и серьёзность уязвимостей, которые могу найти участники программы Bug Bounty. Если внешние специалисты найдут багов меньше лимита, то свои аудиторы получают премии. Если багов будет больше лимита, то штрафовать.

В дальнейшем службу внутреннего аудита информационной безопасности оставить на постоянку и премии формировать уже на основании обнаруженных багов и их устранении.

Разумеется, что схема имеет огромное количество подводных камней, которые за время написания статьи предусмотреть не возможно.

Заключение
Я не единственный кто нашёл данные уязвимости. Очень много признаков, что в этой сети кто-то «живёт».

Например, вот эти линки я уже встречал не раз на роутерах, никак не относящихся к РЖД.

Все информационные системы уязвимы априори. Когда их вскроют — зависит от интереса злоумышленников к ним, беспечности создателя и времени, которое они на это потратят.
Основой основ безопасности является ограничение доступа к системам при несанкционированном проникновении в одно устройство.

В случае с Сапасаном, чтобы через полученный VPN доступ можно было увидеть только один сервис — с которым взаимодействует пользователь системы, а не всю сеть РЖД…

Я старался достаточно жирно намекнуть на узкие места не раскрывая деталей и надеюсь, что специалисты РЖД их всё же увидят.

Связаться со мной можно через телеграм t.me/monoceros
Обсудить данную статью приглашаю в профильный чат по Микротикам в Телеграм «RouterOS Security»: t.me/router_os

Кстати, Евгений Игоревич, с повышением!

Источник

это реально пугает

243 млрд рублей накопительных пенсий больше нет: деньги пошли на Крым

Сегодня увидел что уже началась агитация в социальных сетях для повышения явки.

Угрозы студентам, прощай бизнес, девальвация, новые акции, официальные комментарии Путина.

1. Лукашенко пригрозил студентам призывом в армию за участие в акциях протеста.

Студентам белорусских вузов могут аннулировать отсрочку от армии в случае участия в акциях протеста. Об этом заявил Александр Лукашенко, передает агентство «Белта». 

«Они и в политическом отношении начинают сегодня подзуживать студентов: 1 сентября приедете на занятия — выходите на улицы и так далее. <…> Вы же должны понимать, что ребятам мы дали отсрочку от армии на время учебы в вузе. Ну, не хотят учиться, тогда родину надо защищать», — сказал Лукашенко. 

По его словам, к нему уже обращался по этому вопросу министр обороны. 

«Я представляю, что после этого разразится. Меня начнут упрекать, что я запугиваю студентов в армию отправить. Да нет! Повторяю: кто хочет учиться, тот будет учиться, будет иметь эту отсрочку. Кто пойдет на улицу или учиться не захочет, меры примем по закону», — добавил Лукашенко. 

Он также заверил, что «с улицей мы справимся». «В митингах в поддержку мира, спокойствия, действующего президента выступило около 3 миллионов человек. <…> Наш электорат более спокойный: ветераны, пенсионеры, специалисты. Они знают свое дело, работают. Поэтому мы и будем иметь то количество людей — 80%, которые за нас проголосовали», — заявил Лукашенко.

С одной стороны может показаться, что есть неописуемый плюс от нахождения оппозиционно настроенной молодежи в рядах армии, однако бывшие служащие знают, что оружие в руки таким не дадут, если вообще не заставят граблями целый день орудовать, поскольку, увы, частей подобной направленности хватает. Поэтому при случае нужно формировать локальные группы единомышленников для помощи и поддержки, а также будущей активности в пользу протестов. Другое дело, что для тебя, земляк, это не должно быть чем-то шокирующим, если ты сейчас получаешь высшее образование: отчисление за политические убеждения практика распространенная как в России, так и у нас, поэтому об этом ты уже знал и повода прекращать борьбу нет. Почему нет? Ну, во-первых, после свержения режима тебя восстановят, а если будет желание, то ты можешь поехать в Польшу, которая уже сейчас упростить визовый режим для пострадавших в ходе протестов о чем заявил Премьер-Министр Польши Матеуш Моравецкий:

«В Польшу уже въехали несколько десятков граждан из Беларуси, которые не имели виз, не имели соответствующих документов», – сказал премьер, отвечая на вопрос о процедуре облегченного въезда, которую власти республики обещали ввести для белорусских граждан несколько дней назад».

Так с образованием это как связано? Я доучиться хочу!

Польша уже заявила, что будет принимать на бесплатную учёбу отчисленных студентов из Беларуси. В свою же очередь Лукашенко только угрожает молодым умам, а значит очень много беларусов уедут и не вернутся, пока у руля будет диктатор, который наплевал даже на базовые права и свободы граждан. И, как итог для экономики, это означает деградацию страны, вымирание целых регионов, депопуляцию и деиндустриализацию, как следствие неспособности сохранить человеческий капитал под внедрение новых технологий. К сожалению, мозг любого диктатора устроен так, что понять элементарных экономических принципов не способен, а подсказать ему это боятся, чтобы не ощутить на себе гнев самодура.

Однако, белорус, я тебя призываю не бежать при первой возможности. Даже упрощенный визовый режим с Литвой побудил покинуть страну только тех, кто реально имел политическое преследование, то есть несколько десятков, а вот основная масса протестующая белорусов не спешит уезжать. Мы это делаем не для того, чтобы свалить без карты поляка, а чтобы поднять свою Родину и помочь тем, кто не имеет возможности воспользоваться предоставленной возможностью и будет осужден на реальные сроки. Да и все ли ваши друзья и родственники смогут осесть в другой стране? Нет, оставаться. Настолько долго, насколько это вообще возможно.

Формат подконтрольного Кремлю транзита в Беларуси определен или почему тамбовский ОМОН не приедет бить беларусов

Вчера и сегодня произошло несколько событий, на первый взгляд никак не связанных, но сигнализирующих о том, что Кремль и Александр Лукашенко, возможно, согласовали вариант подконтрольной Кремлю трансформации в Беларуси.
Первым событием в этой цепочки является прилет борта ФСБ России, который привез некого высокопоставленного переговорщика от Совбеза РФ. Этот ВИП провел несколько часов в резиденции Лукашенко, а затем вернулся в Москву.
Судя по всему, некое соглашение было достигнуто, потому что утро началось с еще одного, второго по порядку события.
Вторым событием стало сегодня интервью Владимира Путина каналу Россия, где он говорит о Беларуси. Первый пункт – «в России сформирован резерв из сотрудников правоохранительных органов, который в случае необходимости может быть отправлен в Белоруссию». Это было сделано по просьбе Александра Лукашенко. Путин отметил, что пока необходимости в отправке российских силовиков в Белоруссию нет. «Российские силы не будут использоваться до тех пор, пока экстремистские элементы в Белоруссии не перейдут границ, не начнут разбой».
И вот последний месседж здесь – ключевой. Речь идет не просто об охране правительственных зданий от штурма условным тамбовским ОМОНом, но о разделении протестующих на «хороших» и «плохих», о тех, с кем диалог возможен, и «экстремистов», которые должны быть удалены из некого процесса под контролем Москвы.

Интервью Путина фактически раскрывает формат подконтрольного Кремлю транзита: «Лукашенко ведь и сказал, что он готов рассмотреть возможность проведения конституционной реформы, принятия новой Конституции, проведения новых выборов – и парламента, и президентских выборов на основе этой новой Конституции». Здесь же он говорит о том, что надо считаться народом, вышедшим на улицу, и с явным раздражением говорит о Координационном Совете, созданном для перехвата власти.

Сегодняшнее заявление Лукашенко, также, видимо, было частью соглашения. По сообщению БелТА, Александр Лукашенко заявил, что никто из власти не будет вести переговоры с улицей. При этом Лукашенко подчеркнул, что готов к диалогу, в том числе и по изменениям в Конституции. Он уточнил, что готов вести переговоры со студенческими и трудовыми коллективами, а также отметил, что все имеют право на свое слово.

«А не бесчинствующие молодчики, которые ходят по улицам и кричат, что они хотят диалога. Никакого диалога они не хотят», – сказал Лукашенко.
Он также призвал «вменяемых людей от оппозиции» высказывать свою позицию не на улице».

Таким образом, контур некоего транзита под контролем Кремля очерчен. Послан сигнал о вытеснении с игрового поля Тихановской, КС, любых «радикалов», которые могли бы собой олицетворять «улицу», то есть неподконтрольные ни Кремлю, ни Лукашенко силы. 
Кремль, похоже, вынудит Лукашенко произвести некие изменения в стране, но таким образом, что только закрепят влияние Кремля.
Мы уже писали о том, что Кремль решает несколько задач для того, чтобы взять ситуацию под полный контроль. В ближайшее время мы можем ожидать попытки вынудить к ведению переговоров кого-то из статусных общественных деятелей Беларуси, возможно, даже из тех, кто стал членом КС, чтобы внести раскол и повернуть процесс в нужное русло.

Кроме того, Кремль сейчас будет подавать и продавать свою деятельность сообществу западных демократий как миротворческую и способствующую мирному транзиту. Есть опасность, что часть западных политиков, желающих улучшения отношений с Россией и уже напуганных кровопролитием в Украине, которое сам же Кремль и устроил, будет готова принять этот сценарий для Беларуси.

Впрочем, в Кремле могут планировать свою игру, но на самом деле есть общественные процессы, которые невозможно остановить или взять под контроль, если они затронули практически все слои беларусского общества, а существующие закрытые социологические данные говорят именно об этом. Так что в итоге судьба Беларуси сейчас зависит не от Востока или Запада, а от активности и резистентности самих беларусов.

А теперь, что думает тот же... Кац (готовимся к крикам):

Заявление Путина о российских силовиках — часть стратегии по демотивации белорусов протестовать. Типа «вы даже думать забудьте что у вас что-то может получиться, если что — приедет российский ОМОН».

Как я уже говорил в видео, главная задача политтехнологов сейчас — сделать так, чтобы люди сдались сами. Это единственный шанс победить в ситуации, когда на улицах сотни тысяч человек, люди бастуют, отзывают депутатов, придумывают каждый день новые формы протеста.
В этой ситуации элиты шатаются, так как понимают что власть вот вот упадёт, всё для всех страшно и единственное что может помочь это демотивация протестующих, демонстрация им что шансов 0 и перед ними огромная стена.
Именно на это направлено заявление Путина. Ведь заявление сделать не сложно и последствий у этого нет, тем более такое осторожное. Не «мы поддерживаем Лукашенко» или даже «мы поддерживаем законную власть», а только в случае разбоев или как он раньше говорил, внешнего вмешательства.

Перейти от слов к делу в этой ситуации — почти невозможно. Симпатии абсолютного большинства россиян, включая даже сторонников власти, на стороне белорусов, насилие неприемлемо ни для кого, избиения в тюрьмах гестаповского формата возмущают всех кто об этом знает, а знают многие.
Приезд нашего ОМОНа помочь в этом деле будет крайне негативно воспринят в России, а в Беларуси я вообще не представляю себе какая будет реакция у людей, если иностранные, пусть и из дружественной страны, люди приедут бить их детей, родителей, знакомых на площадях. Я думаю что тогда выйдет вообще вся страна, приехавшие 1000 ОМОНовцев из какой-нибудь Рязани бить никого в такой ситуации не захотят.
Да и ничего подобного раньше Путин не делал — всё таки в Крым приехали, во-первых, не ОМОНовцы, во-вторых, там в тот момент почти никто не был активно против. По отношению к местным людям в Крыму действовали суперосторожно, фотографировались с котами, прозваны были «вежливые люди». Приехать из России и побить крымчанина? Или белоруса? Немыслимо совершенно ни в какой российской парадигме сейчас, ни пропагандистской, ни политической, ни в какой.

Так что это — информационная помощь, да и та достаточно ограниченная, без личной поддержки Лукашенко. Рассчита этот манёвр на то, что протестующие просто демотивируются и решат, что победить нельзя, сдадутся/

P.S.

Естественно событий за день было больше и я прошу вас дополнить меня. По ходу дня буду также кидать в комментарии новости.

Путин, помоги