Заблокированные сайты

Google и Apple удалили приложение «Навальный» из магазинов

Google и Apple удалили приложение «Навальный» из Google Play и App Store. Об этом сообщает команда Навального и IT-эксперт Михаил Климарев.

Первый замглавы международного комитета Совфеда, генерал ФСБ Владимир Джабаров 16 сентября пригрозил сотрудникам офисов Google и Apple уголовными делами. Представители Apple и Google были приглашены в четверг на заседание комиссии Совета Федерации по защите государственного суверенитета.

«Структуры и персоналии, связанные с Apple и Google, должны осознавать, что их заведомо противоправные действия и преступное бездействие после получения соответствующих предостережений со стороны официальных российских лиц неизбежно будут иметь для них правовые последствия, вплоть до уголовных», — сказал он.

Как уверил Джабаров, размещение компаниями Apple и Google на своих площадках приложения «Навальный» нарушает российское законодательство о выборах.

Накануне вечером команда Навального сообщила, что на сайт и телеграм-бот «Умного голосования» произошла DDoS-атака. Приложение «Навальный» тогда тоже работало с перебоями. 15 сентября пользователи из России сообщили о блокировке Google Docs — это произошло после публикации там списков «Умного голосования».

Сурс

Сколько это будет продолжаться.

Путин поддержал импортозамещение протокола TCP/IP.

Увы, не иа панорама.

Собрали мнения IT-экспертов, которые считают данную идею как минимум абсурдной, как максимум — нацеленной на очередное освоение денег без всякой надежды на результат. 

Президент РФ Владимир Путин согласился с необходимостью развивать собственные протоколы связи взамен зарубежных TCP/IP «для обеспечения технологического суверенитета и независимости страны». Глава государства провёл мероприятие в индустриальном парке «Руднево», где председатель совета директоров ГК ООО «Техноджет» Александр Селютин рассказал о проекте «Интернет из России».

Идея продвижения российского аналога TCP/IP рассматривалась в ходе обсуждения особенностей развития российских беспилотников.

Как указывает CNews, на сайте «Техноджета» говорится, что этот проект «базируется на собственном решении стеки протоколов информационного обмена РУСТП и включает в себя электронные сервисы в том числе для планирования и управления полетами, а также электронной торговой площадки, которая свяжет всех участников рынка и сделает услуги, предоставляемые с помощью БЛА прозрачнее и доступнее». На том же сайте проект именуется и как «Суверенный российский интернет». В описании к нему сказано, что это «проект космического интернета на базе низкоорбитальной группировки».

По словам Селютина, в нынешнем своем виде отечественный ответ TCP/IP работает лучше зарубежного аналога: "Если задержка или потеря пакетов в TCP происходит в размере одного процента, то TСP восстанавливает эти пакеты в течение 360 сек. Мы восстанавливаем – 5,7 сек."

Селютин подчеркнул, что фундаментом технологических решений в данном случае «являются собственные протоколы передачи данных, внедрение которых позволит отказаться от использования стека американских сетевых протоколов TCP/IP». После этого он попросил у Владимира Путина «поддержки в реализации данного стратегического для страны проекта».

В ответ на вопрос Президента России о необходимых мерах поддержки Селютин заговорил о деньгах: "Конкретно нужно финансирование, нужно решение об утверждении хотя бы на равных правах российского протокола связи с американскими сетевыми протоколами."

В ответ на предложения Селютина Владимир Путин сказал, что помощь обязательно будет. Президент России обратился к своему помощнику Максиму Орешкину: «Максим Станиславович, с коллегами поговорите, потом мне отдельно доложите, надо помочь». Глава государства добавил: «Если у вас продвинутые есть предложения, свои собственные, конечно, надо сделать все, чтобы их поддержать. <...> Это и технологический суверенитет, и лучшая конкурентоспособность, и независимость. <...> Потом вместе решим, какие конкретные шаги нужно предпринять. Обязательно будем помогать», – подытожил Владимир Путин.

Александр Селютин добавил, что поддержка государства может существенно сократить сроки разработки и развертывания нового протокола связи. «Опираясь на государственные возможности, эти технологические решения, мы в кратчайшие сроки готовы создать кооперацию, необходимую для скорейшего производства и развертывания как наземного, так и спутникового сегмента связи проекта «Интернет из России». По нашим расчетам, для развертывания понадобится от полутора до пяти лет», – сказал он.

В среде интернет-экспертов одобренная главой государства идея вызвала волну критики.

«Как кто-то уже пошутил: "Мошенники позвонили технически неграмотному пожилому человеку и развели его на деньги байками про «технологический суверенитет»", – что чистая правда, – считает исполнительный директор «Общества защиты интернета» Михаил Климарёв. – Современный интернет работает на оборудовании и ПО, которое базируется на открытых стандартах, которые называются «протоколы». Их огромное множество — буквально более 9000. И все эти документы писались весьма квалифицированными инженерами, которые решали опредленные задачи. А теперь представьте, что к вам приходит какой-то жулик, и начинает утверждать, что все сделано неправильно, что он единственный, кто знает, как правильно, и вообще — надо денег».

«Кажется, формулировка «отдельный глобус России» переходит из сферы анекдотов в сферу распила бюджета», – рассуждает блогер и IT-специалист Илья Вайцман: "В Сколково придумали (гусары, молчать!) заменить TCP/IP на собственный суверенный протокол. Ну, типа, чтобы жители чебурнета в принципе не имели доступа в Интернет. Путин, разумеется, идею поддержал (ничего в этом не поняв, как обычно).

Russian Internet Protocol, сокращенно RIP(!), должен обеспечить тотальный «суверенитет», отрезав связь даже с Китаем, там подобное #импортозамещение никому и в голову не пришло, потому что это идиотизм высшей, 999.99, пробы. Разработать можно, распилить очередные триллионы можно, но внедрить — нет. RIP, очередные миллиарды, RIP, работоспособность сетей"

«А вы верите, что TCP/IP можно заменить указом президента?» – иронизирует Telegram-канал «Ордерком».

Климарёв также апеллирует к финансовой, технической и реализационой части озвученного на совещании с Президентом проекта: "Проблема в том, что ни у какого Путина столько денег нет и быть не может — на RFC-стандартах, которые составляют стек TCP/IP, базируется продукция тысяч компаний (от Cisco до D-Link) по всему миру, где работают миллионы людей. И, разумеется, эти люди очень удивятся, что они, зарабатывая сотни миллиардов долларов, делают что-то там неправильно и тут же должны переключиться на «новые суверенные стандарты», которые предложил какой-то буквально городской сумасшедший.

Конечно же, никто даже читать не станет и в лучшем случае просто промолчат.

Но могут ли тогда российские корпорации взять новый «суверенный стандарт» и запилить полностью собственные суверенные устройства чтоб делать свой полностью суверенный, несовместимый с мировым, интернет? Ответ, как мне кажется, на поверхности — <замучаются>"

«Хоть один «аналоговнет» смогли родить? С чего у них вообще такая уверенность, что такую концептуальную вещь как семейство транспортных протоколов смогут родить? – задаётся теми же вопросами системный инженер одного из провайдеров. – Как в статье написано — создан стек TCP/IP в 72 году, с тех пор он эволюционировал, модернизировался. К слову, с середины 90-х годов велась разработка ipv6, как более продвинутой и более емкой замены ipv4 (вторая часть в названии стека). За эти годы появилось просто огромное количество вендоров софта и железа, которые умеют с этим работать. Где они будут брать софт и железо, которое будет работать с «отечественным TCP/IP»? Хуавэй? А как быть с оборудованием, которое уже используется операторами, магистралами, домашними пользователями? А телефоны, планшеты, пылесосы? Выбрасывать всё? Звучит как бред сумасшедшего, это реально даже обсуждать, по-моему, несерьезно».

«Во-первых, по речам того товарища видно, что он не совсем понимает как работает технология в целом и оперирует в лучшем случае в контексте беспилотников, – отмечает один из технических специалистов «Роскомсвободы». – И, возможно, изначально и имел в виду в контексте беспилотников, но ляпнул не подумав. Как следствие получился бред типа того, что TCP 10 минут восстанавливает потерянные пакеты. А по поводу забавности самой инициативы по себе — довольно показательна история с Китаем и «New IP», который хотел внедрить Huawei. Начали они засылать черновики ещё в 2018. К 2020 концепция превратилась во что-то, что можно обсуждать. Прошло ещё три года, но дальше обсуждение кривых мест концепта дело так и не ушло. И это — Китай. Страна с уже довольно большим опытом в разработке технологий. В которой за коррупцию смертная казнь».

Как итог, наш эксперт заключает: "С высокой долей вероятности, в России подобная инициатива умрёт из-за коррупции ещё на этапе согласований первых черновиков"

«В этой работе нет особого практического смысла, кроме символического «назло поперек», – считает ещё один наш технический специалист. – Протоколы передачи данных — это не «Гугл», который можно заблокировать или который может ввести санкции, это в первую очередь набор стандартов и договоренностей и уже готового кода и оборудования, которые эти договоренности используют. Договоренности эти чем-то похожи на «Давайте измерять длину предметов в метрах и сантиметрах, сантиметр это столько-то, а в метре сто сантиметров, а для измерения мы будем использовать линейки». И вокруг этой системы уже сделано столько работы за десятки лет - и линейки выпущены и продаются, и люди обучены и знают, что метр пятьдесят это мало, а два метра это много, и приложение «Рулетка» в смартфонах уже умеет в сантиметрах измерять».

Эксперт подытоживает: "А ещё чтобы сделать то, что предлагает Путин, нужна титаническая работа, которая займет много лет и будет стоить огромных денег. Нужно разработать эти стандарты, договориться о них, написать много кода, выбросить часть старого оборудования, произвести новое и достаточно долго еще отлаживать всю эту систему, потому что сразу не получится. И все это просто ради того, чтобы отличаться и быть несовместимым?"

Источник

Или доломают окончательно тырнет, ибо "не нужон ваш тырнет"

Толпа школьников собралась у АП, никого из них не арестовывают, оттепель? А нет, все в порядке, это Украина.

Пруф: http://polit.ru/news/2015/08/04/kto/

Самый беззащитный — уже не Сапсан. Всё оказалось куда хуже…

Больше года назад хабравчанин keklick1337 опубликовал свой единственный пост «Самый беззащитный — это Сапсан» в котором рассказывает как он без серьёзных ухищрений получил доступ ко внутренней сети РЖД через WiFi Сапсана.

В ОАО «РЖД» прокомментировали результаты этого расследования. «Есть результаты проверки. Почему удалось взломать? Наверное, потому, что злоумышленник. Наверное, из-за этого… Ну, он из „фана“. Юный натуралист. Там уязвимостей, которые бы влияли на утечку каких-то критических данных, нет. Мультимедийный портал „Сапсанов“ функционирует как положено и не нуждается в доработке», — заявил Евгений Чаркин.
То есть вместо того, чтобы выразить благодарность за обнаруженную уязвимость, автора обозвали «злоумышленником» и «Юным натуралистом».

К сожалению, но специалисты РЖД, начиная с директора по информационным технологиям, отнеслись к статье очень пренебрежительно, проигнорировав важное указание автора:
Также оттуда в сеть РЖД есть впн. Если захотите — найдёте её там сами.
И вот, год спустя я попал в сеть РЖД даже не садясь в Сапсан.

Видимо, только этот котэ добросовестно охраняет вокзал.

Как именно я попал в сеть РЖД с пруфами, чего не сделал директор по информационным технологиям ОАО «РЖД» Чаркин Евгений Игоревич и возможные последствия — под катом.

Всё началось с гипотезы

В интернете очень много бесплатных прокси-серверов. Но кто в здравом уме будет открывать всем желающим выход в интернет через свой роутер? Вариантов по большому счету два: это либо взломанные устройства, либо владелец забыл отключить эту функцию.

Таким образом меня посетила идея проверить гипотезу: «Есть ли жизнь за прокси»?

Я запустил nmap по диапазону адресов по порту 8080. Далее из полученного результата прошёлся прокси-чеккером в поисках публичного прокси без авторизации и из положительных результатов выбрал самый близкий ко мне по пингу.

Запустил сканер через него по адресам 172.16.0.0/12 порт 8291 (mikrotik winbox). И! Я его нашёл! Без пароля!

То есть за роутером с прокси есть ещё один — Mikrotik без пароля. Гипотеза подтверждена: за прокси могут быть целые незащищённые сети.

Только на тот момент я недооценивал масштаб «незащищённости», который я случайно нашёл.

В поисках Немо владельца системы

Так как я придерживаюсь принципов Grey hat (Обо мне mysterious Russian-speaking grey-hat hacker Alexey и статья на Хабре) и «съел собаку» на безопасности Mikrotik, то я принялся искать владельца системы, чтобы связаться с ним.

Кстати, заходите в Телеграм чат «RouterOS Security» t.me/router_os

Недолго думая я поднял исходящий VPN до себя. Всё же комфортней через нормальный туннель дальше изучать сеть и искать признаки владельца системы. HTTP connect — ещё тот геморрой…

За интерфейсами ether1 и bridge ничего интересного не обнаружил. Найденные камеры были абсолютно не информативными.

А вот сканирование vpn, отмеченные красным на скрине выше, выдало более 20 000 устройств…
Причём более 1000 штук — микротики. Огромное количество устройств с заводскими паролями.

Вот некоторые из найденных сервисов с паролями по умолчанию:

1. Камеры наружного наблюдения — подавляющее большинство.

Ещё камеры

Даже офисы внутри

Камер, по скромным ощущениям, не менее 10 000 штук. Производители разные: beward, axis, panasonic и т.д.

2. Ip-телефоны и FreePBX сервера также большое количество.

3. IPMI серверов:

Asus

Dell (их подавляющее большинство)

Supermicro

Из серверов виртуализации встречаются ESXi, Proxmox и oVirt

Много узлов кластера Proxmox (по поднятым сервисам и трафиком между ними.)

4. Преобразователи ethernet во 'что угодно' (Moxa UniPing etc)

5. Системы управления ИБП

6. Внутренние сервисы

Что-то похожее на мониторинг состояния систем обеспечения здания.

Система управления кондиционированием и вентиляцией

Различные системы управления табло на перронах :-)

Эта самая красивая

Некий терминал, но внутри модифицированный дебиан.

Таких нашёл около 20

Кстати, аптайм у него почти год:

6. Сетевое оборудование

Разумеется, много различных роутеров. Как уже сказано выше, мне больше интересны Микротики. Подавляющее большинство с последней прошивкой и пароли не пустые. Но есть без паролей и с устаревшими прошивками.

Туннели наружу подымаются легко. То есть фильтрации исходящих коннектов практически нет.
Более того огромное количество микротиков со включенным прокси, аналогично тому, при помощи которого я и попал в эту сеть… Кстати, туннели через них тоже замечательно подымаются.

Не полный кусок лога по прокси.

Такое ощущение, что интегратор, который строил сеть, специально оставил этот доступ.

И все же кто же хозяин?

Думаю, что уже все и так догадались.

Это я пробежался по верхушкам в рандомном порядке. Потратил я на это чуть больше 20 минут, чем автор статьи про Сапсан.

Это здец. Сеть просто в решето.

Причём это устройства по всей РФ.

Например, вот это вокзал Уфы

Антропово Костромской области

Развёрнута профессиональная система видеонаблюдения.

Нашёл презентацию по вокзалам.

macroscop

Находил Кемерово, Новосибирск, Омск и т.д. По внешнему виду вокзалы сложно определить. К тому же я поездом уже лет 5 не ездил.

Как же так получилось?

Я всегда считал, что уязвимости в корпоративных сетях появляются из-за ошибок или специальных действий безграмотных сотрудников. Первое что пришло мне в голову — это некий сотрудник по разрешению СБ поднял у себя из дома VPN до рабочей сети на микротике в своей домашней сети. Но в данном случае эта моя гипотеза разбилась как только я увидел обратный резолв адреса через который я попал на этот Микротик.

То есть это один из шлюзов в мир из сети РЖД. Ну и в сеть РЖД тоже…

Получилась вот такая картина:

Вероятно, что это один из офисов РЖД, который прилинкован к основой сети через l2tp. Я попадаю в сеть где межсетевые экраны отсутствуют как класс. Запускаю интенсивное сканирование хостов — у меня соединение не рвётся. Значит о системах обнаружения вторжения (IDS/IPS) РЖД тоже ничего не слышал. Микротик может замечательно интегрироваться, например

Обнаружил кучу устройств без защиты. Это говорит, что службы сетевой безопасности в РЖД так же нет.Много устройств с дефолтными паролями. То есть политики паролей тоже нет.С Микротиков внутри сети я легко поднял туннели. То есть исходящий трафик не контролируется. Я вижу все интерфейсы управления в одной сети с клиентскими сервисами. Админы РЖД ничего не знают о Management VLAN
«Российские железные дороги» провели проверку после взлома мультимедийной системы поезда «Сапсан» одним из пассажиров, критических уязвимостей не обнаружено.
Так дайте ответ, Евгений Игоревич, какой «Юный натуралист» проводил расследование и не заметил гнездо со слонами?

У меня лично есть всего три варианта ответа на этот вопрос:

1. У Вас исходно плохая команда.

Проверку проводил тот же отдел, который и проектировал/обслуживает систему. Отрицая проблему, они или сохраняют свою работу, или преследуют иные цели.

2. Вы доверились не тому специалисту. Аудит проводил некомпетентный сотрудник.

3. Вы и так знаете о проблеме, но по каким-то неведомым причинам не можете ее публично признать и решить.

Стоимость уязвимости

«Что есть защищенная система? Защищенная система — это та система, взлом которой стоит дороже, чем ценность информации, которая там есть. Вот и все», — подытожил директор по информационным технологиям ОАО «РЖД».
Предлагаю применить Вашу систему оценки в теории на примере системы видеонаблюдения РЖД.

Чтобы вывести камеры из строя так, чтобы их могли восстановить только специалисты вендора, достаточно залить прошивку с заблокированным сетевым интерфейсом.

Рандомно выбранная из списка установленных модель стоит ~13к рублей.

А закупки по 44-ФЗ отличаются, как непредсказуемой конечной стоимостью, так и временем проведения самой процедуры и получения продукта. Я потратил 8 часов для сбора информации для этой статьи. Найдено ~10к камер. Производителей камер, которые установлены, немного — максимум штук 10.

Гипотетическому злоумышленнику потребуется:

Модифицировать прошивки, заблокировав сетевой порт на 10 прошивках. Думаю, что на это у специалиста уйдёт три рабочих дня;Написать сканер, который будет анализировать устройство и заливать соответствующую прошивку. Заложим ещё 2 дня;Запустить этот сканер-прошивальщик, чтобы не смогли найти источник и заблокировать — часа два.
Таким образом за неделю работы специалиста по взлому РЖД потеряет минимум 130 миллионов рублей. Отсюда стоимость одного часа работы злоумышленника будет равна ~2,5 млн. рублей.

Двигаемся дальше.

Быстро заменить камеры на работающие РЖД не сможет. В резерве столько нет. Купить новые из-за обязанности объявления торгов так же не получится. Таким образом вся железная дорога будет без видеонаблюдения не меньше месяца.

А вот это уже опасность террористической угрозы. Чтобы её хоть как-то снизить потребуется на 10 тысячах объектов существенно усилить охрану. То есть даже на маленькую ж.д. станцию потребуется дополнительно 6 человек охраны…

Кажется счёт уже уходит за миллиарды…

Что нужно изменить, чтобы снизить вероятность возможных последствий?
Далее чисто мой взгляд на решение данной ситуации. Он ничего общего не имеет с мировыми best practices.

Так же, сразу оговорюсь, что проблема касается только обнаруженной мною сети видеонаблюдения. В других сегментах сети РЖД, очень надеюсь, всё намного лучше.

1. Нанять сетевых аудиторов, которые помогут найти и закрыть самые «зияющие» дыры.

2. Нанять крутых системных архитекторов, которые имеют богатый опыт построения больших сетей. И не факт, что это будут российские специалисты. Перед ними поставить следующие задачи:

2.1. доработать текущую инфраструктуру до безопасного состояния за минимальные средства (зачем вкладывать много денег в проект, который скоро разберут)

2.2. разработать новую полноценную инфраструктуру, отвечающую всем требованиям безопасности и план поэтапной миграции.

3. Нанять подрядчика, который будет реализовывать в жизни данные проекты и передавать на эксплуатацию сетевикам РЖД.

4. После сдачи проектов провести аудит безопасности инфраструктуры.

5. По окончанию пентестов своими силами объявить Bug Bounty

Чтобы мотивировать аудиторов и внутренних специалистов работать качественно, надо объявить лимит на количество и серьёзность уязвимостей, которые могу найти участники программы Bug Bounty. Если внешние специалисты найдут багов меньше лимита, то свои аудиторы получают премии. Если багов будет больше лимита, то штрафовать.

В дальнейшем службу внутреннего аудита информационной безопасности оставить на постоянку и премии формировать уже на основании обнаруженных багов и их устранении.

Разумеется, что схема имеет огромное количество подводных камней, которые за время написания статьи предусмотреть не возможно.

Заключение
Я не единственный кто нашёл данные уязвимости. Очень много признаков, что в этой сети кто-то «живёт».

Например, вот эти линки я уже встречал не раз на роутерах, никак не относящихся к РЖД.

Все информационные системы уязвимы априори. Когда их вскроют — зависит от интереса злоумышленников к ним, беспечности создателя и времени, которое они на это потратят.
Основой основ безопасности является ограничение доступа к системам при несанкционированном проникновении в одно устройство.

В случае с Сапасаном, чтобы через полученный VPN доступ можно было увидеть только один сервис — с которым взаимодействует пользователь системы, а не всю сеть РЖД…

Я старался достаточно жирно намекнуть на узкие места не раскрывая деталей и надеюсь, что специалисты РЖД их всё же увидят.

Связаться со мной можно через телеграм t.me/monoceros
Обсудить данную статью приглашаю в профильный чат по Микротикам в Телеграм «RouterOS Security»: t.me/router_os

Кстати, Евгений Игоревич, с повышением!

Источник

"...он продолжает руководить партией"

Только массовые расстрелы спасут родину?

Для начала надо пояснить, что вообще произошло. Произошел массовый расстрел саловаты, который случился в политоте в посте-детекторе саловаты. Также были расстреляны сочувствующие саловате. В 14-м году били ватников, теперь (увы) саловатников. Потому что слепая вера и фанатизм отвратительны что в случае ваты, что в случае саловаты. 

На данный момент Вождь рассматривает апелляции. Те, кто был задет случайно (а на войне такое бывают), имеют шанс на разбан. 

Товарищи, которые не согласны с фразой "Крым de facto принадлежит России", разбану не подлежат.

Товарищи, все аргументы которых сводятся к "модератор истеричка, у него бомбит", разбану не подлежат.

Почему саловата?

Вата - это слепая вера в политику поддерживаемого государства. Когда произошло столкновение в Керченском проливе, началась огромная волна новостей, но все они шли в первые часы со стороны Украины. Для саловатников все вмиг стало ясно: виновата Рашка! Мнение второй стороны им не нужно (Рашка всегда лжет), дополнительные данные им тоже были не нужны. Рашка виновата, и все тут.

На призыв угомониться и не делать необоснованных выводов без факт-чека, без изучения обзоров людей, которые в этом действительно понимают, саловата ответила диким киданием говна в стиле "модератор ссучился!", "рашка все равно во всем всегда виновата, это она на нас напала!". Еще раз: их просили не кидаться голословными обвинениями, повременить и разобраться.

Непонятно, почему простая максима "Не делать громких выводов, не разобравшись в проблеме как следует" у них не сработала. Ситуация действительно сложная, правовое поле очень усложнилось с захватом Крыма. Спасибо Raizel Knight за первый обзор, рассматривающий проблему со всех сторон, а не только повторяющий мнение украинской пропаганды.

Украинская пропаганда как феномен существует, и она ничем не лучше русской. Увы, нам на реакторе не нужны люди без способностей к анализу и фактчеку. Их фонтаны эмоций и праведного гнева тоже не нужны. Из суждения о том, о чем они вообще не понимают и в чем не желают разбираться, для реактора не являются ценностью.

Саловата приглашается в свой специальный раздел, в политоте ей не место. Также, как и вата в свое время, саловата не должна захватывать центральные зоны сайта.

Поэтому рука Вождя не дрогнула в 14-м и не дрогнет теперь. Разумеется, вы можете быть не согласны и вольны покинуть проект в любое время. Лучше пустой реактор, чем захваченный саловатой, ватой и другими фанатиками.

Кадыровцы похитили, подвергли пыткам и, возможно, убили администратора телеграм-канала "Адат". В возбуждении уголовного дела отказано