Первой помощи

Бессмысленный и беспощадный русский BugBounty и новый смысл выражения «вычислю тебя по IP»

Сейчас я расскажу вам прекрасную историю, в которой выражение «я вычислю тебя по IP» приобретает реальный смысл, про бессмысленный и беспощадный российский bugbounty, отношение к персональным данным своих клиентов и бессмысленного регулятора, который вместо контроля за предыдущим, занимается ухудшением жизни жителей РФ (и которого в Прекрасной России Будущего не будет).

История началась около 11 лет назад, когда я изучал устройство сетей крупных операторов с помощью инструмента whois — смотрел распределение адресов для клиентов т.д.), и в одном российском сегменте интернета набрёл на такое, от чего потерял дар речи.
Аккуратно сдампил результаты whois по сетям этого оператора (десятки тысяч адресов), и это настолько меня шокировало, что я предпочёл об этом поскорее забыть.

Месяц назад мне написал один из читателей: смотри, что происходит. И тут я всё вспомнил, и охренел ещё сильнее — от того, что за ~11 лет ничего не поменялось.

Есть такой московский оператор — «Комкор», сейчас работает под торговой маркой Акадо-Телеком.
Среди их клиентов — физические лица, фирмы (много банков, объекты инфраструктуры города) в московской области — жители элитных посёлков (Рублёвка, Барвиха, Жуковка и т.д.).

Многие уже догадываются, о чём будет дальше, но всё равно не могут поверить.

Да, Комкор (Акадо) выкладывает персональные данные своих клиентов прямо в БД RIPE, которая доступна с помощью whois.
Там всё:
ФИО клиента (или название компании), адрес подключения, телефон клиента.

Вот их сети:
212.100.128.0/19
212.45.0.0/19
178.208.128.0/19

Вот элитного посёлка «Жуковка»:

Вот клиенты в Барвихе, включая местный Альфа-Банк:

А что это за Никита Сергеевич в посёлке Николина Гора пользуется услугами горе-провайдера, не известный ли кинорежиссёр? Ага, он:

«Какая-то невероятная дичь», — воскликните вы, и будете совершенно правы.
Давайте теперь посмотрим, как обстоит дело с защитой персданных клиентов-фирм и объектов инфраструктуры Москвы.
Вот IP-адреса объектов ДИТ Москвы — Департамента инфромационных технологий — к Акадо подключены сотни таких объектов. Это интернет для камер, телеметрии и других служебных устройств и пользователей:

Давайте поищем по ключевому слову «Bank».
Что же мы видим? Сотни банков подключены к Комкору, и любой человек на свете может узнать IP-адрес конкретного филиала, контакт технического специалиста, его ФИО и так далее:

Что должен сделать приличный человек, который осознал что все эти ~11 лет персданные клиентов большого оператора лежали в паблике?
Правильно, написать об этом в Комкор. Ну не знали же они, что делают всё это время, в самом деле — надо им об этом рассказать!
Что я и сделал:

Через 1 рабочий день я получил ответ от начальника ИБ — мол информацию получили и проверят (странная задержка в сутки при такой-то страшной дыре, но ладно):

Ещё через 5 дней я решил поинтересоваться результатами проверки информации:

на что мне ответили, что всё исправили:

Ого, думаю я, наконец-то в России стала повышаться ответственность компаний и рост культуры реакции на сообщения о дырах. Но решил всё же проверить: убрали персданные только из блока person и только из двух моих примеров в первом письме, но в блоке inetnum персданные остались даже в моих примерах, о чём я написал:

и получил очень странный ответ, что «принято решение» убрать персданные пользователей белых сетей (когда убрать?!), но поле inetnum они обязаны заполнять:

Да никто не спорит, что обязаны — но провайдеры записывают туда информацию о назначении сети, или, если это фирма — максимум, её название и юр. адрес (и даже это далеко не всегда, точнее — почти никогда), но никак не ФИО клиента-физлица.
На моё письмо от 24 октября с уточняющим вопросом никто не ответил:

И тут мои силы закончились — я перестал понимать, почему я должен уговаривать большую компанию с огромной ответственностью заставлять устранить такую страшную дыру. Я перестал понимать, почему эта переписка вообще должна была длиться больше двух писем, ведь каждому здравомыслящему человеку абсолютно очевидно, насколько это дико — персданные твоих клиентов в паблике. И я уже не говорю об ответственных лицах в компании, которые должны только и заниматься тем, что устранять эту страшную дыру.
Я очень не хотел писать этот пост — мне ответили, со мной общались вежливо, даже в музей пригласили :). Но это попытка сделать хорошую мину при плохой игре. Никаких действий по факту предпринято не было, сроки их тоже озвучены не были. Поэтому следующим шагом я должен перейти к информированию об этой опасной уязвимости общественность, чтобы они вывели себя из-под угрозы и перестали пользоваться оператором, который так относится к персданным своих клиентов.

А теперь — простым языком для людей, которые не поняли, что всё это значит.

Whois — это публичный инструмент, которым может воспользоваться каждый человек, чтобы получить информацию об IP-адресе или домене.
В нём содержится служебная информация о владельце домена или IP-адреса (в данном случае — провайдере).
По правилам организации RIPE, которая выдаёт IP-адреса, провайдер обязан содержать в актуальном виде информацию о назначении подсети IP-адресов (например, служебная или клиентская), контакты для связи (почта и телефон провайдера), и если провайдер выдаёт в аренду крупный блок адресов — информацию об арендаторе.
Но никакому провайдеру не приходит в голову указывать ФИО, адрес подключения и контакт физического лица, которому выдан 1 IP-адрес. Тоже самое — с юридическими лицами. В случае выдачи большого блока, максимум — указывается юрлицо, его контакт и юридический адрес. И то, так делают далеко не все провайдеры, и никаких санкций, конечно же, за это нет.
Не очень умные технические специалисты Комкора (ныне Акадо) в какой-то момент просто настроили автоматическую трансляцию информации из своей служебной базы клиентов (CRM) в базу данных RIPE, и таким образом персданные клиентов стали доступны для всех желающих.
Для оператора такая дыра — катастрофа дважды, потому что:
1) Собственно, песональные данные клиентов — в публичном доступе. Какое доверие может быть к такому оператору?
2) Твоих клиентов могут просто переманивать другие операторы, за полчаса просканировав все IP-адреса и собрав базу данных.
3) Можно узнать IP-адреса определённого клиента или устройства, очень несложно забить канал трафиком и выключить, таким образом, интернет у клиента.
В случае с ведомственными объектами, большое количество которых подключено к Акадо — это же прямая угроза безопасности города.

Этот пост прочитает много клиентов Акадо — вы, конечно, решайте сами, но я бы никогда не стал пользоваться услугами оператора, который выкладывает ваши персональные данные в паблик, и не убирает их в срочном порядке после приватного сообщения об этом.
И даже через 3 недели всё еще не убирает.
Такое поведение, конечно, абсолютно неприемлемо в 2018 году.

И в завершение, я хочу отдельно написать о Роскомнадзоре.
Это регулятор, под надзором которого оператор связи оказывается дважды — как оператор связи, и как оператор персональных данных.
Эти никчёмные и бесполезные дармоеды вместо ухудшения жизни всех жителей России и ежедневной блокировки до 10–15 IP-адресов нашего прокси для Telegram (вы представляете, там сидят специальные люди на зарплате, которые почти круглосуточно резолвят домен и добавляют актуальные IP-адреса в выгрузку — что может быть бессмысленнее), должны заниматься как раз пресечением таких вот историй.
Дорогие журналисты, которые будут звонить в Акадо — сделайте, пожалуйста, следующий звонок в Роскомнадзор и спросите, почему они не выполняют свою работу, а вместо этого занимаются ухудшением жизни граждан России.

Источник: https://medium.com/@itsorm/бессмысленный-и-беспощадный-русский-bigbounty-или-отношение-к-персональным-данным-из-двухтысячных-d9e0e8a7601e

В колледже в Керчи произошел взрыв: сообщается о 10 погибших

Помер последний президент СССР Михаил Горбачев

The Times сообщила об ухудшении здоровья Сергея Скрипаля.

Состояние бывшего офицера ГРУ Сергея Скрипаля, отравленного в Великобритании в марте 2018 года, ухудшилось. Об этом сообщает британское издание The Times.

Скрипаль находится под наблюдением врачей; ему оказывают медицинскую помощь на дому, заявил собеседник издания в разведке. Врачи опасаются, что Скрипаль не сможет полностью восстановиться после воздействия «Новичка», отмечает The Times. «Само вещество, вероятно, распадется и выйдет из организма, но эффект от него может быть долгосрочным», — заявил научный сотрудник Ноттингемского университета Уэйн Картер.

Экзистенциальный кризис...

...или как сломать мечты и надежды бюрократией.

Здравствуйте, многоуважаемые пидоры.

Меня зовут Элина, вы могли читать мои посты ранее. Я трансгендер; думаю, это верное обозначение для лиц, меняющих пол. Если проще, то тян, которой не существует, бывшая ранее куном. Ну или кто-то типа того, поскольку… ладно, об этом ниже, это сложный момент.

Прошу прощения за беспокойство; в ноябре я писала, как у меня всё хорошо, но ситуация с тех пор изменилась.

Работа.

Если вкратце, то уходить с работы было не лучшей идеей. Тогда я думала, что найду что-то получше (и варианты действительно были, но я и за своей тупости их немного просрала). Но время шло, а работы не было; с некоторых мест меня прямо отшивали: в одном месте мне сказали: “Что в паспорте у вас написано? Меняйте, потом приходите”. В другом месте я притворилась мальчиком (опыт ведь есть), но это не сильно помогло – организм очевидно слабее для тяжелой работы, а сиськи скрывать та еще морока. Через какое-то время высокое начальство высказало, что не одобряют «такое поведение» (какое - сказать не решились, просто кинули в ЧС), официальное трудоустройство снова обломилось. Я сменила множество мест, куда еще хоть как-то брали; я работала на складе, таская тяжести, к концу дня еле доползая до дома, была курьером, администратором, но всё кончалось одинаково. Новый закон очень сильно мешает (это тот, который ЛГБТ=экстремизм), некоторые почему-то думают, что я из-за того, что пол меняла, автоматически имею отношение к каким-то там организациям.

Документы.

В паспорте до сих пор значится «М». В связи с «законом», изменение пола в этой стране невозможно, поскольку не скрепно и т.д. Но! Поскольку необратимые изменения уже присутствуют, можно поменять данные в документах через суд - несколько моих знакомых поменяли-таки документы после того как им ЗАГС отказал, ссылаясь на закон. И вот самое главное… Для изменения этой одной буквы в суде требуется акт о рождении, который заперт на территории Украины.

Да, я не могу поменять документы из-за украинского происхождения, именно из-за этого, всё упирается в политику. В моём случае ни ЗАГС, ни суд, новый закон вообще никак не упоминали, всё упирается в тот факт, что акта о рождении нет - а он нужен, чтобы поменять свидетельство (акт хранится там, где человек родился); связи со страной нет и непонятно, чем мы сейчас с юристами занимаемся (ну, кроме того, что они тратят мои деньги, которых у меня нет вовсе – под это дело и предыдущие операции были взяты кредиты). Видимо, я ещё на что-то надеюсь…

Здоровье.

Я использую «Диана 35» и «Верашпирон 50» для поддержания гормонального фона. Закончила курс сопутствующих инъекций за 3 месяца. К сожалению, продолжить назначение будет сложно в связи с необходимостью завершающих операций, которые в свою очередь можно выполнить только при наличии паспорта с отметкой «Ж», как доказательство необратимых изменений. Врачи больше не берутся за такие дела официально, конечно, но закон не имеет обратной силы; то, что начато, нужно закончить, чтобы жить нормальной здоровой жизнью. И для тех, у кого в паспорте пол «женский», это всего лишь лечение, одобренное эндокринологом, т.е. никакого запрета быть не может. Я уже давно вовсе не лицо мужского пола, физически когда-то была, но никогда не чувствовала, что это «правильно».

Заключение.

Я долго собиралась с духом, чтобы это написать. Несколько дней. Недель. По строчке. Читала. Удаляла. Исправляла. Не хотела показаться назойливой. Пора признать, что я в отчаянии.

В общем, ситуация не очень. Деньги кончаются. Из работы редкие подработки там, где не боятся взять без документов (и бывали случаи, когда денег не доставалось вообще). Кредиты выплатить невозможно, еда урезана до относительно сытной пайки, расписанной по дням, документы не получить, операции зависли в подвешенном состоянии, а различные препараты, поддерживающие мою эндокринную систему, заканчиваются (как и рецепт, который никто не продлит без документов). Этот замкнутый круг обстоятельств, осложненный внешнеполитическими действиями и общим подавленным состоянием, привел к тому, что мне грозит смерть или от голода, или от чего-то худшего.

Я прошу, пожалуйста, я прошу о небольшой помощи. Мне страшно. Впереди неизвестность. Мне хватало страданий в жизни, когда я была заперта в своем теле. Я уже почти выбралась, и вот так всё подкосилось. У меня больше нет никого, к кому я могу обратиться. Мне нужен хотя бы совет. Или хотя бы немного денег на лекарства. Я покажу чеки, я отвечу на вопросы, я просто хочу жить.

И если тот, кто это читает, не хочет или не может помочь, я постараюсь справиться сама.

Всё еще живая,
Элина.

Номер моей карты 5536 9141 1524 1998.

Только если вы правда готовы помочь незнакомому человеку.

Я буду очень благодарна.

Кто и зачем решил создать в Москве «чеченский патруль»?

Новость о том, что Администрация московского городского округа Троицка наняла частное охранное предприятие (ЧОП) «Корвет», состоящее исключительно из чеченцев, для помощи полицейским, появилась в пятницу, еще 23 июля. Первым об этом рассказала в эфире местная телекомпании «ТРОТЕК».

Чуть позже выдержки из этого эфира привел в своем Telegram-канале военный корреспондент Александр Коц. Как написал Александр, новые стражи порядка выглядят весьма характерно: «все, как на подбор — безусые, дон, бородатые, дон». Они дежурят по ночам, препятствуют распитию алкогольных напитков и поддерживают правопорядок. При этом он привел слова начальника управления территориальной безопасности местной администрации Павла Шкуренко. По его словам, местные власти решили нанять ЧОП для «борьбы с антитеррористическими проявлениями».

Он привел рассказ одного из сотрудников Руслана Абдурахманова. По его словам, «обычно народ понимает, когда делаем замечание, сразу выбрасывает спиртное». «Но бывают и недовольные. Таких много в фабричном парке. Мы проводим беседы, объясняем, что это нарушение общественного порядка», - добавил он.

В беседе с «Мослентой» Александр Коц уточнил, что это, похоже, не первый особый патруль в Троицке. «Подписчики написали мне в комментариях, что несколько лет назад подобный эксперимент в Троицке пытались провести с казачьими объединениями, — рассказывает Коц. — Все закончилось драками и потасовками. У сотрудника полиции есть полномочия наводить порядок на улицах и во дворах. Он наделен такой властью, у него есть закон "О полиции". Все это понимают. А когда в твоем дворе, где ты, к примеру, пьешь пиво с друзьями, подходит неизвестный человек в черной форме, что хорошего из этого может получиться?» При этом собеседник «Мосленты» отдельно подчеркнул, что «национальность или вероисповедание сотрудников ЧОПа роли здесь не играет».

Создавать в ответ такие же отряды, состоящие из православных москвичей, в Троицке не собираются. В этом «Мосленту» заверил председатель Приходского совета Храма Живоначальной Троицы в Троицке отец Николай:

«Речь ведь на самом деле не идет о каком-то "шариатском патруле". Эти люди из отряда — такие же граждане России, они не ходят со знаменами ислама. ЧОП "Корвет" — это частное предприятие», — прокомментировал он. И посоветовал узнать мнение о происходящем у жителей района.

Лидеру православного движения «Сорок сороков» Андрею Кормухину инициатива найма «чеченских» патрулей для поддержания правопорядка оказалась не близка. Но, по его словам, администрацию Троицка он понимает.

При этом лидер казачьего движения считает, что заключение договора с ЧОПом — шаг хоть и понятный, но опрометчивый. «Если создавать подобные патрули, то надо было это делать совместно. Если бы русские люди следили за поведением русских, а вместе с ними мусульмане следили за своими земляками и единоверцами, это встретило бы больше понимания у москвичей», — уверен Андрей Кормухин

Как рассказала «Мосленте» пресс-секретарь префектуры ТИНАО Екатерина Севрюкова, префектура к этому нововведению прямого отношения не имеет. «Был запущен тендер, который выиграл конкретный ЧОП. При этом, насколько мне известно, на сегодняшний день контракт расторгнут», — подчеркнула Севрюкова.