Правильно блять

Бессмысленный и беспощадный русский BugBounty и новый смысл выражения «вычислю тебя по IP»

Сейчас я расскажу вам прекрасную историю, в которой выражение «я вычислю тебя по IP» приобретает реальный смысл, про бессмысленный и беспощадный российский bugbounty, отношение к персональным данным своих клиентов и бессмысленного регулятора, который вместо контроля за предыдущим, занимается ухудшением жизни жителей РФ (и которого в Прекрасной России Будущего не будет).

История началась около 11 лет назад, когда я изучал устройство сетей крупных операторов с помощью инструмента whois — смотрел распределение адресов для клиентов т.д.), и в одном российском сегменте интернета набрёл на такое, от чего потерял дар речи.
Аккуратно сдампил результаты whois по сетям этого оператора (десятки тысяч адресов), и это настолько меня шокировало, что я предпочёл об этом поскорее забыть.

Месяц назад мне написал один из читателей: смотри, что происходит. И тут я всё вспомнил, и охренел ещё сильнее — от того, что за ~11 лет ничего не поменялось.

Есть такой московский оператор — «Комкор», сейчас работает под торговой маркой Акадо-Телеком.
Среди их клиентов — физические лица, фирмы (много банков, объекты инфраструктуры города) в московской области — жители элитных посёлков (Рублёвка, Барвиха, Жуковка и т.д.).

Многие уже догадываются, о чём будет дальше, но всё равно не могут поверить.

Да, Комкор (Акадо) выкладывает персональные данные своих клиентов прямо в БД RIPE, которая доступна с помощью whois.
Там всё:
ФИО клиента (или название компании), адрес подключения, телефон клиента.

Вот их сети:
212.100.128.0/19
212.45.0.0/19
178.208.128.0/19

Вот элитного посёлка «Жуковка»:

Вот клиенты в Барвихе, включая местный Альфа-Банк:

А что это за Никита Сергеевич в посёлке Николина Гора пользуется услугами горе-провайдера, не известный ли кинорежиссёр? Ага, он:

«Какая-то невероятная дичь», — воскликните вы, и будете совершенно правы.
Давайте теперь посмотрим, как обстоит дело с защитой персданных клиентов-фирм и объектов инфраструктуры Москвы.
Вот IP-адреса объектов ДИТ Москвы — Департамента инфромационных технологий — к Акадо подключены сотни таких объектов. Это интернет для камер, телеметрии и других служебных устройств и пользователей:

Давайте поищем по ключевому слову «Bank».
Что же мы видим? Сотни банков подключены к Комкору, и любой человек на свете может узнать IP-адрес конкретного филиала, контакт технического специалиста, его ФИО и так далее:

Что должен сделать приличный человек, который осознал что все эти ~11 лет персданные клиентов большого оператора лежали в паблике?
Правильно, написать об этом в Комкор. Ну не знали же они, что делают всё это время, в самом деле — надо им об этом рассказать!
Что я и сделал:

Через 1 рабочий день я получил ответ от начальника ИБ — мол информацию получили и проверят (странная задержка в сутки при такой-то страшной дыре, но ладно):

Ещё через 5 дней я решил поинтересоваться результатами проверки информации:

на что мне ответили, что всё исправили:

Ого, думаю я, наконец-то в России стала повышаться ответственность компаний и рост культуры реакции на сообщения о дырах. Но решил всё же проверить: убрали персданные только из блока person и только из двух моих примеров в первом письме, но в блоке inetnum персданные остались даже в моих примерах, о чём я написал:

и получил очень странный ответ, что «принято решение» убрать персданные пользователей белых сетей (когда убрать?!), но поле inetnum они обязаны заполнять:

Да никто не спорит, что обязаны — но провайдеры записывают туда информацию о назначении сети, или, если это фирма — максимум, её название и юр. адрес (и даже это далеко не всегда, точнее — почти никогда), но никак не ФИО клиента-физлица.
На моё письмо от 24 октября с уточняющим вопросом никто не ответил:

И тут мои силы закончились — я перестал понимать, почему я должен уговаривать большую компанию с огромной ответственностью заставлять устранить такую страшную дыру. Я перестал понимать, почему эта переписка вообще должна была длиться больше двух писем, ведь каждому здравомыслящему человеку абсолютно очевидно, насколько это дико — персданные твоих клиентов в паблике. И я уже не говорю об ответственных лицах в компании, которые должны только и заниматься тем, что устранять эту страшную дыру.
Я очень не хотел писать этот пост — мне ответили, со мной общались вежливо, даже в музей пригласили :). Но это попытка сделать хорошую мину при плохой игре. Никаких действий по факту предпринято не было, сроки их тоже озвучены не были. Поэтому следующим шагом я должен перейти к информированию об этой опасной уязвимости общественность, чтобы они вывели себя из-под угрозы и перестали пользоваться оператором, который так относится к персданным своих клиентов.

А теперь — простым языком для людей, которые не поняли, что всё это значит.

Whois — это публичный инструмент, которым может воспользоваться каждый человек, чтобы получить информацию об IP-адресе или домене.
В нём содержится служебная информация о владельце домена или IP-адреса (в данном случае — провайдере).
По правилам организации RIPE, которая выдаёт IP-адреса, провайдер обязан содержать в актуальном виде информацию о назначении подсети IP-адресов (например, служебная или клиентская), контакты для связи (почта и телефон провайдера), и если провайдер выдаёт в аренду крупный блок адресов — информацию об арендаторе.
Но никакому провайдеру не приходит в голову указывать ФИО, адрес подключения и контакт физического лица, которому выдан 1 IP-адрес. Тоже самое — с юридическими лицами. В случае выдачи большого блока, максимум — указывается юрлицо, его контакт и юридический адрес. И то, так делают далеко не все провайдеры, и никаких санкций, конечно же, за это нет.
Не очень умные технические специалисты Комкора (ныне Акадо) в какой-то момент просто настроили автоматическую трансляцию информации из своей служебной базы клиентов (CRM) в базу данных RIPE, и таким образом персданные клиентов стали доступны для всех желающих.
Для оператора такая дыра — катастрофа дважды, потому что:
1) Собственно, песональные данные клиентов — в публичном доступе. Какое доверие может быть к такому оператору?
2) Твоих клиентов могут просто переманивать другие операторы, за полчаса просканировав все IP-адреса и собрав базу данных.
3) Можно узнать IP-адреса определённого клиента или устройства, очень несложно забить канал трафиком и выключить, таким образом, интернет у клиента.
В случае с ведомственными объектами, большое количество которых подключено к Акадо — это же прямая угроза безопасности города.

Этот пост прочитает много клиентов Акадо — вы, конечно, решайте сами, но я бы никогда не стал пользоваться услугами оператора, который выкладывает ваши персональные данные в паблик, и не убирает их в срочном порядке после приватного сообщения об этом.
И даже через 3 недели всё еще не убирает.
Такое поведение, конечно, абсолютно неприемлемо в 2018 году.

И в завершение, я хочу отдельно написать о Роскомнадзоре.
Это регулятор, под надзором которого оператор связи оказывается дважды — как оператор связи, и как оператор персональных данных.
Эти никчёмные и бесполезные дармоеды вместо ухудшения жизни всех жителей России и ежедневной блокировки до 10–15 IP-адресов нашего прокси для Telegram (вы представляете, там сидят специальные люди на зарплате, которые почти круглосуточно резолвят домен и добавляют актуальные IP-адреса в выгрузку — что может быть бессмысленнее), должны заниматься как раз пресечением таких вот историй.
Дорогие журналисты, которые будут звонить в Акадо — сделайте, пожалуйста, следующий звонок в Роскомнадзор и спросите, почему они не выполняют свою работу, а вместо этого занимаются ухудшением жизни граждан России.

Источник: https://medium.com/@itsorm/бессмысленный-и-беспощадный-русский-bigbounty-или-отношение-к-персональным-данным-из-двухтысячных-d9e0e8a7601e

Их борьба

Нейтральная медаль в Пхенчхане — унижение для всей страны

Как обсуждали отстранение России от Олимпиады на Первом канале. Максимально коротко 

Эпиграф к программе: «Если между войной и позоромвы выбираете позор, то войны не избежите» (фигурально, конечно).

(Полностью фраза звучит так: «Правительству пришлось выбирать между войной и позором. Они выбрали позор. Но войну они тоже получат». Высказывание ложно приписывают Уинстону Черчиллю, якобы так он охарактеризовал Мюнхенское соглашение с Германией в 1938 году.)

Решение МОК — «унижение и удар под дых». Мы каяться не будем! Спортсменов ставят перед выбором: ты патриот или ты едешь на Игры. «Представьте, вы бежите [к финишу первым], а флага нет!». Если спортсмен поедет и выиграет медаль, то это радость для него, но «унижение и крушение мечты для огромной страны». Россия сейчас проходит тест на гражданскую ответственность. «Они не взяли нас санкциями» и теперь хотят расколоть вот этим.

Легкоатлетка Иоланда Чен: Легко быть патриотом на диване и говорить о бойкоте. Это грозит нам отстранением на два олимпийских цикла (8 лет).

Вице-спикер Госдумы Петр Толстой: «Мы подождем, перед нами вечность!». Унижение страны гораздо хуже.

Нас назначили виноватыми. Олимпийское движение себя дискредитировало, дав американкам перебежать эстафету в Рио. Если будет бойкот, наших спортсменов переманят другие страны. «В МОКе захватил власть орден иезуитов», ведь нам разрешат флаг, но только на закрытии. Нельзя, чтобы «нас разорвали», надо поддержать и тех, кто останется, и тех, кто поедет.

Число все растет. Даже если 50% будет готово из них, то это весомое число.

Журфак БГУ встретился сегодня с Натальей Качановой - Председателем Совета Республики Национального собрания Республики Беларусь.

Все предыдущие разы рассказы жительницы особняка в Дроздах о том, как до Лукашенко нищие белорусы ели траву с корой, на студентов особого впечатления не произвели. 

На этот раз руководство университета поменяло тактику — на встречу пригласили только идеологически верных студентов. Все остальные о визите узнали час назад. Беседовать с Качановой их, естественно, не пускают.

На видео попал интересный разговор студентов с охранником: 

https://drive.google.com/file/d/1b4ra2N9gSjNW65yT7ZgjwZV0JQYaUfqr/view?usp=sharing

«У нас демократия — ещё какая демократия по сравнению с другими странами».

«Журналистика — это не преступление. Журналистов привлекают к ответственности, как и других людей, за несанкционированные мероприятия». 

«Я не видела лжи на БТ. Видели вы — скажите. Но называть власть фашистами нельзя». 

«Если СМИ несёт в себе информацию, которая несёт вражду, то, я считаю, что такие СМИ не должны существовать»

«Эти все выходы ни к чему хорошему не приведут. Я недавно была у врачей, и одна женщина мне сказала, что выходила и будет выходить. Если завтра начнётся стрельба, то в этом будете виноваты вы и такие, как вы».

И на десерт:

Студент: Если репрессировать журналистов и задерживать их, то кто будет освещать всё, что происходит?

Кочанова: А ЗАЧЕМ ЭТО ОСВЕЩАТЬ?

 На видео диктор зачитывает отрывок:

«И мы бросим всё, что имеем, всё золото, всю материальную мощь на оболванивание и одурачивание русских людей. Посеяв в России хаос, мы незаметно подменим их ценности на фальшивые и заставим их, русских, в эти фальшивые ценности верить. Эпизод за эпизодом будет разыгрываться грандиозная по своему масштабу трагедия гибели самого непокорного на земле народа, окончательного, необратимого угасания его самосознания».

Вы только вчитайтесь ― целый Председатель Совета Республики Национального собрания показывает видео о теории заговора будущим журналистам! Нет, сегодня не 1 апреля и это не шутка. Осталось только министру экономики заявить о заговоре рептилоидов против Беларуси, а министру образования ― о плоской земле.

Дедовский аналоговнет.

90 тысяч штрафа за х@й в эфире. Что написано в законе о "дематюкации"

На сайте Верховной Рады опубликован текст законопроекта о "дематюкации" - противодействии сквернословию.

Речь в нем главным образом идет о штрафах за употребление нецензурной ругани на ТВ и в интернете. 

"Страна" проанализировала, что предлагает автор документа - нардеп от БПП Ольга Богомолец. 

Штрафовать будут даже за маты в Facebook

Документ предлагает штрафовать за матерную ругань в аудиовизуальном виде. Причем не только на ТВ, но и просто в интернете. Например, в вашем личном видеоблоге на YouTube и в Facebook. 

Исключение составляют лишь фильмы. Причем, в законопроекте не оговорено, художественные или нет. То есть, если в документальном фильме прозвучит нецензурщина - это будет законно. 

Штраф для обычных людей - от 40 до 70 необлагаемых налогом минимумов. То есть - от 38 до 67 тысяч гривень, если считать этот минимум по размеру налоговой социальной льготы в 960 грн, как это часто бывает в судах. Если же посчитать, что минимум равен 17 грн, как указано в некоторых законах Украины - то штрафы становятся резко ниже. 

Альтернатива этому наказанию - от 40 до 60 часов общественных работ или исправительные работы на 1-2 месяца с отчислением 20% зарплаты. Еще одна альтернатива - административный арест на пятнадцать суток. 

Для публичных персон эти взыскания увеличиваются. Штраф растет от 75 до 100 необлагаемых минимумов. Это от 72 до 96 тысяч гривень взыскания, если смотреть по верхней планке. По нижней (необлагаемый минимум в размере 17 грн) этот штраф будет вообще нечувствительным для публичных персон. Максимальное взыскание в таком случае будет 1700 грн. 

Это вопрос того, какая сумма необлагаемого минимума будет применяться в суде при определении штрафа. 

Исправительные работы и прочее для публичных персон - на том же уровне, что и для простых смертных. 

Кто такая "публичная личность" - оговорено отдельно. По мнению автора законопроекта Ольги Богомолец, это все, кто подпадает под действие закона об отмывании средств, полученных преступным путем и финансированию терроризма. 

На сайте Верховной Рады публичные люди обозначаются так:

"Публичные лица - лица, которые согласно Закону Украины "О предотвращении и противодействии легализации (отмыванию) доходов, полученных преступным путем, финансированию терроризма и финансированию распространения оружия массового уничтожения" являются национальными, иностранными публичными деятелями, деятелями, которые выполняют политические функции в международных организациях". 

То есть это по сути все политики. 

Определяется также термин нецензурной брани. 

"Нецензурная брань (сквернословие) - ненормативная (недопустимая) ругань (лексика), перечень слов и выражений которой утверждается Кабинетом Министров Украины".

Деньги, вырученные за штрафы, направляются в "Украинский культурный фонд" - ведомство, подконтрольное Минкульту. 

Законопроект также предписывает создать список стоп-слов, которые запрещены к употреблению на эфирах и создать систему мониторинга ругательств. Все это - за полгода с момента принятия закона. 

Что говорит Богомолец о своем законе

В пояснительной записке к законопроекту сказано, что нецензурщина - это российское изобретение, чуждое мол украинцам. 

"Украинцам исторически была чужда примитивная грязная ругань. Она пришла в наш язык как заимствование из русской культуры. Брань, которую на протяжении веков насаждали российские колонизаторы, сегодня "насаждают" в публичном пространстве и медиа. Украинцы исторически и традиционно не употребляли бранных слов вроде тех, которые бытуют сейчас... Украинцы не жаловали и не употребляли грубости "ниже пояса" и не позволяли себе пошлости", - говорится на сайте Рады. 

Инициатор законопроекта Ольга Богомолец рассказала в Раде, что ее цель - предотвратить употребление ненормативной лексики в публичном пространстве.

"Этот закон исключительно о публичных лицах (кстати, это не так - ред.). О публичном пространстве и о средствах массовой информации. В этом законе предлагается дать определение сквернословию, определение алфавитного порядка слов, которые нельзя употреблять в публичном пространстве публичным лицам", - сказала она.

"Следующее, специальная компонента должна быть по СМИ и Интернету. Очень часто одну букву заменяют определенными значками. От этого значения слова не меняется, а просто как будто его нет, но все знают, о чем речь", - добавила Богомолец.

Также она рассказала, что законопроект предусматривает введение административных штрафов для СМИ.

"Эти штрафы будут касаться СМИ. Это 10% от лицензионного сбора за выплаты по аудио трансляции. Что касается физических лиц, то это штрафы от 3 до 7 необлагаемых минимумов (54-99 грн), или исправительные работы с отчислением части заработка", - сказала она, добавив, что деньги от штрафов должны идти в Украинский культурный фонд.

По словам Богомолец, СМИ должны нести ответственность, если они ретранслируют нецензурную лексику спикеров.

Она выразила мнение, что этот законопроект является частью борьбы за чистоту украинского языка.

"Принимать закон об украинском языке и не вычищать язык от совершенно не присущих украинской культуре... это не наше, не украинское, это еще один аспект. Украинцы никогда не матерились и не употребляли брань ниже пояса. Для Украины характерно совершенно другое пантеистическое измерение ругательства. Давайте возвращаться. Хотите материться – материтесь по-украински", - сказала Богомолец.

На вопрос журналистов, как именно, она ответила: "Бодай би тебе когут копнув" ("Чтоб тебя петух пнул по заднице/клюнул в задницу" - примерно так).

Сама Богомолец заявила, что не использует ненормативную лексику.

разбор одного известного фейка