Светлана дерикот Одесса

Михаил Саакашвили вернулся (?) в Грузию и опубликовал в фейсбуке видео из Батуми (?), в котором призвал голосовать за Национальное движение либо за любую другую партию, кроме партии Иванишвили (Грузинская мечта), а затем собраться в Тбилиси

Сурс

Как я оказался в Канаде.

Бессмысленный и беспощадный русский BugBounty и новый смысл выражения «вычислю тебя по IP»

Сейчас я расскажу вам прекрасную историю, в которой выражение «я вычислю тебя по IP» приобретает реальный смысл, про бессмысленный и беспощадный российский bugbounty, отношение к персональным данным своих клиентов и бессмысленного регулятора, который вместо контроля за предыдущим, занимается ухудшением жизни жителей РФ (и которого в Прекрасной России Будущего не будет).

История началась около 11 лет назад, когда я изучал устройство сетей крупных операторов с помощью инструмента whois — смотрел распределение адресов для клиентов т.д.), и в одном российском сегменте интернета набрёл на такое, от чего потерял дар речи.
Аккуратно сдампил результаты whois по сетям этого оператора (десятки тысяч адресов), и это настолько меня шокировало, что я предпочёл об этом поскорее забыть.

Месяц назад мне написал один из читателей: смотри, что происходит. И тут я всё вспомнил, и охренел ещё сильнее — от того, что за ~11 лет ничего не поменялось.

Есть такой московский оператор — «Комкор», сейчас работает под торговой маркой Акадо-Телеком.
Среди их клиентов — физические лица, фирмы (много банков, объекты инфраструктуры города) в московской области — жители элитных посёлков (Рублёвка, Барвиха, Жуковка и т.д.).

Многие уже догадываются, о чём будет дальше, но всё равно не могут поверить.

Да, Комкор (Акадо) выкладывает персональные данные своих клиентов прямо в БД RIPE, которая доступна с помощью whois.
Там всё:
ФИО клиента (или название компании), адрес подключения, телефон клиента.

Вот их сети:
212.100.128.0/19
212.45.0.0/19
178.208.128.0/19

Вот элитного посёлка «Жуковка»:

Вот клиенты в Барвихе, включая местный Альфа-Банк:

А что это за Никита Сергеевич в посёлке Николина Гора пользуется услугами горе-провайдера, не известный ли кинорежиссёр? Ага, он:

«Какая-то невероятная дичь», — воскликните вы, и будете совершенно правы.
Давайте теперь посмотрим, как обстоит дело с защитой персданных клиентов-фирм и объектов инфраструктуры Москвы.
Вот IP-адреса объектов ДИТ Москвы — Департамента инфромационных технологий — к Акадо подключены сотни таких объектов. Это интернет для камер, телеметрии и других служебных устройств и пользователей:

Давайте поищем по ключевому слову «Bank».
Что же мы видим? Сотни банков подключены к Комкору, и любой человек на свете может узнать IP-адрес конкретного филиала, контакт технического специалиста, его ФИО и так далее:

Что должен сделать приличный человек, который осознал что все эти ~11 лет персданные клиентов большого оператора лежали в паблике?
Правильно, написать об этом в Комкор. Ну не знали же они, что делают всё это время, в самом деле — надо им об этом рассказать!
Что я и сделал:

Через 1 рабочий день я получил ответ от начальника ИБ — мол информацию получили и проверят (странная задержка в сутки при такой-то страшной дыре, но ладно):

Ещё через 5 дней я решил поинтересоваться результатами проверки информации:

на что мне ответили, что всё исправили:

Ого, думаю я, наконец-то в России стала повышаться ответственность компаний и рост культуры реакции на сообщения о дырах. Но решил всё же проверить: убрали персданные только из блока person и только из двух моих примеров в первом письме, но в блоке inetnum персданные остались даже в моих примерах, о чём я написал:

и получил очень странный ответ, что «принято решение» убрать персданные пользователей белых сетей (когда убрать?!), но поле inetnum они обязаны заполнять:

Да никто не спорит, что обязаны — но провайдеры записывают туда информацию о назначении сети, или, если это фирма — максимум, её название и юр. адрес (и даже это далеко не всегда, точнее — почти никогда), но никак не ФИО клиента-физлица.
На моё письмо от 24 октября с уточняющим вопросом никто не ответил:

И тут мои силы закончились — я перестал понимать, почему я должен уговаривать большую компанию с огромной ответственностью заставлять устранить такую страшную дыру. Я перестал понимать, почему эта переписка вообще должна была длиться больше двух писем, ведь каждому здравомыслящему человеку абсолютно очевидно, насколько это дико — персданные твоих клиентов в паблике. И я уже не говорю об ответственных лицах в компании, которые должны только и заниматься тем, что устранять эту страшную дыру.
Я очень не хотел писать этот пост — мне ответили, со мной общались вежливо, даже в музей пригласили :). Но это попытка сделать хорошую мину при плохой игре. Никаких действий по факту предпринято не было, сроки их тоже озвучены не были. Поэтому следующим шагом я должен перейти к информированию об этой опасной уязвимости общественность, чтобы они вывели себя из-под угрозы и перестали пользоваться оператором, который так относится к персданным своих клиентов.

А теперь — простым языком для людей, которые не поняли, что всё это значит.

Whois — это публичный инструмент, которым может воспользоваться каждый человек, чтобы получить информацию об IP-адресе или домене.
В нём содержится служебная информация о владельце домена или IP-адреса (в данном случае — провайдере).
По правилам организации RIPE, которая выдаёт IP-адреса, провайдер обязан содержать в актуальном виде информацию о назначении подсети IP-адресов (например, служебная или клиентская), контакты для связи (почта и телефон провайдера), и если провайдер выдаёт в аренду крупный блок адресов — информацию об арендаторе.
Но никакому провайдеру не приходит в голову указывать ФИО, адрес подключения и контакт физического лица, которому выдан 1 IP-адрес. Тоже самое — с юридическими лицами. В случае выдачи большого блока, максимум — указывается юрлицо, его контакт и юридический адрес. И то, так делают далеко не все провайдеры, и никаких санкций, конечно же, за это нет.
Не очень умные технические специалисты Комкора (ныне Акадо) в какой-то момент просто настроили автоматическую трансляцию информации из своей служебной базы клиентов (CRM) в базу данных RIPE, и таким образом персданные клиентов стали доступны для всех желающих.
Для оператора такая дыра — катастрофа дважды, потому что:
1) Собственно, песональные данные клиентов — в публичном доступе. Какое доверие может быть к такому оператору?
2) Твоих клиентов могут просто переманивать другие операторы, за полчаса просканировав все IP-адреса и собрав базу данных.
3) Можно узнать IP-адреса определённого клиента или устройства, очень несложно забить канал трафиком и выключить, таким образом, интернет у клиента.
В случае с ведомственными объектами, большое количество которых подключено к Акадо — это же прямая угроза безопасности города.

Этот пост прочитает много клиентов Акадо — вы, конечно, решайте сами, но я бы никогда не стал пользоваться услугами оператора, который выкладывает ваши персональные данные в паблик, и не убирает их в срочном порядке после приватного сообщения об этом.
И даже через 3 недели всё еще не убирает.
Такое поведение, конечно, абсолютно неприемлемо в 2018 году.

И в завершение, я хочу отдельно написать о Роскомнадзоре.
Это регулятор, под надзором которого оператор связи оказывается дважды — как оператор связи, и как оператор персональных данных.
Эти никчёмные и бесполезные дармоеды вместо ухудшения жизни всех жителей России и ежедневной блокировки до 10–15 IP-адресов нашего прокси для Telegram (вы представляете, там сидят специальные люди на зарплате, которые почти круглосуточно резолвят домен и добавляют актуальные IP-адреса в выгрузку — что может быть бессмысленнее), должны заниматься как раз пресечением таких вот историй.
Дорогие журналисты, которые будут звонить в Акадо — сделайте, пожалуйста, следующий звонок в Роскомнадзор и спросите, почему они не выполняют свою работу, а вместо этого занимаются ухудшением жизни граждан России.

Источник: https://medium.com/@itsorm/бессмысленный-и-беспощадный-русский-bigbounty-или-отношение-к-персональным-данным-из-двухтысячных-d9e0e8a7601e

Сбежавший в Польшу авиадиспетчер рассказал журналистам New York Times, как офицер КГБ Беларуси контролировал посадку рейса Ryanair

Авиадиспетчер, посадивший 23 мая в Минске самолет Ryanair с Романом Протасевичем на борту, а затем сбежавший из Беларуси, заявил, что команды на диспетчерской вышке давал офицер КГБ, пишет газета New York Times.

Этим летом, когда польские пограничники пытались сдержать потоки мигрантов, пытающихся пересечь границу с Беларусью, один человек, украдкой проникший в Польшу, получил теплый, но совершенно секретный прием. С такой зарисовки начинается статья New York Times.

Авиадиспетчер Галегов

В отличие от отчаявшихся людей из Ирака и других стран, ищущих лучшей жизни в Европе, этот человек предлагал инсайдерскую информацию о вынужденной посадке рейса Ryanair, следовавшего из Афин в Вильнюс, в Минске, пишет газета. Среди пассажиров был оппонент президента Беларуси Александра Лукашенко, журналист-диссидент Роман Протасевич и его подруга Софья Сапега. После посадки оба они были арестованы.

В Польшу смог перебраться авиадиспетчер Олег Галегов. Еще в июле оппозиционное белорусское издание "Наша нива" сообщило, что диспетчер Галегов, который вел переговоры с пилотом Ryanair, покинул Беларусь вместе с семьей. Издание ссылалась на информацию от других диспетчеров Белаэронавигации.

Замдиректора Белаэронавигации Иван Герловский тогда говорил, что Галегов с июня находится в отпуске и что он ничего не знает о его исчезновении или увольнении. "Думаю, он поехал в гости к родственникам в Грузию", - говорил один из коллег Галегова (этнического грузина).

Теперь об этом пишет New York Times, ссылаясь на анонимных представителей европейских спецслужб. Собеседники издания утверждают, что после побега из Беларуси авиадиспетчер представил подробные доказательства того, что самолет Ryanair получил заведомо ложное сообщение об угрозе взрыва в рамках операции по поимке Протасевича, организованной КГБ.

Польша готовится к суду

Департамент национальной безопасности Польши отказался комментировать некоторые детали, пишет газета, однако его представитель Станислав Жарынь заявил, что польским следователям удалось "получить отчет непосредственного свидетеля действий, предпринятых на диспетчерской вышке в Минске".

Жарынь добавил, что, по словам свидетеля, в диспетчерской находился офицер КГБ Беларуси, который "в решающий момент взял под контроль авиадиспетчерскую службу". Этот офицер, по словам Жарыня, "поддерживал непрерывный телефонный контакт с кем-то, кому он сообщал о том, что в данный момент происходит с самолетом".

В мае белорусские власти сообщали, что авиадиспетчер передавал на борт "информацию спецслужб" о возможном наличии взрывного устройства на борту, которое может быть приведено в действие над Вильнюсом. Пилот отнесся к этому скептически, но подчинился указанию следовать в аэропорт Минска.

Версия не меняет в корне того, о чем были подозрения все это время, однако информация, предоставленная свидетелем, который принимал непосредственное участие в произошедшем, должна помочь польским прокурорам при подготовке к суду, отмечает New York Times.

В Польше готовят судебный иск против белорусских властей. Самолет "Боинг-737", на борту которого был Протасевич, зарегистрирован в Польше и эксплуатировался польским филиалом ирландского авиаперевозчика Ryanair, отмечает издание, напоминая, что Лукашенко ранее обвинял власти Польши в заговоре против него. Варшава в свою очередь обвиняет Минск в "гибридной войне" с использованием мигрантов на границе.

Пока две страны обменивались публичными обвинениями, авиадиспетчер из Минска рассказывал польским следователям все, что ему известно о принудительной посадке. Так заканчивается статья New York Times, которую в Минске сочли "информационным вбросом" (так ее назвал глава департамента авиации министерства транспорта Беларуси Артем Сикорский, передает БЕЛТА).

Немного позитивных новостей

Грустное бытие и дальнейшее будущее

История одного вброса

в начале ты такой:
— Вброс производился в районе девяти часов утра, — заявила председатель Мособлизбиркома Ирина Коновалова. — Председатель избирательной комиссии №1480 и член избирательной комиссии с правом решающего голоса, которые принимали непосредственное участие в этом безобразии, по-другому сказать не могу, отстранены от работы.

Виктория Бобровская, ( учитель физкультуры) которая является членом местного отделения партии «Единая Россия», с трудом находит слова, чтобы прокомментировать свои действия:

— Это какое-то недоразумение. Я присутствовала на участке с 8 утра как наблюдатель, не знаю, как это получилось... — голос ее дрожит.

Светлана Колобаева, (учитель математики) председатель избирательной комиссии, в свою очередь, заявила, что данные с камеры видеонаблюдения — это розыгрыш, видеомонтаж, «компьютерный обман». Однако на записи отчетливо видно, как две женские фигуры мечутся между столом и урной, с энтузиазмом забрасывая бюллетени. 

расово-ватный пруф на "комсомолку" http://www.mk.ru/politics/2018/03/19/vbros-byulleteney-v-lyubercakh-dve-uchitelnicy-obyasnili-svoy-postupok.html

а потом вдруг:

Дмитрий Медведев призвал не пускать назад уехавших "предателей"

Зампред Совбеза РФ в очередной раз неодобрительно высказался о россиянах, не поддерживающих СВО и уехавших за границу.

Дмитрий Медведев, Первый заместитель председателя Военно-промышленной Комиссии Российской Федерации:

«Как известно, история после трагедии часто повторяется уже как фарс. Больше ста лет назад наши «внесистемные оппозиционеры» люто желали нашей Родине поражения в Первой мировой войне. Результатом стала гибель империи, две революции и кровавая Гражданская война, которая унесла 17 млн человек разных политических воззрений.
Читая свежие опусы сваливших за кордон госдеповских прихвостней XXI века, не могу отделаться от ощущения, что после великой трагедии наступило время отвратительного фарса. Снова бесконечные проклятия в адрес власти и пожелания скорейшего поражения в войне своему Отечеству, а зачастую – незатейливые мечты об уничтожении нынешней России. Читать такое гадко, особенно с учётом того, что на фоне этих мерзостей наши военнослужащие с оружием в руках защищают нашу страну, ежедневно рискуя жизнями и показывая чудеса истинного героизма. Свинтившие же уроды ежедневно желают гибели своим соотечественникам и своей стране. Уму непостижимо. Хотя они, видимо, считают всех, кто сейчас воюет или хотя бы выступает за победу над украинским нацизмом, людьми низшего сорта, не способными на тонкие эмоции и адекватное восприятие жизни. Тупым и сорным человеческим материалом. Проще говоря, они презирают всех нас, коих абсолютное большинство в нашей стране. Почему я пишу об этом?

Первое. Предатели, которые так ненавидят свою страну, что призывают к её поражению и гибели, должны рассматриваться как hostis publicus, враги общества. Вне зависимости от юридической квалификации их деяний. Как враги государства, enemy of the state, пользуясь их же любимым американским эквивалентом. За ними накрепко должно закрепиться это определение. Пусть даже никаких административных или уголовных дел в отношении этих лиц никто не возбуждал.

Второе. Таких лиц не следует пускать обратно в Россию до конца их дней. Их нужно полностью отрезать от источников доходов в нашей стране, в чём бы они ни состояли. Аморальную ситуацию, когда предатели, которые желают своей стране поражения, параллельно зарабатывают на России, нужно прекратить раз и навсегда.

Третье. Возвращение таких лиц домой может состояться только в случае предварительно сделанного недвусмысленного публичного раскаяния, а в подобающих случаях – только через амнистию или помилование».

Недавно Дмитрий Медведев получил еще одну должность вдобавок к посту зампреда Совета безопасности, который был введен в свое время специально под него. Теперь — также специально для Медведева — появилась должность первого заместителя председателя Военно-промышленной комиссии РФ, на каковую он тотчас и был назначен. Так что его становящиеся все более резкими высказывания в телеграм-канале — это не просто эмоциональная позиция гражданина РФ Дмитрия Анатольевича Медведева, но позиция весьма высокопоставленного чиновника. И в этом смысле она во многом отражает ход мысли большой части российского политического класса, особенно той его части, которая заседает в Думе. Но не только там, видимо. Как говорится, то, что у кого-то еще только на уме, у Медведева уже на языке. То есть в телеграм-канале.

В Думе раньше уже звучали предложения каким-то образом урезать в правах так называемых релокантов, причем таких уехавших все чаще характеризуют примерно так, как в позднем СССР характеризовали невозвращенцев, которых называли еще и предателями родины. А раньше врагами народа. Дмитрий Песков несколько пригладил суть высказывания Медведева. Отметив, что речь идет, дескать, о людях, которые «нарушают наши законы». Между тем Дмитрий Анатольевич вполне четко говорит, что против тех, кого он считает врагами общества, даже не надо заводить никаких уголовных или административных дел. Но тогда получается, что к таким врагам можно причислять людей во внесудебном порядке и вовсе не на основании совершенного конкретного преступления. Просто на основании политических ощущений, что он-таки вражина.

Медведев ссылается для подкрепления силы своего слова, разумеется, на Америку, это исчадие зла в современном российском политическом дискурсе. Дескать, там есть термин enemy of the state («враг народа»). Да, есть. Но в юридическом смысле он привязан к конкретным преступлениям типа госизмены. А отдельно от конкретных преступлений употребляется разве что в политической полемике, и сам по себе такой ярлык вне связи с конкретным преступлением не влечет никаких последствий для того, на кого он налеплен.

Медведев же в порыве эмоционального проявления гражданской позиции, по сути, призывает к нарушению целого ряда конституционных норм, включая запрет на возвращение граждан РФ на родину, лишение имущественных и прочих материальных прав. Не говоря о том, что сам по себе данный пост разжигает ненависть к определенной группе граждан, что раньше попадало под статьи УК, когда такое писали или говорили граждане с неправильной политической ориентацией. А у Медведева — как раз правильная. Он как бы выступает на правильной стороне истории. Вот к ней и обратимся.

Термин, который Дмитрий Анатольевич зачем-то лукаво облек в латинскую форму, — hostis publicus — обозначал в Древнем Риме именно врагов народа — hostis populi Romani («враг римского народа»). Такие люди объявлялись вне закона и приравнивались к врагам, сражающимся против Рима с оружием в руках. Наказание — смерть.

Термин широко применялся и якобинцами во время Великой французской революции, когда был развязан кровавый террор, а сам термин был легализован в декрете 10 июля 1794 года. Понятие трактовалось весьма широко, отдельно подчеркнем: под врагами народа понимали всех, кто якобы был против общественной свободы, выступал за возврат королевской власти, а также вредители и саботажники, клеветники на патриотов, злоупотреблявшие законами революции, обманщики народа, способствовавшие упадку революционного духа, распространители ложных известий с целью вызвать смуту, направлявшие народ на ложный путь и мешавшие его просвещению. Наказание было тоже одно — смерть, причем приговоры приводились в действие, по сути, без суда и следствия. Как писал один из лидеров якобинцев, «мы должны карать не только врагов, но и равнодушных, всех, кто пассивен к республике и ничего не делает для нее».

В годы сталинизма понятие «враг народа» тоже трактовалось весьма широко. А еще были пособники врагов народа, члены семьи врагов народа и прочие вредители. Тут у Медведева еще есть простор для фантазии на предмет, как кого покарать. Ведь у релокантов есть семьи, родители, которые их не так воспитали, и так далее. Да и признаки «врага» могут быть расширены: необязательно, скажем, станет осуждать СВО, достаточно будет не поддерживать.

У Медведева недавно появился отличный хлесткий термин в отношении союзников США — подсвинки. Можно и его тоже кодифицировать. Кстати, понятие врага народа было внесено в сталинскую конституцию 1936 года. В статье 131 сказано: «Лица, покушающиеся на общественную, социалистическую собственность, являются врагами народа». В таком виде определение дожило до брежневской конституции 1977 года, где его уже нет.

Правда, есть одна незадача. И большая. Очень часто в истории те, кто разжигали общественную рознь и ненависть, требовали преследовать сограждан на основании политических убеждений, объявляя врагами народа, потом сами становились жертвами развязанного террора. Так, один из лидеров Французской революции Дантон был казнен именно как враг народа и английский шпион. Врагами народа со временем были объявлены организаторы Большого террора в СССР Ежов и после смерти Сталина Берия, а также многие тысячи тех, кто сначала сам казнил без суда и следствия, а затем сам стал жертвой беззакония. Или те, кто просто писал доносы. Наконец, в том же Древнем Риме сенат в 68 году объявил врагом народа самого императора Нерона, позже аналогичная судьба постигла и другого императора — Коммода. Потому как с политическими эмоциями стоит ведь только начать. Потом не остановишь.

Георгий Бовт, политолог, журналист:

«Считать его резкости официальным политическим курсом или же прощупыванием почвы от прокладывания официального политического курса именно в этом направлении — вопрос открытый. Но, на мой взгляд, все-таки Медведев действительно пытается по крайней мере влиять на политический курс в том направлении, в котором он пишет. И что у кого-то на уме, то у Медведева на языке, можно и так подумать. Не все его инициативы уже превратились в какие-то конкретные законы и правила, однако общая мысль политического класса, в принципе, двигается в этом направлении. И когда Медведев говорит о врагах народа, то он лишь обостряет ту точку зрения, которая в несколько более мягкой форме отражена в последних инициативах, которые высказываются в Государственной думе. Раньше тоже звучали оценки, которые были в том направлении, чтобы уехавших из России людей как-то отличать от тех, кто остался, и отличать в сторону поражения в правах. Я думаю, что эволюция в этом направлении будет продолжаться. При этом, конечно, кто-то скажет, что Медведев разжигает вражду внутри гражданского общества, и отчасти такое мнение будет справедливо. Поскольку если начать усиленно искать врагов народа в собственной стране, то рано или поздно можно оказаться и самим в этом списке, российская история проходила эти уроки. Если и дальше ходить в историю, то и во времена Французской революции, тогда этот термин использовался тоже в месяце якобинского террора, тоже многие инициаторы этой практики сами стали жертвам этого террора. Не говоря уже о том, что в римские времена, где, собственно, впервые появился данный термин, который Дмитрий Анатольевич стеснительно цитирует по латыни, но он в переводе означает именно "враг народа". Там пара императоров тоже были объявлены такими врагами, и кончили они плохо».

В Кремле заявили, что призыв Дмитрия Медведева не пускать обратно уехавших из России граждан касается лишь нарушителей закона.

«Естественно, те, кто нарушают наши законы, должны нести за это ответственность. Сейчас в целом достаточно эмоциональный момент, очень многие проявляют свою гражданскую позицию. В том числе и Дмитрий Анатольевич», — прокомментировал пресс-секретарь президента России Дмитрий Песков пост Медведева в Telegram.

Кадыров объяснил разделение земель с Ингушетией фразой «не считаю вас за людей»

  Глава Чечни пригрозил забрать «оставшиеся села» у Ингушетии, если не прекратятся заявления о незаконном разделении территорий.

  Видео выступления руководителя региона на заседании оргкомитета по подготовке к 100-летнему юбилею со дня образования Чеченской автономии опубликовано в Instagram-аккаунте ЧГТРК «Грозный», перевод его фраз приводит «Кавказский узел» (включен Минюстом в реестр организаций, выполняющих функции иностранного агента).

 «Обращаюсь сейчас к тем провокаторам. Я у вас забрал земли, потому что не считаю вас за людей и мужчин. И другие села оставшиеся заберу, потому что вы не успокоитесь, пока я это не сделаю», — заявил Кадыров.