Филиал Укрнаступа

Гонконг, полицейский пытается задержать сбитого с ног протестующего. Окружающие, вместо того, чтобы кричать "Позор!", отбивают парня у полиции

ссылка на гифку

Бессмысленный и беспощадный русский BugBounty и новый смысл выражения «вычислю тебя по IP»

Сейчас я расскажу вам прекрасную историю, в которой выражение «я вычислю тебя по IP» приобретает реальный смысл, про бессмысленный и беспощадный российский bugbounty, отношение к персональным данным своих клиентов и бессмысленного регулятора, который вместо контроля за предыдущим, занимается ухудшением жизни жителей РФ (и которого в Прекрасной России Будущего не будет).

История началась около 11 лет назад, когда я изучал устройство сетей крупных операторов с помощью инструмента whois — смотрел распределение адресов для клиентов т.д.), и в одном российском сегменте интернета набрёл на такое, от чего потерял дар речи.
Аккуратно сдампил результаты whois по сетям этого оператора (десятки тысяч адресов), и это настолько меня шокировало, что я предпочёл об этом поскорее забыть.

Месяц назад мне написал один из читателей: смотри, что происходит. И тут я всё вспомнил, и охренел ещё сильнее — от того, что за ~11 лет ничего не поменялось.

Есть такой московский оператор — «Комкор», сейчас работает под торговой маркой Акадо-Телеком.
Среди их клиентов — физические лица, фирмы (много банков, объекты инфраструктуры города) в московской области — жители элитных посёлков (Рублёвка, Барвиха, Жуковка и т.д.).

Многие уже догадываются, о чём будет дальше, но всё равно не могут поверить.

Да, Комкор (Акадо) выкладывает персональные данные своих клиентов прямо в БД RIPE, которая доступна с помощью whois.
Там всё:
ФИО клиента (или название компании), адрес подключения, телефон клиента.

Вот их сети:
212.100.128.0/19
212.45.0.0/19
178.208.128.0/19

Вот элитного посёлка «Жуковка»:

Вот клиенты в Барвихе, включая местный Альфа-Банк:

А что это за Никита Сергеевич в посёлке Николина Гора пользуется услугами горе-провайдера, не известный ли кинорежиссёр? Ага, он:

«Какая-то невероятная дичь», — воскликните вы, и будете совершенно правы.
Давайте теперь посмотрим, как обстоит дело с защитой персданных клиентов-фирм и объектов инфраструктуры Москвы.
Вот IP-адреса объектов ДИТ Москвы — Департамента инфромационных технологий — к Акадо подключены сотни таких объектов. Это интернет для камер, телеметрии и других служебных устройств и пользователей:

Давайте поищем по ключевому слову «Bank».
Что же мы видим? Сотни банков подключены к Комкору, и любой человек на свете может узнать IP-адрес конкретного филиала, контакт технического специалиста, его ФИО и так далее:

Что должен сделать приличный человек, который осознал что все эти ~11 лет персданные клиентов большого оператора лежали в паблике?
Правильно, написать об этом в Комкор. Ну не знали же они, что делают всё это время, в самом деле — надо им об этом рассказать!
Что я и сделал:

Через 1 рабочий день я получил ответ от начальника ИБ — мол информацию получили и проверят (странная задержка в сутки при такой-то страшной дыре, но ладно):

Ещё через 5 дней я решил поинтересоваться результатами проверки информации:

на что мне ответили, что всё исправили:

Ого, думаю я, наконец-то в России стала повышаться ответственность компаний и рост культуры реакции на сообщения о дырах. Но решил всё же проверить: убрали персданные только из блока person и только из двух моих примеров в первом письме, но в блоке inetnum персданные остались даже в моих примерах, о чём я написал:

и получил очень странный ответ, что «принято решение» убрать персданные пользователей белых сетей (когда убрать?!), но поле inetnum они обязаны заполнять:

Да никто не спорит, что обязаны — но провайдеры записывают туда информацию о назначении сети, или, если это фирма — максимум, её название и юр. адрес (и даже это далеко не всегда, точнее — почти никогда), но никак не ФИО клиента-физлица.
На моё письмо от 24 октября с уточняющим вопросом никто не ответил:

И тут мои силы закончились — я перестал понимать, почему я должен уговаривать большую компанию с огромной ответственностью заставлять устранить такую страшную дыру. Я перестал понимать, почему эта переписка вообще должна была длиться больше двух писем, ведь каждому здравомыслящему человеку абсолютно очевидно, насколько это дико — персданные твоих клиентов в паблике. И я уже не говорю об ответственных лицах в компании, которые должны только и заниматься тем, что устранять эту страшную дыру.
Я очень не хотел писать этот пост — мне ответили, со мной общались вежливо, даже в музей пригласили :). Но это попытка сделать хорошую мину при плохой игре. Никаких действий по факту предпринято не было, сроки их тоже озвучены не были. Поэтому следующим шагом я должен перейти к информированию об этой опасной уязвимости общественность, чтобы они вывели себя из-под угрозы и перестали пользоваться оператором, который так относится к персданным своих клиентов.

А теперь — простым языком для людей, которые не поняли, что всё это значит.

Whois — это публичный инструмент, которым может воспользоваться каждый человек, чтобы получить информацию об IP-адресе или домене.
В нём содержится служебная информация о владельце домена или IP-адреса (в данном случае — провайдере).
По правилам организации RIPE, которая выдаёт IP-адреса, провайдер обязан содержать в актуальном виде информацию о назначении подсети IP-адресов (например, служебная или клиентская), контакты для связи (почта и телефон провайдера), и если провайдер выдаёт в аренду крупный блок адресов — информацию об арендаторе.
Но никакому провайдеру не приходит в голову указывать ФИО, адрес подключения и контакт физического лица, которому выдан 1 IP-адрес. Тоже самое — с юридическими лицами. В случае выдачи большого блока, максимум — указывается юрлицо, его контакт и юридический адрес. И то, так делают далеко не все провайдеры, и никаких санкций, конечно же, за это нет.
Не очень умные технические специалисты Комкора (ныне Акадо) в какой-то момент просто настроили автоматическую трансляцию информации из своей служебной базы клиентов (CRM) в базу данных RIPE, и таким образом персданные клиентов стали доступны для всех желающих.
Для оператора такая дыра — катастрофа дважды, потому что:
1) Собственно, песональные данные клиентов — в публичном доступе. Какое доверие может быть к такому оператору?
2) Твоих клиентов могут просто переманивать другие операторы, за полчаса просканировав все IP-адреса и собрав базу данных.
3) Можно узнать IP-адреса определённого клиента или устройства, очень несложно забить канал трафиком и выключить, таким образом, интернет у клиента.
В случае с ведомственными объектами, большое количество которых подключено к Акадо — это же прямая угроза безопасности города.

Этот пост прочитает много клиентов Акадо — вы, конечно, решайте сами, но я бы никогда не стал пользоваться услугами оператора, который выкладывает ваши персональные данные в паблик, и не убирает их в срочном порядке после приватного сообщения об этом.
И даже через 3 недели всё еще не убирает.
Такое поведение, конечно, абсолютно неприемлемо в 2018 году.

И в завершение, я хочу отдельно написать о Роскомнадзоре.
Это регулятор, под надзором которого оператор связи оказывается дважды — как оператор связи, и как оператор персональных данных.
Эти никчёмные и бесполезные дармоеды вместо ухудшения жизни всех жителей России и ежедневной блокировки до 10–15 IP-адресов нашего прокси для Telegram (вы представляете, там сидят специальные люди на зарплате, которые почти круглосуточно резолвят домен и добавляют актуальные IP-адреса в выгрузку — что может быть бессмысленнее), должны заниматься как раз пресечением таких вот историй.
Дорогие журналисты, которые будут звонить в Акадо — сделайте, пожалуйста, следующий звонок в Роскомнадзор и спросите, почему они не выполняют свою работу, а вместо этого занимаются ухудшением жизни граждан России.

Источник: https://medium.com/@itsorm/бессмысленный-и-беспощадный-русский-bigbounty-или-отношение-к-персональным-данным-из-двухтысячных-d9e0e8a7601e

Налоговая стала активно блокировать пиратские сайты

Возможно, правообладатели нашли новый способ давления на сайты с "пиратским" контентом через массовые уведомления ФНС о наличии гемблинг-рекламы на них.

РосКомСвобода в ходе мониторинга реестра запрещенных сайтов обнаружила новую закономерность в вынесении решений по блокировкам интернет-ресурсов со стороны российских налоговиков. Как известно, Федеральная налоговая служба (ФНС) в 2015 году получила право на блокировку интернет-ресурсов по закону о запрете азартных игр. С того момента налоговики стали «ударниками» в деле ограничения доступа к интернет-ресурсам гемблинг-направленности (онлайн-казино, тотализаторы, лотереи, покерные сайты и т.п.), обогнав все остальные имеющие право на внесудебную блокировку ведомства, а также суды: 

Но теперь ФНС взялась за «пиратские» сайты, мы подозреваем, что за наличие рекламы азартных игр

Страницы абсолютного большинства из вышеперечисленных сайтов уже попадали в реестр запрещённых на основании решения Мосгорсуда, что означает — на данный контент уже были жалобы правообладателей, и суд требования истцов удовлетворил.

А теперь к тем же самым интернет-ресурсам свои претензии выдвинула налоговая.

Действительно, на данных сайтах присутствует реклама онлайн-казино, но поскольку блокировка в данном случае носит массовый характер, можно предположить, что это как раз правообладатели нашли новую точку давления на «пиратов» и подсказали налоговикам, где они могут найти для себя настоящий клондайк.

С другой стороны, не совсем понятна цель таких «двойных блокировок» сразу от двух разных государственных институтов. Тем более, как показала практика, никакой эффективности от ограничения доступа к «пиратскому контенту» нет, саму проблему надо искать на стороне правообладателей, которые никак не могут перестроится под новую парадигму цифрового взаимодействия граждан.

«Сами по себе цифры, указывающие на количество посещений стриминговых или торрент-сайтов, бесполезны, если их не сопоставлять с рыночными показателями легальных продаж и анализом качественных данных о поведении пользователей. Комиссия ЕС, например, заказала в 2014 году исследование, которое было посвящено именно оценке влияния пиратства на легальный рынок цифрового контента,— гипотеза о прямом или существенном влиянии не подтвердилась. Но тем не менее каждый год мантра, транслируемая правообладателями и обслуживающими их компаниями, повторяется. Хочется надеяться, что такие исследования будут использованы медиакомпаниями и дистрибуторами контента для совершенствования своей деятельности и онлайн-сервисов, а не для лоббирования бесполезных правил и процедур для блокировки сайтов»,— юрист Центра цифровых прав и РосКомСвободы Екатерина Абашина.

Источник: https://roskomsvoboda.org/37582/

Депутаты «Единой России» отклонили законопроект о поддержке больных сахарным диабетом.

Николай Герасименко заявил: "Чтобы вылечиться от диабета, нужно просто похудеть".

По его словам, лекарства при этом заболевании играют второстепенную роль.

«Я знаю нескольких депутатов нашей Госдумы, которые имели сахарный диабет и сидели на инсулине, похудели на 30-40 килограммов и перестали принимать инсулин. Поэтому кто не хочет болеть сахарным диабетом, нужно заниматься собой», — говорит Герасименко.

Таким образом парламентарий прокомментировал инициативу коллеги от «Справедливой России» Федота Тумусова о помощи диабетикам.

Ссылка на источник.

Фашиесты. Придворные политтехнологи из Коми сдали местных наци в лизинг инвестору свалки, чтобы превратить мирный протест на Шиесе в бойню.

«Хватит жевать сопли! Только физическое противостояние может спасти ситуацию с катастрофой, которая разворачивается на Русском Севере! Мы собираем активистов, которые готовы выехать на границу Архангельской области и Республики Коми», — с помощью такого воззвания сыктывкарские националисты собирают силы, чтобы превратить мирный протест на Шиесе в бойню.

До этого провокации охраняющих стройку чоповцев и незаконные задержания активистов полицией не достигали цели — вынудить людей проявить агрессию и таким образом придать легитимность насилию. Иными словами, спровоцировать зачистку. Кстати, очередная ее дата уже близко — до 18 ноября активистам предписано покинуть территорию палаточного лагеря. Правда, кем именно предписано, неясно — врученная им полицейскими бумага — без печати и подписи. Однако заутюжить мирных протестующих без шума и пыли вряд ли удастся — слишком большое внимание приковано к самой горячей точке экологических протестов. Сделать это в ответ на насилие намного проще. Дело за малым — требуются провокаторы.

Идея подключить к делу известных в Республике Коми националистов, скорее всего, может принадлежать опытному политтехнологу — бывшему чиновнику правительства осужденного губернатора Коми Вячеслава Гайзера Павлу Марущаку. У Гайзера он руководил управлением информации и неофициально считался главным цензором республики.

Бывший министр Коми из команды Вячеслава Гайзера Павел Марущак в суде. Фото: Антон Новодережкин / ТАСС

Десятого июня Марущак был осужден на пять лет и восемь месяцев колонии общего режима за мошенничество в особо крупном размере, но уже через 18 дней вышел на свободу — до приговора в СИЗО он уже провел почти четыре года, которые пошли в зачет срока «по курсу» день к полутора.

Как сообщают источники «Новой», недавно он стал советником главы ООО «Технопарк», которое строит полигон на станции Шиес.

Впрочем, возможно, официального трудоустройства и не было, но общий язык стороны нашли. Тогда же к антимусорной теме проявили интерес бывший глава запрещенной в России экстремистской организации «Рубеж Севера» Алексей Колегов и его единомышленники.

Алексей Колегов. Фото: соцсети

«Рубеж Севера» существовал в Республике Коми до 2016 года. Автономная некоммерческая организация военно-патриотического воспитания молодежи пользовалась особым расположением власти, исповедуя при этом идеологию неприятия мигрантов и мусульман. Несколько «рубежистов» были осуждены за демонстрацию нацистской символики, нанесение свастики на фасады сыктывкарских домов и нападение на антифашиста.

Татуировка в виде свастики и «зигование» на фото, выложенных в соцсети, не мешало структурам правительства Коми, а также подконтрольным им СМИ активно поддерживать организацию.

Сыктывкарский правозащитник Игорь Сажин в одном из интервью вспоминал, что лично слышал от Павла Марущака, «главного цензора» республики, что «Рубеж Севера» — проект властей, а Колегов — «управляемый националист», которого держали в узде, контролируя его бизнес.

По мнению ЛГБТ-активиста Вячеслава Слюсарева, именно Марущак привлек Колегова к «управлению» националистическими силами в Коми. Сам же Колегов на суде над бывшим чиновником заявил, что получал от него от 90 до 140 тысяч рублей.

Основными акциями «рубежистов» стали «Русские марши», пикеты против правозащитников, сбор подписей против строительства в Сыктывкаре мечети — в этой кампании особенно засветился сопредседатель «Рубежа» Юрий Авдошкин (запомним это имя), размещение портретов Сталина в центре республиканской столицы. Также Колегов анонсировал открытие сыктывкарского филиала «РЕСТРУКТА» и начал активную деятельность в формате «Оккупай-педофиляй» (обе организации признаны экстремистскими и запрещены в России. — Ред.), выкладывая в своем блоге сцены унижений и избиений геев.

Параллельно «рубежисты» появлялись на акциях оппозиции, поначалу просто перекрикивая выступавших, а затем смешиваясь с протестующими активистами, чтобы из толпы выкрикивать радикальные лозунги, компрометируя таким образом организаторов. И перетягивая на себя протестную повестку, как это было с акцией по защите от вырубки сыктывкарского ботанического сада или митингом против войны с Украиной.

Алексей Колегов в Киеве во время событий революционного Майдана февраля 2014 года. Фото: Алексей Колегов / Вконтакте

«Рубеж Севера» в ноябре 2016 года был признан экстремистской организацией и ликвидирован по решению суда. Годом раньше Колегова осудили за групповое истязание по мотивам национальной ненависти, угрозу убийством, вандализм, вовлечение подростков в преступную группу.

За этот букет статей Колегов получил четыре года, провел их прямо в сыктывкарском СИЗО, откуда его даже отпускали на каникулы к семье.

Он вышел на свободу — и внезапно появился на вильнюсском Форуме свободной России в качестве жертвы политических репрессий и самопровозглашенного защитника Шиеса.

В это время его соратник Евгений Есев, называющий себя главой регионального отделения «Постоянно Действующего Совещания Национально-Патриотических Сил России» (орфография сохранена), посетил антимусорный митинг в Сыктывкаре, на сделанной там видеозаписи он утверждает, что националисты активно участвуют в протестах против свалки. Можно найти и фото Есева, а также памятного нам Юрия Авдошкина на Шиесе. Между тем еще в январе Есев на портале 7х7 публиковал гневное воззвание после того, как его сотоварищи не пустили на шиесскую вахту из-за националистических воззрений.

Националисты Евгений Есев и Юрий Авдошкин позируют с флагом на Шиесе. Фото: соцсети

Летом активисты также успешно противостояли маршу наци на Шиес — провокацию с участием 300 бойцов национального фронта ждали 2 июня, организаторами провокации называли Колегова, футбольных фанатов и несколько запрещенных в России организаций экстремистского толка.

Осенью ультраправые, видимо, все же нашли подход к активистам. На Шиесе нет фейсконтроля и профессиональных революционеров, владеющих протоколами безопасности. Больше того, экопротест всегда объединял людей самых разных политических убеждений, в качестве «пропуска» достаточно было назваться защитником природы. Этим и пользуются провокаторы.

Сейчас на странице Колегова в соцсети и на страничке «Собрание общественности Республики Коми» — националистической организации, в которой числятся Есев и Авдошкин, — можно найти немало лозунгов в защиту Шиеса, однако все они соседствуют с самыми радикальными призывами и старыми роликами «Рубежа Севера».

Звучат намеки на формирование на Шиесе неких партизанских отрядов, говорится о неэффективности мирного протеста.

Там же утверждается, что основная задача Колегова теперь — «отстаивание интересов жителей Республики Коми в их борьбе против строительства мусорного полигона».

Технология, которая сейчас отрабатывается на Шиесе, очень знакома сыктывкарским активистам: националистов снова внедряют в протестное движение, убивая двух зайцев, — отталкивая от него тех, кто с брезгливостью относится к наци, и давая власти повод для силовой зачистки полигона.

Лагерь экоактивистов в Шиесе, ноябрь 2019 года. Фото: Анна Шулятьева, специально для «Новой газеты»

Сотрудничество «мусорщиков» с архангельскими политтехнологами и чиновниками явно дало обратный результат, восстановив против проекта «Шиес» большую часть населения; теперь они, очевидно, нашли новые идеи — а заодно и исполнителей — в Республике Коми. Не учитывают только одного: так называемые русские националисты в Коми имеют слишком очевидную криминальную репутацию, и делать на столь одиозные фигуры серьезную ставку рискованно.

Из лагеря в Шиесе и раньше выдворяли провокаторов — тех, кто пытался пронести на полигон спиртное или нарушить закон, например, оскорбив полицейского. Но чем больше денег теряет инвестор из-за протестов, тем изощреннее идет война.

Сурс