водка россия

Импортозамещение по русски

Бессмысленный и беспощадный русский BugBounty и новый смысл выражения «вычислю тебя по IP»

Сейчас я расскажу вам прекрасную историю, в которой выражение «я вычислю тебя по IP» приобретает реальный смысл, про бессмысленный и беспощадный российский bugbounty, отношение к персональным данным своих клиентов и бессмысленного регулятора, который вместо контроля за предыдущим, занимается ухудшением жизни жителей РФ (и которого в Прекрасной России Будущего не будет).

История началась около 11 лет назад, когда я изучал устройство сетей крупных операторов с помощью инструмента whois — смотрел распределение адресов для клиентов т.д.), и в одном российском сегменте интернета набрёл на такое, от чего потерял дар речи.
Аккуратно сдампил результаты whois по сетям этого оператора (десятки тысяч адресов), и это настолько меня шокировало, что я предпочёл об этом поскорее забыть.

Месяц назад мне написал один из читателей: смотри, что происходит. И тут я всё вспомнил, и охренел ещё сильнее — от того, что за ~11 лет ничего не поменялось.

Есть такой московский оператор — «Комкор», сейчас работает под торговой маркой Акадо-Телеком.
Среди их клиентов — физические лица, фирмы (много банков, объекты инфраструктуры города) в московской области — жители элитных посёлков (Рублёвка, Барвиха, Жуковка и т.д.).

Многие уже догадываются, о чём будет дальше, но всё равно не могут поверить.

Да, Комкор (Акадо) выкладывает персональные данные своих клиентов прямо в БД RIPE, которая доступна с помощью whois.
Там всё:
ФИО клиента (или название компании), адрес подключения, телефон клиента.

Вот их сети:
212.100.128.0/19
212.45.0.0/19
178.208.128.0/19

Вот элитного посёлка «Жуковка»:

Вот клиенты в Барвихе, включая местный Альфа-Банк:

А что это за Никита Сергеевич в посёлке Николина Гора пользуется услугами горе-провайдера, не известный ли кинорежиссёр? Ага, он:

«Какая-то невероятная дичь», — воскликните вы, и будете совершенно правы.
Давайте теперь посмотрим, как обстоит дело с защитой персданных клиентов-фирм и объектов инфраструктуры Москвы.
Вот IP-адреса объектов ДИТ Москвы — Департамента инфромационных технологий — к Акадо подключены сотни таких объектов. Это интернет для камер, телеметрии и других служебных устройств и пользователей:

Давайте поищем по ключевому слову «Bank».
Что же мы видим? Сотни банков подключены к Комкору, и любой человек на свете может узнать IP-адрес конкретного филиала, контакт технического специалиста, его ФИО и так далее:

Что должен сделать приличный человек, который осознал что все эти ~11 лет персданные клиентов большого оператора лежали в паблике?
Правильно, написать об этом в Комкор. Ну не знали же они, что делают всё это время, в самом деле — надо им об этом рассказать!
Что я и сделал:

Через 1 рабочий день я получил ответ от начальника ИБ — мол информацию получили и проверят (странная задержка в сутки при такой-то страшной дыре, но ладно):

Ещё через 5 дней я решил поинтересоваться результатами проверки информации:

на что мне ответили, что всё исправили:

Ого, думаю я, наконец-то в России стала повышаться ответственность компаний и рост культуры реакции на сообщения о дырах. Но решил всё же проверить: убрали персданные только из блока person и только из двух моих примеров в первом письме, но в блоке inetnum персданные остались даже в моих примерах, о чём я написал:

и получил очень странный ответ, что «принято решение» убрать персданные пользователей белых сетей (когда убрать?!), но поле inetnum они обязаны заполнять:

Да никто не спорит, что обязаны — но провайдеры записывают туда информацию о назначении сети, или, если это фирма — максимум, её название и юр. адрес (и даже это далеко не всегда, точнее — почти никогда), но никак не ФИО клиента-физлица.
На моё письмо от 24 октября с уточняющим вопросом никто не ответил:

И тут мои силы закончились — я перестал понимать, почему я должен уговаривать большую компанию с огромной ответственностью заставлять устранить такую страшную дыру. Я перестал понимать, почему эта переписка вообще должна была длиться больше двух писем, ведь каждому здравомыслящему человеку абсолютно очевидно, насколько это дико — персданные твоих клиентов в паблике. И я уже не говорю об ответственных лицах в компании, которые должны только и заниматься тем, что устранять эту страшную дыру.
Я очень не хотел писать этот пост — мне ответили, со мной общались вежливо, даже в музей пригласили :). Но это попытка сделать хорошую мину при плохой игре. Никаких действий по факту предпринято не было, сроки их тоже озвучены не были. Поэтому следующим шагом я должен перейти к информированию об этой опасной уязвимости общественность, чтобы они вывели себя из-под угрозы и перестали пользоваться оператором, который так относится к персданным своих клиентов.

А теперь — простым языком для людей, которые не поняли, что всё это значит.

Whois — это публичный инструмент, которым может воспользоваться каждый человек, чтобы получить информацию об IP-адресе или домене.
В нём содержится служебная информация о владельце домена или IP-адреса (в данном случае — провайдере).
По правилам организации RIPE, которая выдаёт IP-адреса, провайдер обязан содержать в актуальном виде информацию о назначении подсети IP-адресов (например, служебная или клиентская), контакты для связи (почта и телефон провайдера), и если провайдер выдаёт в аренду крупный блок адресов — информацию об арендаторе.
Но никакому провайдеру не приходит в голову указывать ФИО, адрес подключения и контакт физического лица, которому выдан 1 IP-адрес. Тоже самое — с юридическими лицами. В случае выдачи большого блока, максимум — указывается юрлицо, его контакт и юридический адрес. И то, так делают далеко не все провайдеры, и никаких санкций, конечно же, за это нет.
Не очень умные технические специалисты Комкора (ныне Акадо) в какой-то момент просто настроили автоматическую трансляцию информации из своей служебной базы клиентов (CRM) в базу данных RIPE, и таким образом персданные клиентов стали доступны для всех желающих.
Для оператора такая дыра — катастрофа дважды, потому что:
1) Собственно, песональные данные клиентов — в публичном доступе. Какое доверие может быть к такому оператору?
2) Твоих клиентов могут просто переманивать другие операторы, за полчаса просканировав все IP-адреса и собрав базу данных.
3) Можно узнать IP-адреса определённого клиента или устройства, очень несложно забить канал трафиком и выключить, таким образом, интернет у клиента.
В случае с ведомственными объектами, большое количество которых подключено к Акадо — это же прямая угроза безопасности города.

Этот пост прочитает много клиентов Акадо — вы, конечно, решайте сами, но я бы никогда не стал пользоваться услугами оператора, который выкладывает ваши персональные данные в паблик, и не убирает их в срочном порядке после приватного сообщения об этом.
И даже через 3 недели всё еще не убирает.
Такое поведение, конечно, абсолютно неприемлемо в 2018 году.

И в завершение, я хочу отдельно написать о Роскомнадзоре.
Это регулятор, под надзором которого оператор связи оказывается дважды — как оператор связи, и как оператор персональных данных.
Эти никчёмные и бесполезные дармоеды вместо ухудшения жизни всех жителей России и ежедневной блокировки до 10–15 IP-адресов нашего прокси для Telegram (вы представляете, там сидят специальные люди на зарплате, которые почти круглосуточно резолвят домен и добавляют актуальные IP-адреса в выгрузку — что может быть бессмысленнее), должны заниматься как раз пресечением таких вот историй.
Дорогие журналисты, которые будут звонить в Акадо — сделайте, пожалуйста, следующий звонок в Роскомнадзор и спросите, почему они не выполняют свою работу, а вместо этого занимаются ухудшением жизни граждан России.

Источник: https://medium.com/@itsorm/бессмысленный-и-беспощадный-русский-bigbounty-или-отношение-к-персональным-данным-из-двухтысячных-d9e0e8a7601e

Виктор Вексельберг разработал комплексный план поддержки своего бизнеса

Баженов разразился злостью.

Я бы добавил это в Вату, но тогда не увидят остальные.

5 шагов для России

Это кампания нам нужна, потому что вот эта картинка чудовищна.

с сайта "Коммерсанта"

И наша жизнь «после коронавируса» во многом определится тем, насколько мы осознаем тяжесть происходящего и готовы приложить усилия для спасения этих людей и себя самих.

54% граждан говорят о снижении доходов. 24% о том, что лишены доходов полностью.

Но счастливые 35%, доходы которых не упали, тоже обеднеют. Два месяца карантина съедят 10% ВВП. Четверть граждан, лишившихся доходов, — это смерть огромной части малого бизнеса и большие потери для среднего.

Можно самоизолироваться от вируса, но от экономического спада — нет. Он догонит вас хотя бы ростом цен.

Хорошие новости в том, что любую дискуссию о том, как спасать граждан, бизнес и экономику, мы можем (и обязательно должны) вести в контексте цифры 120 614.

Именно столько рублей на каждого из нас лежит в резервных фондах России. Это данные Центрального банка России на 1 марта.

Это не какая-то абстрактная стоимость всех российских богатств и не текущие деньги бюджета, из которых платят зарплаты бюджетникам и пенсии.

Это резерв. Мы его копили для использования «в тяжелые времена».

Сомнений в том, что такие времена пришли, ни у кого нет. Вопрос в том, будем ли мы использовать резерв для облегчения бремени людей и бизнеса либо снова тупо отдадим его госкомпаниям и олигархам, как делали это в 2009 или в 2014 годах.

Правительства развитых стран сейчас довольно единодушны. Их действия похожи и основаны на такой логике:

Мы требуем от людей сидеть дома. Люди и бизнес страдают и несут убытки. От того, что они обеднеют, будет плохо всем. Какое решение? — давать деньги.

Сложно себе представить, но такие суперкапиталистические страны, как США, Германия, Великобритания или Канада, сейчас напрямую раздают деньги гражданам и предпринимателям. В Германии, если ты частный предприниматель, ты пишешь заявку и тебе в течение недели переводят от 9 до 15 тысяч евро. Возвращать их не надо. Это тебе, чтоб ты выжил. В США правительство переведёт тебе 1200 долларов. Это 90 тысяч рублей. В Канаде каждый получит по 2000 долларов. В Испании так же делают, ну, и так далее. И даже небогатые страны стараются. Вот Грузия беднее, чем Россия, но там полностью отменили плату за ЖКХ на период эпидемии.

В России же иначе. Наши экономисты тоже считают, что сейчас надо перейти к прямым мерам поддержки людей и бизнеса — давать деньги.

Российское же правительство придерживается другого взгляда. Оно не считает правильным, как сказал президент Путин, «палить резервы». А совсем прямо эту мысль выразил мэр Москвы Сергей Собянин. Отвечая на вопрос, надо ли помогать населению напрямую, он заявил, что если всем помогать, то бюджет треснет.

Самое парадоксальное в нынешней ситуации, что несмотря на то, что каждый четвертый в стране оказался без источника дохода, никакого организованного движения и политического давления с требованием начать прямые выплаты нет.

Это надо начать делать немедленно. Консолидировать всех вокруг пяти простых требований:

- Прямо сейчас выплатить каждому взрослому 20 тысяч рублей и 10 тысяч рублей на каждого ребенка.

- Если карантин продлится, то ещё по 10 тысяч каждому в мае и июне.

- Полностью отменить плату за ЖКХ на период эпидемии.

- Направить 2 триллиона рублей в виде безвозвратных выплат малому и среднему бизнесу.

- Отменить все налоги для малого бизнеса сроком на один год.

Требования реалистичны. Для их выполнения в стране достаточно денег. Они поддержаны ведущими экономистами. Они опираются на мировой опыт.

Что же означает «общенациональная кампания» сейчас, в период карантина?

Митинги — самый эффективный и заметный способ выдвигать требования — недоступны.

Давайте тогда искать преимущества и возможности в том, что есть сейчас. Выжмем лимонад из лимонов.

Что мы вынуждены делать? Оставаться дома. Что мы делаем дома? Сидим в интернете.

Значит, надо делать общенациональную кампанию в интернете.

Цель: создать такой уровень политического и общественного давления, при котором Путин и его правительство будут вынуждены реализовать «пять шагов» (в том или ином виде, конечно, сообщив всем, что это мудрое правительство само решило так сделать), опасаясь лишиться политической поддержки.

Задача: сделать так, чтобы о пяти требованиях узнали больше ста миллионов человек. Это абсолютно реалистично. 94 миллиона россиян пользуются интернетом, и абсолютно все пользуются ртом, чтобы разговаривать друг с другом. Можно не сомневаться, что из 100 млн, услышавших о «пяти шагах», их поддержит 99 млн.

Практическая задача: информировать о «пяти шагах» первые 15 миллионов человек и получить их поддержку.

15 миллионов — это то количество людей, которое мы с вами охватим при желании за день, вообще не напрягаясь. Просто каждый тратит три минуты времени на посты в соцсетях и ссылки знакомым.

Важнейший шаг №1: формализация требований. Если кто-то требует вообще чего-то где-то, то такое можно игнорировать и отвечать «президент не в курсе».

Мы начнем с того, что новость о нашем движении будет звучать не как «в сети обсуждают, что», а «столько-то миллионов подписались под требованиями».

Мы все с разной долей скептицизма относимся к интернет-петициям. И мне об этом рассказывать не надо — я был первый, кто собрал нужное количество подписей на официальном портале РОИ.

Однако сейчас это отличный агитационно-информационный инструмент. И очень простой. Очень легкий. Подписываетесь и сообщаете об этом всем вокруг, агитируя их.

Есть три главные площадки для петиций:

РОИ. Там вообще все официально. Собираем 100 тысяч подписей, и правительство должно будет что-то ответить. Наша петиция туда загружена ещё 13 апреля, но хитрые чиновники пока отказываются её публиковать. Держат «на модерации». Видимо, понимают опасность.

Петиция ВКонтакте. Это мощная штука. Здесь мы ставим первой задачей собрать три миллиона подписей, и это будет огромным агитационным инструментом.

Change.org. Популярная платформа. Здесь начнем с миллиона подписей.

Чтобы вам было проще, мы сделали общий сайт, который так и называется - «5 шагов для России». Там есть требования кратко, подробное описание и ссылки на все платформы подписей.

Кампания построена на маленьком вкладе каждого. И это именно тот случай, когда ваше личное действие имеет значение — и только оно имеет значение.

Свободного времени у каждого из нас сейчас достаточно. Зато денег недостаточно у всех. Получим ли мы помощь от своего собственного резерва, зависит только от нас самих. Нам нужны эти 5 шагов для России. Давайте их сделаем.

Источник: https://navalny.com/p/6337/

Мужество в наши стоит 10000 рублей. 100 баксов. Справедливое вознаграждение за то, что ты умрешь за великого вождя и величие ядерной сверхдержавы. Полторы новые видеоигры за эти деньги можно купить, на вторую уже не хватит. Столько же стоит "безопасность и мир на наших землях". Вы извините, я просто впал в ступор от этой хуйни, реально. Вот рядом современный мир с его реалиями. И есть параллельная вселенная шизы, которая на него накладывается. Вы меня извините, я в последнее время активно сру постами в политоту, какой-то был подъем злорадства по всей этой хуйне, но я так больше не могу. Каждый день как хуем по лбу очередная невероятная глупость за глупостью, лицемерие за лицемерием, грязь, ложь, ненависть и тупость, тупость, тупость. Я хуй знает, наверное я великовозрастный, но все еще малолетний долбоеб, который начитался всяких книжек от множества авторов, которые расписывали какими в будущем люди будут умными, рациональными, добрыми и честными друг к другу. Я надеялся хотя бы в старости застать такое человеческое общество, где все работают вместе и дружат не против кого-то, а потому что просто блядь так, по доброте душевной, потому что все мы люди. Но этого, я так понимаю, не будет. Вот эти выборы в Америке еще, что ужасает: демократы, республиканцы, разделились на два лагеря, и они друг друга ненавидят, обе стороны хотят победы по большей части, чтобы унизить, уничтожить, увидеть страдания другой стороны, чтобы "они на четвереньках ползали, а мы будем на них плевать". Этож вроде один народ, одна страна, они живут на одной земле, дышат одним воздухом, и после выборов им как бы продолжать жить вместе и дальше. Но лидеров выбирают не потому что человек достойный, мудрый, наиболее подходящий на роль, а просто "давайте хайпить нашего говно-кандидата и хуесосить другого, чтобы другой говно-кандидат казался хуже нашего!", да, да, да, Южный Парк, Клизма и Сэндвич-с-дерьмом, великая серия великого сериала. И эта страна - мировой регулятор, от которой зависят судьбы всех остальных на Земле, чтобы там кто не пиздел про многополярность.

Извините за то, что насрал, накипело.