Китайские специалисты помогут России заблокировать YouTube к концу 2023 года
В Москву прибыла группа китайских специалистов по киберугрозам в составе 41 человека, которая поможет заблокировать YouTube в России. Об этом пишет прокремлёвское издание «Октагон», не уточняя источник информации.
По данным «Октагона», российская сторона реализует с китайцами проект по полной блокировке платформы — они совместно проведут анализ, а также подготовят его дорожную карту.
Часть технологий для блокировки предоставит Народно-освободительная армия КНР, остальная часть будет базироваться на разработках России и Беларуси, отмечает издание.
Как утверждает «Октагон», блокировка YouTube в России будет возможна в четвёртом квартале с октября по декабрь 2023 года, после чего станет «доступна работа по блокировке всех типов VPN».
Пилотный проект, предположительно, будет осуществлять «Ростелеком», а в случае успеха им займутся все российские полугосударственные и частные провайдеры, пишет издание. Других подробностей «Октагон» не приводит.
Технический директор «Роскомсвободы» Станислав Шакиров, комментируя публикацию «Октагона», отметил, что «российские и китайские госорганы общаются и обмениваются опытом по поводу блокировки и выстраивания цензуры в целом».
В Китае YouTube был заблокирован в 2008 году. При этом в стране функционирует свой аналог платформы — видеопортал Youku, который, как и многие другие ресурсы, контролируется Коммунистической партией Китая.
Наверное по всему ДНР так, в Донецке еще с октября Гугл поиском стало нереально пользоваться. он как бы работает, но ощущаешь себя с интернетом из нулевых, когда картинка грузилась по кадрам)
С июля банки начнут записывать голоса и видео россиян: Единая биометрическая система позволит обслуживать клиентов удаленно – открывать счета, выдавать кредиты и исполнять переводы
С 1 июля банки в России начнут узнавать клиентов в лицо и по голосу. В стране запустят единую биометрическую систему. Она будет идентифицировать людей дистанционно. Обмануть ее не получится.
В тысячах отделений банков во всех регионах страны скоро появятся мини-фотостудии.
Фотография и голосовой слепок — так называемая биометрическая карточка. Тот, кто ее оформит (это бесплатно), получит дистанционный доступ к самым популярным банковским услугам: открыть счет, перевести деньги, даже взять кредит можно будет на расстоянии. А поскольку система объединит большинство российских банков, есть возможность обратиться в любой из них. При этом не нужно писать заявлений, собирать документы, даже из дома выходить необязательно.
Для того чтобы система удаленной биометрической идентификации появилась в России, были внесены поправки в законодательство и разработана новая цифровая платформа. Ее уже протестировали больше 20 российских банков.
Владимир Верхошинский, член правления ПАО ВТБ: «Это сокращает и время проведения операций, затраты на проведение операций. Клиентам не за всеми операциями теперь нужно будет идти в отделение, можно будет делать дистанционно. Для нас важно, что клиенту удобно, а наши расходы сокращены».
Удобно будет всем, даже тем, кто не может приехать в отделение банка, чтобы пройти биометрическую регистрацию.
Иван Беров, директор по цифровой идентичности ПАО «Ростелеком»: «Будет выездная регистрация, где к вам будет приезжать специально обученный человек с оборудованием для съема биометрии. Таким образом мы планируем покрыть с точки зрения этой услуги и малоподвижную группу граждан нашей страны».
Для банков — экономия денег, для клиентов — времени, не нужно стоять в очередях. В проигрыше — только мошенники. Новую систему практически невозможно обмануть.
Алексей Козырев, заместитель министра связи и массовых коммуникаций России: «Многие банки сейчас присылают СМС, код, который нужно внести. Но этот код можно перехватить. Я могу этот код сообщить другому человеку. С биометрией это невозможно. Биометрия — это только мое, мое лицо, мой голос, и я не могу это никому передать».
В России единую биометрическую систему идентификации уже в этом году начнут использовать банки для работы с клиентами. А в перспективе созданную базу данных можно будет применять в торговле, телемедицине и дистанционном образовании.
*прости Вождь, если мой пост слишком опасный для проекта. Я реально не знаю, допускается ли обсуждение такого. Ну или нужно ещё добавить секретных тегов. Если да, не серчайте, сделайте это плиз* Сап реактор. Любители потролить и поебать мамку в "аноне" могут сразу делать свои грязные дела и не задерживаться. Те, у кого есть чувство эмпатии, могут чутка его ♂️простимулировать♂️. Пост касается могилизации. Я принципиальный человек (что порой делало мою жизнь тяжелее), и я из принципа не собираюсь стрелять в людей и собирать свои кишки за амбиции старого уёбка-маразматика. Нахожусь в категории тех, кого будут отправлять первой волной. Получение повестки - всего лишь дело времени. Я ебал прятаться и жить в страхе - постучат ли сегодня в дверь, посадядт ли меня на бутыль завтра? Жизнь моя в принципе говно - жены нет, детей нет, с родителями у меня отношения нейтральные, соответственно мне абсолютно не страшно сделать им больно своим поступком. Из друзей остался только один человек, и то я с каждым годом понимаю, что мы слишком разные, поэтому эта дружба - уже скорее воспоминания, нежели факт. Опыта нормальной работы тоже нет, в мои 30+ лет. Через два месяца закончится "бесплатный" срок рефинансирования в размере 650к рублей, а работы тупо нет. Поэтому терять мне уже нечего и порядком заебало такое существование. Поэтому процентов 85, что если повестку мне вручат, я сделаю [роскомнадзор]. Но я ссыкую делать это болючими способами вроде ныряния в водоёмы, прыгания с тарзанки, вышагивания с крыши. Самый гуманный способ - использование реквизита игр-шутеров- не доступен, а ждать того момента, когда реквизит появится в руках уже на чужой границе - ненадёжный. Могут ведь отправить тупо ныкаться в окопах и вместо реквизита выдать лопатки. Поэтому остаётся самый подходящий для меня вариант - вещества. ну и собственно вопрос - какие вещества подходят для этой задумки? Если отвечать прямо стрёмно, укажите плиз какие ресурсы для подобного рода обсуждений, и способы их поиска. Я абсолютно не шарю во всех этих ваших Торах и даркнетах. Спасибо, реактор, за подаренные эмоции за все эти годы, и спасибо, если кто отзовётся
Развернуть
Отличный комментарий!
Блядь, не делай этого, долбоёб. Просто нахуй задумайся о том, что эта жизнь - это всё что у тебя есть. Это весь мир. Все те чувства, вкусы, краски, всё это, что ты видел и знаешь, всё что ты любил и любишь - это всё у тебя в голове. Если ты умрёшь - то умрёт и всё это.
Выход всегда есть. Как минимум можно куда-нибудь уебать далеко в лес и стать отшельником, хер тебя кто там найдёт. Это конечно немного наивно. Но всё же, лучше постараться выжить.
Если таки мобилизируют - почитай в интернете, как правильно сдаваться в плен. Скорее всего тебе нужно будет позвонить по определённым номерам, тебе назначат место, куда надо прийти и сдаться. В плену ты сможешь передать много полезной информации, и попросить убежища.
Самый беззащитный — уже не Сапсан. Всё оказалось куда хуже…
Больше года назад хабравчанин keklick1337 опубликовал свой единственный пост «Самый беззащитный — это Сапсан» в котором рассказывает как он без серьёзных ухищрений получил доступ ко внутренней сети РЖД через WiFi Сапсана.
В ОАО «РЖД» прокомментировали результаты этого расследования. «Есть результаты проверки. Почему удалось взломать? Наверное, потому, что злоумышленник. Наверное, из-за этого… Ну, он из „фана“. Юный натуралист. Там уязвимостей, которые бы влияли на утечку каких-то критических данных, нет. Мультимедийный портал „Сапсанов“ функционирует как положено и не нуждается в доработке», — заявил Евгений Чаркин. То есть вместо того, чтобы выразить благодарность за обнаруженную уязвимость, автора обозвали «злоумышленником» и «Юным натуралистом».
К сожалению, но специалисты РЖД, начиная с директора по информационным технологиям, отнеслись к статье очень пренебрежительно, проигнорировав важное указание автора: Также оттуда в сеть РЖД есть впн. Если захотите — найдёте её там сами. И вот, год спустя я попал в сеть РЖД даже не садясь в Сапсан.
Видимо, только этот котэ добросовестно охраняет вокзал.
Как именно я попал в сеть РЖД с пруфами, чего не сделал директор по информационным технологиям ОАО «РЖД» Чаркин Евгений Игоревич и возможные последствия — под катом.
Всё началось с гипотезы
В интернете очень много бесплатных прокси-серверов. Но кто в здравом уме будет открывать всем желающим выход в интернет через свой роутер? Вариантов по большому счету два: это либо взломанные устройства, либо владелец забыл отключить эту функцию.
Таким образом меня посетила идея проверить гипотезу: «Есть ли жизнь за прокси»?
Я запустил nmap по диапазону адресов по порту 8080. Далее из полученного результата прошёлся прокси-чеккером в поисках публичного прокси без авторизации и из положительных результатов выбрал самый близкий ко мне по пингу.
Запустил сканер через него по адресам 172.16.0.0/12 порт 8291 (mikrotik winbox). И! Я его нашёл! Без пароля!
То есть за роутером с прокси есть ещё один — Mikrotik без пароля. Гипотеза подтверждена: за прокси могут быть целые незащищённые сети.
Только на тот момент я недооценивал масштаб «незащищённости», который я случайно нашёл.
Кстати, заходите в Телеграм чат «RouterOS Security» t.me/router_os
Недолго думая я поднял исходящий VPN до себя. Всё же комфортней через нормальный туннель дальше изучать сеть и искать признаки владельца системы. HTTP connect — ещё тот геморрой…
За интерфейсами ether1 и bridge ничего интересного не обнаружил. Найденные камеры были абсолютно не информативными.
А вот сканирование vpn, отмеченные красным на скрине выше, выдало более 20 000 устройств… Причём более 1000 штук — микротики. Огромное количество устройств с заводскими паролями.
Вот некоторые из найденных сервисов с паролями по умолчанию:
1. Камеры наружного наблюдения — подавляющее большинство.
Ещё камеры
Даже офисы внутри
Камер, по скромным ощущениям, не менее 10 000 штук. Производители разные: beward, axis, panasonic и т.д.
2. Ip-телефоны и FreePBX сервера также большое количество.
3. IPMI серверов:
Asus
Dell (их подавляющее большинство)
Supermicro
Из серверов виртуализации встречаются ESXi, Proxmox и oVirt
Много узлов кластера Proxmox (по поднятым сервисам и трафиком между ними.)
4. Преобразователи ethernet во 'что угодно' (Moxa UniPing etc)
5. Системы управления ИБП
6. Внутренние сервисы
Что-то похожее на мониторинг состояния систем обеспечения здания.
Система управления кондиционированием и вентиляцией
Различные системы управления табло на перронах :-)
Эта самая красивая
Некий терминал, но внутри модифицированный дебиан.
Таких нашёл около 20
Кстати, аптайм у него почти год:
6. Сетевое оборудование
Разумеется, много различных роутеров. Как уже сказано выше, мне больше интересны Микротики. Подавляющее большинство с последней прошивкой и пароли не пустые. Но есть без паролей и с устаревшими прошивками.
Туннели наружу подымаются легко. То есть фильтрации исходящих коннектов практически нет. Более того огромное количество микротиков со включенным прокси, аналогично тому, при помощи которого я и попал в эту сеть… Кстати, туннели через них тоже замечательно подымаются.
Не полный кусок лога по прокси.
Такое ощущение, что интегратор, который строил сеть, специально оставил этот доступ.
И все же кто же хозяин?
Думаю, что уже все и так догадались.
Это я пробежался по верхушкам в рандомном порядке. Потратил я на это чуть больше 20 минут, чем автор статьи про Сапсан.
Это здец. Сеть просто в решето.
Причём это устройства по всей РФ.
Например, вот это вокзал Уфы
Антропово Костромской области
Развёрнута профессиональная система видеонаблюдения.
Находил Кемерово, Новосибирск, Омск и т.д. По внешнему виду вокзалы сложно определить. К тому же я поездом уже лет 5 не ездил.
Как же так получилось?
Я всегда считал, что уязвимости в корпоративных сетях появляются из-за ошибок или специальных действий безграмотных сотрудников. Первое что пришло мне в голову — это некий сотрудник по разрешению СБ поднял у себя из дома VPN до рабочей сети на микротике в своей домашней сети. Но в данном случае эта моя гипотеза разбилась как только я увидел обратный резолв адреса через который я попал на этот Микротик.
То есть это один из шлюзов в мир из сети РЖД. Ну и в сеть РЖД тоже…
Получилась вот такая картина:
Вероятно, что это один из офисов РЖД, который прилинкован к основой сети через l2tp. Я попадаю в сеть где межсетевые экраны отсутствуют как класс. Запускаю интенсивное сканирование хостов — у меня соединение не рвётся. Значит о системах обнаружения вторжения (IDS/IPS) РЖД тоже ничего не слышал. Микротик может замечательно интегрироваться, например Обнаружил кучу устройств без защиты. Это говорит, что службы сетевой безопасности в РЖД так же нет.Много устройств с дефолтными паролями. То есть политики паролей тоже нет.С Микротиков внутри сети я легко поднял туннели. То есть исходящий трафик не контролируется. Я вижу все интерфейсы управления в одной сети с клиентскими сервисами. Админы РЖД ничего не знают о Management VLAN «Российские железные дороги» провели проверку после взлома мультимедийной системы поезда «Сапсан» одним из пассажиров, критических уязвимостей не обнаружено. Так дайте ответ, Евгений Игоревич, какой «Юный натуралист» проводил расследование и не заметил гнездо со слонами?
У меня лично есть всего три варианта ответа на этот вопрос:
1. У Вас исходно плохая команда.
Проверку проводил тот же отдел, который и проектировал/обслуживает систему. Отрицая проблему, они или сохраняют свою работу, или преследуют иные цели.
2. Вы доверились не тому специалисту. Аудит проводил некомпетентный сотрудник.
3. Вы и так знаете о проблеме, но по каким-то неведомым причинам не можете ее публично признать и решить.
Стоимость уязвимости
«Что есть защищенная система? Защищенная система — это та система, взлом которой стоит дороже, чем ценность информации, которая там есть. Вот и все», — подытожил директор по информационным технологиям ОАО «РЖД». Предлагаю применить Вашу систему оценки в теории на примере системы видеонаблюдения РЖД.
Чтобы вывести камеры из строя так, чтобы их могли восстановить только специалисты вендора, достаточно залить прошивку с заблокированным сетевым интерфейсом.
Рандомно выбранная из списка установленных модель стоит ~13к рублей.
А закупки по 44-ФЗ отличаются, как непредсказуемой конечной стоимостью, так и временем проведения самой процедуры и получения продукта. Я потратил 8 часов для сбора информации для этой статьи. Найдено ~10к камер. Производителей камер, которые установлены, немного — максимум штук 10.
Гипотетическому злоумышленнику потребуется:
Модифицировать прошивки, заблокировав сетевой порт на 10 прошивках. Думаю, что на это у специалиста уйдёт три рабочих дня;Написать сканер, который будет анализировать устройство и заливать соответствующую прошивку. Заложим ещё 2 дня;Запустить этот сканер-прошивальщик, чтобы не смогли найти источник и заблокировать — часа два. Таким образом за неделю работы специалиста по взлому РЖД потеряет минимум 130 миллионов рублей. Отсюда стоимость одного часа работы злоумышленника будет равна ~2,5 млн. рублей.
Двигаемся дальше.
Быстро заменить камеры на работающие РЖД не сможет. В резерве столько нет. Купить новые из-за обязанности объявления торгов так же не получится. Таким образом вся железная дорога будет без видеонаблюдения не меньше месяца.
А вот это уже опасность террористической угрозы. Чтобы её хоть как-то снизить потребуется на 10 тысячах объектов существенно усилить охрану. То есть даже на маленькую ж.д. станцию потребуется дополнительно 6 человек охраны…
Кажется счёт уже уходит за миллиарды…
Что нужно изменить, чтобы снизить вероятность возможных последствий? Далее чисто мой взгляд на решение данной ситуации. Он ничего общего не имеет с мировыми best practices.
Так же, сразу оговорюсь, что проблема касается только обнаруженной мною сети видеонаблюдения. В других сегментах сети РЖД, очень надеюсь, всё намного лучше.
1. Нанять сетевых аудиторов, которые помогут найти и закрыть самые «зияющие» дыры.
2. Нанять крутых системных архитекторов, которые имеют богатый опыт построения больших сетей. И не факт, что это будут российские специалисты. Перед ними поставить следующие задачи:
2.1. доработать текущую инфраструктуру до безопасного состояния за минимальные средства (зачем вкладывать много денег в проект, который скоро разберут)
2.2. разработать новую полноценную инфраструктуру, отвечающую всем требованиям безопасности и план поэтапной миграции.
3. Нанять подрядчика, который будет реализовывать в жизни данные проекты и передавать на эксплуатацию сетевикам РЖД.
4. После сдачи проектов провести аудит безопасности инфраструктуры.
5. По окончанию пентестов своими силами объявить Bug Bounty
Чтобы мотивировать аудиторов и внутренних специалистов работать качественно, надо объявить лимит на количество и серьёзность уязвимостей, которые могу найти участники программы Bug Bounty. Если внешние специалисты найдут багов меньше лимита, то свои аудиторы получают премии. Если багов будет больше лимита, то штрафовать.
В дальнейшем службу внутреннего аудита информационной безопасности оставить на постоянку и премии формировать уже на основании обнаруженных багов и их устранении.
Разумеется, что схема имеет огромное количество подводных камней, которые за время написания статьи предусмотреть не возможно.
Заключение Я не единственный кто нашёл данные уязвимости. Очень много признаков, что в этой сети кто-то «живёт».
Например, вот эти линки я уже встречал не раз на роутерах, никак не относящихся к РЖД.
Все информационные системы уязвимы априори. Когда их вскроют — зависит от интереса злоумышленников к ним, беспечности создателя и времени, которое они на это потратят. Основой основ безопасности является ограничение доступа к системам при несанкционированном проникновении в одно устройство.
В случае с Сапасаном, чтобы через полученный VPN доступ можно было увидеть только один сервис — с которым взаимодействует пользователь системы, а не всю сеть РЖД…
Я старался достаточно жирно намекнуть на узкие места не раскрывая деталей и надеюсь, что специалисты РЖД их всё же увидят.
Связаться со мной можно через телеграм t.me/monoceros Обсудить данную статью приглашаю в профильный чат по Микротикам в Телеграм «RouterOS Security»: t.me/router_os
Станислав Какать-Просто Если нужна краткая характеристика, то типичный любитель сидеть на всех стульях, но на одном чуть чуть побольше. Чел, который строит из себя дохуя объективного и беспристрастного, но по факту просто совкодрочер и уебан, как и гоблин(хотя второй вроде не стрит из себя ничего, а всегда прямо показывал кто он)
Соцвзносы россиян прокрутят в банках попавших под санкции миллиардеров
Попавшие под санкции миллиардеры получат доступ к дополнительным финансовым ресурсам за счет средств российских налогоплательщиков.
Госфинансирование будет выделено банкам, которые принадлежат братьям Аркадию и Борису Ротенбергам (38-е и 94-е места в списке Forbes с состоянием 2,6 и 1 млрд долларов соответственно) и Юрию Ковальчуку (93-е место, 1 млрд долларов).
Как сообщают "Ведомости", соответствующее распоряжение подписал премьер-министр РФ Дмитрий Медведев.
Контролируемый Ротенбергами СМП-банк сможет хранить на своих счетах свободные средства госкорпораций, а также резервы Федерального фонда соцстрахования, в который работодатели отчисляют за граждан РФ 2,9% от зарплаты.
Банк "Россия", принадлежащий Ковальчуку, также получит доступ к деньгам ФСС, а кроме того - свободным средствам федерального бюджета, которые Минфин регулярно размещает на депозитах в банках.
Доступ к этим операциям имеют лишь небольшое число кредитных организаций, а нормативы допуска последовательно ужесточаются. Последний из них - наличие рейтинга агентства АКРА не ниже "А-".
В июле нужный рейтинг не удалось получить на тот момент крупнейшему частному банку "Открытие": ссылаясь на "слабое" качество кредитного портфеля банка, где 15% займов просрочены и не обслуживаются, а 20% квалифицируются как сомнительные, а также высокую стоимость риска и низкую маржу, АКРА оценило кредитоспособность банка на одну ступень ниже, чем требовалось для работы с деньгами государства.
Последовавший отток госсредств де-факто прекратил самостоятельную деятельность банка, который в конце августа был национализирован за счет фонда санаций ЦБ.
На 1 ноября в банках хранилось 1,259 трлн рублей средств федерального бюджета: из них 1,029 трлн казначейство разместило на депозитах сроком от 35 до 124 дней, а еще 230 млрд залило в банковскую систему через операции репо на срок от 1 дня до недели.
С начала августа объем размещенных в банках госденег вырос в 1,7 раза, или на 459 млрд рублей.
«Комсомольская правда» опубликовала «исповедь айтишника», якобы уехавшего за границу после начала войны. Она заканчивается так: «Вернулся в Россию, чему очень рад, и Родину не подведу теперь»19 июня в прокремлевском издании «Комсомольская правда» вышла статья журналиста и провоенного блогера Александра Коца. Автор рассказал историю российского десантника по имени Виктор, который якобы был ранен, прикрывая сослуживцев. Коц заявил, что попросил своих подписчиков «поддержать героя добрым словом» и получил много писем. Среди них, по словам Коца, «выделялось письмо от айтишника, которое было больше похоже на исповедь».
В тексте якобы письма (Коц привел его полностью, не называя автора) говорится, что его автор «придерживался „либеральных“ взглядов» и «мотнулся в эту самую „просвещенную“ Европу» после 24 февраля 2022 года.
«Это очень похоже на «Незнайку на Луне»: намылился — заплати, смыл мыло — заплати, а нет денег — всем плевать на тебя, хоть в канаве сдохни. А я с рождения привык: образование бесплатно; медицина бесплатно; пособия, льготы; да еще и поругать за это все можно. Да и русофобия страшная. Все, просто все поголовно давай мне загонять: „Ты же русский - значит во всем виноват“, а я прям чувствую, что что-то не то, не чувствую я себя виноватым, да и за что?» — говорится в письме.
Заканчивается оно так: «Вернулся в Россию, чему очень рад, и никуда уже с Родины не собираюсь, буду растить сына (или нескольких, если Бог даст), да все это ему передам. И Родину не подведу теперь».
Действительно ли письмо, которое процитировал Коц, было написано IT-специалистом — неизвестно.
В последние дни сразу несколько российских чиновников высказывались о тех, кто уехал из страны после начала полномасштабной войны с Украиной. Помощник президента Максим Орешкин заявил, что половина уехавших уже вернулась. А спикер Госдумы Вячеслав Володин призвал тех, кто остается за границей, «включить голову» и тоже возвращаться, пока есть возможность.
Даже забавно. Где и когда можно поругать российскую власть хоть за что-то? Ну а вообще сказка сразу видна, когда человек пишет про Европу или запад. Это всегда чушь, потому что нет такой страны. А в ЕС страны сильно различаются что по ценам, что по отношению к мигрантам, что по льготам и медицине.
VISA или Mastercard есть? Выкинь нахуй! Morgan Stanley назвал убыточным дальнейший бизнес Visa и MasterCard в России. Аналитики Morgan Stanley подсчитали, что с введением поправок к закону "О национальной платежной системе", обязывающих международный платежные системы разместить на спецсчетах в ЦБ обеспечительных взнос, равный двухдневному обороту систему, бизнес Visa и MasterCard в России станет убыточным, сообщает "Коммерсант". Полный текст http://www.interfax.ru/finances/376239
Отличный комментарий!