депутатская столовая

Бессмысленный и беспощадный русский BugBounty и новый смысл выражения «вычислю тебя по IP»

Сейчас я расскажу вам прекрасную историю, в которой выражение «я вычислю тебя по IP» приобретает реальный смысл, про бессмысленный и беспощадный российский bugbounty, отношение к персональным данным своих клиентов и бессмысленного регулятора, который вместо контроля за предыдущим, занимается ухудшением жизни жителей РФ (и которого в Прекрасной России Будущего не будет).

История началась около 11 лет назад, когда я изучал устройство сетей крупных операторов с помощью инструмента whois — смотрел распределение адресов для клиентов т.д.), и в одном российском сегменте интернета набрёл на такое, от чего потерял дар речи.
Аккуратно сдампил результаты whois по сетям этого оператора (десятки тысяч адресов), и это настолько меня шокировало, что я предпочёл об этом поскорее забыть.

Месяц назад мне написал один из читателей: смотри, что происходит. И тут я всё вспомнил, и охренел ещё сильнее — от того, что за ~11 лет ничего не поменялось.

Есть такой московский оператор — «Комкор», сейчас работает под торговой маркой Акадо-Телеком.
Среди их клиентов — физические лица, фирмы (много банков, объекты инфраструктуры города) в московской области — жители элитных посёлков (Рублёвка, Барвиха, Жуковка и т.д.).

Многие уже догадываются, о чём будет дальше, но всё равно не могут поверить.

Да, Комкор (Акадо) выкладывает персональные данные своих клиентов прямо в БД RIPE, которая доступна с помощью whois.
Там всё:
ФИО клиента (или название компании), адрес подключения, телефон клиента.

Вот их сети:
212.100.128.0/19
212.45.0.0/19
178.208.128.0/19

Вот элитного посёлка «Жуковка»:

Вот клиенты в Барвихе, включая местный Альфа-Банк:

А что это за Никита Сергеевич в посёлке Николина Гора пользуется услугами горе-провайдера, не известный ли кинорежиссёр? Ага, он:

«Какая-то невероятная дичь», — воскликните вы, и будете совершенно правы.
Давайте теперь посмотрим, как обстоит дело с защитой персданных клиентов-фирм и объектов инфраструктуры Москвы.
Вот IP-адреса объектов ДИТ Москвы — Департамента инфромационных технологий — к Акадо подключены сотни таких объектов. Это интернет для камер, телеметрии и других служебных устройств и пользователей:

Давайте поищем по ключевому слову «Bank».
Что же мы видим? Сотни банков подключены к Комкору, и любой человек на свете может узнать IP-адрес конкретного филиала, контакт технического специалиста, его ФИО и так далее:

Что должен сделать приличный человек, который осознал что все эти ~11 лет персданные клиентов большого оператора лежали в паблике?
Правильно, написать об этом в Комкор. Ну не знали же они, что делают всё это время, в самом деле — надо им об этом рассказать!
Что я и сделал:

Через 1 рабочий день я получил ответ от начальника ИБ — мол информацию получили и проверят (странная задержка в сутки при такой-то страшной дыре, но ладно):

Ещё через 5 дней я решил поинтересоваться результатами проверки информации:

на что мне ответили, что всё исправили:

Ого, думаю я, наконец-то в России стала повышаться ответственность компаний и рост культуры реакции на сообщения о дырах. Но решил всё же проверить: убрали персданные только из блока person и только из двух моих примеров в первом письме, но в блоке inetnum персданные остались даже в моих примерах, о чём я написал:

и получил очень странный ответ, что «принято решение» убрать персданные пользователей белых сетей (когда убрать?!), но поле inetnum они обязаны заполнять:

Да никто не спорит, что обязаны — но провайдеры записывают туда информацию о назначении сети, или, если это фирма — максимум, её название и юр. адрес (и даже это далеко не всегда, точнее — почти никогда), но никак не ФИО клиента-физлица.
На моё письмо от 24 октября с уточняющим вопросом никто не ответил:

И тут мои силы закончились — я перестал понимать, почему я должен уговаривать большую компанию с огромной ответственностью заставлять устранить такую страшную дыру. Я перестал понимать, почему эта переписка вообще должна была длиться больше двух писем, ведь каждому здравомыслящему человеку абсолютно очевидно, насколько это дико — персданные твоих клиентов в паблике. И я уже не говорю об ответственных лицах в компании, которые должны только и заниматься тем, что устранять эту страшную дыру.
Я очень не хотел писать этот пост — мне ответили, со мной общались вежливо, даже в музей пригласили :). Но это попытка сделать хорошую мину при плохой игре. Никаких действий по факту предпринято не было, сроки их тоже озвучены не были. Поэтому следующим шагом я должен перейти к информированию об этой опасной уязвимости общественность, чтобы они вывели себя из-под угрозы и перестали пользоваться оператором, который так относится к персданным своих клиентов.

А теперь — простым языком для людей, которые не поняли, что всё это значит.

Whois — это публичный инструмент, которым может воспользоваться каждый человек, чтобы получить информацию об IP-адресе или домене.
В нём содержится служебная информация о владельце домена или IP-адреса (в данном случае — провайдере).
По правилам организации RIPE, которая выдаёт IP-адреса, провайдер обязан содержать в актуальном виде информацию о назначении подсети IP-адресов (например, служебная или клиентская), контакты для связи (почта и телефон провайдера), и если провайдер выдаёт в аренду крупный блок адресов — информацию об арендаторе.
Но никакому провайдеру не приходит в голову указывать ФИО, адрес подключения и контакт физического лица, которому выдан 1 IP-адрес. Тоже самое — с юридическими лицами. В случае выдачи большого блока, максимум — указывается юрлицо, его контакт и юридический адрес. И то, так делают далеко не все провайдеры, и никаких санкций, конечно же, за это нет.
Не очень умные технические специалисты Комкора (ныне Акадо) в какой-то момент просто настроили автоматическую трансляцию информации из своей служебной базы клиентов (CRM) в базу данных RIPE, и таким образом персданные клиентов стали доступны для всех желающих.
Для оператора такая дыра — катастрофа дважды, потому что:
1) Собственно, песональные данные клиентов — в публичном доступе. Какое доверие может быть к такому оператору?
2) Твоих клиентов могут просто переманивать другие операторы, за полчаса просканировав все IP-адреса и собрав базу данных.
3) Можно узнать IP-адреса определённого клиента или устройства, очень несложно забить канал трафиком и выключить, таким образом, интернет у клиента.
В случае с ведомственными объектами, большое количество которых подключено к Акадо — это же прямая угроза безопасности города.

Этот пост прочитает много клиентов Акадо — вы, конечно, решайте сами, но я бы никогда не стал пользоваться услугами оператора, который выкладывает ваши персональные данные в паблик, и не убирает их в срочном порядке после приватного сообщения об этом.
И даже через 3 недели всё еще не убирает.
Такое поведение, конечно, абсолютно неприемлемо в 2018 году.

И в завершение, я хочу отдельно написать о Роскомнадзоре.
Это регулятор, под надзором которого оператор связи оказывается дважды — как оператор связи, и как оператор персональных данных.
Эти никчёмные и бесполезные дармоеды вместо ухудшения жизни всех жителей России и ежедневной блокировки до 10–15 IP-адресов нашего прокси для Telegram (вы представляете, там сидят специальные люди на зарплате, которые почти круглосуточно резолвят домен и добавляют актуальные IP-адреса в выгрузку — что может быть бессмысленнее), должны заниматься как раз пресечением таких вот историй.
Дорогие журналисты, которые будут звонить в Акадо — сделайте, пожалуйста, следующий звонок в Роскомнадзор и спросите, почему они не выполняют свою работу, а вместо этого занимаются ухудшением жизни граждан России.

Источник: https://medium.com/@itsorm/бессмысленный-и-беспощадный-русский-bigbounty-или-отношение-к-персональным-данным-из-двухтысячных-d9e0e8a7601e

В связи с новым законом о запрете избираться причастным к экстремистским и террористическим организациям, хотелось бы напомнить, что возглавляющий список "Единой России" Сергей Лавров 2 года назад принимал в Москве представителей группировки "Талибан*"

З.Ы. Понятное дело, что им насрать, что закон принимался не для этого, и что "Единую Россию" по этому закону никто с выборов не снимет, но не лишним будет всё же напомнить про этот факт. 

*"Движение Талибан" признано террористическим на территории Российской федерации.

YouTube удалил оба канала стаса «Ай, как просто!»

"Нахуй нам не нужно этот интернет ваш!" © Лукашенко.

Александр Лукашенко предрек интернету скорое «увядание», назвал телевизор образом жизни и призвал не отказываться от «классики». Об этом он заявил в своей речи по случаю сегодняшнего торжественного приема во Дворце независимости. Видеозапись фрагмента его выступления опубликовал приближенный к пресс-службе президента Telegram-канал «Пул Первого».

Он считает, что «кому-то надо» принизить роль классических средств массовой информации, для чего распространяется мнение, что телевидение, печатные СМИ и книги «себя изжили». Лукашенко призвал не идти на поводу этих взглядов и назвал интернет, в частности, Telegram-каналы, мощным оружием.

«Но это оружие только в какой-то части навсегда. Вот посмотрите: даже при моей жизни, не говоря уже о вас, вы увидите увядание вот этого вспыхнувшего фейерверка интернета. Я клоню вас к тому: не отказывайтесь от этой классики. Телевизор – это образ жизни, это образ мышления. Да, сегодня многие достали и начали тыкать в этот айфон, телефон и так далее, разных марок. Но как только вы зашли в столовую, вы нажали кнопку, смотрите на экран. Куда-то пришли в гости – обязательно там работает телевизор. Это надо сберечь», — считает он.

Лукашенко полагает, что Беларусь прошла проверку на то, достойна ли она своей независимости, и заявил, что в 2020 году нашей стране фактически была объявлена война.

«И развязана она была не против президента, госслужащих, силовых структур, а против сильного государства в целом. Государства, которое, несмотря на скромное место на карте мира, может позволить себе проводить независимую внешнюю и внутреннюю политику», — приводит его слова пресс-служба президента.

По его мнению, суверенитет страны немыслим без сильной власти.

«Это очень важно в тот момент, когда мы вплотную подошли к тому, чтобы перелопатить нашу Конституцию. А сильная власть — это не один человек. Это нация, готовая сплотиться, когда государство находится под ударом. Мы выстояли, пока выстояли, потому что были едины в стремлении сохранить мир и историческую правду, свой уклад жизни и менталитет. Раскачались, правда, не сразу. Но раскачались. Долго запрягали — сейчас едем», — сказал он, заявив, что объявленный Год единства является ответом недоброжелателям о единстве беларусского народа.

Лукашенко считает, что для сохранения этого надо стать активным игроком в глобальном мире, в том числе информационном.

«Прежде всего в информационном, потому что сейчас основные «боевые действия» проходят на этом поле», — заявил он.

Состояние игрока НБА Леброна Джеймса - около 500 миллионов долларов.

Тем временем в мире пропагандонов

Здравствуйте уважаемые.

Хочу просто выговорится, может станет полегче как-то, хз..

Это все к вопросу о войне и о том, как она ломает судьбы даже опосредованно, без прямого попадания бомбы тебе в крышу.

Мне 51 год. И в 2007, после того как родился первый ребенок, мы с женой собрались, продали все что у нас было и уехали из России в Украину. Потому что я украинец, потому что тогда было время после Оранжевой революции, потому что я уже тогда жопой чувствовал что в России все становится все более бетонным и серым.

И жили мы вполне себе счастливо и комфортно, родили второго. Пока не наступило 22 февраля.

Я на тот момент работал в американской технологической компании, но не на технической позиции, а менеджером. Компания эта сразу приостановила все процессы в Украине и начала релокацию сотрудников в Европу. Мы сидели до последнего, но после того как мне поставили вопрос ребром - или ты уезжаешь или мы тебя увольняем, в мае двинулись и мы. В Будапешт. А через три месяца проект на котором я работал закрыли и меня отправили на мороз. Но с солидными выплатами.
Я начал искать новую работу и на это ушло чуть менее одного года омг. За этот год мы успели прижится, дети отходили школу, обзавелись друзьями, дочка смогла сдать экзамены в техникум, но работы у меня так и не было и денег уже оставалось катастрофически мало.

И тут, буквально на последних копейках я получаю предложение проджектом в игровую компанию, но с релокацией в Литву.. требовалось все сделать быстро, не было времени думать, да и возможности уже не было, чтобы вы понимали мое состояние. Я опять хватаю детей, жену, животных и мы несемся сначала в Клайпеду, потом в Вильнюс. 

В Вильнюсе я проработал ровно год и снова попадаю под сокращение. Только теперь уже без какого-либо пособия.
Так мы существуем уже третий месяц.. я как сумасшедший пытаюсь найти работу подав за месяц резюме в 60 с лишним компаний я получил только отказы либо игнор.

Проблема еще в том, что у меня Blue Card.Я не могу подаваться на любую вакансию, она должна соответствовать определенным требованиям по оплате, и с этим проблема.
Вся эта ситуация начала разрушать семью. Жена вынуждена была пойти на самую низкооплачиваемую работу клинером, чтобы были хоть какие-то деньги. Я катаюсь с ней, помогаю. У нее конечно начались проблемы со здоровьем в связи со всем этим. И психологическое состояние можете себе представить..

Чтобы вы понимали, у нас нет Украинского гражданства. Только ПМЖ, а у детей и этого нет, просто справки о месте жительства. Мы не можем вернуться в Украину. Детям нужны визы. Визы сейчас получить невозможно.
В Литве у нас осталось ну грубо 3 месяца, но в реальности не более одного.
Я очень сомневаюсь что у меня за это время получится найти работу. Возраст уже здорово давит, да и социальный статус тоже.
Жена хочет уезжать в Россию, в Петербург. У нее там есть родственники которые готовы помочь. Я же с ужасом смотрю на такую перспективу, но с другой стороны я не имею права ее удерживать, глядя на то как она страдает от этого дикого стресса.
Мы оказались застрявшими между мирами.. нам отказывают быть украинцами, мы не можем остаться в Европе (но может тут уже тупо вопрос лично моей компетенции).
Я в России последний раз был 17 лет назад. Не знаю вообще ничего о жизни в этой стране. Это плохой вариант, но получается мы вынуждены выбирать между плохим и ужасным. Другой вариант это разделится. Я вернусь домой, а жена с детьми в РФ. Вопрос сможем ли мы потом воссоединится..
Отдельный вопрос с детьми. У сына аутизм (не сильно прям, но социализируется он с большим трудом, плюс птср до сих пор не прошел) и я как представлю как их начнут прессовать в российской школе омг.. Новые мозги для пропаганды. Блять пиздец..
Не знаю что делать. Каждое новое решение хуже предыдущего. Каждый шаг травмирует детей. Они не хотели уезжать из дома, потом из Будапешта. Теперь вариант с переездом в рф. Они в диком ужасе конечно..
Я боюсь что их там махом сломают. Себя я не вижу там вообще ни в каком виде. Я банально не умею держать язык за зубами. Но и расставаться с семьей меня перспектива не улыбает. Что делать..
Извините за сумбур, но как есть.

Выпрыгнул из окна, выстрелил в себя, «умер во сне». За 21 день мобилизации в России погибли 15 резервистов

27 сентября

Через шесть дней после начала мобилизации стало известно о самоубийстве 44-летнего Егора Назарова, работавшего в ритуальной сфере. Знакомые Назарова рассказали, что незадолго до смерти Назарову пришла повестка, которая могла подтолкнуть его к уходу из жизни. 

В тот же день NewsTracker сообщил, в Кабардино-Балкарии скончался Борис Шаваев, житель поселка Звездный Чегемского района. Предположительно, он умер от тромбоэмболии во время построения на плацу военной базы. Региональные издания писали, что проблем со здоровьем у Шаваева не было, а накануне мобилизации он прошел медицинскую комиссию.

28 сентября

Еще один призывник не доехал до войны после начала мобилизации. Его тело нашли на территории призывного пункта в Тюменском поселке Андреевский. Имя погибшего до сих пор не было названо.

29 сентября

В призывной пункт 39-летний дальнобойщик Сергей Федосеенко приехал пьяным. Там он устроил драку с другими мобилизованными — его вывезли в полицейское отделение, где заметили, что Федосеенко без сознания. Приехавшие медики скорой помощи констатировали смерть, предположительно от остановки сердца.

30 сентября

На Конгрессной улице в Краснодаре нашли тело 27-летнего рэпера Ивана Петунина, известного под псевдонимом Walkie. Он покончил жизнь самоубийством, выпрыгнув из окна. Предварительно Петунин записал предсмертное видеообращение. Он сообщил, что не готов убивать людей «за какие бы то ни было идеалы». Несмотря на то что Петунин ранее служил в железнодорожных войсках, по его словам, у него была отсрочка от воинской службы, как у наблюдающегося в психоневрологическом диспансере.

3 октября

Депутат Госдумы Максим Иванов рассказал, что в Еланском гарнизоне учебного центра в поселке Порошино Свердловской области погибли трое призывников. Информация об их гибели расходится в разных источниках: по словам Иванова, один мужчина погиб от сердечного приступа, другой совершил самоубийство, а третьего «списали» и отправили домой, где он умер от цирроза печени.

Уполномоченная по правам человека в Свердловской области Татьяна Мерзлякова подтвердила смерть двух мобилизованных. По ее словам, один, предположительно, скончался от эпилепсии, а в причинах гибели второго «разбираются военные следователи». Независимый проект «Пермь 36,6» тоже писал, что один из призывников скончался от эпилепсии.

Мобилизованный из Порошино, который покончил жизнь самоубийством — 46-летний житель Кургана. Его тело была найдено на полу столовой с порезами на шее и рядом с лезвием. Второго погибшего — 44-летнего челябинца Дениса Козлова, — по словам его брата, отправили из учебного центра домой после того, как его избил другой призывник. Козлову якобы выписали справку о негодности по медицинским показаниям, а через два дня он умер в больнице в Аргаяше. Брат Козлова рассказывал, что врачи выявили у него тупую травму живота.

Еще один мобилизованный умер в Новосибирске. Это подтвердила уполномоченная по правам человека в Новосибирской области Нина Шалабаева. По ее словам, погибший «умер во сне».

4 октября

Стало известно о смерти жителя Красноярска в военной части Омска. По предварительным данным, призывник скончался после конфликта с другими мобилизованными. Однако причину его смерти официально еще не озвучивали. 

5 октября 

Елена Гудо рассказала, что три дня назад ее 35-летний сын Александр Колтун умер в местной учебной части для мобилизованных. По словам матери, он вызвался служить добровольно. Гудо говорила, что в их последнем разговоре сын жаловался на плохие условия содержания мобилизованных и сообщал, что призывники «шатаются и пьют». 

Мать погибшего также рассказала, что неизвестные люди пытаются внушить ей по телефону, что сын умер от сердечной недостаточности и некачественного алкоголя. Гудо заверяет, что Александр не злоупотреблял алкоголем и не жаловался на проблемы с сердцем. Точная причина смерти ее сына еще неизвестна.

В тот же день стало известно, что на обучении на полигоне в Пензенской области от сердечного приступа скончался 41-летний мобилизованный. 

6 октября

В этот день появилась информация о смерти еще одного мобилизованного. 28-летний призывник из Санкт-Петербурга якобы выстрелил в себя из автомата во время обучения в военной части в Ленинградском поселке Каменка.

7 октября

Уполномоченная по правам человека в Новосибирской области Нина Шалабаева подтвердила еще один факт смерти мобилизованного — на территории пункта формирования личного состава в Новосибирском высшем военном командном училище. Погибший был уроженцем Новосибирской области и, по утверждению его родственников, погиб «в результате насильственных действий». 

9 октября

Ночью в одном из распределительных пунктов Якутска погиб местный житель, который ждал отправки в воинскую часть вместе с другими мобилизованными. Как пишут РИА Новости, мужчина попытался спуститься со второго этажа здания с помощью веревки из покрывал, но сорвался. Как сообщает ЯСИА со ссылкой на свой источник, погибший был пьян .