дороги в африке
»Нет войне протест Вторжение в Украину 2022 длиннопост политика
Ещё один пост про надписи "НЕТ ВОЙНЕ", что я оставляю по ночам.
Это превращается в ежедвухнедельные отчёты. Ну и пусть. Хуже не будет.
Подъездов, где ни разу не было надписи становится всё меньше, не мало где они почти закончились, всё чаще приходится их делать по второму, третьему разу.Вот тут судя по всему пытались чем-то смыть (что делают часто, просто размазывая, ужасно неэстетично). Не думаю, что Z тут подразумевалась, но пацифик нанёс на всякий.Тут вообще какую-то ерунду устроили, у меня так даже самые первые надписи не текли. Но хоть в цвет, получилось исправить поверх.
А вот так исправили в нескольких местах. Я даже не уверен, что стало хуже, учитывая что и *** *****, и ███ █████ у нас запрещённые антивоенные высказывания, а тут прям красной краской да поверх провисевшей несколько дней надписи.
А вот тут закрасили аккуратно и в цвет, но так сильно редко бывает. Так чтобы в цвет вообще 1 дверь из 20. Лучше бы просто ничего не делали.
А местами вообще странное, такая надпись висит себе долго и спокойно:
А совсем рядом такая же на двери закрашена. Видимо разные службы отвечают за двери и стены.
Тут люди дверь в подъезд не закрыли.
Теперь "НЕТ ВОЙНЕ" там с двух сторон. Удобно.
Тут ждём написал кто-то.
Приятно, когда тебя ждут.
Ещё один раз от ментов гаражами уходил, но там ничего особенного, я их издалека видел, и когда они уже нормально въехали во двор, был более-менее в безопасности.
А так вроде всё. Дальше снова просто фото, но на этот раз их так много, что можно выбрать нормального вида, а не все вываливать.
видео ФСБ эхо москвы пиздец Светлана Прокопьева политика
Светлана Прокопьева / Семь лет за две страницы текста // 01.10.19
Жириновский песочница Россия coub Украина coub недоступен политика
Минимальный размер оплаты труда, с 1 января 2020 года
Габон Африка переворот военный переворот политика
В Габоне совершен военный переворот
https://www.dw.com/ru/v-gabone-soversen-voennyj-perevorot/a-66668217
Военные свергли правительство президента Али Бонго. Они объявили состоявшиеся недавно выборы несправедливыми и аннулировали их результаты.
Группа высокопоставленных офицеров в среду, 30 августа, выступила по местному телевидению и объявила, что берет власть в свои руки.
По совам путчистов, состоявшиеся 26 августа выборы были несправедливыми, их результаты аннулированы. Действующие органы государственной власти расформированы, границы Габона закрыты до дальнейших распоряжений.
Ранее избирательная комиссия Габона объявила Бонго победителем президентских выборов. Согласно официальным данным, в его поддержку проголосовали 64,27 процента избирателей. Семья Бонго правит богатым нефтью Габоном уже 56 лет. В Габоне впервые прошли одновременно президентские, парламентские и коммунальные выборы.Балакучий шинок #Сало с №востями песочница политоты Россия разная политота политика
Украинизация России
Когда "Титаник" столкнулся с айсбергом, пассажиры почувствовали лишь легкий толчок. Первые два часа клиенты первого класса играли кусками льда в импровизированный футбол. Спустя еще час лайнер раскололся пополам. Вспомните 2012-й год. Время, когда Партия регионов казалась безальтернативной. Все разговоры о том, что выбранная ею дорога ведет страну в пропасть, наталкивались на железобетонный курс гривны. Все прогнозы, что экономика дышит на ладан – на инфраструктурные стройки к Евро-2012. Сытое обывательское "сегодня" перевешивало любую экспертную тревогу про "завтра". А социологи довершали картину, рассуждая о 60% населения, не готовых протестовать. |
Вспомните об этом, когда будете читать экспертные прогнозы о российской стабильности. Последние месяцы курс рубля идет вверх – российская валюта подорожала с 63 до 52 единиц за доллар. Политику Владимира Путина поддерживают 86% россиян. Только эта стабильность сродни той, что была у Украины в 2012-м. Российский "Титаник" от украинского отличается лишь размерами, но это определяет лишь сроки, а не судьбу.
Все, что будет происходить в России, украинцы уже наблюдали. Закручивание гаек. Войну между финансово-промышленными группами за доступ к сокращающемуся бюджетному пирогу. Давление на остатки политической конкуренции. Антифашистские митинги со специально согнанной массовкой. Рост внутренних противоречий, которые рано или поздно свяжутся в гордиев узел – который можно разрубить, но не развязать.
Мы привыкли думать, что российская реальность стабильна, но эта стабильность возможна лишь в условиях дорогой нефти. За минувший год золотовалютные резервы страны сократились с 510 до 355 млрд долларов. То есть на треть. За один год. И это был год, когда нефть дешевела постепенно, достигнув 50 долларов за баррель лишь в январе 2015-го. Да и серьезные санкции были введены лишь в середине 2014-го. А весь нынешний год Россия изначально проживет с невысоким уровнем цен на углеводороды.
В бюджете России предусмотрен дефицит: за этот год расходы по плану превысят доходы на 2,6 трлн рублей. Но уже только за два первых месяца года реальный дефицит составил 0,8 трлн. При сохранении подобных темпов плановый дефицит будет выбран к началу июля. А по итогу года Москве возможно придется искать деньги для покрытия пятитриллионного дефицита. По нынешнему курсу это почти $100 млрд. Почти каждый третий рубль золотовалютных резервов.
И это не считая трат на поддержание курса национальной валюты. Эксперты говорят, что в настоящее время каждый рабочий день (в выходные торги не ведутся) Москва "сжигает" на межбанке около одного миллиарда долларов. Она могла бы "отпустить" рубль, но вопрос не только в настроениях масс, а и в том, что российским госкорпорациям необходимо выплачивать внешние долги. А чем выше курс доллара – тем тяжелее для них долговое бремя.
Объясню. Суверенный госдолг Российской Федерации не так уж велик – всего лишь $52 млрд. Но существенен еще долг корпораций ("Роснефть", "Транснефть", "Газпром" и пр.) – порядка $540 млрд. В 2015 году на погашение тела кредита и проценты надо будет потратить порядка $125 млрд. Эта сумма также ложится на российские валютные резервы – в противном случае российские госкомпании может ждать банкротство.
То, что могло бы спасти российскую экономику – это резкий рост цен на нефть. Но пока что "черное золото" колеблется в коридоре от 50 до 60 долларов за баррель и пока что не собирается возвращаться к докризисному уровню.
Российская экономика, в первую очередь, страдает от низких цен на нефть – они не позволяют ей обеспечить запланированные траты бюджета. Санкции лишь усиливают давление – для российских госкорпораций закрыт западный финансовый рынок. Условно говоря, если цены на углеводороды – это айсберг, то санкции – это запрет на продажу насосов для откачки воды из трюмов. В 90-е нефть тоже стоила немного, но все то десятилетие Россия могла занимать деньги у западных партнеров. А теперь ей приходится тратить "подкожный жир", накопленный в "сытые нулевые". Но эти запасы не бесконечны. Более того, динамика их расходования такова, что к весне 2015-го Россия может столкнуться с дефицитом средств.
К тому же вся история с Крымом и Донбассом имеет еще косвенный эффект – в виде оттока капитала. Даже у авторитарного режима может быть инвестиционная стабильность и привлекательность – деньги смотрят не столько на демократию, сколько на прогнозируемость политики. А именно этого лишилась Москва, аннексировав полуостров. Никто не знает наверняка, где теперь лежат "красные линии" для Кремля, и где та черта, которую он откажется переступать. Нет ничего удивительного, что капитал ищет тихие гавани, уходя из России.
И именно поэтому российский 2015-й так напоминает украинский 2013-й. Отполированная поверхность, скрывающая изнанку. Снаружи – военные учения, Крым, космодром "Восточный", чемпионат по футболу, политическое единодушие, суверенность и антизападничество. Внутри – первый за 15 лет секвестр бюджета, заморозка накопительной части пенсии, сокращения бюджетников, отказ от индексации зарплат, рост инфляции, таяние средств Резервного фонда и Фонда национального благосостояния.
Именно в этом похожи Украина-2013 и Россия-2015 – в обоих случаях система существует по инерции. То, что мы наблюдаем сегодня – это затапливание трюмов российской экономики. В какой-то момент количество перейдет в качество – и мы увидим последствия. Но до этого у пассажиров первого класса еще есть время для того, чтобы слушать палубный оркестр. Впрочем, насколько я знаю, он играл и в тот момент, когда корабль уходил под воду.
Автор: Павел Казарин
Честно скрымжено тут: http://obozrevatel.com/politics/60457-ukrainizatsiya-rossii.htm
РЖД дыра уязвимость новости habr длинопост информационная безопасность it мопед не мой информационная небезопасность политика
Самый беззащитный — уже не Сапсан. Всё оказалось куда хуже…
В ОАО «РЖД» прокомментировали результаты этого расследования. «Есть результаты проверки. Почему удалось взломать? Наверное, потому, что злоумышленник. Наверное, из-за этого… Ну, он из „фана“. Юный натуралист. Там уязвимостей, которые бы влияли на утечку каких-то критических данных, нет. Мультимедийный портал „Сапсанов“ функционирует как положено и не нуждается в доработке», — заявил Евгений Чаркин.
То есть вместо того, чтобы выразить благодарность за обнаруженную уязвимость, автора обозвали «злоумышленником» и «Юным натуралистом».
Также оттуда в сеть РЖД есть впн. Если захотите — найдёте её там сами.
И вот, год спустя я попал в сеть РЖД даже не садясь в Сапсан.
Видимо, только этот котэ добросовестно охраняет вокзал.
Как именно я попал в сеть РЖД с пруфами, чего не сделал директор по информационным технологиям ОАО «РЖД» Чаркин Евгений Игоревич и возможные последствия — под катом.
Всё началось с гипотезы
В интернете очень много бесплатных прокси-серверов. Но кто в здравом уме будет открывать всем желающим выход в интернет через свой роутер? Вариантов по большому счету два: это либо взломанные устройства, либо владелец забыл отключить эту функцию.
Таким образом меня посетила идея проверить гипотезу: «Есть ли жизнь за прокси»?
Я запустил nmap по диапазону адресов по порту 8080. Далее из полученного результата прошёлся прокси-чеккером в поисках публичного прокси без авторизации и из положительных результатов выбрал самый близкий ко мне по пингу.
Запустил сканер через него по адресам 172.16.0.0/12 порт 8291 (mikrotik winbox). И! Я его нашёл! Без пароля!
То есть за роутером с прокси есть ещё один — Mikrotik без пароля. Гипотеза подтверждена: за прокси могут быть целые незащищённые сети.
Только на тот момент я недооценивал масштаб «незащищённости», который я случайно нашёл.
В поисках Немо владельца системы
Так как я придерживаюсь принципов Grey hat (Обо мне mysterious Russian-speaking grey-hat hacker Alexey и статья на Хабре) и «съел собаку» на безопасности Mikrotik, то я принялся искать владельца системы, чтобы связаться с ним.
Кстати, заходите в Телеграм чат «RouterOS Security» t.me/router_os
Недолго думая я поднял исходящий VPN до себя. Всё же комфортней через нормальный туннель дальше изучать сеть и искать признаки владельца системы. HTTP connect — ещё тот геморрой…
За интерфейсами ether1 и bridge ничего интересного не обнаружил. Найденные камеры были абсолютно не информативными.
А вот сканирование vpn, отмеченные красным на скрине выше, выдало более 20 000 устройств…
Причём более 1000 штук — микротики. Огромное количество устройств с заводскими паролями.
Вот некоторые из найденных сервисов с паролями по умолчанию:
1. Камеры наружного наблюдения — подавляющее большинство.
Даже офисы внутри
Камер, по скромным ощущениям, не менее 10 000 штук. Производители разные: beward, axis, panasonic и т.д.
2. Ip-телефоны и FreePBX сервера также большое количество.
3. IPMI серверов:
Много узлов кластера Proxmox (по поднятым сервисам и трафиком между ними.)
6. Внутренние сервисы
Различные системы управления табло на перронах :-)
Некий терминал, но внутри модифицированный дебиан.
Кстати, аптайм у него почти год:
6. Сетевое оборудование
Разумеется, много различных роутеров. Как уже сказано выше, мне больше интересны Микротики. Подавляющее большинство с последней прошивкой и пароли не пустые. Но есть без паролей и с устаревшими прошивками.
Туннели наружу подымаются легко. То есть фильтрации исходящих коннектов практически нет.
Более того огромное количество микротиков со включенным прокси, аналогично тому, при помощи которого я и попал в эту сеть… Кстати, туннели через них тоже замечательно подымаются.
Не полный кусок лога по прокси.
Такое ощущение, что интегратор, который строил сеть, специально оставил этот доступ.
И все же кто же хозяин?
Думаю, что уже все и так догадались.
Это я пробежался по верхушкам в рандомном порядке. Потратил я на это чуть больше 20 минут, чем автор статьи про Сапсан.
Это здец. Сеть просто в решето.
Причём это устройства по всей РФ.
Развёрнута профессиональная система видеонаблюдения.
Нашёл презентацию по вокзалам.
Находил Кемерово, Новосибирск, Омск и т.д. По внешнему виду вокзалы сложно определить. К тому же я поездом уже лет 5 не ездил.
Как же так получилось?
Я всегда считал, что уязвимости в корпоративных сетях появляются из-за ошибок или специальных действий безграмотных сотрудников. Первое что пришло мне в голову — это некий сотрудник по разрешению СБ поднял у себя из дома VPN до рабочей сети на микротике в своей домашней сети. Но в данном случае эта моя гипотеза разбилась как только я увидел обратный резолв адреса через который я попал на этот Микротик.
То есть это один из шлюзов в мир из сети РЖД. Ну и в сеть РЖД тоже…
Получилась вот такая картина:
Вероятно, что это один из офисов РЖД, который прилинкован к основой сети через l2tp. Я попадаю в сеть где межсетевые экраны отсутствуют как класс. Запускаю интенсивное сканирование хостов — у меня соединение не рвётся. Значит о системах обнаружения вторжения (IDS/IPS) РЖД тоже ничего не слышал. Микротик может замечательно интегрироваться, например Обнаружил кучу устройств без защиты. Это говорит, что службы сетевой безопасности в РЖД так же нет.Много устройств с дефолтными паролями. То есть политики паролей тоже нет.С Микротиков внутри сети я легко поднял туннели. То есть исходящий трафик не контролируется. Я вижу все интерфейсы управления в одной сети с клиентскими сервисами. Админы РЖД ничего не знают о Management VLAN
«Российские железные дороги» провели проверку после взлома мультимедийной системы поезда «Сапсан» одним из пассажиров, критических уязвимостей не обнаружено.
Так дайте ответ, Евгений Игоревич, какой «Юный натуралист» проводил расследование и не заметил гнездо со слонами?
У меня лично есть всего три варианта ответа на этот вопрос:
1. У Вас исходно плохая команда.
Проверку проводил тот же отдел, который и проектировал/обслуживает систему. Отрицая проблему, они или сохраняют свою работу, или преследуют иные цели.
2. Вы доверились не тому специалисту. Аудит проводил некомпетентный сотрудник.
3. Вы и так знаете о проблеме, но по каким-то неведомым причинам не можете ее публично признать и решить.
Стоимость уязвимости
«Что есть защищенная система? Защищенная система — это та система, взлом которой стоит дороже, чем ценность информации, которая там есть. Вот и все», — подытожил директор по информационным технологиям ОАО «РЖД».
Предлагаю применить Вашу систему оценки в теории на примере системы видеонаблюдения РЖД.
Чтобы вывести камеры из строя так, чтобы их могли восстановить только специалисты вендора, достаточно залить прошивку с заблокированным сетевым интерфейсом.
Рандомно выбранная из списка установленных модель стоит ~13к рублей.
А закупки по 44-ФЗ отличаются, как непредсказуемой конечной стоимостью, так и временем проведения самой процедуры и получения продукта. Я потратил 8 часов для сбора информации для этой статьи. Найдено ~10к камер. Производителей камер, которые установлены, немного — максимум штук 10.
Гипотетическому злоумышленнику потребуется:
Модифицировать прошивки, заблокировав сетевой порт на 10 прошивках. Думаю, что на это у специалиста уйдёт три рабочих дня;Написать сканер, который будет анализировать устройство и заливать соответствующую прошивку. Заложим ещё 2 дня;Запустить этот сканер-прошивальщик, чтобы не смогли найти источник и заблокировать — часа два.
Таким образом за неделю работы специалиста по взлому РЖД потеряет минимум 130 миллионов рублей. Отсюда стоимость одного часа работы злоумышленника будет равна ~2,5 млн. рублей.
Двигаемся дальше.
Быстро заменить камеры на работающие РЖД не сможет. В резерве столько нет. Купить новые из-за обязанности объявления торгов так же не получится. Таким образом вся железная дорога будет без видеонаблюдения не меньше месяца.
А вот это уже опасность террористической угрозы. Чтобы её хоть как-то снизить потребуется на 10 тысячах объектов существенно усилить охрану. То есть даже на маленькую ж.д. станцию потребуется дополнительно 6 человек охраны…
Кажется счёт уже уходит за миллиарды…
Что нужно изменить, чтобы снизить вероятность возможных последствий?
Далее чисто мой взгляд на решение данной ситуации. Он ничего общего не имеет с мировыми best practices.
Так же, сразу оговорюсь, что проблема касается только обнаруженной мною сети видеонаблюдения. В других сегментах сети РЖД, очень надеюсь, всё намного лучше.
1. Нанять сетевых аудиторов, которые помогут найти и закрыть самые «зияющие» дыры.
2. Нанять крутых системных архитекторов, которые имеют богатый опыт построения больших сетей. И не факт, что это будут российские специалисты. Перед ними поставить следующие задачи:
2.1. доработать текущую инфраструктуру до безопасного состояния за минимальные средства (зачем вкладывать много денег в проект, который скоро разберут)
2.2. разработать новую полноценную инфраструктуру, отвечающую всем требованиям безопасности и план поэтапной миграции.
3. Нанять подрядчика, который будет реализовывать в жизни данные проекты и передавать на эксплуатацию сетевикам РЖД.
4. После сдачи проектов провести аудит безопасности инфраструктуры.
5. По окончанию пентестов своими силами объявить Bug Bounty
Чтобы мотивировать аудиторов и внутренних специалистов работать качественно, надо объявить лимит на количество и серьёзность уязвимостей, которые могу найти участники программы Bug Bounty. Если внешние специалисты найдут багов меньше лимита, то свои аудиторы получают премии. Если багов будет больше лимита, то штрафовать.
В дальнейшем службу внутреннего аудита информационной безопасности оставить на постоянку и премии формировать уже на основании обнаруженных багов и их устранении.
Разумеется, что схема имеет огромное количество подводных камней, которые за время написания статьи предусмотреть не возможно.
Заключение
Я не единственный кто нашёл данные уязвимости. Очень много признаков, что в этой сети кто-то «живёт».
Например, вот эти линки я уже встречал не раз на роутерах, никак не относящихся к РЖД.
Все информационные системы уязвимы априори. Когда их вскроют — зависит от интереса злоумышленников к ним, беспечности создателя и времени, которое они на это потратят.
Основой основ безопасности является ограничение доступа к системам при несанкционированном проникновении в одно устройство.
В случае с Сапасаном, чтобы через полученный VPN доступ можно было увидеть только один сервис — с которым взаимодействует пользователь системы, а не всю сеть РЖД…
Я старался достаточно жирно намекнуть на узкие места не раскрывая деталей и надеюсь, что специалисты РЖД их всё же увидят.
Связаться со мной можно через телеграм t.me/monoceros
Обсудить данную статью приглашаю в профильный чат по Микротикам в Телеграм «RouterOS Security»: t.me/router_os
Кстати, Евгений Игоревич, с повышением!
Источник
Оплата: его не посадят.
Отличный комментарий!