когда восстановится рубль

Заимствования России на внутреннем рынке будут только в юанях

Государственные валютные заимствования России на внутреннем рынке могут быть только в одной валюте, в юанях, заявил директор департамента государственного долга и государственных финансовых активов Минфина Константин Вышковский на коллегии Минфина в пятницу.

"Заимствования в иностранной валюте на внутреннем рынке возможны и целесообразны исключительно в рамках обсуждаемого проекта по размещению облигаций в юанях для китайских континентальных инвесторов на российской биржевой платформе", - сказал он.

Сейчас Минфин совместно с ЦБ РФ проводит активные консультации с китайскими регуляторами, государственными китайскими банками и другими участниками рынка.

Закон о бюджете на 2016 год предусматривает, что верхняя планка внутренних заимствований установлена в объеме 300 млрд рублей, внешних заимствований - $3 млрд.

Согласно документу, источником привлечения несвязанных заимствований РФ могут быть международные и российские рынки капитала. Ранее предусматривались только международные рынки. Как поясняли в Минфине, так создаются возможности для федеральных заимствований в иностранной валюте на российской бирже. В частности иностранные инвесторы могут покупать облигации РФ, выраженные в иностранной валюте. Замминистра финансов РФ Максим Орешкин уточнял в ноябре 2015 года, что речь идет о возможности размещения на внутреннем рынке ОФЗ в юанях.

Минфин РФ в начале ноября 2015 года сообщил о том, что РФ рассматривает возможность размещения в 2016 году на Московской бирже ОФЗ, номинированных в юанях, объемом около $1 млрд. Минфин рассчитывает разместить весь заявленный объем ОФЗ в юанях и направить привлеченные средства на покрытие дефицита бюджета.

Факельное шествие в поддержку быстрого «Твиттера» в Петербурге закончилось для активистов ночёвкой в отделе и четырьмя протоколами

За протест «Весны» против блокировки «Твиттера» петербуржцев могут арестовать на 10 суток

Полицейские Красногвардейского района Петербурга не торопятся расставаться с активистами, которых доставили поздним вечером вместе с флагами и факелами. Протестующих оставили в отделе до суда, им грозит до десяти суток ареста.

Как стало известно «Фонтанке», ночь на 31 марта четверо участников движения «Весна» провели в 52 отделе. На Богдана Литвина, Никиту Левкина, Георгия Смирнова и Александру Кодий составили протоколы по части 2 статьи 20.2 КоАП — организация либо проведение публичного мероприятия без подачи в установленном порядке уведомления об этом.

Так квалифицировали проход по проспекту Шаумяна четвёрки в балаклавах и мантиях с факелами и красными флагами с логотипом Роскомнадзора, стилизованного под нацистский символ. Акцию проводили против планируемой блокировки «Твиттера». Шествия как такового не вышло, зато местные жители могли наблюдать погоню. Полицейские были на месте к началу мероприятия и практически сразу начали задержание.

«Нас задерживало человек 30, половина в штатском. При задержании меня повалили в грязь и ударили по спине, — пишет в «Твиттере» единственная из задержанных девушка. По её словам, к ней приезжала скорая, но госпитализировать её не стали: — Осмотрели, поставили обезбол. Перелома нет, ушиб грудной клетки, ссадина на голове».

«Тоталитарное шествие» может обойтись активистам в 20–30 тысяч рублей штрафа, 50 часов обязательных работ. Максимальная санкция — 10 суток административного ареста.

Самый беззащитный — уже не Сапсан. Всё оказалось куда хуже…

Больше года назад хабравчанин keklick1337 опубликовал свой единственный пост «Самый беззащитный — это Сапсан» в котором рассказывает как он без серьёзных ухищрений получил доступ ко внутренней сети РЖД через WiFi Сапсана.

В ОАО «РЖД» прокомментировали результаты этого расследования. «Есть результаты проверки. Почему удалось взломать? Наверное, потому, что злоумышленник. Наверное, из-за этого… Ну, он из „фана“. Юный натуралист. Там уязвимостей, которые бы влияли на утечку каких-то критических данных, нет. Мультимедийный портал „Сапсанов“ функционирует как положено и не нуждается в доработке», — заявил Евгений Чаркин.
То есть вместо того, чтобы выразить благодарность за обнаруженную уязвимость, автора обозвали «злоумышленником» и «Юным натуралистом».

К сожалению, но специалисты РЖД, начиная с директора по информационным технологиям, отнеслись к статье очень пренебрежительно, проигнорировав важное указание автора:
Также оттуда в сеть РЖД есть впн. Если захотите — найдёте её там сами.
И вот, год спустя я попал в сеть РЖД даже не садясь в Сапсан.

Видимо, только этот котэ добросовестно охраняет вокзал.

Как именно я попал в сеть РЖД с пруфами, чего не сделал директор по информационным технологиям ОАО «РЖД» Чаркин Евгений Игоревич и возможные последствия — под катом.

Всё началось с гипотезы

В интернете очень много бесплатных прокси-серверов. Но кто в здравом уме будет открывать всем желающим выход в интернет через свой роутер? Вариантов по большому счету два: это либо взломанные устройства, либо владелец забыл отключить эту функцию.

Таким образом меня посетила идея проверить гипотезу: «Есть ли жизнь за прокси»?

Я запустил nmap по диапазону адресов по порту 8080. Далее из полученного результата прошёлся прокси-чеккером в поисках публичного прокси без авторизации и из положительных результатов выбрал самый близкий ко мне по пингу.

Запустил сканер через него по адресам 172.16.0.0/12 порт 8291 (mikrotik winbox). И! Я его нашёл! Без пароля!

То есть за роутером с прокси есть ещё один — Mikrotik без пароля. Гипотеза подтверждена: за прокси могут быть целые незащищённые сети.

Только на тот момент я недооценивал масштаб «незащищённости», который я случайно нашёл.

В поисках Немо владельца системы

Так как я придерживаюсь принципов Grey hat (Обо мне mysterious Russian-speaking grey-hat hacker Alexey и статья на Хабре) и «съел собаку» на безопасности Mikrotik, то я принялся искать владельца системы, чтобы связаться с ним.

Кстати, заходите в Телеграм чат «RouterOS Security» t.me/router_os

Недолго думая я поднял исходящий VPN до себя. Всё же комфортней через нормальный туннель дальше изучать сеть и искать признаки владельца системы. HTTP connect — ещё тот геморрой…

За интерфейсами ether1 и bridge ничего интересного не обнаружил. Найденные камеры были абсолютно не информативными.

А вот сканирование vpn, отмеченные красным на скрине выше, выдало более 20 000 устройств…
Причём более 1000 штук — микротики. Огромное количество устройств с заводскими паролями.

Вот некоторые из найденных сервисов с паролями по умолчанию:

1. Камеры наружного наблюдения — подавляющее большинство.

Ещё камеры

Даже офисы внутри

Камер, по скромным ощущениям, не менее 10 000 штук. Производители разные: beward, axis, panasonic и т.д.

2. Ip-телефоны и FreePBX сервера также большое количество.

3. IPMI серверов:

Asus

Dell (их подавляющее большинство)

Supermicro

Из серверов виртуализации встречаются ESXi, Proxmox и oVirt

Много узлов кластера Proxmox (по поднятым сервисам и трафиком между ними.)

4. Преобразователи ethernet во 'что угодно' (Moxa UniPing etc)

5. Системы управления ИБП

6. Внутренние сервисы

Что-то похожее на мониторинг состояния систем обеспечения здания.

Система управления кондиционированием и вентиляцией

Различные системы управления табло на перронах :-)

Эта самая красивая

Некий терминал, но внутри модифицированный дебиан.

Таких нашёл около 20

Кстати, аптайм у него почти год:

6. Сетевое оборудование

Разумеется, много различных роутеров. Как уже сказано выше, мне больше интересны Микротики. Подавляющее большинство с последней прошивкой и пароли не пустые. Но есть без паролей и с устаревшими прошивками.

Туннели наружу подымаются легко. То есть фильтрации исходящих коннектов практически нет.
Более того огромное количество микротиков со включенным прокси, аналогично тому, при помощи которого я и попал в эту сеть… Кстати, туннели через них тоже замечательно подымаются.

Не полный кусок лога по прокси.

Такое ощущение, что интегратор, который строил сеть, специально оставил этот доступ.

И все же кто же хозяин?

Думаю, что уже все и так догадались.

Это я пробежался по верхушкам в рандомном порядке. Потратил я на это чуть больше 20 минут, чем автор статьи про Сапсан.

Это здец. Сеть просто в решето.

Причём это устройства по всей РФ.

Например, вот это вокзал Уфы

Антропово Костромской области

Развёрнута профессиональная система видеонаблюдения.

Нашёл презентацию по вокзалам.

macroscop

Находил Кемерово, Новосибирск, Омск и т.д. По внешнему виду вокзалы сложно определить. К тому же я поездом уже лет 5 не ездил.

Как же так получилось?

Я всегда считал, что уязвимости в корпоративных сетях появляются из-за ошибок или специальных действий безграмотных сотрудников. Первое что пришло мне в голову — это некий сотрудник по разрешению СБ поднял у себя из дома VPN до рабочей сети на микротике в своей домашней сети. Но в данном случае эта моя гипотеза разбилась как только я увидел обратный резолв адреса через который я попал на этот Микротик.

То есть это один из шлюзов в мир из сети РЖД. Ну и в сеть РЖД тоже…

Получилась вот такая картина:

Вероятно, что это один из офисов РЖД, который прилинкован к основой сети через l2tp. Я попадаю в сеть где межсетевые экраны отсутствуют как класс. Запускаю интенсивное сканирование хостов — у меня соединение не рвётся. Значит о системах обнаружения вторжения (IDS/IPS) РЖД тоже ничего не слышал. Микротик может замечательно интегрироваться, например

Обнаружил кучу устройств без защиты. Это говорит, что службы сетевой безопасности в РЖД так же нет.Много устройств с дефолтными паролями. То есть политики паролей тоже нет.С Микротиков внутри сети я легко поднял туннели. То есть исходящий трафик не контролируется. Я вижу все интерфейсы управления в одной сети с клиентскими сервисами. Админы РЖД ничего не знают о Management VLAN
«Российские железные дороги» провели проверку после взлома мультимедийной системы поезда «Сапсан» одним из пассажиров, критических уязвимостей не обнаружено.
Так дайте ответ, Евгений Игоревич, какой «Юный натуралист» проводил расследование и не заметил гнездо со слонами?

У меня лично есть всего три варианта ответа на этот вопрос:

1. У Вас исходно плохая команда.

Проверку проводил тот же отдел, который и проектировал/обслуживает систему. Отрицая проблему, они или сохраняют свою работу, или преследуют иные цели.

2. Вы доверились не тому специалисту. Аудит проводил некомпетентный сотрудник.

3. Вы и так знаете о проблеме, но по каким-то неведомым причинам не можете ее публично признать и решить.

Стоимость уязвимости

«Что есть защищенная система? Защищенная система — это та система, взлом которой стоит дороже, чем ценность информации, которая там есть. Вот и все», — подытожил директор по информационным технологиям ОАО «РЖД».
Предлагаю применить Вашу систему оценки в теории на примере системы видеонаблюдения РЖД.

Чтобы вывести камеры из строя так, чтобы их могли восстановить только специалисты вендора, достаточно залить прошивку с заблокированным сетевым интерфейсом.

Рандомно выбранная из списка установленных модель стоит ~13к рублей.

А закупки по 44-ФЗ отличаются, как непредсказуемой конечной стоимостью, так и временем проведения самой процедуры и получения продукта. Я потратил 8 часов для сбора информации для этой статьи. Найдено ~10к камер. Производителей камер, которые установлены, немного — максимум штук 10.

Гипотетическому злоумышленнику потребуется:

Модифицировать прошивки, заблокировав сетевой порт на 10 прошивках. Думаю, что на это у специалиста уйдёт три рабочих дня;Написать сканер, который будет анализировать устройство и заливать соответствующую прошивку. Заложим ещё 2 дня;Запустить этот сканер-прошивальщик, чтобы не смогли найти источник и заблокировать — часа два.
Таким образом за неделю работы специалиста по взлому РЖД потеряет минимум 130 миллионов рублей. Отсюда стоимость одного часа работы злоумышленника будет равна ~2,5 млн. рублей.

Двигаемся дальше.

Быстро заменить камеры на работающие РЖД не сможет. В резерве столько нет. Купить новые из-за обязанности объявления торгов так же не получится. Таким образом вся железная дорога будет без видеонаблюдения не меньше месяца.

А вот это уже опасность террористической угрозы. Чтобы её хоть как-то снизить потребуется на 10 тысячах объектов существенно усилить охрану. То есть даже на маленькую ж.д. станцию потребуется дополнительно 6 человек охраны…

Кажется счёт уже уходит за миллиарды…

Что нужно изменить, чтобы снизить вероятность возможных последствий?
Далее чисто мой взгляд на решение данной ситуации. Он ничего общего не имеет с мировыми best practices.

Так же, сразу оговорюсь, что проблема касается только обнаруженной мною сети видеонаблюдения. В других сегментах сети РЖД, очень надеюсь, всё намного лучше.

1. Нанять сетевых аудиторов, которые помогут найти и закрыть самые «зияющие» дыры.

2. Нанять крутых системных архитекторов, которые имеют богатый опыт построения больших сетей. И не факт, что это будут российские специалисты. Перед ними поставить следующие задачи:

2.1. доработать текущую инфраструктуру до безопасного состояния за минимальные средства (зачем вкладывать много денег в проект, который скоро разберут)

2.2. разработать новую полноценную инфраструктуру, отвечающую всем требованиям безопасности и план поэтапной миграции.

3. Нанять подрядчика, который будет реализовывать в жизни данные проекты и передавать на эксплуатацию сетевикам РЖД.

4. После сдачи проектов провести аудит безопасности инфраструктуры.

5. По окончанию пентестов своими силами объявить Bug Bounty

Чтобы мотивировать аудиторов и внутренних специалистов работать качественно, надо объявить лимит на количество и серьёзность уязвимостей, которые могу найти участники программы Bug Bounty. Если внешние специалисты найдут багов меньше лимита, то свои аудиторы получают премии. Если багов будет больше лимита, то штрафовать.

В дальнейшем службу внутреннего аудита информационной безопасности оставить на постоянку и премии формировать уже на основании обнаруженных багов и их устранении.

Разумеется, что схема имеет огромное количество подводных камней, которые за время написания статьи предусмотреть не возможно.

Заключение
Я не единственный кто нашёл данные уязвимости. Очень много признаков, что в этой сети кто-то «живёт».

Например, вот эти линки я уже встречал не раз на роутерах, никак не относящихся к РЖД.

Все информационные системы уязвимы априори. Когда их вскроют — зависит от интереса злоумышленников к ним, беспечности создателя и времени, которое они на это потратят.
Основой основ безопасности является ограничение доступа к системам при несанкционированном проникновении в одно устройство.

В случае с Сапасаном, чтобы через полученный VPN доступ можно было увидеть только один сервис — с которым взаимодействует пользователь системы, а не всю сеть РЖД…

Я старался достаточно жирно намекнуть на узкие места не раскрывая деталей и надеюсь, что специалисты РЖД их всё же увидят.

Связаться со мной можно через телеграм t.me/monoceros
Обсудить данную статью приглашаю в профильный чат по Микротикам в Телеграм «RouterOS Security»: t.me/router_os

Кстати, Евгений Игоревич, с повышением!

Источник

Продовольственная инфляция бьёт рекорды. Цены на основные продукты питания за год выросли до 1,5 раз

Рост цен на яйца достиг 26,54% год к году, вермишель и мука стали дороже на 10,72% и 10,22% соответственно.

Главным эпицентром ценового взрыва, впрочем, остались овощные отделы супермаркетов, где ценники превышают прошлогодние на десятки процентов. Согласно Росстату, огурцы стоят на 51,75% дороже, чем год назад; помидоры - на 53,18%, картофель - на 71,06%, капуста - на 85,99%, морковь - на 37,72%.

На последней отчетной неделе Росстату снова не удалось обнаружить предела роста индекса потребительских цен, который в этом году 16 раз переписал 5-летний рекорд.

С 12 по 18 октября потребительская инфляция составила 0,26%, а годовой показатель разогнался до 7,78% - девятого подряд максимума с февраля 2016 года.

Продовольственная инфляция впервые с декабря-2015 стала двузначной (10,36%) после того, как за три недели продукты из корзины Росстата подорожали на 1,45% - в полтора раза больше, чем за весь сентябрь.

Вслед за «борщевым набором», обеспечивающим рацион наименее обеспеченных граждан, вверх устремились цены на самое доступное мясо - курятину. На 18 октября она подорожала на 29,54% в годовом выражении - вдвое больше, чем свинина (14,45%) и говядина (13,49%).

Гречка прибавила в цене 2,18% с начала октября, а относительного прошлого года подорожала на 18,03%.

Банк России ответит на новый виток инфляции дальнейшим ужесточением политики: большинство экономистов, опрошенных Bloomberg и Reuters, ждут повышения ключевой ставки на 0,5 процентного пункта, до 7,25% годовых на заседании в пятницу. Денежный рынок закладывает в котировки уровни вплоть до 8% на горизонте полгода.

Цикл ужесточения от ЦБ уже стал самым резким с 2014 года, но он мало что может сделать против инфляции в «самых горячих» товарах, отмечает Максим Петроневич, старший экономист «Открытие Research».

Три четверти прироста цен приходится на мясо, мясопродукты, плодоовощную продукцию и легковые автомобили, а эти товары дорожают во всем мире. Причины - снижение урожая и дефицит полупроводников, указывает Петроневич.

Инфляция в октябре вплотную подберется к 8%, прогнозирует начальник центра разработки стратегий Газпромбанка Егор Сусин.

Высокие темпы роста цен в ноябре-декабре прошлого года притормозят годовую инфляцию за счет статистического эффекта базы уже в ближайшие месяцы, что, впрочем, вряд ли утешит российских потребителей, потерявших за 7 лет десятую часть своих реальных располагаемых доходов.

Уже в прошлом году доля расходов на еду в семейных бюджетах оказалась на 10-летнем максимуме - более 38%, по расчетам РАНХиГС. В этом же растущие цены не оставили потребителям почти ничего для сбережений. По расчетам ING, люди откладывают лишь 1% своих денежных доходов - минимальную долю с 2014 года.

З.Ы. Для понимания ужаса ситуации: уже в феврале этого года 38% расходов россиян приходились на еду. При этом в декабре 2020-го, когда эта доля составляла 29%, Россия занимала 31-е место из 40-ка европейских стран (в которые почему-то включили ещё и Казахстан, но без него 31-е место из 39-ти).

12 апреля, в день 60-летнего юбилея первого полёта человека в космос, глава «Роскосмоса» Дмитрий Рогозин на Земле повторит подвиг Юрия Алексеевича Гагарина.

  На ракетно-космическом заводе Центра им. Хруничева в Москве заканчивают строительство почти точной копии корабля «Восток-1» для Рогозина. Специалистам конструкторского бюро пришлось решить непростую задачу – корабль Гагарина имел диаметр герметичной части всего 2,2 метра. Учитывая разницу в комплекции первого космонавта и главы «Роскосмоса», этого явно недостаточно. Поэтому габарит корабля увеличили на 44 сантиметра. Со стороны, как утверждают конструкторы, эти изменения незаметны.

  В понедельник в три часа ночи «Восток-1» установят на стартовую позицию в кабинете главы Госкорпорации. В 5:30 доктор разбудит Дмитрия Рогозина и уже в 7:10 он, одетый в оранжевый скафандр, займёт место в корабле. В 9:01 прозвучит команда «Минутная готовность», а в 9:07 главный конструктор ГКНПЦ им. Хруничева повернёт стартовый ключ в положение «Зажигание». В этот момент Дмитрию Олеговичу предстоит выполнить сложнейший элемент программы – крикнуть «Поехали» голосом Юрия Гагарина.

  Предстартовую подготовку Рогозин начал месяц назад с педагогом по сценической речи Театра-студии МХАТ. Интонацию Гагарина он освоил сразу, но вот тембр голоса не давался до последнего момента. На случай, если что-то пойдёт не так, заготовлена отмикшированная запись его голоса.

Ничто не предвещало

Переговоры России и Украины достигли существенного прогресса

"С начала переговоров самые осмысленные продвижения произошли сегодня" - Глава МИД Турции Мевлют Чавушоглу.

Главное - соглашение о прекращении огня ещё не достигнуто, но РФ согласилась на "сокращение военной активности" на киевской и черниговском направлении. Ранее сегодня об этом объявил Шойгу. Поступают сообщения что отдельные части войск уже начали движение в сторону российской границы.

Россия также соглашается на создания многостороннего договора о гарантиях безопасности.

Заявления украинской делегации:

- Одно из принципиальных условий подписания будущего договора – ничто и никто не будет отрицать вступление Украины в ЕС.

- Имплементация этого договора будет идти следующим образом: референдум, где граждане выскажут мнение, и после этого уже ратификация парламентами стран-гарантов и парламентом Украины. Мы должны получить поддержку общества, чтобы этот договор был консолидирующим для нас.

- Подписания, как и референдум, должны быть проведены в условиях полного мира. Россия должна была прекратить огонь.

- Договор о гарантиях безопасности – это возможность дипломатическими средствами восстановить территориальную целостность и безопасность Украины.

- Ключевое требование – четкие юридически обязывающие гарантии безопасности Украины, которые по своему содержанию и форме должны быть аналогичны статье 5 НАТО. То есть если Украина будет объектом любой агрессии/военного нападения/операции, мы в праве в течение 3 дней требовать немедленных консультаций. И если эти консультации не приведут к дипломатическому решению, проблемам, то страны-гаранты должны предоставить нам военную помощь, вооружение и закрытие неба над Украиной.

- Если нам удастся закрепить эти положения, Украина будет готова зафиксировать свой статус как безъядерного и внеблокового государства в форме постоянного нейтралитета. Это уже исторически зафиксировано в нашей Декларации о суверенитете 1990 года.

- В случае гарантии этих пунктов, мы не будем размещать на нашей территории иностранные военные базы, иностранные военные контингенты и не будем вступать в военно-политические союзы. Проведение военных начал на территории Украины будет иметь место при получении согласия стран-гарантов.

- Крым в договоре прописан отдельным пунктом. Мы предлагаем в нем зафиксировать позицию России и Украины. В течение 15 лет проводить двусторонние переговоры по статусу Крыма и Севастополя. В течение этого времени наши страны не будут использовать вооруженные силы для решения этих вопросов.

- Вопросы ОРДЛО в договоре также вынесены отдельным пунктом и должны обсуждаться президентами. Украинская сторона снова предложила встречу.

- Консультации со странами-гарантами уже начаты. Уже через две недели переговоры могут быть многосторонними при участии этих государств.

Заявления российской делегации:

В МИД России выступили за восстановление нормальных отношений с НАТО