летнев Никита Сергеевич

немного математики

В Нижегородской области воспитанников детского сада сводили на экскурсию в военкомат

Представитель военкомата «ознакомил детей  историей возникновения Российской армии, с представителями военных профессий, рассказал какие существуют виды войск, поведал детям что такое честь и достоинство истинного патриота нашей Родины».

Суд приговорил 16-летнего Никиту Уварова из Канска к пяти годам колонии за планы взорвать здание ФСБ в Minecraft.

Пост с его последним словом на суде

Новая Газета

Бессмысленный и беспощадный русский BugBounty и новый смысл выражения «вычислю тебя по IP»

Сейчас я расскажу вам прекрасную историю, в которой выражение «я вычислю тебя по IP» приобретает реальный смысл, про бессмысленный и беспощадный российский bugbounty, отношение к персональным данным своих клиентов и бессмысленного регулятора, который вместо контроля за предыдущим, занимается ухудшением жизни жителей РФ (и которого в Прекрасной России Будущего не будет).

История началась около 11 лет назад, когда я изучал устройство сетей крупных операторов с помощью инструмента whois — смотрел распределение адресов для клиентов т.д.), и в одном российском сегменте интернета набрёл на такое, от чего потерял дар речи.
Аккуратно сдампил результаты whois по сетям этого оператора (десятки тысяч адресов), и это настолько меня шокировало, что я предпочёл об этом поскорее забыть.

Месяц назад мне написал один из читателей: смотри, что происходит. И тут я всё вспомнил, и охренел ещё сильнее — от того, что за ~11 лет ничего не поменялось.

Есть такой московский оператор — «Комкор», сейчас работает под торговой маркой Акадо-Телеком.
Среди их клиентов — физические лица, фирмы (много банков, объекты инфраструктуры города) в московской области — жители элитных посёлков (Рублёвка, Барвиха, Жуковка и т.д.).

Многие уже догадываются, о чём будет дальше, но всё равно не могут поверить.

Да, Комкор (Акадо) выкладывает персональные данные своих клиентов прямо в БД RIPE, которая доступна с помощью whois.
Там всё:
ФИО клиента (или название компании), адрес подключения, телефон клиента.

Вот их сети:
212.100.128.0/19
212.45.0.0/19
178.208.128.0/19

Вот элитного посёлка «Жуковка»:

Вот клиенты в Барвихе, включая местный Альфа-Банк:

А что это за Никита Сергеевич в посёлке Николина Гора пользуется услугами горе-провайдера, не известный ли кинорежиссёр? Ага, он:

«Какая-то невероятная дичь», — воскликните вы, и будете совершенно правы.
Давайте теперь посмотрим, как обстоит дело с защитой персданных клиентов-фирм и объектов инфраструктуры Москвы.
Вот IP-адреса объектов ДИТ Москвы — Департамента инфромационных технологий — к Акадо подключены сотни таких объектов. Это интернет для камер, телеметрии и других служебных устройств и пользователей:

Давайте поищем по ключевому слову «Bank».
Что же мы видим? Сотни банков подключены к Комкору, и любой человек на свете может узнать IP-адрес конкретного филиала, контакт технического специалиста, его ФИО и так далее:

Что должен сделать приличный человек, который осознал что все эти ~11 лет персданные клиентов большого оператора лежали в паблике?
Правильно, написать об этом в Комкор. Ну не знали же они, что делают всё это время, в самом деле — надо им об этом рассказать!
Что я и сделал:

Через 1 рабочий день я получил ответ от начальника ИБ — мол информацию получили и проверят (странная задержка в сутки при такой-то страшной дыре, но ладно):

Ещё через 5 дней я решил поинтересоваться результатами проверки информации:

на что мне ответили, что всё исправили:

Ого, думаю я, наконец-то в России стала повышаться ответственность компаний и рост культуры реакции на сообщения о дырах. Но решил всё же проверить: убрали персданные только из блока person и только из двух моих примеров в первом письме, но в блоке inetnum персданные остались даже в моих примерах, о чём я написал:

и получил очень странный ответ, что «принято решение» убрать персданные пользователей белых сетей (когда убрать?!), но поле inetnum они обязаны заполнять:

Да никто не спорит, что обязаны — но провайдеры записывают туда информацию о назначении сети, или, если это фирма — максимум, её название и юр. адрес (и даже это далеко не всегда, точнее — почти никогда), но никак не ФИО клиента-физлица.
На моё письмо от 24 октября с уточняющим вопросом никто не ответил:

И тут мои силы закончились — я перестал понимать, почему я должен уговаривать большую компанию с огромной ответственностью заставлять устранить такую страшную дыру. Я перестал понимать, почему эта переписка вообще должна была длиться больше двух писем, ведь каждому здравомыслящему человеку абсолютно очевидно, насколько это дико — персданные твоих клиентов в паблике. И я уже не говорю об ответственных лицах в компании, которые должны только и заниматься тем, что устранять эту страшную дыру.
Я очень не хотел писать этот пост — мне ответили, со мной общались вежливо, даже в музей пригласили :). Но это попытка сделать хорошую мину при плохой игре. Никаких действий по факту предпринято не было, сроки их тоже озвучены не были. Поэтому следующим шагом я должен перейти к информированию об этой опасной уязвимости общественность, чтобы они вывели себя из-под угрозы и перестали пользоваться оператором, который так относится к персданным своих клиентов.

А теперь — простым языком для людей, которые не поняли, что всё это значит.

Whois — это публичный инструмент, которым может воспользоваться каждый человек, чтобы получить информацию об IP-адресе или домене.
В нём содержится служебная информация о владельце домена или IP-адреса (в данном случае — провайдере).
По правилам организации RIPE, которая выдаёт IP-адреса, провайдер обязан содержать в актуальном виде информацию о назначении подсети IP-адресов (например, служебная или клиентская), контакты для связи (почта и телефон провайдера), и если провайдер выдаёт в аренду крупный блок адресов — информацию об арендаторе.
Но никакому провайдеру не приходит в голову указывать ФИО, адрес подключения и контакт физического лица, которому выдан 1 IP-адрес. Тоже самое — с юридическими лицами. В случае выдачи большого блока, максимум — указывается юрлицо, его контакт и юридический адрес. И то, так делают далеко не все провайдеры, и никаких санкций, конечно же, за это нет.
Не очень умные технические специалисты Комкора (ныне Акадо) в какой-то момент просто настроили автоматическую трансляцию информации из своей служебной базы клиентов (CRM) в базу данных RIPE, и таким образом персданные клиентов стали доступны для всех желающих.
Для оператора такая дыра — катастрофа дважды, потому что:
1) Собственно, песональные данные клиентов — в публичном доступе. Какое доверие может быть к такому оператору?
2) Твоих клиентов могут просто переманивать другие операторы, за полчаса просканировав все IP-адреса и собрав базу данных.
3) Можно узнать IP-адреса определённого клиента или устройства, очень несложно забить канал трафиком и выключить, таким образом, интернет у клиента.
В случае с ведомственными объектами, большое количество которых подключено к Акадо — это же прямая угроза безопасности города.

Этот пост прочитает много клиентов Акадо — вы, конечно, решайте сами, но я бы никогда не стал пользоваться услугами оператора, который выкладывает ваши персональные данные в паблик, и не убирает их в срочном порядке после приватного сообщения об этом.
И даже через 3 недели всё еще не убирает.
Такое поведение, конечно, абсолютно неприемлемо в 2018 году.

И в завершение, я хочу отдельно написать о Роскомнадзоре.
Это регулятор, под надзором которого оператор связи оказывается дважды — как оператор связи, и как оператор персональных данных.
Эти никчёмные и бесполезные дармоеды вместо ухудшения жизни всех жителей России и ежедневной блокировки до 10–15 IP-адресов нашего прокси для Telegram (вы представляете, там сидят специальные люди на зарплате, которые почти круглосуточно резолвят домен и добавляют актуальные IP-адреса в выгрузку — что может быть бессмысленнее), должны заниматься как раз пресечением таких вот историй.
Дорогие журналисты, которые будут звонить в Акадо — сделайте, пожалуйста, следующий звонок в Роскомнадзор и спросите, почему они не выполняют свою работу, а вместо этого занимаются ухудшением жизни граждан России.

Источник: https://medium.com/@itsorm/бессмысленный-и-беспощадный-русский-bigbounty-или-отношение-к-персональным-данным-из-двухтысячных-d9e0e8a7601e

Подросток Никита Уваров, обвиняемый в терроризме из-за планов взорвать здание ФСБ в игре Minecraft, выступил на суде с последним словом.

Новая Газета

Никита Михалков снял фильм «Матрёшка» о победе традиционных ценностей во всём мире

Сурс

《Режиссёр Никита Михалков завершил съёмки актуального фильма «Матрёшка». Как следует из анонса на сайте Фонда кино, лента расскажет о мире игрушек – «царстве традиционных ценностей», где все жители следуют «Домострою», почитают мужа, Бога и Президента.

«Время в этом фильме как будто остановилось в XVI столетии – золотом веке, царствии великого русского царя Иоанна, когда мир был чище и добрее, когда брат любил брата, когда купец дружил с опричником, а крестьянин исправно платил оброк», – говорит сам автор фильма.

По замыслу Михалкова, главные герои – Матрёшка и её муж Ванька-Встанька – вместе со своими шестью детьми отправляются в Лос-Анджелес 2020-х годов, где царят феминизм, диктатура демократов, расизм, терпимость к трансгендерам и толерантность к темнокожим бандитам. Главные герои помогут американцам вспомнить свои корни и избавиться от порока – феминистки вновь отправятся варить борщ, индейцы прекратят «качать права» и вернутся в резервации, а усиленная полиция положит конец вольготному разгулу «людей цвета» на улицах.

«Американцы с нетрадиционной ориентацией тоже посмотрят на красавицу-Матрёшку, увидят, что такое русская чистота и навек позабудут об это скверне, этой радужной звенящей пошлости. И пойдут сдаваться в полицию», – добавил Михалков.

Выпуск эпопеи поможет освоить до 500 млн бюджетных рублей, привлечёт внимание мира к отечественному кинематографу и станет важным инструментом в борьбе за традиционные ценности.》

Чехия открывает онлайн-доступ к документам НКВД о репрессированных советским режимом чехах и словаках.Преступления советских "дедов" против еще двух народов в тестовом режиме можно найти по адресу: https://archivkgb.zcu.cz

https://ruski.radio.cz/chehiya-otkryvaet-onlayn-dostup-k-millionu-dokumentov-nkvd-o-repressirovannyh-v-8721687

Догнать и перегнать

Рязань в экономической истории XX века можно поставить в один ряд с Южной Кореей, Японией или Сингапуром – там тоже было своё экономическое чудо. Что, неужели вы о нём не слышали?

Вскоре после смерти Сталина партийные вожди решили больше заботиться не о рекордах выплавок стали и прочих цифрах в отчётах, а о реальном уровне жизни населения. Маленков в этом плане проводил довольно толковую работу и в народе запомнился по поговорке "Пришёл Маленков – поели блинков". Сменивший его Никита Сергеевич продолжил заботиться о населении, но методы у него были специфические.

Успехи Хрущёва в сельском хозяйстве отложились в народной памяти мемами про кукурузу и освоением целины, едва не разорившим сельское хозяйство Советского союза. Подчинённые Никиты Сергеевича посыл уловили и стали заниматься не менее безумными вещами. 

Сигнал им был подан соответствующий: коровы и свиньи должны были внять политической воле партии и направить все усилия на обеспечение страны советов мясом и молоком. Вот текст послания обкомам КПСС от 1958 года: «Среди экономистов есть скептики, которые не верят в возможности нашего сельского хозяйства утроить производство мяса. Но как они подошли к этому делу? Как водится, взяли карандашик и подсчитали, какой может быть прирост скота и за сколько лет. Товарищи, надо же понимать, какие сейчас силы накопились у советского народа. Это же политическое явление, результат долголетней работы нашей партии…»

Лучше всех уловил посыл начальник Рязанской области А.Н. Ларионов. В начале 1959 года он пообещал за год утроить заготовки мяса в области, за что в феврале область получила орден Ленина, а сам Ларионов в декабре (ещё до окончания года) стал Героем соцтруда. 

Обещание добиться рекордных заготовок мяса сперва выполнялось вполне ожидаемо и предсказуемо: в области забили бóльшую часть скота, причём не только мясного, но и молочного – и приплод, и животных-производителей, и даже личных животных колхозников, которых принудительно "взяли в долг" под расписку. Самое весёлое началось, когда выяснилось, что и этого недостаточно. 

В Советском союзе была такая штука как общественные фонды потребления – на них строили школы, детсады и прочие общественные блага. На эти средства великий комбинатор Ларионов придумал закупать скот в соседних областях, чтобы всё-таки выполнить данные обещания. Всё это сопровождалось овацией Хрущёва в течение всего года, который требовал, чтобы все остальные области брали пример с Рязанской.

В итоге обещание с горем пополам всё-таки выполнили, заготовив 150 тысяч тонн мяса. Цели на следующий 1960 год стояли ещё более амбициозные: 180 тысяч тонн. Убитое во всех смыслах животноводство смогло выдать лишь 30 тысяч. Колхозники, у которых "взяли в долг" их скот, отказывались обрабатывать землю, поэтому сбор зерна упал на 50%. 

Ларионов, поняв, что был пойман за руку, как дешёвка, не выдержал и в сентябре 1960 умер – по официальной версии от сердечной недостаточности, но в народе была молва, что он застрелился. 

По итогам всей аферы были наказаны невиновные и награждены непричастные: у Ларионова не отобрали звание Героя соцтруда, а Хрущёв, чтобы скинуть вину, объявил виновным главу Бюро ЦК КПСС по РСФСР А.Б. Аристова. Казалось бы, а при чём здесь Аристов? А не при чём, просто Хрущёву нужен был виновный. Никаких организационных выводов из катастрофы областного масштаба не сделали. К счастью, уже через 4 года сумасшедшего кукурузника сместили. В народе часто принято считать, что сделали это исключительно в интересах аппаратчиков, но всё тот же народ от таких перестановок только выиграл.

Via https://t.me/lettersfromvladivostok/