матвиенко ест на 5 000 рублей

Азербайджан обвинил Россию в нарушении договорённостей по Карабаху

Россия нарушила гарантии по мирным договорённостям в Карабахе, заявил президент Азербайджана Ильхам Алиев. По его словам, Армения до сих пор не вывела свои войска из региона. Это было предусмотрено декларацией о прекращении огня. Российские миротворцы потворствуют этому, утверждает Алиев.

Азербайджанский президент подчеркнул, что несколько месяцев назад Баку посещал высокопоставленный представитель Минобороны России. Он пообещал, что пункт договора о выводе армянских подразделений будет выполнен до июня. «Сегодня уже середина июля, этот вопрос еще не решен», — отметил Алиев. Он добавил, что если Армения не хочет вывести свои войска, то у Азербайджана найдётся ответ. Минобороны России сообщение Баку пока не прокомментировало.

Конфликт между Арменией и Азербайджаном обострился осенью 2020 года. После 44 дней противостояния Баку и Ереван при посредничестве Москвы подписали соглашение о прекращении боевых действий.По договору, вызвавшему протесты оппозиции в Ереване, Баку вернул себе значительную часть территории, занятой армянскими войсками в начале 1990-х годов. Контроль за режимом прекращения огня был поручен российским миротворцам.

Сурс.

Москва - Крым - Москва 2015 или Крым наш!

…Итак, за спиной две недели в Крыму. Поездка в обе стороны на автомобиле. Мой «Ганс» (Опель «Антара») прошёл этот путь более чем достойно – почти 4000 км как в соседний магазин сгонял!

Теперь о впечатлениях.

Дорога:

Траса Москва – Ростов – пять баллов! В обе стороны очень хорошее шоссе, на 90% с разделительной полосой или отбойниками и в отличном состоянии, кроме пары участков (Павлово, Лосево). Проблема – шесть платных участков до Воронежа от 35 руб до 120 руб. КУЧА!!! камер и дико оголодавших сиротинушек в погонах - «гайцев». Можете не сомневаться, если стоит неожиданно знак 60 и «обгон запрещён», то впереди в кустах радостно почёсывая животы сидит «бригада» с видео. Поэтому будьте внимательны!

Ростов – порт Кавказ– возводится и ремонтируется ударными темпами. Поэтому куча пробок на основной (М-4) но всегда можно найти объездные пути. Мы так и сделали – от Ростова ушли через Батайск на Азов а далее через Александровку на Староминскую – Тимашевск и далее через Славянск на Кубани на Темрюк. Кроме жуткой «стиральной доски» сразу за Азовом (примерно 25 км) дальше отличная и очень живописная дорога по Кубани. Просто ради видов стоит проехаться. Заправок и всякого рода кафешек – в достатке. Но в Славянске цены оказались как Москве! Уже в 10 км. за ним всё пришло в норму! На подъёмах и спусках с знаком «обгон запрещён» опять же пасутся «сиротинушки» с полосатыми палками.

Переправа. В Крым проходили её 4 часа. Всё организовано как часы – подъехал, зарегистрировался, если по заранее купленному билету (временной слот 6 часов!), то в первую очередь пропускают, если просто, то в общую очередь. Досмотр, паром и вуаля! – мы в Крыму!

Дальше потребуется определённое мужество – дорога от порта Крым до Симферополя это «стиральная доска» где на «тройку», а где и на «двойку». Больше 90-100 гнать не рекомендую, если не знаете трассу. Чувствуется, что 23 года это направление было медвежьим углом Крыма. Но с 1 августа начинается большой ремонт трассы и её кусками закрывают…

Есть ещё трасса вдоль моря (старая дорога!), но она очень на любителя! Сточить «в ноль» на её «серпантинах» тормозные колодки – легко. Я бы не рекомендовал!

Цены на топливо практически московские – плюс минус – пятьдесят копеек! Заправок дофига!

Симферополь: объезд на Евпаторию – отличный. Объезда на Севастополь как такового нет. Приходится идти через город точно по прямой! В зависимости от времени суток это от 30-40 минут до 1.5 часов.

От Симферополя до Севастополя прекрасное шоссе – долетаешь, максимум, за час!

«Гайцев» практически не видно. За две недели видел их раза три! Но это не значит, что их вообще нет - моего друга прихватили в Старом Крыму на повороте на обгоне и соответствующем выезде на встречку (не рассчитал сужение) – итог 5000 руб. В принципе, полиция в Крыму довольно добродушна и лояльна – без дела не останавливает и по кустам не сидит.

Жильё – от 200 руб. с человека под Евпаторией в переоборудованном сарае, до 4000 – 6000 за приличный дом с видом на море и всеми удобствами в той же Балаклаве. Средняя цена за комнату (номер) на двух человек с кондиционером и санузлом 1000 – 2000 рублей в сутки.

Народ – слухи, что сезон, якобы, сорвался – бред! Народу много, но – слава Богу – не аншлаг, когда на пляже яблоку негде упасть, а в столовке очередь как в голодный год за хлебом. Район Керчи – Феодосии заполнен плотно, Ялта – так же, Севастополь – терпимо. А вот направление на Евпаторию почти свободно. Думаю, это связано с дорогой – те, кто едут на машинах предпочитают останавливаться, не забираясь слишком далеко. В любом городе на въезде маклеры с предложением жилья на любой вкус. И тут главное не вестись на первые же вариант. Традиционно стараются сначала «впарить» всякое неудобье и не пойми что и только если видят, что клиент собирается уходить – выкладывают лучшие варианты.

Пляжи в Балаклаве – в будни свободно до обеда, к обеду уже под тентами на лежаках место нужно ещё найти. В выходные – аншлаг! При этом, много стариков и пожилых людей из «внутренних» городов и посёлков Крыма – из разговоров выяснил, что с новой пенсией (российской) многие хоть стали выбираться на море, раньше себе этого позволить не могли.

Почти все пляжи теперь открыты. Никаких заборов и закрытых территорий. Даже дача Сафина под Качей теперь разгорожена и её пляж открыт. В аренду теперь сдаются услуги – питание, инфраструктура. Закрыты только пляжи ведомственных и детских санаториев.

Питание – на любой вкус! От вполне приличных столовых – обед 250 - 350 рублей с человека, до ресторанов, где за ужин придётся выложить по 1500 – 2000 рублей с человека. Нормальное кафе в Балаклаве (не дешёвый курорт!) у моря («Жемчужина») обед на человека примерно 500 - 600 рублей. Это нажраться! Порции реально большие! Но для «свих» есть ещё кафе и всякого рода «закусочные» и «чебуречные», где очень вкусно вас накормят за 400 рублей. Очередей, практически, нет! Сесть можно всегда.

Цены в магазинах – как в областных наших городах. Много российских продуктов, но встречаются уже во всю и местные – колбасы, мясо и проч. Украины всё меньше и меньше. В основном – пиво и минералка – то, что нормально хранится в дороге. Цены меняются. Когда был, на рынке 5 километр под Севастополем цены:

Свинина шейка – 350 руб. за кг.

Говядина без кости – 390 руб. за кг.

Колбасы, сосиски, сардельки - 250 – 350 руб. за кг.

Копчёности (колбасы, мясо) - 350 – 400 руб. за кг.

Овощи – 10 – 15 руб. за пучок.

Помидоры – 35 – 60 руб. за кг.

Огурцы – 30 – 35 руб. за кг.

Перец – 30 руб. за кг.

Вино от 350 руб. за 3 литра красного полусухого (очень хорошего!) до 950 руб. за бутылку масандровского мускатного портвейна розового камня.

Связь, интернет – из связи тут регистрируются все операторы, но только опять же, все, кроме МТС тут в глухом роуминге, от 3 до 10 рублей за минуту и входящих и исходящих. В общем – скотство! Зато тут царство МТС. Местная (краснодарская) «симка» стоит 50 рублей, плюс 300 - 500 руб. на неё как аванс и за две недели вы едва ли их выговорите…

Мобильного интернета тут практически только МТС. Вай-фай так же имеется. Почти у всех хозяев и во многих кафе.

Настроения народа – эйфория прошлого года прошла. Ей на смену пришла спокойная уверенность в том, что всё было сделано правильно. 90% с кем общался, говорят, примерно, одно:

- Если бы Крым не ушёл в Россию, здесь бы было куда хуже, чем на Донбассе. Кроме войны с Киевской хунтой была бы ещё и война с татарами. Тех активно готовили к «часу Х» и кипрскому варианту.

- С приходом России в Крыму стало на порядок спокойнее. Все межнациональные «тёрки» сразу затихли. Причём, это же говорят в приватных беседах и татары. Сейчас многие уже говорят, что без джамилёвского «актива» жить стало намного спокойнее, тем более, что Россия взялась решать их проблемы.

- Перестали насаждать «украинизацию», когда школы массово заставляли переходить на «мову» и давили её все официальные структуры.

- Российская жизнь – другая. При Украине законы соблюдались лишь условно – почти никто не платил налоги, стихийно строились, захватывали земли, всё решалось взятками и связями. Сейчас Россия всех резко нагнула. Если есть закон, то его заставляют соблюдать. ( из заметного и смешного: в Балаклаве после 22 часов пляж стали запирать на замок!!!, согласно закона Крыма, перестали в магазинах продавать вино в разлив, опять же, согласно закона Крыма!!! ;-))

- Цены выросли примерно на 70-100%. В основном на то, что ввозится. Непомерно дорогая переправа. С «фуры» берут до 150 000 рублей – отсюда и цены. Своё, местное, выросло, но не так сильно. Как сказал один таксист – «Простому человеку, как было трудно, так и осталось трудно, но хоть мозги Украина больше не е-ёт своей украинскостью! И старикам полегче стало!» При этом, те, у кого остались родственники на Украине, говорят, что Крыму жаловаться на рост цен - грех! На Украине у людей просто отчаяние – цены дикие, зарплаты мизерные и никаких перспектив.

Мне настроения людей откровенно понравились. Очень много осталось активного и сознательного народа. Семья бизнесменов под Качей. Обоим за пятьдесят. Потеряли бизнес на Украине – ресторан, магазины, гостиница. Продали за гроши. Теперь сдают часть особняка отдыхающим:

- Ничего, деньги мы умеем зарабатывать! За то теперь мы знаем, что с нами завтра будет, никто нам ничего не навязывает, и мы у себя дома!

На любой праздник кругом куча флагов – российских, андреевских, крымских…

Все говорят, что спокойствие появилось, уверенность в завтрашнем дне.

Встречаются и «свидомые». Иногда совсем экзотические – военный пенсионер российской армии, подполковник, лодочник с пенсией аж в 23 000 руб. – клянёт Путина и Россию за то, что Крым забрали. Его соартельцы по извозу говорят, что он бесится оттого, что раньше на его пенсию он тут себя вообще богачом чувствовал, а теперь типа «как все»…

Вообще, свидомые особо не прячутся. Откровенно говорят, лезут в споры. И это даже странно. Видимо, слухи о массовых репрессиях против «проукраинских» крымчан это бредни.

Что ещё странно – большое количество отдыхающих с Украины! Причём, с самых, что ни на есть «свидомых» регионов – Киева, Винницы, Харькова, Тернополя. Многие на машинах, но много и так. Заезжают в основном через Харьков или летят через Москву. Все, оказывается, отлично говорят по-русски и платят рублями. И это, называется, Россия воюет против Украины? А как же «не гривны предателям Крыма!»? «Крым без Украины сдохнет!»? Не понимаю…
Отношение к ним – сдержанно- добродушное. При мне какая-то девица в магазине, когда у неё не хватило рублей, расплачиваясь за мороженное, пыталась доплатить гривнами. Продавщица отодвинула гривны: «Это вы себе для Киева оставьте, а у нас в Крыму – рубли!» Та пискнула, что рубли у неё закончились и нужно искать разменник. Продавщица великодушно пододвинула той мороженное:

- Занесёте, когда разменяете…

Никто машины "хохлам" как "москалям" в Киеве не бьёт, выяснять отношения не лезет, но и радушия какого-то тоже нет.

Обратный путь:

Всего полтора часа на переправу! Далее до Ростова, под ним ночёвка в мотеле – 3500 руб. за два двойных дивана в номере! – И утром на Москву. 36 часов в пути из которых 7 часов сна.

О море, солнце, пляжах, видах – не пишу. Нет смысла!

Крым наш, ребята! И теперь я ещё сильнее в этом убедился! Он только наш и больше ничей!

Источник: http://shurigin.livejournal.com/652474.html

В Самаре в школьной столовой бедных отсадили от богатых

Самый беззащитный — уже не Сапсан. Всё оказалось куда хуже…

Больше года назад хабравчанин keklick1337 опубликовал свой единственный пост «Самый беззащитный — это Сапсан» в котором рассказывает как он без серьёзных ухищрений получил доступ ко внутренней сети РЖД через WiFi Сапсана.

В ОАО «РЖД» прокомментировали результаты этого расследования. «Есть результаты проверки. Почему удалось взломать? Наверное, потому, что злоумышленник. Наверное, из-за этого… Ну, он из „фана“. Юный натуралист. Там уязвимостей, которые бы влияли на утечку каких-то критических данных, нет. Мультимедийный портал „Сапсанов“ функционирует как положено и не нуждается в доработке», — заявил Евгений Чаркин.
То есть вместо того, чтобы выразить благодарность за обнаруженную уязвимость, автора обозвали «злоумышленником» и «Юным натуралистом».

К сожалению, но специалисты РЖД, начиная с директора по информационным технологиям, отнеслись к статье очень пренебрежительно, проигнорировав важное указание автора:
Также оттуда в сеть РЖД есть впн. Если захотите — найдёте её там сами.
И вот, год спустя я попал в сеть РЖД даже не садясь в Сапсан.

Видимо, только этот котэ добросовестно охраняет вокзал.

Как именно я попал в сеть РЖД с пруфами, чего не сделал директор по информационным технологиям ОАО «РЖД» Чаркин Евгений Игоревич и возможные последствия — под катом.

Всё началось с гипотезы

В интернете очень много бесплатных прокси-серверов. Но кто в здравом уме будет открывать всем желающим выход в интернет через свой роутер? Вариантов по большому счету два: это либо взломанные устройства, либо владелец забыл отключить эту функцию.

Таким образом меня посетила идея проверить гипотезу: «Есть ли жизнь за прокси»?

Я запустил nmap по диапазону адресов по порту 8080. Далее из полученного результата прошёлся прокси-чеккером в поисках публичного прокси без авторизации и из положительных результатов выбрал самый близкий ко мне по пингу.

Запустил сканер через него по адресам 172.16.0.0/12 порт 8291 (mikrotik winbox). И! Я его нашёл! Без пароля!

То есть за роутером с прокси есть ещё один — Mikrotik без пароля. Гипотеза подтверждена: за прокси могут быть целые незащищённые сети.

Только на тот момент я недооценивал масштаб «незащищённости», который я случайно нашёл.

В поисках Немо владельца системы

Так как я придерживаюсь принципов Grey hat (Обо мне mysterious Russian-speaking grey-hat hacker Alexey и статья на Хабре) и «съел собаку» на безопасности Mikrotik, то я принялся искать владельца системы, чтобы связаться с ним.

Кстати, заходите в Телеграм чат «RouterOS Security» t.me/router_os

Недолго думая я поднял исходящий VPN до себя. Всё же комфортней через нормальный туннель дальше изучать сеть и искать признаки владельца системы. HTTP connect — ещё тот геморрой…

За интерфейсами ether1 и bridge ничего интересного не обнаружил. Найденные камеры были абсолютно не информативными.

А вот сканирование vpn, отмеченные красным на скрине выше, выдало более 20 000 устройств…
Причём более 1000 штук — микротики. Огромное количество устройств с заводскими паролями.

Вот некоторые из найденных сервисов с паролями по умолчанию:

1. Камеры наружного наблюдения — подавляющее большинство.

Ещё камеры

Даже офисы внутри

Камер, по скромным ощущениям, не менее 10 000 штук. Производители разные: beward, axis, panasonic и т.д.

2. Ip-телефоны и FreePBX сервера также большое количество.

3. IPMI серверов:

Asus

Dell (их подавляющее большинство)

Supermicro

Из серверов виртуализации встречаются ESXi, Proxmox и oVirt

Много узлов кластера Proxmox (по поднятым сервисам и трафиком между ними.)

4. Преобразователи ethernet во 'что угодно' (Moxa UniPing etc)

5. Системы управления ИБП

6. Внутренние сервисы

Что-то похожее на мониторинг состояния систем обеспечения здания.

Система управления кондиционированием и вентиляцией

Различные системы управления табло на перронах :-)

Эта самая красивая

Некий терминал, но внутри модифицированный дебиан.

Таких нашёл около 20

Кстати, аптайм у него почти год:

6. Сетевое оборудование

Разумеется, много различных роутеров. Как уже сказано выше, мне больше интересны Микротики. Подавляющее большинство с последней прошивкой и пароли не пустые. Но есть без паролей и с устаревшими прошивками.

Туннели наружу подымаются легко. То есть фильтрации исходящих коннектов практически нет.
Более того огромное количество микротиков со включенным прокси, аналогично тому, при помощи которого я и попал в эту сеть… Кстати, туннели через них тоже замечательно подымаются.

Не полный кусок лога по прокси.

Такое ощущение, что интегратор, который строил сеть, специально оставил этот доступ.

И все же кто же хозяин?

Думаю, что уже все и так догадались.

Это я пробежался по верхушкам в рандомном порядке. Потратил я на это чуть больше 20 минут, чем автор статьи про Сапсан.

Это здец. Сеть просто в решето.

Причём это устройства по всей РФ.

Например, вот это вокзал Уфы

Антропово Костромской области

Развёрнута профессиональная система видеонаблюдения.

Нашёл презентацию по вокзалам.

macroscop

Находил Кемерово, Новосибирск, Омск и т.д. По внешнему виду вокзалы сложно определить. К тому же я поездом уже лет 5 не ездил.

Как же так получилось?

Я всегда считал, что уязвимости в корпоративных сетях появляются из-за ошибок или специальных действий безграмотных сотрудников. Первое что пришло мне в голову — это некий сотрудник по разрешению СБ поднял у себя из дома VPN до рабочей сети на микротике в своей домашней сети. Но в данном случае эта моя гипотеза разбилась как только я увидел обратный резолв адреса через который я попал на этот Микротик.

То есть это один из шлюзов в мир из сети РЖД. Ну и в сеть РЖД тоже…

Получилась вот такая картина:

Вероятно, что это один из офисов РЖД, который прилинкован к основой сети через l2tp. Я попадаю в сеть где межсетевые экраны отсутствуют как класс. Запускаю интенсивное сканирование хостов — у меня соединение не рвётся. Значит о системах обнаружения вторжения (IDS/IPS) РЖД тоже ничего не слышал. Микротик может замечательно интегрироваться, например

Обнаружил кучу устройств без защиты. Это говорит, что службы сетевой безопасности в РЖД так же нет.Много устройств с дефолтными паролями. То есть политики паролей тоже нет.С Микротиков внутри сети я легко поднял туннели. То есть исходящий трафик не контролируется. Я вижу все интерфейсы управления в одной сети с клиентскими сервисами. Админы РЖД ничего не знают о Management VLAN
«Российские железные дороги» провели проверку после взлома мультимедийной системы поезда «Сапсан» одним из пассажиров, критических уязвимостей не обнаружено.
Так дайте ответ, Евгений Игоревич, какой «Юный натуралист» проводил расследование и не заметил гнездо со слонами?

У меня лично есть всего три варианта ответа на этот вопрос:

1. У Вас исходно плохая команда.

Проверку проводил тот же отдел, который и проектировал/обслуживает систему. Отрицая проблему, они или сохраняют свою работу, или преследуют иные цели.

2. Вы доверились не тому специалисту. Аудит проводил некомпетентный сотрудник.

3. Вы и так знаете о проблеме, но по каким-то неведомым причинам не можете ее публично признать и решить.

Стоимость уязвимости

«Что есть защищенная система? Защищенная система — это та система, взлом которой стоит дороже, чем ценность информации, которая там есть. Вот и все», — подытожил директор по информационным технологиям ОАО «РЖД».
Предлагаю применить Вашу систему оценки в теории на примере системы видеонаблюдения РЖД.

Чтобы вывести камеры из строя так, чтобы их могли восстановить только специалисты вендора, достаточно залить прошивку с заблокированным сетевым интерфейсом.

Рандомно выбранная из списка установленных модель стоит ~13к рублей.

А закупки по 44-ФЗ отличаются, как непредсказуемой конечной стоимостью, так и временем проведения самой процедуры и получения продукта. Я потратил 8 часов для сбора информации для этой статьи. Найдено ~10к камер. Производителей камер, которые установлены, немного — максимум штук 10.

Гипотетическому злоумышленнику потребуется:

Модифицировать прошивки, заблокировав сетевой порт на 10 прошивках. Думаю, что на это у специалиста уйдёт три рабочих дня;Написать сканер, который будет анализировать устройство и заливать соответствующую прошивку. Заложим ещё 2 дня;Запустить этот сканер-прошивальщик, чтобы не смогли найти источник и заблокировать — часа два.
Таким образом за неделю работы специалиста по взлому РЖД потеряет минимум 130 миллионов рублей. Отсюда стоимость одного часа работы злоумышленника будет равна ~2,5 млн. рублей.

Двигаемся дальше.

Быстро заменить камеры на работающие РЖД не сможет. В резерве столько нет. Купить новые из-за обязанности объявления торгов так же не получится. Таким образом вся железная дорога будет без видеонаблюдения не меньше месяца.

А вот это уже опасность террористической угрозы. Чтобы её хоть как-то снизить потребуется на 10 тысячах объектов существенно усилить охрану. То есть даже на маленькую ж.д. станцию потребуется дополнительно 6 человек охраны…

Кажется счёт уже уходит за миллиарды…

Что нужно изменить, чтобы снизить вероятность возможных последствий?
Далее чисто мой взгляд на решение данной ситуации. Он ничего общего не имеет с мировыми best practices.

Так же, сразу оговорюсь, что проблема касается только обнаруженной мною сети видеонаблюдения. В других сегментах сети РЖД, очень надеюсь, всё намного лучше.

1. Нанять сетевых аудиторов, которые помогут найти и закрыть самые «зияющие» дыры.

2. Нанять крутых системных архитекторов, которые имеют богатый опыт построения больших сетей. И не факт, что это будут российские специалисты. Перед ними поставить следующие задачи:

2.1. доработать текущую инфраструктуру до безопасного состояния за минимальные средства (зачем вкладывать много денег в проект, который скоро разберут)

2.2. разработать новую полноценную инфраструктуру, отвечающую всем требованиям безопасности и план поэтапной миграции.

3. Нанять подрядчика, который будет реализовывать в жизни данные проекты и передавать на эксплуатацию сетевикам РЖД.

4. После сдачи проектов провести аудит безопасности инфраструктуры.

5. По окончанию пентестов своими силами объявить Bug Bounty

Чтобы мотивировать аудиторов и внутренних специалистов работать качественно, надо объявить лимит на количество и серьёзность уязвимостей, которые могу найти участники программы Bug Bounty. Если внешние специалисты найдут багов меньше лимита, то свои аудиторы получают премии. Если багов будет больше лимита, то штрафовать.

В дальнейшем службу внутреннего аудита информационной безопасности оставить на постоянку и премии формировать уже на основании обнаруженных багов и их устранении.

Разумеется, что схема имеет огромное количество подводных камней, которые за время написания статьи предусмотреть не возможно.

Заключение
Я не единственный кто нашёл данные уязвимости. Очень много признаков, что в этой сети кто-то «живёт».

Например, вот эти линки я уже встречал не раз на роутерах, никак не относящихся к РЖД.

Все информационные системы уязвимы априори. Когда их вскроют — зависит от интереса злоумышленников к ним, беспечности создателя и времени, которое они на это потратят.
Основой основ безопасности является ограничение доступа к системам при несанкционированном проникновении в одно устройство.

В случае с Сапасаном, чтобы через полученный VPN доступ можно было увидеть только один сервис — с которым взаимодействует пользователь системы, а не всю сеть РЖД…

Я старался достаточно жирно намекнуть на узкие места не раскрывая деталей и надеюсь, что специалисты РЖД их всё же увидят.

Связаться со мной можно через телеграм t.me/monoceros
Обсудить данную статью приглашаю в профильный чат по Микротикам в Телеграм «RouterOS Security»: t.me/router_os

Кстати, Евгений Игоревич, с повышением!

Источник

Зампред Совета безопасности РФ (ну и титул) )Дмитрий Медведев написал статью об Украине... У Путина скопипастил небось )

Занимательная география на Российских гос. помойках