невероятные случаи на дороге

Северный кореец случайно застрелил боевого товарища, метя в дрон

Бессмысленный и беспощадный русский BugBounty и новый смысл выражения «вычислю тебя по IP»

Сейчас я расскажу вам прекрасную историю, в которой выражение «я вычислю тебя по IP» приобретает реальный смысл, про бессмысленный и беспощадный российский bugbounty, отношение к персональным данным своих клиентов и бессмысленного регулятора, который вместо контроля за предыдущим, занимается ухудшением жизни жителей РФ (и которого в Прекрасной России Будущего не будет).

История началась около 11 лет назад, когда я изучал устройство сетей крупных операторов с помощью инструмента whois — смотрел распределение адресов для клиентов т.д.), и в одном российском сегменте интернета набрёл на такое, от чего потерял дар речи.
Аккуратно сдампил результаты whois по сетям этого оператора (десятки тысяч адресов), и это настолько меня шокировало, что я предпочёл об этом поскорее забыть.

Месяц назад мне написал один из читателей: смотри, что происходит. И тут я всё вспомнил, и охренел ещё сильнее — от того, что за ~11 лет ничего не поменялось.

Есть такой московский оператор — «Комкор», сейчас работает под торговой маркой Акадо-Телеком.
Среди их клиентов — физические лица, фирмы (много банков, объекты инфраструктуры города) в московской области — жители элитных посёлков (Рублёвка, Барвиха, Жуковка и т.д.).

Многие уже догадываются, о чём будет дальше, но всё равно не могут поверить.

Да, Комкор (Акадо) выкладывает персональные данные своих клиентов прямо в БД RIPE, которая доступна с помощью whois.
Там всё:
ФИО клиента (или название компании), адрес подключения, телефон клиента.

Вот их сети:
212.100.128.0/19
212.45.0.0/19
178.208.128.0/19

Вот элитного посёлка «Жуковка»:

Вот клиенты в Барвихе, включая местный Альфа-Банк:

А что это за Никита Сергеевич в посёлке Николина Гора пользуется услугами горе-провайдера, не известный ли кинорежиссёр? Ага, он:

«Какая-то невероятная дичь», — воскликните вы, и будете совершенно правы.
Давайте теперь посмотрим, как обстоит дело с защитой персданных клиентов-фирм и объектов инфраструктуры Москвы.
Вот IP-адреса объектов ДИТ Москвы — Департамента инфромационных технологий — к Акадо подключены сотни таких объектов. Это интернет для камер, телеметрии и других служебных устройств и пользователей:

Давайте поищем по ключевому слову «Bank».
Что же мы видим? Сотни банков подключены к Комкору, и любой человек на свете может узнать IP-адрес конкретного филиала, контакт технического специалиста, его ФИО и так далее:

Что должен сделать приличный человек, который осознал что все эти ~11 лет персданные клиентов большого оператора лежали в паблике?
Правильно, написать об этом в Комкор. Ну не знали же они, что делают всё это время, в самом деле — надо им об этом рассказать!
Что я и сделал:

Через 1 рабочий день я получил ответ от начальника ИБ — мол информацию получили и проверят (странная задержка в сутки при такой-то страшной дыре, но ладно):

Ещё через 5 дней я решил поинтересоваться результатами проверки информации:

на что мне ответили, что всё исправили:

Ого, думаю я, наконец-то в России стала повышаться ответственность компаний и рост культуры реакции на сообщения о дырах. Но решил всё же проверить: убрали персданные только из блока person и только из двух моих примеров в первом письме, но в блоке inetnum персданные остались даже в моих примерах, о чём я написал:

и получил очень странный ответ, что «принято решение» убрать персданные пользователей белых сетей (когда убрать?!), но поле inetnum они обязаны заполнять:

Да никто не спорит, что обязаны — но провайдеры записывают туда информацию о назначении сети, или, если это фирма — максимум, её название и юр. адрес (и даже это далеко не всегда, точнее — почти никогда), но никак не ФИО клиента-физлица.
На моё письмо от 24 октября с уточняющим вопросом никто не ответил:

И тут мои силы закончились — я перестал понимать, почему я должен уговаривать большую компанию с огромной ответственностью заставлять устранить такую страшную дыру. Я перестал понимать, почему эта переписка вообще должна была длиться больше двух писем, ведь каждому здравомыслящему человеку абсолютно очевидно, насколько это дико — персданные твоих клиентов в паблике. И я уже не говорю об ответственных лицах в компании, которые должны только и заниматься тем, что устранять эту страшную дыру.
Я очень не хотел писать этот пост — мне ответили, со мной общались вежливо, даже в музей пригласили :). Но это попытка сделать хорошую мину при плохой игре. Никаких действий по факту предпринято не было, сроки их тоже озвучены не были. Поэтому следующим шагом я должен перейти к информированию об этой опасной уязвимости общественность, чтобы они вывели себя из-под угрозы и перестали пользоваться оператором, который так относится к персданным своих клиентов.

А теперь — простым языком для людей, которые не поняли, что всё это значит.

Whois — это публичный инструмент, которым может воспользоваться каждый человек, чтобы получить информацию об IP-адресе или домене.
В нём содержится служебная информация о владельце домена или IP-адреса (в данном случае — провайдере).
По правилам организации RIPE, которая выдаёт IP-адреса, провайдер обязан содержать в актуальном виде информацию о назначении подсети IP-адресов (например, служебная или клиентская), контакты для связи (почта и телефон провайдера), и если провайдер выдаёт в аренду крупный блок адресов — информацию об арендаторе.
Но никакому провайдеру не приходит в голову указывать ФИО, адрес подключения и контакт физического лица, которому выдан 1 IP-адрес. Тоже самое — с юридическими лицами. В случае выдачи большого блока, максимум — указывается юрлицо, его контакт и юридический адрес. И то, так делают далеко не все провайдеры, и никаких санкций, конечно же, за это нет.
Не очень умные технические специалисты Комкора (ныне Акадо) в какой-то момент просто настроили автоматическую трансляцию информации из своей служебной базы клиентов (CRM) в базу данных RIPE, и таким образом персданные клиентов стали доступны для всех желающих.
Для оператора такая дыра — катастрофа дважды, потому что:
1) Собственно, песональные данные клиентов — в публичном доступе. Какое доверие может быть к такому оператору?
2) Твоих клиентов могут просто переманивать другие операторы, за полчаса просканировав все IP-адреса и собрав базу данных.
3) Можно узнать IP-адреса определённого клиента или устройства, очень несложно забить канал трафиком и выключить, таким образом, интернет у клиента.
В случае с ведомственными объектами, большое количество которых подключено к Акадо — это же прямая угроза безопасности города.

Этот пост прочитает много клиентов Акадо — вы, конечно, решайте сами, но я бы никогда не стал пользоваться услугами оператора, который выкладывает ваши персональные данные в паблик, и не убирает их в срочном порядке после приватного сообщения об этом.
И даже через 3 недели всё еще не убирает.
Такое поведение, конечно, абсолютно неприемлемо в 2018 году.

И в завершение, я хочу отдельно написать о Роскомнадзоре.
Это регулятор, под надзором которого оператор связи оказывается дважды — как оператор связи, и как оператор персональных данных.
Эти никчёмные и бесполезные дармоеды вместо ухудшения жизни всех жителей России и ежедневной блокировки до 10–15 IP-адресов нашего прокси для Telegram (вы представляете, там сидят специальные люди на зарплате, которые почти круглосуточно резолвят домен и добавляют актуальные IP-адреса в выгрузку — что может быть бессмысленнее), должны заниматься как раз пресечением таких вот историй.
Дорогие журналисты, которые будут звонить в Акадо — сделайте, пожалуйста, следующий звонок в Роскомнадзор и спросите, почему они не выполняют свою работу, а вместо этого занимаются ухудшением жизни граждан России.

Источник: https://medium.com/@itsorm/бессмысленный-и-беспощадный-русский-bigbounty-или-отношение-к-персональным-данным-из-двухтысячных-d9e0e8a7601e

В Казани ради строительства новой дороги хотят снести несколько сотен частных домов

"Что иностранные добровольцы видят в Украине: преимущество украинской стороны три к одному"

...Сначала Джед хотел поговорить о противотанковом оружии, в частности американских джавелинах и британских NLAW. Месяц боев показал что баланс смертоносности сдвинулся не в пользу бронетехники. Даже самые современные системы бронирования, такие как на танках Т-90, оказались уязвимы, их обгоревшие корпуса усеивают дороги Украины.

Когда я заметил Джеду что я воевал в Фаллудже в 2004-м, он сразу отреагировал что тактика морпехов в Фаллудже никогда бы не сработала в Украине. В Фаллудже наша пехота действовала в тесной кооперации с нашим главным танком, М1А2 Абрамс. Несколько раз я был свидетелем того как танк получал прямое попадание из РПГ-7 и продолжал движение почти без заминки. Сегодня украинец вооруженный джавелином уничтожил бы такой танк.

Если сейчас дорогостоящий танк это олицетворение армии(одинаково для России и НАТО), то олицетворение ВМФ это супердорогостоящий военный корабль, например авианосец. Точно также как современное противотанковое оружие изменило баланс в пользу украинской армии, последнее поколение противокорабельных ракет (берегового и морского базирования) сможет в будущем, например в южнокитайском море, изменить баланс для более слабого ВМФ. Начиная с 24 февраля украинские военные уверенно продемонстрировали превосходство деплатформенного метода ведения войны. Или, как выразился Джед, "В Афганистане я всегда завидовал танкистам, со всех сторон защищенных броней. Теперь этой зависти нет как нет".

Что привело нас к следующему пункту - российской тактике и военной доктрине. Он сказал что провел большую часть времени на Украине в окопах на северо-западе Киева. "У русских отсутствует воображение. Они проводят артподготовку, идут в атаку в крупных формациях, и когда их атака захлебывается, повторяют все заново. В то время как украинские военные атакуют российские позиции небольшими группами ночь за ночью, выматывая их". Наблюдения Джеда напомнили мне о разговоре который состоялся за день до того, с Андрием Загороднюком. После вторжения России на Донбасс в 2014 Загороднюк провел реформы украинской армии, которые теперь показали свою пользу, и главная из них - это изменения в украинской военной доктрине. После чего он, с 2019 по 2020 работал министром обороны.

Российская доктрина построена на централизованном командовании и контроле, в то время как mission-style командование и контроль основано на индивидуальной инициативе каждого военнослужащего - от рядового до генерала, которые должны не только понимать цель операции, но и использовать свою инициативу чтобы подстроиться к хаосу постоянно меняющегося поля битвы и достичь выполнения поставленной задачи. Российская армия, хоть и модернизированная за время правления Путина, так никогда и не приняла на вооружение децентрализованную mission style структуру которая является фирменным знаком военных НАТО.

"Русские не мотивируют своих военных", объяснял Загороднюк. "Они приказывают солдатам идти из точки А в точку Б и только по прибытии в точку Б им приказывают куда идти дальше, и младшие рядовые очень редко знают причину по которой они вообще что-то делают. Централизованное управление может быть эффективным, но только если все идет по плану. Когда план рушится, с ним рушится и вся система командования. Никто не может адаптироваться и в результате получаешь такие сюрпризы как 40-мильная пробка на подходе к Киеву."

Отсутствие какой-либо информации у отдельного российского рядового соответствует истории рассказанной Джедом о том как группа российских солдат потерялась во время неудачного ночного рейда на его окоп. Они заблудились в лесу поблизости. "Через какое-то время они стали аукать и мне их было просто жалко. Они понятия не имели куда идти"

На вопрос о том что с ними случилось дальше он угрюмо посмотрел на меня и ничего не ответил.

Вместо этого он описал о преимуществах, которыми пользуются украинцы вооруженные ПНВ. На мою реплику о том что я слышал что у украинцев нехватка ПНВ, он это подтвердил и что им действительно их не хватает. "Но ведь у них есть джавелины. Все говорят о джавелинах как противотанковом оружии, но забывают что джавелины еще и CLU"

CLU - Command Launch Unit, это тепловизор высокой четкости, которым можно пользоваться в отрыве от ракетной части. В Ираке и Афганистане мы часто брали с собой как минимум один джавелин на задание не потому что ожидали встретить танк Аль-Каеды, а потому что высокая эффективность CLU того стоила. Мы использовали их для наблюдения за перекрестками и чтобы убедиться что никто не устанавливает мины и растяжки. Дальность действия джавелина превышает одну милю, соответственно CLU видит на такое же расстояние и даже дальше.

Я спросил Джеда о дистанциях на которых они вели бои с русскими. "Обычно украинцы выжидают и устраивают ловушку на очень короткой дистанции." На вопрос насколько короткой он ответил "иногда пугающе короткой". Он рассказал об одном украинце, солдате которого он и несколько других англоязычных добровольцев прозвали Маньяком из-за рисков на которые тот шел во время нападения на российскую бронетехнику. "Маньяк - приятнейший во всех отношениях человек, совершенно невспыльчивый и спокойный. Зато в бою он превращается в маньяка без малейших признаков страха. И возвращаясь раз за разом после боев он опять превращался в приятного, спокойного парня"

Я не чувствовал что имею право спрашивать о каких-либо доказательствах слов Джеда, но он показал мне видео его самого в окопе и основываясь на этом и деталях о времени его службы в морской пехоте, его слова выглядели убедительно. Чем дольше мы беседовали тем дальше разговор уходил от технических данных и переменных боеспособности украинской армии к психологии украинских военных. Наполеон, проведший множество битв в этой части мира отмечал "боевой дух каждого солдата которого хватило бы на троих".

Думские единороссы захотели сажать на 10 лет за антироссийскую пропаганду

По инициативе единороссов в Госдуме готовится законопроект об уголовной ответственности за антироссийскую пропаганду. 

Один маленький законопроект для думы - один большой шаг к образцу КНДР.